Home / Resources / ISACA Journal / Issues / 2021 / Volume 6 / 在零信任时代，信任还重要吗

在零信任时代，信任还重要吗

在零信任时代，信任还重要吗?
Author: arkar Oo, CRISC, CISM, CCSP, CISSP, ITIL Foundation, PRINCE2
Date Published: 11 November 2021
Related: 隐私由设计|数字|英语

最常见的主题是反复出现的安全性 最近发生的事件与此有关 破坏看似值得信赖的服务 供应商或技术. 这引起了很大的信任 组织和消费者的问题 他们是否得到了足够的保证 来自与他们合作的供应商. 了解现有安全性的不足 方法，可能的增强使用零 信任体系结构和相关控制的使用 框架可以帮助组织进行保护 防范保安事故.

Revisiting the CIA Triad

每当讨论到信息安全的时候 在过去的四十年里，保密，诚信 和可用性(CIA)三位一体，1976年首次提出 inevitably referenced.1, 2 But how do these three 原则适用于系统、网络、运营商 或者IT专业领域的外部因素? 例如，自动取款机(ATM) 是1967年的一项伟大的技术成就 即使过了50岁，每个人仍然希望它是安全的 years.3 因为金融机构是高度 受监管的行业，毫无疑问，自动取款机 是否有所有可能的控制措施 在以下方面对中央情报局原则的保证:

  • 多因素身份验证的机密性 (MFA)，因为客户既需要体检，也需要体检 卡和个人识别号码(PIN) use the service
  • 诚信即银行将确保一切 交易是诚实地进行的 对用户数据的任何篡改
  • 可用性，因为即使在 银行分行关门了

然而，两者都有众所周知的困境 of these CIA principles:

  • 卡片的保密性受到了挑战 将磁卡读卡器放在ATM的真实卡槽上并使用假密码的盗刷者 记录卡片数据和用户密码的键盘.4
  • 在卡的攻击中失去了完整性 处理网络在2017年，当黑客和 “钱骡”制造协调的现金 从海外自动取款机取款.5
  • 连接atm机的底层网络中断 回银行，都是频繁而导致的自动取款机 service interruptions.6

基于这些例子，这些原则是 如果他们被设计或处理无效 没有全面的风险背景. The US 国家标准与技术研究所 (NIST)特别出版物(SP) 800-39定义 信息安全风险如下:

对组织运作(包括任务)的风险, functions, image and reputation), organizational assets, individuals, 其他组织和国家由于潜在的未经授权的访问, use, disclosure, disruption, 修改或破坏信息和/或信息系统.7

这个定义不仅反映了…的重要性 有良好的风险管理，但它也突出 风险可能给一个国家带来的影响.

该定义可以进一步扩展为包括 当风险导致对世界的影响 剥削和接管至关重要 基础设施部门造成区域性服务 or global disruptions.8, 9

网络攻击越来越复杂

最近一些最具影响力的头条新闻 高级持续性威胁(apt)演示 威胁行为者对行为的奉献 复杂的攻击和利用零日攻击 漏洞，使得风险的实际实现 随着全球破坏不再是一个假设.

到2020年底，网络安全澳门赌场官方下载 全世界都震惊了 太阳风猎户座软件被攻破了 是通过被攻击者提供后门吗 对许多组织的更新. This incident 这表明，指导一个资源丰富的人是可能的 并集中了对手的努力来找到一个共同的 美国政府广泛使用的软件 机构，关键基础设施实体和私人 组织的同时保持低调 several months.10 考虑到客户的数量 以及太阳风所拥有的工业部门 一场安全灾难是专门针对一个 supply chain.11 微软终于命名了 作为诺贝尔奖的演员，并将其归因于 太阳风攻击，SUNBURST后门， TEARDROP恶意软件，以及相关组件.12 如果诺贝尔奖事件被视为全国性的 攻击，然后利用Accellion文件 传输设备将被视为全局的 attack.13, 14 来自澳大利亚、纽约州和美国的组织 新西兰、新加坡、英国和英国 美国，包括纽约储备银行 新西兰，美国华盛顿州，澳大利亚 美国证券和投资委员会 新加坡电信公司，众达律师事务所， 美国食品杂货连锁店克罗格(Kroger)，甚至还有 网络安全公司Qualys成为受害者.15 One can 想象一下这种袭击会发生在 公共云服务和影响无数其他 organizations. 这些袭击是如何发生的? SolarWinds和Accellion并不是唯一的目标 但SolarWinds和 Accellion的客户位于关键的基础设施中 部门，使得这些黑客比 others. 在太阳风的案例中，太阳风的原理 受中情局三合会影响的情况如下:

