编者按

美国防部正在识别和评估各种业界零信任解决方案，并在整个体系内推动相关符合标准的解决方案落地应用，未来还希望将零信任从信息技术领域扩展到运营技术领域。

美国防部认为，如果不能完全阻止网络攻击，攻击者就有机会在某种程度上入侵系统，并可能操纵或窃取数据；虽然美军过去30年在网络安全方面投入数百亿美元，但仍然无法阻止网络攻击；美国防部此前根本不知道如何集成产品，基本上采取照搬“宜家模式”的网络安全构建方式；网络安全关乎战争和军事目标实现，在对手网络攻击日益复杂、快速的情况下，美国防部不仅需要跟上形势、更要超越形势；美国防部必须采取“孤注一掷”的策略，解决传统网络安全无法解决的问题，否则无论投入多少资金都无济于事。美国防部对MITRE ATT&CK框架开展逆向工程，最终制订了制定一项全面的零信任战略，其中定义了91项目标级要求和61项高级要求，旨在防止敌对势力利用美军数据和系统。

美国防部提出，零信任是买不到的，零信任解决方案从未真正存在过，但现在已经出现了“非常接近的替代品”，即使这种解决方案更像“套娃”。美国防部最初的设想是，众多独立公司将自身产品整合在一起，而不一定需要主导系统集成商，但很快意识到没有任何一家公司能够独自实现零信任目标。同时，大型公司也意识到，将其他产品整合在一起可以实现集成商和供应商间的双赢。目前，业界向美国防部提供零信任解决方案的主要模式是，在主要系统集成商的指导下，将数十家网络安全供应商的产品集成到统一的零信任套件中，并在以完整的“交钥匙系统”形式出售。

美国防部已评估并确认了三个满足美国防部标准的零信任架构，包括美国防信息系统局的“雷霆穹顶”、美国海军的“侧翼速度”以及戴尔科技的“零号堡垒”。相关解决方案均基于本地云功能构建，集成了约数十种不同的网络安全产品，形式上是数架设备，但内部却包含数十个虚拟化网络系统。“雷霆穹顶”零信任架构已在美国防信息系统局的整个体系范围内全面部署，涵盖机密和非机密网络；正在向战略、作战和战术层面的任务伙伴进行部署，包括不直接隶属于军事部门、情报机构或作战司令部的美国防部机构和部门；由一个超大规模、影响等级为5级的安全访问服务边缘平台构成，与各机构的身份和访问管理系统集成，并为美国本土和海外的远程用户提供访问控制；对本地用户强制执行零信任策略，并通过与身份服务集成，提供软件定义广域网、用户边缘安全堆栈和入侵防御系统/入侵检测系统服务来强制执行条件访问。“侧翼速度”零信任系统由美国海军数字与体系服务项目执行办公室和美国舰队网络司令部联合开发；由美国海军网络战司令部负责运营，由美国海军网络防御作战司令部承担网络安全责任；已与美国海军陆战队的“海伯利安”系统共同被指定为美国海军部体系信息服务。“零号堡垒”系统通过整合合作伙伴生态系统打造了一套即用型零信任解决方案，涵盖了美国防部七大零信任支柱中的所有目标。

美国防部认为，上述三个方案以及其他方案很快就会被美国联邦机构、情报界、“五眼联盟”伙伴、北约和友好外国政府所采用。随着威胁不断加剧，美国防部正在将零信任原则从信息技术系统扩展到工业控制系统、物联网设备以及武器系统等运营技术领域。目前尚无针对运营技术安全问题的MITRE ATT&CK框架或等效框架，但美国国防部正在调整其信息技术零信任框架，将其转化为运营技术要求。美国防部计划在2026年发布运营技术零信任扇形图、物联网零信任扇形，以及信息技术零信任2.0版本指南。

奇安网情局编译有关情况，供读者参考。

零信任：未来扩展方向

为了保护美国防部的信息技术系统，美国防部首席信息官零信任组合管理办公室制定了一项全面的零信任战略，该战略定义了152项零信任活动，并确定了必须在2027财年末前在整个美国防部范围内实现的至少91项目标级目标。美国防部的目标是在美国防部首席信息官办公室设定的目标水平上，实现其IT基础设施100%的网络安全保护。

