美国国防部的零信任，比我想象中的大大大许多

如果加星标，可以及时收到推送

《安全到底》栏目第185篇，锐安全总第252篇原创，

本文1464字，阅读时长4分钟

零信任体系架构图本质上是零信任的概念拼图。

图：零信任体系架构图V1.2

零信任体系架构图里最左侧的核心能力是由《零信任网络：在不可信网络中构建安全系统》里提出的四种信任和《美国国防部零信任战略（DoD Zero Trust Strategy）》里定义的七大核心能力叠加而成的。

这里顺便提一下美国国防部（DoD）的战略规划路径：美国国家安全战略（Natonal Security Strategy）->美国国家防御战略（Natonal Defense Strategy）->美国国防部网络战略（DoD Cyber Strategy）->美国国防部数字现代化战略（DoD Digital Modernization Strategy）

图：DOD战略规划路径

其中美国国防部数字现代化战略（DoD Digital Modernization Strategy）又包含九大战略：

上三路的：网络风险战略（Cyber Risk Strategy）、身份凭证和访问管理(ICAM)战略（ICAM Strategy(Identity, Credential, and Access Management)）、指挥控制和通信(C3)现代化战略（C3 Modernization Strategy（Command, control，and communications））。

中三路的: 零信任战略（Zero Trust Strategy）、人工智能（AI）战略（Artincial Intelligence Strategy）、IT改革战略（IT Reform Strategy）。

下三路的：数据战略（Data Strategy）、云战略（Cloud Strategy）、远邦云战略（OCONUS Cloud Strategy（Outside the Continental United States））。

2022年11月，美国国防部（DOD）发布了《美国国防部零信任战略（DoD Zero Trust Strategy）》，里面定义了零信任的七种核心能力：用户（User）、设备（Device）、应用和负载（Application&Workload）、数据（Data）、网络和环境（Network&Environment）、自动化和编排（Automation&Orchestration）、可视化与分析（Visibility&Analytics），这七种核心能力又被称为国防部零信任七大支柱（Pillars）。

图：DoD七大核心能力或支柱

这七个支柱共有45种能力，又分成了三个等级：目标级、目标与高级水平级、高级水平级。

图：DoD零信任能力分级图

**用户（User）有9种能力：**用户清单（User lnventory)、最低权限访问（Least Privileged Access)、有条件用户访问（Conditional User Access)；多因素身份验证（MultiFactor Authentication)、特权访问管理（Privileged Access Mgmt)、身份联合和用户凭证（Identity Federation and User Credentialing)、行为、情境ID和生物统计学（Behavioral, Contextual lD,&Biometrics)、持续身份验证（Continuous Authentication)、集成ICAM平台（Integrated ICAM Platform)。

**设备（Device）有7种能力：**部分和完全自动化的资产、漏洞和补丁管理（Partially & Fully Automated Asset, Vulnerability and Patch Mgmt）、统一端点管理（UEM）和移动设备管理（MDM）（Unified Endpoin Management (UEM) & Mobil Device Management (MDM)）；设备清单（Device Inventory）、设备检测和合规（Device Detection and Compliance）、设备授权/实时检查（Device Authorization / Real Time Inspection）、远程访问（Remote Access）、端点和扩展检测与响应（EDR&XDR）（Endpoint & Extended Detection & Response (EDR&XDR)）。

**应用和负载（Application &Workload）有5种能力：**应用程序清单（Application Inventory）、软件风险管理（Software Risk Management）；安全软件开发和集成（Secure Software Development & Integration）、资源授权和集成（Resource Authorization & Integration）；持续监控和持续授权（ Continuous Monitoring and Ongoing Authorizations）。

**数据（Data）有7种能力:**数据分类风险调优（Data Catalog Risk Alignment）、国防部企业数据治理（DoD Enterprise Data Governance）；数据标签和标记（Data Labeling & Tagging）、数据监测和感知（Data Monitoring & Sensing）、数据加密和权限管理（Data Encryption & Rights Management）、数据防泄露（DLP）（Data Loss Prevention (DLP)）、数据访问控制（Data Access Control）。

**网络和环境（Network&Environment）有4种能力:**数据流映射（Data Flow Mapping）、宏分段（Macro Segmentation）；软件定义网络（SDP）（Software Defined Networking）、微分段（Micro Segmentation）。

**自动化与编排（Automation&Orchestration）有7种能力:**机器学习（ Machine Learning）、API标准化（APl Standardization）；策略决策点（PDP）和策略编排（ Policy Decision Point (PDP) & Policy Orchestration）、关键流程自动化（Critical Process Automation）、安全编排、自动化与响应（SOAR）（Security Orchestration,Automation & Response (SOAR)）、安全运营中心（SOC）和事件响应（lR）（ Security Operation Center(SOC)&Incident Response (lR)）；人工智能（AI）（Artificial Intelligence）。

**可视化与分析（Visibility&Analytics）有6种能力:**全流量记录（Log All Trafic）、通用安全和风险分析（Common Security & Risk Analytics）、威胁情报集成（Threat Intelligence Integration）；安全信息和事件管理（SIEM）（ Security Information and Event Mgmt.(SIEM)）、用户和实体行为分析（UEBA）（User & Entity Behavior Analytics(UEBA)）；自动动态策略（Automated Dynamic Policies）。