DISA发布国防部零信任参考架构

全文约1800字5图表 阅读约5分钟

美国国防信息系统局(DISA)于5月13日在其官网宣布公开发布初始国防部(DoD)零信任参考架构,旨在为国防部增强网络安全并在数字战场上保持信息优势。而就在之前一天(5月12日),拜登发布行政命令以加强国家网络安全,明确指示联邦政府各机构实施零信任方法。

国防部零信任参考架构是一份163页的架构文件,内容相当丰富。同时,它采用了国防部信息企业架构(IEA)的术语体系,说明其将充分融入国防部专用的企业架构(EA)中。

目 录

1.背景概述

2.零信任参考架构的目录

3.零信任参考架构的复杂性

01、背景概述

美国国防信息系统局(DISA)最近发布了初始零信任参考架构。其实,DISA在2021年2月份就发布了零信任参考体系结构的1.0版,但最近才将其公开。这是美国国防部(DoD)向零信任迈进的加速剂。

DISA的163页国防部零信任参考架构,为国防部大规模采用零信任设定了战略目的、原则、相关标准和其他技术细节。零信任从基于网络的防御,转变为以数据为中心的模型,并且不向用户授予隐性信任,以防止潜在的恶意行为体在网络中移动。

国防部采用零信任的依据是三项基本准则:

永不信任,始终验证;

假设失陷;

显式验证。

“零信任框架的目的和重点是设计假设失陷的架构和系统,从而限制恶意活动的爆炸半径和暴露面,” DISA安全使能产品组合首席工程师Brandon Iske在一份声明中说。

DISA与国防部首席信息官办公室、美国网络司令部、美国国家安全局合作开发了该初始参考体系结构。

“从头到尾,这种最初DOD零信任参考架构的开发都是真正的团队努力,” DISA安全使能产品组合经理Joe Brinker说。“在此过程中,我们与国家安全局、网络司令部、国防部CIO任务合作伙伴之间建立的伙伴关系,对于开发综合参考架构至关重要,而该架构已得到国防部高级领导的一致批准。”

Brinker说:“ DISA将继续与DOD组成部门合作,以计划在国防部范围内实施零信任和开发零信任相关的企业能力。”

上个月,美国国防部首席信息官(CIO)John Sherman曾透露,国防部还正在制定一项零信任战略,并将于今年晚些时候发布。在比灵顿网络安全防御峰会上的讲话中,Sherman解释说,虽然零信任是一种网络安全和技术模型,但它更代表了国防部的观念转变。他说:“这与技术无关,而与战略有关。”

02、零信任参考架构的目录

1 战略目的(AV-1、CV-1、CV-2、OV-1)

1.1简介

1.2目的

1.3范围

1.3.1利益干系人

1.3.2架构开发

1.3.3时间框架

1.4愿景和目标

1.4.1愿景和高层级目标(CV-1)

1.4.2战略

1.4.3能力分类法(CV-2)

1.5高级运行概念(OV-1)

1.5.1决策点、组件和能力

1.6预期用途和受众

1.7假设

1.8限制条件

1.9与其他架构的联系

1.9.1 国防部网络安全参考架构(CS-RA)集成

1.9.2 国防部ICAM参考设计(RD)

1.9.3 NIST SP800-207零信任架构

1.10工具环境

1.11成熟度模型

2 原则

2.1概述

2.1.1零信任的概念和原则

2.1.2原则、支柱和能力

3 技术地位(StdV-1、StdV-2)

3.1标准配置(StdV-1)

3.2标准预测(StdV-2)

4 模式

4.1能力依赖关系(CV-4)

4.2能力到运行活动的映射(CV-6)

4.3能力到服务的映射(CV-7)

4.4运行资源流描述(OV-2)

4.5运行活动模型(OV-5b)

4.5.1简化认证请求

4.5.2设备合规性

4.5.3用户分析

4.5.4数据权限管理(DRM)

4.5.5宏观分段

4.5.6微观分段

4.5.7特权访问

4.5.8应用程序交付

5 词汇(AV-2)

5.1术语表

5.2活动定义

5.3服务定义

5.4缩略词列表

附录A:能力分类和描述(CV-2)

附录B:参考资料

03、零信任参考架构的复杂性

国防部零信任架构(ZTA)工作的范围,专门用于确定所需的能力和集成,以成功推进国防部信息网络(DoDIN)进入可互操作零信任最终状态。

国防部零信任参考架构,是指导落地的。一个显著特点是其架构内容与国防部信息企业架构(IEA)保持一致,以实现术语的一致映射,并便于作为实施参考。

从上一节的目录中可以看到,大量AV-1、CV-1、CV-2、OV-1之类的符号均来自国防部信息企业架构(IEA)。而IEA是美国国防部专用的企业架构(EA)。企业架构(EA)通常是相当复杂的,所以要真正理解国防部零信任参考架构,还是有相当门槛的。

但笔者相信,国防部零信任参考架构对于零信任的工程化落地实现,是一份宝贵材料。该架构指南中给出了15张图,笔者仅摘录其中的前4张,值得细细推敲:

图1-能力分类(CV-2)

该图展示了国防部信息企业架构(IEA)的顶级能力组件,且已经纳入了包含了零信任的核心能力,如认证、授权、访问管理、微分段、SDN等。

图2-高层级运行概念(OV-1)

上图展示了国防部零信任架构的整体运行流程:

最重要的特点是中间的两大块,分别代表了用户侧访问控制和数据侧访问控制。这样,才能把零信任的场景全面覆盖(目前业界大多只是讲述了用户侧)。

最左侧还将用户侧访问控制进行区分为非人实体访问(黄色框)和人员实体访问(蓝色框)。

最右侧是控制平面和决策引擎机制。

最下面是企业级身份服务:充分说明身份管理在零信任中的基础性作用。

图3-零信任成熟度模型

上图表明,国防部零信任实现划分了三个阶段:基线、中级、高级。

图4-零信任支柱

上图展示了国防部零信任架构的7大支柱。再次提醒,这与Forrester零信任扩展(ZTX)生态的7大支柱划分是完全一致的。

(本篇完)

文章来源:网络安全观

标签: