定义零信任：实现强大无线网络安全的行业方法和政策框架（英）

定义零信任: 强无线网络安全的行业方法和政策框架 表的内容 导言3什么是零信任？4零信任和无线行业85G网络使用并支持零信任，以现有标准为基础11政府实施零信任：当前形势和挑战13健全的零信任政策建议18结论��������������20 介绍 零信任（“ZT”）是一个在安全框架中存在了几十年的重要概念。随着无线行业继续使用越来越先进的技术发展其网络，零信任正受到越来越多的关注，特别是在围绕网络安全的政策讨论中，“零信任”已成为一个备受瞩目的流行语。遗憾的是，对零信任术语的变化、零信任概念的应用以及跨不同网络构建实现零信任所需的各种方法的不完全理解可能会使工作复杂化。 为了确保零信任不仅仅是一个流行语，本概述为政策制定者提供了理解概念及其实施背后的实际现实所需的工具。为了帮助推动围绕零信任的更有力的讨论，本文将： 1.阐明零信任原则及其实施如何促进网络安全; 2.总结零信任现有的实现通过积极的行业努力和伙伴关系，在无线生态系统中持续发展; 3.定义并阐明主要用于零信任讨论的词汇之间的差异，包括零信任、零信任架构（“ZTA”）和零信任网络访问（ “ZTNA”）; 4.零信任变异的用例,包括实现5g网络; 5.概述当前的零信任监管环境以及应改进的地方;和 6.让政府的政策建议以保持灵活性，鼓励组织在迁移到零信任和开发零信任体系结构时进行自定义，并避免强制要求或“一刀切”的解决方案。 定义零信任|3 零信任是什么? 零信任是一种基于一组概念的信息安全理念，它不是单一的解决方案、体系结构或最终状态。零信任是一组核心原则，旨在通过要求所有用户、应用程序和任何关联设备在访问网络的不同部分和相应的网络功能时持续验证网络安全方面的挑战来解决网络安全方面的挑战。 我们每天体验到的信息或网络安全依赖于了解特定用户、设备或应用程序是否有权访问信息系统或存储在该系统上的信息。对于大多数用户来说，这意味着我们有一个用户名或其他帐户来登录网络，或者我们的笔记本电脑或移动设备上的个人资料。 从这个单一入口点，网络或设备通常配置为允许根据该用户的已知方面访问特定信息、应用程序或网络。这种方法传统上被称为“单边界防御”，有时被称为“城堡和护城河”网络安全模型，因为一旦越过“护城河”屏障，用户或设备就可以完全访问其中的“城堡”。 众所周知，犯罪分子或间谍可以窃取帐户信息和密码，并使用它们冒充授权用户登录信息系统。由于如此多的网络被设置为“信任”已提供令人满意凭据的用户、设备和应用程序（即，允许根据帐户或用户信息的初始把关功能访问整个系统），因此受损的凭据或设备使不良行为者或恶意软件能够绕过网络的许多安全功能。 零信任旨在通过核心原则解决这些风险，这些核心原则要求在所有用户、应用程序和任何相关设备访问网络的不同部分时持续验证它们，并且 相应的网络功能。对于普通用户来说，这些验证过程根据网络的风险和需求，通过各种认证和授权控制协议在后台运行。 没有 T锈Z一个 从来没有信 总是验证 零信任国防 Reauthentication 需要在每个资源 传统单一的外围防御 隐式信任区域 互联网互联网 基于NIST映像的图形，可在https://www.nist获得。gov/image/zero-trust. 增强网络安全的关键零信任原则和概念 正如美国国家标准与技术研究院（“NIST”）所描述的那样，零信任最好被理解为一组概念和想法，“假设没有仅基于资产或用户帐户的物理或网络位置授予隐式信任......或基于资产所有权...”1 换句话说，当用户被授权进入围绕零信任原则构建的网络时，他们不会自动获得访问网络内数据、服务或其他资源的权限。基于ZT的网络不是默认信任每个用户，一旦他们被授权进行初始进入，而是在内部的所有点上对每个用户都持怀疑态度-也就是说，他们以“零信任”对待用户-并且所有用户，应用程序或设备每次尝试访问网络的新部分或其数据时都需要重复身份验证和授权，服务、应用程序或其他资产。 