2023 年 4 月，CISA 发布了《Zero Trust Maturity Model 2.0》，根据美国联邦行政命令《改善国家网络安全》（EO 14028）和美国白宫办公厅（OMB）备忘录《将美国政府引向零信任安全原则》（M-22-09）对其零信任成熟度模型进行了调整完善。笔者近期重新阅读了《CISA 零信任成熟度模型》（以下简称ZT模型），有了一些新的理解供有兴趣的读者参考。
背景：
ZT模型旨在帮助零信任供应商、企业用户和安全研究人员在设计、实施零信任项目时，正确理解零信任实践面临的挑战、成熟度路线和未来前景。网络安全和基础设施安全局（CISA）是美国国家层面理解、管理和降低网络安全风险的领导机构，包括为联邦文职行政部门的网络安全计划和能力实施提供支持。CISA的ZT模型提供了一种零信任的持续性实现途径，以适应快速变化的网络环境和技术发展。在联邦行政命令《改善国家网络安全》（EO 14028）中，美国政府要求各联邦机构制定各自的零信任架构（ZTA）实施计划，ZT模型是设计和实施零信任迁移计划的众多途径之一。
一、五大支柱
ZT模型在 5 个不同方面或支柱逐步实施零信任改进的过程，包括身份、设备、网络、应用与工作负载，以及数据。此外，还包含了一些横跨所有支柱的能力：可见性与分析、自动化与编排，以及治理。
美国国防部的零信任参考架构与CISA的架构保持了一致，具体如下图所示，CISA给出了零信任的参考架构，而美国国防部给出了实施零信任的具体实践方案。
图2：零信任成熟度历程
与此对应的，在美国国防零信任参考架构中，也分阶段进行了实现，具体包括零信任准备阶段和不断发展的零信任能力和控制，其中将零信任的旅程分为了基线、过渡状态和目标状态，并分阶段进行逐步实现。
图3：美国国防零信任成熟度级别
支柱 | 最佳 （Optimal） | 高级 （Advanced） | 初始 （Initial） | 传统阶段 （Traditional） |
应用和工作负载 | ▪ 通过公共网络提供的应用程序具有持续授权访问权限 ▪ 在所有工作流程中防止复杂攻击 ▪ 在整个生命周期中集成了安全测试的不可变工作负载 | ▪ 大多数任务关键型应用程序可通过公共网络向授权用户提供 ▪ 通过基于上下文的访问控制，将保护集成到所有应用程序工作流程中 ▪ 协调开发、安全和运营团队 | ▪ 一些任务关键型工作流具有集成保护，授权用户可以通过公共网络访问 ▪ 通过CI/CD管道的正式代码部署机制 ▪ 部署前的静态和动态安全测试 | ▪ 可通过专用网络访问的关键任务应用程序 ▪ 保护具有最小的工作流集成 ▪ 特定的开发、测试和生产环境 |
表1：应用和工作负载的高级零信任成熟度模型概述
消除隐含信任：无论是通过专用网络访问，还是通过公共网络访问，都要采用零信任的方法； 采取一致到安全策略：用户在任意位置、使用任意终端都可以访问任意应用，前提是采用一致的安全策略； 加密传输：无论使用专用网络还是使用公共网络访问，都要使用加密传输以保证传输安全； 降本增效：通过使用公共网络可以大幅降低MPLS、VPN等专用网络的投资，同时，因为采用零信任架构，消除了隐含信任，采用一致的安全策略，可以在任意位置安全的访问任意应用，工作效率也得到提升。
图4：基于零信任架构的全面集成的平台
推荐站内搜索：最好用的开发软件、免费开源系统、渗透测试工具云盘下载、最新渗透测试资料、最新黑客工具下载……
还没有评论，来说两句吧...