零信任架构 NIST 800-207 特刊 2020年8月 文档信息 原文名称 Zero Trust Architecture 原文作者 Scott Rose Oliver Borcher Stu Mitchell Sean Connelly 原文发布日期 2020年8月 原文发布单位 美国国家标准与技术研究院 原文出处 https://doi.org/10.6028/NIST.SP.800-207 译者 小蜜蜂公益翻译组 校对者 小蜜蜂公益翻译组 免责声明 • 本文原文来自于互联网的公共方式，由“安全加”社区出于学习交流的目的进行翻译，而无任何商业利益的考虑和利用，“安全加”社区已经尽可能地对作者和来源进行了通告，但不保证能够穷尽，如您主张相关权利，请及时与“安全加”社区联系。 •“安全加”社区不对翻译版本的准确性、可靠性作任何保证，也不为由翻译不准确所导致的直接或间接损失承担责任。在使用翻译版本中所包含的技术信息时，用户同意“安全加”社区对可能出现的翻译不完整、或不准确导致的全部或部分损失不承担任何责任。用户亦保证不用做商业用途，也不以任何方式修改本译文，基于上述问题产生侵权行为的，法律责任由用户自负。 2020年8⽉ 零信任架构 3 授权 本文由NIST依据《2014年联邦信息安全现代化法案》（FISMA）（美国法典第44卷第3551节、113–283公法）规定的NIST法定职责拟定。NIST负责开发信息安全标准和指南， 包括联邦信息系统的最低要求。 但是， 未经相关系统决策联邦官员的明确许可，这些标准和准则不得用于国家安全系统。该指南符合美国行政管理和预算局（OMB）A-130通告的要求。 由商务部长依法授权制定的标准和指南具有强制性与约束力，本文内容与其冲突时，以前者为准。 本文所述准则并不会更改或取代商务部长、 行政管理和预算局局长或其他联邦官员的现有权力。 本刊不受美国版权保护，非政府组织可自愿使用，但组织在使用本文时提及作者，NIST将不胜感激。 美国国家标准与技术研究所 800-207特刊 美国标准与技术研究所800-207特刊，共59页（2020年8月） 分类编号：NSPUE2 本特刊可从以下地址免费获取：https://doi.org/10.6028/NIST.SP.800-207 本文中可能提到的商业实体、设备或资料，仅为准确描述规程（procedure）或概念之用，并非暗示NIST推荐或者认可，也不表明这些实体、资料或设备是实现目的的最佳选择。 本文提及的NIST依据法定职责制定的其他文档，有些可能处于开发过程中。也就是说，联邦机构在使用本文信息（包括概念和方法）时，所提及的同系列其他文档可能并未完成。这种情况下，在上述文档完成之前，现有的要求、指南和规程依然有效。为满足规划及过渡需要，联邦机构或会密切追踪NIST新文档的开发。 欢迎各组织在公开征求意见期间评审所有文档草案， 并向NIST提供反馈意见。欲了解NIST有关网络安全的其他刊物，请访问：https://csrc.nist.gov/publications。 国家标准与技术研究院 收件人：美国马里兰州盖瑟斯堡Bureau Drive大道（邮递点代号：8920） 信息技术实验室计算机安全部 邮编：20899-8920 Email：zerotrust-arch@nist.gov 发表意见应受到信息自由法案（FOIA）的约束。 2020年8⽉ 零信任架构 4 计算机系统技术报告 《实施指南》包含总体指导（第1卷）和概念验证（PoC）方案示例，展示在制造环境中如何按照 《网络安全框架制造篇》 中的低影响性要求来部署使用开源产品和商用现成（COTS）品。PoC方案示例为流程型制造环境（第2卷）和离散型制造环境（第3卷）提供了可量化的网络、设备和业务性能影响指标。各制造商应自行确定实施哪些方案内容。实施时应虑及的重要因素包括：公司规模、网络安全专业能力、风险承受能力及威胁态势。 《网络安全框架制造篇》与制造业的目标和行业最佳实践保持一致，为制造商管理网络安全风险提供了思路。 它所提出的基于风险的方法可自愿实施， 用以管理与制造系统相关的网络安全活动及网络风险。该文档是对制造商当前所采用的网络安全标准和行业指南的补充而非替代。 摘要 零信任（Zero trust，ZT）是一种不断发展的网络安全范式的术语，将网络防御从静态的、基于网络边界的防护转移到关注用户、资产和资源。零信任体系结构（ZTA）使用零信任原则来规划企业基础架构和工作流。