久久久91-久久久91精品国产一区二区-久久久91精品国产一区二区三区-久久久999国产精品-久久久999久久久精品

實(shí)施建議

基于現(xiàn)有國(guó)防部（DoD）的網(wǎng)絡(luò)脆弱性和未來(lái)的網(wǎng)絡(luò)需求，國(guó)防創(chuàng)新委員會(huì)（DIB）建議國(guó)防部開始朝著非機(jī)密互聯(lián)網(wǎng)協(xié)議路由器網(wǎng)絡(luò)（NIPRNET）和機(jī)密互聯(lián)網(wǎng)協(xié)議路由器網(wǎng)絡(luò)（SIPRNET）的零信任安全架構(gòu)模型邁進(jìn)。雖然零信任的實(shí)施將是一個(gè)跨不同國(guó)防部網(wǎng)絡(luò)的迭代過(guò)程，但國(guó)防部的所有零信任工作都應(yīng)努力實(shí)現(xiàn)以下網(wǎng)絡(luò)生態(tài)系統(tǒng)最終狀態(tài)：

繼續(xù)在網(wǎng)絡(luò)周邊使用邊界安全措施，但承認(rèn)可能會(huì)發(fā)生網(wǎng)絡(luò)失陷。

在“最低權(quán)限訪問(wèn)模型”下運(yùn)行，默認(rèn)情況下網(wǎng)絡(luò)用戶無(wú)法訪問(wèn)網(wǎng)絡(luò)中的任何應(yīng)用程序或服務(wù)。即使未經(jīng)授權(quán)的用戶闖入網(wǎng)絡(luò)，該用戶也不能訪問(wèn)任何敏感數(shù)據(jù)或服務(wù)。

根據(jù)用戶的角色，在（角色）粒度級(jí)別授予訪問(wèn)權(quán)限（屬性包括但不限于組織、項(xiàng)目和許可級(jí)別）。這些屬性應(yīng)跨國(guó)防部網(wǎng)絡(luò)進(jìn)行共享，以實(shí)現(xiàn)高效、有針對(duì)性的訪問(wèn)管理。

始終利用多因素認(rèn)證（MFA）驗(yàn)證網(wǎng)絡(luò)邊界和每個(gè)網(wǎng)絡(luò)資源的身份和訪問(wèn)。

監(jiān)控接入國(guó)防部網(wǎng)絡(luò)的任何設(shè)備的健康狀況，以阻止失陷設(shè)備的訪問(wèn)，并推動(dòng)設(shè)備配置最佳實(shí)踐。

為了實(shí)現(xiàn)這些長(zhǎng)期目標(biāo)，DIB已制定了近期的實(shí)施建議。ZTA要求從DevSecOps到任務(wù)系統(tǒng)軟件管理的網(wǎng)絡(luò)安全的整體視角，但在本文中，DIB的重點(diǎn)是國(guó)防部的認(rèn)證、授權(quán)和加密方法。

這些建議的目的是作為一個(gè)共同的基準(zhǔn)，供組織之間同步他們的零信任工作，并避免每個(gè)組織開發(fā)多個(gè)彼此不兼容的安全架構(gòu)的風(fēng)險(xiǎn)。這些建議是對(duì)“國(guó)防部數(shù)字現(xiàn)代化戰(zhàn)略”的補(bǔ)充，在該戰(zhàn)略中，國(guó)防部首席信息官制定了一個(gè)路線圖，通過(guò)云、人工智能、指揮、控制和通信以及網(wǎng)絡(luò)安全等方面支持國(guó)防戰(zhàn)略的實(shí)施。

特別是，這些建議可用于支持?jǐn)?shù)字現(xiàn)代化戰(zhàn)略的第三個(gè)目標(biāo)，即“使網(wǎng)絡(luò)安全朝著靈活和彈性的防御態(tài)勢(shì)發(fā)展”。此外，這些建議與國(guó)防部2018年網(wǎng)絡(luò)戰(zhàn)略相一致，該戰(zhàn)略側(cè)重于私營(yíng)部門的伙伴關(guān)系和網(wǎng)絡(luò)彈性。

