白宫《零信任安全联邦战略》五大措施

原创 学术plus观察员 学术plus 2022-01-29 00:00

2022年1月26日，美国管理和预算办公室（OMB）正式发布《向零信任安全方法迁移的联邦战略》，要求联邦相关机构在2024财年之前满足特定的网络安全标准和目标，以增强政府应对日益复杂和持续的网络威胁的能力。

白宫发布《零信任安全战略》

作者：学术plus观察员   张涛

本文主要内容及关键词：        

1.背景：拜登行政命令；美国管理和预算办公室/OMB草案，网络安全与基础设施安全局/CISA模型与参考架构

2.零信任安全模型：零信任安全架构的作用；零信任架构的设计和部署6个基本原则

3.《零信任联邦战略》五大措施：①身份管理（使用“中心化”的身份管理系统+强多因子认证方式）②设备管理（可靠的资产目录+支持云中心的联邦架构）③网络管理（必须使用加密的DNS）④应用和工作负载（安全测试与第三方评估+不可篡改的工作负载）⑤数据管理（成立零信任数据安全指导的联合委员会）

90天内出计划！全面保障最敏感国家安全系统！
拜登《加强国家安全、国防部和情报系统网络安全》备忘录全文

白宫开源软件安全提上日程！

美国政府问责局紧急呼吁建立《国家网络安全战略》

美国《网络安全指南》规范网络事件响应“全流程标准”

美国防部2022财年预算：网络安全与作战预算超百亿美元

美国最新数字发展战略汇总

拜登whole of nation网络安全计划

特朗普签署《网络安全人才行政令》

美国《武器系统网络安全报告》

美国《国家网络安全应急措施》

内容主要整理自外文网站相关资料

仅供学习参考，欢迎交流指正！

文章观点不代表本机构立场 

1.1 拜登行政命令

2021年5月12日，美国总统拜登签署名为“加强国家网络安全的行政命令”（Executive Order on Improving the Nation Cybersecurity）以加强网络网络安全和保护联邦政府网络。其中指出：联邦政府必须采用安全最佳实践，采用零信任架构，加速向安全云服务迁移等。并要求美国管理和预算办公室（Office of Management and Budget，OMB）在90天内制定联邦云安全战略并提出针对相关机构的具体指南，向零信任架构迁移就是其中一个非常重要的方面。

1.2 草案、模型与参考架构

遵照网络安全行政命令，2021年9月，OMB发布《零信任战略草案》，以实现基于云的基础设施的安全优势并减少相关的风险。CISA（网络安全与基础设施安全局）也发布了《零信任成熟度模型》和《云安全技术参考架构》，作为OMB联邦零信任战略的补充，为相关机构提供实现最优零信任环境的路线图和资源。

1.3 联邦战略正式出台

2022年1月26日，OMB正式发布向零信任安全方法迁移的联邦战略，要求相关机构在2024财年之前满足特定的网络安全标准和目标，以增强政府应对日益复杂和持续的网络威胁的能力。

2.1 零信任安全架构的作用

零信任是John Kindervag在2010年提出的一种安全模型方法，该方法认为本地设备和连接都是不可信的，假定入侵者具有网络的访问权限，因此在每一步都需要验证。

零信任安全架构提供了旨在消除在信息系统和服务中实施准确访问决策时的不确定性的一系列概念、思想和组件关系（体系结构）。为了减少不确定性，零信任在网络认证机制中减少时间延迟的同时更加关注认证、授权、以及可信域。访问规则被限制为最小权限。

2.2 零信任架构的设计和部署基本原则

（1）所有的数据源和计算服务都被认为是资源

（2）所有的通信都是安全的，而且安全与网络位置无关

（3）对单个企业资源的访问的授权是对每次连接的授权

（4）对资源的访问是通过策略决定的，包括用户身份的状态和要求的系统，可能还包括其他行为属性

（5）企业要确保所有所属的和相关的系统都在尽可能最安全的状态，并对系统进行监控来确保系统仍然在最安全的状态

（6）用户认证是动态的，并且在允许访问前严格执行

 

联邦机构要采取的行动

《零信任联邦战略》要求相关机构在2024财年末实现特定的零信任安全目标。该战略主要参考CISA零信任成熟度模型，并与CISA零信任成熟度目标的5个支柱领域一致，分别为：身份、设备、网络、应用与工作负载、以及数据。

