2021年5月，拜登簽署E.O. 14028“提高國家網(wǎng)絡安全防御能力”，要求政府所有部門必須在60天內給出實現(xiàn)零信任架構的計劃。為此，網(wǎng)絡安全和基礎設施安全局（CISA）在2021年9月發(fā)布了零信任成熟度模型（ZTMM）1.0預覽草案；近期，CISA再次發(fā)布了新版ZTMM 2.0草案，盡管該ZTMM是根據(jù)行政命令EO 14028的要求專門為聯(lián)邦機構量身定制的，但所有組織都應審查并考慮采用下文中概述的方法。
誕生背景
最近的網(wǎng)絡事件凸顯了聯(lián)邦政府及大型企業(yè)在確保網(wǎng)絡安全方面所面臨的廣泛挑戰(zhàn)，并表明傳統(tǒng)方法已不足以保護國家免受網(wǎng)絡威脅。在領導國家努力理解、管理和降低網(wǎng)絡風險的過程中，CISA必須迎接新的挑戰(zhàn)，使用清晰、可操作、基于風險的方法來保護聯(lián)邦行政部門。
在制定和修訂本指南時，CISA參考了聯(lián)邦政府發(fā)布的以下ZTA材料：
- 管理和預算辦公室M-22-09——該備忘錄提出了一個聯(lián)邦政府零信任架構戰(zhàn)略，要求各機構在2024財年（FY）結束之前達到特定的網(wǎng)絡安全標準和目標，以強化政府在抵御日益復雜和持續(xù)的威脅活動方面的能力。該戰(zhàn)略強調了企業(yè)身份驗證和訪問控制（包括MFA），要求在可行的情況下盡早加密所有網(wǎng)絡流量，為建立自動化的安全訪問規(guī)則基礎提供支持，并將每個應用程序視為可從互聯(lián)網(wǎng)訪問。
- NIST SP 800-207——NIST SP（國家標準與技術研究院特別出版物） 800-207為企業(yè)安全架構師描述了零信任概念，以幫助理解民用非機密系統(tǒng)的零信任架構，并提供了在企業(yè)環(huán)境實施零信任遷移的路線圖。SP 800-207是多個聯(lián)邦機構之間合作的產物，并由聯(lián)邦首席信息官委員會監(jiān)督。
- 國防部零信任參考架構——國防部（DoD）的零信任參考架構描述了以數(shù)據(jù)為中心的企業(yè)標準和能力，可用于成功推進國防信息網(wǎng)絡（DoDIN）向互操作的零信任最終狀態(tài)的發(fā)展。
- NSA擁抱零信任安全模型——NSA（國家安全局）的“擁抱零信任安全模型”解釋了零信任安全模型的優(yōu)勢和實施挑戰(zhàn)，討論了制定詳細策略、投入必要資源、改進實現(xiàn)的成熟度以及全面致力于零信任模型以實現(xiàn)預期結果的重要性。該文件對考慮采用零信任模型的網(wǎng)絡安全領導者、企業(yè)網(wǎng)絡所有者和管理員將大有裨益。
零信任概念
NIST在SP 800-207中為零信任和ZTA提供了以下定義：
“零信任提供了一系列概念和思想，旨在最大限度地減少策略實施中的不確定性，以便在面對被視為受損的網(wǎng)絡時，基于每個請求為信息系統(tǒng)和服務實施準確的、最低權限訪問策略。ZTA是企業(yè)采用零信任理念制定的網(wǎng)絡安全計劃，包括組件關系、工作流規(guī)劃和訪問策略。因此，零信任企業(yè)作為ZTA計劃的產物，包含網(wǎng)絡基礎架構（物理和虛擬）和運營策略兩大部分。”
《SP 800-207》強調，零信任的目標是“防止對數(shù)據(jù)和服務的未授權訪問，同時使訪問控制的實施盡可能細粒度。”類似地，國家安全電信咨詢委員會（NSTAC）將零信任描述為“一種網(wǎng)絡安全策略，其前提是任何用戶或資源都不能被隱性信任，而是假定妥協(xié)已經發(fā)生或即將發(fā)生，因此，不應該通過位于企業(yè)邊界的單一驗證機制授予用戶訪問敏感信息的權限。相反地，每個用戶、設備、應用程序和會話都必須持續(xù)地進行驗證。”
零信任代表了從“以位置為中心”的模型向“以身份、上下文和數(shù)據(jù)為中心”方法的轉變，并隨時間推移在用戶、系統(tǒng)、應用程序、數(shù)據(jù)和資產之間進行細粒度的安全控制。因此，采用ZTA是一項至關重要的工作，這種轉變?yōu)橹С职踩呗缘拈_發(fā)、實現(xiàn)、執(zhí)行和演進提供了必要的可見性。從根本上說，零信任可能需要組織在其網(wǎng)絡安全理念和文化上做出變革。
需要明確的是，通往零信任的道路是一個逐步的過程，可能需要數(shù)年才能完成。最初，實施零信任所需的技術和服務可能會導致企業(yè)的成本增加，但從長遠來看，零信任向最關鍵數(shù)據(jù)和服務進行的精準投資，將使安全投資更加明智，而非在整個企業(yè)范圍內采用“一刀切”的安全投資。
零信任成熟度模型解讀
