文/柯善学
等了好久!
《零信任架构》NIST标准正式版于美国时间8月11日发布。
笔者针对《零信任架构》的正式版和第2版草案这两版本,进行了两个方面的对比:一是仔细对比目录;二是粗略对比内容。
经过对比得到的结论是:《零信任架构》正式版的内容与第2版草案的变化不大。
下载说明:需要《零信任架构》(英文版)的读者,请关注“网络安全观”公众号,并在公众号后台输入文字“ZTA标准”。
一、目录对比
话不多说,直接将正式版与第2版草案的目录进行对比:
第2版草案 | 正式版 |
摘要 | |
1 简介 1.1 与联邦机构有关的零信任工作的历史 1.2 本文档的结构 | 1 简介 1.1 与联邦机构有关的零信任工作的历史 1.2 本文档的结构 |
2 零信任基础 2.1 零信任原则 2.2 网络的零信任视图 2.2.1 针对企业自有网络基础设施的假设 2.2.2 针对非企业自有网络基础设施的假设 | 2 零信任基础 2.1 零信任原则 2.2 网络的零信任视图 |
3 零信任架构的逻辑组件 3.1 零信任架构方法的变体 3.1.1 使用增强身份治理的ZTA 3.1.2 使用微分段的ZTA 3.1.3 使用网络基础设施和软件定义边界的ZTA 3.2 抽象架构的部署变体 3.2.1 基于设备代理/网关的部署 3.2.2 基于飞地的部署 3.2.3 基于资源门户的部署 3.2.4 设备应用程序沙箱 3.3 信任算法 3.3.1 信任算法的变体 3.4 网络/环境组件 3.4.1 支持ZTA的网络需求 | 3 零信任架构的逻辑组件 3.1 零信任架构方法的变体 3.1.1 使用增强身份治理的ZTA 3.1.2 使用微分段的ZTA 3.1.3 使用网络基础设施和软件定义边界的ZTA 3.2 抽象架构的部署变体 3.2.1 基于设备代理/网关的部署 3.2.2 基于飞地的部署 3.2.3 基于资源门户的部署 3.2.4 设备应用程序沙箱 3.3 信任算法 3.3.1 信任算法的变体 3.4 网络/环境组件 3.4.1 支持ZTA的网络需求 |
4 部署场景/用例 4.1 拥有分支设施的企业 4.2 多云企业 4.3 提供外包服务和/或非员工访问的企业 4.4 跨企业边界的协作 4.5 提供面向公众或客户服务的企业 | 4 部署场景/用例 4.1 拥有分支设施的企业 4.2 多云/云到云的企业 4.3 提供外包服务和/或非员工访问的企业 4.4 跨企业边界的协作 4.5 提供面向公众或客户服务的企业 |
5 与零信任架构相关的威胁 5.1 ZTA决策过程的受损 5.2 拒绝服务或网络中断 5.3 被盗凭证/内部威胁 5.4 网络可见性 5.5 网络信息的存储 5.6 对专有数据格式的依赖 5.7 在ZTA管理中非个人实体(NPE)的使用 | 5 与零信任架构相关的威胁 5.1 ZTA决策过程的受损 5.2 拒绝服务或网络中断 5.3 被盗凭证/内部威胁 5.4 网络可见性 5.5系统和网络信息的存储 5.6 对专有数据格式或解决方案的依赖 5.7 在ZTA管理中非个人实体(NPE)的使用 |
6 零信任架构与现有联邦指南的可能交互 6.1 ZTA和NIST风险管理框架 6.2 ZT和NIST隐私框架 6.3 ZTA和联邦身份、凭证和访问管理(FICAM)架构 6.4 ZTA和可信Internet连接(TIC)3.0 6.5 ZTA和爱因斯坦(NCPS-国家网络安全保护系统) 6.6 ZTA和DHS持续诊断和缓解(CDM)计划 6.7 ZTA、云智能和联邦数据战略 | 6 零信任架构与现有联邦指南的可能交互 6.1 ZTA和NIST风险管理框架 6.2 零信任和NIST隐私框架 6.3 ZTA和联邦身份、凭证和访问管理(FICAM)架构 6.4 ZTA和可信互联网连接(TIC)3.0 6.5 ZTA和爱因斯坦(NCPS-国家网络安全保护系统) 6.6 ZTA和DHS持续诊断和缓解(CDM)计划 6.7 ZTA、云智能和联邦数据战略 |
7 迁移到零信任架构 7.1 纯零信任架构 7.2 混合ZTA和基于边界架构 7.3 将ZTA引入基于边界架构网络的步骤 7.3.1 识别企业中的参与者 7.3.2 识别企业拥有的资产 7.3.3 识别关键流程并评估与执行流程相关的风险 7.3.4 为ZTA候选制定策略 7.3.5 识别候选解决方案 7.3.6 初始部署和监控 7.3.7 扩展ZTA | 7迁移到零信任架构 7.1 纯零信任架构 7.2 混合ZTA和基于边界架构 7.3 将ZTA引入基于边界架构网络的步骤 7.3.1 识别企业中的参与者 7.3.2 识别企业拥有的资产 7.3.3 识别关键流程并评估与执行流程相关的风险 7.3.4 为ZTA候选制定策略 7.3.5 识别候选解决方案 7.3.6 初始部署和监控 7.3.7 扩大ZTA |
