|
1 摘要 1.1 宗旨 CSRA的目的是以原则、基本组件、能力和设计模式的形式建立网络安全架构的特征，以应对存在于传统网络边界内外的威胁。CSRA通过整合ZT原则指导网络安全实施的现代化，以支持威胁情报驱动的缓解和采购规划的调整。ZT包含指导CSRA中包含的门槛特征的客观特征，以确保作战人员所需的能力满足网络生存能力标准，以支持网络生存能力认可(CSE)。网络复原力的考虑被包括在内，以支持任务保证所需的网络生存能力工程。随着各组织采用ZTA，需求和采购文件将需要定义网络安全和网络弹性的阈值性能要求，以确保它们具有合同约束力、可衡量和可测试。 1.2 范围 CSRA为国防部的网络安全现代化提供了架构框架，并支持完成ZTA的目标水平。该指南适用于国防业务系统、国防部NSS、国防部CIKR以及其他国防部IT和OT。 1.3 原则 网络战的本质是不对称的，因此，为了实现充分的网络安全，有必要进行定制或自定义控制;然而，消除一个系统中的所有风险是不符合成本效益的。为了有效地减轻风险，每个缓解措施的选择应基于对威胁的成本效益分析。平衡缓解措施的整体效果和直接成本，使建筑师能够根据风险状况做出明智的决定。一种基于承认威胁不能被限制在授权范围内的方法，以及在基干威胁的网络安全评估的基础上对缓解措施进行成本-效益分析，可以使安全设计对特定的威胁使用最有效的控制。这种方法符合国家标准与技术研究所（NIST）特别出版物（SP）800-160RevA，联合参谋部JCIDS CSRC网络生存能力属性，国防部指令（DoDI）8530.01，以及NISTSP800-207和其他联邦政府倡议中描述的ZT原则。 建议采用以下网络安全架构原则，通过将风险降低到可接受的水平来实现充分的网络安全，以保护国防部数据、资产、应用和服务(DAAS)。最新的原则清单反映了国防部根据E.0.14028和NSM-8采用ZTA的意图。 1.4 假设 下面列出的假设反映了国防部根据E0.14028和NSM-8采用ZTA的意图。
1.5 限制条件
1.6 网络安全架构所支持的作战人员的成果 CSRA旨在通过2022年国防战略中描述的两种主要方式为作战人员提供更有效的结果。 综合威慑 为了提高网络空间的生存能力和威慑MCA，该部必须投资于关键能力的现代化。采用集成了可见性、分析、数据保护和其他先进安全技术的ZTA将减少复杂性，并实现网络响应行动的自动化和协调。 建立持久的优势 目前的采购程序是为了获得特定的系统，而不是为了解决操作问题。随着该部转向快速试验和实地考察新兴技术和能力，其目的是更好地将需求与资源和采购相协调。采用ZTA的设计，使遗留系统与现代系统具有互操作性，将更有效率和效益地向作战人员提供先进的能力。 1.7 产品结构 表1列出了用于记录CSRA目的和意图的DoDAF视图。
1.8 过度映射 以前版本的CSRA的关键组成部分将被整合到ZT支柱中，并通过多对多的关系映射来调整几个要素。
2 业务活动概述
2.1 A.1 识别 创建一个有弹性的架构和管理网络安全风险的第一步是详细了解DAAS。这种知识构成了支持架构中其他活动所需的基线。原则1是通过识别环境中的接入点和建立意识基线来应用，以管理风险。原则3.1对于通过与每个被管理的用户、设备和服务的属性和访问权限的关联来识别活动至关重要。ICAM政策和标准是与CSRA协调建立的，包含在一个单独的参考架构中。 A.1和后续章节中描述的活动取决于消费ICAM架构并与国防部身份整合。 2.2 A.2 管理 网络安全管理活动通过技术和行政控制，包括变更控制管理和补丁管理，保护DAAS免受MCA的影响。A.2中的活动由A.1中的活动支持。在确定用户后，应根据系统的ICAM战略对其进行管理原则3.1支持。被管理的和未被管理的设备必须能够在同一环境中共同运作，以采用ZTA，但这需要仔细应用原则11来正确保护DAAS。除了直接管理设备外，还必须通过应用原则1.2和原则2.1来管理设备和服务配置。 