ZTMM代表了跨越5個不同支柱的逐步實現(xiàn)零信任優(yōu)化的過程，包括身份（Identity）、設備（Devices）、網(wǎng)絡（Networks）、應用程序和工作負載（Applications and Workloads），以及數(shù)據(jù)（Data）。每個支柱都包含了一些橫跨所有支柱的通用功能：可見性與分析、自動化與編排，以及治理。
【圖1：零信任成熟度模型的支柱與相關能力】
該模型反映了NIST SP 800-207中概述的7個零信任原則：
- 所有數(shù)據(jù)源和計算服務都被視為資源；
- 無論網(wǎng)絡位置如何，所有通信都需要安全防護；
- 以會話（per-session）為單位，對企業(yè)資源訪問進行授權；
- 按照動態(tài)策略確定資源訪問權限；
- 企業(yè)監(jiān)視和衡量所有自有和關聯(lián)資產的完整性和安全姿態(tài)；
- 在允許訪問之前，所有資源都必須經過動態(tài)、嚴格地認證和授權；
- 企業(yè)盡可能多地收集有關資產、網(wǎng)絡基礎設施和通信的狀態(tài)信息，并利用這些信息來改善安全態(tài)勢
隨著各機構向最佳零信任實現(xiàn)過渡，相關解決方案越來越依賴于自動化流程和系統(tǒng)，這些流程和系統(tǒng)更全面地跨支柱集成，并更動態(tài)地執(zhí)行策略決策。每個支柱可以獨立演進發(fā)展，也可能比其他支柱發(fā)展地更快，直到需要進行跨支柱的協(xié)調。然而，這種協(xié)調需要相關支柱能夠在整個企業(yè)范圍和環(huán)境中相互兼容才能實現(xiàn)，這就要求能夠定義一個分步實現(xiàn)的零信任演進路線，以分攤成本，而非一次性全部投入。
根據(jù)NIST提出的零信任實施步驟，各機構在投資零信任能力（包括本模型中概述的支柱和功能）之前，應評估其當前的企業(yè)系統(tǒng)、資源、基礎設施、人員和流程，以幫助各機構識別現(xiàn)有能力，來支持進一步的零信任成熟度并確定優(yōu)先級缺口。各機構還可以規(guī)劃跨支柱協(xié)調能力的機會，以實現(xiàn)細粒度、最小特權訪問控制并緩解額外風險。
從傳統(tǒng)階段（Traditional）到初始（Initial）、高級（Advanced）和最佳（Optimal）三個階段的ZTM之旅，將促進聯(lián)邦ZTA的實施。每個后續(xù)階段對保護能力、實現(xiàn)細節(jié)和技術復雜性都提出了更高的要求。
【圖2：零信任成熟度之旅】
- 傳統(tǒng)階段：手動配置生命周期（從建立到退役除）和屬性分配（安全和日志記錄）；靜態(tài)安全策略和解決方案，一次處理一個支柱與外部系統(tǒng)的離散依賴；只在配置時遵循最小特權原則；孤立的策略執(zhí)行支柱；手動響應和緩解部署；以及依賴關系、日志和監(jiān)測的有限關聯(lián)。
- 初始階段：啟用自動化屬性分配和生命周期管理、策略決策和執(zhí)行，以及與外部系統(tǒng)集成的初始跨支柱解決方案；對配置后的最小特權的一些響應性調整；針對內部系統(tǒng)的聚合可見性。
- 高級階段：在適用的情況下，對跨支柱的策略、配置的生命周期和分配進行自動控制；集中式的可見性和身份控制；跨支柱的策略執(zhí)行集成；對預定義的緩解措施進行響應；基于風險和態(tài)勢評估調整最小特權；構建企業(yè)范圍的感知（包括外部托管資源）。
- 最佳階段：完全自動化的即時生命周期及資產和資源的屬性分配，基于自動/觀察觸發(fā)器的動態(tài)策略進行自我報告；在企業(yè)范圍內對資產及其各自的依賴項實施動態(tài)的最小特權訪問（剛好夠用并在閾值內）；具備持續(xù)監(jiān)控的跨支柱互操作；具備全面態(tài)勢感知的集中可見性。
圖3提供了ZTMM的高級概述，包括每個支柱在不同成熟度階段的關鍵能力，以及在不同成熟度階段的跨支柱能力特性。
【圖3：零信任成熟度模型概覽】
這些成熟度階段以及與每個支柱相關的詳細信息，允許機構評估、規(guī)劃和維護實施ZTA所需的投資。在規(guī)劃ZTA的實施時，各機構應根據(jù)風險、任務和操作限制等因素做出決策。各機構在評估ZTA的影響因素時，仍需考慮與外部合作伙伴、利益相關者和服務提供商的互動和依賴關系。此外，該成熟度模型不應被視為一組嚴格的要求，而應被視為幫助機構成功實施ZTA，并對網(wǎng)絡安全態(tài)勢進行整體改進的通用指南。
身份
身份是指描述機構用戶或實體（包括非人實體）的一個或一組屬性。
各機構應確保并強制用戶和實體在正確的時間，為正確的目的訪問正確的資源，而不授予過度的訪問權限。各機構應盡可能在企業(yè)范圍內集成身份、憑據(jù)和訪問管理解決方案，以強制執(zhí)行強身份驗證、實施基于上下文的授權，并評估機構用戶和實體的身份風險。在適當?shù)那闆r下，各機構應整合其身份存儲和管理系統(tǒng)，以增強對企業(yè)身份、職責和權限的認知。
