隨著美國聯邦各機構在世界各地工作環境實現網絡現代化，必須淘汰傳統的本地'城堡+護城河'安全模式。因此，需要采用現代化的安全方法來保護混合及多云架構，并保護現代網絡。

傳統上我們將網絡流量標記為東西向或南北向，但隨著越來越多的政府用戶通過網絡邊界之外的設備進行連接，這一做法已經不再適用。沿用了長達20年之久的網絡流量流向概念已成過眼云煙。

為了轉向支持管理和保護任意方向的流量，TIC（可信互聯網接口）指南為各機構提供了必要的靈活性，以使其從傳統的遠程工作安全解決方案(如VPN)，轉向支持復雜的混合或多云環境的可擴展網絡基礎設施。

當美國聯邦IT和網絡安全領導調整其網絡架構時，應遵循TIC 3.0指南，并重新調整其安全態勢，將重點放在保護任意地點的用戶和數據流量上，而不是僅僅保護某些特定的網絡位置。

安全性：使用零信任來緩解威脅

為了使員工在任意地點工作時基礎設施都能得到保護，機構需要使用零信任模型。零信任意味著機構根本不信任任何用戶。IT團隊需要為處于任意位置、使用任意設備的用戶授予安全訪問權限。

'零信任不僅僅是一種架構，這一點必須時刻牢記。零信任是一種哲學理念，也是一種需要整個組織接納的文化變革。' Sean Connelly（TIC項目經理兼高級網絡安全架構師，CISA）在12月的一次活動中表示。

請注意，隨著時間的推移，信任會逐漸瓦解，必須通過算法和模型不斷對其進行重新評估。為此，各機構應選用一個健壯的身份和訪問管理解決方案。然后，通過網絡分析、遙測以及外部情報來建立訪問控制。

在開發零信任用例時，各機構應繼續參考TIC 3.0和NIST零信任架構指南。TIC 3.0指南可幫助各機構建立可信區，以保護具有相似保護需求的網絡組件，例如：云容器、辦公位置、應用程序、端點或用戶身份。

通過可信區，各機構可以阻止橫向流量，同時零信任則用來保護同一可信區內部以及多個可信區之間的訪問安全。這種組合對于各機構來說都至關重要，它們可以在通過零信任授予訪問權限之前先驗證用戶身份，并減少可信區的大小以保護內嵌計算資源的安全性，從而限制機構的攻擊面。

對于可信區和零信任，并不存在適合所有機構、放之四海而皆準的解決方案，但聯邦IT領導應該綜合考慮他們的可信區規模、數量、分類、組成和通信，以開發一個定制化的安全方案來滿足機構的使命需要。

靈活性：適應復雜架構的現代安全性

為了向機構提供必要的靈活性，之前版本的TIC依賴額外的企業級防火墻、Web代理、檢測傳感器和其他邊界防御機制?，F如今，由于員工在遠程或混合環境中工作，且各機構都遵循現代化的TIC 3.0指南，可以將安全防護手段放置在更接近資源本身的地方，使一切都匯集于一個接入點上。

此外，由于數據在云中產生，除非將其從初始位置移出，否則數據會逐漸積累質量和重力。為確保接入點的安全，并適應這種'數據重力'（Data Gravity），各機構應采用安全訪問服務邊緣（SASE）安全模型。

遵循SASE模型，各機構可以減少數據重力并顛覆傳統安全模式，將必要的安全功能轉移到云端，以便用戶可以從任何地點訪問數據和網絡，同時將安全功能盡可能地靠近用戶/設備/數據所在的位置。通過SASE模型，CISA顛覆了諸多服務，例如“持續診斷和緩解”項目，該項目在數據產生的位置進行保護，此外美國聯邦總務署也以這種方式調整了其企業基礎架構解決方案的模型。?

展望未來

今年，CISA計劃發布更多的用例--包括美國行政管理和預算局M-19-26文件指定的云、分支機構、遠程辦公用例，以及關于零信任、物聯網、合作伙伴網絡和美國聯邦總務署（GSA）的企業基礎設施解決方案（EIS）等潛在的用例。此外，還包括關于Web應用程序接口（API）的指南。

展望未來，政府網絡管理者應繼續將安全性與用戶和數據結合起來。為了推陳布新，取得實質性進展，各機構需要開展試點項目并獲得資金支持。

隨著每次攻擊的發生，敵方會變得越來越聰明，也越來越狡猾。針對 SolarWinds IT 管理軟件漏洞的供應鏈攻擊已影響超過18000個公共和私營機構組織，這凸顯了依賴傳統安全方法部署現代數字服務時可能會帶來的相關風險。唯一可行的保護方法是縱深防御，包括零信任、安全訪問服務邊緣和云工作負載保護。確保您的合作伙伴具有靈活性，可以即時做出反應并采取對策，在需要時提高多層安全平臺的覆蓋范圍。

作為一個社區，如果我們想為未來可能會發生的事情做好準備，那么第一要務便是關注現代化這個需求。

來源：互聯網安全內參