2021年5月，拜登簽署E.O. 14028“提高國家網(wǎng)絡(luò)安全防御能力”，要求政府所有部門必須在60天內(nèi)給出實現(xiàn)零信任架構(gòu)的計劃。為此，網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局（CISA）在2021年9月發(fā)布了零信任成熟度模型（ZTMM）1.0預(yù)覽草案；近期，CISA再次發(fā)布了新版ZTMM 2.0草案，盡管該ZTMM是根據(jù)行政命令EO 14028的要求專門為聯(lián)邦機構(gòu)量身定制的，但所有組織都應(yīng)審查并考慮采用下文中概述的方法。
誕生背景
最近的網(wǎng)絡(luò)事件凸顯了聯(lián)邦政府及大型企業(yè)在確保網(wǎng)絡(luò)安全方面所面臨的廣泛挑戰(zhàn)，并表明傳統(tǒng)方法已不足以保護(hù)國家免受網(wǎng)絡(luò)威脅。在領(lǐng)導(dǎo)國家努力理解、管理和降低網(wǎng)絡(luò)風(fēng)險的過程中，CISA必須迎接新的挑戰(zhàn)，使用清晰、可操作、基于風(fēng)險的方法來保護(hù)聯(lián)邦行政部門。
在制定和修訂本指南時，CISA參考了聯(lián)邦政府發(fā)布的以下ZTA材料：
- 管理和預(yù)算辦公室M-22-09——該備忘錄提出了一個聯(lián)邦政府零信任架構(gòu)戰(zhàn)略，要求各機構(gòu)在2024財年（FY）結(jié)束之前達(dá)到特定的網(wǎng)絡(luò)安全標(biāo)準(zhǔn)和目標(biāo)，以強化政府在抵御日益復(fù)雜和持續(xù)的威脅活動方面的能力。該戰(zhàn)略強調(diào)了企業(yè)身份驗證和訪問控制（包括MFA），要求在可行的情況下盡早加密所有網(wǎng)絡(luò)流量，為建立自動化的安全訪問規(guī)則基礎(chǔ)提供支持，并將每個應(yīng)用程序視為可從互聯(lián)網(wǎng)訪問。
- NIST SP 800-207——NIST SP（國家標(biāo)準(zhǔn)與技術(shù)研究院特別出版物） 800-207為企業(yè)安全架構(gòu)師描述了零信任概念，以幫助理解民用非機密系統(tǒng)的零信任架構(gòu)，并提供了在企業(yè)環(huán)境實施零信任遷移的路線圖。SP 800-207是多個聯(lián)邦機構(gòu)之間合作的產(chǎn)物，并由聯(lián)邦首席信息官委員會監(jiān)督。
- 國防部零信任參考架構(gòu)——國防部（DoD）的零信任參考架構(gòu)描述了以數(shù)據(jù)為中心的企業(yè)標(biāo)準(zhǔn)和能力，可用于成功推進(jìn)國防信息網(wǎng)絡(luò)（DoDIN）向互操作的零信任最終狀態(tài)的發(fā)展。
- NSA擁抱零信任安全模型——NSA（國家安全局）的“擁抱零信任安全模型”解釋了零信任安全模型的優(yōu)勢和實施挑戰(zhàn)，討論了制定詳細(xì)策略、投入必要資源、改進(jìn)實現(xiàn)的成熟度以及全面致力于零信任模型以實現(xiàn)預(yù)期結(jié)果的重要性。該文件對考慮采用零信任模型的網(wǎng)絡(luò)安全領(lǐng)導(dǎo)者、企業(yè)網(wǎng)絡(luò)所有者和管理員將大有裨益。
零信任概念
NIST在SP 800-207中為零信任和ZTA提供了以下定義：
“零信任提供了一系列概念和思想，旨在最大限度地減少策略實施中的不確定性，以便在面對被視為受損的網(wǎng)絡(luò)時，基于每個請求為信息系統(tǒng)和服務(wù)實施準(zhǔn)確的、最低權(quán)限訪問策略。ZTA是企業(yè)采用零信任理念制定的網(wǎng)絡(luò)安全計劃，包括組件關(guān)系、工作流規(guī)劃和訪問策略。因此，零信任企業(yè)作為ZTA計劃的產(chǎn)物，包含網(wǎng)絡(luò)基礎(chǔ)架構(gòu)（物理和虛擬）和運營策略兩大部分。”
《SP 800-207》強調(diào)，零信任的目標(biāo)是“防止對數(shù)據(jù)和服務(wù)的未授權(quán)訪問，同時使訪問控制的實施盡可能細(xì)粒度。”類似地，國家安全電信咨詢委員會（NSTAC）將零信任描述為“一種網(wǎng)絡(luò)安全策略，其前提是任何用戶或資源都不能被隱性信任，而是假定妥協(xié)已經(jīng)發(fā)生或即將發(fā)生，因此，不應(yīng)該通過位于企業(yè)邊界的單一驗證機制授予用戶訪問敏感信息的權(quán)限。相反地，每個用戶、設(shè)備、應(yīng)用程序和會話都必須持續(xù)地進(jìn)行驗證。”
零信任代表了從“以位置為中心”的模型向“以身份、上下文和數(shù)據(jù)為中心”方法的轉(zhuǎn)變，并隨時間推移在用戶、系統(tǒng)、應(yīng)用程序、數(shù)據(jù)和資產(chǎn)之間進(jìn)行細(xì)粒度的安全控制。因此，采用ZTA是一項至關(guān)重要的工作，這種轉(zhuǎn)變?yōu)橹С职踩呗缘拈_發(fā)、實現(xiàn)、執(zhí)行和演進(jìn)提供了必要的可見性。從根本上說，零信任可能需要組織在其網(wǎng)絡(luò)安全理念和文化上做出變革。
需要明確的是，通往零信任的道路是一個逐步的過程，可能需要數(shù)年才能完成。最初，實施零信任所需的技術(shù)和服務(wù)可能會導(dǎo)致企業(yè)的成本增加，但從長遠(yuǎn)來看，零信任向最關(guān)鍵數(shù)據(jù)和服務(wù)進(jìn)行的精準(zhǔn)投資，將使安全投資更加明智，而非在整個企業(yè)范圍內(nèi)采用“一刀切”的安全投資。
零信任成熟度模型解讀
