什么是可信互联网连接 (TIC) 3.0？
概述
可信互联网连接（TIC）是 2007 年启动的一项联邦计划，旨在改善政府的互联网存在点和外部网络连接。TIC 3.0是该计划的最新版本，它使联邦 IT 现代化，并允许政府机构访问云服务和远程安全工作。
那么，什么是可信网络连接？简单地说，可信互联网连接是管理和预算办公室授权的一部分，旨在限制政府网络上的网关数量。TIC 要求所有联邦互联网流量都必须通过 TIC 批准的机构。
传统上，各机构都依赖于基于边界的安全解决方案。当大多数员工在周边工作并通过数据中心访问应用程序和数据时，这些方法（在一定程度上）是有效的。
人们对 TIC 3.0 抱有很高的期望，认为它将大大提高当今基于云的 IT 环境的安全性。但为了充分发挥其优势，各机构认识到他们还必须采用零信任安全模式，以确保网络应用程序中的数据受到保护。
可信互联网连接
什么是零信任，它与 TIC 3.0 有什么关系？
自 2010 年推出以来，"零信任 "已成为越来越多组织的目标；TIC 3.0 是一项联邦授权。TIC 1.0 和 TIC 2.0 几乎只关注网络访问安全。TIC 3.0 则主要关注数据和用户行为，反映了现代威胁的演变以及纯网络安全的固有弱点。
根据 2020 年 8 月发布的最新 NIST 指南（零信任架构 - nist.go），零信任（ZT）是一套不断发展的网络安全范式的术语，它将防御从静态的、基于网络的边界转移到用户、资产和数据等资源上。
具体来说，零信任假定资产（如数据）或用户账户不存在仅基于其物理或网络位置（即局域网与互联网）或基于资产所有权（企业或个人所有）而授予的隐式信任。身份验证和授权（主体和设备）是在与企业资源建立会话之前执行的离散功能。零信任是对企业网络发展趋势的一种回应，其中包括远程用户、自带设备（BYOD）和基于云的资产（不在企业拥有的网络边界内）。
零信任的重点是保护资源（资产、服务、工作流、网络账户等），而不是网络元素，因为现在网络已不足以确保资源的安全态势。下面我们将概述零信任的各个层面，并给出零信任可改善企业整体信息技术安全态势的一般部署模式和使用案例。
美国国务院战略架构师萨拉-莫斯利（Sara Mosley）在最近的一篇文章中说，TIC 3.0 和 "零信任 "是新安全理念的两个方面，大流行病加速并凸显了这一理念。
了解有关零信任的更多信息。
TIC 2.0 和 TIC 3.0 有什么区别？
我们知道联邦政府更新了其可信互联网连接 (TIC) 政策，但为什么需要进行更改，与 2.0 版相比有哪些改进？
外围安全是 TIC 1.0 和 TIC 2.0 的唯一重点，其不幸的遗产是普遍存在的错误安全意识。由于过度关注将入侵者阻挡在保护墙之外，企业很容易受到内部威胁的影响。安全漏洞往往数月未被发现。
根据网络安全和基础设施安全局（CISA）的说法，在 TIC 2.0 中，TIC 安全通过将所有传入和传出数据输送到一个接入点来确保机构周边的安全。在 3.0 中，各机构可以更灵活地选择最适合自身网络和特定需求的安全计划。
最新一代的可信互联网连接（TIC 3.0）将使各机构在升级其网络和数据中心基础设施时更容易实现现代化。"GSA 联邦采购服务部电信服务办公室主任 Allen Hill 在 11 月中旬举行的关于该机构价值 500 亿美元、为期 15 年的企业基础设施解决方案（EIS）合同的公开会议上说："TIC 3.0 提供了我们前进所需的灵活性。
旨在确保联邦网络流量安全的 TIC 工作始于十多年前，当时各机构通过数十个专用数据中心、安全设备和虚拟专用网络来确保流量安全。从那时起，联邦机构开始转向云技术，因为云技术具有更高的效率、可扩展性和远程数据传输方法，这些老式的保护措施已经过时。
EIS 融合了软件定义网络服务，大大扩展了网络参数。他说，TIC 2.0 围绕软件定义网络（SDN）的网络瓶颈提供了多种路由选择，并限制了可使用的路由。
CISA 联邦网络弹性部网络安全保障处副处长 John Simms 说："随着云成为现代化工作的关键，"TIC 2.0 "成为了一种限制"。Simms 说，他所在的机构正在研究 TIC 3.0 如何确保云环境的安全。"我们不仅要考虑网络外围或网络流量，还要考虑应用程序本身，以及如何巧妙地采用技术来确保这些应用程序栈、数据和监控的安全"。
