全文约5000字 阅读约15分钟 这无疑是目前零信任应用领域的最大消息——表明整个美国联邦政府已经正式开启零信任战略。 美国管理和预算办公室(OMB)在2021年9月7日发布了《联邦零信任战略》(Federal Zero Trust Strategy)草案,以支持第14028号行政命令(EO 14028)《改善国家网络安全》,以改变民用机构的企业安全架构,使其基于零信任原则。 拜登总统曾在EO 14028中指出:“渐进式改进不会为我们提供所需的安全性;相反,联邦政府需要做出大胆的改变和重大的投资,以保护支撑美国生活方式的重要机构。” 而本次的《联邦政府零信任战略》无疑就是对此的最好支持和回应。 《联邦政府零信任战略》的目的是将政府机构的企业安全架构迁移到零信任架构。但该战略文件是一个起点,而不是完全成熟的零信任架构的综合指南。当然,零信任的成熟度模型和参考架构,已经在该战略的参考文献中列出,政府机构应该使用它们来规划和执行其长期安全架构的迁移计划。 本战略草案的PDF文档有23页,译文大概1万5千字。笔者概述了本战略的内容要点,并做了相关解读。 战略草案原文链接:https://zerotrust./federal-zero-trust-strategy/ 2.战略路径解读 3.支柱目标1:身份 4.支柱目标2:设备 5.支柱目标3:网络 6.支柱目标4:应用 7.支柱目标5:数据 8.本战略的参考文件 本战略文档开宗明义:“管理和预算办公室(OMB)在2021年9月7日发布《联邦政府零信任战略》草案,以支持第14028号行政命令(EO 14028)《改善国家网络安全》,以改变民用机构(civilian agencies)的企业安全架构,使其基于零信任原则。” 笔者对上面这段文字,给予解读: 1)零信任战略是用来支撑EO 14028的。该战略中也重申了EO 14028的重要性:“成功地使联邦政府的安全方法现代化,需要全政府的努力。2021 年 5 月,总统发布了第14028号行政命令 (EO),《改善国家网络安全》,启动了政府范围内的全面努力,以确保基线安全实践到位,将联邦政府迁移到零信任架构,并实现基于云的基础架构的安全优势,同时降低相关风险。”很明显,EO 14028中已经对联邦政府向零信任架构的迁移做出了明确指示。而这次发布的《联邦零信任战略》就是进一步明确联邦政府零信任战略的实施。 2)战略中最重要的关键词无疑是“机构”(agencies)。简单理解,主要是只政府机构。那为什么要强调“民用机构”(civilian agencies)呢?这主要是和美国国防部这类的“军用机构”划分界限。我们可以简单讲本战略中的“民用机构”理解为“政府机构”。 3)为什么要保护这些政府机构?该战略中提到:“每天,联邦政府都在执行独特且极具挑战性的任务:机构保护我们国家的关键基础设施、开展科学研究、参与外交、为美国人民提供福利和服务,以及许多其他公共职能。为了有效地执行这些任务,我们的国家必须明智而积极地利用现代技术和安全实践,同时避免恶意网络活动造成的破坏。” 4)零信任战略的目的是将政府机构的企业安全架构迁移到零信任架构。这里面的“企业安全架构”就不多解释了。在美国人眼中,一切机构皆为“企业”,不论民用机构还是军用机构。比如,美国国防部,就是最典型的“企业”。 5)评论期很短,正式版可能很快发布。注意到,该战略草案的评论期只有两周(2021年9月21日之前),时间很短。说明OMB希望尽快发布正式版。 6)美国国防部是美国联邦政府机构的零信任先锋。美国机构虽然有军用和民用之分,但不要轻视美国国防部对美国联邦政府的影响力。美国国防部曾经称自己不是一个“热衷于追求热词”的部门。