  • 保密工作于9月4日被打破 2019年，未经授权访问 SolarWinds’s system.
  • 2019年9月12日，诚信遭到破坏 当任意代码被注入 Orion software update.
  • 可用性没有受到影响，因为客户 我们还在使用这个软件吗 the authenticity.16

相比之下，Accellion的攻击威胁到了 业务数据可用性受到威胁 演员与勒索软件公司有关. 不可避免地，SolarWinds和Accellion的漏洞 被安全专业人员比较是因为 他们被认为是值得信赖的伙伴 customers. 信任放错地方了吗?

2021年3月，微软发布了几次更新 查找影响Exchange Server的关键漏洞 2013年，2016年和2019年的版本 作为攻击链的一部分被利用. As the latest 开发与多个零日相关 Microsoft Exchange的漏洞，内部部署 部署显示，撞击的半径 每隔两到三个小时就继续生长 organizations worldwide. In some cases, at least 10名来自不同国家的10 + 3参与者 目标是同一个组织. It is clear from the 时间线显示从漏洞开始 被大规模剥削，是吗 事态升级不需要太多时间吗 and weaponize.17

另一个例子发生在思科系统公司. A 一位思科系统的前雇员 删除超过400个虚拟机 亚马逊网络服务(Amazon Web Services，简称AWS)在他离职5个月后 resignation. 思科用户管理指南 访问权限和离职程序 flawed. 这次删除导致了16000人的中断 WebEx团队花费了两周的时间 enterprise US$2.4 million.18 Could it have been avoided? 这违反了中情局的原则.

做出明智的决定 组织受到攻击

近年来，“零信任”被提及 无处不在，包括零信任安全，零信任 网络和零信任架构. Created in 2010年，零信任的概念正在形成 越来越受欢迎，许多供应商都支持它 model.19 在其核心，这个概念是基于一个 “信任，但要核实”的格言.” However, more recently, 精细化的体系结构和部署模型 是为了解决这个概念而创建的. The reasons 现有的安全模型不能胜任的任务 评估信任和改善信任的方法 well documented. 一些陷阱包括:

  • 识别“可信”接口是不可能的.
  • “信任，但要核实”的口号没有得到认真对待.
  • 恶意的内部人士往往处于受信任的位置.
  • 信任不适用于数据包.

这可能是人们的本能行为 验证数据是否来自“假定可信” sources. 然而，有三个基本因素 构建零信任模型的概念:

  1. 确保安全访问所有资源 regardless of location.
  2. 严格采用最小特权策略 enforce access control.
  3. 检查并记录所有交通.

Zero Trust Architecture
拓宽对…的接受和理解 零信任模型，NIST发布SP 800-207与 各种方法、部署用例和 实现零信任的可能迁移计划 architecture.20 中部署零信任架构 澳门赌场官方下载网络是不同的，可以做到 通过遵循特定的业务流程，给予 灵活性和促进用户接受. Zero 信任架构包括三个核心组件:

  1. 策略引擎负责决定 授予对给定主题的资源的访问权限.
  2. 策略管理员负责 建立和关闭 主体与主体之间的通信路径 resource.
  3. 策略实施点负责 用于启用，监视和最终 终止主语和之间的联系 an enterprise resource.
IT MAY BE AN INSTINCTIVE BEHAVIOR FOR PEOPLE TO NOT VERIFY DATA IF THEY COME FROM ‘PRESUMABLY TRUSTED’ SOURCES.

作为数据源提供输入和策略规则的其他组件包括:

  • 持续诊断和缓解(CDM)系统
  • 行业合规体系
  • Threat intelligence feed
  • 网络和系统活动日志
  • Data access policies
  • 澳门赌场官方下载公钥基础设施(PKI)
  • 身份识别管理系统
  • 安全信息和事件管理(SIEM)系统

有四种零信任架构部署 models:

  1. 基于设备代理/网关的部署—The 策略实施点分为两个 组件驻留在资源上或作为 组件直接放在资源前面. This 模型最适合具有 稳健的设备管理程序，可以 用于在发布中实现代理/网关 devices.
  2. Enclave-based deployment—A variation of 基于设备代理/网关的部署 网关组件可能不驻留在资产上 或者在个人资源面前，而是在 资源飞地的边界. This model is 在遗留应用程序或本地数据中非常有用 单独部署代理时的中心 considered a challenge.
  3. 基于资源门户的部署—The policy 实施点是一个单独的组件 充当主题请求的网关. The 网关门户可以用于单个资源 或者是资源集合的安全飞地 用于单个业务功能. The 该模型的局限性是可见性 资源活动，因为它取决于是否 资产连接到门户.
  4. 设备应用沙箱—This variation of 代理/网关部署模型取决于 仅将受信任的应用程序作为 sandbox. 它提供了划分 资产以虚拟化和 容器化以保护主机.