DIB先前在一份名為“通往零信任（安全）之路”的白皮書中描述了零信任架構(gòu)（ZTA）。該白皮書旨在供國(guó)防部?jī)?nèi)外的技術(shù)和非技術(shù)網(wǎng)絡(luò)安全干系人使用，以提供對(duì)ZTA原則和術(shù)語(yǔ)的共同理解，以下建議旨在使決策者與國(guó)防部的技術(shù)領(lǐng)導(dǎo)協(xié)同工作。

DIB的白皮書列出了ZTA在網(wǎng)絡(luò)中的應(yīng)用和服務(wù)級(jí)別的三個(gè)重點(diǎn)領(lǐng)域：

1.用戶身份認(rèn)證

2.設(shè)備身份認(rèn)證

3.“最低權(quán)限訪問(wèn)”授權(quán)

對(duì)于用戶身份認(rèn)證，國(guó)防部人員目前使用通用訪問(wèn)卡（CAC），通過(guò)硬件支持的MFA，在邊界處獲得NIPRnet的訪問(wèn)權(quán)限。通過(guò)從通用數(shù)據(jù)庫(kù)（國(guó)防注冊(cè)資格報(bào)告系統(tǒng)，Defense Enrollment Eligibility Reporting System，簡(jiǎn)稱DEERS）中提取數(shù)據(jù)，CAC在整個(gè)國(guó)防部網(wǎng)絡(luò)中得到識(shí)別。

該數(shù)據(jù)庫(kù)包括基本的相關(guān)屬性，例如人員類別（例如，聯(lián)系人、現(xiàn)役人員、文職人員等）和高層級(jí)組織（例如，驅(qū)逐艦研發(fā)（OUSD R&E）、驅(qū)逐艦A&S（OUSD A&S）、陸軍中隊(duì)等）。

SIPRNet同樣依賴于使用SIPR令牌的硬件支持的MFA；與CAC一樣，SIPR令牌在SIPRNet的邊界處，使用基本屬性（如用戶名和高層級(jí)組織）授予訪問(wèn)權(quán)限。NIPRNet和SIPRNet都依賴域控制器來(lái)處理身份認(rèn)證請(qǐng)求，但是很少有域控制器被聯(lián)合到一個(gè)可以為域森林提供身份認(rèn)證的公共系統(tǒng)中。

零信任用戶身份認(rèn)證系統(tǒng)可以利用任意數(shù)量的身份識(shí)別/標(biāo)識(shí)機(jī)制，無(wú)論是CAC、SIPR令牌還是其他。不論機(jī)制如何，這些屬性最終都應(yīng)該在國(guó)防部網(wǎng)絡(luò)中共享，以便在更精細(xì)的層次上創(chuàng)建用戶身份和相關(guān)屬性的通用圖片。

對(duì)于設(shè)備認(rèn)證，國(guó)防部必須確保使用標(biāo)準(zhǔn)化的健康合規(guī)要求，在國(guó)防部網(wǎng)絡(luò)生態(tài)系統(tǒng)中對(duì)接入NIPRNet的設(shè)備進(jìn)行一致的掃描和監(jiān)測(cè)。如果沒(méi)有這些措施，將很難在整個(gè)網(wǎng)絡(luò)上運(yùn)行健康檢查，也將為惡意行為體提供訪問(wèn)網(wǎng)絡(luò)和網(wǎng)絡(luò)資源的機(jī)會(huì)。

這也會(huì)為零信任的實(shí)施制造屏障，因?yàn)樗髮?duì)尋求訪問(wèn)的設(shè)備進(jìn)行映射，以便在這些設(shè)備上運(yùn)行健康檢查。由于與網(wǎng)絡(luò)連接的設(shè)備數(shù)量較少，SIPRNet目前比NIPRNet具有更好的網(wǎng)絡(luò)設(shè)備感知，但SIPRNet和NIPRNet都應(yīng)繼續(xù)努力在國(guó)防部網(wǎng)絡(luò)生態(tài)系統(tǒng)中實(shí)現(xiàn)一致的設(shè)備管理標(biāo)準(zhǔn)。

