供应链的零信任:SCS 9001架构的一个关键方面

作者:Dave Sanicola, DESARA集团总裁,TIA供应链安全工作小组组长

由经验丰富的犯罪分子和外国对手发起的网络攻击的兴起,威胁着国家安全, 影响业务连续性, 并摧毁消费者信心——所有这些都会带来巨大的经济后果. 最近针对殖民管道公司和肉类加工巨头JBS的勒索软件攻击大大加剧了人们的担忧, 造成了现在所谓的“网络犯罪大流行”,并进一步将这个问题推到了拜登政府的前沿.

TIA即将发布的 sc9001,全球供应链安全的第一个ict特定标准,将是不可或缺的,以确保信任和完整性 ICT供应链 攻击有能力在数以万计的网络和数以百万计的用户中传播下游. SCS 9001建立在几个关键因素之上, 包括基于NIST(国家标准和技术研究所)建议的零信任架构(ZTA). 有时被称为“无边界安全”,并植根于组织不应该信任其边界内或外部的任何东西的概念, 通过考虑远程用户,ZTA使SCS 9001独一无二, 设备, 以及企业本地网络之外的基于云的资产.

最近,我赶上了 斯科特•罗斯, 他是NIST的一名计算机科学家,擅长互联网基础设施和协议保护,目前正在致力于将零信任安全理解带到美国.S. 问他更多关于ZTA的事.

 

  1. 什么是零信任架构(ZTA),其主要原则和好处是什么?

 

要理解ZTA,你首先需要理解零信任. 零信任并不是单一的技术或网络配置,而是一套旨在消除资源之间隐性信任的网络安全原则. 零信任本质上需要身份验证和授权 每一个 创建会话之前,根据企业策略进行通信会话. 以一种零信任的方式, 企业监视和维护整个企业内的所有网络标识和资源的安全态势, 监控资源之间的数据流. 零信任还意味着企业需要调整其安全态势,以响应不断变化的网络条件或新发现的威胁.

虽然企业可以使用不同的方法来实现ZTA,从微分割到基于软件定义的网络解决方案, 所有ZTAs都具有健壮的身份、资产管理和治理程序, 设备健康检查, 以及一个持续的监控项目. 这种方法认为企业内部网络不应该比外部Internet更值得信任, 这会导致简化策略的违背直觉的好处,因为在整个企业中只需要执行一组策略.

对监视的零信任意味着,虽然不是每一次攻击都可以预防, 它更有可能在相当大的损害发生之前被识别出来. 因此,ZTA应该被设计成限制通过企业的未经授权的横向移动,并监视流量流中可能预示着网络攻击者的异常行为. 如果可以快速识别攻击者并将其与访问企业资源隔离, 企业网络安全人员可以迅速从攻击中恢复—希望不会对组织造成长期影响.

 

  1. 遗留方法和零信任体系结构之间的区别是什么?

 

在遗留架构中,防御是位于外围的地方. 防火墙被信任以保证内部网络的安全. 随着攻击者找到绕过防火墙进入公司局域网的方法,这种想法很快被驱散了. 一旦进入, 攻击者在网络中横向移动,直到他们获得对有价值资源的访问. 零信任认为内部网络不可信, 因此防御更接近于单个资源,而不是整个网络段.

在当今的现代架构中,企业资产和数据可能不在企业内部网络上——它们可以驻留在云中,在这种架构中,这种方法尤其重要, 被远程工作人员访问, 或涉及其他可能没有足够防火墙保护的非企业所有的网络基础设施. ZTA解决方案考虑了所有这些资源, 允许企业跨不同的网络基础设施和位置开发和执行策略.

 

  1. 零信任如何帮助确保ICT供应链的安全?

 

零信任适用于 信息通信技术供应链安全 有两种方式——对提供架构的公司和实际的产品和服务本身. 零部件生产商和服务提供商应该有一个像ZTA那样的强大的安全程序,以保护正在生产的产品的完整性. 我们已经看到了攻击供应链的例子, 比如最近SUNBURST对SolarWinds产品的攻击, 攻击者以供应为目标,在实际目标中获得立足之地.

零部件供应商和服务供应商也应该努力确保他们的产品符合客户的零信任战略. 不可能有一种产品或服务能够集成到每一个可能的ZTA实现中, 但是有一些通用的设计选择可以帮助客户将给定的组件集成到他们计划的(或现有的)体系结构中. 这些设计原则包括:

 

  • 拥有唯一标识组件的方法. 这有助于企业识别和维护其拥有的设备或在其基础设施上运行的设备. 可以开发和实施基于单个设备的细粒政策, 包括将该标识集成到公共管理和治理平台的方法(使用标准协议或可用API).
  • 提供关于组成产品的各个组件的信息. 这可能包括像软件材料单(soms)和通信配置文件这样的工件,允许企业对新宣布的威胁作出反应.
  • 提供将组件集成到公共监视或安全信息和事件管理(SIEM)系统的方法. 例如, 这可能包括内置工具,允许企业将事件日志导出到正在使用的任何企业范围的系统, 为组件的当前状态提供更好的视图.