Common Criteria
为了应对供应链攻击，更新了 NIST SP 800-53可用于帮助管理供应 将风险与政策、程序、计划和 controls, and processes.21 IT professionals often 花相当多的时间来确保这一点 某些系统在Common下得到认可 标准(CC)并遵守评估保证 等级(EAL)三级或以上.22 While these 认证不是唯一的方法来提供 安全保证，两者都是评估和设计关键组件的有效方法 明确表明遵守国际 补充其他认证的标准，例如 作为国际标准化组织 (ISO) ISO 27001 or SOC 2. This EAL reinforces the 提供商和客户之间的信任位于 不同的国家，因为CC可以遵循特定国家的方案. 2021年cc认证统计数据 产品显示有1564个活跃产品 in 14 categories. Figure 1 说明了 2021年通过cc认证的活性产品 CC category.23

Figure 1

云安全联盟云控制矩阵
许多组织现在至少使用一种类型的 软件即服务(SaaS)等云服务; 基础设施即服务(IaaS)或平台即服务 服务(PaaS)，这阻碍了有效性 of CC. CC方案是为提供 对传统软件供应的保证 模型，因此，它不太适合 云的面向服务的体系结构(SOA) 服务，因为它的目标很难定义 评估(TOE)或委托操作 environment (OE).24

幸运的是，这个差距可以通过利用 云安全联盟(CSA)云控制矩阵 (CCM)网络安全控制框架的一致性 到CSA最佳实践，并被认为是de 云安全和隐私的事实标准.25 The 2021年修订的CCM足够强大，可以覆盖17个 重要的域，并与其他兼容 框架，如ISO 27001:2013, ISO 27017:2015, ISO 27018:2019和NIST SP 800-53.

Conclusion

建立和维持信任是很重要的 供应商和客户之间的关系 因为一个人不能离开另一个人而存在. Service 提供者和澳门赌场官方下载应采用适当的 零信任架构部署模型和be 透明地遵守行业最佳标准 practices. 总会有需要消除的威胁 信任，但仍然是相互理解和保证 可以使用诸如 CSA CCM和优先级持续评估 以及CC EAL等改进 认可以方便核实. When in 怀疑，永远不要相信，永远要验证.

构建和维护一个 提供者之间的信任关系 还有顾客，因为我们做不到 EXIST WITHOUT THE OTHER.