國(guó)防部授權(quán)，目前僅在本地網(wǎng)絡(luò)級(jí)別運(yùn)行，沒(méi)有與一個(gè)聯(lián)合授權(quán)源同步。同時(shí)，數(shù)據(jù)和資源沒(méi)有以允許更精確授權(quán)的粒度級(jí)別進(jìn)行標(biāo)記，因此，某些網(wǎng)絡(luò)和網(wǎng)絡(luò)飛地的訪問(wèn)固有地包括了混雜的權(quán)限。

這一挑戰(zhàn)并非國(guó)防部獨(dú)有：一些大公司擁有類似的本地管理授權(quán)結(jié)構(gòu)，但通過(guò)應(yīng)用商業(yè)軟件解決方案，將每個(gè)本地網(wǎng)絡(luò)的屬性輸入“翻譯”成一種公認(rèn)的語(yǔ)言，成功地同步了每個(gè)本地網(wǎng)絡(luò)中的信息。類似地，擁有大量網(wǎng)絡(luò)資源的商業(yè)公司（如Google）實(shí)現(xiàn)更細(xì)粒度的數(shù)據(jù)標(biāo)記，以實(shí)現(xiàn)更精確的授權(quán)。

這三個(gè)重點(diǎn)領(lǐng)域都應(yīng)該積極尋求，隨著時(shí)間的推移，增加分配給用戶、設(shè)備、數(shù)據(jù)和應(yīng)用程序的屬性的粒度。此詳細(xì)信息將允許在網(wǎng)絡(luò)資源中進(jìn)行更有針對(duì)性和目的性的數(shù)據(jù)傳輸、管理和使用，允許創(chuàng)建上下文檢查以確保用戶、設(shè)備、數(shù)據(jù)和應(yīng)用程序被正確的相互映射。

每一步都有獨(dú)特的實(shí)施挑戰(zhàn)。以下建議為零信任領(lǐng)導(dǎo)和在整個(gè)國(guó)防部應(yīng)用零信任原則提供了指導(dǎo)，使用了有針對(duì)性但可擴(kuò)展的方法。

1）零信任：同步工作

建議1.1：國(guó)防部部長(zhǎng)辦公室應(yīng)優(yōu)先考慮零信任安全架構(gòu)，并支持國(guó)防部實(shí)施零信任。

國(guó)防部安全架構(gòu)的現(xiàn)狀是不可持續(xù)的。正在進(jìn)行的安全演習(xí)已顯示出明顯的漏洞，這些漏洞只會(huì)隨著網(wǎng)絡(luò)攻擊面的擴(kuò)大而繼續(xù)增長(zhǎng)。然而，如果國(guó)防部不能及時(shí)做出反應(yīng)，它就有陷入自身惰性的風(fēng)險(xiǎn)。

國(guó)防部部長(zhǎng)辦公室可以通過(guò)明確和一致地將零信任實(shí)施列為最高優(yōu)先事項(xiàng)，同時(shí)明確分配實(shí)施和管理責(zé)任，在整個(gè)國(guó)防部?jī)?nèi)迅速采取行動(dòng)。

建議1.2：國(guó)防部部長(zhǎng)辦公室應(yīng)在國(guó)防部?jī)?nèi)指定零信任網(wǎng)絡(luò)管理（“零信任管理者”）的具體職責(zé)。

如果沒(méi)有一個(gè)單獨(dú)的實(shí)體，協(xié)調(diào)各種正在進(jìn)行的零信任工作，國(guó)防部將可能繼續(xù)在松散地遵守零信任原則但不同步且無(wú)法利用通用訪問(wèn)規(guī)則的口袋中運(yùn)作。