ZTMM代表了跨越5個不同支柱的逐步實現(xiàn)零信任優(yōu)化的過程，包括身份（Identity）、設(shè)備（Devices）、網(wǎng)絡(luò)（Networks）、應(yīng)用程序和工作負(fù)載（Applications and Workloads），以及數(shù)據(jù)（Data）。每個支柱都包含了一些橫跨所有支柱的通用功能：可見性與分析、自動化與編排，以及治理。
【圖1：零信任成熟度模型的支柱與相關(guān)能力】
該模型反映了NIST SP 800-207中概述的7個零信任原則：
- 所有數(shù)據(jù)源和計算服務(wù)都被視為資源；
- 無論網(wǎng)絡(luò)位置如何，所有通信都需要安全防護(hù)；
- 以會話（per-session）為單位，對企業(yè)資源訪問進(jìn)行授權(quán)；
- 按照動態(tài)策略確定資源訪問權(quán)限；
- 企業(yè)監(jiān)視和衡量所有自有和關(guān)聯(lián)資產(chǎn)的完整性和安全姿態(tài)；
- 在允許訪問之前，所有資源都必須經(jīng)過動態(tài)、嚴(yán)格地認(rèn)證和授權(quán)；
- 企業(yè)盡可能多地收集有關(guān)資產(chǎn)、網(wǎng)絡(luò)基礎(chǔ)設(shè)施和通信的狀態(tài)信息，并利用這些信息來改善安全態(tài)勢
隨著各機構(gòu)向最佳零信任實現(xiàn)過渡，相關(guān)解決方案越來越依賴于自動化流程和系統(tǒng)，這些流程和系統(tǒng)更全面地跨支柱集成，并更動態(tài)地執(zhí)行策略決策。每個支柱可以獨立演進(jìn)發(fā)展，也可能比其他支柱發(fā)展地更快，直到需要進(jìn)行跨支柱的協(xié)調(diào)。然而，這種協(xié)調(diào)需要相關(guān)支柱能夠在整個企業(yè)范圍和環(huán)境中相互兼容才能實現(xiàn)，這就要求能夠定義一個分步實現(xiàn)的零信任演進(jìn)路線，以分?jǐn)偝杀荆且淮涡匀客度搿?/p>
根據(jù)NIST提出的零信任實施步驟，各機構(gòu)在投資零信任能力（包括本模型中概述的支柱和功能）之前，應(yīng)評估其當(dāng)前的企業(yè)系統(tǒng)、資源、基礎(chǔ)設(shè)施、人員和流程，以幫助各機構(gòu)識別現(xiàn)有能力，來支持進(jìn)一步的零信任成熟度并確定優(yōu)先級缺口。各機構(gòu)還可以規(guī)劃跨支柱協(xié)調(diào)能力的機會，以實現(xiàn)細(xì)粒度、最小特權(quán)訪問控制并緩解額外風(fēng)險。
從傳統(tǒng)階段（Traditional）到初始（Initial）、高級（Advanced）和最佳（Optimal）三個階段的ZTM之旅，將促進(jìn)聯(lián)邦ZTA的實施。每個后續(xù)階段對保護(hù)能力、實現(xiàn)細(xì)節(jié)和技術(shù)復(fù)雜性都提出了更高的要求。
【圖2：零信任成熟度之旅】
- 傳統(tǒng)階段：手動配置生命周期（從建立到退役除）和屬性分配（安全和日志記錄）；靜態(tài)安全策略和解決方案，一次處理一個支柱與外部系統(tǒng)的離散依賴；只在配置時遵循最小特權(quán)原則；孤立的策略執(zhí)行支柱；手動響應(yīng)和緩解部署；以及依賴關(guān)系、日志和監(jiān)測的有限關(guān)聯(lián)。
- 初始階段：啟用自動化屬性分配和生命周期管理、策略決策和執(zhí)行，以及與外部系統(tǒng)集成的初始跨支柱解決方案；對配置后的最小特權(quán)的一些響應(yīng)性調(diào)整；針對內(nèi)部系統(tǒng)的聚合可見性。
- 高級階段：在適用的情況下，對跨支柱的策略、配置的生命周期和分配進(jìn)行自動控制；集中式的可見性和身份控制；跨支柱的策略執(zhí)行集成；對預(yù)定義的緩解措施進(jìn)行響應(yīng)；基于風(fēng)險和態(tài)勢評估調(diào)整最小特權(quán)；構(gòu)建企業(yè)范圍的感知（包括外部托管資源）。
- 最佳階段：完全自動化的即時生命周期及資產(chǎn)和資源的屬性分配，基于自動/觀察觸發(fā)器的動態(tài)策略進(jìn)行自我報告；在企業(yè)范圍內(nèi)對資產(chǎn)及其各自的依賴項實施動態(tài)的最小特權(quán)訪問（剛好夠用并在閾值內(nèi)）；具備持續(xù)監(jiān)控的跨支柱互操作；具備全面態(tài)勢感知的集中可見性。
圖3提供了ZTMM的高級概述，包括每個支柱在不同成熟度階段的關(guān)鍵能力，以及在不同成熟度階段的跨支柱能力特性。
【圖3：零信任成熟度模型概覽】
這些成熟度階段以及與每個支柱相關(guān)的詳細(xì)信息，允許機構(gòu)評估、規(guī)劃和維護(hù)實施ZTA所需的投資。在規(guī)劃ZTA的實施時，各機構(gòu)應(yīng)根據(jù)風(fēng)險、任務(wù)和操作限制等因素做出決策。各機構(gòu)在評估ZTA的影響因素時，仍需考慮與外部合作伙伴、利益相關(guān)者和服務(wù)提供商的互動和依賴關(guān)系。此外，該成熟度模型不應(yīng)被視為一組嚴(yán)格的要求，而應(yīng)被視為幫助機構(gòu)成功實施ZTA，并對網(wǎng)絡(luò)安全態(tài)勢進(jìn)行整體改進(jìn)的通用指南。
身份
身份是指描述機構(gòu)用戶或?qū)嶓w（包括非人實體）的一個或一組屬性。
各機構(gòu)應(yīng)確保并強制用戶和實體在正確的時間，為正確的目的訪問正確的資源，而不授予過度的訪問權(quán)限。各機構(gòu)應(yīng)盡可能在企業(yè)范圍內(nèi)集成身份、憑據(jù)和訪問管理解決方案，以強制執(zhí)行強身份驗證、實施基于上下文的授權(quán)，并評估機構(gòu)用戶和實體的身份風(fēng)險。在適當(dāng)?shù)那闆r下，各機構(gòu)應(yīng)整合其身份存儲和管理系統(tǒng)，以增強對企業(yè)身份、職責(zé)和權(quán)限的認(rèn)知。