Endnotes

1 电叉，“CIA三合会”，2010年3月1日 http://blog.electricfork.com/2010/03/cia-triad.html
2 The MITRE Corporation, 安全计算机系统:统一论述与多元解读, USA, March 1976, http://csrc.nist.gov/csrc/media/publications/conference-paper/1998/10/08/proceedings-of-the-21st-nissc-1998/documents/early-cs-papers/bell76.pdf 
3 Weinberger, J.; “Protecting ATM Connections: Amid Security Threats, End Users Must Consider IoT and M2M,” Security Today, 1 August 2017, http://securitytoday.com/articles/2017/08/01/protecting-atm-connections.aspx
4 Krebs, B.; “All About Skimmers,” KrebsonSecurity, http://krebsonsecurity.com/all-about-skimmers/
5 Positive Technologies，“黑客如何抢劫银行”，2018年5月21日; http://www.ptsecurity.com/ww-en/analytics/banks-attacks-2018/?sphrase_id=85261
6 Abrams, L.; “TD Bank Suffered Systemwide Banking Outage, Services Now Recovered,” Bleeping Computer, 25 February 2021, http://www.bleepingcomputer.com/news/technology/td-bank-suffered-systemwide-banking-outage-services-now-recovered/
7 美国国家标准与技术研究院(NIST)， NIST特别出版物(SP) 800-39 管理信息安全风险:操作、任务和信息系统视图, USA, March 2011, http://csrc.nist.gov/publications/detail/sp/800-39/final
8 美国网络安全和基础设施安全局(CISA)，“美国关键基础设施部门”， http://www.cisa.gov/critical-infrastructure-sectors
9 英国国家网络安全中心(CNI Hub)http://www.ncsc.gov.uk/section/private-sector-cni/cni
10 美国网络安全和基础设施安全局(CISA)，警报(AA20-352A): A高级持续威胁政府机构的妥协, Critical Infrastructure, 及私营机构, USA, 17 December 2020, http://us-cert.cisa.gov/ncas/alerts/aa20-352a
11 Jankowicz, M.; C. Davis; “These Big Firms and US Agencies All Use Software From the Company Breached in a Massive Hack Being Blamed on Russia,” Business Insider, 14 December 2020, http://www.businessinsider.com/list-of-companies-agencies-at-risk-after-solarwinds-hack-2020-12
12 微软安全响应中心, 诺贝尔资源中心——3月4日更新, 2021,” 21 December 2020, http://msrc-blog.microsoft.com/2020/12/21/december-21st-2020-solorigate-resource-center/
13 美国网络安全和基础设施安全局(CISA)，警报(AA21-055A): Accellion文件传输工具的开发 USA, 24 February 2021, http://us-cert.cisa.gov/ncas/alerts/aa21-055a
14 Accellion, 文件传输设备(FTA)安全评估，火眼，美国，2021年3月1日， http://www.accellion.com/sites/default/files/trust-center/accellion-fta-attack-mandiant-report-full.pdf
15 Hay Newman, L.; “The Accellion Breach Keeps Getting Worse—and More Expensive, Wired, 8 March 2021, http://www.wired.com/story/accellion-breach-victims-extortion/ 
16 Sudhakar, R.; “New Findings From Our Investigation of SUNBURST,” Orange Matter, 11 January 2021, http://orangematter.solarwinds.com/2021/01/11/new-findings-from-our-investigation-of-sunburst/ 
17 Faou, M.; M. Tartare; T. Dupuy; “Exchange Servers Under Siege From at Least 10 APT Groups,” WeLiveSecurity, 10 March 2021, http://www.welivesecurity.com/2021/03/10/exchange-servers-under-siege-10-apt-groups/
18 itNews，“前思科工程师离职后为Webex团队删除了456个虚拟机”，2020年8月27日， http://www.itnews.com.au/news/ex-cisco-engineer-deleted-456-vms-for-webex-teams-after-exit-552494 
19 Kindervag, J.; No More Chewy Centers: 介绍信息安全零信任模型 Forrester, 2010年9月17日， http://media.paloaltonetworks.com/documents/Forrester-No-More-Chewy-Centers.pdf
20 Rose, S.; O. Borchert; S. Mitchell; S. Connelly; Special Publication (SP) 800-207, Zero Trust Architecture, 美国国家标准与技术研究院(NIST)， 2020年8月 http://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-207.pdf
21 美国国家标准与技术研究院(NIST) NIST特别出版物(SP) 800-53, 信息系统和组织的安全和隐私控制, USA, September 2020, http://csrc.nist.gov/publications/detail/sp/800-53/rev-5/final
22 Common Criteria, http://www.commoncriteriaportal.org/cc/
23 通用标准，“认证产品清单-统计”， http://www.commoncriteriaportal.org/products/stats/
24 Kaluvuri, S. P.; M. Bezzi; Y. Roudier; “Bringing Common Criteria Certification to Web Services,2013 IEEE安全与隐私工程国际研讨会, 保证和认证, http://www.eurecom.fr/en/publication/4092
25 云安全联盟，云控制矩阵v4， http://cloudsecurityalliance.org/artifacts/cloud-controls-matrix-v4/

arkar Oo, CRISC, CISM, CCSP, CISSP, ITIL Foundation, PRINCE2

是安永澳大利亚的安全咨询经理吗. Prior to EY, he was a 全球顶级澳门赌场官方下载INSEAD(新加坡)网络安全高级经理 school. 他在作战和战略安全方面发挥着关键作用 计划，确保在四个地点提供教育服务 在法国、新加坡、阿联酋和美国，以及在线学习 platforms. 在加入INSEAD之前，他是首席信息安全官 (CISO): Orange Business的公有云服务Flexible Engine 服务，并实践领先的云安全专业服务. He 还参与了各种公共咨询和实施项目 和私营部门.