搜索

[7323] 2021-05-26_零信任：能否真正保护美国政府免受网络攻击？

文档创建者：s7ckTeam
浏览次数：45
最后更新：2025-01-17
2021-05-26_零信任：能否真正保护美国政府免受网络攻击？ 零 信 任 ： 能 否 真 正 保 护 美 国 政 府 免 受 网 络 攻 击 ？ 安 全 小 E   E 安 全   2 0 2 1 - 0 5 - 2 6   B Y   R Y A N   O L I A E E 从 最 近 发 生 在 美 国 政 府 网 络 上 的 一 系 列 网 络 攻 击 可 见 ， 无 论 是 S o l a r W i n d s 事 件 还 是 俄 罗 斯 对 美 国 财 政 部 和 商 务 部 的 情 报 破 坏 ， 各 国 黑 客 都 在 寻 找 渗 透 政 府 系 统 的 新 方 法 。 正 如 网 络 安 全 与 基 础 设 施 安 全 局 代 理 局 长 布 兰 登 · 威 尔 斯 （ B r a n d o n   W a l e s ） 最 近 向 国 土 安 全 与 政 府 事 务 委 员 会 的 立 法 者 解 释 所 说 ：   “ 我 们 的 对 手 已 经 取 得 了 进 步 ， 他 们 不 再 使 用 相 同 的 基 础 结 构 来 反 复 瞄 准 我 们 。 ”   “ 我 们 必 须 调 整 我 们 的 安 全 实 践 。 ” 讨 论 中 的 方 法 之 一 是 零 信 任 零 信 任 基 于 以 下 假 设 ： 网 络 内 部 或 外 部 的 每 个 人 都 可 能 构 成 威 胁 。 但 是 ， 在 当 前 的 形 势 下 ， 零 信 任 已 经 成 为 一 个 流 行 语 。 重 要 的 是 要 检 查 术 语 的 部 署 方 式 和 含 义 。 美 国 国 家 标 准 技 术 研 究 院 和 美 国 国 家 网 络 安 全 卓 越 中 心 提 供 了 所 谓 的 零 信 任 体 系 结 构 的 特 定 定 义 ， 而 基 本 构 想 则 要 求 使 用 经 过 身 份 验 证 的 用 户 身 份 的 单 一 来 源 ， 并 结 合 诸 如 策 略 合 规 性 之 类 的 其 他 上 下 文 。 实 际 上 ， 零 信 任 涉 及 采 用 非 常 精 细 、 严 格 的 用 户 标 识 策 略 ， 严 格 的 身 份 验 证 、 基 于 角 色 的 访 问 、 明 确 时 间 或 位 置 ， 以 及 许 多 其 他 条 件 ， 这 些 条 件 定 义 了 员 工 何 时 、 何 地 以 及 如 何 访 问 系 统 和 数 字 资 产 。 数 据 和 资 源 细 分 为 个 人 级 别 。 有 了 新 的 控 制 级 别 ， 可 以 遏 制 任 何 威 胁 ， 甚 至 是 内 部 威 胁 。
零 信 任 与 以 前 的 方 法 有 何 不 同 零 信 任 与 几 十 年 来 制 定 的 指 导 性 安 全 原 则 相 去 甚 远 。 腓 特 烈 大 帝 曾 经 说 过 ： “ 平 庸 之 人 想 保 住 一 切 ， 而 理 智 者 只 关 注 主 要 事 物 。 ”     这 一 原 则 导 致 了 基 于 边 界 的 方 法 ， 即 建 立 防 御 措 施 以 保 护 外 围 防 御 的 严 密 性 ， 从 而 保 护 网 络 免 受 任 何 外 部 威 胁 。 只 要 有 代 理 机 构 ， 就 可 以 绝 对 保 证 不 会 出 现 任 何 威 胁 ， 并 且 要 明 确 组 织 内 没 有 不 良 行 为 者 ， 这 种 方 法 就 能 行 之 有 效 — — 这 根 本 不 再 是 现 实 。 国 内 外 的 黑 客 都 在 寻 找 方 法 来 穿 越 外 围 防 御 系 统 - 可 能 是 通 过 未 修 复 的 错 误 ， 未 安 装 的 补 丁 程 序 或 过 时 或 配 置 错 误 的 系 统 来 进 行 的 。 一 旦 进 入 外 围 ， 攻 击 者 就 可 以 探 索 未 被 发 现 的 系 统 ， 通 常 长 达 数 月 甚 至 数 年 ， 窃 取 秘 密 ， 肆 虐 ， 监 视 … … 攻 击 者 的 清 单 还 在 继 续 。 