零信任管理者還應(yīng)制定并闡明國(guó)防部網(wǎng)絡(luò)安全戰(zhàn)略，以包括零信任原則。基于這一戰(zhàn)略，國(guó)防部可以識(shí)別并獲得符合該戰(zhàn)略的商業(yè)產(chǎn)品，而不是在沒(méi)有更廣泛架構(gòu)視野的情況下拼湊商業(yè)產(chǎn)品。這將使國(guó)防部能夠通過(guò)創(chuàng)建一個(gè)安全產(chǎn)品獲取和實(shí)施框架，最大限度地降低成本，并提高網(wǎng)絡(luò)安全的有效性。

為了支持網(wǎng)絡(luò)安全戰(zhàn)略，國(guó)防部應(yīng)制定一份記分卡，其中包含可以比較國(guó)防部?jī)?nèi)（各網(wǎng)絡(luò)）相對(duì)網(wǎng)絡(luò)安全性的指標(biāo)。這些指標(biāo)可以包括以下項(xiàng)目：運(yùn)行防病毒軟件的網(wǎng)絡(luò)設(shè)備的百分比、使用MFA的資源的百分比、持久管理帳戶和服務(wù)帳戶的數(shù)量等。

建議1.3：在擴(kuò)展到其他網(wǎng)絡(luò)資源之前，先從關(guān)鍵網(wǎng)絡(luò)資源開始，在這些接入點(diǎn)建立零信任原則。

無(wú)需采取“全部或全無(wú)”的方式來(lái)實(shí)現(xiàn)零信任。采取分階段的方式，可以鼓勵(lì)更多的組織開始實(shí)施零信任，但這些組織最終需要零信任管理者的支持和協(xié)調(diào)，以幫助他們確定零信任的優(yōu)先級(jí)，快速地實(shí)施零信任，并與國(guó)防部其他零信任工作保持一致。

關(guān)鍵資源可以被封鎖，通過(guò)使用代理來(lái)過(guò)濾用戶和設(shè)備訪問(wèn)，而將遺留系統(tǒng)逐漸變成零信任遵從性。

建議1.4：100%加密在設(shè)備之間傳輸?shù)臄?shù)據(jù)（“傳輸數(shù)據(jù)”）或在大容量存儲(chǔ)器中存儲(chǔ)的數(shù)據(jù)（“靜止數(shù)據(jù)”），并促進(jìn)利用現(xiàn)有標(biāo)準(zhǔn)（例如，CNSSP 15）進(jìn)行的跨國(guó)防部的互操作加密。

數(shù)據(jù)加密將需要組織范圍內(nèi)的穩(wěn)健和安全的加密密鑰管理策略。

加密是零信任安全的一個(gè)關(guān)鍵組件，因?yàn)樗俣ňW(wǎng)絡(luò)本身不可信任，網(wǎng)絡(luò)上的任何數(shù)據(jù)都必須相應(yīng)地受到保護(hù)。今后，國(guó)防部還應(yīng)考慮與過(guò)程/處理中數(shù)據(jù)相關(guān)的風(fēng)險(xiǎn)，并鼓勵(lì)對(duì)該階段的數(shù)據(jù)管理進(jìn)行加密，此外還應(yīng)考慮傳輸或靜止的數(shù)據(jù)。

2）用戶認(rèn)證

建議2.1：使用基于CAC和SIPR令牌的方法，探索和測(cè)試更細(xì)粒度的用戶屬性（例如，工作組合和項(xiàng)目）的使用。

本地網(wǎng)絡(luò)可以開發(fā)細(xì)粒度屬性，但這些屬性最終必須同步并更新到國(guó)防部范圍的管理系統(tǒng)。

零信任管理者必須一致地為每個(gè)參與組織，實(shí)施屬性更新和同步標(biāo)準(zhǔn)，以確保屬性管理系統(tǒng)跨不同網(wǎng)絡(luò)為每個(gè)用戶維護(hù)最新的屬性集。

