书签 分享 收藏 举报 版权申诉 / 33

类型华为:云零信任能力成熟度模型白皮书(33页).pdf

  • 上传人:懒人
  • 文档编号:61866
  • 上传时间:2022-03-01
  • 格式:PDF
  • 页数:33
  • 大小:7.05MB
  • 配套讲稿:

    如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。

    特殊限制:

    部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。

    关 键  词:
    华为 信任 能力 成熟度 模型 白皮书 33
    资源描述:

    1、华为云零信任能力成熟度模型白皮书2021年10月随着大数据、 云计算和物联网等技术不断发展, 企业网络边界逐渐模糊, 同时外部网络攻击以及非授权访问、 误操作、 数据泄露等内部威胁层出不穷,传统的基于边界的安全防护手段已逐步失效。 秉承 “永不信任, 始终验证”原则的零信任模型被证明可有效地解决上述问题, 成为网络安全发展的新趋势。华为云在零信任能力演进过程中, 识别到零信任实施是一项系统性的工程,并非通过部署单一网络架构或技术产品即可完成, 需要长期规划和建设, 包括明确零信任建设战略愿景, 匹配所需资源, 制定建设路线图等。 因此, 我们参考业界零信任架构, 并融合华为零信任落地实践经验,

    2、 构建了一套零信任能力成熟度模型, 帮助企业识别当前零信任的成熟度等级, 并为企业下一阶段零信任能力演进的战略规划提供指导。该零信任能力成熟度模型将成熟度评估理论转化为用于指导实操的具体框架, 提供可落地的评估操作指引。 模型框架将零信任5大能力支柱细分为20个零信任核心子领域, 从组织建设到技术工具等多个能力维度衡量零信任能力, 并形成可量化的度量指标, 旨在保障评估的全面性和准确性。华为云通过内部实践不断优化该成熟度模型, 并将内部使用的零信任相关应用孵化成面向客户的产品和服务, 目前已在人员安全、 网络安全、 应用安全以及数据安全等多个领域提供多个零信任相关的产品和解决方案。发布此白皮书

    3、, 将指导华为云内部已实践落地的零信任能力成熟度模型分享给客户及业界, 共同探讨零信任能力成熟度评估方法, 推动行业零信任能力建设。 同时, 华为云将持续发布零信任相关产品和服务, 持续提升华为云安全防护能力, 为客户业务合规与安全保驾护航。导 读1零信任发展现状及趋势.0155.1 设备属性管理 .115.2 设备动态访问 .115.3 设备合规 .125.4 终端设备保护 .13设备安全.1033.1 成熟度模型架构 .043.2 零信任安全领域 .043.3 零信任能力成熟度 .053.4 零信任能力维度 .05华为云零信任能力成熟度模型.032华为云零信任实施的关键点.0244.1 身

    4、份标签管理 .074.2 持续身份认证 .074.3 动态权限管理 .084.4 特权账号管理 .09人员安全.0666.1 微分段 .156.2 双向传输安全 .166.3 威胁防护 .166.4 软件定义边界 .17网络安全.1477.1 应用安全访问 .197.2 开源与第三方安全 .197.3 DevSecOps .207.4 安全配置 .21工作负载 / 应用安全.18目 录88.1 数据发现与分类 .238.2 数据脱敏 .248.3 数据防泄露 .248.4 数据血缘 .25数据安全.2211附录 主要参考来源.299华为云零信任实践.2610结束语.28CONTENTS华为云零

    5、信任能力成熟度模型白皮书011零信任发展现状及趋势随着云计算、大数据等技术广泛应用,远程办公、移动互联等业务快速发展,企业IT技术设施变得越来越多样化,业务系统访问需求越来越复杂,内部员工、供应商人员、外部合作伙伴等可以通过多种方式灵活接入系统,系统之间的互联互通也将被更多的终端访问,企业原有的网络边界逐渐模糊。同时,网络安全风险及威胁日益复杂,APT攻击、勒索软件、内部越权操作等新型网络攻击手段层出不穷,让众多企业防不胜防,对其造成了重大的业务损失,而传统的基于边界的网络安全防护手段已难以应对这些潜在的安全威胁。零信任模型是解决上述问题的有效手段之一。零信任理念最早由研究机构Forreste

    6、r的首席分析师John Kindervag于2010年提出,经过数年的发展演进,已成为网络安全发展的新趋势。其核心思想是坚守“永不信任,始终验证”的原则,打破了网络边界的概念,企业网络内外的任何人、设备和系统都需要进行持续身份验证和动态授权才能够获得对企业资源的细粒度最小化权限。华为云零信任能力成熟度模型白皮书022华为云零信任实施的关键点华为云面临着与业界类似的安全挑战,因此亟需实施零信任以增强安全防护能力,为自身业务及客户业务保驾护航。然而,零信任实施并非一蹴而就,需要长期的规划和建设,包括明确零信任建设战略愿景,匹配所需资源,制定建设路线图等。其中,规划阶段的一项关键工作为开展零信任能力

