在傳統(tǒng)的網(wǎng)絡(luò)安全觀念中，“信任，始終驗(yàn)證”是零信任架構(gòu)的核心原則。然而，當(dāng)這一理念應(yīng)用于物理安全系統(tǒng)時(shí)，卻面臨著極其嚴(yán)苛的現(xiàn)實(shí)約束：一道門(mén)禁的解鎖指令必須在200毫秒內(nèi)完成決策，無(wú)法等待云端策略引擎因網(wǎng)絡(luò)延遲而返回結(jié)果。這種時(shí)間敏感性常被誤認(rèn)為是物理設(shè)備脫離零信任架構(gòu)的理由，但海康威視（Hikvision）全球信息安全副總裁Chuck Davis指出，這并非安全原則的例外，而是對(duì)架構(gòu)設(shè)計(jì)提出的更高要求。真正的零信任物理安全，需要在邊緣側(cè)實(shí)現(xiàn)信任決策，同時(shí)保持中央策略治理的統(tǒng)一性。

分布式信任與集中式策略的架構(gòu)平衡

許多組織在實(shí)施零信任時(shí)存在一個(gè)巨大誤區(qū)，認(rèn)為所有的授權(quán)決策都必須實(shí)時(shí)傳輸?shù)郊械牟呗砸?。這種觀點(diǎn)往往導(dǎo)致物理安全系統(tǒng)被完全排除在零信任體系之外。Davis強(qiáng)調(diào)，零信任并不要求中央化的決策執(zhí)行，而是要求中央化的信任治理。理想的架構(gòu)是將策略決策點(diǎn)（PDP）與策略執(zhí)行點(diǎn)（PEP）分離。PDP負(fù)責(zé)基于身份、上下文、策略和風(fēng)險(xiǎn)信號(hào)判斷是否授予訪問(wèn)權(quán)限；而PEP則位于邊緣控制器或接入設(shè)備上，在本地執(zhí)行該決策。

在這種模式下，門(mén)禁系統(tǒng)可以在遠(yuǎn)低于200毫秒的時(shí)間內(nèi)完成開(kāi)鎖動(dòng)作，但其背后的策略是由中央系統(tǒng)制定、驗(yàn)證并下發(fā)的。關(guān)鍵在于，本地執(zhí)行并不意味著本地信任。邊緣設(shè)備應(yīng)基于加密簽名的策略和短期有效的憑據(jù)運(yùn)行，并擁有明確的訪問(wèn)邊界。策略雖然分發(fā)并緩存在本地，但仍受中央管理，需按既定周期刷新并接受重新驗(yàn)證。如果僅僅因?yàn)樵O(shè)備位于某個(gè)特定VLAN或建筑網(wǎng)絡(luò)內(nèi)就賦予其信任，這實(shí)際上是舊有邊界安全模型的偽裝，極易在零信任架構(gòu)中悄然回潮。

在實(shí)際運(yùn)營(yíng)中，組織常因網(wǎng)絡(luò)波動(dòng)而妥協(xié)安全標(biāo)準(zhǔn)。例如，當(dāng)網(wǎng)絡(luò)故障導(dǎo)致門(mén)禁無(wú)法解鎖時(shí)，運(yùn)維團(tuán)隊(duì)為減少投訴，可能會(huì)將策略緩存時(shí)間從90秒延長(zhǎng)至30分鐘，甚至4小時(shí)。這種漸進(jìn)式的例外處理會(huì)導(dǎo)致邊緣側(cè)的信任逐漸漂移，Zui終形成 undocumented 的安全盲區(qū)。此外，架構(gòu)設(shè)計(jì)還需明確“失效安全”與“失效保護(hù)”的選擇。緊急逃生系統(tǒng)通常優(yōu)先保障生命安全和可用性，在網(wǎng)絡(luò)降級(jí)時(shí)應(yīng)默認(rèn)開(kāi)啟；而高受限環(huán)境則可能需要相反的邏輯。這些必須是明確的架構(gòu)決策，而非網(wǎng)絡(luò)連接中斷后的意外后果。

物理設(shè)備即IT資產(chǎn)：從Mirai僵尸網(wǎng)絡(luò)看風(fēng)險(xiǎn)盲區(qū)