Forrester分析师约翰•Kindervag推广2人们普遍认为零信任反映了三个核心原则： 1.认为不可信。默认情况下，网络上的所有实体都是不受信任的，即使以前已授权也是如此。 2.减少访问。强制实施最低特权访问，即向用户、应用程序和设备授予其正确级别的访问授权，而不是更多 。 3.不断地监控。实施全面的安全监控，以持续验证用户、应用程序和设备。 零信任核心原则 最小特权访问执行 实现全面的安全监控 在缺省情况下,所有的实体是不可信的 1请参阅NIST，零信任架构，特别出版物800-207atii（2020年8月）（“NIST800-207”）。 2大卫·福尔摩斯和杰斯·伯恩，“现代零信任的定义”（2022年1月24日），https://www.forrester.com/blogs/the-definition-of-modern-零信任/。 网络运营商基于零信任核心原则设计“零信任架构” 如后面部分所述，网络运营商围绕零信任原则实现的系统称为零信任体系结构或ZTA。由于每个网络根据其结构、设备和系统具有不同的功能，因此ZTA本质上是不同的，以满足每个网络的特定需求。 随着零信任的不断发展，没有单一的方法来设计ZTA。但是，NIST已经确定了七个基本原则，这些原则有助于为组织的ZTA的设计和部署提供信息： 1.所有数据源和计算服务都被视为资源。 2.无论网络位置如何，所有通信都是安全的。 3.对单个企业资源的访问权限是按会话授予的。 4.对资源的访问由动态策略（包括客户端标识、应用程序/服务和请求资产的可观察状态）确定，并且可能包括其他行为和环境属性。 5.企业监视和衡量所有自有资产和相关资产的完整性和安全状况。 6.所有资源身份验证和授权都是动态的，并且在允许访问之前严格强制执行。 7.企业收集尽可能多的有关资产、网络基础结构和通信的当前状态的信息，并使用它来改善其安全状况。3 正如NIST所描述的那样，“零信任（ZT）提供了一系列概念和想法，旨在最大限度地减少在面对被视为受损的网络时，在信息系统和服务中执行准确的，最小特权的每请求访问决策的不确定性。零信任架构（ZTA）是企业的网络安全计划，它利用零信任概念，包括组件关系、工作流规划和访问策略。因此，零信任企业是作为零信任架构计划的产物为企业实施的网络基础设施（物理和虚拟）和运营策略。4 换句话说，ZTA是组织如何将零信任概念应用于自己的网络。下图显示了NIST定义的零信任体系结构的逻辑组件。 3NIST800-2076-7。 4NIST800-2074。 CDM系统 行业合规 公钥基础设施 数据访问政策 控制飞机 策略决 策点 企业资源 策略执行点 不可信的 受信任 主题 数据平面 员 策略管理 策略引擎 系统 威胁情报 活动日志 ID 管理 SIEM系统 基于NIST映像的图形，可在https://www.nist获得。gov/image/zero-trust. 零信任至关重要的两个关键方面。 首先，灵活性是零信任的基本组成部分。零信任原则在组织开发和实施适合其风险状况和上下文的ZTA时提供指导和通知。没有一个单一的ZTA是政策制定者可以指出的，也没有组织可以简单地实施的。相反，“[ZTA]使用[ZT]原则来规划工业和企业基础设施和工作流程。5 正如NIST所描述的那样，“ZT不是一个单一的架构，而是一套工作流程、系统设计和操作的指导原则，可用于改善安全状况。6每个组织的零信任体系结构和实现本质上都是唯一的。 其次，零信任是一个过程，而不是一个最终状态。重要的是要理解“实现零信任不会是具有单一终点线的静态成就。相反，零信任将随着技术和威胁形势的变化而发展。7 由于这些原因，询问组织、机构或系统是否已实现零信任的二元问题并不理想。相反，重点应放在组织用于使其基础结构和策略适应零信任概念的过程，以及它寻求通过该工作实现的结果。 