    7、成熟度评估,以明确当前零信任能力成熟度水平及未来发展目标。该工作的开展需要参考一个可行的零信任能力成熟度模型。零信任能力成熟度模型是一种用于评估组织零信任能力的方法,包括一系列代表能力的特征、属性、指示或者模式。成熟度模型通常使用一个结构化的框架,定义几个渐进的成熟度阶段,如可从级别初始化开始,到级别持续优化结束,并根据成熟度特征对每个阶段进行描述。该模型可为组织评估其当前零信任能力的成熟度水平提供参考基准,并制定未来提升的目标。华为云零信任能力成熟度模型白皮书033 在业界已有评估领域的基础上,该模型进一步细化零信任5大能力支柱的关键安全领域,以便更细粒度地开展零信任能力评估。 除了技术能力

    8、,该模型还可评估组织建设、制度流程及数据运营等管理能力,从而更全面地衡量零信任能力。 该模型为所有关键安全领域均制定了具体的度量指标,可量化评估各个领域以及整体的零信任能力成熟度等级,并指引未来发展目标的制定。评估领域能力维度度量指标华为云借鉴业界已有的零信任理念,融合自身在网路安全与隐私保护方面的理解与实践,制定了零信任能力成熟度模型。该模型旨在将零信任成熟度评估从理论层面落实到用于指导实操的具体框架,提供可落地的成熟度评估操作指引。其特点主要体现在以下三个方面:华为云零信任能力成熟度模型华为云零信任能力成熟度模型白皮书04零信任成熟度模型的架构可分为三部分:零信任安全领域、零信任能力成熟度

    9、等级和零信任能力维度。三者的关系示意图如下:3.1成熟度模型架构参考Forrester Zero Trust eXtended(ZTX)框架、美国国防部零信任参考架构,华为云零信任能力成熟度模型根据保护对象,将零信任安全领域划分为5大领域:人员安全、设备安全、网络安全、工作负载/应用安全、数据安全。而自动化和编排、可见性和分析将作为这五大领域的支撑性能力。其中,5大安全领域进一步细分为20个关键安全子域。3.2零信任安全领域华为云零信任能力成熟度模型白皮书05 零信任相关组织的岗位设置、职责划分和人员能力建设; 零信任相关管理要求以及制度流程的建立和落地执行; 管理要求以及制度流程落地所需的技

    10、术手段和产品工具; 用于衡量零信任管理和技术能力有效性的数据指标的建立和优化。 每个关键安全子域的零信任能力成熟度等级均可量化评分,从而明确企业目前零信任能力成熟度水平等级。 通过雷达图等方式全局化地呈现20个零信任核心子领域的成熟度评分,从而可明确当前零信任能力短板与优势,并指导企业规划未来重点提升领域。零信任能力成熟度等级量化评分零信任能力成熟度可视化呈现3.3零信任能力成熟度华为云还设计了与该模型配套的零信任能力成熟度度量方法,用于量化地度量当前零信任成熟度等级,以更清晰地指示未来进阶之路。该方法可实现以下效果:组织建设制度流程数据运营技术工具3.4零信任能力维度零信任能力维度明确了各个

    11、安全领域应具备的能力。零信任能力分为以下4个方面:初始部分管理成型先进持续优化组织建设未指定相关管理角色及职责由相关人员进行初步管理设立管理岗位和人员,并清晰定义职责完善优化岗位人员和职责同四级制度流程未建立文档化的制度和流程制定高阶的方针政策和管理要求制定完整详细的管理规范和流程 制度流程持续优化同四级技术工具采用传统安全防护,尚未具备零信任能力仅在某些领域具备部分零信任能力零信任能力相对完善,但尚未实现策略自动调整通过机器学习实现策略动态调整持续优化,实现策略自适应调整数据运营无数据统计能力人工数据统计制定简要数据运营指标制定详细数据运营指标数据运营指标持续优化华为云零信任能力成熟度模型白

    12、皮书06人员安全4零信任的实施目标之一是用户在不受限制的地点合法地访问工作所需的组织资源,用户包括了员工、供应商人员、合作伙伴等各类可能需要访问组织资源的人员。人员安全领域涉及的核心能力包括:持续身份认证身份标签管理动态权限管理特权账号管理华为云零信任能力成熟度模型白皮书07 组织建设上,未指定针对用户身份管理的角色及职责;制度流程上,未制定用户身份标签相关的安全管理要求;技术工具上,未对用户身份生命周期进行系统化管理,仅通过账号对身份进行标识。 组织建设上,由相关人员对用户身份进行初步管理;制度流程上,已制定账号权限访问管理的方针和用户身份管理要求;技术工具上,已对用户身份标签进行统一管理,

