“天关·零信任+”：基于双域贯通与信任升维的CT+IT协同联防体系

来源：市场资讯

（来源：启明星辰集团）

前言：

本文提出的“天关·零信任+”架构，通过双域贯通与信任升维，将国家级实名身份嵌入网络通信，实现从“虚拟身份”到“实体身份”的跨越；构建CT+IT协同联防体系，重塑IP网络为实名信令化底座，为低成本、高韧性的零信任落地提供全新范式。

网络空间的信任构建是网络安全的核心命题。传统IP网络（一般指运营商通信网，CT）在设计之初遵循“尽最大努力交付”原则，本质是一个哑管道，无法区分流量的善意与恶意属性。这种网络中立性在带来互联互通便利的同时，也构成了现代网络安全的根本性脆弱点：威胁流量与正常业务流量混杂，直至抵达政企局域网（IT）边界才被识别与处置，致使防护始终处于被动滞后状态。

为何不将安全验证前置至流量进入CT网的入口？核心障碍在于CT网的业务本质与技术架构。CT网的核心功能是提供高速、可靠的数据传输服务，其网络设备（如路由器、交换机）的职责是高效转发IP包，而非深度解析其载荷或意图。

若要求CT网在入口处执行精细化的身份验证与访问控制，相当于要求高速公路收费站盘查每位乘客的出行目的，这在技术实现上会极大牺牲网络性能与规模扩展性，经济成本上亦不可持续。因此，CT网自身难以独立完成信任裁定。

这一困境揭示了单一域防护的局限性。政企IT网的零信任改造虽能提升内部安全水平，但其防护边界仍局限于企业自身网络，无法对经由CT网传输的、已混杂威胁的流量进行源头治理。正如疫情防控，若仅严守企业内部而对城市交通枢纽疏于管控，风险依然存在。因此，将CT网的广域覆盖能力与IT网的精细控制能力相结合，构建协同联防体系，是突破现有安全瓶颈的必然选择。

“天关﹒零信任+”架构基于双域贯通，旨在打破CT与IT的安全割裂，构建统一、协同联动的安全防御体系，通过复用国家级信任基础设施，将IP网络从匿名空间改造为实名信任网络，完成了信任关系的关键升维。其核心逻辑如下：

双域贯通

构建CT+IT协同联防体系

“双域贯通”并非简单技术叠加，而是在信任逻辑和控制平面上实现CT与IT的深度融合：

• 信任贯通：利用运营商独有的国家级实名认证资源（如移动号卡），确定数字身份的物理锚点，将现实世界的物理身份与网络空间的数字身份可靠绑定，实现用户接入CT网时信任即被建立，并贯穿至IT网内部；

• 控制贯通：在CT网入网口或与IT网的衔接点设立统一的策略执行点（PEP）。该点的访问策略由天关﹒零信任+的信任中心动态生成，决策依据既包含CT网的实名身份信息，终端信任状态，也包含IT网内的业务上下文和风险态势等。

这种协同联防根植于攻击链的全局性与防御的系统性：

• 攻击路径的全程覆盖需求。网络攻击是一个贯穿CT与IT域的连续过程。攻击者往往通过CT网渗透至IT网边界，再寻找漏洞突破。传统模式下，IT网防御者仅能看到攻击链的“后半程”，对攻击源头的追溯和阻断能力薄弱。双域贯通则实现了对攻击链的全程可视与可控，能够在前置的CT网环节对非实名或高风险访问进行初步过滤，将大量低层次威胁屏蔽于“城门”之外。

• 安全能力的优势互补。CT网的优势在于其广覆盖、强管道和实名认证基础实施；IT网的优势在于其对业务逻辑、数据资产和用户行为的深刻理解。协同联防使二者优势互补，即CT网提供可信的“身份入场券”和网络层控制力，IT网提供精细的业务层访问策略，实现安全防护从“IT网单点防护”到“CT+IT全域纵深”的跃迁，显著提升了防御体系的整体韧性。

• 规模经济与成本效益。传统零信任落地面临“信任体系维系难、业务改造成本高、资金投入代价大”三大局限。通过复用运营商已建成的、权威的、普适的实名信任基础设施，“天关﹒零信任+”将身份体系的构建与维系成本社会化分摊，极大地降低了单一政企客户实施零信任的边际成本，解决了信任构建的“经济学困境”。

信任升维

实现IP网络实名信令化

“双域贯通”的直接成果是实现信任升维，解决了IP网络实名信令化这一长期难题。

1、从匿名IP到实名信令

传统IP网络为匿名世界，通信基于IP地址进行，而IP地址与背后操作者的真实身份无强关联，经由匿名网络发起的攻击难以追溯。“天关﹒零信任+”通过双域贯通，将国家背书的实名身份信息作为一种新型的、可靠的信令，嵌入到IP网络的基础通信过程中，实现身份信任的两次升维：

• 第一次升维：从“网络位置信任”到“数字身份信任”。这是传统零信任已经完成的，即不再依据IP地址判断可信度；

• 第二次升维：从“虚拟身份信任”到“实体身份信任”。这是“天关﹒零信任+”架构的创新所在。将信任的锚点升维至国家社会治理层面的法定实名身份，使网络空间的信任关系建立在坚实的社会信任基石之上，实现碳基世界（物理身份）与硅基世界（数字身份）的深度融合。

2、IP网络实名信令化的核心价值

• 威慑与溯源价值：流量实名化后，任何恶意操作都将直接关联法律责任，对非法攻击者形成强大心理威慑。发生安全事件时，可基于实名身份标签瞬间完成全链路溯源，做到“访问留痕，责任到人”，极大提升安全事件的处置效率与取证追溯能力。

• 策略精准化价值：基于实名身份（而非易变、可伪造的IP地址或设备标识），安全策略的制定和执行变得更为精准和稳定。访问控制规则可以直接关联人员的角色与属性，真正实现“身份即安全”。

• 运营效率提升价值：网络运维和安全运营从传统基于IP地址的模糊管理，跃迁至基于实名ID的精确管理。在分析、审计、封禁等运营场景中目标明确，减少误判和沟通成本，实现从“IP运维”到“实名ID运营”的质变。

随着数字身份普及与法律法规完善，基于双域贯通与信任升维的安全范式将从政企领域延伸至物联网、工业互联网等更广场景，成为支撑数字经济健康发展的关键基础设施。“天关·零信任+”架构通过双域贯通与信任升维，既破解了传统零信任在成本与规模上的难题，又将技术信任植根于社会信任，为网络空间从“单点防护”迈向“全程可信”奠定坚实基础。