美国国家安全局发布网络和环境组件零信任指南
内容提要
美国国家安全局发布了新的零信任指南，旨在帮助企业抵御外部网络攻击。零信任安全架构要求严格控制网络资源访问，减少漏洞影响。企业需达到特定成熟度，按零信任原则建设。指南包括数据流映射、分段和软件定义网络等方法。
延伸解读
零信任的核心理念：默认不信任
与传统IT安全模式默认信任内部网络不同，零信任直接假定威胁已经存在，不允许任何人在网络内自由行动。这种理念要求对网络资源的访问进行严格控制，无论访问来自物理边界内外，以最大限度地减少漏洞的影响。企业需要从根本上转变安全思维，从“信任但验证”转向“从不信任，始终验证”。
网络和环境支柱的四个组成部分
美国国家安全局发布的指南聚焦于零信任架构中的网络和环境支柱，具体包括数据流映射、宏观分段、微分段和软件定义网络（SDN）。数据流映射要求企业确定数据存储和处理的位置和方式；宏观分段为每个部门创建网络区域以限制横向移动；微分段将用户、应用程序或工作流程隔离到单个网段；SDN则提供更细粒度的控制和可定制的安全监控。
成熟度等级：从准备到高级
对于网络和环境支柱的四个组成部分，美国国家安全局描述了四个成熟度等级，从准备阶段到高级阶段。企业必须为每一项达到特定的成熟度，才能继续按照零信任原则进行建设。在高级阶段，企业实施广泛的控制和管理系统，以实现最佳的可见性和监控，并确保网络的增长。设计和构建零信任环境是一项复杂的任务，需要系统地经历各个成熟阶段。
指南的延续与参考价值
美国国家安全局于2021年2月发布了第一份零信任框架指南《拥抱零信任安全模型》，介绍了该模型及其背后原则的优势。2023年4月，该机构发布了达到零信任框架中用户组件成熟度的指南《在整个用户支柱中推进零信任成熟度》。此次发布的新指南是这一系列工作的延续，为企业提供了网络和环境组件的具体实施指导。
Q&A
零信任安全架构的主要原则是什么？
零信任安全架构要求严格控制网络资源的访问，假定威胁已存在，不允许任何人在网络内自由行动。
企业如何实现零信任架构的成熟度？
企业通过解决攻击者可利用的组件逐步实现零信任架构的成熟度，分为四个等级。
数据流映射在零信任指南中有什么作用？
数据流映射要求企业确定数据存储和处理的位置和方式，以提高对数据流的可视性。
宏观划分和微分段有什么区别？
宏观划分限制网络上的横向移动，而微分段则将用户和应用程序隔离到单个网段，进一步减少攻击面。
软件定义网络（SDN）在零信任架构中有什么优势？
SDN提供更细粒度的控制和安全监控，允许从集中控制中心控制数据包路由，增强网络可见性。
设计零信任环境需要注意哪些方面？
设计和构建零信任环境需要系统地经历各个成熟阶段，以确保网络的安全和可见性。