    13、身份包含账号与部分静态标签。 组织建设上,已设立用户身份标签管理岗位和人员,并清晰定义相关岗位管理职责,负责规划和执行身份标签生命周期管理和用户标签策略等工作;制度流程上,已制定完整详细的用户身份标签管理规范和流程,包括不同类型标签命名标准等;技术工具上,利用平台对用户身份进行自动管理,身份可包含静态与动态的用户标签,标签策略主要由人工配置;数据运营上,已初步建立用户账号及标签管理的数据指标,对组织内的用户身份管理整体有效性进行粗略度量。 组织建设上,同三级;制度流程上,同三级;技术工具上,结合机器学习分析用户行为,动态管理所有身份标签并实现标签状态实时可视;数据运营上,已建立详细的管理数据指

    14、标,对用户标签自动化管理的能力进行监控,如用户行为标签的准确率等。 组织建设上,同三级;制度流程上,同三级;技术工具上,通过人工智能识别用户行为及趋势,对用户身份标签进行自适应管理;数据运营上,针对用户标签管理制定了全面且详细的数据指标,对指标进行持续优化。成型先进持续优化初始部分管理4.1身份标签管理零信任框架下身份标签管理是对用户账号及标签进行全生命周期的管理,确保合法用户的身份信息可靠且持续更新。其中各级别能力如下: 组织建设上,未指定针对身份认证管理的角色及职责;制度流程上,未制定身份认证相关的安全管理要求;技术工具上,仅使用静态密码对用户身份进行认证,且大部分系统的身份验证是独立的。

    15、 组织建设上,由相关人员对身份认证进行初步管理;制度流程上,已制定账号权限访问管理的方针和身份认证管理要求;技术工具上,基本实现了基于静态密码的统一身份认证,部分系统实现单点登录,关键系统使用了双因素认证。初始部分管理4.2持续身份认证零信任框架下持续身份认证是对用户身份进行持续验证,确保用户访问所需资源前和使用资源过程的身份合法性。其中各级别能力如下:华为云零信任能力成熟度模型白皮书08 组织建设上,已设立用户身份认证管理岗位和人员,并清晰定义相关岗位管理职责,负责规划和执行身份认证策略及规则等工作;制度流程上,已制定完整详细的身份认证管理规范和流程,包括认证策略变更流程等;技术工具上,全面

    16、实现统一身份认证和单点登录,并基于环境因素对用户进行多因素二次认证,部分系统支持联邦认证;数据运营上,已初步建立身份认证的管理指标,对组织内的身份验证管理整体有效性进行粗略度量。 组织建设上,完善优化用户身份权限管理相关的岗位人员和职责,具备专业运营团队负责规划和运营身份认证策略及规则等工作;制度流程上,持续优化身份认证管理规范和流程,包括风险计算规则变更流程等;技术工具上,大范围实现无密码策略,且基于用户实时的综合风险评定,统一动态调整身份认证策略;数据运营上,对身份验证的管理及自动化调整验证方式建立详细数据指标,如用户风险属性评估准确率、策略自动调整准确率等。 组织建设上,同四级;制度流程

    17、上,同四级;技术工具上,利用人工智能技术,自适应调整用户身份认证策略;数据运营上,针对身份认证管理制定了全面且详细的数据指标,对指标进行持续优化。成型先进持续优化 组织建设上,未指定针对访问权限管理的角色及职责;制度流程上,未制定用户权限相关的安全管理要求;技术工具上,基于需求或经验,为用户进行人工授权。 组织建设上,由相关人员对访问权限进行初步管理;制度流程上,已制定账号权限访问管理的方针和管理要求;技术工具上,使用权限管理平台,基于角色的静态策略在关键系统为用户进行授权,且策略定期更新。 组织建设上, 已设立访问权限管理岗位和人员,并清晰定义相关岗位管理职责,负责规划和执行权限管理规则与用

    18、户授权标准等工作;制度流程上,已制定完整详细的账号权限管理规范和流程,包括定期的岗位权限审阅流程等;技术工具上,针对关键系统,在初始部分管理成型4.3动态权限管理零信任框架下动态权限管理是实时评估用户身份风险并根据风险要素进行基于最小权限原则的资源分配。其中各级别能力如下:华为云零信任能力成熟度模型白皮书09基于角色的授权策略基础上,结合主要环境因素评估,自动调整用户的访问权限;数据运营上,已初步建立相关管理指标,对用户动态权限管理的有效性进行度量,如动态权限管理推行率、自动化授权成功率等。 组织建设上,完善优化用户身份权限管理相关的岗位人员和管理职责,具备专业运营团队负责规划和运营动态权限管

    19、理的策略及规则等工作;制度流程上,持续优化访问权限管理规范和流程,包括用户风险计算规则变更流程等;技术工具上,实时分析用户行为、设备、网络以及被访问资源的状态,计算综合风险动态调整用户的访问权限;数据运营上,已建立详细数据指标,对访问权限的管理及自动化检测和授权能力进行监控,如用户风险属性评估准确率、权限调整准确率、非场景内的例外授权率等。 组织建设上,同四级;制度流程上,同四级;技术工具上,利用人工智能技术分析用户行为模式,自适应地调整用户的访问权限;数据运营上,针对访问权限管理制定全面且详细的数据指标,对指标进行持续优化。持续优化 组织建设上,未指定针对特权账号管理的角色及职责;制度流程上