下表列出了零信任架構(gòu)中“身份”的相關(guān)功能，及其在可見性與分析、自動化與編排，以及治理方面的考慮。
|
功能 |
傳統(tǒng)階段 |
初始階段 |
高級階段 |
最佳階段 |
|
身份認(rèn)證 |
在靜態(tài)訪問授權(quán)中，使用密碼或多因素認(rèn)證（MFA）對實體身份進(jìn)行認(rèn)證。 |
使用MFA對身份進(jìn)行驗證，將密碼作為MFA中的一種認(rèn)證方式，并要求驗證多個實體屬性（例如場所或活動）。 |
使用抗釣魚攻擊的MFA和屬性對所有身份進(jìn)行身份驗證，包括通過FIDO2或PIV實現(xiàn)的無密碼MFA的最初實現(xiàn)。 |
持續(xù)使用抗釣魚攻擊的MFA對身份進(jìn)行驗證，而不僅僅是在最初授權(quán)時進(jìn)行認(rèn)證。 |
|
身份存儲庫 |
只使用自主管理的本地身份存儲庫（計劃、部署和維護(hù)均由自行承擔(dān)）。 |
同時使用自主管理的和托管（例如，云或其他機構(gòu)）的身份存儲庫，存儲庫之間實現(xiàn)了較少的集成（例如，單點登錄）。 |
開始合并和整合一些自主管理的和托管的身份存儲庫。 |
根據(jù)需要在所有合作伙伴和環(huán)境中安全地整合身份存儲庫。 |
|
風(fēng)險評估 |
對身份風(fēng)險進(jìn)行有限的判斷（即身份被竊取的可能性）。 |
使用手動方法和靜態(tài)規(guī)則來確定身份風(fēng)險，以支持可見性。 |
使用一些自動化分析和動態(tài)規(guī)則來確定身份風(fēng)險，以支持訪問決策和響應(yīng)活動。 |
基于持續(xù)分析和動態(tài)規(guī)則，實時地確定身份風(fēng)險，以提供持續(xù)性保護(hù)。 |
|
訪問管理（新增） |
永久性訪問授權(quán)，并對特權(quán)和非特權(quán)賬戶進(jìn)行周期性審核。 |
對訪問（包括特權(quán)訪問）進(jìn)行授權(quán)，并通過自動審核使訪問權(quán)限過期失效。 |
提供對基于需求和基于會話的訪問（包括特權(quán)訪問請求）授權(quán)，以適應(yīng)不同操作和資源。 |
使用自動化來實現(xiàn)即時和適量的授權(quán)，以滿足個人的操作和資源需求。 |
|
可見性和分析 |
收集用戶和實體的活動日志（特別是特權(quán)憑據(jù)），并進(jìn)行例行的手動分析。 |
收集用戶和實體活動日志，進(jìn)行例行的手動分析和部分自動分析，不同類型的日志僅實現(xiàn)了少量關(guān)聯(lián)。 |
在某些類型的用戶和實體活動日志上進(jìn)行自動化分析，并增加收集范圍以解決可見性缺口。 |
通過對用戶活動日志（包括基于行為的分析）進(jìn)行自動化分析，維護(hù)企業(yè)范圍的全面可見性和態(tài)勢感知。 |
|
自動化和編排 |
手動對自管理身份（用戶和實體）進(jìn)行編排（入職、離職），集成性較少，并定期進(jìn)行審查。 |
手動對特權(quán)和外部身份進(jìn)行編排，并自動編排非特權(quán)用戶和自管理實體。 |
手動編排特權(quán)用戶身份，并在所有環(huán)境中集成實現(xiàn)所有身份的自動編排。 |
基于行為、注冊和部署需求，在所有環(huán)境中實現(xiàn)完全集成的所有身份自動編排。 |
|
治理 |
通過靜態(tài)技術(shù)和人工審核實施身份策略（認(rèn)證、憑證、訪問、生命周期等）。 |
在企業(yè)范圍內(nèi)定義并實施具有少量自動化、并通過人工更新的身份策略。 |
在企業(yè)范圍內(nèi)實現(xiàn)自動化、并定期更新的身份策略。 |
在企業(yè)范圍內(nèi)，為所有用戶和實體實現(xiàn)針對所有系統(tǒng)的自動化身份策略，能夠?qū)崿F(xiàn)持續(xù)的策略實施和動態(tài)更新。 |
設(shè)備
設(shè)備是指可以連接到網(wǎng)絡(luò)的任何資產(chǎn)（包括其硬件、軟件、固件等），包括服務(wù)器、臺式機、筆記本電腦、打印機、手機、物聯(lián)網(wǎng)設(shè)備、網(wǎng)絡(luò)設(shè)備等。
設(shè)備可以是機構(gòu)所有的資產(chǎn)，也可以是員工、合作伙伴或訪客的自帶設(shè)備（BYOD）資產(chǎn)。機構(gòu)應(yīng)確保所有自有設(shè)備的安全性，管理非機構(gòu)控制的授權(quán)設(shè)備的風(fēng)險，以阻止未授權(quán)設(shè)備訪問資源。設(shè)備管理包括維護(hù)所有資產(chǎn)（包括其硬件、軟件、固件等）的動態(tài)清單、配置信息及相關(guān)漏洞。
許多設(shè)備存在特定的ZTA挑戰(zhàn)，必須根據(jù)具體情況進(jìn)行評估，作為基于風(fēng)險的流程的一部分。例如，網(wǎng)絡(luò)設(shè)備、打印機等設(shè)備可能只提供有限的身份驗證、可見性和安全性選項。采取BYOD政策的機構(gòu)可能會有更少的選項來保持這些設(shè)備的可見性和控制。隨著技術(shù)環(huán)境的不斷變化，機構(gòu)也將繼續(xù)采用更多的設(shè)備來管理這些不斷演變的設(shè)備相關(guān)風(fēng)險。在某些情況下，本指南可能無法適用于各機構(gòu)的特定設(shè)備。各機構(gòu)也將面臨確?？尚旁O(shè)備及其服務(wù)未達(dá)到使用壽命并仍在其生命周期支持范圍內(nèi)的挑戰(zhàn)，因為遺留設(shè)備通常會存在更多未解決的漏洞、易受攻擊的配置和未知的風(fēng)險。
