美国防信息系统局发布《国防部零信任参考架构》

文/柯善学

美国国防信息系统局（DISA）于5月13日在其官网宣布公开发布初始国防部（DoD）零信任参考架构，旨在为国防部增强网络安全并在数字战场上保持信息优势。而就在之前一天（5月12日），拜登发布行政命令以加强国家网络安全，明确指示联邦政府各机构实施零信任方法。

国防部零信任参考架构是一份163页的架构文件，内容相当丰富。同时，它采用了国防部信息企业架构（IEA）的术语体系，说明其将充分融入国防部专用的企业架构（EA）中。

目录

1.背景概述

2.零信任参考架构的目录

3.零信任参考架构的复杂性

01 背景概述

美国国防信息系统局（DISA）最近发布了初始零信任参考架构。其实，DISA在2021年2月份就发布了零信任参考体系结构的1.0版，但最近才将其公开。这是美国国防部（DoD）向零信任迈进的加速剂。

DISA的163页国防部零信任参考架构，为国防部大规模采用零信任设定了战略目的、原则、相关标准和其他技术细节。零信任从基于网络的防御，转变为以数据为中心的模型，并且不向用户授予隐性信任，以防止潜在的恶意行为体在网络中移动。

国防部采用零信任的依据是三项基本准则：

永不信任，始终验证；
假设失陷；
显式验证。

“零信任框架的目的和重点是设计假设失陷的架构和系统，从而限制恶意活动的爆炸半径和暴露面，” DISA安全使能产品组合首席工程师Brandon Iske在一份声明中说。

DISA与国防部首席信息官办公室、美国网络司令部、美国国家安全局合作开发了该初始参考体系结构。

“从头到尾，这种最初DOD零信任参考架构的开发都是真正的团队努力，” DISA安全使能产品组合经理Joe Brinker说。“在此过程中，我们与国家安全局、网络司令部、国防部CIO任务合作伙伴之间建立的伙伴关系，对于开发综合参考架构至关重要，而该架构已得到国防部高级领导的一致批准。”

Brinker说：“ DISA将继续与DOD组成部门合作，以计划在国防部范围内实施零信任和开发零信任相关的企业能力。”

上个月，美国国防部首席信息官（CIO）John Sherman曾透露，国防部还正在制定一项零信任战略，并将于今年晚些时候发布。在比灵顿网络安全防御峰会上的讲话中，Sherman解释说，虽然零信任是一种网络安全和技术模型，但它更代表了国防部的观念转变。他说：“这与技术无关，而与战略有关。”

02 零信任参考架构的目录

1 战略目的（AV-1、CV-1、CV-2、OV-1）

1.1简介

1.2目的

1.3范围

1.3.1利益干系人

1.3.2架构开发

1.3.3时间框架

1.4愿景和目标

1.4.1愿景和高层级目标（CV-1）

1.4.2战略

1.4.3能力分类法（CV-2）

1.5高级运行概念（OV-1）

1.5.1决策点、组件和能力

1.6预期用途和受众

1.7假设

1.8限制条件

1.9与其他架构的联系

1.9.1 国防部网络安全参考架构（CS-RA）集成

1.9.2 国防部ICAM参考设计（RD）

1.9.3 NIST SP800-207零信任架构

1.10工具环境

1.11成熟度模型

2 原则

2.1概述

2.1.1零信任的概念和原则

2.1.2原则、支柱和能力

3 技术地位（StdV-1、StdV-2）

3.1标准配置（StdV-1）

3.2标准预测（StdV-2）

4 模式

4.1能力依赖关系（CV-4）

4.2能力到运行活动的映射（CV-6）

4.3能力到服务的映射（CV-7）

4.4运行资源流描述（OV-2）

4.5运行活动模型（OV-5b）

4.5.1简化认证请求

4.5.2设备合规性

4.5.3用户分析

4.5.4数据权限管理（DRM）

4.5.5宏观分段

4.5.6微观分段

4.5.7特权访问

4.5.8应用程序交付

5 词汇（AV-2）

5.1术语表

5.2活动定义

5.3服务定义

5.4缩略词列表

附录A：能力分类和描述（CV-2）

附录B：参考资料

03 零信任参考架构的复杂性

国防部零信任架构（ZTA）工作的范围，专门用于确定所需的能力和集成，以成功推进国防部信息网络（DoDIN）进入可互操作零信任最终状态。

国防部零信任参考架构，是指导落地的。一个显著特点是其架构内容与国防部信息企业架构（IEA）保持一致，以实现术语的一致映射，并便于作为实施参考。

从上一节的目录中可以看到，大量AV-1、CV-1、CV-2、OV-1之类的符号均来自国防部信息企业架构（IEA）。而IEA是美国国防部专用的企业架构（EA）。企业架构（EA）通常是相当复杂的，所以要真正理解国防部零信任参考架构，还是有相当门槛的。

但笔者相信，国防部零信任参考架构对于零信任的工程化落地实现，是一份宝贵材料。该架构指南中给出了15张图，笔者仅摘录其中的前4张，值得细细推敲：

图1-能力分类（CV-2）

该图展示了国防部信息企业架构（IEA）的顶级能力组件，且已经纳入了包含了零信任的核心能力，如认证、授权、访问管理、微分段、SDN等。

图2-高层级运行概念（OV-1）

上图展示了国防部零信任架构的整体运行流程：

最重要的特点是中间的两大块，分别代表了用户侧访问控制和数据侧访问控制。这样，才能把零信任的场景全面覆盖（目前业界大多只是讲述了用户侧）。
最左侧还将用户侧访问控制进行区分为非人实体访问（黄色框）和人员实体访问（蓝色框）。
最右侧是控制平面和决策引擎机制。
最下面是企业级身份服务：充分说明身份管理在零信任中的基础性作用。