下表列出了零信任架構中“身份”的相關功能，及其在可見性與分析、自動化與編排，以及治理方面的考慮。
|
功能 |
傳統(tǒng)階段 |
初始階段 |
高級階段 |
最佳階段 |
|
身份認證 |
在靜態(tài)訪問授權中，使用密碼或多因素認證（MFA）對實體身份進行認證。 |
使用MFA對身份進行驗證，將密碼作為MFA中的一種認證方式，并要求驗證多個實體屬性（例如場所或活動）。 |
使用抗釣魚攻擊的MFA和屬性對所有身份進行身份驗證，包括通過FIDO2或PIV實現(xiàn)的無密碼MFA的最初實現(xiàn)。 |
持續(xù)使用抗釣魚攻擊的MFA對身份進行驗證，而不僅僅是在最初授權時進行認證。 |
|
身份存儲庫 |
只使用自主管理的本地身份存儲庫（計劃、部署和維護均由自行承擔）。 |
同時使用自主管理的和托管（例如，云或其他機構）的身份存儲庫，存儲庫之間實現(xiàn)了較少的集成（例如，單點登錄）。 |
開始合并和整合一些自主管理的和托管的身份存儲庫。 |
根據(jù)需要在所有合作伙伴和環(huán)境中安全地整合身份存儲庫。 |
|
風險評估 |
對身份風險進行有限的判斷（即身份被竊取的可能性）。 |
使用手動方法和靜態(tài)規(guī)則來確定身份風險，以支持可見性。 |
使用一些自動化分析和動態(tài)規(guī)則來確定身份風險，以支持訪問決策和響應活動。 |
基于持續(xù)分析和動態(tài)規(guī)則，實時地確定身份風險，以提供持續(xù)性保護。 |
|
訪問管理（新增） |
永久性訪問授權，并對特權和非特權賬戶進行周期性審核。 |
對訪問（包括特權訪問）進行授權，并通過自動審核使訪問權限過期失效。 |
提供對基于需求和基于會話的訪問（包括特權訪問請求）授權，以適應不同操作和資源。 |
使用自動化來實現(xiàn)即時和適量的授權，以滿足個人的操作和資源需求。 |
|
可見性和分析 |
收集用戶和實體的活動日志（特別是特權憑據(jù)），并進行例行的手動分析。 |
收集用戶和實體活動日志，進行例行的手動分析和部分自動分析，不同類型的日志僅實現(xiàn)了少量關聯(lián)。 |
在某些類型的用戶和實體活動日志上進行自動化分析，并增加收集范圍以解決可見性缺口。 |
通過對用戶活動日志（包括基于行為的分析）進行自動化分析，維護企業(yè)范圍的全面可見性和態(tài)勢感知。 |
|
自動化和編排 |
手動對自管理身份（用戶和實體）進行編排（入職、離職），集成性較少，并定期進行審查。 |
手動對特權和外部身份進行編排，并自動編排非特權用戶和自管理實體。 |
手動編排特權用戶身份，并在所有環(huán)境中集成實現(xiàn)所有身份的自動編排。 |
基于行為、注冊和部署需求，在所有環(huán)境中實現(xiàn)完全集成的所有身份自動編排。 |
|
治理 |
通過靜態(tài)技術和人工審核實施身份策略（認證、憑證、訪問、生命周期等）。 |
在企業(yè)范圍內定義并實施具有少量自動化、并通過人工更新的身份策略。 |
在企業(yè)范圍內實現(xiàn)自動化、并定期更新的身份策略。 |
在企業(yè)范圍內，為所有用戶和實體實現(xiàn)針對所有系統(tǒng)的自動化身份策略，能夠實現(xiàn)持續(xù)的策略實施和動態(tài)更新。 |
設備
設備是指可以連接到網(wǎng)絡的任何資產（包括其硬件、軟件、固件等），包括服務器、臺式機、筆記本電腦、打印機、手機、物聯(lián)網(wǎng)設備、網(wǎng)絡設備等。
設備可以是機構所有的資產，也可以是員工、合作伙伴或訪客的自帶設備（BYOD）資產。機構應確保所有自有設備的安全性，管理非機構控制的授權設備的風險，以阻止未授權設備訪問資源。設備管理包括維護所有資產（包括其硬件、軟件、固件等）的動態(tài)清單、配置信息及相關漏洞。
許多設備存在特定的ZTA挑戰(zhàn)，必須根據(jù)具體情況進行評估，作為基于風險的流程的一部分。例如，網(wǎng)絡設備、打印機等設備可能只提供有限的身份驗證、可見性和安全性選項。采取BYOD政策的機構可能會有更少的選項來保持這些設備的可見性和控制。隨著技術環(huán)境的不斷變化，機構也將繼續(xù)采用更多的設備來管理這些不斷演變的設備相關風險。在某些情況下，本指南可能無法適用于各機構的特定設備。各機構也將面臨確?？尚旁O備及其服務未達到使用壽命并仍在其生命周期支持范圍內的挑戰(zhàn)，因為遺留設備通常會存在更多未解決的漏洞、易受攻擊的配置和未知的風險。