美国防部领导层获得资金和资源，以确保在截止日期前推动整个部门的概念验证工作和实施。目前，美国防部首席信息官零信任组合管理办公室正与各军种、机构和业界持续合作，以识别和评估符合零信任目标级别和高级级别的各种解决方案。这些架构涉及将数十家网络安全供应商的产品集成到统一的零信任套件中，并在主要系统集成商的指导下，以完整的交钥匙系统形式出售。

迄今为止，美国防部首席信息官已评估并确认了多个零信任架构，这些架构不仅满足目标级别要求，还满足另外61项高级要求。这些架构包括美国防信息系统局的“雷霆穹顶”（Thunderdome）、美国海军的“侧翼速度”（Flank Speed）以及戴尔科技的“零号堡垒”（Fort Zero）。

美国国防部零信任战略的关键目标是防止敌对势力利用国防部的数据和系统，即使敌对势力已经渗透到网络之中，其措施包括主要针对用户和设备的微隔离和持续行为监控。然而，随着威胁的不断增加，美国防部首席信息官办公室正在将零信任原则从信息技术系统扩展到工业控制系统、物联网设备以及武器系统等运营技术（OT）领域。

本世纪初，美国国防部首席信息官办公室开始推行零信任战略，旨在阻止敌对势力利用国防部数据甚至触及这些数据。该办公室以2013年发布的MITRE ATT&CK（对抗性策略、技术和通用知识）框架为模板。ATT&CK矩阵根据14个支柱和245种对抗性活动对网络攻击和入侵进行分类和描述。

美国防部首席信息官零信任组合管理办公室主任兰迪·雷斯尼克表示，“我们所做的，是对MITRE ATT&CK框架进行逆向工程，因为它最能代表敌方的策略、技术和流程。如果我们想要阻止敌方利用美国防部数据，我们实际上必须解决MITRE ATT&CK框架中所有单元的缓解措施。这在以前从未有人尝试过，甚至从未有人考虑过。”

最终成果是美国防部首席信息官制定的零信任战略手册中的152项活动，目前所有人都以此为指导开展工作。每项活动都旨在解决或缓解MITRE攻击框架中的一个或多个环节。兰迪·雷斯尼克表示，“如果不能完全阻止攻击者，就意味着攻击者仍然有机会在某种程度上入侵系统，并可能操纵或窃取数据。过去30年，我们在传统网络安全方面投入了数百亿美元，但仍然无法阻止攻击者的攻击。我们必须采取孤注一掷的策略，因为我们试图解决的是传统网络安全无法解决的问题，无论投入多少资金都无济于事。”

兰迪·雷斯尼克强调，这项战略并非一成不变，美国防部首席信息官并未指示各军种或企业如何实现零信任目标。然而，该办公室很快意识到，没有任何一家公司能够独自实现零信任目标。

兰迪·雷斯尼克表示，例如美国国防信息系统局的“雷霆穹顶”（Thunderdome）和戴尔的“零号堡垒”（Fort Zero）集成了大约25-35种不同的网络安全功能。肉眼可见的可能只有几架设备，但其内部却包含数十个虚拟化网络系统。

兰迪·雷斯尼克概括称，“从用户的角度来看，他们购买的是‘雷霆穹顶’（Thunderdome），是‘零号堡垒’（Fort Zero），但实际上他们购买的是 35 种产品。他们不再需要像美国防部在2022年之前那样自行集成这些产品。我们当时自以为很懂行地集成各种网络安全产品，但坦白说，过去30年我们做得非常糟糕，因为我们根本不知道如何将产品集成在一起。我们之前构建网络安全的方式基本上是照搬宜家模式。但这并非我们关注的重点。网络安全关乎战争，关乎军事目标的实现。如今，来自对手的攻击手段极其复杂，速度之快是十年前难以想象的，我们不仅需要跟上形势，应对挑战，更要超越形势。”

