logo资料库

NIST-SP-800-207-ZTA_final_中文版.pdf

发布时间：2022-06-26 发布人：admin 分类：说明书 资料大小：2.85M 资料格式：pdf 举报 版权申诉
第1页 / 共47页
第2页 / 共47页
第3页 / 共47页
第4页 / 共47页
第5页 / 共47页
第6页 / 共47页
第7页 / 共47页
第8页 / 共47页
资料共47页，剩余部分请下载后查看
    零信任架构 NIST 800-207 特刊 2020 年 8 月
    文档信息 原文名称 Zero Trust Architecture 原文作者 Scott Rose Oliver Borcher Stu Mitchell Sean Connelly 原文发布日期 2020 年 8 月 原文发布单位 美国国家标准与技术研究院 原文出处 https://doi.org/10.6028/NIST.SP.800-207 译者 小蜜蜂公益翻译组 校对者 小蜜蜂公益翻译组 免责声明 • 本文原文来自于互联网的公共方式，由“安全加”社区出于学习交流的目 的进行翻译，而无任何商业利益的考虑和利用，“安全加”社区已经尽可能 地对作者和来源进行了通告，但不保证能够穷尽，如您主张相关权利，请 及时与“安全加”社区联系。 •“安全加”社区不对翻译版本的准确性、可靠性作任何保证，也不为由翻译 不准确所导致的直接或间接损失承担责任。在使用翻译版本中所包含的技 术信息时，用户同意“安全加”社区对可能出现的翻译不完整、或不准确导 致的全部或部分损失不承担任何责任。用户亦保证不用做商业用途，也不 以任何方式修改本译文，基于上述问题产生侵权行为的，法律责任由用户 自负。
    2020 年 8 ⽉ 零信任架构 授权 本文由 NIST 依据《2014 年联邦信息安全现代化法案》（FISMA）（美国法典第 44 卷第 3551 节、113–283 公法）规定的 NIST 法定职责拟定。NIST 负责开发信息安全标 准和指南，包括联邦信息系统的最低要求。但是，未经相关系统决策联邦官员的明确许可， 这些标准和准则不得用于国家安全系统。该指南符合美国行政管理和预算局（OMB）A- 130 通告的要求。 由商务部长依法授权制定的标准和指南具有强制性与约束力，本文内容与其冲突时， 以前者为准。本文所述准则并不会更改或取代商务部长、行政管理和预算局局长或其他联 邦官员的现有权力。 本刊不受美国版权保护，非政府组织可自愿使用，但组织在使用本 文时提及作者，NIST 将不胜感激。 美国国家标准与技术研究所 800-207 特刊 美国标准与技术研究所 800-207 特刊，共 59 页（2020 年 8 月） 分类编号：NSPUE2 本特刊可从以下地址免费获取：https://doi.org/10.6028/NIST.SP.800-207 本文中可能提到的商业实体、设备或资料，仅为准确描述规程（procedure）或概 念之用，并非暗示 NIST 推荐或者认可，也不表明这些实体、资料或设备是实现目的的 最佳选择。 本文提及的 NIST 依据法定职责制定的其他文档，有些可能处于开发过程中。也就 是说，联邦机构在使用本文信息（包括概念和方法）时，所提及的同系列其他文档可能 并未完成。这种情况下，在上述文档完成之前，现有的要求、指南和规程依然有效。为 满足规划及过渡需要，联邦机构或会密切追踪 NIST 新文档的开发。 欢迎各组织在公开征求意见期间评审所有文档草案，并向 NIST 提供反馈意见。欲 了解 NIST 有关网络安全的其他刊物，请访问：https://csrc.nist.gov/publications。 收件人：美国马里兰州盖瑟斯堡 Bureau Drive 大道（邮递点代号：8920） 国家标准与技术研究院 信息技术实验室计算机安全部 邮编：20899-8920 Email：zerotrust-arch@nist.gov 发表意见应受到信息自由法案（FOIA）的约束。 3
    2020 年 8 ⽉ 零信任架构 计算机系统技术报告 《实施指南》包含总体指导（第 1 卷）和概念验证（PoC）方案示例，展示在制造环 境中如何按照《网络安全框架制造篇》中的低影响性要求来部署使用开源产品和商用现成 （COTS）品。PoC 方案示例为流程型制造环境（第 2 卷）和离散型制造环境（第 3 卷） 提供了可量化的网络、设备和业务性能影响指标。各制造商应自行确定实施哪些方案内 容。实施时应虑及的重要因素包括：公司规模、网络安全专业能力、风险承受能力及威胁 态势。《网络安全框架制造篇》与制造业的目标和行业最佳实践保持一致，为制造商管理 网络安全风险提供了思路。它所提出的基于风险的方法可自愿实施，用以管理与制造系统 相关的网络安全活动及网络风险。该文档是对制造商当前所采用的网络安全标准和行业 指南的补充而非替代。 摘要 零信任（Zero trust，ZT）是一种不断发展的网络安全范式的术语，将网络防御从静 态的、基于网络边界的防护转移到关注用户、资产和资源。零信任体系结构（ZTA）使用 零信任原则来规划企业基础架构和工作流。零信任假定不存在仅仅基于物理或网络位置 （即局域网与互联网）或基于资产所有权（企业或个人拥有的）即授予资产或用户帐户的 隐式信任。身份认证和授权（用户和设备）是在建立与企业资源的会话之前执行的独立功 能。ZTA 是为了响应企业网络发展趋势。企业网络包括远程用户、自带设备（BYOD）和 位于企业网络边界之外的云端资产。ZTA 的重点是保护资源（资产、服务、工作流、网络 帐户等），而不是网段，因为网络位置已不再被视为资源安全态势的主要组成部分。本文 给出了 ZTA 的抽象定义，并给出了 ZTA 可以改善企业整体 IT 安全状况的一般部署模型 和用例。 架构，网络空间安全，企业，网络安全，零信任 关键词 4
    2020 年 8 ⽉ 零信任架构 致谢 本文由多个联邦机构合作著成，接受联邦首席信息官委员会监督。架构小组负责本文 档的开发，但仍需认可其他人的贡献。他们是：联邦首席信息官委员会的 ZTA 项目经理 格雷格·霍顿（Greg Holden）、NIST/NCCoE ZTA 项目经理阿尔珀·科尔曼（Alper Kerman） 和道格拉斯·蒙哥马利（Douglas Montgomery）。 读者对象 本文旨在为企业安全架构师描述零信任（ZT）。本文旨在帮助理解民用非保密系统 中的零信任并提供将零信任安全概念迁移和部署到企业环境的路线图。机构网络安全经 理、网络管理员、经理也可通过本文了解零信任和零信任架构。本文并不是作为 ZTA 的 单一部署规划，因为企业将拥有独一无二的业务用例和数据资产，这些业务用例和数据资 产是需要保护的。充分了解组织的业务和数据将有助于获得建立零信任的强有力的方法。 审稿须知 本刊旨在开发出一套技术中立的术语、定义和逻辑组件，它们可用于开发和支持 ZTA 的逻辑架构组件中。本文不提供关于如何在企业中部署零信任组件的具体指导或建议。审 阅者可基于本文目的发表评论。 所有的商标或注册商标均属于各相关组织。 商标信息 5
    2020 年 8 ⽉ 零信任架构 专利公开公告 注意：信息技术实验室（ITL）已要求可能需要遵守本刊指南或要求而使用的专利权 利要求的持有人向 ITL 披露此类专利权利要求。但是，专利持有人没有义务响应 ITL 对专 利的号召，ITL 也没有进行专利检索，以确定哪些专利（如果有的话）可能适用于本刊物。 继 ITL 要求识别可能需要遵守本刊指南或要求而使用的专利权利要求之后，我们已 收到一项或多项此类权利要求的通知。 经公布，ITL 对任何专利权利要求或与之相关的任何权利的有效性或范围不采取任何 立场。然而，已知专利持有人已向 NIST 提供了一份保证书，声明（1）一般免责声明， 声明其不持有且目前不打算持有任何基本专利权利要求，或（2）其（他们）将与其他各 方在明显不存在不公平歧视的合理条款条件的基础上就交付或不交付版权费用的许可证 进行协商。 详情可从 zerotrust-arch@nist.gov 获取。 我们并未明示或暗示这是避免在使用本刊中出现专利侵权所需的唯一许可证。 6