然而，盡管存在這些挑戰(zhàn)，各機構仍然應該能夠在實現(xiàn)ZTA方面取得重大進展。本地計算資產管理涉及記錄和管理物理資產（設備）。隨著各機構逐漸遷移至云，這為管理和跟蹤機構的云和虛擬資產創(chuàng)造了新的機會。云資產包括計算資源（如虛擬機、服務器或容器）、存儲資源（如塊存儲或文件存儲）、平臺資產（如數(shù)據(jù)庫、Web服務器、消息總線/隊列）和網(wǎng)絡資源（如虛擬網(wǎng)絡、VPN、網(wǎng)關、DNS服務等），以及其他與托管云服務相關的虛擬資源（如人工智能模型）。
下表列出了零信任架構中“設備”的相關功能和能力，及其在可見性與分析、自動化與編排，以及治理方面的考慮。
|
功能 |
傳統(tǒng)階段 |
初始階段 |
高級階段 |
最佳階段 |
|
策略實施和合規(guī)監(jiān)控（新增） |
在策略實施或管理軟件、配置及漏洞方面，只有少量的方法，缺乏與設備合規(guī)相關的可見性。 |
能接收自報告的設備特征（例如，設備上的密鑰、令牌、用戶等），但其執(zhí)行機制非常有限。機構已經初步建立了軟件準入的基本流程，并能將更新和配置推送到設備上。 |
能夠在初始使用設備時，對設備進行合規(guī)認證（即管理員可以檢查和驗證設備上的數(shù)據(jù)），并對大多數(shù)設備和虛擬資產實施合規(guī)策略。使用自動化方法來管理設備和虛擬資產、審批軟件、識別漏洞和安裝補丁。 |
在設備和虛擬資產的整個生命周期中，持續(xù)檢查并執(zhí)行合規(guī)策略。將設備、軟件、配置和漏洞管理整合到所有機構環(huán)境中，包括虛擬資產。 |
|
資產和供應鏈風險管理（新增） |
未以全企業(yè)或跨供應商的方式，跟蹤物理或虛擬資產，而是采用臨時性的方式對設備和服務供應鏈進行管理，對企業(yè)風險的認識非常有限。 |
跟蹤所有物理和部分虛擬資產，并按照聯(lián)邦建議，使用風險框架（例如NIST SCRM）建立策略和控制基線，來管理供應鏈風險。 |
通過自動化流程來開發(fā)全面的企業(yè)物理、虛擬資產視圖，可跨多個供應商驗證資產獲取、跟蹤開發(fā)周期，并提供第三方評估。 |
擁有全面、實時或接近實時的、跨供應商和服務提供商的資產視圖，在適當情況下，自動化其供應鏈風險管理，建立能容忍供應鏈故障的操作，并融入最佳實踐。 |
|
資源訪問（原數(shù)據(jù)訪問） |
在訪問資源時，未要求對設備或虛擬資產的可見性。 |
要求某些設備或虛擬資產報告其特征，然后利用這些信息授權資源訪問。 |
在初始資源訪問時考慮設備的驗證情況或虛擬資產的可見性。 |
資源訪問時考慮設備和虛擬資產內的實時風險分析。 |
|
設備威脅保護（新增） |
對部分設備手動部署了威脅保護功能。 |
具有一些自動化流程，用于將威脅保護能力部署和更新到設備和虛擬資產中，并集成了少量的策略執(zhí)行和合規(guī)監(jiān)控。 |
將威脅保護能力整合到面向設備和虛擬資產的集中式解決方案中，并將其中的大部分能力與策略執(zhí)行和合規(guī)監(jiān)控集成。 |
為所有設備和虛擬資產部署了具有先進功能的集中式威脅保護安全解決方案，并采用統(tǒng)一方法解決設備威脅保護、策略實施和合規(guī)監(jiān)控。 |
|
可見性和分析 |
使用物理標簽清單和有限的軟件監(jiān)控，定期手動查看和分析設備信息。 |
使用數(shù)字標識符（例如接口地址、數(shù)字化標記）、手動清單和終端監(jiān)控（若可用）來監(jiān)測設備。部分設備和虛擬資產能通過自動化分析（例如軟件掃描器），執(zhí)行基于風險的異常檢測。 |
實現(xiàn)清單的自動化采集（包括所有標準用戶設備上的終端監(jiān)控，例如臺式機、筆記本電腦、手機、平板電腦及其虛擬資產）和異常檢測（檢測未授權設備）。 |
自動化采集所有可接入網(wǎng)絡的設備和虛擬資產的狀態(tài)，并與身份關聯(lián)、執(zhí)行端點監(jiān)控和異常檢測，為資源訪問授權提供信息。跟蹤虛擬資產的供應和銷毀模式以監(jiān)測異常。 |
|
自動化和編排 |
在企業(yè)范圍內，手動完成設備供應、配置和注冊。 |
使用工具和腳本來自動化處理流程，包括設備和虛擬資產的供應、配置、注冊和銷毀。 |
實施了監(jiān)控和策略執(zhí)行機制，能識別、手動斷開或隔離不符合規(guī)定（易受攻擊、未經驗證的證書、未注冊的MAC地址）的設備和虛擬資產。 |
擁有全自動的流程，用以實現(xiàn)設備及虛擬資產的供應、注冊、監(jiān)控、隔離、修復和銷毀。 |
|
治理 |
制定了針對傳統(tǒng)外設的生命周期策略，但依賴人工流程來維護（例如更新、打補丁、殺毒）這些設備。 |
制定并實施了設備采購、非傳統(tǒng)計算設備和虛擬資產的生命周期策略，并定期對設備進行監(jiān)測和掃描。 |
為設備和虛擬資產制定了企業(yè)級的生命周期策略，包括設備枚舉和問責，并實現(xiàn)了一些自動實施機制。 |
對企業(yè)范圍內、所有可連接網(wǎng)絡的設備和虛擬資產實現(xiàn)了自動化的生命周期策略。 |
