En 400-6655-581
5
返回列表
> 資源中心 > 文章>主題>零信任安全> 拜登下令強(qiáng)制推行零信任架構(gòu)

拜登下令強(qiáng)制推行零信任架構(gòu)

文章

2021-05-14瀏覽次數(shù):281

該文章轉(zhuǎn)載自安全牛

 

近日,美國(guó)總統(tǒng)拜登簽發(fā)了業(yè)界期待已久的行政命令(EO),旨在采用“大膽的舉措”提升美國(guó)政府網(wǎng)絡(luò)安全現(xiàn)代化、軟件供應(yīng)鏈安全、事件檢測(cè)和響應(yīng)以及對(duì)威脅的整體抵御能力??偨y(tǒng)令提出六大舉措:

 

  • 政策支持。拜登指出,漸進(jìn)式的改進(jìn)不會(huì)給我們提供所需的安全性;相反,聯(lián)邦政府需要做出大膽的改變并進(jìn)行大量投資,以捍衛(wèi)支撐美國(guó)生活方式的重要機(jī)構(gòu)。

     

  • 消除威脅信息共享的障礙

     

  • 聯(lián)邦政府網(wǎng)絡(luò)安全現(xiàn)代化

     

  • 增強(qiáng)軟件供應(yīng)鏈安全

     

  • 成立網(wǎng)絡(luò)安全審查委員會(huì)

     

  • 聯(lián)邦政府網(wǎng)絡(luò)安全事件預(yù)案標(biāo)準(zhǔn)化

 

拜登總統(tǒng)令強(qiáng)調(diào)了聯(lián)邦政府網(wǎng)絡(luò)安全現(xiàn)代化的關(guān)鍵舉措和最佳安全實(shí)踐:

 

  • 邁向零信任架構(gòu)。(政府部門)向云技術(shù)的遷移應(yīng)在可行的情況下采用零信任架構(gòu)。CISA應(yīng)對(duì)其當(dāng)前的網(wǎng)絡(luò)安全計(jì)劃,服務(wù)和功能進(jìn)行現(xiàn)代化升級(jí),使其能夠在具有零信任架構(gòu)的云計(jì)算環(huán)境中完全發(fā)揮作用;

     

  • 云服務(wù)中靜態(tài)和傳輸中的多因素身份驗(yàn)證和數(shù)據(jù)加密;

     

  • 加快向安全云服務(wù)的轉(zhuǎn)移,這些云服務(wù)包括軟件即服務(wù)(SaaS)、基礎(chǔ)架構(gòu)即服務(wù)(IaaS)和平臺(tái)即服務(wù)(PaaS);

     

  • 集中和簡(jiǎn)化對(duì)網(wǎng)絡(luò)安全數(shù)據(jù)的訪問(wèn),以加強(qiáng)分析、識(shí)別和管理網(wǎng)絡(luò)安全風(fēng)險(xiǎn)的能力;

     

  • 在技術(shù)和人員進(jìn)行投資以實(shí)現(xiàn)上述現(xiàn)代化目標(biāo)。

 

盡管近年來(lái)每位美國(guó)總統(tǒng)都下達(dá)了加強(qiáng)國(guó)家網(wǎng)絡(luò)安全的命令,但專家們認(rèn)為,與以往的形式化總統(tǒng)命令相比,拜登的總統(tǒng)令更為詳盡,而且成功的機(jī)會(huì)也更大。拜登的總統(tǒng)令選擇了一個(gè)“絕佳”的時(shí)間點(diǎn),數(shù)天前美國(guó)關(guān)鍵基礎(chǔ)設(shè)施遭遇了前所未有的網(wǎng)絡(luò)攻擊,導(dǎo)致Colonial Pipeline輸油管道中斷,而余波未平的SolarWinds、Exchange Server網(wǎng)絡(luò)攻擊也都被看作是美國(guó)政府遭遇的最嚴(yán)重的網(wǎng)絡(luò)攻擊。

 

拜登總統(tǒng)行政命令的一大關(guān)鍵措施是強(qiáng)化供應(yīng)鏈安全,要求所有聯(lián)邦政府軟件供應(yīng)商都遵守有關(guān)網(wǎng)絡(luò)安全的嚴(yán)格規(guī)則,否則有被列入黑名單的風(fēng)險(xiǎn)。最終,該總統(tǒng)命令計(jì)劃創(chuàng)建一個(gè)“能源之星”標(biāo)簽,以便政府和公共購(gòu)買者都可以快速輕松地查看軟件是否遵循了安全開(kāi)發(fā)規(guī)范。

 

其他措施還包括成立“空難調(diào)查式”網(wǎng)絡(luò)安全安全審查委員會(huì),該委員會(huì)將在重大事件發(fā)生后提出改進(jìn)建議,以及針對(duì)政府事件響應(yīng)的標(biāo)準(zhǔn)化手冊(cè)。

 

總統(tǒng)令還給出以下方面的規(guī)定:政府范圍內(nèi)的端點(diǎn)檢測(cè)和響應(yīng)(EDR),改進(jìn)的政府內(nèi)部以及公共部門和私營(yíng)部門之間的信息共享,以及聯(lián)邦政府部門進(jìn)行事件記錄的要求,以加強(qiáng)調(diào)查和補(bǔ)救。

 

該行政命令受到了安全專家的歡迎。

 

Sonatype的首席技術(shù)官兼創(chuàng)始人Brian Fox認(rèn)為,這將要求供應(yīng)商和軟件公司對(duì)他們的代碼安全性承擔(dān)更大的責(zé)任。

 

他補(bǔ)充說(shuō):“雖然不應(yīng)該采取政府干預(yù)措施來(lái)使企業(yè)采取適當(dāng)?shù)能浖踩胧?,但拜登充分利用?lián)邦政府的購(gòu)買力來(lái)提高軟件安全性,這是所有國(guó)家都可以借鑒并從中受益的。”

 

Illumio首席執(zhí)行官Andrew Rubin也贊揚(yáng)了拜登對(duì)分布式計(jì)算環(huán)境安全最佳實(shí)踐零信任模型的支持。

 

他說(shuō):“拜登政府發(fā)布了一份全面的行政命令,最終承認(rèn)了過(guò)時(shí)的聯(lián)邦網(wǎng)絡(luò)安全模型的失敗,并揭開(kāi)了新安全設(shè)計(jì)的第一個(gè)迭代——建立在零信任中的全新政府網(wǎng)絡(luò)安全架構(gòu)。”

 

“安全(過(guò)度)自信并不只是美國(guó)的問(wèn)題,聯(lián)邦的問(wèn)題或政策問(wèn)題,而是全球性問(wèn)題。因此,我強(qiáng)烈支持這項(xiàng)行政命令。這是對(duì)全球政府采取行動(dòng)的呼吁,我們需要改變保護(hù)自己的方式。有了這個(gè)新的行政命令、這個(gè)新的零信任藍(lán)圖,我們將朝著更安全的未來(lái)邁進(jìn)。”