對(duì)更細(xì)粒度屬性的訪問(wèn)可以是有時(shí)間限制的，這取決于用戶對(duì)該資源或數(shù)據(jù)的參與所需的時(shí)間長(zhǎng)度，系統(tǒng)管理員應(yīng)能夠在分配的時(shí)間內(nèi)的任何時(shí)候，根據(jù)需要快速切斷訪問(wèn)。

但僅當(dāng)授權(quán)訪問(wèn)的組織流程是及時(shí)的，時(shí)間限制才是有效的。如果用戶的訪問(wèn)被阻止，并且重新應(yīng)用和重新獲得訪問(wèn)的時(shí)間被禁止，用戶就不會(huì)被激勵(lì)去構(gòu)建能夠提供更高訪問(wèn)保真度的粒度屬性。

用戶認(rèn)證應(yīng)該是“白癡校對(duì)”，以允許不可避免的人為錯(cuò)誤（例如，不需要長(zhǎng)而復(fù)雜的密碼，因?yàn)槿祟悓⒉豢杀苊獾貙懴聛?lái)，留在一目了然的地方）。從長(zhǎng)遠(yuǎn)來(lái)看，國(guó)防部應(yīng)該考慮像生物認(rèn)證這樣的解決方案來(lái)降低這種風(fēng)險(xiǎn)。

建議2.2：通過(guò)將責(zé)任交給聯(lián)合身份供應(yīng)商/管理者，減輕單個(gè)本地網(wǎng)絡(luò)和網(wǎng)絡(luò)資源的認(rèn)證負(fù)擔(dān)。

國(guó)防部的活動(dòng)目錄（AD）當(dāng)前沒(méi)有聯(lián)合到森林中，而聯(lián)合有助于跨網(wǎng)絡(luò)同步身份認(rèn)證。此功能可由第三方身份管理供應(yīng)商進(jìn)行管理（對(duì)于此類管理者，商業(yè)部門有多種選擇）。

由于網(wǎng)絡(luò)飛地之間缺乏信任，AD聯(lián)合有時(shí)會(huì)遇到猶豫（既在國(guó)防部，又在商業(yè)部門）。有些人認(rèn)為聯(lián)合是一個(gè)漏洞，因?yàn)榫W(wǎng)絡(luò)訪問(wèn)經(jīng)常伴隨著對(duì)某些網(wǎng)絡(luò)資源的自動(dòng)訪問(wèn)，這種考慮導(dǎo)致每個(gè)組織都不愿意與不需要直接訪問(wèn)其網(wǎng)絡(luò)的新用戶和設(shè)備連接。一旦單個(gè)飛地采取更主動(dòng)的步驟來(lái)構(gòu)建細(xì)粒度的身份屬性并強(qiáng)制設(shè)備合規(guī)性，則AD聯(lián)合可能會(huì)更容易接受。網(wǎng)絡(luò)訪問(wèn)不應(yīng)與網(wǎng)絡(luò)內(nèi)的任何自動(dòng)資源訪問(wèn)相關(guān)聯(lián)，這將降低感知到的聯(lián)合風(fēng)險(xiǎn)。

建議2.3：將常設(shè)管理職權(quán)改為臨時(shí)的、依賴任務(wù)的管理職權(quán)。

任何用戶都不應(yīng)被授予“超級(jí)用戶”的廣泛、持續(xù)訪問(wèn)權(quán)限。用戶應(yīng)在必要時(shí)接收選擇性訪問(wèn)，然后在用戶完成其管理任務(wù)后將其刪除。

建議2.4：投資于“分類作為屬性”的研發(fā)和探路者，其中用戶許可級(jí)別可被用作一種檢查以授予對(duì)網(wǎng)絡(luò)資源內(nèi)特定數(shù)據(jù)的訪問(wèn)權(quán)限。