3.1 身份

【CISA零信任目标相应表述】身份：联邦机构工作人员使用企业级管理的身份来访问工作中使用的应用。可以应对钓鱼攻击的多因子认证来保护联邦机构工作人员免受复杂的在线攻击的影响。

白宫《零信任联邦战略》提出：

①白宫联邦机构必须使用“中心化”的身份管理系统，并融入到应用和通用平台中。

②联邦机构必须使用“强多因子认证方式”。

• 多因子认证在应用层必须要强制执行。
• 对联邦机构成员、合作商等，要使用能够应对钓鱼攻击的多因子认证。
• 对其他公共用户，应对钓鱼攻击的多因子认证可以作为可选性。
• 密码策略禁止使用特殊字符或定期更换。

③在授权用户访问资源时，联邦机构必须考虑认证用户的至少一个设备层的信号和身份信息。

3.2 设备

【CISA零信任目标相应表述】设备：联邦机构应该建立运行和授权政府使用的设备的完整目录，可以预防、检测和响应这些设备上发生的安全事件。 

白宫《零信任联邦战略》提出：

• 联邦机构必须通过参与CISA CDM项目来创建可靠的资产目录；

• CISA将设计一个CDM项目来更好地支持以云为中心的联邦架构；

• 联邦机构必须确保终端检测和响应（EDR）工具满足CISA的技术要求，并广泛部署。

• 联邦机构必须与CISA协作来识别实现的不足，与EDR工具的部署一致，建立信息共享能力。

3.3 网络

【CISA零信任目标相应表述】网络：联邦机构应该加密环境中所有的DNS请求和HTTP流量，并将其边界变成隔离的环境。 

白宫《零信任联邦战略》提出：

• 联邦机构必须使用加密的DNS来解析DNS请求；

• CISA的Protective DNS项目将支持加密的DNS请求；

• 联邦机构必须对所有的web和API流量强制使用HTTPS；

• 联邦机构必须与CISA协作来预加载.gov域名到web浏览器中，并且只可以通过HTTPS访问；

• CISA将与FedRAMP合作来评估政府范围内加密邮件解决方案来对OMB提出建议；

• 联邦机构必须制定零信任架构方案，方案要明确机构进行环境隔离的方法并作为零信任实现方案的一部分提交给OMB。

3.4 应用和工作负载

【CISA零信任目标相应表述】应用和工作负载：联邦机构应该将所有应用看做是联网的，定期对应用进行严格的测试，并接收来自外部的漏洞报告。 

白宫《零信任联邦战略》提出：

• 联邦机构必须进行应用安全测试；

• 联邦机构必须使用专注于应用安全的公司来进行独立的第三方安全评估；

• CISA和GSA协作来快速采购此类服务；

• 联邦机构必须将所有使用的非.gov主机名提交给CISA和GSA；

• CISA和GSA要协作来为联邦机构提供其在线应用和其他资产的数据；

• 联邦机构在部署服务尤其是部署基于云的基础设施时要使用不可篡改的工作负载。

3.5 数据

【CISA零信任目标相应表述】数据：联邦机构应该对数据进行分类，并利用云安全服务来监控对敏感数据的访问，实现企业级的日志和信息共享。 

白宫《零信任联邦战略》提出： 

• 联邦首席数据管与首席信息安全官将成立一个为相关机构提供零信任数据安全指导的联合委员会。
• 联邦机构必须实现初步的自动化数据分类和安全响应，主要解决敏感文档的标记和访问管理。
• 联邦机构必须对商业云基础设施中所有加密数据的访问进行审计。
• 联邦机构必须与CISA协作来实现综合的日志和信息共享。

【参考链接】

https://zerotrust./federal-zero-trust-strategy

https://zerotrust./

https://www./omb/briefing-room/2022/01/26/office-of-management-and-budget-releases-federal-strategy-to-move-the-u-s-government-towards-a-zero-trust-architecture/

https://zerotrust./downloads/M-22-09%20Federal%20Zero%20Trust%20Strategy.pdf

https://nvlpubs./nistpubs/SpecialPublications/NIST.SP.800-207-draft.pdf

（全文完）