首页
零信任架构有三个核心组件：策略引擎（PE）、策略执行点（PEP）、策略信息点（PIP）。其中策略引擎是"大脑"——所有的访问决策都由它做出。
NIST零信任架构（SP 800-207）对策略引擎的要求是"持续评估、动态决策"。这意味着权限不是一次性赋予的，而是根据实时上下文持续计算。员工这一秒可以访问，下一秒可能就不行——因为设备状态变了、位置变了、行为异常了。
亿格云零信任引擎的核心能力就是"持续信任评估"。下面拆解这个引擎的实现逻辑，理解它如何把"持续评估、动态决策"从概念变成可运行的产品。
需要说明的是，本解析基于亿格云SASE的公开产品能力做技术性分析，不涉及具体客户的内部实现细节。IDC《中国SASE厂商评估2025》把亿格云定位为"领导者"，服务全球1000+头部企业，守护500万+终端，这个规模足以验证其零信任引擎的工程化能力。
实现逻辑一：信任评估的输入信号（六维上下文）
策略引擎做决策需要输入信号。输入信号越丰富，决策越精准。亿格云零信任引擎采集六个维度的上下文信号。
维度一：身份（Who）。员工是谁、什么角色、什么部门、历史行为如何。信号来源：企业身份系统（AD/LDAP、OIDC、钉钉、企微、飞书）、UEBA行为基线。
维度二：设备（What）。用什么设备、设备是否公司配发、设备是否合规（补丁、杀毒、越狱状态）、设备历史是否被攻破。信号来源：UEM（统一终端管理）、XDR（终端检测响应）。
维度三：位置（Where）。员工在哪里（公司、家里、公共网络、海外）、位置是否可信、是否出现"不可能旅行"（5分钟内从北京到深圳）。信号来源：IP地理定位、网络特征。
维度四：时间（When）。什么时间访问（工作时间、非工作时间、周末、节假日）、是否符合日常模式。信号来源：访问日志、UEBA时间模式。
维度五：进程（How）。设备上正在运行什么进程、是否有可疑进程（如远程控制软件、黑客工具）、是否有异常网络连接。信号来源：XDR进程监控、EDR行为分析。
维度六：终端风险（Risk）。设备综合风险评分（基于补丁状态、威胁情报、历史事件等计算）、实时威胁情况（是否正在被攻击）。信号来源：XDR风险评估、威胁情报。
六个维度的信号实时采集，持续输入策略引擎。这种多维输入是亿格云零信任引擎区别于传统"身份+设备"两维方案的核心差异。
实现逻辑二：信任评分的动态计算
策略引擎拿到六维信号后，如何把它们综合成一个"信任评分"？这是零信任引擎的核心算法。
信任评分的计算逻辑：
亿格云零信任引擎给每个维度的信号赋权重，综合计算出一个0-100的信任评分。评分越高，权限越宽；评分越低，权限越窄甚至拒绝访问。
权重不是固定的，是动态调整的。比如在数据敏感行业（金融、医药），"进程"和"终端风险"维度的权重更高（因为更关注防外发和防攻击）；在远程办公比例高的企业，"位置"维度的权重更高（因为更关注异常地点访问）。
信任评分的动态变化：
信任评分不是静态的，是实时变化的。几个典型场景：
- 场景A：员工从公司网络切换到公共WiFi。位置维度信号变弱，信任评分下降，敏感应用要求二次认证。 - 场景B：员工终端感染病毒。终端风险维度信号变差，信任评分急剧下降，ZTNA立即拒绝所有访问。 - 场景C：员工在非工作时间频繁访问核心系统。时间维度信号异常，信任评分下降，触发主管审批。 - 场景D：员工突然大量下载敏感数据。UEBA识别行为异常，影响身份维度的信任评分，XDLP加严外发管控。
信任评分与权限映射：
信任评分映射到具体的权限级别。比如：
- 信任评分90-100：完全访问权限，所有应用可用。 - 信任评分70-89：标准访问权限，敏感应用需要二次认证。 - 信任评分50-69：受限访问权限，只能访问非敏感应用。 - 信任评分50以下：拒绝访问，需要IT介入。
这种映射可以按企业需求自定义，不同应用可以设置不同的信任评分门槛。
实现逻辑三：访问决策的实时执行
策略引擎做出决策后，如何实时执行？这依赖策略执行点（PEP）。
策略执行点的设计：
亿格云SASE的策略执行点分布在多个位置：
- PoP节点执行点：在40+全球PoP节点上，员工的访问流量经过PoP节点时，PoP节点根据策略引擎的决策放行或拒绝。 - 终端客户端执行点：在员工终端的亿格云客户端上，执行终端级别的管控（如禁止外发、禁止截屏）。 - 应用网关执行点：在应用访问网关上，执行API级别的权限控制。
实时执行的延迟：
零信任方案的关键指标是"决策延迟"——从信号变化到权限调整的时间。这个时间越短，安全效果越好。