    2020 年 8 ⽉ 零信任架构 目录 1. 介绍 ............................................................................................................................... 9 1.1 与联邦机构有关的零信任发展历史 .................................................................................. 9 1.2 本文结构 ...................................................................................................................... 10 2. 零信任基础知识 ............................................................................................................ 11 2.1 零信任的原则 ............................................................................................................... 12 2.2 零信任视角下的网络 ..................................................................................................... 13 3. 零信任架构的逻辑组件 ................................................................................................. 14 3.1 零信任架构方法的变化 ................................................................................................. 15 3.1.1 使用增强身份治理的ZTA.................................................................................................. 16 3.1.2 使用微分段的ZTA ............................................................................................................. 16 3.1.3 使用网络基础架构和软件定义边界的ZTA ....................................................................... 16 3.2 抽象架构的部署变体 ..................................................................................................... 17 3.2.1 基于设备代理/网关的部署 ............................................................................................... 17 3.2.2 飞地部署 ........................................................................................................................... 18 3.2.3 基于资源门户的部署 ........................................................................................................ 18 3.2.4 设备应用沙盒 .................................................................................................................... 19 3.3 信任算法 ...................................................................................................................... 20 3.3.1 信任算法的变种 ................................................................................................................ 22 3.4 网络/环境组件 .............................................................................................................. 23 3.4.1 支持ZTA 的网络需求 ........................................................................................................ 23 4. 部署场景/用例 .............................................................................................................. 25 4.1 拥有多分支机构的企业 ................................................................................................. 25 4.2 多云/云到云的企业 ....................................................................................................... 26 4.3 存在外包服务和/或非员工访问的企业 ............................................................................ 26 4.4 跨企业协作 ................................................................................................................... 27 4.5 面向公众或客户提供服务的企业.................................................................................... 28 5. 零信任架构相关的威胁 ................................................................................................. 29 5.1 ZTA 决策过程的维护 .................................................................................................... 29 5.2 拒绝服务或网络中断 ..................................................................................................... 29 5.3 被盗凭据/内部威胁 ....................................................................................................... 29 5.4 网络可见性 ................................................................................................................... 30 5.5 系统和网络信息的存储 ................................................................................................. 30 5.6 对专有数据格式或解决方案的依赖 ................................................................................ 30 5.7 ZTA 管理中非个人实体（NPE）的使用 ........................................................................ 31 6. 零信任架构与现有联邦指南的可能关联 ......................................................................... 32 6.1 ZTA 和 NIST 风险管理框架 ........................................................................................... 