    20、,未制定特权账号相关的安全管理要求;技术工具上,特权账号通过人工分散记录和管理,且采用静态密码的认证方式。 组织建设上,由相关人员对特权账号进行初步管理;制度流程上,已制定账号权限访问管理的方针和特权账号管理要求;技术工具上,部署技术平台纳管关键系统的特权账号,并对其行为进行记录、检测、阻隔,其中密钥定期更换。 组织建设上,已设立特权账号管理岗位和人员,并清晰定义相关管理岗位职责,负责规划和执行特权账号管理原则与账号活动管控等工作;制度流程上,已制定完整详细的特权账号管理规范和流程,包括定期的活动日志审计流程;技术工具上,遵循最小授权原则对所有特权账号进行纳管,实现特权账号自动发现人工响应、会

    21、话隔离和密钥自动轮换;数据运营上,已初步建立相关的管理指标,对特权账号管理的整体有效性进行度量,如特权账号纳管率、密钥轮换覆盖率等。 组织建设上,同三级;制度流程上,同三级;技术工具上,实现特权账号自动发现自动响应,并基于JIT(Just-In-Time)原则动态调整权限;数据运营上, 对特权账号的管理及自动调整权限建立详细数据指标,如自动识别率、使用场景匹配率、权限调整准确率等。 组织建设上,同三级;制度流程上,同三级;技术工具上,利用人工智能技术,自适应地调整特权账号的访问权限;数据运营上,针对特权账号的管理制定了全面且详细的数据指标,对指标进行持续优化。初始部分管理成型先进持续优化4.4

    22、特权账号管理零信任框架下特权账号管理是对特权账号进行管理,防止凭证泄露或特权滥用带来的风险,确保各类特权身份及其活动的安全。其中各级别能力如下:先进华为云零信任能力成熟度模型白皮书10设备安全5设备是零信任框架关注的重要组成部分之一,随着组织内接入网络的设备类型与数量持续增加,组织应当持续识别、验证、授权、隔离、保护、修复和控制所有设备,并将其视为默认不可信。该领域涉及的核心能力包括:设备动态访问设备属性管理设备合规终端设备保护华为云零信任能力成熟度模型白皮书11 组织建设上,未指定设备管理相关角色及其职责;制度流程上,未制定设备管理相关的安全管理要求;技术工具上,人工维护设备资产清单,未对设

    23、备属性进行管理。 组织建设上,由相关人员对设备资产与属性进行初步管理;制度流程上,已制定设备资产与属性管理的方针政策和管理相关要求;技术工具上,通过资产管理系统维护资产与属性清单,并可自动识别部分资产和设备属性。 组织建设上,已设立负责设备资产与属性管理的岗位和人员,并清晰定义相关管理岗位职责,负责规划和执行设备资产与属性的清点梳理、更新、维护等工作;制度流程上,已制定完整详细的设备资产与属性管理规范和流程,包含如设备资产与属性类型定义、设备资产清单建立、更新、维护等要求;技术工具上,实时自动化识别与纳管组织内所有设备资产及属性清单,实现所有设备资产和属性可视化,其中识别策略由人工配置;数据运

    24、营上,定义了少量粗略的指标对组织内设备资产与属性管理的有效性进行度量,如设备(类别、数量)纳管率、属性识别率。 组织建设上,同三级;制度流程上,同三级;技术工具上,利用机器学习对设备特征进行分析,动态管理设备资产和属性识别策略,自动管理资产及属性清单;数据运营上,定义了详细的数据指标对设备资产与属性发现能力进行度量,如资产与属性扫描频率、扫描周期、识别正确率等。 组织建设上,同三级;制度流程上,同三级;技术工具上,持续优化设备资产及属性识别策略,识别与管理能力持续提高;数据运营上,针对设备属性管理制定了详细的数据指标,对指标进行持续优化。先进持续优化成型初始部分管理5.1设备属性管理零信任框架

    25、下设备属性管理是指持续且自动化地识别、记录和跟踪组织内不同类型设备资产及对应属性的能力,为设备动态访问控制提供前置条件。其中各级别能力如下:5.2设备动态访问零信任框架下设备动态访问是指基于ABAC模型持续评估设备主体属性及上下文环境,完成对设备动态认证与授权动作的能力。其中各级别能力如下:华为云零信任能力成熟度模型白皮书12 组织建设上,未指定设备访问控制管理角色及其职责;制度流程上,未制定设备访问控制相关的安全管理要求;技术工具上,未针对设备执行访问控制。 组织建设上,由相关人员对设备访问控制进行初步管理;制度流程上,已制定设备安全访问控制管理相关要求;技术工具上,通过设备唯一标识或证书对