網(wǎng)絡
網(wǎng)絡是指一個開放的通信媒介，包括傳統(tǒng)的通道（如機構內部網(wǎng)絡、無線網(wǎng)絡和互聯(lián)網(wǎng)）以及其他通道（如用于傳輸信息的蜂窩和應用程序級通道等）。
ZTA實現(xiàn)了從傳統(tǒng)的“以邊界為中心”的安全方法的改變，允許機構管理內部和外部流量、隔離主機、強制加密、分段活動，并增強了企業(yè)網(wǎng)絡的可見性。ZTA允許在更接近應用程序、數(shù)據(jù)和其他資源的位置實現(xiàn)安全控制，并增強傳統(tǒng)的基于網(wǎng)絡的保護措施，提高了深度防御能力。
下表列出了零信任架構中“網(wǎng)絡”的相關功能和能力，及其在可見性與分析、自動化與編排，以及治理方面的考慮。
|
功能 |
傳統(tǒng)階段 |
初始階段 |
高級階段 |
最佳階段 |
|
網(wǎng)絡分段 |
使用大邊界/宏分段來定義網(wǎng)絡架構，網(wǎng)段內的連通性基本不受約束。也可能依賴多服務互連（例如，不同流量按批量使用VPN隧道）的方案。 |
在網(wǎng)絡架構對關鍵工作負載進行隔離，按最低權限原則限制連通性，并向特定服務互連的網(wǎng)絡架構過渡。 |
在入向/出向微邊界和特定服務互連框架中，擴展終端和基于應用程序概要的隔離機制。 |
網(wǎng)絡架構由完全分布式的入向/出向微邊界和基于應用程序概要的微分段組成，動態(tài)實現(xiàn)即時和適度連通性，以實現(xiàn)特定服務的互連。 |
|
網(wǎng)絡流量管理（新增） |
在服務提供過程中，人工實施靜態(tài)網(wǎng)絡規(guī)則和配置來管理流量，僅具有有限的監(jiān)控能力（例如應用程序性能監(jiān)控或異常檢測），對關鍵業(yè)務應用的配置變更通過人工進行審計和審核。 |
建立具有不同流量管理特征的應用程序概述，并將所有應用程序映射到這些概述。將靜態(tài)規(guī)則擴展應用程序到所有應用程序，并對應用程序概要進行定期手動審計。 |
實施動態(tài)網(wǎng)絡規(guī)則和配置，以進行資源優(yōu)化，這些規(guī)則和配置根據(jù)自動風險感知和具備風險響應的應用程序概述評估和監(jiān)控，定期進行調整。 |
實施不斷演變的動態(tài)網(wǎng)絡規(guī)則和配置，以滿足應用程序概述的需求，根據(jù)關鍵任務、風險等因素重新確定應用程序優(yōu)先級。 |
|
流量加密（原加密） |
對少量流量實施加密，并依靠手動或臨時流程來管理和保護加密密鑰。 |
對所有流向內部應用程序的流量進行加密，對外部應用的流量進行盡可能的加密，規(guī)范化密鑰管理策略，并保護服務器/服務的加密密鑰。 |
所有應用程序的內部和外部流量均使用協(xié)議加密，對密鑰和證書的簽發(fā)和更換實施管理，并引入密碼敏捷實踐。 |
持續(xù)根據(jù)需求加密流量，在企業(yè)范圍執(zhí)行最低權限原則，以保證密鑰的安全管理，并盡可能廣泛地采用密碼敏捷實踐。 |
|
網(wǎng)絡彈性（新增） |
根據(jù)單個應用程序的可用性需求，按個案配置網(wǎng)絡能力，只能提供適用于非關鍵任務負載的有限彈性。 |
通過配置網(wǎng)絡能力，管理其他應用程序的可用性要求，并擴展非關鍵任務負載的彈性機制。 |
網(wǎng)絡功能的配置能動態(tài)管理大部分應用程序的可用性需求和彈性機制。 |
能感知所有工作負載的可用性需求變化，并集成全面的交付，提供相應的彈性機制。 |
|
可見性和分析 |
通過以網(wǎng)絡邊界為中心的有限監(jiān)控和分析，開始開發(fā)集中式的態(tài)勢感知。 |
采用基于已知入侵指標（包括網(wǎng)絡枚舉）的網(wǎng)絡監(jiān)控，在每個網(wǎng)絡環(huán)境中開發(fā)態(tài)勢感知，并將各種環(huán)境中的不同流量關聯(lián)起來，進行分析和威脅檢測。 |
通過基于異常的網(wǎng)絡檢測能力，在所有環(huán)境中開發(fā)態(tài)勢感知，并將多來源的監(jiān)測信息進行關聯(lián)以進行分析，并采用自動化流程進行強大的威脅獵殺。 |
在啟用企業(yè)范圍態(tài)勢感知和監(jiān)控能力的同時，維持對所有網(wǎng)絡和環(huán)境中的通信可見性，并自動對所有檢測源的監(jiān)測信息進行關聯(lián)。 |
|
自動化和編排 |
使用手動流程來管理網(wǎng)絡、環(huán)境的配置和資源生命周期，定期整合策略要求和態(tài)勢感知。 |
使用自動化方法來管理某些網(wǎng)絡、環(huán)境的配置和資源生命周期，并確保所有資源都基于策略和監(jiān)測數(shù)據(jù)定義了生命周期。 |