这意味着要将攻击者拒之门外，这正是零信任的目标，同时还要确保如果发生入侵，有传感器、可见性和分析功能来识别入侵者。

2019-2020年期间参加过巴尔的摩AFCEA TechNet 会议的人可能还记得，零信任刚出现时，展厅里的供应商都在大力宣传所谓的“零信任解决方案”。这种解决方案从未真正存在过，但现在出现了一个非常接近的替代品——即使它更像是一个套娃。

兰迪·雷斯尼克解释称，“一开始，甚至在我们自己的简报中，我们也向听众声明，零信任是买不到的；我们的意思是，花再多的钱也不能让你摆脱这个问题。”

美国防部最初的想法是许多独立的公司将他们的产品整合在一起，而不一定需要主导系统集成商。兰迪·雷斯尼克称，“我们意外地发现，大型公司意识到将其他产品整合在一起，可以实现集成商和供应商之间的双赢，这让我们感到非常惊喜。他们仍然向政府销售产品，但他们是通过集成商进行销售的，这正是企业熟悉的业务模式。”

美国国防部首席信息官办公室称，“侧翼速度”“雷霆穹顶”“零式堡垒”是首批也是目前仅有的达到所有目标级别零信任目标以及大部分（如果不是全部）高级活动的零信任实施方案，它们都基于本地云功能构建。

“雷霆穹顶”

“雷霆穹顶”（Thunderdome）零信任架构现已在美国防信息系统局的整个体系范围内全面部署，涵盖机密和非机密网络。该架构也正在向战略、作战和战术层面的任务伙伴进行部署。这包括第四权力机构，即那些不直接隶属于军事部门、情报机构或作战司令部的美国防部机构和部门。

“雷霆穹顶”（Thunderdome）由一个超大规模、影响等级为5级的安全访问服务边缘（SASE）平台构成。它与各机构的身份和访问管理系统集成，并为美国本土和海外的远程用户提供访问控制。

美国防信息系统局网络项目执行办公室（PEO Cyber Directorate）副主任、前“雷霆穹顶”项目组合经理克里斯托弗·皮姆表示，“‘雷霆穹顶’（Thunderdome）对本地用户强制执行零信任策略，并通过与身份服务集成，提供软件定义广域网（SD-WAN）、用户边缘安全堆栈（CESS）和入侵防御系统/入侵检测系统（IDS/IPS）服务，来强制执行条件访问。”

在最近举行的Technet Cyber 2025 大会上，美国防信息系统局副局长克里斯托弗·巴恩赫斯特指出，“这一切的关键在于，我们最初只是在白板上画了一个概念，然后将其清晰地阐述出来，最终呈现在这个论坛上，并与在座的众多行业伙伴建立了合作关系。数十种产品被集成到这一设计中，这些产品均由我们的行业伙伴提供。如今，这一切已成为现实，而且比美国防部首席信息官要求的期限提前了两年。”

“侧翼速度”与“海伯利安”

美国海军的“侧翼速度”（Flank Speed）零信任系统是一项云服务，自2021年起由海军数字与体系服务项目执行办公室（PEO Digital）和美国舰队网络司令部联合开发。该系统的运营由美国海军网络战司令部负责，网络安全责任则由美国海军网络防御作战司令部承担。

前美国海军部首席信息官简·拉斯本在2025年8月离任前表示，“美国海军部之所以将零信任原则与海军部接轨，是出于迫切需要提供一个安全的协作和通信平台，以支持新冠疫情引发的大规模远程办公需求。我们本可以尝试对现有的协作平台进行现代化改造，但鉴于形势紧迫，我们采取了全新的方法，将零信任活动融入到生态系统的各个方面。这一举措真正改变了我们交付和运营能力的方式，实现了资源、需求、采购和网络安全运营部门之间的紧密合作。”

“侧翼速度”（Flank Speed）和美国海军陆战队的“海伯利安”（Hyperion）（分别是美国海军和海军陆战队的非密级微软365云环境的名称）被指定为美国海军部体系IT服务，用于消息传递和成效管理。这是美国海军和海军陆战队历史上首次将各自的信息技术系统整合到一起，用于构建体系级IT解决方案。