 

  1. ICT供应链中的哪些利益相关者应该将零信任作为其战略的一部分?

 

理想情况下,供应链中的每个涉众都应该实现一个零信任体系结构. 作为目标企业向零信任迁移, 攻击者将他们的注意力转移到他们预期目标上游的其他仍然容易受到攻击的目标上, 比如零部件供应商和服务提供商. 那些提供组件或服务的公司也因此需要通过为他们自己的操作和开发过程提供ZTA来保护他们的产品和服务的完整性. 即使企业不能实现完整的ZTA, 为某些工作流提供ZTA的一些元素可以改善整体的安全状况.

 

  1. 主要的挑战是什么, 注意事项, 以及在制造商中实施高效ZTA的最佳实践, 供应商, 以及参与设计和部署全球ICT基础设施的服务提供商?

 

任何零信任之旅的第一步都是收集基础信息. 这涉及到了解哪些数据, 设备, 软件组件在企业中使用,以及它们之间有哪些数据流. 这包括一个全面的监控程序到位的网络通信, 以及维护资源安全态势. 企业需要工具和流程来解析这些数据,以识别新出现的威胁或可能的恶意行为. 但在现实中,最大的挑战是文化而不是技术. 零信任需要整个企业的合作. 开发团队, 系统管理员, 甚至最终用户也必须了解与他们相关的安全策略. 信息共享至关重要,网络安全团队需要与开发者合作, 管理员, 和业务流程所有者了解如何分析企业的风险,并制定相应的政策和程序.

 

  1. 你能提供一些零信任在确保信息通信技术供应链的实际例子吗?

 

我们还没有看到很多关于企业使用ZTAs处理供应链攻击的事后报告, 但我们也见过供应链受到攻击. 一种类型的攻击发生了多次在过去的几年里,是向冒名顶替者颁发证书. 这允许攻击者欺骗有效的域名或签署软件更新看似合法. 另一种方法是将废弃的存储库用于浏览器扩展等常用工具,并使用内置存储库, 合法的更新过程注入恶意软件.

在所有这些情况下, 使用这些产品的企业可能无法阻止发生在其企业外部的初始攻击, 但ZTA肯定可以帮助快速识别和遏制攻击及其影响. 如果企业有一个健壮的监视系统, 它可以检测到设备或软件组件已经改变了可能违反ZTA访问策略的流量行为. 一个例子是,受感染的物联网设备试图打开与其他资源的连接,而它不需要与这些资源通信来执行其功能. 一个ZTA微段网络甚至可能包含和拒绝这个连接之前,它被识别为恶意, 只是因为这是政策不允许的.

在之前的NIST技术交流会上,我们听到了一个类似于供应链攻击的事件. 一个在东海岸的医院最近迁移到一个微型分割的ZTA. 一名在现场维修医疗诊断设备的供应商技术人员决定将该设备的硬盘替换为从另一个客户的类似机器上取下的硬盘. 技术员不知道的是,那个备用硬盘感染了NotPetya勒索软件. 当设备重新启动后,恶意软件开始攻击. 由于医院拥有细分网络,细分网络之间有严格的流量政策, 安全小组收到了警报, 并且出站连接被阻塞. 这阻止了恶意软件的操作,并允许安全人员立即识别和隔离受感染的系统.

而Scott的见解清楚地表明,零信任是确保供应链安全的正确途径, 特别是在IT资产位于多个全球位置的现代网络环境中, 实施ZTA并不是一个微不足道的努力. 这是一种需要时间通过战略性的逐步过程来完全实现的方法.

为实现这一目标, SCS 9001并不要求组织在第一天就有一个完整的和充分运作的ZTA实施,而是有一个良好的文件化的计划,清楚地表明组织的旅程和对实施完整的ZTA的承诺.

 

了解更多关于SCS 9001, TIA可衡量的供应链安全标准.

注册7月28日的网络研讨会: 确保全球ICT供应链安全

关于龙8娱乐网

TIA是由美国国家标准协会(ANSI)认证的自愿开发, 针对各种ICT部门的基于共识的行业标准. 关注TIA 脸谱网LinkedIn推特YouTubeTIA现在 查看最新更新.