Zero Trust安全是一种现代IT安全模型，基于“永不信任，始终验证的原则，要求试图访问专用网络上资源的每个人和每台设备不管位于网络边界内外，都必须要有严格身份验证。Zero Trust是一种全面的网络安全方法，融合多种不同原理和技术。

传统IT网络信任网络内的全部人和设备，而Zero Trust架构是不信任任何人和物。Zero Trust核心是不应该基于物理或网络位置（例如，局域网与互联网）或资产所有权（企业或个人所有）而隐含地信任资产或用户帐户。在建立对企业资源的会话之前，执行明确的认证和授权（包括主体和设备）。

如今，组织信息一般分散于多家云供应商，对整个网络进行单一安全控制变得更加麻烦。而且研究表明，单个数据泄露事故的平均成本超300万美元，因此不少组织当下寄希望于Zero Trust 安全策略。那么Zero Trust 具有那些原则？

Zero Trust采取持续监控和验证。Zero Trust网络背后理念是假设网络内外部都可能有攻击者，全部用户或机器都不被自动信任，必须验证身份和权限，保证设备身份和安全，登录和建立连接后，一段时间会超时，迫使用户和设备不断重新验证。

最低权限。Zero Trust仅向用户授予必要访问权限，仅分享必要信息可以最大程度上减少各个用户接触到网络敏感部分的机会。实施最低权限涉及到用户管理权限，这也是区别传统网络访问方式的一大特点。

设备访问控制。除了对用户进行访问控制外，Zero Trust还要求对设备访问进行严格控制。Zero Trust监测有多少不同设备在尝试访问网络，确保每个设备都得到授权且评估所有设备，确保没有入侵情况，减少网络的攻击面。

微分段。Zero Trust网络通过微分段将安全边界划分为小区域的做法，来分别维护对网络各部分的访问。如文件存放在微分段的单个数据中心的网络可能包含数十个单独的安全区域。未经单独授权，有权访问其中一个区域的个人或者程序就不能访问其他任何区域。

预防横向移动。在网络安全中，横向移动是攻击者在计入网络后在该网络内移动。就算被检测有攻击，横向移动也很难被发现，因为攻击者会继续入侵网络其他部分。Zero Trust目的是遏制攻击者，让其无法横向移动。Zero Trust的访问是分段且必须定期重新建立，这样攻击就没办法移动到其他微分段。一旦检查出攻击就可以隔离遭入侵设备或用户账户，切断进一步访问。

多因素身份验证也属于Zero Trust的核心价值观。MFA表示要多个证据来对用户进行身份严重，仅输入密码还不能获取到访问权限。MFA是常见的应用如双因素授权，除了输入密码外还需要启用2FA的用户还得输入发送到其他设备的代码，提供2个证据来证明身份。

Zero Trust更适合当下IT环境，可以减少组织攻击面，有助于消除绕过传统边界型保护措施的威胁。而且，通过验证每个请求，Zero Trust 安全性降低了易受攻击的设备带来的风险，包括通常难以保护和更新的 IoT 设备。