近两年来，零信任（Zero Trust）和ATT&CK在安全圈着实火热，特别是前者，大厂摇旗呐喊，小厂也擂鼓助威，都说自己是零信任理念的先行者， IAM相关厂商说零信任架构里面，身份是新边界；NAC和防火墙厂商说策略检查点是零信任的关键部件；VPN厂商说他们除了加密也支持多因素认证，符合零信任的特征...

　　“零信任”自从2010年被Forrester分析师约翰·金德维格正式提出到现在已有十年的历史，在这十年中“零信任”一直都是安全圈内众人不断争议和讨论的对象，有人说它将是网络安全发展的必然产物，也有人说这种理念难以实现。无论“零信任”如何饱受争议，但事实证明随着相关技术的发展它都已然成为当下企业最好的选择。

11年前诞生的零信任安全模型已被网络安全产业的思想领袖和企业CISO们广泛接受。而当拥有无穷预算和资源的Google通过BeyondCorp项目践行和验证了零信任框架的有效性后，零信任安全模型进入了产品化和商业化的快车道。但是今天，对于大多数企业来说，通往零信任的道路上依然布满了陷阱和误区。

　　　“零信任：从不信任，永远验证。”零信任假设所有的访问都是有风险的，并验证每一个请求，就像它始终来自一个不受控的网络一样。这意味着无论是防火墙内外、终端上、服务器上还是云中，安全防护机制永远不相信任何人或任何事件。

根据定义，零信任安全模型提倡创建区域和分段来控制敏感的IT资源。这还需要部署技术来监视和管理区域之间的数据，更重要的是，一个区域内用户之间的交互。