持续验证与监控

零信任不会在身份验证结束后就停止。必须根据实时风险信号，在整个会话期间持续重新评估访问决策。在 9 AM 时可信的会话，如果设备在此期间遭到入侵，到 9:05 AM 时可能就不再可信。

用于持续验证的信号：

• 设备合规状态发生变化（EDR 警报、更新失败）
• 用户行为异常（异常访问时间、访问量）
• 位置变化（不可能的地理移动）
• 网络威胁情报（检测到 C2 通信）
• 应用访问异常

自适应身份验证会根据风险动态调整身份验证要求。低风险访问（已知设备、正常时段）→ 无需额外验证步骤。出现高风险信号 → 要求重新进行身份验证或提升 MFA 验证级别。支持上下文感知的 IdPs（Okta、Azure AD）可以实现这一功能。

触发风险信号后，必须能够立即撤销会话。实施方式：

• 较短的令牌生命周期（15 分钟）+ 刷新令牌
• 令牌撤销列表
• 在 IdP 中使 SSO 会话失效
• 通过 OIDC 后端通道注销强制重新进行身份验证

SIEM 汇总所有来源（IdP、终端、网络、应用）的日志，并关联事件以检测攻击。零信任 SIEM 监控：

• 身份验证事件和异常
• 权限提升
• 异常数据访问或数据外泄
• 策略违规

UEBA 为用户和实体建立行为基线，然后检测偏差：

• 用户 X 总是从 NYC 访问——如果从莫斯科访问则发出警报
• 服务账户从不建立外部连接——一旦建立则发出警报
• 数据下载量异常——下载量达到正常值 100 倍时发出警报

威胁狩猎是主动搜索自动化工具未检测到的威胁。安全分析人员根据威胁情报和 ATT&CK TTP 制定假设，然后在日志中搜索证据。不等待警报，而是主动寻找隐藏在环境中的攻击者。

用于零信任监控的完整可观测性技术栈：

• 日志：Elasticsearch + Kibana（ELK）、Splunk
• 指标：Prometheus + Grafana
• 追踪：Jaeger、Zipkin（分布式追踪）
• 网络：Zeek、Suricata、VPC 流日志

零信任也延伸到持续合规：

• CSPM 工具持续扫描云配置，而不是定期扫描
• 策略即代码（OPA/Rego）自动执行合规要求
• 漂移检测会在配置偏离基线时发出警报

持续监控为自动化响应（SOAR）提供输入：

• 在 IdP 中隔离受入侵设备 → 立即阻止所有访问
• 同时在防火墙和 CDN 上阻止恶意 IP
• 创建事件工单、通知值班人员、隔离系统

速度至关重要——自动化响应在几秒内完成，而手动响应需要几分钟。

衡量零信任进展：

• 具备抗钓鱼 MFA 的用户百分比
• 已注册 MDM 且符合要求的设备百分比
• 通过 ZTNA 而非 VPN 访问的应用百分比
• 检测异常访问的平均时间
• 使用 mTLS 的东西向流量百分比

哪个系统会为用户和实体建立行为基线，以检测不可能的地理移动或异常数据下载等异常？

零信任要求在初始身份验证之外进行持续验证。实时风险信号（设备健康状况、行为异常、威胁情报）会触发自适应身份验证或会话撤销。SIEM + UEBA 用于检测攻击；威胁狩猎则发现自动化工具遗漏的威胁。SOAR 可在几秒内实现自动化响应。通过 MFA 覆盖率、MDM 注册率和使用 mTLS 的东西向流量百分比来衡量零信任成熟度。