边界防护越做越强，攻击者却改走“拿到合法账号”的路。内网一旦被进入就畅通无阻，是问题的根源。
很多企业这些年在安全上投入不少：防火墙升级、入侵检测上线、办公网隔离做得更细。但新闻里的安全事件并没有因此消失。为什么“墙”越筑越高，仍然挡不住攻击？
攻击者换了一条路
早期的攻击，往往是“撞墙”：扫描漏洞，强行突破边界。随着边界防护变强，攻击者的做法也变了——与其破门而入，不如拿一把钥匙大大方方走进来。
常见的“钥匙”有这些：
- 通过钓鱼邮件骗取员工的账号和密码。
- 利用被泄露或过于简单的口令登录。
- 入侵一台防护薄弱的设备，把它当作“跳板”。
- 借助合作方、外包人员的合法访问通道。
这些方式的共同点是：在系统看来，访问者拿着有效的账号，来自“内部”，一切都像是正常访问。
进了内网，往往畅通无阻
更麻烦的是第二步。传统内网里，很多资源默认彼此可达：文件服务器、业务系统、数据库，只要网络是通的，就能被尝试访问。
攻击者拿到一个立足点之后，就可以悄悄地在内网里“逛”：
- 探测周围有哪些设备和系统。
- 尝试用已有账号登录其他系统。
- 一步步靠近真正有价值的数据。
这个过程被称为“横向移动”。因为动作看起来像正常使用，往往要等很久才会被发现。
为什么防护设备没有拦住
这并不是说边界设备没有用，而是它们擅长的和攻击者的做法存在错位：
- 防火墙擅长判断“这条连接该不该放进来”，却很难判断“这个已登录的账号是不是本人”。
- 一旦账号合法，后续在内网里的访问，对网络设备来说多半只是普通的内部流量。
- 安全设备一多，告警也随之变多，真正值得关注的线索反而容易被淹没。
所以问题并不在于“墙不够高”，而在于墙里面几乎没有第二道、第三道检查。
“内网”本身也在变模糊
再加上今天的办公环境：员工在家办公，业务部署在云上，第三方人员随时接入。“内网”早已不是一个清晰的区域。把安全押在“边界”上，就像给一栋到处是门窗的房子只守着正门。
零信任怎么回应
零信任的思路并不是拆掉围墙，而是让围墙之内也有“检查点”：
- 进来之后，仍要继续验证身份和终端状态。
- 每个人只能访问自己需要的资源，而不是整个内网。
- 假设总会有人突破，所以要尽量缩小突破后的活动空间，并保留记录以便发现。
它不能保证攻击不发生，但可以让攻击者“进得来、走不远、藏不久”。
对于无法安装安全客户端的设备（如工业现场的专用设备、营业厅终端），可信接入防护从网络侧识别设备并实施访问控制，限定每类设备能够访问的业务，并留存访问记录；对于“告警很多，却难以弄清威胁脉络”的问题，威胁闭环管理把多源安全信息汇聚和关联，帮助安全人员识别可疑行为、分析线索并跟踪处置进展。
小结
- 攻击者越来越多地使用合法账号，而不是强行破墙。
- 传统内网里资源彼此可达，一旦进入就容易横向移动。
- 零信任通过持续验证和最小权限，缩小攻击者进入后的活动空间。