國(guó)防部應(yīng)探索將NIPRNet和SIPRNet融合到同一網(wǎng)絡(luò)上的可能性，依靠零信任原則來(lái)保護(hù)訪問(wèn)，并將用戶許可級(jí)別作為訪問(wèn)的核心屬性。NIPRNet和SIPRNet均應(yīng)采用SIPRNet的邊界安全措施，以保持更高的邊界安全水平，作為進(jìn)入的初始屏障。

建議2.5：在國(guó)防部各組織之間制定一項(xiàng)共同戰(zhàn)略，將非國(guó)防部用戶（如國(guó)防承包商、盟國(guó)和沒(méi)有CAC的合作伙伴）整合到網(wǎng)絡(luò)生態(tài)系統(tǒng)中，將零信任原則作為用戶和設(shè)備的基線。

國(guó)防部已經(jīng)在研究和尋求更好地將非國(guó)防部用戶集成到國(guó)防部網(wǎng)絡(luò)中的方案，同時(shí)保持零信任安全標(biāo)準(zhǔn)（如國(guó)防部企業(yè)DevSecOps計(jì)劃）。國(guó)防部應(yīng)繼續(xù)尋找在整個(gè)國(guó)防工業(yè)基地被一致應(yīng)用的CAC替代方案，依靠零信任最佳實(shí)踐（例如，MFA，可根據(jù)需要快速刪除訪問(wèn)的有時(shí)間限制的訪問(wèn)）。

國(guó)防部還應(yīng)繼續(xù)研究更好地將沒(méi)有美國(guó)公民身份的盟國(guó)和伙伴納入作戰(zhàn)行動(dòng)的方法，可以根據(jù)需要提供狹窄的、有針對(duì)性的網(wǎng)絡(luò)訪問(wèn)。

3）設(shè)備認(rèn)證

建議3.1：一致地掃描NIPRNet和SIPRNet，以發(fā)現(xiàn)連接到每個(gè)網(wǎng)絡(luò)的所有設(shè)備。

國(guó)防部的零信任架構(gòu)需要一個(gè)全面的設(shè)備清單，跟蹤連接到NIPRNet和SIPRNet的所有設(shè)備，類似于DEERS數(shù)據(jù)庫(kù)跟蹤所有國(guó)防部用戶的方式。

設(shè)備掃描/管理過(guò)程可以（也應(yīng)該）跨網(wǎng)絡(luò)分階段進(jìn)行，而非試圖一次性地在整個(gè)國(guó)防部實(shí)施。組織應(yīng)識(shí)別其網(wǎng)絡(luò)上的高價(jià)值資產(chǎn)，并專注于掃描/管理連接到這些資產(chǎn)的設(shè)備。

掃描和監(jiān)控連接到網(wǎng)絡(luò)的設(shè)備，以識(shí)別不健康/不合規(guī)的設(shè)備，然后切斷其訪問(wèn)或完全移除設(shè)備。

建議3.2：確保一致和健壯的跨網(wǎng)絡(luò)和網(wǎng)絡(luò)飛地的設(shè)備使用日志記錄，以檢測(cè)特定設(shè)備上的用戶行為模式，并標(biāo)記行為中的異常以供管理員監(jiān)控。

網(wǎng)絡(luò)流量和網(wǎng)絡(luò)上用戶/設(shè)備行為的日志和監(jiān)控，應(yīng)在國(guó)防部范圍內(nèi)標(biāo)準(zhǔn)化。這將提供對(duì)網(wǎng)絡(luò)映射的更好理解，并使識(shí)別可能指示對(duì)網(wǎng)絡(luò)資源的未經(jīng)許可訪問(wèn)的異常行為變得更加容易。

建議3.3：以SIPRNet為基礎(chǔ)，構(gòu)建“以便攜為中心”的設(shè)備管理（專注于移動(dòng)電話、筆記本電腦等）。應(yīng)要求便攜式網(wǎng)絡(luò)設(shè)備滿足健康和配置合規(guī)性要求，這些標(biāo)準(zhǔn)最終也應(yīng)適用于非便攜式設(shè)備。