参考文献 附录A-缩略语 附录B-已识别的ZTA当前技术水平的差距 B.1 技术调查 B.2 阻碍立即转移至ZTA的差距 B.2.1 缺乏ZTA设计、规划和采购的通用术语 B.2.2 以为ZTA与现有联邦网络安全政策相冲突 B.3 影响ZTA的系统性差距 B.3.3 组件间接口的标准化 B.3.4 解决过度依赖专有API的新兴标准 B.4 ZTA的知识差距和未来研究领域 B.4.5 攻击者对ZTA的回应 B.4.6 ZTA环境中的用户体验 B.4.7 ZTA应对企业和网络中断的弹性 B.5 ZTA测试环境 B.6 参考 | 参考文献 附录A-缩略语 附录B-已识别的ZTA当前技术水平的差距 B.1 技术调查 B.2 阻碍立即转移到ZTA的差距 B.2.1 缺乏ZTA设计、规划和采购的通用术语 B.2.2 以为ZTA与现有联邦网络安全政策相冲突 B.3 影响ZTA的系统性差距 B.3.3 部件间接口的标准化 B.3.4 解决过度依赖专利API的新兴标准 B.4 ZTA的知识差距和未来研究领域 B.4.5 攻击者对ZTA的回应 B.4.6 ZTA环境中的用户体验 B.4.7 ZTA对企业和网络中断的弹性 B.5参考 |
图片列表 图1:零信任访问 图2:核心零信任逻辑组件 图3:设备代理/网关模型 图4:飞地网关模型 图5:资源门户模型 图6:应用程序沙箱 图7:信任算法输入 图8:拥有远程员工的企业 图9:多云用例 图10:非员工访问的企业 图11:跨企业协作 图12:ZTA部署周期 | 图片列表 图1:零信任访问 图2:核心零信任逻辑组件 图3:设备代理/网关模型 图4:飞地网关模型 图5:资源门户模型 图6:应用程序沙箱 图7:信任算法输入 图8:拥有远程员工的企业 图9:多云用例 图10:非员工访问的企业 图11:跨企业协作 图12:ZTA部署周期 |
表格列表 表B-1:确定的部署差距汇总 | 表格列表 表B-1:确定的部署差距汇总 |
表-正式版与第2版草案的目录对比
其中,红色字体标注了目录的所有不同之处。
目录对比结果显示:目录差异很小。目录的主要变化在于:
删除了2.2.1(针对企业自有网络基础设施的假设)和2.2.2(针对非企业自有网络基础设施的假设)。但实际上,对比两个版本的具体内容之后可以发现,只是删除了这两个子标题的名称,而这两个子标题的内容都保留了下来,整合到了一起。简而言之,只是结构调整,内容没有本质变化。
删除了B.5(ZTA测试环境):其实在第2版草案中,这一节就一句话:“TBD-描述NCCoE 测试实验室和要执行的测试。” 删除这一小节,几乎没有什么影响。而且,笔者在之前的《美国网络安全 | NIST网络安全实践指南系列》中,专门对NCCoE这个机构及其网络安全实践指南系列做了介绍。大家自认也就不会陌生了。
另有几个小节的名称发生了变化:主要是在标题名称中增加了几个词语,并未大幅改动该小节的主要内容。
二、内容对比
仅仅对比内容,可能说服力还不够。
笔者又快速翻译了英文全文(全文约4万字),然后针对《零信任架构》的正式版和第2版草案这两个中文版,进行了全文粗略对比。
对比的结果是:正文内容的段落排版几乎一致,所有段落内容的大体意思也是一致的。
所以,结论是:《零信任架构》正式版的内容与第2版草案的变化不大。
三、相关参考
由于正式版与第2版草案的内容变化不大,所以笔者就不打算全文翻译了。
这里提供之前版本NIST草案的翻译供参考(以下均可单击链接至译文):
当然,笔者还是希望,后面会有正式版的全文翻译发布。
美国官方发布的权威零信任参考资料还有(以下均可单击链接至译文):
2019年4月:ACT-IAC(美国技术委员会-行业咨询委员会)发布《零信任网络安全当前趋势》;
2019年7月:DIB(国防创新委员会)发布《零信任之路》;
2019年10月:DIB(国防创新委员会)发布《零信任架构(ZTA)建议》;
2020年3月:NIST NCCoE发布《实现零信任架构(草案)》项目说明书。
四、后记
《零信任架构》NIST标准正式版于美国时间8月11日发布。由于时差原因,国内应该要在8月12日才能看到。
笔者看到这则消息的时候,正好是8月12日的下班路上。笔者回到家后,迫不及待地做了两件事:
一是仔细对比目录;
二是粗略对比内容。
相比于正式版的全文翻译,笔者更加急于让业界知道正式版发布的这个消息。这就是笔者花了一晚上时间,在第二天早上发布这篇文章的原因。
该标准第1版草案发布于2019年9月,第2版草案发布于2020年2月。之后,笔者就盼星星、盼月亮地等待正式版的发布:
今天,终于等到你。
声明:本文来自网络安全观,版权归作者所有。文章内容仅代表作者独立观点,不代表安全内参立场,转载目的在于传递更多信息。如有侵权,请联系 anquanneican@163.com。
评论(0)