零信任选型五刀法——零信任怎么选？五个问题，五条红线

零信任选型，市场上最大的陷阱是按功能清单选。

SDP网关、SPA隐身、动态授权、沙箱水印——翻开任何一家厂商的方案，这些词都在。功能清单对齐度高达90%，但交付后的效果天差地别。

为什么？因为零信任的价值不在功能，在功能之间的连贯性。感知层看不清终端状态，策略引擎再聪明也是瞎算；准入和零信任靠API桥接，持续验证就有秒级断点。

本文提供一套五刀法选型框架，按因果链排序——前一刀是后一刀的前提，逐层筛选择优。每刀给出具体的评估问题、判断标准和淘汰红线，可直接用于企业评审各家厂商。

第一刀：看感知层——你的零信任，"看"得到多深？

1、为什么感知层排第一

零信任的本质是"基于状态做决策"。状态从哪来？从感知层来。感知不到，决策就是瞎猜。这不是"重要"的问题，是因果的问题——感知层是因，其他所有层是果。

动态授权说"基于终端状态做决策"——但你确定你看得清终端的真实状态吗？

持续验证说"实时评估环境风险"——但你确定你评估的维度足够深吗？

最小权限说"只给必要的访问"——但你确定你分得清谁"必要"、谁"不必要"吗？

这些问题的答案，全部指向一个被忽视的能力：准入控制（NAC）。

准入，是零信任的感知器官。感知不到，判断就是瞎猜；判断是瞎猜，零信任就是假的。

2、零信任五个授权维度对准入的依赖

四问四判评估法

市场主流方案真实水平

注意：联软是准入起家再延伸零信任，深度是产品基因决定的。厂商C在云端实时感知这一项上确实很强，但内网准入场景覆盖不如联软。

3、准入基础能力不深入的零信任在真实攻击面前会怎样？

场景一：虚拟机逃逸——你的"设备可信"，真的可信吗？

某金融机构部署了某厂商的零信任方案。上线后安全团队很满意——"每个访问都经过身份验证和设备检查"。

攻击路径：钓鱼拿到员工凭证 → 在自己电脑安装企业零信任客户端 → 客户端报告"设备合规"（操作系统已打补丁、杀毒软件已安装、无违规进程）→ 零信任网关判定"设备可信"，放行 → 攻击者进入内网横向渗透。

问题：零信任网关信任的"设备合规"信息来自客户端自报告，而客户端自报告的前提是准入系统有能力验证报告的真实性。

【准入控制能力深的方案会做：】

·虚拟机/沙箱检测：识别运行环境是否为虚拟机，虚拟机登录降权或拒绝

·硬件指纹绑定：不依赖软件自报告，采集BIOS、主板序列号等硬件级特征

·进程深度检查：不只看"杀毒软件在不在"，而是检查杀毒引擎是否真正活跃、病毒库是否最新

·网络环境感知：检测设备是否通过私接路由器、代理服务器接入

【准入浅的零信任：】

客户端说什么就信什么。而准入能力深厚的零信任：客户端说的每一句，我都要验证。

场景二：合规但不安全——"杀毒装了"不等于"终端安全"

某企业零信任策略：安装了指定杀毒软件的设备方可访问业务系统。员工电脑中了APT，但杀毒软件——装了，图标在，进程在，病毒库是上个月的。零信任网关检查全部通过，判定设备合规，放行。

一台已经被APT控制的机器，凭借"杀毒装了"就拿到了零信任通行证。

【准入能力深厚的方案会做：】

·病毒库时效检查：不只查"有没有"，还查"新不新"——超过7天未更新则判定不合规

·实时进程扫描：不只看杀毒进程是否在运行，还扫描是否有可疑进程（如键盘记录器、远控木马）

·注册表深度检查：检测异常启动项、服务项、驱动项

·网络连接检查：检测是否有异常外连（C2通信）

零信任的策略写得再精细，如果准入的"合规检查"只有"有/没有"的颗粒度，策略就是纸老虎。

场景三：入网后失守——"持续验证"的断点

零信任的核心承诺是持续验证——不是一次放行就完事，而是访问过程中持续评估终端状态，异常即阻断。但"持续验证"的前提是：你能在访问过程中持续感知终端状态变化。这个能力从准入来。

