“我們在西海岸與一家供應商會面-我不能說是誰-看到他們如何在自己的基礎架構中端到端實施它。他們從用戶身份，端點身份到應用程序全面地研究（網絡安全性）。他們的所作所為給我留下了深刻的印象。” DISA的史蒂夫·華萊士（Steve Wallace）說。
巴里·羅森伯格2020年1月20日
美國國防部長馬克·埃斯珀（Mark Esper）在2019年9月19日在馬里蘭州國家港口舉行的CISA第二屆年度全國網絡安全峰會上與網絡安全和基礎設施安全局局長Christopher Krebs進行交談
美國國防部國防信息系統局（DISA）是一家迅速接受最新行業流行語的機構，但以前對於採用最近最流行的網絡安全術語之一“零信任”（Zero Trust）持謹慎態度。現在，DISA有一個公開的“零信任”計劃，這是美國網絡司令部（Cyber Command）的一項小型試點計劃，最早可以追溯到去年夏天。
DISA新成立的新興技術局局長華萊士（Steve Wallace ）最初並不認可“零信任”理念。在上週舉行的AFCEA DC午餐會上，華萊士表示自己曾是零信任的“懷疑論者”，開玩笑說要購買“零信任的盒子”，並嘲笑銷售零信任的公司，錯誤地暗示這是一種產品。只需購買並安裝在客戶的網絡上，即可立即獲得零信任。
在AFCEA DC小組會議之後，華萊士告訴Breaking Defense為什麼他改變了主意。 “由於它的流行語性質，我開始對此表示懷疑。當您與供應商交談時（他們說），如果您實施（零信任），那您就很好了。”他說，並指出“零信任”是一套設計原則，而不是可以插入的東西。
華萊士說，看到零信任的運作理念後，他開始認可零信任理念。
“我們在西海岸與一家供應商會面-我不能說誰-看到他們如何在自己的基礎架構中端到端實施它。他們從用戶身份，端點身份到應用程序全面地研究（網絡安全性）。他們的所作所為給我留下了深刻的印象。
“這讓我開始思考，好吧，一切都只是一個屬性。傳統上，我們擔心CAC（通用訪問卡）；用戶是有效用戶（例如）嗎？但是我們不會查看會話的其他屬性，無論是用戶，網絡，一天中的時間，還是機器是否受信任。我們認為這些是屬性。該應用程序具有其自己的屬性集。零信任成為基於屬性的訪問決策。多年來，我們一直在談論ABAC（基於屬性的訪問控制），通常是圍繞用戶。但是，在我看來，零信任關係到整個堆棧的屬性。
“因此，這就是我們正在關注的重點。用戶訪問給定數據集的途徑中所有事物的屬性是什麼，我們如何做出適當的決定？
華萊士說，美國國防部已經在其“ Comply to Connect”程序中使用了其中一些概念，該程序在允許筆記本電腦和移動設備連接到網絡之前先對其進行驗證。
零信任是一種方法，而不僅僅是工具或產品。它打包了一組現有技術和流程，例如多因素身份驗證，身份和訪問管理以及數據分析，以提供深度防禦，以阻止即使攻擊者突破了網絡。
它基於一個簡單的概念進行操作：不要相信任何在您的網絡內部運行的人，並使他們一次又一次地驗證其身份。零信任是指用於隔離和管理網絡的下一代防火牆（有時稱為微邊界或微分段）的體系結構。每個人（無一例外）都需要在訪問IP地址，服務器，數據和計算機的每一步中提供多種身份驗證方法。
美國國防創新委員會在 2019年7月發表的題為《零信任之路（安全）》的報告中說：“零信任架構（ZTA）能夠從根本上改變跨國防部網絡的安全性和數據共享的有效性 。” “從安全角度來看，ZTA可以更好地跟蹤和阻止外部攻擊者，同時限制內部人為錯誤導致的安全漏洞。從數據共享的角度來看，ZTA可以更好地管理跨DoD的用戶和設備的訪問規則，以促進從企業中心到戰術邊緣的安全共享。
“此外，（零信任）的網絡設計和靈活性將幫助美國國防部更快地採用和實施從雲計算到人工智能和機器學習的關鍵網絡技術和支持。”
零信任既針對已經突破網絡的外部攻擊者，又針對惡意內部人員，旨在防止他們在尋找敏感數據時橫向穿越網絡。
