定义零信任 ： 实现强大无线网络安全的行业方法和政策框架

定义零信任： 实现强大无线网络安全的行业方法和策略框架 目录 介绍-零度------------------------------------------------------------------------------------------------在现有标准的基础上...11政府实施零信任：当前的环境和挑战13健全零信 任政策的建议-20------------------------------------------------------------------------ Introduction 零信任（“ZT”）是一个重要的概念，在安全框架中已经存在了几十年。随着无线行业继续以日益先进的技术发展其网络，零信任受到越来越多的关注-特别是在围绕网络安全的政策讨论中，“零信任”已成为一个备受瞩目的流行语。不幸的是，对零信任术语的变化，零信任概念的应用以及跨不同网络构建实现零信任所需的各种方法的不完全理解会使工作复杂化。 为了确保零信任不仅仅是一个流行语，本概述为政策制定者提供了他们需要的工具，以了解其实施背后的概念和实际现实。 为了帮助推动围绕零信任的更有力的讨论，本文将： 1.阐明零信任原则及其实施如何促进网络安全； 2.总结零信任的现有实现通过积极的行业努力和伙伴关系，无线生态系统的持续发展； 3.定义并澄清主要在零信任讨论中使用的词汇之间的差异，包括零信任、零信任架构(“ZTA”)和零信任网络接入(“ZTNA”)； 4.识别零信任用例中的变化，包括在5G网络中的实施； 5.概述当前的零信任监管格局以及应在何处进行改进；and 6.向政府提出政策建议为了保持灵活性，鼓励在组织迁移到零信任和零信任架构的开发中进行定制，并避免强制要求或“一刀切”的解决方案。 定义零信任|3 什么是零信任？ 零信任是一种基于一组概念的信息安全理念-它不是单一的解决方案、架构或最终状态。零信任是一组核心原则 ，旨在通过在访问网络的不同部分和相应的网络功能时要求对所有用户、应用程序和任何关联设备进行持续验证来应对网络安全方面的挑战。 我们每天体验的信息或网络安全依赖于了解特定用户、设备或应用程序是否被授权访问信息系统或存储在该系统上的信息。对于大多数用户来说，这意味着我们有一个用户名或其他帐户来登录网络，或者我们的笔记本电脑或移动设备上的配置文件。 从该单个入口点,网络或设备通常被配置为允许基于该用户的已知方面访问特定信息、应用或网络。传统上称为“单一外围防御”，这种方法有时被称为“城堡和护城河”网络安全模型-因为一旦越过“护城河”屏障，用户或设备就可以完全访问“城堡”。 众所周知，犯罪分子或间谍可以窃取帐户信息和密码，并在冒充授权用户的同时使用它们登录信息系统。由于建立了如此多的网络来“信任”已提供令人满意的凭据的用户，设备和应用程序-也就是说，允许基于帐户或用户信息的初始网守功能在整个系统中进行访问-受损的凭据或设备使攻击者或恶意软件能够绕过网络的许多安全功能。 零信任旨在通过核心原则来解决这些风险，这些核心原则要求在所有用户、应用程序和任何相关设备访问网络的不同部分时进行持续验证 相应的网络功能。对于普通用户来说，这些验证过程根据网络的风险和需求，通过各种认证和授权控制协议在后台运行。 No T锈蚀Z一个永远不要相始终验证 零信任防御 重新验证需要在每个资源 传统单周防御 隐式信任区 INTERNET 基于NIST图像的图形，可在https://www.nist.gov/image/zero-trust获得。 增强网络安全的关键零信任原则和概念 正如国家标准与技术研究所（“NIST”）所描述的那样，零信任最好被理解为一组概念和思想，“假设没有仅基于资产或用户帐户的物理或网络位置而授予资产或用户帐户的隐式信任……或基于资产所有权……”1 换句话说，当用户被授权进入围绕零信任原则构建的网络时，他们不会被自动授予访问网络内数据、服务或其他资源的权限。