5NIST800-207ii。 6NIST800-2071。 7请参阅NSTAC，零信任和可信身份管理，4日（2022年2月）向总统报告（“NSTACZT报告”）。 零信任和无线产业 零信任不是新无线领域。 随着零信任术语在围绕网络安全的政府讨论中越来越流行，供应商和服务提供商强调他们的安全产品与零信任一致，或者能够满足政府或公司的零信任需求。政策制定者必须明白，虽然强调的是新的，但零信任实施不是——事实上，这个概念已经有近三十年的历史了。 零信任可追溯至1990年代中期8，无线行业长期以来一直采用与零信任原则一致的不断发展的安全方法，甚至在当前对零信任实施的关注之前。例如，无线行业支持相互身份验证技术的发展，其中网络必须对设备进行身份验证，设备必须对网络进行身份验证。 如今，无线行业在行业标准机构以及与政府合作的探索和发展零信任原则方面处于领先地位。具体而言，该行业在多种情况下推动零信任概念和ZTA实施，例如，当提供商在自己的网络中采用零信任原则时，当无线行业开发并提供工具以帮助企业实施零信任原则时，以及当行业与政府和标准机构合作以帮助推动持续创新时。 无线行业正在与政府和标准机构合作，以推进零信任。 无线行业以及更广泛的私营部门一直在各种场所推进零信任，并通过积极参与众多标准机构和联邦咨询小组 。 ATIS航站。无线行业正在进行的零信任工作的一个例子是它参与了电信行业解决方案联盟（“ATIS”）及其技术和运营委员会。该小组正在开展一个项目，该项目除其他外，研究5G零信任解决方案以及 如何将它们与可能在整个IT基础设施（如云部署和企业IT）中采用的其他零信任解决方案集成。9 电信行业解决方案联盟（ATIS）是全球领先的电信和信息技术公司的合作伙伴关系，旨在开发标准和技术解决方案。 8堆栈规模，“什么是零信任安全模型？（2021年12月），https://www.stackscale.com/blog/零信任安全/。 9ATIS，“增强型零信任和5G”（2022年11月访问）（“ATIS增强型零信任和5G”），HTtps://www.atis。org/tops-council/enhanced-zero-trust-and-5g/. ATIS还发布了与零信任相关的出版物，这些出版物做出了重要贡献，应纳入未来的联邦政府零信任指导文件。10 CSRIC。通过参与联邦通信委员会（“FCC”）的通信安全、可靠性和互操作性委员会（“CSRIC”），更 通信安全、可靠性和互操作性委员会 （CSRIC）是一个联邦咨询委员会，汇集了私营部门和政府专家，就国家通信系统的安全性、可靠性和弹性向FCC提供建议。 广泛的 电信行业已经开发出有价值的最佳实践，应该被 联邦政府向ZTA过渡，以及政策制定者更广泛地考虑零信任原则。业界在CSRIC的零信任方面的工作还包括通过NIST的网络安全框架（“CSF”）讨论零信任原则在网络安全风险管理实施指南中的重要性。11 NSTAC。同样，国家安全电信咨询委员会（“NSTAC”）向总统提交的关于零信任和可信身份管理的报告（ “NSTACZT报告”）以行业意见为指导，旨在提供机构层面的建议，以“帮助促进网络安全”。 通过采用零信任”转变,12它还可以作为政策制定者的通用资源，因为它汇编了零信任实施的行业标准和最佳实践 。13 养。持久安全框架（“ESF”）是“一个跨部门的公私工作组，提供网络安全指导，解决国家关键基础设施面临的高优先级网络威胁”，已经制定了一个由四部分组成的系列，提供网络安全指导以支持5G云基础设施的部署。14该系列通常与NIST的零信任工作保持一致，并解决了与5G云安全相关的四个原则：（1）预防和检测横向移动;（2）安 全隔离网络资源;（3）保护传输中、使用中和静态的数据;（4）确保基础设施的完整性。15此外，这些出版物“记录了努力将零信任思维引入5G云端点