例如，愛德華·斯諾登（Edward Snowden）擁有合法證書，可以在美國國家安全局（National Security Agency）網絡中擔任分包商。但是，沒有辦法知道他正在下載有關NSA監視程序的最高機密材料，因為沒有另外的微邊界可以阻止未經適當身份驗證的下載。
零信任假設會通過稱為“最小特權”的原則來發現或阻止其活動，該原則為用戶提供了訪問其工作所需的數據，應用程序和服務所需的最小網絡特權。
零信任的起源
在任何網絡安全會議的展位中漫步，您會看到多家供應商將零信任作為最新的網絡安全手段。但這已經至少存在了十年。該概念由Forrester Research分析師於2010年首次提出。
為了更好地理解零信任，以及為什麼兩種最常見的網絡安全架構無法正常工作，必須具備一定的背景知識。
第一種體系結構是基本的城堡式護城河結構，其中定義的邊界受防火牆保護。但是，一旦進入外圍，用戶和惡意行為者便可以不受限制地在應用程序和數據服務器之間移動。
第二種結構指示了當今不斷擴展的環境-用於解決雲計算和移動設備的端點保護。但是，就像城堡和護城河一樣，一旦端點遭到破壞，任何人都可以在網絡內漫遊。
每種體系結構的主要安全缺陷是外圍保護建立在信任之上。如果您具有正確的密碼和憑據，則可以訪問網絡，無論您是合法用戶還是對手。
但是，現實情況是，有大量公司和政府機構已成為網絡釣魚攻擊的犧牲品，在這些網絡釣魚攻擊中，員工無意間洩露了合法憑據。其中許多導致特權升級，攻擊者通過低級員工的帳戶獲得網絡訪問權限，然後操縱其方式來獲得更高的特權和敏感數據，從而導致漏洞洩露，對運營和國家安全產生巨大影響。研究表明，這種間諜活動可以在公司發現違規行為之前持續進行六個月或更長時間。
從事主要防禦工作的第三方供應商尤其令人擔憂，因為它們通常不具備先進的網絡安全功能來阻止黑客進入，從而為竊取與主要武器系統有關的數據打開了大門。
國防創新委員會表示：“這種對網絡外圍用戶和設備的盲目信任方法是不可持續的，在解決之前，它將繼續使國家安全信息和運營面臨風險。”成立以向國防部長提供獨立建議。“或者，零信任不提供默認信任。相反，它需要了解用戶和機器，確定端點及其安全狀態以及圍繞網絡訪問策略的治理，從而消除了人為錯誤。
國防部“零信任”理念
“零信任”已經在五角大樓備受關注，但是在2019年7月，將其方法學的實現只是一個具體目標，當時它被納入了國防部72頁的國防部數字現代化戰略中。
這很可能是由於DoD在聯合企業防禦基礎架構（JEDI）計劃下采用了雲計算。儘管各種軍事組織都站起了自己的專用雲，但價值100億美元的JEDI合同（由微軟贏得，但遭到Amazon Web Services抗議）是第一個嘗試安裝DoD範圍的雲計算架構的合同。
現代化戰略指出：“雲部署是實施零信任概念的絕佳候選者，尤其是在使用商業雲時”。“如果雲基礎架構本身遭到破壞，那麼符合零信任關係的架構將為那些試圖在我們的虛擬網絡中立足的對手提供保護。
“儘管商業云為擴展能力和控制成本提供了絕佳的機會，但由於我們無法控制基礎架構，而且可能存在溝通妥協的延遲，因此它們帶來了風險。零信任使您受到損害的假設特別適合於雲基礎架構。”
儘管國防部沒有為實施“零信任”規定任何時間表，但它確實承認時間表具有不確定的性質，因為整個國防部都有大量孤立的網絡。與任何可能削弱個人在組織中的權力的管理活動一樣（在這種情況下，這可能是某些網絡特權的潛在喪失），還必須解決文化方面的問題。
國防創新委員會表示：“向（零信任）的任何轉變都可能必須是漸進的，首先是針對應用程序和服務的標準身份檢查集，這些檢查可以逐步集成到跨國防部的身份驗證和授權的通用機制中。” “作為這項工作的一部分，國防部將需要改善其數字管理並跟蹤整個組織中的用戶角色（以及這些角色的更改），以便為特定應用程序和服務建立訪問控制。
“儘管其中一些工作需要重新配置安全體系結構，但還需要在整個國防部中改變安全文化，以促進角色和其他身份特徵的準確一致的記錄保持。”
閱讀更多 明日情報 的文章