使用自動化的變更管理方法（如CI/CD）來管理所有網(wǎng)絡、環(huán)境的配置和資源生命周期，能夠對感知到的風險進行響應、執(zhí)行策略和保護。 |
網(wǎng)絡和環(huán)境由基礎設施即代碼（IoC）來定義，并實現(xiàn)自動化的變更管理方法，包括自動的初始化和過期失效，以應對不斷變化的需求。 |
|
治理 |
通過以邊界保護為中心的方法，實施靜態(tài)的網(wǎng)絡策略（訪問、協(xié)議、分段、警告和修復）。 |
針對每個網(wǎng)絡分段和資源制定并實施相應的策略，并適當沿用企業(yè)級策略規(guī)則。 |
在實施個性化策略時引入了自動化，促進從聚焦邊界的保護向未來過渡。 |
實施企業(yè)范圍的網(wǎng)絡策略，使基于應用和用戶工作流的策略定制、局部控制、動態(tài)更新和安全外連成為可能。 |
應用程序和工作負載
應用程序和工作負載包括在本地環(huán)境、移動設備和云環(huán)境中運行的系統(tǒng)、計算機程序和服務。
各機構應管理和保護其部署的應用程序，并確保安全的應用程序交付。細粒度訪問控制和集成的威脅防護可以提供增強的態(tài)勢感知，并減輕特定于應用程序的威脅。各機構還應探索一些新的選擇，將運營重點從認證邊界和更新ATO（Authorization to Operate），逐漸轉向對應用程序自身的支持，使其無論是從內部訪問，還是從外部訪問都具有相同的安全性。
下表列出了零信任架構中“應用程序和工作負載”的相關功能和能力，及其在可見性與分析、自動化與編排，以及治理方面的考慮。
|
功能 |
傳統(tǒng)階段 |
初始階段 |
高級階段 |
最佳階段 |
|
應用訪問（原訪問授權） |
主要基于靜態(tài)屬性對應用訪問實施本地授權。 |
采用上下文信息（如身份、設備合規(guī)性和/或其他屬性）實施對應用的每個訪問請求進行授權，并設置授權的過期時間。 |
使用擴展的上下文信息自動化應用程序的訪問決策，并依據(jù)最小特權原則設置相應的過期條件。 |
對應用程序實施持續(xù)的訪問授權，并引入實時的風險分析和因素，如行為/使用模式等。 |
|
應用威脅保護（原威脅保護） |
僅實現(xiàn)了威脅保護與應用工作流的少量集成，能針對已知威脅提供一般性防護。 |
將威脅保護集成到關鍵業(yè)務應用的工作流中，能針對已知威脅和一些特定應用的威脅提供保護。 |
將威脅保護集成到所有應用的工作流中，保護某些特定于應用程序和有針對性的威脅。 |
將高級威脅保護集成到所有應用工作流中，提供實時可見性和內容感知保護，以應對特定于應用程序的復雜攻擊。 |
|
可訪問應用（原可訪問性） |
關鍵應用僅在私有網(wǎng)絡和帶監(jiān)控的安全公共網(wǎng)絡連接（例如VPN）上可用。 |
根據(jù)需求，通過代理連接的方式，將部分適用的關鍵任務應用提供給授權用戶在開放的公共網(wǎng)絡中使用。 |
根據(jù)需要，把大部分適用的關鍵任務應用通過開放的公共網(wǎng)絡連接提供給授權用戶使用。 |
根據(jù)需要，把所有適用的應用通過開放的公共網(wǎng)絡提供給授權用戶和設備使用。 |
|
開發(fā)和部署工作流（新增） |
使用非正式的開發(fā)、測試和生產環(huán)境，缺乏完善的代碼部署機制。 |
采用具備規(guī)范的代碼部署機制的基礎架構來支持開發(fā)、測試和生產環(huán)境（包括自動化），通過CI/CD流水線和必要的訪問控制來，來支持最小特權原則。 |
由不同團隊完成開發(fā)、安全和運營，并取消開發(fā)人員在代碼部署時對生產環(huán)境的訪問權限。 |
在可行的情況下充分利用非可變工作負載，更改只能通過重新部署生效，并取消管理員對部署環(huán)境的訪問權限，以支持自動化的代碼部署流程。 |
|
應用安全測試（原應用安全） |
在部署之前進行應用安全測試，主要通過手動測試方法。 |
在應用部署前的安全測試中，使用靜態(tài)和動態(tài)（即應用程序正在執(zhí)行）測試方法，包括手動的專家分析。 |
將應用安全測試整合到應用程序開發(fā)和部署流程中，包括使用周期性的動態(tài)測試方法。 |
在企業(yè)軟件開發(fā)生命周期中全面整合應用程序安全測試，在已部署應用程序中進行例行自動化測試。 |
|
可見性和分析 |
對關鍵業(yè)務應用進行了一些性能和安全監(jiān)控，但聚合和分析能力有限。 |
自動采集應用信息（例如狀態(tài)、健康度和性能）和安全監(jiān)控，以改進日志收集、集成和分析。 |
通過啟發(fā)式技術，自動化地對大部分應用程序進行信息采集和安全監(jiān)控，以識別應用程序特有的和企業(yè)整體的趨勢，并逐步完善流程以填補可見性中存在的缺口。 |