但在零信任这个方向上,国防部如此激进,甚至走在所有联邦政府机构的前头,就是因为美国国防部提前认识到零信任的价值。而现在整个联邦政府都全面转向零信任架构,不能不说:美国国防部功不可没。笔者当然是深知美国国防部的影响力,所以才会在美国国防部开始重视零信任的早期,就密切关注零信任形势的发展。 7)尽管零信任背后的概念并不新鲜,但对联邦机构而言仍然是一个重大转变,因为从概念上消除了对设备和网络的隐性信任。这要求美国政府机构的安全架构必须假设——网络和其他组件将受到入侵和损害,并且要求遵循最小权限原则。 8)联邦政府零信任战略是一项大胆的行动。对于像联邦政府这样复杂且技术多样的企业来说,过渡到零信任架构不是一项容易的任务。但正如拜登总统在 EO 14028 中所述,“渐进式改进(Incremental improvements)不会为我们提供所需的安全性;相反,联邦政府需要做出大胆的改变(bold changes)和重大的投资(significant investments),以保护支撑美国生活方式的重要机构。” 9)零信任战略实施进展时间要求:
零信任战略并不试图描述或规定一个完全成熟的零信任实现。甚至不鼓励任何机构超越此战略中所述的行动。该战略的目的是通过制定机构必须采取的初始步骤,将所有联邦机构置于一个共同路线图上,以使其迈向通往高度成熟的零信任架构的旅程。它承认每个机构目前处于不同的成熟状态。 2)联邦零信任战略是什么? 零信任战略的目标是加速各机构实现早期零信任成熟度的共享基线。 对于政府机构来说,转向零信任架构将是一个多年的旅程。 “EO 14028 指示机构专注于满足整个政府的关键基线安全措施,例如通用日志记录、多因素身份验证 (MFA)、可靠的资产清单、无处不在的加密使用,并采用零信任架构。” 该战略试图将机构引导到零信任架构道路上的最高价值起点,并描述了应优先考虑的几种共享服务。简单地说,联邦零信任战略是将政府机构引导到零信任的正确道路上,而且只是开了个头。 3)联邦零信任战略设想了一个联邦零信任架构:
:(分组依据是CISA (网络安全和基础设施安全局) 零信任成熟度模型的五个支柱)为什么美国国防部的零信任架构是七大支柱,而联邦政府却是五大支柱? 本质上,两者是一致的。看似消失的两个支柱—— 可见性和分析、自动化和编排,实际上是两类横切系统(在下图的底座中),贯穿到五大支柱(纵向系统)中。 零信任的基础:五大支柱和三大基座 5)《美国国防部零信任参考架构》仍是联邦政府零信任架构的重要参考。该战略确实完整引用了《美国国防部零信任参考架构》中的零信任原则,不再赘述。 机构的首席财务官、首席采购官、机构领导层的其他人员,需要与其IT和安全领导层合作,以构建运营模型(operational model)来部署和维持零信任能力。 7)联邦零信任战略非常推崇对云的使用该战略鼓励机构利用云基础设施中丰富的安全功能,该战略也多处引用云服务。 8)五大支柱目标的分解行动,如后文所述。 1)愿景 1. 企业范围的身份 2. 多因素认证,抵御网络钓鱼 3. 面向公众的身份验证4. 使用强口令策略 1)愿景联邦政府拥有它运行和授权用于政府工作的每台设备的完整清单,并且可以检测和响应这些设备上的事件。2)行动
1)愿景 机构在其环境中加密所有 DNS 请求和 HTTP 流量,并开始围绕其应用程序对网络进行分段。联邦政府确定了对传输中的电子邮件进行加密的可行途径。 2)行动
1)愿景 机构将他们的应用程序视为连接到互联网,定期对其进行严格的实证测试,并欢迎外部漏洞报告。 2)行动
本战略指出:一段时间以来,联邦政府一直在为过渡到零信任架构做准备。一些机构已经发布了对其他机构有帮助的架构模型:
|
|
来自: 宋志刚k5lpi995 > 《安全》