然而，盡管存在這些挑戰(zhàn)，各機構(gòu)仍然應(yīng)該能夠在實現(xiàn)ZTA方面取得重大進(jìn)展。本地計算資產(chǎn)管理涉及記錄和管理物理資產(chǎn)（設(shè)備）。隨著各機構(gòu)逐漸遷移至云，這為管理和跟蹤機構(gòu)的云和虛擬資產(chǎn)創(chuàng)造了新的機會。云資產(chǎn)包括計算資源（如虛擬機、服務(wù)器或容器）、存儲資源（如塊存儲或文件存儲）、平臺資產(chǎn)（如數(shù)據(jù)庫、Web服務(wù)器、消息總線/隊列）和網(wǎng)絡(luò)資源（如虛擬網(wǎng)絡(luò)、VPN、網(wǎng)關(guān)、DNS服務(wù)等），以及其他與托管云服務(wù)相關(guān)的虛擬資源（如人工智能模型）。
下表列出了零信任架構(gòu)中“設(shè)備”的相關(guān)功能和能力，及其在可見性與分析、自動化與編排，以及治理方面的考慮。
|
功能 |
傳統(tǒng)階段 |
初始階段 |
高級階段 |
最佳階段 |
|
策略實施和合規(guī)監(jiān)控（新增） |
在策略實施或管理軟件、配置及漏洞方面，只有少量的方法，缺乏與設(shè)備合規(guī)相關(guān)的可見性。 |
能接收自報告的設(shè)備特征（例如，設(shè)備上的密鑰、令牌、用戶等），但其執(zhí)行機制非常有限。機構(gòu)已經(jīng)初步建立了軟件準(zhǔn)入的基本流程，并能將更新和配置推送到設(shè)備上。 |
能夠在初始使用設(shè)備時，對設(shè)備進(jìn)行合規(guī)認(rèn)證（即管理員可以檢查和驗證設(shè)備上的數(shù)據(jù)），并對大多數(shù)設(shè)備和虛擬資產(chǎn)實施合規(guī)策略。使用自動化方法來管理設(shè)備和虛擬資產(chǎn)、審批軟件、識別漏洞和安裝補丁。 |
在設(shè)備和虛擬資產(chǎn)的整個生命周期中，持續(xù)檢查并執(zhí)行合規(guī)策略。將設(shè)備、軟件、配置和漏洞管理整合到所有機構(gòu)環(huán)境中，包括虛擬資產(chǎn)。 |
|
資產(chǎn)和供應(yīng)鏈風(fēng)險管理（新增） |
未以全企業(yè)或跨供應(yīng)商的方式，跟蹤物理或虛擬資產(chǎn)，而是采用臨時性的方式對設(shè)備和服務(wù)供應(yīng)鏈進(jìn)行管理，對企業(yè)風(fēng)險的認(rèn)識非常有限。 |
跟蹤所有物理和部分虛擬資產(chǎn)，并按照聯(lián)邦建議，使用風(fēng)險框架（例如NIST SCRM）建立策略和控制基線，來管理供應(yīng)鏈風(fēng)險。 |
通過自動化流程來開發(fā)全面的企業(yè)物理、虛擬資產(chǎn)視圖，可跨多個供應(yīng)商驗證資產(chǎn)獲取、跟蹤開發(fā)周期，并提供第三方評估。 |
擁有全面、實時或接近實時的、跨供應(yīng)商和服務(wù)提供商的資產(chǎn)視圖，在適當(dāng)情況下，自動化其供應(yīng)鏈風(fēng)險管理，建立能容忍供應(yīng)鏈故障的操作，并融入最佳實踐。 |
|
資源訪問（原數(shù)據(jù)訪問） |
在訪問資源時，未要求對設(shè)備或虛擬資產(chǎn)的可見性。 |
要求某些設(shè)備或虛擬資產(chǎn)報告其特征，然后利用這些信息授權(quán)資源訪問。 |
在初始資源訪問時考慮設(shè)備的驗證情況或虛擬資產(chǎn)的可見性。 |
資源訪問時考慮設(shè)備和虛擬資產(chǎn)內(nèi)的實時風(fēng)險分析。 |
|
設(shè)備威脅保護(hù)（新增） |
對部分設(shè)備手動部署了威脅保護(hù)功能。 |
具有一些自動化流程，用于將威脅保護(hù)能力部署和更新到設(shè)備和虛擬資產(chǎn)中，并集成了少量的策略執(zhí)行和合規(guī)監(jiān)控。 |
將威脅保護(hù)能力整合到面向設(shè)備和虛擬資產(chǎn)的集中式解決方案中，并將其中的大部分能力與策略執(zhí)行和合規(guī)監(jiān)控集成。 |
為所有設(shè)備和虛擬資產(chǎn)部署了具有先進(jìn)功能的集中式威脅保護(hù)安全解決方案，并采用統(tǒng)一方法解決設(shè)備威脅保護(hù)、策略實施和合規(guī)監(jiān)控。 |
|
可見性和分析 |
使用物理標(biāo)簽清單和有限的軟件監(jiān)控，定期手動查看和分析設(shè)備信息。 |
使用數(shù)字標(biāo)識符（例如接口地址、數(shù)字化標(biāo)記）、手動清單和終端監(jiān)控（若可用）來監(jiān)測設(shè)備。部分設(shè)備和虛擬資產(chǎn)能通過自動化分析（例如軟件掃描器），執(zhí)行基于風(fēng)險的異常檢測。 |
實現(xiàn)清單的自動化采集（包括所有標(biāo)準(zhǔn)用戶設(shè)備上的終端監(jiān)控，例如臺式機、筆記本電腦、手機、平板電腦及其虛擬資產(chǎn)）和異常檢測（檢測未授權(quán)設(shè)備）。 |
自動化采集所有可接入網(wǎng)絡(luò)的設(shè)備和虛擬資產(chǎn)的狀態(tài)，并與身份關(guān)聯(lián)、執(zhí)行端點監(jiān)控和異常檢測，為資源訪問授權(quán)提供信息。跟蹤虛擬資產(chǎn)的供應(yīng)和銷毀模式以監(jiān)測異常。 |
|
自動化和編排 |
在企業(yè)范圍內(nèi)，手動完成設(shè)備供應(yīng)、配置和注冊。 |
使用工具和腳本來自動化處理流程，包括設(shè)備和虛擬資產(chǎn)的供應(yīng)、配置、注冊和銷毀。 |
實施了監(jiān)控和策略執(zhí)行機制，能識別、手動斷開或隔離不符合規(guī)定（易受攻擊、未經(jīng)驗證的證書、未注冊的MAC地址）的設(shè)備和虛擬資產(chǎn)。 |
擁有全自動的流程，用以實現(xiàn)設(shè)備及虛擬資產(chǎn)的供應(yīng)、注冊、監(jiān)控、隔離、修復(fù)和銷毀。 |
|
治理 |
制定了針對傳統(tǒng)外設(shè)的生命周期策略，但依賴人工流程來維護(hù)（例如更新、打補丁、殺毒）這些設(shè)備。 |
制定并實施了設(shè)備采購、非傳統(tǒng)計算設(shè)備和虛擬資產(chǎn)的生命周期策略，并定期對設(shè)備進(jìn)行監(jiān)測和掃描。 |
