零信赖未来钻研的八个畛域

2023年3月1日美国颁布《国度网络安保战略》，拜登政府承诺经过实施零信赖架构（ZTA）战略以及消息技术（IT）和运营技术（OT）基础设备的现代化来改善联邦网络安保。

美国卡内基梅隆大学对零信赖启动了引见，重点引见了八个潜在的钻研畛域。

畛域一：就一组普遍接受的基本 ZT 定义达成分歧

SP 800-207（零信赖架构） ，ZT 访问决策是基于每个会话做出的。但是，“会话”一词有多种定义，2022年零信赖行业日优惠的小组成员强调了定义该术语和其余术语的关键性，包含每个会话、每个恳求访问 和恳求记载

Paul Martini 将会话形容为 ZTA中的外围概念，通常指用户访问企业资源时的特定实例。

虽然NIST SP 800-207规则访问决策是基于每个会话做出的，但NIST还颁布了 CSWP 20 ，其中明白指出“‘会话’的单位或者是含糊的，并且依据工具、架构等的不同而有所不同。”NIST进一步将会话形容为“应用一种网络身份和该身份的一种权限（例如读、写、删除等）或什至单个操作（相似于 API 调用）与一种资源的衔接 ” 。但是，由于这个定义或者并不总是与事实环球的成功相对应，NIST 还更抽象地定义了会话：“ 在设定的期间段内经过具有设定权限的网络身份与资源的衔接

这个更宽泛的定义象征着活期须要从新身份验证和从新授权，以照应特权更新、超时或对现状的其余操作变动。 相似地，其余概念（例如，按恳求访问按恳求日志记载 ）也须要片面的定义。定义、规范化和强化这些概念将有助于坚固行业对 ZT 准则的全体了解，并形容它们在通常中的体现。

从操作的角度来看，组织可以从用于定义 ZT 组件之间的事情通讯的既定开源规范中受益。组织还必定了解如何应用新的和现有的框架和规范来最大限制地提高 ZT 互操作性和效率。

经常使用通用协定可以成功ZT环境的各个组件之间更好的集成和通讯。来自Appgate的小组成员Jason Garbis提出了此类协定的一个驰名示例：OpenID基金会的共享信号和事情(SSE) 框架。该框架有助于规范化和简化不同组织和处置方案之间与用户相关的安保事情的通讯。

另一个值得探求的畛域是整个企业环境中经常使用的 战略决策点 (PDP)和相关元素。 现有的处置方案可以应用共同的上班流程来开发 PDP 的指令集或操作参数。关于与访问相关的决策，PDP 依赖于战略、日志、情报和 机器学习 (ML) 。但是，关于这些起因在通常中如何施展作用以及应如何实施的探讨却很少。为了激励分歧性和互操作性，安保组织可以为 PDP 性能开发规范化言语，相似于为网络要挟情报开发的 STIXTAXII2

畛域三：树立规范 ZT 成熟度级别

现有的 ZT 成熟度模型不可提供有效转向 ZT 所需的最小基线的精细控制或探讨。关键的是要思考如何开发一个具有足够级别的成熟度模型，以协助组织准确地确定他们必定做什么才干满足基本安保的 ZT 规范。

Jose Padin 强调须要定义事实环球中 ZTA 所需的最低基线要求。树立 ZT 成熟度的技术要求规范至关关键，以便组织能够识别和查看其数字信赖的停顿。

Padin 在演讲中强调了CISA 零信赖成熟度模型 的一些长处，该模型的几个支柱描画了 ZT 背景下的不同成熟度级别。[无关 CISA 零信赖成熟度模型的初级视图，请参阅 零信赖成熟度模型

CISA 模型协助组织可视化最佳通常及其相关的成熟度级别，但成功 ZT 的最低要求依然存在相当大的不确定性。假设没有明白的比拟规范，组织就不可评价其的 ZT 成熟度形态并选用最佳执行方案。

零信赖成熟度模型 从传统到初级再到最佳，这或者不可提供对两边立场的足够粗疏的洞察，许多组织或者会发现自己处于 ZT 转型的过渡阶段。此外，虽然 CISA 的模型定义了选择每个成熟度级别的战略和技术，但关于这些概念如何在通常中施展作用的技术探讨却很少。

有必要 (1) 处置 ZT 成熟度的分层疑问，以及 (2) 为组织提供足够的参考资料和指点，以便他们了解自己目前所处的位置（即“现状”形态）以及须要走向何方（即他们的“未来”形态）。组织将受益于更多关于如何在其数字资产中实施 ZT 战略以成功合规性的消息，相似于最小 可行产品

畛域四：解释如何经过 ZT 成熟度级别取得停顿

要成功启动 ZT 转型，请务必做到以下几点：

在畛域 3：树立上述规范 ZT 成熟度级别的基础上，安保畛域的组织必定确定在某种水平上实施 ZT 所需的最低步骤，同时还要演示这些步骤在通常中的成果。一旦组织开局实施 ZT，它就可以至力成功更高水平的 ZT 成熟度，最终指标是成功数字信赖。

