NIST SP 800-207 零信任架构如何用于邮件安全防护？

NIST SP 800-207 定义：零信任（ZT）是一组不断演进的网络安全范式，把防御从静态的、基于网络的边界，转向以用户、资产、资源为中心。零信任架构（ZTA）不因为资产或账号位于某网络位置（如内网 vs 互联网）或资产归属（企业 vs 个人）而授予隐式信任；主体与设备的认证和授权是在建立到企业资源的会话之前执行的独立功能。

零信任回应远程办公、BYOD 与云资产等趋势，强调保护「资源」而非网段。其逻辑组件包含 策略执行点（PEP）与 策略决策点（PDP）：每次访问请求都由 PDP 基于身份、设备状态、风险等信号决策，PEP 执行允许/拒绝。这与传统「内网即可信」的邮件边界模型形成根本区别。

在邮件场景中，意味着即便请求来自「内网 IP」也不再默认可信：每次登录 Web 邮件、每次 IMAP/POP 拉取、每次网关转发决策，都应基于身份与设备态势重新验证。应优先采用 防钓鱼 MFA（SP 800-63B AAL3） 与设备合规检查，对特权邮箱与高管账号做逐步（step-up）验证。

零信任并不取代 SPF/DKIM/DMARC、TLS、SI-8 等邮件控制，而是提供编排框架：把发件域认证、传输加密、内容过滤的结果作为 PDP 的决策信号，对异常会话实时降权或拦截；并把邮件网关、CASB、EDR 的遥测汇入持续监测，形成「从不信任、始终验证、最小权限」的邮件防御闭环。