?？低暤脑O(shè)備處于一個(gè)有趣的交匯點(diǎn)：它既是物聯(lián)網(wǎng)終端，又是數(shù)據(jù)處理單元，還是物理執(zhí)行器。在威脅建模中，Zui大的盲點(diǎn)往往源于組織未將物理安全設(shè)備視為IT資產(chǎn)。傳統(tǒng)觀念僅關(guān)注設(shè)備的物理功能，如攝像頭用于監(jiān)控、讀卡器用于通行、網(wǎng)絡(luò)視頻錄像機(jī)（NVR）用于存儲(chǔ)。然而，一旦這些設(shè)備接入網(wǎng)絡(luò)，它們就變成了運(yùn)行操作系統(tǒng)、認(rèn)證服務(wù)、API接口、數(shù)據(jù)庫(kù)和加密功能的嵌入式計(jì)算平臺(tái)。

當(dāng)物理安全部門(mén)與IT部門(mén)各自為政時(shí)，風(fēng)險(xiǎn)便落入兩者之間的真空地帶。2016年的Mirai僵尸網(wǎng)絡(luò)事件深刻揭示了這一問(wèn)題。攻擊者通過(guò)掃描互聯(lián)網(wǎng)，利用未更改的出廠默認(rèn)憑據(jù)大規(guī)模入侵IP連接的安全攝像頭和數(shù)字視頻錄像機(jī)（DVR）。這些被攻陷的設(shè)備被招募進(jìn)僵尸網(wǎng)絡(luò)，發(fā)動(dòng)了針對(duì)Dyn等基礎(chǔ)設(shè)施的大規(guī)模分布式拒絕服務(wù)（DDoS）攻擊，導(dǎo)致Twitter、Reddit和Netflix等服務(wù)中斷數(shù)小時(shí)。Mirai的危害不在于攻擊技術(shù)的復(fù)雜性，而在于行業(yè)尚未建立統(tǒng)一的部署和安全標(biāo)準(zhǔn)。設(shè)備在互聯(lián)網(wǎng)暴露且無(wú)防火墻保護(hù)，安全加固指導(dǎo)缺失，網(wǎng)絡(luò)監(jiān)控罕見(jiàn)。

這一盲點(diǎn)并非來(lái)自針對(duì)復(fù)雜威脅模型的攻擊，而是源于互聯(lián)網(wǎng)暴露的攝像頭運(yùn)行著出廠默認(rèn)設(shè)置，且無(wú)人監(jiān)控其生成的流量。解決之道在于操作紀(jì)律：將物理安全設(shè)備隔離在獨(dú)立的網(wǎng)絡(luò)段，置于防火墻后，保持固件更新，遵循廠商的安全加固指南。若需遠(yuǎn)程訪問(wèn)，應(yīng)使用虛擬專用網(wǎng)（VPN）或零信任網(wǎng)絡(luò)訪問(wèn)解決方案。物理安全基礎(chǔ)設(shè)施本質(zhì)上是企業(yè)IT基礎(chǔ)設(shè)施，必須按此標(biāo)準(zhǔn)進(jìn)行管理。

無(wú)代理設(shè)備的姿態(tài)評(píng)估與規(guī)?；矸葜卫?/h2>

對(duì)于無(wú)法運(yùn)行終端檢測(cè)與響應(yīng)（EDR）代理、不能在業(yè)務(wù)時(shí)間打補(bǔ)丁且折舊周期長(zhǎng)達(dá)七年的物理安全設(shè)備，零信任姿態(tài)評(píng)估需采取補(bǔ)償性控制措施。Davis提出了“信任信封”概念，即不直接監(jiān)控設(shè)備內(nèi)部，而是定義并強(qiáng)制執(zhí)行其可接受的行為邊界。通過(guò)相鄰基礎(chǔ)設(shè)施的網(wǎng)絡(luò)遙測(cè)數(shù)據(jù)，建立設(shè)備的通信畫(huà)像：它應(yīng)與誰(shuí)通信？使用何種協(xié)議？頻率和流量如何？任何超出此信封的行為都值得調(diào)查。