在所有應用程序上執(zhí)行持續(xù)、動態(tài)的監(jiān)控，以保持企業(yè)范圍內全面的可見性。 |
|
自動化和編排 |
通過手動方式，在應用資源分配階段，設立靜態(tài)的應用托管位置和訪問權限，并進行有限維護和審查。 |
定期修改應用配置（包括位置和訪問權限），以滿足相關的安全和性能目標。 |
自動處理應用程序配置，以應對運營和環(huán)境變化。 |
自動處理應用程序配置，以持續(xù)優(yōu)化安全性和性能。 |
|
治理 |
主要依靠手動執(zhí)行策略來實現(xiàn)對應用訪問、開發(fā)、部署、軟件資產管理、安全測試和評估（ST＆E）的管理，包括技術插入、修補漏洞和跟蹤軟件依賴。 |
根據(jù)任務需求（例如，軟件物料清單）來自動執(zhí)行策略進行規(guī)范，通過自動化方式實現(xiàn)對應用程序開發(fā)、部署、軟件資產管理、ST＆E，及技術插入、打補丁和跟蹤軟件依賴關系等方面的管理和監(jiān)管。 |
為應用實施分層、定制的企業(yè)范圍內的策略，覆蓋開發(fā)和部署生命周期的所有方面，并盡可能利用自動化的策略執(zhí)行。 |
完全自動化的應用開發(fā)和部署策略，包括通過CI/CD流程動態(tài)更新應用程序。 |
數(shù)據(jù)
數(shù)據(jù)包括駐留或曾經駐留在系統(tǒng)、設備、網(wǎng)絡、應用程序、數(shù)據(jù)庫、基礎設施和備份（包括本地和虛擬環(huán)境）以及相關元數(shù)據(jù)中的所有結構化和非結構化的文件和片段。
按照聯(lián)邦政府要求，各機構的數(shù)據(jù)應該在設備、應用程序和網(wǎng)絡上得到保護。各機構應清點、分類和標記數(shù)據(jù)；保護靜止和傳輸中的數(shù)據(jù)；并部署檢測和阻止數(shù)據(jù)外泄的相關機制。各機構應仔細制定和審查數(shù)據(jù)治理策略，以確保在整個企業(yè)中適當?shù)貓?zhí)行基于數(shù)據(jù)生命周期的安全管理。
下表列出了零信任架構中“數(shù)據(jù)”的相關功能和能力，及其在可見性與分析、自動化與編排，以及治理方面的考慮。
|
功能 |
傳統(tǒng)階段 |
初始階段 |
高級階段 |
最佳階段 |
|
數(shù)據(jù)清單管理 |
人工識別部分數(shù)據(jù)（例如，關鍵業(yè)務數(shù)據(jù)），并為其建立清單。 |
采用自動化的數(shù)據(jù)清單流程，覆蓋本地和云環(huán)境中的大部分數(shù)據(jù)，并引入防數(shù)據(jù)丟失的保護措施。 |
在企業(yè)范圍內自動建立數(shù)據(jù)清單和跟蹤，覆蓋所有適用的機構數(shù)據(jù)，并采用基于靜態(tài)屬性和/或標簽的數(shù)據(jù)防泄漏策略。 |
持續(xù)維護所有適用數(shù)據(jù)的清單，并采用強大的數(shù)據(jù)防泄漏策略，動態(tài)阻止可疑的數(shù)據(jù)泄露。 |
|
數(shù)據(jù)分類（新增） |
采用了有限的、非正式的數(shù)據(jù)分類。 |
實現(xiàn)數(shù)據(jù)分類策略，具備明確的標簽定義和手動執(zhí)行機制。 |
以一致、分級、有針對性的方式自動化了一些數(shù)據(jù)分類和標記過程，并使用簡單、結構化的格式和定期審查來管理。 |
通過強大的技術和機制，在企業(yè)范圍內采用細粒度、結構化格式自動對所有數(shù)據(jù)執(zhí)行分類和標記。 |
|
數(shù)據(jù)可用性（新增） |
主要由本地數(shù)據(jù)庫提供數(shù)據(jù)，同時提供了一些異地備份。 |
可以從冗余、高可用的數(shù)據(jù)存儲庫（例如，云）中提供一些數(shù)據(jù)，并為本地數(shù)據(jù)維護了異地備份。 |
主要從冗余、高可用的數(shù)據(jù)存儲庫中提供數(shù)據(jù)，并確?？梢栽L問歷史數(shù)據(jù)。 |
使用動態(tài)方法根據(jù)用戶和實體的需求調整優(yōu)化數(shù)據(jù)可用性，包括歷史數(shù)據(jù)。 |
|
數(shù)據(jù)訪問 |
通過靜態(tài)訪問控制，管理用戶和實體的數(shù)據(jù)訪問（例如，讀取、寫入、復制、授權他人訪問等）權限。 |
開始部署自動化的數(shù)據(jù)訪問控制，在企業(yè)范圍內引入最低特權原則。 |
在自動化數(shù)據(jù)訪問控制中，考慮采用各種屬性，如身份、設備風險、應用程序、數(shù)據(jù)類別等，并在適當情況下進行時間限制。 |
在企業(yè)范圍內自動執(zhí)行即時（JIT）和恰到好處的數(shù)據(jù)訪問控制，并持續(xù)審查權限。 |
|
數(shù)據(jù)加密 |