依据消息系统审计与控制协会 (ISACA) 的说法，数字信赖是指“对相关数字生态系统内供应商/供应商和客户/消费者之间的相关、互动和买卖完整性的信念”。实质上，从网络安保的角度来看，ZT是实体之间交互的基础。数字信赖更片面地涵盖外部和外部实体之间的一切交互。

实施 ZT 并成功数字信赖须要政府和私营部门组织之间的强有力协作。政府和相关实体必定踊跃与私营部门组织协作，使模型、规范和框架与事实环球的产品和服务坚持分歧。

这种方法为最终用户提供了无关特定产品如何应用 ZT 战略来成功数字信赖的有用消息。这些协作必定并重于确定 (1) 安保产品可以做什么和不能做什么，以及 (2) 每个产品如何与其余产品集成以成功特定级别的合规性。这些消息使组织能够更快、更高效、更有效地采取执行。

畛域五：确保ZT支持散布式架构

随着云处置方案和散布式技术（例如 内容交付网络 [CDN] ）的日益遍及，有必要开发安保框架来处置运行程序和数据从中心位置移至更接近用户的状况。

在为 ZT 的未来开发框架和规范时，关键的是要思考到他乡数据存储正在向消费者聚拢，CDN 在现代 IT 基础设备中的遍及就证实了这一点。 Michael Ichiriu 倡导钻研人员思考在新安保框架的背景下探求这个主题，由于许多现有框架在形容安保最佳通常时驳回集中式数据中心/存储库方法。当面向 CDN 的组织开发和评价其安保状况和架构时，这种方法不可为他们提供服务。

畛域六：树立 ZT 阈值以阻止要挟

在 ZT 环境中，了解有效隔离和阻止优惠或恶意软件所需的最小消息量的形成十分关键。由于越来越多的敲诈软件攻打经常使用自定义恶意软件，因此识别此消息至关关键。为了进攻这种要挟，组织必定提高检测和阻止新要挟和顺应要挟的才干。ZT 的一个关键方面是经常使用多种战略在攻打或恶意软件流传或形成侵害之前检测和隔离它们。

正确实施的零信赖架构不应信赖未知的软件、更新或运行程序，并且必定极速有效地验证未知的软件、更新和运行程序。ZT可以经常使用多种方法（例如沙箱和隔离区）来测试和隔离新运行程序。而后，必定将这些结果输入 PDP，以便可以立刻同意或拒绝未来对这些放开的恳求。

在开发环节中，经常使用尽或者多的安保接触点十分关键，尤其是与ZT相关的接触点。了解如何在组织的传统技术和新兴技术的开发流程中强调安保性也很关键。

这些思考起因疏导咱们进入DevSecOps 畛域，它指的是“一组准则和通常，经过改善组织内软件开发团队、IT 运营和安保人员之间的协作和沟通，提供更快的安保软件性能交付，例如以及软件系统生命周期中的收买方、供应商和其余利益相关者。”

随着智能化变得越来越普遍，DevSecOps 必定思考恳求者智能化的或者性。ZTA 经常使用尝试相互通讯的上班负载的身份来实施安保战略。这些身份始终获取验证；未阅历证的上班负载将被阻止，因此不可与恶意远程命令和控制主机或外部主机、用户、运行程序和数据启动交互。

在开发软件时，历史上每团体都假定人类会经常使用它。因此，在实施安保性时，自动的身份验证方法是在设计时思考到人的起因的。但是，随着越来越多的设备自主地相互衔接，软件必定能够经常使用 ZT 将数字信赖集成到其架构中。为了启用 ZT 战略，DevSecOps 必定能够回答以下疑问：

畛域八：设定 ZT 驳回的业务希冀

安保方案通常老本高昂，这造成组织将安保视为老本中心。识别 ZT 转换环节中的低效率（例如过期）十分关键。雷同关键的是，组织了解如何经常使用 ZT 来最大化其投资报答。

ZT 是一种评价和治理组织数字资产危险的战略。ZT 方法将进攻从网络边界转移到数字资产之间，并要求对一切访问恳求启动会话身份验证。许多 ZT 战略可以经过正当的致力以较低的组织成本来实施。示例包含网络的微分段、静态数据加密以及经常使用 多起因身份验证的

但是，一些处置方案（例如云环境）须要漫长的过渡期并发生继续的老本。由于组织具有共同的危险接受才干，因此每个组织必定制订自己的 ZT 转型战略并指定初始阶段。每个战略和阶段都会有不同的老本和收益。

SEI 2022 年零信赖行业日旨在将 ZT 畛域的供应商汇集在一同，并提供一个共享的探讨平台。这种方法使介入者能够主观地展现他们的产品如何协助组织启动 ZT 转型。探讨包含几个须要更多探求的畛域。经过强调未来钻研的这些畛域，咱们正在提高意识，促成公共和私营部门组织之间的协作以处置事实环球的疑问，并减速 ZT 在政府和行业的驳回。

关于咱们来说，零信赖还在路上。但是经过拿来主义，咱们可以充沛的了解零信赖的优缺陷，以便在咱们驳回零信赖时，以更多正反应来服务于咱们的网络安保事业。