业务入口越开放，被试探的机会越多。零信任主张先确认身份、再判断权限，让不该来的人根本走不到业务面前。
不妨做一个小测试：你们公司的 OA、ERP、项目系统，是不是只要知道地址、连上网络，就能打开登录页，谁都可以过来“敲一敲门”？如果答案是“是”，那这篇文章值得一读。
开放的入口，就是被试探的入口
很多业务系统的访问方式很朴素：系统放在内部网络，员工通过 VPN 或内网访问，登录页对网络里的所有人可见。这样做的问题是：
- 谁都能试： 登录页面对大量人员开放，口令猜测、撞库这类试探很容易发生。
- 进来才验证： 先让你“到达业务面前”，再看你的账号密码，验证放在最后一步。
- 网络通即可见： 一旦某台设备被控制，攻击者就能从它出发，去敲其他系统的门。
零信任的调整：先认证，再访问
零信任调整了顺序：先确认你是谁，再决定你能不能到达哪个业务。换成生活里的例子：
以前，是小区大门敞开，每栋楼的门都能被拉一拉；现在，先在大门口核验身份，再按你的住址，只让你走到自己那一栋。
这样做的收益很直接：
- 缩小暴露面： 业务入口不再对所有人开放，不相关的人到不了业务面前。
- 身份先行： 没有通过身份确认的访问，不会进入后续环节。
- 范围明确： 通过认证后，也只能访问被授权的那几个业务。
比如面向中小企业、民企的安全通，就是在用户和 OA、ERP、CRM、项目系统等核心业务之间，建立一个带有基础身份认证与权限控制的统一入口，强调“不只是连上，而是先确认身份”，快速安装、简单部署；政府、国央企及大型政企办公环境，则更适合统一身份认证准入平台，遵循“先确认身份，再判断权限；先明确访问范围，再进入业务”，把用户、终端、权限与业务访问关联起来。企业规模和场景不同，选择也不同，可以参考统一身份与安全接入。
需要提醒的两点
- “隐藏入口”不是万能的。 把入口藏起来能减少试探，但仍需要强认证、最小权限和审计共同配合。
- 体验要兼顾。 先认证不等于反复验证，设计得当，正常员工只会感到“登录一次，就能用到自己该用的业务”。
小结
- 开放的业务入口，会让试探和攻击有机可乘。
- 零信任的调整是：先认证、再访问，按权限只到达该到的业务。
- 先认证不等于反复验证，设计得当时，正常员工几乎无感。