基于ZT的网络不是在默认情况下信任每个用户，一旦他们被授权初始进入，而是在内部的所有点上都怀疑每个用户-也就是说，他们以“零信任”对待用户-以及所有用户，应用程序或设备每次尝试访问网络的新部分或其数据 、服务、应用程序或其他资产时都需要重复的身份验证和授权。 由Forrester分析师JohnKindervag推广，2人们普遍认为，零信任反映了三个核心原则： 1.假设不可信。默认情况下，网络上的所有实体都是不可信的，即使先前已授权。 2.最小化访问。强制实施最低权限访问-也就是说，用户，应用程序和设备被授予正确级别的访问权限，永远不会更多。 3.不断监测。实施全面的安全监控以持续验证用户、应用程序和设备。 零信任核心原则 强制实施最低特权访问 实施全面的安全监控 默认情况下，所有实体均不可信 1参见NIST，零信任架构，特别出版物800-207，第2页(2020年8月)(“NIST800-207”)。 2大卫·霍姆斯和杰西·伯恩，“现代零信任的定义”(2022年1月24日)，https://www.forrester.com/blogs/the-definition-of-moderny-zero-trust/。 网络运营商基于零信任的核心原则设计“零信任架构” 正如在后面的章节中进一步描述的那样，网络运营商围绕零信任原则实现的系统称为零信任架构或ZTA。由于每个网络根据其结构，设备和系统具有不同的功能，因此ZTA固有地不同以满足每个网络的特定需求。 随着零信任的不断发展，没有单一的方法来设计ZTA。但是，NIST已经确定了七个基本原则，这些原则有助于为组织的ZTA的设计和部署提供信息： 1.所有数据源和计算服务都被视为资源。 2.无论网络位置如何，所有通信都是安全的。 3.在每个会话的基础上授予对单个企业资源的访问权限。 4.对资源的访问由动态策略确定-包括客户端身份、应用/服务和请求资产的可观察状态-并且可以包括其他行为和环境属性。 5.企业监控和测量所有拥有和关联资产的完整性和安全状况。 6.所有资源身份验证和授权都是动态的，并且在允许访问之前严格执行。 7.企业尽可能多地收集有关资产，网络基础设施和通信的当前状态的信息，并将其用于改善其安全状况 。3 正如NIST所描述的那样，“零信任（ZT）提供了一系列概念和思想，旨在最大程度地减少在面对被视为受损的网络时在信息系统和服务中执行准确，每个请求的最小特权访问决策时的不确定性。零信任架构(ZTA)是企业的网络安全计划，它利用零信任概念，涵盖组件关系、工作流规划和访问策略。因此,零信任企业是作为零信任架构计划的产物而为企业设置的网络基础设施(物理和虚拟)和操作策略。."4 换句话说，ZTA是组织如何将零信任概念应用于其自己的网络。下图显示了NIST定义的零信任体系结构的逻辑组件。 3NIST800-207在6-7。 4NIST800-207at4. CDM系统 行业合规性 PKI 数据访问策略 控制平面 政策决 策点 企业资源 策略实施点 不可信 受信任 主题 数据平面 员 策略管理 策略引擎 系统 威胁情报 活动日志 ID 管理 SIEM系统 基于NIST图像的图形，可在https://www.nist.gov/image/zero-trust获得。 零信任的两个关键方面至关重要。 首先，灵活性是零信任的基本组成部分。零信任原则在组织制定和实施适合其风险状况和环境的ZTA时提供指导和信息。政策制定者没有单一的ZTA可以指向或组织可以简单地实施。相反，“[ZTA]使用[ZT]原则来规划工业和企业基础设施和工作流程。”5 正如NIST所描述的那样，“ZT不是一个单一的体系结构，而是一套用于工作流，系统设计和操作的指导原则，可用于改善安全状况。”6每个组织的零信任架构和实现将固有地独特。 