為設(shè)備和虛擬資產(chǎn)制定了企業(yè)級的生命周期策略，包括設(shè)備枚舉和問責(zé)，并實現(xiàn)了一些自動實施機制。 |
對企業(yè)范圍內(nèi)、所有可連接網(wǎng)絡(luò)的設(shè)備和虛擬資產(chǎn)實現(xiàn)了自動化的生命周期策略。 |
網(wǎng)絡(luò)
網(wǎng)絡(luò)是指一個開放的通信媒介，包括傳統(tǒng)的通道（如機構(gòu)內(nèi)部網(wǎng)絡(luò)、無線網(wǎng)絡(luò)和互聯(lián)網(wǎng)）以及其他通道（如用于傳輸信息的蜂窩和應(yīng)用程序級通道等）。
ZTA實現(xiàn)了從傳統(tǒng)的“以邊界為中心”的安全方法的改變，允許機構(gòu)管理內(nèi)部和外部流量、隔離主機、強制加密、分段活動，并增強了企業(yè)網(wǎng)絡(luò)的可見性。ZTA允許在更接近應(yīng)用程序、數(shù)據(jù)和其他資源的位置實現(xiàn)安全控制，并增強傳統(tǒng)的基于網(wǎng)絡(luò)的保護(hù)措施，提高了深度防御能力。
下表列出了零信任架構(gòu)中“網(wǎng)絡(luò)”的相關(guān)功能和能力，及其在可見性與分析、自動化與編排，以及治理方面的考慮。
|
功能 |
傳統(tǒng)階段 |
初始階段 |
高級階段 |
最佳階段 |
|
網(wǎng)絡(luò)分段 |
使用大邊界/宏分段來定義網(wǎng)絡(luò)架構(gòu)，網(wǎng)段內(nèi)的連通性基本不受約束。也可能依賴多服務(wù)互連（例如，不同流量按批量使用VPN隧道）的方案。 |
在網(wǎng)絡(luò)架構(gòu)對關(guān)鍵工作負(fù)載進(jìn)行隔離，按最低權(quán)限原則限制連通性，并向特定服務(wù)互連的網(wǎng)絡(luò)架構(gòu)過渡。 |
在入向/出向微邊界和特定服務(wù)互連框架中，擴展終端和基于應(yīng)用程序概要的隔離機制。 |
網(wǎng)絡(luò)架構(gòu)由完全分布式的入向/出向微邊界和基于應(yīng)用程序概要的微分段組成，動態(tài)實現(xiàn)即時和適度連通性，以實現(xiàn)特定服務(wù)的互連。 |
|
網(wǎng)絡(luò)流量管理（新增） |
在服務(wù)提供過程中，人工實施靜態(tài)網(wǎng)絡(luò)規(guī)則和配置來管理流量，僅具有有限的監(jiān)控能力（例如應(yīng)用程序性能監(jiān)控或異常檢測），對關(guān)鍵業(yè)務(wù)應(yīng)用的配置變更通過人工進(jìn)行審計和審核。 |
建立具有不同流量管理特征的應(yīng)用程序概述，并將所有應(yīng)用程序映射到這些概述。將靜態(tài)規(guī)則擴展應(yīng)用程序到所有應(yīng)用程序，并對應(yīng)用程序概要進(jìn)行定期手動審計。 |
實施動態(tài)網(wǎng)絡(luò)規(guī)則和配置，以進(jìn)行資源優(yōu)化，這些規(guī)則和配置根據(jù)自動風(fēng)險感知和具備風(fēng)險響應(yīng)的應(yīng)用程序概述評估和監(jiān)控，定期進(jìn)行調(diào)整。 |
實施不斷演變的動態(tài)網(wǎng)絡(luò)規(guī)則和配置，以滿足應(yīng)用程序概述的需求，根據(jù)關(guān)鍵任務(wù)、風(fēng)險等因素重新確定應(yīng)用程序優(yōu)先級。 |
|
流量加密（原加密） |
對少量流量實施加密，并依靠手動或臨時流程來管理和保護(hù)加密密鑰。 |
對所有流向內(nèi)部應(yīng)用程序的流量進(jìn)行加密，對外部應(yīng)用的流量進(jìn)行盡可能的加密，規(guī)范化密鑰管理策略，并保護(hù)服務(wù)器/服務(wù)的加密密鑰。 |
所有應(yīng)用程序的內(nèi)部和外部流量均使用協(xié)議加密，對密鑰和證書的簽發(fā)和更換實施管理，并引入密碼敏捷實踐。 |
持續(xù)根據(jù)需求加密流量，在企業(yè)范圍執(zhí)行最低權(quán)限原則，以保證密鑰的安全管理，并盡可能廣泛地采用密碼敏捷實踐。 |
|
網(wǎng)絡(luò)彈性（新增） |
根據(jù)單個應(yīng)用程序的可用性需求，按個案配置網(wǎng)絡(luò)能力，只能提供適用于非關(guān)鍵任務(wù)負(fù)載的有限彈性。 |
通過配置網(wǎng)絡(luò)能力，管理其他應(yīng)用程序的可用性要求，并擴展非關(guān)鍵任務(wù)負(fù)載的彈性機制。 |
網(wǎng)絡(luò)功能的配置能動態(tài)管理大部分應(yīng)用程序的可用性需求和彈性機制。 |
能感知所有工作負(fù)載的可用性需求變化，并集成全面的交付，提供相應(yīng)的彈性機制。 |
|
可見性和分析 |
通過以網(wǎng)絡(luò)邊界為中心的有限監(jiān)控和分析，開始開發(fā)集中式的態(tài)勢感知。 |
采用基于已知入侵指標(biāo)（包括網(wǎng)絡(luò)枚舉）的網(wǎng)絡(luò)監(jiān)控，在每個網(wǎng)絡(luò)環(huán)境中開發(fā)態(tài)勢感知，并將各種環(huán)境中的不同流量關(guān)聯(lián)起來，進(jìn)行分析和威脅檢測。 |
通過基于異常的網(wǎng)絡(luò)檢測能力，在所有環(huán)境中開發(fā)態(tài)勢感知，并將多來源的監(jiān)測信息進(jìn)行關(guān)聯(lián)以進(jìn)行分析，并采用自動化流程進(jìn)行強大的威脅獵殺。 |
在啟用企業(yè)范圍態(tài)勢感知和監(jiān)控能力的同時，維持對所有網(wǎng)絡(luò)和環(huán)境中的通信可見性，并自動對所有檢測源的監(jiān)測信息進(jìn)行關(guān)聯(lián)。 |