目前與SIPRNet網(wǎng)絡(luò)相關(guān)的便攜式設(shè)備數(shù)量有限。這提供了一個(gè)“空白板”，以對(duì)添加到網(wǎng)絡(luò)中的任何新便攜式設(shè)備強(qiáng)制要求合規(guī)性，同時(shí)也鼓勵(lì)整個(gè)網(wǎng)絡(luò)減少對(duì)作為安全源頭的封閉物理位置的依賴。作為這項(xiàng)工作的一部分，所有的便攜式設(shè)備都應(yīng)該被要求對(duì)靜止和傳輸中的數(shù)據(jù)進(jìn)行加密。

國(guó)防部最終應(yīng)更廣泛地應(yīng)用該“便攜性”模型，以便所有設(shè)備（如臺(tái)式機(jī)）具有相同的合規(guī)性要求，無(wú)論是否便攜。

建議3.4：確保國(guó)防部在其整個(gè)網(wǎng)絡(luò)中定期和一致地進(jìn)行設(shè)備健康檢查，利用現(xiàn)有的商業(yè)解決方案來(lái)監(jiān)控設(shè)備的合規(guī)性，并在未符合合規(guī)性的情況下驅(qū)動(dòng)設(shè)備重新配置。

各種各樣的商業(yè)解決方案可以解決這個(gè)挑戰(zhàn)，例如殺毒軟件。國(guó)防部應(yīng)該能夠以最小化改動(dòng)來(lái)應(yīng)用商業(yè)解決方案。

商業(yè)解決方案將有助于識(shí)別不健康/不合規(guī)的設(shè)備。這些設(shè)備要么在合規(guī)之前被切斷，要么被完全移除。這種“遵從連接”（C2C，Comply to Connect）的方法已經(jīng)在國(guó)防部范圍進(jìn)行了探索，但需要強(qiáng)制實(shí)施，以提供網(wǎng)絡(luò)安全的基線。

除了在接收到訪問(wèn)請(qǐng)求時(shí)檢查設(shè)備健康狀況外，網(wǎng)絡(luò)還應(yīng)定期運(yùn)行設(shè)備健康檢查，以維持安全基線。檢查的速度越快越好。

4）“最小權(quán)限訪問(wèn)”授權(quán)

建議4.1：部署現(xiàn)有的商業(yè)解決方案，以將本地網(wǎng)絡(luò)屬性輸入轉(zhuǎn)換為單一聯(lián)合授權(quán)源。

建議4.2：在國(guó)防部網(wǎng)絡(luò)中以更精細(xì)的級(jí)別標(biāo)記數(shù)據(jù)和資源，以便對(duì)請(qǐng)求訪問(wèn)的用戶和設(shè)備進(jìn)行更精確的授權(quán)，從而限制雜亂的權(quán)限。

國(guó)防數(shù)字服務(wù)（DDS，Defense Digital Service）目前正在設(shè)計(jì)零信任“包裝器”（ wrappers），可以放置在網(wǎng)絡(luò)資源周圍，以更有針對(duì)性的方式運(yùn)行身份認(rèn)證和授權(quán)。零信任管理者應(yīng)與DDS協(xié)調(diào)，以驗(yàn)證這一概念，并考慮在國(guó)防部范圍廣泛部署的實(shí)施步驟。

建議4.3：將用戶和設(shè)備的位置與授權(quán)解耦。連接點(diǎn)不應(yīng)驅(qū)動(dòng)訪問(wèn)（例如，五角大樓的連接不應(yīng)提供超出基本互聯(lián)網(wǎng)連接以外的任何自動(dòng)訪問(wèn)）。

相反，除了對(duì)設(shè)備配置合規(guī)性和加密標(biāo)準(zhǔn)進(jìn)行基本檢查外，訪問(wèn)應(yīng)在很大程度上取決于用戶和設(shè)備的身份屬性。

來(lái)源：信息安全與通信保密雜志社