boot logical

军队军工网络安全观 2021-04-29​美国国防部CIO谢尔曼强调：”这不是技术问题，而是战略问题。” 美国国防部CIO（首席信息官）谢尔曼（John Sherman）于4月22日宣布：美国国防部计划推出一个零信任战略2021。谢尔曼特别强调：”这不是技术问题，而是战略问题。“ 国防部重视零信任，并不足为奇。但是这次的关键词是“战略”。从重视零信任到形成零信任战略，还是有本质不同的。另外，之前重视零信任的主要是DISA（国防信息系统局）和NSA（国家安全局）等国防部的下级机构，他们主要是执行者。而国防部CIO（首席信息官）是他们的上级，是决策者。所以，这次算是决策者的表态。这也是为何重视此项消息的原因。 本文主要概述三件事：一是国防部CIO计划推出零信任战略；二是国防部零信任参考架构指南的进展；三是国防部CISO（首席信息安全官）表示计划建立零信任投资组合管理办公室。 至此，我们可以简单地总结和预判：美国国防部的IT战略是DMS（数字现代化战略）；美国国防部的网络安全战略大概率是基于云的零信任战略。 目 录 1.国防部计划推出2021年零信任架构战略 2. 国防部零信任参考架构指南的进展 3. 国防部计划建立零信任投资组合管理办公室 4. 国防部推行零信任的方式 01 国防部计划推出2021年零信任架构战略 美国国防部代理首席信息官（CIO）谢尔曼（John Sherman）周四（4月22日）宣布：美国国防部计划发布2021年零信任架构战略（zero-trust architecture strategy 2021）。这也进一步增加了美国国防部今年将发布的越来越多与零信任相关的文件列表。 图-约翰·谢尔曼（John Sherman） 尽管没有分享多少关于战略性质的细节，但谢尔曼强调，达成一个零信任框架以改善国防部网络的网络安全，是枢纽性的。这项战略可以改变国防部建立安全态势的方式，即围绕零信任原则组织网络——将网络分段，并限制用户只能访问他们所需的数据。 谢尔曼在Billington 网络安全防御峰会上说：”我认为我们正处在这些转折点之一。” “而我们目前的做法，无法将我们带向未来。” 零信任是一种安全架构，它把每个用户都当作局外人对待——给予他们所谓的”零信任”，并限制他们在网络中漫游。尽管边界突破是不可避免的，但零信任方式可以将边界突破造成的损害降到最低。 在这次最新的消息中，一个有趣的用词是：国防部官员调侃了国防信息系统局（DISA）和国家安全局（NSA）正在编制的参考架构指南。为什么使用”调侃/取笑“（tease）这个词？希望有机会弄明白。 在最近的SolarWinds攻击中，俄罗斯黑客通过软件供应链渗透网络，这给了政府IT官员转向零信任框架的新动力。目前还不清楚，零信任是否能够阻止俄罗斯人对几个政府网络和数千家私营公司的黑客攻击。但在零信任模式下，他们将无法横向移动以访问数据或长期隐藏（至少安全专家希望如此）。 虽然国防部已经制定了一些”纵深防御“措施，但谢尔曼强调，全面实施技术、文化、战略变革是安全的当务之急。 谢尔曼补充说，到国防部完全实现零信任时，它可能已经有了一个新的绰号。但分段网络和限制横向移动的指导原则才是关键。这一战略应该在今年最终确定，它很可能会解决零信任所涉及的技术和实践问题。当然，这取决于谢尔曼在多大程度上强调了用户和管理员文化的变化，以使零信任发挥作用。 “这不是技术问题，而是战略问题。“谢尔曼强调。 02 国防部零信任参考架构指南的进展 DISA（国防信息系统局）计划在2021年发布零信任参考指南。该参考指南是DISA、国家安全局（NSA）、美国网络司令部和私营部门之间持续合作的产物，将为国防机构和IT部门提供了一个蓝图，使网络过渡到这样一个模型，从本质上讲，网络对用户的信任为零。 2020年7月，DISA（国防信息系统局）在的AFCEA国际年度陆军信号会议上宣布，将为国防部制定一个零信任参考架构。注意DISA不能完全代表国防部的意图。 2020年10月，已经完成零信任参考架构的初稿。它是一套指导方针，旨在使该机构的网络安全协议超越传统的边界防御行动。这个消息，是DISA安全使能组合负责人Joseph Brinker在一封电子邮件中告诉Nextgov网站的。Brinker说，它已经作为国防部CIO（首席信息官）“正式的企业架构内容审查、评估、批准流程”的一部分发布，供整个国防部人员使用。 2020年12月，DISA前局长Nancy Norton在AFCEA技术网络会议上第一次提到该参考指南。同月，DISA发布了DISA战略计划的首次年度更新，概述了该机构到2022年的愿景，零信任在该计划的新技术路线图中占据突出位置。路线图表明，DISA将定义零信任参考架构，并开发策略测试和实施能力。可参见《DISA战略计划2.0版抬升零信任地位》。