准入控制能力不足的方案，终端合规检查发生在入网那一刻，入网通过后就"看不见"终端了——直到下一次入网检查。中间的状态变化（感染恶意软件、安装违规软件、合规策略变更），零信任系统无从得知。

准入能力浅，持续验证就是"入网时验证一次"；准入能力深厚，持续验证才是"每一秒都在验证"。

第二刀：看融合度——准入和零信任，是"一体的"还是"拼起来的"？

1、为什么这一刀重要

感知层达标后，第二刀看感知层和决策层、执行层之间的连贯性。

零信任的信任链是从感知→决策→执行的连续过程。任何一环断裂，整个链路的可信度就崩了。准入检测到终端感染恶意软件 → 但零信任网关不知道 → 继续放行。这就是信任链断裂。

2、三问三判评估法

3、融合度的三种等级

Level 1：拼凑式— 准入和零信任是独立产品，靠API集成

·特征：策略需要手动对齐，状态同步有延迟，运维两套界面

·风险：策略冲突、同步延迟、运维成本翻倍

Level 2：集成式— 准入和零信任在同一产品内，但模块独立

·特征：一个产品交付，但内部是两个模块，策略引擎有重叠但不完全一致

·风险：模块间数据传递可能有损耗，深度定制场景需验证

Level 3：原生融合式— 准入和零信任共享同一策略，同一管控面

·特征：一套策略、一个界面、零延迟联动、架构上不可拆分

·风险：最少——但要确认SDP的独立性能是否受准入资源占用影响

联软零信任是在准入能力基础上原生生长出来的，两者共享同一终端感知引擎、同一策略引擎、同一管控平台、同一信任链——从入网（准入）到访问（零信任）到数据（安全），信任评估连续无断点。

翻译成客户感受：

·厂商A：功能都有，但联动要配置，准入做得不够深

·厂商B：架构合理，但准入和零信任是两套产品，运维要兼顾

·联软：开箱即用，准入和零信任天然是一体的，信任链没有断点

4、为什么要卡这一刀

很多客户在选型时只看功能清单："你有没有准入？有。你有没有SDP？有。行，功能齐了。"

但功能齐不等于能力通。准入和零信任之间的"缝隙"，就是攻击者的通道。

客户真实痛点：某金融客户同时买了A厂商的准入和B厂商的零信任，结果——准入检测到终端不合规→通知零信任→零信任策略更新→但通知有3秒延迟→这3秒内不合规终端继续访问核心系统。

3秒，够了。

第三刀：看行业适配——你跑过我的行业吗？

前两刀是通用能力，第三刀开始看场景匹配度。

1、三个"有没有"评估法

2、信创适配——2024年后的硬门槛

央国企和金融机构的信创替换进入深水区。很多零信任方案在x86环境下跑得很好，一到信创环境就各种兼容性问题。

联软信创适配全栈覆盖：

联软在信创环境的适配深度是经过大量生产验证的，不是实验室跑通就算数。这对正在做信创替换的客户来说，是省掉无数坑的关键。

第四刀：看运维可操作性——你的团队用得动吗？

这一刀最容易被忽略，但对项目成败影响最大。大量零信任项目失败不是因为技术不行，而是因为运维团队扛不住。

1、四个"能不能"评估法

2、联软统一管控的真实价值

量化影响：

·策略变更时间：从跨2-3小时变成5分钟

·故障排查范围：从3个系统收敛到1个平台

·运维学习成本：从学两套产品变成一套

·策略冲突风险：从"可能存在"变为"不可能"

第五刀：看功能清单+TCO——到这一步，功能差异已经不是决定性的了

前四刀筛完，留下的候选方案通常不超过2-3家。这时候才看功能清单。

1、为什么放最后

因为前四刀已经把核心差异筛出来了：第一刀筛掉了感知层不达标的，第二刀筛掉了融合度不够的，第三刀筛掉了行业不匹配的，第四刀筛掉了运维扛不住的。到第五刀，剩下的方案功能层面基本同质——SDP网关、SPA隐身、动态授权、沙箱水印，大家都有。

1、这时候看什么

3、五刀速查表

零信任选型，不是选功能最多的，而是选信任链最完整的。

感知层地基，融合度是结构，行业适配是场地条件，运维可操作性是使用体验，功能TCO是性价比。地基不牢，楼盖再漂亮也是危楼。准入不够深，零信任就是假的。

联软科技——20年准入基因，全网零信任的真正底座。