|
自動化和編排 |
使用手動流程來管理網(wǎng)絡(luò)、環(huán)境的配置和資源生命周期，定期整合策略要求和態(tài)勢感知。 |
使用自動化方法來管理某些網(wǎng)絡(luò)、環(huán)境的配置和資源生命周期，并確保所有資源都基于策略和監(jiān)測數(shù)據(jù)定義了生命周期。 |
使用自動化的變更管理方法（如CI/CD）來管理所有網(wǎng)絡(luò)、環(huán)境的配置和資源生命周期，能夠?qū)Ω兄降娘L(fēng)險進(jìn)行響應(yīng)、執(zhí)行策略和保護(hù)。 |
網(wǎng)絡(luò)和環(huán)境由基礎(chǔ)設(shè)施即代碼（IoC）來定義，并實現(xiàn)自動化的變更管理方法，包括自動的初始化和過期失效，以應(yīng)對不斷變化的需求。 |
|
治理 |
通過以邊界保護(hù)為中心的方法，實施靜態(tài)的網(wǎng)絡(luò)策略（訪問、協(xié)議、分段、警告和修復(fù)）。 |
針對每個網(wǎng)絡(luò)分段和資源制定并實施相應(yīng)的策略，并適當(dāng)沿用企業(yè)級策略規(guī)則。 |
在實施個性化策略時引入了自動化，促進(jìn)從聚焦邊界的保護(hù)向未來過渡。 |
實施企業(yè)范圍的網(wǎng)絡(luò)策略，使基于應(yīng)用和用戶工作流的策略定制、局部控制、動態(tài)更新和安全外連成為可能。 |
應(yīng)用程序和工作負(fù)載
應(yīng)用程序和工作負(fù)載包括在本地環(huán)境、移動設(shè)備和云環(huán)境中運行的系統(tǒng)、計算機程序和服務(wù)。
各機構(gòu)應(yīng)管理和保護(hù)其部署的應(yīng)用程序，并確保安全的應(yīng)用程序交付。細(xì)粒度訪問控制和集成的威脅防護(hù)可以提供增強的態(tài)勢感知，并減輕特定于應(yīng)用程序的威脅。各機構(gòu)還應(yīng)探索一些新的選擇，將運營重點從認(rèn)證邊界和更新ATO（Authorization to Operate），逐漸轉(zhuǎn)向?qū)?yīng)用程序自身的支持，使其無論是從內(nèi)部訪問，還是從外部訪問都具有相同的安全性。
下表列出了零信任架構(gòu)中“應(yīng)用程序和工作負(fù)載”的相關(guān)功能和能力，及其在可見性與分析、自動化與編排，以及治理方面的考慮。
|
功能 |
傳統(tǒng)階段 |
初始階段 |
高級階段 |
最佳階段 |
|
應(yīng)用訪問（原訪問授權(quán)） |
主要基于靜態(tài)屬性對應(yīng)用訪問實施本地授權(quán)。 |
采用上下文信息（如身份、設(shè)備合規(guī)性和/或其他屬性）實施對應(yīng)用的每個訪問請求進(jìn)行授權(quán)，并設(shè)置授權(quán)的過期時間。 |
使用擴展的上下文信息自動化應(yīng)用程序的訪問決策，并依據(jù)最小特權(quán)原則設(shè)置相應(yīng)的過期條件。 |
對應(yīng)用程序?qū)嵤┏掷m(xù)的訪問授權(quán)，并引入實時的風(fēng)險分析和因素，如行為/使用模式等。 |
|
應(yīng)用威脅保護(hù)（原威脅保護(hù)） |
僅實現(xiàn)了威脅保護(hù)與應(yīng)用工作流的少量集成，能針對已知威脅提供一般性防護(hù)。 |
將威脅保護(hù)集成到關(guān)鍵業(yè)務(wù)應(yīng)用的工作流中，能針對已知威脅和一些特定應(yīng)用的威脅提供保護(hù)。 |
將威脅保護(hù)集成到所有應(yīng)用的工作流中，保護(hù)某些特定于應(yīng)用程序和有針對性的威脅。 |
將高級威脅保護(hù)集成到所有應(yīng)用工作流中，提供實時可見性和內(nèi)容感知保護(hù)，以應(yīng)對特定于應(yīng)用程序的復(fù)雜攻擊。 |
|
可訪問應(yīng)用（原可訪問性） |
關(guān)鍵應(yīng)用僅在私有網(wǎng)絡(luò)和帶監(jiān)控的安全公共網(wǎng)絡(luò)連接（例如VPN）上可用。 |
根據(jù)需求，通過代理連接的方式，將部分適用的關(guān)鍵任務(wù)應(yīng)用提供給授權(quán)用戶在開放的公共網(wǎng)絡(luò)中使用。 |
根據(jù)需要，把大部分適用的關(guān)鍵任務(wù)應(yīng)用通過開放的公共網(wǎng)絡(luò)連接提供給授權(quán)用戶使用。 |
根據(jù)需要，把所有適用的應(yīng)用通過開放的公共網(wǎng)絡(luò)提供給授權(quán)用戶和設(shè)備使用。 |
|
開發(fā)和部署工作流（新增） |
使用非正式的開發(fā)、測試和生產(chǎn)環(huán)境，缺乏完善的代碼部署機制。 |
采用具備規(guī)范的代碼部署機制的基礎(chǔ)架構(gòu)來支持開發(fā)、測試和生產(chǎn)環(huán)境（包括自動化），通過CI/CD流水線和必要的訪問控制來，來支持最小特權(quán)原則。 |
由不同團隊完成開發(fā)、安全和運營，并取消開發(fā)人員在代碼部署時對生產(chǎn)環(huán)境的訪問權(quán)限。 |
在可行的情況下充分利用非可變工作負(fù)載，更改只能通過重新部署生效，并取消管理員對部署環(huán)境的訪問權(quán)限，以支持自動化的代碼部署流程。 |
|
應(yīng)用安全測試（原應(yīng)用安全） |
在部署之前進(jìn)行應(yīng)用安全測試，主要通過手動測試方法。 |
在應(yīng)用部署前的安全測試中，使用靜態(tài)和動態(tài)（即應(yīng)用程序正在執(zhí)行）測試方法，包括手動的專家分析。 |
將應(yīng)用安全測試整合到應(yīng)用程序開發(fā)和部署流程中，包括使用周期性的動態(tài)測試方法。 |
