“只要有足夠的時間和資源，持續(xù)的威脅可以穿透任何邊界安全系統(tǒng)。”
公共政策研究智庫萊克星頓研究所的副總裁Daniel·Goure博士在RealClearDefense上發(fā)文《Department of Defense on 'cutting edge' of IT security》，評論零信任架構及其支撐項目C2C在國防部系統(tǒng)的應用及其效應。主要內容編譯如下。
在與信息技術和網絡安全有關的對話中，“國防部正在引領”這一說法基本上是不存在的。銀行等商業(yè)部門通常被描述為處于技術“前沿”，而美國國防部（DoD）則經常被貼上“技術落伍者”的標簽。但這種區(qū)分既不公平，也不完全準確。為了保護其IT基礎設施，國防部正在向“零信任”體系結構轉變。在國防部的領導下，航空航天和國防工業(yè)以及聯邦政府的其他部門可能會跟隨，從而全面提高國家安全。
在當前的超網絡時代之前，國防部為其計算機網絡建立了崇高的——近乎不可能的——目標和要求，例如在苛刻條件下的連通性，交換大量數據的能力，以及以更小更輕的形式因素（尺寸、形狀、以及IT硬件的物理特性）等等，以滿足作戰(zhàn)需求。作為回應，IT產業(yè)基礎要滿足這些需求的能力，導致經常需要延伸到連接舊資產和新資產。
如今無處不在的技術，如衛(wèi)星電視、GPS導航，甚至互聯網本身，都植根于國防部主導的對作戰(zhàn)能力的需求。但近年來，幾十年前追隨國防部的商業(yè)IT界已經在新技術的開發(fā)中處于領先地位。使產品能夠滿足企業(yè)和消費者的需求，軍隊則緊隨其后。例如，國防部既不要求智能手機也不要求智能手表，但一旦這些技術在商業(yè)上建立起來，國防部就會效仿，使用這些能力來滿足作戰(zhàn)人員不斷變化的需求。
在這種情況下，很高興看到國防部帶頭為IT和網絡專業(yè)人員定義需求和解決方案，以現在稱為“零信任網絡環(huán)境”的概念的形式來解決這個幾十年前的問題。零信任是一種網絡安全框架，它不斷評估對在線資源的訪問請求的可信度。零信任安全假設持續(xù)威脅可以通過足夠的時間和資源穿透任何邊界安全系統(tǒng)。因此，安全性必須基于這樣的假設：系統(tǒng)上的任何設備或軟件如果不經過驗證就不能被認為是安全的。
在2021年4月份的參議院軍事委員會（SASC）關于“未來網絡安全架構”的聽證會上，參議員和來自國家安全局（NSA）和國防部的證人將重點放在零信任架構上。來自國防部證人的證詞肯定了零信任的優(yōu)點，并列出了國防部零信任框架的七個支柱：保護用戶；應用程序；設備；數據；網絡/基礎設施；可見性和分析；自動化和編配。當這七個支柱得到充分實施時，將提供一個新的方案，解決網絡安全問題，應防止公共和私人網絡受到滲透。
零信任架構示意
SASC聽證會提供了許多實現零信任戰(zhàn)略和構建適當體系結構的例子。一個被證明非常有用的經常被提到的功能是遵循連接（comply to connect ）（C2C）項目。如果不密切關注，很容易就會忽略這一關鍵計劃的參考，這一計劃正將國防部加速將“零信任”付諸實踐。C2C于2013年啟動，是一個綜合的網絡安全框架工具和技術，旨在提高國防部當前和新興的作戰(zhàn)環(huán)境的網絡安全，以改善其網絡安全狀況。C2C是國家安全局、海軍陸戰(zhàn)隊和空軍主導的一個聯合項目。
C2C概念示意圖
C2C最初由FY17國防授權法案指導，現在由國防信息系統(tǒng)局（DISA）管理的記錄項目。C2C的目標是“建立一個工具和技術框架，在整個網絡基礎設施中運行、發(fā)現、識別、描述和報告連接到網絡的所有設備。”C2C分五次部署，每一次都建立在前面的能力之上：發(fā)現和識別；詢問；自動修復；授權連接；態(tài)勢感知和執(zhí)行。
聽證會后不久，國防部領導人堅持分享經驗教訓的承諾，并公開發(fā)布了零信任的參考架構。正如DISA一位高級官員所解釋的那樣，“零信任框架的目的和重點是設計架構和系統(tǒng)來承受攻擊破壞，從而限制影響半徑和惡意活動的暴露。”
參考體系結構將為整個國防部提供急需的指導。根據5月12日關于改善國家網絡安全的行政命令的要求，它還可能有助于促進民事政府機構的零信任架構。擁有一個實現零信任架構的模板，對于聯邦部門和機構履行其改善網絡安全的職責應該是非常有幫助的。
國防部成為網絡安全領導者的時機至關重要。與之接近的對手將網絡作為一種戰(zhàn)爭工具的威脅遠不止這些，而且，盡管可能沒有國家支持，復雜的犯罪集團也在使用類似的戰(zhàn)術，并取得了巨大成果。太陽風的供應鏈攻擊和殖民管道公司的網絡滲透只是一長串入侵事件中的最新一件，除非采取切實措施來實現零信任，否則入侵事件還會繼續(xù)增加。C2C在保護以Colonial油氣管道等公司為代表的運營技術網絡方面特別有用。
國防領導人正在應對不斷變化和不對稱的網絡威脅。他們發(fā)布了零信任環(huán)境的參考架構，并成為了C2C等網絡安全項目的早期采納者。國防部正在以身作則。
拜登政府已經任命了一些在網絡安全方面有豐富經驗的人在國防部擔任高級職位。Heidi Shyu女士被提名為國防研究和工程副部長，目前國防創(chuàng)新部門負責人Michael Brown先生將填補國防采購和維持副部長的職位。
軍事領導人經常談到需要了解自己的能力、對手的能力以及他們所處的環(huán)境（例如，身體、心理、政治）。C2C為國防部提供了利用他們所知道的對手的能力來防御網絡和數據系統(tǒng)的能力。
隨著美國的對手為滿足其全球野心而投入大量資源，美國國防部對網絡安全的關注是一個受歡迎的發(fā)展。來自C2C等項目的解決方案需要跟上步伐，建立并維持零信任網絡環(huán)境，從而確保任務成功。
作者簡介
Daniel·Goure博士是公共政策研究智庫萊克星頓研究所的副總裁。該研究所是一家總部位于弗吉尼亞州阿靈頓的非營利性公共政策研究機構。作為研究所國家安全計劃的一部分，他參與了廣泛的問題。
Goure 博士曾在私營部門和美國政府擔任要職。最近，他是 2001 年國防部過渡小組的成員。Goure 博士在美國政府工作了兩年，擔任國防部長辦公室戰(zhàn)略競爭力辦公室主任。他還曾在海軍分析中心、科學應用國際公司、SRS Technologies、R&D Associates 和 System Planning Corporation 擔任國家安全和國防問題的高級分析師。
