#SummerCreationCamp

# 超越邊界：為何零信任架構不再是可選項

---

在 2023 年，資料洩露的平均成本達到 4.45 百萬美元。在 2024 年，這一數字攀升至 4.88 百萬美元。這條走向無可辯駁，其根本原因是結構性的：組織持續投入以邊界為中心的防禦，而攻擊者則利用這項假設——網路內的任何事物都天然可信。

這並非理論上的疑慮。這是每位資安主管（CISO）與基礎建設架構師如今都必須面對的作業現實。邊界已經瓦解。遠端工作、雲端遷移、SaaS 激增，以及第三方整合，使得傳統「城堡與護城河」模型已不再適用。然而許多組織仍彷彿防火牆才是信任的最終仲裁者來運作。

其後果是可衡量的。根據 IBM 的《資料洩露成本報告》（Cost of a Data Breach Report），源自遭入侵憑證（作為最常見的初始攻擊向量）的洩露，平均需要 292 天才能被辨識，且需要 75 天才能加以遏止。也就是在偵測之前幾乎整整一年的未經授權存取。邊界並未阻止洩露。它甚至連察覺都失敗了。

這篇文章探討為什麼零信任架構必須成為現代企業的基礎型安全範式、其原則如何轉譯為可落地的工程決策、真實世界的部署揭示了哪些實作挑戰，以及為何該架構的限制需要補充策略。

---

## 問題：信任本身就是弱點

傳統網路安全的核心弱點並不是缺少修補程式，或規則未設定。真正的弱點在於「信任」這個前提本身。

在以邊界為中心的模型中，驗證只在邊緣發生一次。只要使用者、裝置或連線通過防火牆或 VPN 閘道，就會被授予對內部資源的廣泛存取權。這種隱含信任會建立龐大的攻擊面。一組遭到攻陷的憑證、邊界處的一個被利用的弱點，就足以讓攻擊者在整個網路中橫向移動。

證據十分充足：

- SolarWinds 供應鏈攻擊（2020）透過單一受信任的軟體更新，約侵入 18,000 家組織。攻擊者在受害者網路內橫向移動持續數月，存取電子郵件系統、原始碼儲存庫以及分類基礎設施，且全程未觸發邊界警示，因為他們早已使用合法憑證通過邊界。

- MOVEit Transfer 弱點（2023）被 Clop 勒索軟體團伙用來侵入超過 2,500 家全球組織。該攻擊利用了一個存在於網路邊界內的受信任檔案傳輸應用，而零日 SQL injection 弱點使資料外傳可直接進行，毋須進行橫向移動。

- MGM Resorts 攻擊（2023）起始於針對 IT 協助台的社交工程電話。攻擊者取得合法憑證，存取內部系統，並在 14 個據點中擾亂營運長達數天。沒有防火牆遭到入侵。邊界毫不相關。

在每個案例中，攻擊者都利用了邊界模型預設所賦予的信任。網路假設已驗證的使用者與核准的軟體是安全的。這個假設本身，就是弱點。

---

## 零信任真正代表什麼

零信任並不是一種產品、一個供應商類別，或單一技術。它是一種架構理念，定義於一項基本原則：永不信任，永遠驗證。

這個概念最早由 John Kindervag 在 2010 年於 Forrester Research 提出，之後在 NIST 特別出版品 800-207 中被正式化，該文件提供權威的參考框架。NIST 的定義指出：

> 「零信任（Zero Trust）一詞，用於描述一組正在演進的資安防禦範式，這些範式會將防禦從靜態、以網路為基礎的邊界，轉而聚焦在使用者、資產與資源。零信任架構（Zero Trust Architecture）使用零信任原則來規劃工業與企業基礎建設以及工作流程。」

依照 NIST SP 800-207 所定義，零信任的七項要旨為：

1. **所有資料來源與運算服務都被視為資源。** 網路、端點、API、資料儲存與 SaaS 平台皆同等地受到政策執行的約束。

2. **不論網路位置，所有通訊都必須受到安全保護。** 加密、驗證與完整性驗證應套用在內部流量，就像適用於外部連線一樣。不存在「天生安全」的內側。

3. **對每個資源的存取都以每個工作階段為單位授予。** 信任並非持久存在。每一次存取請求都會被個別評估，且授權會被限制在最小必要的持續時間與範圍內。

4. **資源的存取是由動態政策決定，包括身分狀態與環境情境。** 政策會即時評估使用者身分驗證強度、裝置的健康與合規狀態、所請求資源的敏感度、行為模式、威脅情報訊號，以及環境風險因素。

5. **企業會監控並衡量所有自有與相關資產的完整性與安全態勢。** 裝置合規性、修補程式狀態、設定漂移與行為異常會被持續評估，而這些評估會直接回饋到存取決策中。