32 6.2 ZT 和 NIST 隐私框架 .................................................................................................... 32 6.3 ZTA 和联邦身份、凭证和访问管理架构（FICAM） ....................................................... 32 6.4 ZTA 和可信互联网连接（TIC）3.0................................................................................ 32 6.5 ZTA 和 EINSTEIN（NCPS-国家网络安全保护系统） .................................................... 33 6.6 ZTA 和持续诊断和缓解（CDM）计划 ........................................................................... 33 6.7 ZTA、云智能和联邦数据战略 ....................................................................................... 34 7. 迁移到零信任架构 ........................................................................................................ 35 7.1 纯零信任架构 ............................................................................................................... 35 7.2 ZTA 和传统架构并存 .................................................................................................... 35 7.3 在基于传统架构的网络中引入 ZTA 的步骤 .................................................................... 35 7.3.1 识别企业中的攻击者 ........................................................................................................ 36 7.3.2 识别企业拥有的资产 ........................................................................................................ 36 7.3.3 识别关键流程并评估执行流程相关的风险 ...................................................................... 37 7.3.4 为ZTA 候选制定策略 ........................................................................................................ 37 7.3.5 定候选解决方案 ................................................................................................................ 37 7.3.6 初始部署和监测 ................................................................................................................ 38 7.3.7 扩大ZTA ............................................................................................................................ 38 附录 参考 ........................................................................................................................................... 39 7
    2020 年 8 ⽉ 零信任架构 附录 A 缩略语 ................................................................................................................................... 42 附录 B 明确当前 ZTA 存在的缺口 .................................................................................................... 43 B.1 技术调查 ............................................................................................................................... 43 B.2 哪些缺口会阻碍立即迁移至ZTA ......................................................................................... 43 B.2.1 缺乏ZTA 设计、规划和采购的通用术语 .......................................................................... 43 B.2.2 对于ZTA 与现有联邦网络安全政策冲突的看法 .............................................................. 43 B.3 影响ZTA 的系统性缺口 ....................................................................................................... 44 B.3.3 组件之间接口的标准化 ..................................................................................................... 44 B.3.4 解决过度依赖专有API 的新兴标准 ................................................................................... 44 B.4 ZTA 的知识缺口与未来研究领域 .......................................................................................... 44 B.4.5 攻击者对ZTA 的反击 ......................................................................................................... 44 B.4.6 ZTA 环境中的用户体验 ...................................................................................................... 45 B.4.7 ZTA 对企业和网络中断的适应能力 ................................................................................... 45 B.5 参考 ...................................................................................................................................... 46 8
    分享到：
    赞 收藏

    相关推荐

    资料库

    安全技术

    共收录1285份资料，累计4个分类，关注成员有19位，主要包括：网络攻防,系统安全,其它,网络安全

    热门标签

    网络攻防 系统安全 其它 网络安全

    最新资料