CPE全称是Common Platform Enumeration，意思是通用平台枚举项。它是NMAP对识别出来的软件、操作系统和硬件的一种命名方式。它的格式如下： cpe:/:::::: 其中，part表示目标类型，允许的值有a（应用程序）、h（硬件平台）、o（操作系统）；vendor表示向量类型；product表示产品名称；version表示版本号；update表示更新包；edition表示版本；language表示语言项。 这七项不一定每次都出现。例如，在cpe:/o:freebsd:freebsd:3.5.1中，part为o，表示操作系统类型；vendor为freebsd，表示向量类型为freebsd；product为freebsd，表示产品为FreeBSD；version为3.5.1，表示FreeBSD的版本号。————————————————版权声明：本文为CSDN博主「大学霸_ITDaren」的原创文章，遵循CC 4.0 BY-SA版权协议，转载请附上原文出处链接及本声明。原文链接：https://blog.csdn.net/daxueba/article/details/72637683

（1）泛终端弹性安全防护 针对传统桌面终端，及新兴的移动终端、IoT终端、工业终端等各类异构的终端，提供终端安全防护和监测响应能力，实现终端发现、资产管理、设备准入、多网切换、终端审计、病毒查杀、环境感知与威胁检测和响应等功能，并能够通过控制中心对网络中终端进行集中管理、配置、维护，达到提升泛终端复杂环境整体网络安全防护能力的目的。 （2）软件定义弹性安全网络。 针对互联网网络环境，提供可信链路的建立和管控以及恶意流量清洗的能力，实现安全自动组网、安全选路、安全策略下发、爬虫检测与保护、Web攻击检测与防护、DDoS攻击检测与防护功能，达到为用户提供整体网络环境安全弹性防护的目的。 （3）云平台弹性安全资源池。 基于云计算平台，以安全即服务的形式，通过调度虚拟化防火墙、虚拟WAF、抗拒绝服务攻击、虚拟入侵防御、虚拟VPN主机防护等安全组件，为云租户提供访问控制、风险评估、攻击防护、安全审计等云安全防护能力，并统一提供安全组件的自动化部署、授权自动分发、日志统一收集配置、安全能力弹性伸缩、开放接口等功能。 （4）自适应弹性安全访问控制系统。 由可信访问控制台、可信应用代理、可信API代理、可信环境感知等组件构成，通过对人、终端和系统的实体身份化，为用户访问应用，应用和服务之间的API调用等各场景提供纵深的动态可信访问控制机制，解决泛终端接入、多方人员接入、混合计算环境下的数据安全访问及共享的问题。 （5）可编排弹性安全监测与响应系统。 充分发挥网络威胁情报的驱动作用，实施精准化、针对性防御行动；及时发现潜藏在其网络中的安全威胁，对入侵途径及攻击者背景的研判与溯源；通过自动化或半自动化工具、流程和策略，进行自动化安全事件的响应和预防，加快事件响应的速度。