展望未来的研究涉及的多个方面

发布时间：2023-10-26 10:17:01 所属栏目：安全来源：

导读：在 2023 年 3 月 1 日，美国的拜登政府在公布其名为《国家网络安全策略》的文件中宣称将采取措施以提升联邦网络的安保能力。这些举措包括推进实行 Zero Trust Architecture ( ZTA) 的信息化与经营化技术的现代化和升

在 2023 年 3 月 1 日，美国的拜登政府在公布其名为《国家网络安全策略》的文件中宣称将采取措施以提升联邦网络的安保能力。这些举措包括推进实行 Zero Trust Architecture ( ZTA) 的信息化与经营化技术的现代化和升级等多个方面。

领域一：就一组普遍接受的基本 ZT 定义达成一致
根据NIST SP 800-207（零信任架构），ZT 访问决策是基于每个会话做出的。然而，“会话”一词有多种定义，2022年零信任行业日活动的小组成员强调了定义该术语和其他术语的重要性，包括每个会话、每个请求访问和每个请求日志记录。

这个更广泛的定义意味着定期需要重新身份验证和重新授权，以响应特权升级、超时或对现状的其他操作变化。类似地，其他概念（例如，按请求访问和按请求日志记录）也需要全面的定义。定义、标准化和强化这些概念将有助于巩固行业对 ZT 原则的整体理解，并描述它们在实践中的表现。

领域二：建立ZT共同观点
从操作的角度来看，组织可以从用于定义 ZT 组件之间的事件通信的既定开源标准中受益。组织还必须了解如何利用新的和现有的框架和标准来最大限度地提高 ZT 互操作性和效率。

另一个值得探索的领域是整个企业环境中使用的策略决策点 (PDP)和相关元素。现有的解决方案可以利用独特的工作流程来开发 PDP 的指令集或操作参数。对于与访问相关的决策，PDP 依赖于策略、日志、情报和机器学习(ML)。然而，关于这些因素在实践中如何发挥作用以及应如何实施的讨论却很少。为了鼓励一致性和互操作性，安全组织可以为 PDP 功能开发标准化语言，类似于为网络威胁情报开发的STIX / TAXII2标准。

领域三：建立标准 ZT 成熟度级别
现有的 ZT 成熟度模型无法提供有效转向 ZT所需的最小基线的精细控制或讨论。重要的是要考虑如何开发一个具有足够级别的成熟度模型，以帮助组织准确地确定他们必须做什么才能满足基本安全的 ZT 标准。

Padin 在演讲中强调了CISA 零信任成熟度模型的一些优势，该模型的几个支柱描绘了 ZT 背景下的不同成熟度级别。[有关CISA 零信任成熟度模型的高级视图，请参阅零信任成熟度模型的图 2（第 5 页）。]

CISA 模型帮助组织可视化最佳实践及其相关的成熟度级别，但实现 ZT 的最低要求仍然存在相当大的不确定性。如果没有明确的比较标准，组织就无法评估其当前的 ZT 成熟度状态并选择最佳行动方案。

有必要 (1) 解决 ZT 成熟度的分层问题，以及 (2) 为组织提供足够的参考材料和指导，以便他们了解自己目前所处的位置（即“现状”状态）以及需要走向何方（即他们的“未来”状态）。组织将受益于更多关于如何在其数字资产中实施 ZT 策略以实现合规性的信息，类似于最小可行产品的概念。

领域四：解释如何通过 ZT 成熟度级别取得进展
要成功进行 ZT 转型，请务必做到以下几点：

了解组织必须采取的具体步骤。
直接且有逻辑地陈述转变过程。
确定组织如何实现数字信任。

根据信息系统审计与控制协会(ISACA) 的说法，数字信任是指“对相关数字生态系统内供应商/供应商和客户/消费者之间的关系、互动和交易完整性的信心”。本质上，从网络安全的角度来看，ZT是实体之间交互的基础。数字信任更全面地涵盖内部和外部实体之间的所有交互。

这种方法为最终用户提供了有关特定产品如何利用 ZT 策略来实现数字信任的有用信息。这些协作必须侧重于确定 (1) 安全产品可以做什么和不能做什么，以及 (2) 每个产品如何与其他产品集成以实现特定级别的合规性。这些信息使组织能够更快、更高效、更有效地采取行动。

领域五：确保ZT支持分布式架构
随着云解决方案和分布式技术（例如内容交付网络 [CDN]）的日益普及，有必要开发安全框架来解决应用程序和数据从中心位置移至更靠近用户的情况。

在为 ZT 的未来开发框架和标准时，重要的是要考虑到异地数据存储正在向消费者靠拢，CDN 在现代 IT 基础设施中的普及就证明了这一点。

领域六：建立 ZT 阈值以阻止威胁
在 ZT 环境中，了解有效隔离和阻止活动或恶意软件所需的最小信息量的构成非常重要。由于越来越多的勒索软件攻击使用自定义恶意软件，因此识别此信息至关重要。为了防御这种威胁，组织必须提高检测和阻止新威胁和适应威胁的能力。ZT 的一个重要方面是使用多种策略在攻击或恶意软件传播或造成损害之前检测和隔离它们。

领域七：集成ZT 和 DevSecOps
在开发过程中，使用尽可能多的安全接触点非常重要，尤其是与ZT相关的接触点。了解如何在组织的传统技术和新兴技术的开发流程中强调安全性也很重要。

随着自动化变得越来越普遍，DevSecOps 必须考虑请求者自动化的可能性。ZTA 使用尝试相互通信的工作负载的身份来实施安全策略。这些身份不断得到验证；未经验证的工作负载将被阻止，因此无法与恶意远程命令和控制服务器或内部主机、用户、应用程序和数据进行交互。

然而，一些解决方案（例如云环境）需要漫长的过渡期并产生持续的成本。由于组织具有独特的风险承受能力，因此每个组织必须制定自己的 ZT 转型策略并指定初始阶段。每个策略和阶段都会有不同的成本和收益。

对于我们来说，零信任还在路上。然而通过拿来主义，我们可以充分的了解零信任的优缺点，以便在我们采用零信任时，以更多正反馈来服务于我们的网络安全事业。这样的方法，不仅可以提高我们的工作效率，还可以降低成本，更重要的是，我们可以通过这样的方法，更好的理解零信任的概念，从而更好的运用零信任技术。

（编辑：驾考网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!