此 外 ， 由 于 在 疫 情 期 间 有 这 么 多 政 府 雇 员 在 远 程 工 作 ， 安 全 围 墙 变 得 模 糊 且 非 常 复 杂 。 员 工 不 再 可 以 随 时 访 问 其 I T 部 门 ， 也 无 法 从 常 规 保 护 中 受 益 。 因 此 ， 威 胁 的 数 量 和 潜 在 危 险 都 在 增 加 。 入 侵 者 即 使 从 很 小 的 漏 洞 中 也 看 到 了 巨 大 的 机 会 。 零 信 任 没 那 么 简 单 从 这 个 角 度 来 看 ， 零 信 任 技 术 似 乎 正 是 美 国 政 府 保 护 其 最 敏 感 的 数 据 和 运 营 所 需 要 的 。 但 是 ， 真 的 有 那 么 容 易 吗 ？ 代 理 商 不 仅 仅 需 要 打 开 一 个 开 关 来 开 启 零 信 任 环 境 。 它 需 要 重 大 的 承 诺 和 持 续 的 管 理 。 访 问 和 特 权 不 断 变 化 ， 需 要 不 断 监 控 。 通 常 必 须 更 改 策 略 以 立 即 切 断 访 问 。 这 是 一 个 费 力 的 工 作 。 如 果 各 机 构 试 图 以 最 大 规 模 实 施 零 信 任 ， 它 也 会 降 低 生 产 力 。 如 果 不 这 样 做 ， 他 们 可 能 会 采 用 一 种 零 碎 的 方 法 来 解 决 问 题 ， 该 方 法 仍 然 包 含 一 些 漏 洞 （ 甚 至 很 小 的 漏 洞 ） ， 这 些 漏 洞 可 能 会 暴 露 出 更 多 的 漏 洞 。 话 虽 如 此 ， 零 信 任 已 形 成 多 年 ， 但 随 着 相 关 技 术 的 成 熟 ， 现 在 才 引 起 人 们 的 关 注 。 它 是 围 绕 当 今 世 界 精 心 制 造 设 计 而 出 的 。 它 需 要 进 行 大 量 规 划 才 能 有 效 实 施 ， 并 且 需 要 不 断 进 行 调 整 ， 由 此 说 来 ， 它 必 须 从 某 个 切 入 点 开 始 。 为 了 实 现 零 信 任 ， 首 要 的 是 ， 各 机 构 应 该 期 望 遗 留 系 统 能 够 保 留 一 段 时 间 ， 这 意 味 着 它 们 不 会 浪 费 现 有 的 投 资 。 然 后 ， 各 机 构 应 审 查 其 最 敏 感 的 数 据 和 工 作 流 程 ， 以 确 定 哪 些 方 面 需 要 更 大 的 保 护 ， 并 在 何 处 限 制 访 问 或 管 理 会 话 ， 首 先 应 从 需 要 多 因 素 身 份 验 证 、 特 权 访 问 或 会 话 管 理 的 机 密 文 档 开 始 。 其 他 一 切 都 可 以 在 边 界 控 制 下 继 续 进 行 ， 直 到
可 以 进 行 其 他 更 改 为 止 。 这 样 零 信 任 可 以 逐 步 推 出 。 没 有 零 信 任 策 略 是 完 美 的 ， 并 且 每 次 部 署 都 会 随 着 需 求 的 评 估 而 发 展 。 但 是 ， 如 果 一 个 机 构 以 正 确 的 姿 态 和 期 望 进 入 零 信 任 状 态 ， 那 么 对 于 保 护 政 府 最 敏 感 的 资 产 免 遭 攻 击 和 剥 削 ， 将 是 有 利 而 无 弊 的 ， 这 将 有 很 长 的 路 要 走 。 注 ： 本 文 由 E 安 全 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m 推 荐 阅 读 ： 解 析 R S A C   2 0 2 1 走 进   R S A C o n f e r e n c e 2 0 2 1     第 一 天 英 国 国 家 网 络 安 全 中 心 ： 专 家 制 定 蓝 图 ， 保 护 未 来 智 慧 城 市 亲 临 R S A C 2 0 2 1 ： “ 弹 性 ” 网 络 安 全 社 区 A p i i r o 在 2 0 2 1 年 R S A 大 会 创 新 沙 盒 竞 赛 中 被 评 为 “ 最 具 创 新 力 的 初 创 企 业 ” ▼ 稿 件 合 作     1 5 5 5 8 1 9 2 9 5 9     小 E 微 信 号 ： E a n q u a n 0 9 1 4
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理