    26、终端PC、移动设备等类型设备进行设备认证,其中访问控制策略由人工按需更新维护。 组织建设上,已设立负责设备访问控制的管理岗位和人员,并清晰定义相关管理岗位职责,负责规划和执行动态访问控制策略的设计、部署、审计、维护等工作;制度流程上,已制定完整详细的设备访问控制管理规范和流程,包含如访问控制模型、信任评估算法、策略维护、设备覆盖类型等要求;技术工具上,构建基于ABAC模型的访问控制策略,根据设备属性与上下文持续对组织内所有设备信任等级进行评估,动态调整访问权限;数据运营上,定义了少量粗略的指标对组织内设备访问控制管理效果进行度量,如非法设备拒绝率。 组织建设上,完善优化设备访问控制管理的相关岗

    27、位职责及人员;制度流程上,持续优化设备访问控制管理规范和流程,如信任评估算法要求、授权策略等;技术工具上,机器学习算法分析设备主体活动,自动生成访问控制策略,对所有访问组织资源的设备进行认证与授权;数据运营上,定义了详细的数据指标对设备访问控制策略有效性进行度量,如错误接受率FAR、错误拒绝率FRR、FAR/FRR变化趋势等。 组织建设上,同四级;制度流程上,同四级;技术工具上,实时生成并持续优化访问控制策略中的信任算法,自适应调整认证与授权策略;数据运营上,针对设备访问控制制定了详细的数据指标,对指标进行持续优化。初始部分管理成型先进持续优化 组织建设上,未指定设备合规管理角色及其职责;制度

    28、流程上,未制定设备合规相关的安全管理要求;技术工具上,人工按需对单一设备类型(如PC终端设备)执行配置策略检查与修复。 组织建设上,由相关人员对设备合规进行初步管理;制度流程上,已制定设备合规的方针政策和管理要求;技术工具上,使用工具定期对PC终端、笔记本等设备执行配置策略检查,人工执行修复。 组织建设上,已设立负责设备合规的管理岗位和人员,并清晰定义相关管理岗位职责,负责规划和执行设备配置检查、响应、修复等工作;制度流程上,已制定完整详细的设备合规安全管理规范和流程,包含如检查设备范围、策略范围、检查方式、检查频率等要求;技术工具上,使用统一平台自动实时对组织内所有设备类型配置进行检查并生成

    29、初始部分管理5.3设备合规零信任框架下设备合规是指自动化且持续验证不同类型设备相关配置策略的符合性并针对不符合配置基线的设备执行修复的能力。其中各级别能力如下:成型华为云零信任能力成熟度模型白皮书13可视化报告,针对部分不符合项自动执行修复动作;数据运营上,定义了少量粗略的指标对组织内设备合规管理的有效性进行度量,如符合/不符合策略的设备数量比例等。 组织建设上,同三级;制度流程上,同三级;技术工具上,机器学习分析设备配置,自动生成策略对所有访问组织资源的设备执行配置检查与修复动作;数据运营上,正式定义了详细的数据指标对设备合规有效性进行度量,如高危漏洞设备数量及比例、配置检查正确率等。 组织

    30、建设上,同三级;制度流程上,同三级;技术工具上,持续优化机器学习算法,提高配置检查与修复策略的准确性、时效性等;数据运营上,针对设备合规管理制定了详细的数据指标,对指标进行持续优化。先进持续优化 组织建设上,未指定终端设备保护工作的相关角色及其职责;制度流程上,未制定终端设备保护相关的安全管理要求;技术工具上,通过防病毒软件等对PC终端、笔记本设备进行防护,未部署威胁检测工具。 组织建设上,由相关人员对终端设备进行初步保护管理;制度流程上,已制定设备安全的方针政策和终端设备保护管理要求;技术工具上,针对PC终端、笔记本类型实施如证书认证、全盘加密等安全加固措施,部署终端威胁检测工具,人工完成威

    31、胁响应与处置工作。 组织建设上,已设立负责设备保护的管理岗位和人员,并清晰定义相关管理岗位职责,负责规划和执行设备加固、威胁检测、响应与修复等工作;制度流程上,已制定完整详细的设备保护安全管理规范和流程,包含如设备保护范围、安全加固标准、威胁检测与响应流程等要求;技术工具上,针对组织内已注册设备部署统一平台,实时收集分析终端威胁信息并生成可视化报表,终端威胁与响应工具自动完成部分威胁响应与处置动作;数据运营上,定义了少量粗略的指标对组织内终端设备保护的有效性进行度量,如终端威胁事件告警总量、不同等级事件数量占比等。 组织建设上,同三级;制度流程上,同三级;技术工具上,针对所有已注册和未注册设备

    32、,利用机器学习分析威胁行为,对未知威胁进行检测与自动化响应;数据运营上,定义了详细的数据指标对设备终端保护能力进行度量,如未知威胁检测率、事件响应与处置时间等。 组织建设上,同三级;制度流程上,同三级;技术工具上,对所有威胁事件发起自适应响应流程,持续优化针对已知或未知威胁的预测、预防、检测、响应能力;数据运营上,针对终端设备保护管理制定了详细的数据指标,对指标进行持续优化。初始成型部分管理先进持续优化5.4终端设备保护零信任框架下终端设备保护是指自动化且持续地针对不同类型设备执行威胁预防、检测和响应机制的能力。其中各级别能力如下:华为云零信任能力成熟度模型白皮书14网络安全6网络是零信任框架