零信任假定不存在仅仅基于物理或网络位置（即局域网与互联网）或基于资产所有权（企业或个人拥有的）即授予资产或用户帐户的隐式信任。身份认证和授权（用户和设备）是在建立与企业资源的会话之前执行的独立功能。ZTA是为了响应企业网络发展趋势。企业网络包括远程用户、自带设备（BYOD）和位于企业网络边界之外的云端资产。ZTA的重点是保护资源（资产、服务、工作流、网络帐户等），而不是网段，因为网络位置已不再被视为资源安全态势的主要组成部分。本文给出了ZTA的抽象定义，并给出了ZTA可以改善企业整体IT安全状况的一般部署模型和用例。 关键词 架构，网络空间安全，企业，网络安全，零信任 2020年8⽉ 零信任架构 5 致谢 本文由多个联邦机构合作著成， 接受联邦首席信息官委员会监督。 架构小组负责本文档的开发，但仍需认可其他人的贡献。他们是：联邦首席信息官委员会的ZTA项目经理格雷格·霍顿 （Greg Holden）、NIST/NCCoE ZTA项目经理阿尔珀·科尔曼 （Alper Kerman）和道格拉斯·蒙哥马利（Douglas Montgomery）。 读者对象 本文旨在为企业安全架构师描述零信任（ZT）。本文旨在帮助理解民用非保密系统中的零信任并提供将零信任安全概念迁移和部署到企业环境的路线图。机构网络安全经理、网络管理员、经理也可通过本文了解零信任和零信任架构。本文并不是作为ZTA的单一部署规划， 因为企业将拥有独一无二的业务用例和数据资产， 这些业务用例和数据资产是需要保护的。充分了解组织的业务和数据将有助于获得建立零信任的强有力的方法。 审稿须知 本刊旨在开发出一套技术中立的术语、 定义和逻辑组件， 它们可用于开发和支持ZTA的逻辑架构组件中。 本文不提供关于如何在企业中部署零信任组件的具体指导或建议。 审阅者可基于本文目的发表评论。 商标信息 所有的商标或注册商标均属于各相关组织。 2020年8⽉ 零信任架构 6 专利公开公告 注意：信息技术实验室（ITL）已要求可能需要遵守本刊指南或要求而使用的专利权利要求的持有人向ITL披露此类专利权利要求。但是，专利持有人没有义务响应ITL对专利的号召，ITL也没有进行专利检索， 以确定哪些专利 （如果有的话） 可能适用于本刊物。 继ITL要求识别可能需要遵守本刊指南或要求而使用的专利权利要求之后，我们已收到一项或多项此类权利要求的通知。 经公布，ITL对任何专利权利要求或与之相关的任何权利的有效性或范围不采取任何立场。然而，已知专利持有人已向NIST提供了一份保证书，声明（1）一般免责声明，声明其不持有且目前不打算持有任何基本专利权利要求，或（2）其（他们）将与其他各方在明显不存在不公平歧视的合理条款条件的基础上就交付或不交付版权费用的许可证进行协商。 详情可从zerotrust-arch@nist.gov获取。 我们并未明示或暗示这是避免在使用本刊中出现专利侵权所需的唯一许可证。 2020年8⽉ 零信任架构 7 目录 1. 介绍 ............................................................................................................................... 9 1.1 与联邦机构有关的零信任发展历史 .................................................................................. 9 1.2 本文结构 ...................................................................................................................... 10 2. 零信任基础知识 ............................................................................................................ 11 2.1 零信任的原则 ............................................................................................................... 12 2.2 零信任视角下的网络 ..........................................