美国海军数字与体系服务项目执行办公室（PEO Digital）执行主任杰弗里·普劳德福特表示，“体系级IT服务认证巩固了‘侧翼速度’（Flank Speed）和‘海伯利安’（Hyperion）作为美国海军部数字化工作场所关键零信任赋能工具的地位。两者确保美国海军和海军陆战队人员能够利用云平台，从岸上到舰艇，从飞行中到战术前沿，高效执行作战任务。这种整合增强了美国海军部在持续遵守安全标准的同时，有效执行任务的能力。”

“零号堡垒项目”

戴尔的“零号堡垒项目”是最新一个达到美国国防部首席信息官设定的本地私有云目标水平的项目。

戴尔科技集团政府行业首席技术官赫伯·凯尔西表示，“通过整合合作伙伴生态系统并承担这一复杂架构的技术集成工作，戴尔为全球组织打造了一套即用型零信任解决方案，该方案部署后即可立即投入使用。”

戴尔的“零号堡垒”架构还涵盖了美国国防部首席信息官办公室概述的七大零信任支柱中的所有目标：用户信任、设备信任、数据信任、应用程序和工作负载、网络和环境、可见性和分析、自动化和编排。设备信任目标的一个例子是纳入“设备帮助工具差距分析”。设备信任的高级功能包括完全托管的自带设备和物联网支持。

运营技术零信任

目前已有三套完全符合零信任标准的实施方案获准在美国防部内使用，兰迪·雷斯尼克预见，这些方案以及其他方案很快就会被美国联邦机构、情报界、“五眼联盟”伙伴、北约和友好外国政府所采用。

兰迪·雷斯尼克称，“零信任市场需求空前高涨，现在人人都想要零信任，因为他们已经意识到，能够停止或阻止攻击者渗透并窃取数据这一看似疯狂的目标已经得到验证。他们之所以需要零信任，是因为他们和我们一样，面临着同样的攻击和威胁。他们正在研究成功的案例，并认真学习如何选择合适的组合方案，以确保其基础设施的100%安全。”

美国防部首席信息官面临的下一个挑战是将为信息技术制定的零信任战略应用于运营技术（OT），例如用于制造汽车的工厂车间机器人，以及在亚马逊仓库中爬行和攀爬货架的机器人。运营技术也广泛嵌入到水和能源等关键基础设施中，例如开关、阀门、传感器和监控设备。

针对运营技术（OT）的网络攻击旨在将其作为跳板，入侵组织的IT运营，最终导致攻击者获取专有数据和知识产权。例如，如果墙上的恒温器带有连接到IT系统的WiFi芯片，那么它就成为OT攻击的入口。

兰迪·雷斯尼克表示，“Colonial Pipeline就是一个典型的公开案例，它展示了勒索软件如何通过控制Colonial Pipeline的运营技术系统来达到目的。在几天的时间里，这在民众中造成了轻微的恐慌，他们以为燃料即将耗尽。”

这是一个国家安全问题，一个国土安全问题。保护国土安全与国家安全密切相关。

兰迪·雷斯尼克表示，“几乎每一次针对美国的袭击，都会以某种方式引起美国防部和/或情报部门的关注，具体取决于袭击的严重程度以及我称之为‘爆炸半径’的范围。就运营技术系统而言，美国防部当然需要保护这些系统，理想情况下，最好是以零信任的方式进行保护。”

目前尚无针对运营技术（OT）安全问题的MITRE ATT&CK框架或等效框架，但美国国防部首席信息官办公室正在调整其目标级别/高级活动信息技术零信任框架，将其转化为运营技术（OT）语言。兰迪·雷斯尼克称，美国防部首席信息官办公室原计划发布一张扇形图，通过定义目标和高级目标，展示运营技术零信任是什么样子，并设定合规日期，但由于2025年第四季度美国政府停摆，该发布计划已被推迟。

同样的情况也发生在美国防部首席信息官办公室关于物联网（特别是作战人员使用的通过蓝牙或WiFi连接的无线设备）的扇形图的预期发布日期上。美国防部首席信息官办公室还计划在2026年下半年发布信息技术（IT）零信任2.0版本。

声明：本文来自奇安网情局，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。