2.3 A.3 控制 网络和环境分割是减少MITREATT&CK®中所列的侦察、执行、防御规游、发现、横向移动、收集、指挥和控制、渗出和影响的有效技术。如MITRE D3FENDM中所述，分割网络也将提高网络隔离度。在宏观和微观层面上的网络和环境分割，通过减少每个网络和环境的攻击面来实现原则1.3。宏观细分是一种基于系统组、功能，组织单位和其他战略原因创建细分的方法。微观细分是一种基于系统、服务、应用或其他离散事务创建细分的方法。 2.4 A.4 保护 当国防部信息被处理、存储、显示或传输时，必须控制对DAAS的访问。这包括支持研究、开发、测试和评估(T&E)，以及由承包商或其他实体代表国防部访问的国防部控制的DAAS。原则1.1的应用是通过属性建立最少的特权，原则2.1的应用是通过加密技术和基干多个权威来源的政策执行来限制对授权访问。 2.5 A.5 检测 必须检测和检查异常活动，以便将来分析DAAS的风险。这包括由用户、设备或应用程序在内部和外部的网络/环境中观察到的良性和恶意的活动。流量内容和测量检查不能再基于OSI层和当前的资金流进行限制。像授权边界和网络周边的概念必须发展，以实现ZT目标状态。坚持以管理和网络为中心的想法，而不注重数据和技术的发展，使得MCA战术包括MITRE ATT&CK®中描述的持久性、权限升级和横向移动。原则2.2的应用是在假设MCA可以进入环境，并且需要持续检测以达到预期结果的情况下进行操作。 2.6 A.6 分析 当检测到异常活动时，必须对其进行分析以确定对DAAS的风险和对网络生存能力的影响。流量内容和测量检查结果必须被记录下来，以促进减少数据存储需求，并加速自动化和协调响应。原则2.2的应用是通过假设一个MCA可以进入环境，并且需要持续的分析来实现预期的结果。 2.7 A.7 自动化 事件和事故响应及相关功能必须自动化，以实现ZT目标状态。原则3适用于通过现代化实现和保持网络安全优势。PEP的有效实施依赖于自动化响应，以协调各项功能。这也支持授权决策的CI/CD。 2.8 A.8 统筹安排 PEP的有效实施依赖干协调功能的协调。这也支持授权决策的CI/CD。尽管实施CI/CD不属于CSR A的范围，但自动化和协调对干通过采用ZTA实现网络安全的整体现代化至关重要。 3 能力描述
3.1 C.1 识别 NIST CSF识别功能被整合到CSRA中，作为使用技术和流程来识别DAAS的管理网络安全风险的能力。原则1适用于识别能力，以减少风险，重点是保护DAAS。资产管理（ID.AM）类别的调整使国防部用户和设备管理的业务流程与它们对战略目标和国防部风险战略的相对重要性一致。CSRA的现代化要求通过列举来识别用户和设备。枚举是识别系统特征的过程，如用户名、设备地址、网络地址和服务。 3.2 C.2 保护 NIST CSF保护功能被整合到CSRA中，作为使用安全控制和技术来限制或遏制潜在网络安全事件影响的能力。原则1和2被应用于控制通过DAAS对数据的访问。在顶层，调整保护信息保护过程和程序（PRIP）类别，确保政策、过程和程序得到维护并用于支持DAAS的技术保护。保护能力映射并整合了NISTCSF、JCA分类法和MITREATT&CK®的多个层次，以简化采购过程的视角。 3.3 C.3 检测 NIST CSF检测功能被整合到CSRA中，作为使用连续监测发现MCA的能力。必须检测异常活动，以分析和了解事件的潜在影响。（CSF DE.AE） 3.4 C.4 答复 NIST CSF响应功能被整合到CSRA中，作为使用自动政策和基于事件的响应来控制网络安全事件影响的能力。 3.5 C.5 恢复 NIST CSF恢复功能被整合到CSRA中，作为使用集成和自动化的工作流程和政策执行机制来恢复由干网络安全事件而受损的任何能力或服务。 一个先进的恢复功能必须整合技术安全解决方案，以确保系统和资产的网络安全和网络弹性，符合相关政策、程序和协议。