第二，零信任是一个过程，而不是结束状态。重要的是要理解，“[a]零信任不会是一个单一终点线的静态成就，相反，零信任将随着技术和威胁格局的变化而发展。7 出于这些原因，问一个组织、机构或系统是否实现了零信任的二元问题并不理想。相反，重点应该放在组织正在使用的过程中，使其基础设施和政策适应零信任概念，以及它通过这项工作寻求实现的结果。 5NIST800-207atii. 6NIST800-207在1。 7参见NSTAC，零信任和可信身份管理，4（2022年2月）向总统报告（“NSTACZT报告”）。 零信任与无线产业 零信任对无线领域来说并不陌生。 随着零信任条款在政府关于网络安全的讨论中越来越受欢迎，供应商和服务提供商都在强调他们的安全产品与零信任相一致，或者能够满足政府或公司的零信任需求。对于政策制定者来说，重要的是要理解，尽管重点是新的 ，但零信任的实施却不是-实际上，这个概念已经存在了近三十年。 零信任可以追溯到1990年代中期8，并且无线行业长期以来一直采用与零信任原则一致的不断发展的安全方法，甚至早于当前对零信任实施的关注。例如，无线行业已经支持相互身份验证技术的发展，其中网络必须对设备进行身份验证，而设备必须对网络进行身份验证。 如今，无论是在行业标准机构还是与政府合作，无线行业都在探索和发展零信任原则方面处于领先地位。具体来说，该行业在多种情况下推动零信任概念和ZTA实现，包括例如，当提供商在自己的网络中采用零信任原则时，当无线行业发展并提供工具来帮助企业实施零信任原则时，以及当行业与政府和标准机构合作以帮助推动持续的创新时。 无线行业正在与政府和标准机构合作，以推进零信任。 无线行业以及更广泛的私营部门一直在通过与众多标准机构和联邦咨询小组的积极参与，在各个场所推进零信任。 ATIS.无线行业正在进行的零信任工作的一个例子是它参与了电信行业解决方案联盟(“ATIS”)及其技术和运营委员会。该小组正在研究一个项目，该项目除其他外，研究5G零信任解决方案，以及它们如何与其他可能在整个IT基础设施（如云部署和企业IT）中采用的零信任解决方案集成。9 电信行业解决方案联盟（ATIS）是全球领先的电信和信息技术公司的合作伙伴关系，致力于开发标准和技术解决方案 。 8Stackscale，“什么是零信任安全模型？”（2021年12月），https://www.stackscale.com/blog/zero-trust-security/。 9ATIS，“增强的零信任和5G”（2022年11月访问）（“ATIS增强的零信任和5G”），https://www.atis。org/tops-council/enhanced-零信任和5G/ 。 ATIS还发布了与零信任相关的出版物，这些出版物做出了重要贡献，应纳入未来的联邦政府零信任指导文件。 10 通信安全，可靠性和互操作性委员会 （CSRIC）是一个联邦咨询委员会，汇集了私营部门和政府专家，为FCC提供有关国家通信系统的安全性，可靠性和弹性的建议。 CSRIC.通过参与联邦通信委员会(“FCC”)的通信安全、可靠性和互操作性委员会(“CSRIC”)，更广泛的 电信行业已经开发了有价值的最佳实践，应该由 联邦政府过渡到ZTA，以及政策制定者更广泛地考虑零信任原则。CSRIC中关于零信任的行业工作还包括通过NIST的网络安全框架（“CSF”）讨论零信任原则在网络安全风险管理实施指南中的重要性。11 NSTAC。同样，在行业投入的指导下，国家安全电信咨询委员会（“NSTAC”）向总统提交的关于零信任和可信身份管理的报告（“NSTACZT报告”）旨在提供机构层面的建议，以“帮助催化网络安全” 通过零信任采用进行转型，“12它还可以作为政策制定者的一般资源，因为它为零信任实施编制行业标准和最佳实践。13 ESF.持久安全框架（“ESF”）是一个跨部门的公私工作组，提供网络安全指导，