    33、关注的重要组成部分之一。网络作为数据的访问和传输“通道”,应在传输过程中对数据进行必要的安全防护和访问控制。此外,网络威胁的检测、响应、修复以及资源分段隔离等均是零信任网络安全所关注的内容。该领域涉及的核心能力包括:双向传输安全微分段威胁防护软件定义边界华为云零信任能力成熟度模型白皮书15成型先进持续优化 组织建设上,未指定网络分段管理的角色及其职责;制度流程上,未制定网络分段相关的管理要求;技术工具上,仅区分内外网络边界,未对内部网络进行分段。 组织建设上,由相关人员对网络进行初步分段管理;制度流程上,已制定网络分段相关的安全管理要求;技术工具上,通过收集网络节点信息生成网络拓扑结构图;针对

    34、关键应用服务配置网络微分段。 组织建设上,已设立资源微分段管理岗位和人员,并清晰定义相关管理岗位职责;制度流程上,已制定完整详细的资源微分段相关的管理规范和流程,包含如微分段策略管理、运维管理、安全监控等要求;技术工具上,全网络资源实现微分段;基于应用访问关系自动生成依赖关系图,并基于静态规则调整访问控制策略,实现应用/服务资源微分段;数据运营上,已初步建立对关键应用或服务的有效性保护的数据指标,如资源微分段覆盖率等。 组织建设上,完善优化微分段相关的岗位人员和管理职责,具备专业运营团队建立和优化资源微分段的自动化模型等工作;制度流程上,持续优化资源微分段管理规范和流程,包括分段策略自动变更流

    35、程等;技术工具上,通过机器学习分析网络和应用/服务的上下文实时变化,对所有网络和应用/服务微分段进行自动化调整,并实现网络和应用/服务状态实时可视;数据运营上,已定义了详细的对资源隔离保护的细粒度水平的数据指标。 组织建设上,同四级;制度流程上,同四级;技术工具上,利用人工智能分析综合环境实时变化,实现应用进程级分段的自适应调整;数据运营上,针对网络分段隔离管理制定了全面详细的数据指标,并对指标进行持续优化。初始部分管理6.1微分段微分段在零信任框架中,其能力主要体现在对网络和应用资源进行分段隔离,将访问客体资源进行细粒度划分。其各级别能力如下:华为云零信任能力成熟度模型白皮书16 组织建设上

    36、,未指定针对网络传输安全管理角色及其职责;制度流程上,未制定网络传输相关的管理要求;技术工具上,未对网络传输链路进行加密。 组织建设上,由相关人员对网络传输进行初步安全管理;制度流程上,已制定网络传输加密和认证的管理要求;技术工具上,通过单一加密算法和单向传输协议,对外部服务网络传输链路进行保护。 组织建设上,已设立网络传输安全管理岗位和人员,并清晰定义相关管理岗位职责,负责规划和执行双向传输安全管理工作;制度流程上,已制定完整详细的网络传输安全管理规范和流程,包含如加密算法选用等要求;技术工具上,通过混合加密算法和双向传输协议,对所有外部服务网络传输链路,以及内部关键服务网络传输链路进行保护

    37、;数据运营上,已初步定义数据指标,如支持双向传输协议服务比例、传输链路加密覆盖率等。 组织建设上,同三级;制度流程上,同三级;技术工具上,使用混合算法加密和双向传输协议,对所有网络传输链路进行保护;数据运营上,已定义详细的数据指标,对网络安全传输的整体有效性进行度量。 组织建设上,同三级;制度流程上,同三级;技术工具上,持续优化和更新加密算法和传输协议,加强对网络传输保护等;数据运营上,针对网络传输安全管理制定了全面详细的数据指标,并对指标进行持续优化。初始成型部分管理先进持续优化6.2双向传输安全双向传输安全在零信任框架中,其能力主要体现在通过双向身份认证以及对传输链路进行加密,确保数据传输

    38、过程中的真实性,完整性和私密性。其中各级别能力如下:6.3威胁防护威胁防护在零信任框架中,其能力主要体现在对网络活动进行检测分析确保网络威胁及时被发现和响应。其中各级别能力如下: 组织建设上,未指定网络威胁防护的相关角色及其职责;制度流程上,未制定网络威胁防护相关的管理要求;技术工具上,未部署工具进行网络威胁防护。 组织建设上,由相关人员对网络威胁进行初步的防护管理;制度流程上,已制定网络防护相关管理要求;技术工具上,已部署工具以及建立威胁的检测规则,并可通过工具匹配威胁特征对已知威胁进行检测和响应。 组织建设上,已设立负责网络防护的管理岗位和人员。并清晰定义相关管理岗位职责,负责规划和执行威