保护性技术（CSF PR.PT）集成包括实施各种机制（如故障保护、负载平衡、热交换），以实现正常和不利情况下的复原力要求。（CSF PR.PT-5） 4 加强网络安全 4.1 云计算 根据第14028号行政命令，国防部必须加速向安全的云服务发展，包括软件即服务（Saa）、基础设施即服务（Iaa）和平台即服务（PaaS），以实现网络安全的现代化目标·CSRA将支持'以协调、审慎的方式'加速采用云技术，采用ZT原则，并通时以下方式发挥指导作用： CNSS政策32，国家安全系统的云安全，联邦风险和授权管理计划（FedRAMP），以及国防部云计算安全要求指南（CCSRG）。将审查国防部此前发布的'协调和合作开展与国家安全系统商业云技术有关的网络安全和事件响应活动，确保机构间有效的信息共享'的指导意见，以确保ZT原则得到整合。 CNSS政策32规定了NSS迁移到云环境或在云环境中运行的最低安全要求，并将成为推动国防部云安全的主要政策工具。 4.2 跨领域技术 跨域技术是NSM-8的一个关键组成部分，包括库存和报告要求。相关的约束性操作指令(BOD-2022-001)的结果将使CSRA了解需要在企业层面解决的威胁和漏洞。 由于固有的设计差异，一些跨域服务可能不会与ZT原则紧密结合，整合可能需要开发架构和数据标准。互操作性标准对干确保将跨域服务有效整合到ZTA中以满足信息交换的安全要求至关重要。 从ZT的角度来看，跨域服务从根本上说是一种信息交换安全的能力。在JCA6.3.1中，信息交换安全被定义为确保域内和跨域的动态信息流的能力。信息交换安全是通过基干数据类型和操作用途的物理和虚拟隔离来实现的。作为一种设计考虑，用户计算信息交换不应穿越与设备计算信息交换相同的路径。其他的信息交换应该根据访问控制限制进行适当的分割。 4.3 控制系统 国防部是联邦政府中房地产、建筑和工业控制系统(ICS)的最大所有者之一，拥有500多个设施、30万座建筑和估计250万个独特的ICS。虽然政府开发的控制系统技术确实存在于一些国防部的关键系统中，但该技术的大部分是由商业OT社区开发的。 ICS是一个笼统的术语，包括几种类型的控制系统，包括SCADA系统、分布式控制系统（DCS）和其他控制系统配置，如工业部门和关键基础设施中经常出现的可编程逻辑控制器（PLC）。ICS由控制部件（如电气、机械、液压、气动）的组合组成，它们共同作用以实现一个工业目标（如制造、物质或能源的运输）。 监视控制和数据采集（SCADA）是一个计算机化系统的总称，它能够收集和处理数据，并在远距离上应用操作控制。典型的用途包括电力传输和分配以及管道系统。SCADA是针对必须使用的各种媒体（如电话线、微波和卫星）所带来的独特的通信挑战（如延迟、数据完整性）而设计的。 与为IT系统设计网络安全不同，设计ICS安全的首要原则是在数据访问和网络连接方面将OT与IT分开。ICS业务应用流量与操作和控制应用流量的这种分离是一个重要原则。标准的IT系统通常强调保密性或完整性，而OT系统必须把可用性放在保密性和完整性之上。即使在ICS操作和控制网络中，不同的应用、系统或地点对安全的要求也可能不同。可能有必要将具有一套安全要求的流量与具有另一套要求的流量隔离开来。创建并维拍IT/ICS的基线配置，并纳入安全原则（例如，最小功能概念）。（CSF PR.IP-1） 4.4 空间系统 虽然有许多CC/S/A的努力、倡议和试点正在进行中;但对于国防部空间企业中的网络保护活动如何能够或应该与之相关或被优先考虑，并不存在一个单一的、总体的观点。在这种情况下，这个国防部空间网络防御参考架构（SCDRA）将提供美国空军和航天界具有必要的指导水平和共同结构，从 “防御性空间控制的网络 ”的角度，讨论实施情况，强调共同的领域，并将整个国防部空间企业的许多不同的网络倡议联系起来。  内容主要整理自相关网站资料。 |
|
|