在企業(yè)軟件開發(fā)生命周期中全面整合應(yīng)用程序安全測試，在已部署應(yīng)用程序中進(jìn)行例行自動化測試。 |
|
可見性和分析 |
對關(guān)鍵業(yè)務(wù)應(yīng)用進(jìn)行了一些性能和安全監(jiān)控，但聚合和分析能力有限。 |
自動采集應(yīng)用信息（例如狀態(tài)、健康度和性能）和安全監(jiān)控，以改進(jìn)日志收集、集成和分析。 |
通過啟發(fā)式技術(shù)，自動化地對大部分應(yīng)用程序進(jìn)行信息采集和安全監(jiān)控，以識別應(yīng)用程序特有的和企業(yè)整體的趨勢，并逐步完善流程以填補可見性中存在的缺口。 |
在所有應(yīng)用程序上執(zhí)行持續(xù)、動態(tài)的監(jiān)控，以保持企業(yè)范圍內(nèi)全面的可見性。 |
|
自動化和編排 |
通過手動方式，在應(yīng)用資源分配階段，設(shè)立靜態(tài)的應(yīng)用托管位置和訪問權(quán)限，并進(jìn)行有限維護(hù)和審查。 |
定期修改應(yīng)用配置（包括位置和訪問權(quán)限），以滿足相關(guān)的安全和性能目標(biāo)。 |
自動處理應(yīng)用程序配置，以應(yīng)對運營和環(huán)境變化。 |
自動處理應(yīng)用程序配置，以持續(xù)優(yōu)化安全性和性能。 |
|
治理 |
主要依靠手動執(zhí)行策略來實現(xiàn)對應(yīng)用訪問、開發(fā)、部署、軟件資產(chǎn)管理、安全測試和評估（ST＆E）的管理，包括技術(shù)插入、修補漏洞和跟蹤軟件依賴。 |
根據(jù)任務(wù)需求（例如，軟件物料清單）來自動執(zhí)行策略進(jìn)行規(guī)范，通過自動化方式實現(xiàn)對應(yīng)用程序開發(fā)、部署、軟件資產(chǎn)管理、ST＆E，及技術(shù)插入、打補丁和跟蹤軟件依賴關(guān)系等方面的管理和監(jiān)管。 |
為應(yīng)用實施分層、定制的企業(yè)范圍內(nèi)的策略，覆蓋開發(fā)和部署生命周期的所有方面，并盡可能利用自動化的策略執(zhí)行。 |
完全自動化的應(yīng)用開發(fā)和部署策略，包括通過CI/CD流程動態(tài)更新應(yīng)用程序。 |
數(shù)據(jù)
數(shù)據(jù)包括駐留或曾經(jīng)駐留在系統(tǒng)、設(shè)備、網(wǎng)絡(luò)、應(yīng)用程序、數(shù)據(jù)庫、基礎(chǔ)設(shè)施和備份（包括本地和虛擬環(huán)境）以及相關(guān)元數(shù)據(jù)中的所有結(jié)構(gòu)化和非結(jié)構(gòu)化的文件和片段。
按照聯(lián)邦政府要求，各機構(gòu)的數(shù)據(jù)應(yīng)該在設(shè)備、應(yīng)用程序和網(wǎng)絡(luò)上得到保護(hù)。各機構(gòu)應(yīng)清點、分類和標(biāo)記數(shù)據(jù)；保護(hù)靜止和傳輸中的數(shù)據(jù)；并部署檢測和阻止數(shù)據(jù)外泄的相關(guān)機制。各機構(gòu)應(yīng)仔細(xì)制定和審查數(shù)據(jù)治理策略，以確保在整個企業(yè)中適當(dāng)?shù)貓?zhí)行基于數(shù)據(jù)生命周期的安全管理。
下表列出了零信任架構(gòu)中“數(shù)據(jù)”的相關(guān)功能和能力，及其在可見性與分析、自動化與編排，以及治理方面的考慮。
|
功能 |
傳統(tǒng)階段 |
初始階段 |
高級階段 |
最佳階段 |
|
數(shù)據(jù)清單管理 |
人工識別部分?jǐn)?shù)據(jù)（例如，關(guān)鍵業(yè)務(wù)數(shù)據(jù)），并為其建立清單。 |
采用自動化的數(shù)據(jù)清單流程，覆蓋本地和云環(huán)境中的大部分?jǐn)?shù)據(jù)，并引入防數(shù)據(jù)丟失的保護(hù)措施。 |
在企業(yè)范圍內(nèi)自動建立數(shù)據(jù)清單和跟蹤，覆蓋所有適用的機構(gòu)數(shù)據(jù)，并采用基于靜態(tài)屬性和/或標(biāo)簽的數(shù)據(jù)防泄漏策略。 |
持續(xù)維護(hù)所有適用數(shù)據(jù)的清單，并采用強大的數(shù)據(jù)防泄漏策略，動態(tài)阻止可疑的數(shù)據(jù)泄露。 |
|
數(shù)據(jù)分類（新增） |
采用了有限的、非正式的數(shù)據(jù)分類。 |
實現(xiàn)數(shù)據(jù)分類策略，具備明確的標(biāo)簽定義和手動執(zhí)行機制。 |
以一致、分級、有針對性的方式自動化了一些數(shù)據(jù)分類和標(biāo)記過程，并使用簡單、結(jié)構(gòu)化的格式和定期審查來管理。 |
通過強大的技術(shù)和機制，在企業(yè)范圍內(nèi)采用細(xì)粒度、結(jié)構(gòu)化格式自動對所有數(shù)據(jù)執(zhí)行分類和標(biāo)記。 |
|
數(shù)據(jù)可用性（新增） |
主要由本地數(shù)據(jù)庫提供數(shù)據(jù)，同時提供了一些異地備份。 |
可以從冗余、高可用的數(shù)據(jù)存儲庫（例如，云）中提供一些數(shù)據(jù)，并為本地數(shù)據(jù)維護(hù)了異地備份。 |
主要從冗余、高可用的數(shù)據(jù)存儲庫中提供數(shù)據(jù)，并確?？梢栽L問歷史數(shù)據(jù)。 |
使用動態(tài)方法根據(jù)用戶和實體的需求調(diào)整優(yōu)化數(shù)據(jù)可用性，包括歷史數(shù)據(jù)。 |
|
數(shù)據(jù)訪問 |
通過靜態(tài)訪問控制，管理用戶和實體的數(shù)據(jù)訪問（例如，讀取、寫入、復(fù)制、授權(quán)他人訪問等）權(quán)限。 |
開始部署自動化的數(shù)據(jù)訪問控制，在企業(yè)范圍內(nèi)引入最低特權(quán)原則。 |