    39、胁检测、分析、响应等工作;制度流程上,已制定完整详细的网络防护相关的管理规范和流程,包含如网络威胁检测、威胁事件响应流程等要求;技术工具初始成型部分管理华为云零信任能力成熟度模型白皮书17上,已建立行为分析模型,通过实时监控网络活动,实现威胁的自动检测和威胁节点的自动隔离,但依赖人工对未知威胁进行进一步分析和修复;数据运营上,已初步定义了威胁检测和响应能力的数据指标,如威胁误报率,威胁漏报率。 组织建设上,完善优化威胁防护相关的岗位人员和管理职责,具备专业安全运营团队建立和优化威胁的自动化分析和修复模型等工作;制度流程上,持续优化威胁防护管理规范和流程,包括威胁检测和响应流程等;技术工具上,通

    40、过机器学习完善网络行为分析模型,并结合沙箱等隔离技术和自动化分析测试,实现对未知网络威胁的自动检测、分析和修复;数据运营上,已正式定义了详细全面的威胁检测和响应能力的数据指标,如威胁自动修复率。 组织建设上,同四级;制度流程上,同四级;技术工具上,优化对未知网络威胁检测,分析和响应能力,持续减少威胁对网络的影响;数据运营上,针对网络威胁检测和响应管理制定了全面详细的数据指标,并对指标进行持续优化。 组织建设上,未指定网络访问控制管理角色及其职责;制度流程上,未制定网络访问控制相关的管理要求;技术工具上,无网络访问控制或仅依赖传统防火墙策略进行访问限制。 组织建设上,由相关人员对网络访问控制进行

    41、初步管理;制度流程上,已制定网络访问控制相关管理要求;技术工具上,通过对网络接入请求进行身份验证,实现基于网络身份验证的网络准入控制。 组织建设上,已设立负责网络访问控制的管理岗位和人员,并清晰定义相关管理岗位职责;制度流程上,已制定完整详细的网络访问控制相关的管理规范和流程等;技术工具上,实现应用资源隐身,仅对已授权用户可见;基于身份认证和网络上下文等多要素的实时验证,实现对网络资源持续的访问控制;数据运营上,已建立少量初步的指标,对网络资源的动态访问控制能力进行度量,如DDos攻击防护率,资源隐身的覆盖率等。 组织建设上,完善优化网络访问控制的相关岗位人员和管理职责,具备专业安全运营团队建

    42、立和优化网络访问控制策略的自动化调整等工作;制度流程上,持续优化网络访问控制管理规范和流程,包括自动化的访问策略变更流程等;技术工具上,将安全控制点前移至边缘站点;通过机器学习对接入端点的风险状态和网络身份进行评估,自动分配相应的访问资源;数据运营上,持续优化数据数据指标,增加对边缘网络的访问控制能力进行度量。 组织建设上,同四级;制度流程上,同四级;技术工具上,持续优化软件定义边界场景覆盖能力,实现自适应的网络访问控制和响应;数据运营上,对指标进行持续优化。初始成型部分管理先进持续优化先进持续优化6.4软件定义边界软件定义边界在零信任框架中,其能力主要体现在通过资源隐身、强身份认证以及动态授

    43、权对目标进行保护,有效将企业应用和不安全网络进行隔离。其中各级别能力如下:华为云零信任能力成熟度模型白皮书18工作负载 / 应用安全7工作负载/应用安全是零信任框架关注的重要组成部分之一。云计算的蓬勃发展使得工作负载/应用安全的重要性日益凸显,因此应加强安全防护,最大程度地保障应用层、计算容器和虚拟机等组件的安全。工作负载/应用安全领域涉及的核心能力包括:开源与第三方安全应用安全访问DevSecOps安全配置华为云零信任能力成熟度模型白皮书19 组织建设上,未指定针对应用访问的安全管理角色及职责;制度流程上,未制定应用访问相关的安全管理要求;技术工具上,应用间交互不需要通过认证,仅通过简单的隔

    44、离手段进行控制。 组织建设上,由相关人员对应用安全访问进行初步管理;制度流程上,已制定应用安全方针政策和应用访问的安全管理要求;技术工具上,实现关键应用间的身份认证,其访问凭证由人工进行管理和替换。 组织建设上,已设立应用安全访问管理岗位和人员,并清晰定义相关管理岗位职责,负责规划和执行应用间访问策略及凭证管理等工作;制度流程上,已制定完整详细的应用访问的安全管理实施规范和操作指引;技术工具上,实现所有应用间的身份认证,对其凭证进行自动纳管及定期轮换,并对凭证的操作和使用进行人工监控和响应;数据运营上,已初步定义了应用间安全访问能力的数据指标,如凭证自动纳管率、应用间认证覆盖率等。 组织建设上

    45、,完善优化应用安全访问管理相关的岗位人员和管理职责,负责规划和执行应用间访问策略及凭证管理等工作;制度流程上,根据组织的应用间动态访问管理策略的调整,持续优化应用访问的安全管理实施规范和操作指引,包含动态访问策略管理等;技术工具上,基于环境上下文动态地对应用间访问进行认证,且利用自动化工具对凭证的操作和使用进行可视化的监控;数据运营上,已详细定义了应用间安全访问能力的数据指标,对动态应用安全访问及自动化凭证管理能力进行度量,如动态策略准确率等。 组织建设上,同四级;制度流程上,同四级;技术工具上,根据大数据及人工智能分析历史访问信息,自适应的调整应用认证规则;数据运营上,已全面详细定义了应用安

