美国NSA和微软倡导网络安全零信任方法

文章来源： 红数位

美国国家安全局（NSA）和Microsoft倡导零信任安全模型，将其作为一种更有效的方法来抵御当今日益复杂的威胁。

这个概念已经存在了一段时间，并且以入侵者可能已经在网络上为前提，因此本地设备和连接永远不应被隐式信任，并且验证始终是必需的。网络安全公司多年来一直在推动零信任网络模型，作为从仅考虑外部威胁的传统安全设计的过渡。

该模型是由约翰·金德瓦格（John Kindervag）于2010年创建的，约翰·金德瓦格（John Kindervag）曾创造了“零信任”一词，当时是Forrester Research的首席分析师，但有关该模型的讨论始于2000年代初。在2009年“极光”行动之后， Google为内部项目（BeyondCorp）实施了零信任安全概念。

关键网络的零信任防御

最近的SolarWinds供应链攻击，重新让美方讨论了零信任安全体系结构对敏感网络的好处。

微软总裁布拉德·史密斯（Brad Smith）在美国参议院关于SolarWinds网络攻击的证词中主张采用零信任模型，他说，此概念是组织或机构确保其网络身份安全的最佳方法。

谈到受到攻击的美国政府网络的安全性时，史密斯说：“没有按照我们期望的联邦机构客户的常规和纪律来制定基本的网络卫生和安全最佳实践，并具有机构的安全概况。在大多数情况下，多因素身份验证，最低特权访问以及建立网络安全性的其他要求没有“零信任”环境。我们的经验和数据强烈表明，如果采取了这些步骤，即使在获得了代理机构环境的访问权限之后，攻击者在破坏有价值的数据方面也只能取得有限的成功。”-微软总裁布拉德·史密斯（Brad Smith）

现在，NSA和Microsoft都为关键网络（国家安全系统，国防部，国防工业基地）和大型企业推荐了零信任安全模型。

零信任是一个长期项目

此概念的指导原则是不断验证用户身份验证或授权，最小特权访问以及基于网络，用户，设备和应用的分段访问。

资料来源：微软

Microsoft的上 图显示了具有安全策略实施引擎的“零信任”安全性如何实时评估。在验证和认证身份并检查设备是否安全之后，该模型将授予对数据，应用程序，基础结构和网络的访问权限。

NSA解释说，了解和控制用户，流程和设备如何与数据互动是零信任的根本目的 。需要多个数据点以绘制网络上活动的准确图片，评估其合法性并防止威胁行为者的横向移动。系统可以将用户和设备数据与安全性相关的信息（例如位置，时间，记录的行为）结合在一起，以允许或拒绝对特定资产的访问，并且记录该决定以供将来进行可疑活动分析时使用。此过程适用于对敏感资源的每个单独访问请求。

但是，构建成熟的零信任环境不是一蹴而就的任务，而是一个逐步过渡，通常需要额外的功能，因为它不能解决新的对手工具，战术或技术。

“零信任嵌入了全面的安全监控；精细的基于风险的访问控制；以及在基础架构的各个方面以协调一致的方式实现系统安全自动化，以便专注于在动态威胁环境中实时保护关键资产（数据）”-🇺🇸国家安全局

好消息是，过渡可以是渐进式的，并且可以在每个步骤中降低风险，从而随着时间的推移显着提高可见性和自动响应。

🇺🇸国家安全局

零信任网络的好处

为了展示零信任网络的优势，NSA给出了三个基于实际网络安全事件的示例，其中如果实施了该概念，威胁参与者将是不成功的。

在第一个实例中，参与者使用从员工窃取的合法凭证从未经授权的设备访问受害组织的网络-在传统的安全环境中，这种身份验证级别已足够。

第二个示例的特征是一个恶意人员，该恶意人员可能是内部威胁，也可能是通过“基于Internet的移动代码攻击破坏用户设备”的行为者。

在典型的环境中，参与者可以枚举网络，提升特权并在网络上横向移动以实现持久性或找到有价值的数据和系统。

🇺🇸国家安全局

NSA的第三个示例是供应链攻击，其中，行动者将恶意代码添加到受害组织按照最佳实践定期维护和更新的“流行的企业网络设备或应用程序”中。在零信任架构下，受感染的设备或应用将无法与威胁参与者进行通信，因为默认情况下将不受信任。

“其特权和对数据的访问将受到严格控制，最小化和监视；细分（宏观和微观）将由政策实施；分析将用于监视异常活动。此外，虽然设备可能能够下载签名的应用程序更新（无论是否恶意），但在“零信任”设计下设备允许的网络连接将采用默认拒绝安全策略，因此，任何尝试连接到其他远程地址的尝试指挥和控制可能会被封锁”国家安全局（NSA）

该机构认识到，除了基于零信任模型的现有信息系统的重新设计所带来的技术挑战之外，整个组织的抵制可能是降低系统有效性的另一个障碍。用户，管理员和最高管理者都应怀有相同的思维方式，以使零信任发挥作用。也就是说，领导者应该花费资源来构建和维护它，网络管理员和防御者应该具有必要的专业知识，而用户则不能规避策略。

美国国家安全局表示：“即使将基本或中间的零信任功能集成到网络中，也必须采取后续措施，以使实施成熟起来并获得全部收益。”该机构目前正在与DoD客户合作，建立零信任系统，并与当前的NSS和DoD计划协调活动。正在准备其他指南，以使零信任原则更易于合并到企业网络中。希望采用该概念的组织还可以从NIST 以及几家网络安全公司那里找到文档和方法 ，其中一些公司提供了易于实施的解决方案。