在設(shè)備層面，評(píng)估應(yīng)聚焦于可驗(yàn)證的內(nèi)容，如安全啟動(dòng)和簽名固件驗(yàn)證。軟件物料清單（SBOM）有助于了解第三方庫(kù)漏洞的影響，而網(wǎng)絡(luò)物料清單（NetBOM）——即對(duì)設(shè)備存在、預(yù)期通信模式和批準(zhǔn)的網(wǎng)絡(luò)依賴的結(jié)構(gòu)化清單——同樣重要。在網(wǎng)絡(luò)控制不可用或受限的情況下，Zui小權(quán)限網(wǎng)絡(luò)策略發(fā)揮關(guān)鍵作用，通過(guò)分段、默認(rèn)拒絕的防火墻規(guī)則和專用的帶外管理網(wǎng)絡(luò)，限制攻擊者的行動(dòng)范圍。

規(guī)?；矸莨芾砼c事件響應(yīng)機(jī)制

在大型園區(qū)部署中，物理安全設(shè)備可能涉及數(shù)萬(wàn)個(gè)終端。使用共享憑據(jù)或靜態(tài)API密鑰并非真正的設(shè)備身份管理，這僅是一份帶有虛假信心的資產(chǎn)列表。共享憑據(jù)缺乏人類賬戶的異常行為特征，如異地登錄或可疑認(rèn)證時(shí)間。物理設(shè)備的憑據(jù)泄露更為隱蔽，表現(xiàn)為來(lái)自非預(yù)期管理源的配置更改、出站連接至非常規(guī)目的地、固件版本與資產(chǎn)清單不符，或來(lái)自未授權(quán)IP地址的管理平面認(rèn)證嘗試。

為解決規(guī)?；瘑?wèn)題，架構(gòu)應(yīng)基于企業(yè)公鑰基礎(chǔ)設(shè)施（PKI）為每臺(tái)設(shè)備頒發(fā)獨(dú)立的數(shù)字證書(shū)，實(shí)現(xiàn)自動(dòng)化注冊(cè)和續(xù)期。證書(shū)的生命周期管理和自動(dòng)輪換能力應(yīng)成為采購(gòu)的重要考量因素。若設(shè)備無(wú)法支持SCEP注冊(cè)、OCSP吊銷(xiāo)或API驅(qū)動(dòng)的證書(shū)輪換，身份管理Zui終將演變?yōu)閼{據(jù)管理債務(wù)。信任撤銷(xiāo)的基礎(chǔ)工作必須在事件發(fā)生前完成，包括預(yù)授權(quán)隔離操作、預(yù)配置網(wǎng)絡(luò)鉤子以及建立設(shè)備與交換機(jī)端口、VLAN和管理控制器的映射關(guān)系。當(dāng)部署基于證書(shū)的標(biāo)識(shí)時(shí)，通過(guò)實(shí)時(shí)OCSP檢查或證書(shū)吊銷(xiāo)列表（CRL）可快速關(guān)閉認(rèn)證會(huì)話，從而實(shí)現(xiàn)遠(yuǎn)程隔離，無(wú)需現(xiàn)場(chǎng)派遣人員。

對(duì)于中國(guó)安防及物聯(lián)網(wǎng)行業(yè)而言，海康威視的這套實(shí)踐提供了重要啟示：隨著智能硬件與IT網(wǎng)絡(luò)的深度融合，物理安全設(shè)備的網(wǎng)絡(luò)安全屬性已不可分割。中國(guó)企業(yè)出?；騾⑴c國(guó)際競(jìng)爭(zhēng)時(shí)，需超越單純的硬件功能競(jìng)爭(zhēng)，轉(zhuǎn)向以零信任為核心的身份治理和邊緣計(jì)算能力構(gòu)建。特別是在面對(duì)全球供應(yīng)鏈安全和數(shù)據(jù)合規(guī)要求日益嚴(yán)格的背景下，建立完善的設(shè)備全生命周期安全管理、標(biāo)準(zhǔn)化的網(wǎng)絡(luò)物料清單以及自動(dòng)化的證書(shū)管理體系，將成為區(qū)分高端安防解決方案與普通硬件供應(yīng)商的關(guān)鍵分水嶺。同時(shí)，國(guó)內(nèi)企業(yè)在推進(jìn)“平安城市”或智慧園區(qū)建設(shè)時(shí)，也應(yīng)借鑒“信任信封”和補(bǔ)償性控制理念，解決老舊設(shè)備無(wú)法升級(jí)代理的痛點(diǎn)，實(shí)現(xiàn)IT與OT安全的真正融合。