    46、全访问能力的数据指标,并对指标进行持续优化。成型先进持续优化初始部分管理7.1应用安全访问零信任框架下应用安全访问是指通过基于策略的环境上下文动态凭证实现应用程序或服务间的访问控制。其中各级别能力如下: 组织建设上,未指定针对开源与第三方代码的安全管理角色及职责;制度流程上,未制定开源与第三方相关的安全管理要求;技术工具上,未对开源或三方件进行扫描,仅通过人工按需对可执行文件进行安全扫描。 组织建设上,由相关人员对开源与第三方代码的安全进行初步管理;制度流程上,已制定开源与第三方代码的安全管理要求;技术工具上,人工结合安全扫描工具定期执行源码安全检查以及对发现的漏洞进行修复与验证。初始部分管理

    47、7.2开源与第三方安全 零信任框架下开源与第三方安全是指通过多层次的自动化安全检查保障用于构建应用程序的二进制、库或源代码的安全性。其中各级别能力如下:华为云零信任能力成熟度模型白皮书20 组织建设上,已设立开源与第三方代码的安全管理岗位和人员,并清晰定义相关管理岗位职责,负责规划和执行代码审查、代码库管理和二进制文件校验等工作;制度流程上,已制定完整详细的开源与第三方代码安全相关的实施规范和操作指引,包含第三方代码库管理规范,二进制文件校验流程等;技术工具上,结合安全扫描工具对源码、第三方库及二进制文件进行校验,并实现漏洞实时修复;数据运营上,已初步定义了开源与第三方代码安全相关能力的数据指

    48、标,如开源与第三方件安全检查覆盖率等。 组织建设上,同三级;制度流程上,同三级;技术工具上,结合自动分析工具学习安全要求、历史问题等,实现多层次的自动化检查及可视化的监控;数据运营上,已详细定义了开源与第三方代码安全相关能力的数据指标,对开源与第三方代码自动化安全检测与监控能力进行度量,如漏洞检测准确率等。 组织建设上,同三级;制度流程上,同三级;技术工具上,持续优化精准发现代码漏洞,并使用高级关联等技术自适应的调整修复策略;数据运营上,已全面详细定义了开源与第三方代码安全能力的数据指标,并对指标进行持续优化。先进持续优化成型7.3DevSecOps零信任框架下DevSecOps是指通过左移策

    49、略将安全重心转移到在开发的最初阶段就采取安全措施,实现从开发到运行的快速响应和敏捷迭代。其中各级别能力如下: 组织建设上,未指定针对应用安全开发管理的角色及职责;制度流程上,未制定与应用开发相关的安全管理要求;技术工具上,应用开发生命周期中按需执行了部分安全性活动,如上线前执行安全测试。 组织建设上,由相关人员对应用安全开发进行初步管理;制度流程上,已制定应用安全开发管理要求;技术工具上,在应用开发生命周期中的部分环节执行安全活动,其中重点在需求、设计和开发阶段增加安全控制,如执行安全设计、安全编码等。 组织建设上,已设立应用开发安全管理岗位和人员,并清晰定义相关管理岗位职责,相关角色的安全意

    50、识持续提高,负责规划和执行应用安全开发生命周期各阶段的安全管理工作;制度流程上,已制定完整详细的应用安全开发相关的实施规范和流程指引,包含安全设计规范,安全测试规范,安全部署流程等;技术工具上,安全活动已完全融入应用安全开发生命周期的各个环节,且引入相关工具平台执行安全活动,如代码审查工具、漏洞扫描工具等;数据运营上,已初步定义了应用安全开发的数据指标,对组织内应用开发的安全管理的整体能力进行度量,如应用开发的安全缺陷数量、缺陷修正率等。 组织建设上,已完善应用开发安全管理岗位和相关管理岗位职责,持续优化应用安全开发生命周期各阶段的安全管理工作;制度流程上,根据组织应用安全开发管理策略的调整,

    展开阅读全文
    提示  三个皮匠报告文库所有资源均是用户自行上传分享,仅供网友学习交流,未经上传用户书面授权,请勿作他用。
    关于本文
    本文标题:华为:云零信任能力成熟度模型白皮书(33页).pdf
    链接地址:https://www.sgpjbg.com/baogao/61866.html
    关于我们 - 网站声明 - 网站地图 - 资源地图 - 友情链接 - 联系我们 - 行业研究网

    copyright@ 2008-2013        长沙景略智创信息技术有限公司版权所有
    公安局案号:湘公网安备 43010402001071号 | 工信部备案号:湘ICP备17000430号-2 | ICP经营许可证:湘B2-20190120 | 出版物经营许可证:新出发岳文字第43010420211号