如果加星标，可以及时收到推送
《安全到底》栏目第185篇，锐安全总第252篇原创，
本文1464字，阅读时长4分钟
零信任体系架构图本质上是零信任的概念拼图。
图：零信任体系架构图V1.2
零信任体系架构图里最左侧的核心能力是由《零信任网络：在不可信网络中构建安全系统》里提出的四种信任和《美国国防部零信任战略（DoD Zero Trust Strategy）》里定义的七大核心能力叠加而成的。
这里顺便提一下美国国防部（DoD）的战略规划路径：美国国家安全战略（Natonal Security Strategy）->美国国家防御战略（Natonal Defense Strategy）->美国国防部网络战略（DoD Cyber Strategy）->美国国防部数字现代化战略（DoD Digital Modernization Strategy）
图：DOD战略规划路径
其中美国国防部数字现代化战略（DoD Digital Modernization Strategy）又包含九大战略：
上三路的：网络风险战略（Cyber Risk Strategy）、身份凭证和访问管理(ICAM)战略（ICAM Strategy(Identity, Credential, and Access Management)）、指挥控制和通信(C3)现代化战略（C3 Modernization Strategy（Command, control，and communications））。
中三路的: 零信任战略（Zero Trust Strategy）、人工智能（AI）战略（Artincial Intelligence Strategy）、IT改革战略（IT Reform Strategy）。
下三路的：数据战略（Data Strategy）、云战略（Cloud Strategy）、远邦云战略（OCONUS Cloud Strategy（Outside the Continental United States））。
2022年11月，美国国防部（DOD）发布了《美国国防部零信任战略（DoD Zero Trust Strategy）》，里面定义了零信任的七种核心能力：用户（User）、设备（Device）、应用和负载（Application&Workload）、数据（Data）、网络和环境（Network&Environment）、自动化和编排（Automation&Orchestration）、可视化与分析（Visibility&Analytics），这七种核心能力又被称为国防部零信任七大支柱（Pillars）。
图：DoD七大核心能力或支柱
这七个支柱共有45种能力，又分成了三个等级：目标级、目标与高级水平级、高级水平级。
图：DoD零信任能力分级图
**用户（User）有9种能力：**用户清单（User lnventory)、最低权限访问（Least Privileged Access)、有条件用户访问（Conditional User Access)；多因素身份验证（MultiFactor Authentication)、特权访问管理（Privileged Access Mgmt)、身份联合和用户凭证（Identity Federation and User Credentialing)、行为、情境ID和生物统计学（Behavioral, Contextual lD,&Biometrics)、持续身份验证（Continuous Authentication)、集成ICAM平台（Integrated ICAM Platform)。
**设备（Device）有7种能力：**部分和完全自动化的资产、漏洞和补丁管理（Partially & Fully Automated Asset, Vulnerability and Patch Mgmt）、统一端点管理（UEM）和移动设备管理（MDM）（Unified Endpoin Management (UEM) & Mobil Device Management (MDM)）；设备清单（Device Inventory）、设备检测和合规（Device Detection and Compliance）、设备授权/实时检查（Device Authorization / Real Time Inspection）、远程访问（Remote Access）、端点和扩展检测与响应（EDR&XDR）（Endpoint & Extended Detection & Response (EDR&XDR)）。
**应用和负载（Application &Workload）有5种能力：**应用程序清单（Application Inventory）、软件风险管理（Software Risk Management）；安全软件开发和集成（Secure Software Development & Integration）、资源授权和集成（Resource Authorization & Integration）；持续监控和持续授权（ Continuous Monitoring and Ongoing Authorizations）。
**数据（Data）有7种能力:**数据分类风险调优（Data Catalog Risk Alignment）、国防部企业数据治理（DoD Enterprise Data Governance）；数据标签和标记（Data Labeling & Tagging）、数据监测和感知（Data Monitoring & Sensing）、数据加密和权限管理（Data Encryption & Rights Management）、数据防泄露（DLP）（Data Loss Prevention (DLP)）、数据访问控制（Data Access Control）。
**网络和环境（Network&Environment）有4种能力:**数据流映射（Data Flow Mapping）、宏分段（Macro Segmentation）；软件定义网络（SDP）（Software Defined Networking）、微分段（Micro Segmentation）。
**自动化与编排（Automation&Orchestration）有7种能力:**机器学习（ Machine Learning）、API标准化（APl Standardization）；策略决策点（PDP）和策略编排（ Policy Decision Point (PDP) & Policy Orchestration）、关键流程自动化（Critical Process Automation）、安全编排、自动化与响应（SOAR）（Security Orchestration,Automation & Response (SOAR)）、安全运营中心（SOC）和事件响应（lR）（ Security Operation Center(SOC)&Incident Response (lR)）；人工智能（AI）（Artificial Intelligence）。
**可视化与分析（Visibility&Analytics）有6种能力:**全流量记录（Log All Trafic）、通用安全和风险分析（Common Security & Risk Analytics）、威胁情报集成（Threat Intelligence Integration）；安全信息和事件管理（SIEM）（ Security Information and Event Mgmt.(SIEM)）、用户和实体行为分析（UEBA）（User & Entity Behavior Analytics(UEBA)）；自动动态策略（Automated Dynamic Policies）。
图：DoD零信任关键行动
再细化一下，美国国防部DoD零信任战略共有7大支柱、45种关键能力和152种行动（Activities）。
这么一展开，你会发现，美国国防部其实是把零信任概念做了泛化，用零信任这个篮子装入了安全的一切。
所以美国国防部的零信任，本质上是用零信任的思想，构建了一个完整的安全体系。
恭喜你，又看完了一篇文章。从今天起，和我一起洞察安全本质！这里是锐安全，今天就到这里，咱们下周四再见！
点击文末【阅读原文】,看到一个完整的安全系统
end
您的安全架构航海之旅到了这里：
如果你对本文有任何建议,
欢迎联系我改进；
如果本文对你有任何帮助，
欢迎分享、点赞和在看
如果心生欢喜，不如做个长期朋友：）
参考资料：
[1]DOD.DoD Zero Trust strategy,2022-11