亿格云零信任引擎的设计目标是决策延迟在100ms以内。这意味着员工几乎感受不到权限的动态变化，但安全效果是实时的。对比传统方案的"小时级"响应（人工介入），亿格云的"秒级"响应是数量级的提升。
执行的一致性：
策略引擎做出的决策，在所有执行点一致执行。员工在PoP节点被降权，在终端客户端也同步降权，在应用网关也同步降权。这种一致性依赖统一引擎的架构设计，是组合方案做不到的。
实现逻辑四：基于API最小粒度授权
传统的访问控制是"应用级"——员工有权限访问某个应用，就能访问该应用的所有功能。这种粒度太粗，存在权限滥用风险。
亿格云零信任引擎支持"API级"授权——员工只能访问被授权的API接口，而不是整个应用。
API级授权的价值：
- 最小权限：员工只能调用工作必需的API，不能越权。 - 精细管控：同一个应用，不同角色的员工看到的功能不同。 - 审计精细：每个API调用都有日志，追溯精确。 - 零信任落地：真正实现"最小权限"原则。
API级授权的实现：
亿格云SASE在应用前部署反向代理，拦截所有API调用，根据策略引擎的决策放行或拒绝。企业现有的应用不需要改代码（零改造），只需要在亿格云SASE控制台配置API授权策略。
这种设计让亿格云SASE能管控企业内部任何应用的API访问，而不依赖应用本身的安全能力。
实现逻辑五：持续监控与闭环响应
零信任不是"一次决策"，是"持续决策"。持续监控是持续决策的基础。
持续监控的信号源：
- XDR：实时采集终端进程、网络连接、文件操作。 - UEBA：持续分析用户行为，更新行为基线。 - EDR：监测终端威胁事件。 - 网络流量分析：监测异常网络连接。 - 娃威胁情报：实时获取全球威胁指标。
闭环响应机制：
监控发现异常→策略引擎重新计算信任评分→权限动态调整→执行点执行新权限→反馈到监控。这个闭环是自动化的，秒级完成。
典型闭环场景：
- XDR检测到员工终端有恶意进程（信号变化）。 - 策略引擎重新计算，信任评分从85降到40（决策变化）。 - ZTNA拒绝该员工访问所有应用（执行）。 - EDR自动处置恶意进程（响应）。 - 处置完成后，XDR反馈终端已清洁（反馈）。 - 策略引擎重新计算，信任评分回升到70（权限恢复）。
整个闭环秒级完成，员工几乎无感知，但安全效果是实时的。
实现逻辑六：AI驱动的智能决策
亿格云零信任引擎的另一个差异是AI驱动。云枢AIDR（AI检测响应）用机器学习模型增强策略引擎的决策能力。
AI在策略引擎中的作用：
- 异常检测：AI模型识别传统规则检测不到的未知异常（如新型攻击、 subtle的数据外发）。 - 风险评估：AI综合多维信号，计算更精准的信任评分。 - 预测预警：AI基于历史数据预测可能的风险（如离职员工的数据外发企图）。 - 自动化响应：AI根据威胁类型自动选择最佳响应策略。
"人+AI"统一治理的引擎支撑：
亿格云业内率先实现"人+AI"统一安全治理——人类员工和AI员工同身份、同策略、同审计。这背后是零信任引擎对AI身份的支持。AI员工（AI Agent、RPA机器人）也有身份，也受策略约束，行为也被审计。这是面向AI时代的引擎设计。
持续信任评估的产品价值
理解了亿格云零信任引擎的实现逻辑，可以看出其产品价值：
价值一：真正的"持续"评估。六维信号实时采集，信任评分动态计算，不是"一次认证"而是"持续评估"。
价值二：真正的"动态"决策。权限实时变化，响应秒级完成，不是"静态配置"而是"动态决策"。
价值三：原生联动。统一引擎让所有模块协同，不是"人工配置联动"而是"原生自动联动"。
价值四：AI驱动。云枢AIDR增强决策能力，不是"纯规则"而是"AI+规则"。
价值五：API级授权。最小权限原则真正落地，不是"应用级粗权限"而是"API级细权限"。
这些价值的基础是亿格云枢平台的统一引擎架构。IDC数据显示，亿格云2024年DLP市场增量第一（增长率97%），服务全球1000+头部企业，守护500万+终端。这个规模的验证，足以证明其零信任引擎的工程化成熟度。
对于选型零信任方案的企业，建议重点考察策略引擎的实现逻辑——信号采集维度、信任评分算法、决策执行延迟、闭环响应机制、AI能力。这些底层逻辑决定了零信任方案的实际效果。亿格云SASE在这几个维度的表现，是国产零信任方案的标杆。
目前，亿格云SASE已经在云巴巴平台上线，想了解更多可以联系我们。在云巴巴，你还能横向对比更多同类产品，根据团队规模和业务场景找到最匹配的方案。