在自動化數(shù)據(jù)訪問控制中，考慮采用各種屬性，如身份、設(shè)備風(fēng)險、應(yīng)用程序、數(shù)據(jù)類別等，并在適當(dāng)情況下進(jìn)行時間限制。 |
在企業(yè)范圍內(nèi)自動執(zhí)行即時（JIT）和恰到好處的數(shù)據(jù)訪問控制，并持續(xù)審查權(quán)限。 |
|
數(shù)據(jù)加密 |
只對必要的數(shù)據(jù)進(jìn)行最低限度的加密，包括數(shù)據(jù)存儲和傳輸過程中的加密，并依賴手動或臨時流程來管理和保護(hù)加密密鑰。 |
對所有傳輸中的數(shù)據(jù)進(jìn)行了加密，可行的話，還對數(shù)據(jù)存儲（例如，關(guān)鍵業(yè)務(wù)數(shù)據(jù)和存儲在外部環(huán)境中的數(shù)據(jù)）進(jìn)行了加密，并開始規(guī)范密鑰管理策略和強化加密密鑰。 |
盡最大可能對企業(yè)范圍內(nèi)的所有存儲、傳輸數(shù)據(jù)進(jìn)行加密，開始采用密碼敏捷性，并保護(hù)加密密鑰（即，不使用硬編碼密鑰，并定期輪換）。 |
在必要時，對使用中的數(shù)據(jù)進(jìn)行加密，在企業(yè)范圍內(nèi)執(zhí)行最小權(quán)限原則以進(jìn)行安全密鑰管理，并盡可能使用最新的NIST標(biāo)準(zhǔn)和密碼敏捷性來應(yīng)用加密技術(shù)。 |
|
可見性和分析 |
對數(shù)據(jù)位置、訪問和使用的可見性非常有限，主要依賴手動流程進(jìn)行分析。 |
通過數(shù)據(jù)清單管理、分類、加密和訪問嘗試來獲得可見性，還結(jié)合了一些自動化分析和相關(guān)性分析。 |
采用自動化分析和相關(guān)性分析，在企業(yè)范圍內(nèi)維護(hù)更全面的數(shù)據(jù)可見性，并開始采用預(yù)測分析。 |
能夠全面跟蹤數(shù)據(jù)生命周期，具備強大的分析能力，包括預(yù)測分析，支持全面的數(shù)據(jù)視圖和持續(xù)的安全狀況評估。 |
|
自動化和編排 |
通過手動和非正式的流程實施數(shù)據(jù)的生命周期管理和安全策略（例如，訪問、使用、存儲、加密、配置、保護(hù)、備份、分類、清洗）。 |
使用了一些自動流程來實施數(shù)據(jù)的生命周期管理和安全策略。 |
在企業(yè)范圍內(nèi)，以一致、分級、有針對性的自動化方式對大部分?jǐn)?shù)據(jù)實施數(shù)據(jù)生命周期管理和安全策略。 |
在企業(yè)范圍內(nèi)，盡可能自動化地實施所有數(shù)據(jù)的生命周期管理和安全策略。 |
|
治理 |
手動實施非正式的數(shù)據(jù)治理策略（例如，保護(hù)、分類、訪問、清單化、存儲、恢復(fù)、清除等）。 |
定義高級的數(shù)據(jù)治理策略，主要依賴手動、分段實施。 |
在整個企業(yè)范圍內(nèi)集成數(shù)據(jù)生命周期的策略執(zhí)行機制，實現(xiàn)數(shù)據(jù)治理策略的統(tǒng)一定義。 |
數(shù)據(jù)的生命周期策略盡可能統(tǒng)一一致，并在整個企業(yè)范圍內(nèi)動態(tài)執(zhí)行。 |
跨支柱能力
可見性和分析、自動化和編排、治理的跨支柱能力，為推進(jìn)跨五大支柱的集成提供了機會。可見性和分析支持全面的可見性，為策略決策提供信息并促進(jìn)響應(yīng)活動；自動化和編排利用這些見解來支持強大的簡化操作，以處理安全事件并在事件出現(xiàn)時對其進(jìn)行響應(yīng)；治理使各機構(gòu)能夠管理和監(jiān)測其監(jiān)管、法律、環(huán)境、聯(lián)邦和運營需求，以支持基于風(fēng)險的決策制定，還可以確保通過采用正確的人員、流程和技術(shù)，實現(xiàn)任務(wù)、風(fēng)險和合規(guī)目標(biāo)。
下表提供了每種跨支柱能力的成熟度演進(jìn)情況：
|
功能 |
傳統(tǒng)階段 |
初始階段 |
高級階段 |
最佳階段 |
|
可見性和分析 |
在企業(yè)范圍內(nèi)，手動收集有限的日志，日志質(zhì)量較差，且僅進(jìn)行了最基本的分析。 |
自動收集和分析關(guān)鍵業(yè)務(wù)的日志和事件，并定期評估可見性方面的缺口。 |
擴大了自動化日志和事件的收集范圍（包括虛擬環(huán)境），以進(jìn)行跨多個來源的集中式關(guān)聯(lián)分析。 |
通過對日志和事件的集中、動態(tài)監(jiān)控和高級分析，實現(xiàn)企業(yè)范圍內(nèi)的全面可見性。 |
|
自動化和編排 |
依靠靜態(tài)和手動流程，來編排操作和響應(yīng)活動，自動化程度有限。 |
自動化編排和響應(yīng)活動，以支持關(guān)鍵任務(wù)功能。 |
在企業(yè)范圍內(nèi)，實現(xiàn)自動化編排和響應(yīng)活動，并利用多源上下文信息來指導(dǎo)策略決策。 |
編排和響應(yīng)活動能動態(tài)響應(yīng)整個企業(yè)范圍內(nèi)的需求和環(huán)境變化。 |
|
治理 |
在整個企業(yè)中以非正式方式實施策略，主要通過手動流程或靜態(tài)技術(shù)執(zhí)行策略。 |
定義并實施適用于整個企業(yè)范圍的策略，但缺乏自動化，需要手動更新。 |
實施分層和定制的企業(yè)級策略，并盡可能利用自動化技術(shù)來支持策略執(zhí)行。訪問控制策略的決策利用了多源上下文信息。 |
實施完全自動化的企業(yè)級策略，能通過持續(xù)的策略執(zhí)行和動態(tài)更新，實現(xiàn)定制化的本地控制。 |
原文鏈接：https://www.cisa.gov/sites/default/files/2023-04/zero_trust_maturity_model_v2_508.pdf