只對必要的數(shù)據(jù)進行最低限度的加密，包括數(shù)據(jù)存儲和傳輸過程中的加密，并依賴手動或臨時流程來管理和保護加密密鑰。 |
對所有傳輸中的數(shù)據(jù)進行了加密，可行的話，還對數(shù)據(jù)存儲（例如，關鍵業(yè)務數(shù)據(jù)和存儲在外部環(huán)境中的數(shù)據(jù)）進行了加密，并開始規(guī)范密鑰管理策略和強化加密密鑰。 |
盡最大可能對企業(yè)范圍內的所有存儲、傳輸數(shù)據(jù)進行加密，開始采用密碼敏捷性，并保護加密密鑰（即，不使用硬編碼密鑰，并定期輪換）。 |
在必要時，對使用中的數(shù)據(jù)進行加密，在企業(yè)范圍內執(zhí)行最小權限原則以進行安全密鑰管理，并盡可能使用最新的NIST標準和密碼敏捷性來應用加密技術。 |
|
可見性和分析 |
對數(shù)據(jù)位置、訪問和使用的可見性非常有限，主要依賴手動流程進行分析。 |
通過數(shù)據(jù)清單管理、分類、加密和訪問嘗試來獲得可見性，還結合了一些自動化分析和相關性分析。 |
采用自動化分析和相關性分析，在企業(yè)范圍內維護更全面的數(shù)據(jù)可見性，并開始采用預測分析。 |
能夠全面跟蹤數(shù)據(jù)生命周期，具備強大的分析能力，包括預測分析，支持全面的數(shù)據(jù)視圖和持續(xù)的安全狀況評估。 |
|
自動化和編排 |
通過手動和非正式的流程實施數(shù)據(jù)的生命周期管理和安全策略（例如，訪問、使用、存儲、加密、配置、保護、備份、分類、清洗）。 |
使用了一些自動流程來實施數(shù)據(jù)的生命周期管理和安全策略。 |
在企業(yè)范圍內，以一致、分級、有針對性的自動化方式對大部分數(shù)據(jù)實施數(shù)據(jù)生命周期管理和安全策略。 |
在企業(yè)范圍內，盡可能自動化地實施所有數(shù)據(jù)的生命周期管理和安全策略。 |
|
治理 |
手動實施非正式的數(shù)據(jù)治理策略（例如，保護、分類、訪問、清單化、存儲、恢復、清除等）。 |
定義高級的數(shù)據(jù)治理策略，主要依賴手動、分段實施。 |
在整個企業(yè)范圍內集成數(shù)據(jù)生命周期的策略執(zhí)行機制，實現(xiàn)數(shù)據(jù)治理策略的統(tǒng)一定義。 |
數(shù)據(jù)的生命周期策略盡可能統(tǒng)一一致，并在整個企業(yè)范圍內動態(tài)執(zhí)行。 |
跨支柱能力
可見性和分析、自動化和編排、治理的跨支柱能力，為推進跨五大支柱的集成提供了機會?？梢娦院头治鲋С秩娴目梢娦裕瑸椴呗詻Q策提供信息并促進響應活動；自動化和編排利用這些見解來支持強大的簡化操作，以處理安全事件并在事件出現(xiàn)時對其進行響應；治理使各機構能夠管理和監(jiān)測其監(jiān)管、法律、環(huán)境、聯(lián)邦和運營需求，以支持基于風險的決策制定，還可以確保通過采用正確的人員、流程和技術，實現(xiàn)任務、風險和合規(guī)目標。
下表提供了每種跨支柱能力的成熟度演進情況：
|
功能 |
傳統(tǒng)階段 |
初始階段 |
高級階段 |
最佳階段 |
|
可見性和分析 |
在企業(yè)范圍內，手動收集有限的日志，日志質量較差，且僅進行了最基本的分析。 |
自動收集和分析關鍵業(yè)務的日志和事件，并定期評估可見性方面的缺口。 |
擴大了自動化日志和事件的收集范圍（包括虛擬環(huán)境），以進行跨多個來源的集中式關聯(lián)分析。 |
通過對日志和事件的集中、動態(tài)監(jiān)控和高級分析，實現(xiàn)企業(yè)范圍內的全面可見性。 |
|
自動化和編排 |
依靠靜態(tài)和手動流程，來編排操作和響應活動，自動化程度有限。 |
自動化編排和響應活動，以支持關鍵任務功能。 |
在企業(yè)范圍內，實現(xiàn)自動化編排和響應活動，并利用多源上下文信息來指導策略決策。 |
編排和響應活動能動態(tài)響應整個企業(yè)范圍內的需求和環(huán)境變化。 |
|
治理 |
在整個企業(yè)中以非正式方式實施策略，主要通過手動流程或靜態(tài)技術執(zhí)行策略。 |
定義并實施適用于整個企業(yè)范圍的策略，但缺乏自動化，需要手動更新。 |
實施分層和定制的企業(yè)級策略，并盡可能利用自動化技術來支持策略執(zhí)行。訪問控制策略的決策利用了多源上下文信息。 |
實施完全自動化的企業(yè)級策略，能通過持續(xù)的策略執(zhí)行和動態(tài)更新，實現(xiàn)定制化的本地控制。 |
原文鏈接：https://www.cisa.gov/sites/default/files/2023-04/zero_trust_maturity_model_v2_508.pdf
