《海军陆战队战术云的零信任架构》2023最新87页论文

美国国防部（DOD）的零信任架构（ZTA）实施战略存在一个关键的知识缺口。大部分已发表的学术研究和技术文档都侧重于企业网络零信任 (ZT) 能力的成熟，而没有对战术边缘的指挥官和部队将面临的风险进行详细分析。如果不首先调整技术、系统模型和策略，使其能够在被拒绝、降级、间歇或潜伏（DDIL）的网络环境中运行，就将企业 ZTA 解决方案层压到战术边缘，可能会导致严重的任务后果。本论文提出了一个战术 ZTA（TZTA）框架，对现有的国防部 ZTA 参考架构进行了扩展。该框架定义了其他组件和功能，以满足战术边缘的动态网络条件。这些组件将传统设备集成到 TZTA 中，并为 ZTA 之间的联合确定合适的接口。这些组件的补充功能可在架构内实现身份和应用联合、设备验证、武器系统使用和全面的 IDS 覆盖。拟议框架的未来实施和测试将通过定量分析确定合适的技术和模型，为未来的采购战略奠定技术基础，指导国防部在企业和战术环境中向 ZTA 过渡。

图 1. 战术边缘零信任架构框架

战术边缘零信任架构框架

根据美国防部 ZTA 参考架构设计，任何 ZTA 框架都必须包含与 NIST ZT 参考架构相同的三个逻辑组件：政策引擎 (PE)、政策管理员 (PA) 和一个或多个政策执行点 (PEP)[1]。这些组件共同构成了 ZTA 访问控制的基础。下面简要介绍每个组件：

策略引擎（PE）是根据信任算法（TA）分配的主体信任量化等级，根据主体可请求的内容，执行与策略相一致的访问控制决策的组件。信任度是根据主体的角色、请求的资源分类、分配给资源的现有策略以及与主体相关的其他上下文信息（如行为信息）确定的。PE 使用 TA 为架构内的主体分配信任级别。

策略管理员（PA）是明确允许或拒绝主体访问资源的组件。PA 是 PEP 与 PE 之间的主要接口。资源请求和主体属性由 PEP 收集，每个会话或事务的授权由 PA 根据 PE 确定，并由 PEP 执行。

策略执行点（PEP）是网络资源与主体之间的主要网关。PEP 负责从架构的数据平面向资源发出连接和请求，而 PE 和 PA 则位于控制平面。从管理角度来看，控制平面和数据平面之间逻辑组件的分离对于框架的可扩展性和灵活性是必要的。当网络中添加新资源时，也应添加相关的 PEP。在特定环境中，PE/PA 应该只有一个，并且企业和策略之间应该有分级关系。这意味着，管理访问父域内资源的策略会在下级继承。

图 1 中的拟议框架分为两层，分别代表两种 ZTA 部署环境。企业 ZTA（EZTA）托管企业级资源和主体，而战术 ZTA（TZTA）托管战术边缘的主体和资源；后者是我们的重点。EZTA 和 TZTA 之间的划分反映了 DISA 概述的当前国防部云计算战略[34]。这两种架构的主要区别在于 TZTA 能够部署到可能无法与企业资源持续连接的战术环境中。要想根据战术 ZTA 的要求（如最小特权原则或持续验证）继续提供资源，就需要在断开连接的环境中使用相同的逻辑基础设施来制定策略。对于 ZZTA 中的主体和资源，战术 PE 和 PA 的作用与企业 PE 和 PA 相同。ZTA 框架的三个主要特征是传统网关、企业网关和战术网关，下文将对此进行讨论。

成为VIP会员查看完整内容