CISA TIC 项目经理兼高级网络安全架构师 Shawn Connelly 表示，CISA、GSA 和首席信息安全官理事会正在开发 TIC 3.0 试点项目和特定应用的用例。目前的用例包括基础设施即服务（IaaS）、软件即服务（SaaS）、电子邮件即服务（EaaS）、平台即服务以及分支机构应用，但据康奈利称，各机构还可以提出更多建议。
他说，"TIC 3.0 为各机构提供了对用例进行新解释的试点空间"。Connelly 说："CISA 将在试点期间与机构合作，开发最佳实践，使应用解释与供应商更加无关，并研究如何在整个联邦政府中使用。
康奈利说，CISA 目前正在与各机构讨论零信任用例和合作伙伴协作用例。
在 TIC 3.0 中，各机构可以在更靠近数据的地方实施安全措施，建立信任区和用例，而不是将数据重新路由到接入点进行检查。这种灵活性在处理软件即服务（SaaS）技术和员工远程工作时尤其有用。
TIC 3.0 认识到，基于边界的安全已不再足够。部分原因是有如此多的用户或系统在外围工作；此外，恶意行为者已经更加熟练地窃取凭证并进入外围。
TIC 3.0 需要什么？
TIC 3.0 包括五个安全目标，使联邦机构能够过渡到零信任模式：
-
流量管理--验证可信的互联网连接，确保授权活动的安全。监控谁有权访问特定数据、为何授权访问以及是否仍有必要访问。
-
流量保密性- 确保正在访问的数据、发送数据的人员以及接收数据的人员等信息的私密性和安全性。检查只有授权人员才能访问流量数据。
-
流量完整性- 保持数据在传输过程中的完整性。防止数据被篡改和/或检测到任何篡改。
-
服务弹性- 确保安全系统持续运行。威胁在不断增加和演变，面对新威胁和新技术，系统的连续性至关重要。
-
及时有效的反应 - 当发现威胁时，反应时间至关重要。TIC 3.0 可促进有效反应、调整未来的应对措施、实施新政策以及在系统被攻破时采取新的应对措施。
什么是 TIC 3.0 中的受管流量？
TIC 3.0 中的流量管理将 "观察、验证和过滤数据连接，以符合授权活动、最低权限和默认拒绝"。
有效管理流量的挑战在于了解数据的位置，以及谁或什么人在任何时候--静态和传输过程中--都应有权访问数据。为了获得这方面的知识，各机构需要能对组织内外的身份建立一致的总体看法的工具。有效的工具可以收集和整理身份管理数据，深入了解谁拥有访问权、为何授予访问权以及是否仍然需要这种访问权。持续监控和更新可为身份和访问提供单一的真相来源。
各机构可以首先评估自己在Identity and Access Management (IAM) 安全矩阵中的位置。IAM 是一个多层次模型，其中每个安全层次都为后续层次奠定了基础。
- 一级安全有四个组成部分。首先是单点登录，也许在部门一级还有某种程度的联合。
- 第二级是以自动、可审计的方式进行用户配置的能力--而不是让潜在用户收到一张纸或一封电子邮件来创建用户表单。
- 第三级是用户自助服务，确保以可审计的方式验证用户的访问权限、最近的权限、过去的使用情况等。
- 第四级为授权管理。
如何在 TIC 3.0 中保护流量完整性？
TIC 3.0 要求只有授权方才能识别传输中的数据内容、发送方和接收方的身份以及执行。
保护流量机密性的挑战集中在对传输中的数据（包括非结构化数据）进行加密，以及确认发送方和接收方的身份。一种解决方案是在 Windows 和非微软系统的文件系统堆栈中嵌入内核驱动程序的技术，该技术对终端用户透明。驱动程序可拦截文件，即时加密和解密数据，并适用于所有应用程序和文件类型。
企业可以使用策略规则确保实时自动加密数据，而不会减慢工作流程。这些解决方案还能在运行时监控数据，包括捕获和分析文件打开的时间、地点和使用方式等信息。
保护流量保密性涉及格式保存加密，而第二级身份访问管理则涵盖了六种左右的功能。
- 首先是多因素身份验证，包括在大流行病期间推出的一系列新登录功能，以应对远程工作的增加。
- 其次是提高管理的能见度，即谁有权使用各种资产。
- 第三是特权访问管理，涉及系统管理员可以访问和保护的不同安全级别。
- 第四，这是一个用户和能力的虚拟目录，会定期更新，绝不会一成不变。
- 第五是服务安全和变更监控，其次是数据安全和加密。
TIC 3.0 如何确保服务弹性？
随着技术和威胁环境的不断变化，服务弹性促进了弹性应用程序和安全服务的持续运行。任务的有效性需要系统的连续性和可靠性。当系统需求激增或网络受到攻击时，尤其是在 IT 团队人手紧张的情况下，保证正常运行时间可能是一项挑战。将琐碎的重复性任务自动化，并添加工作流程，可以减轻人类工作人员的负担，并保持运行。专业软件有能力处理一半或更多的事件响应任务。工作流程自动化和人工智能可以检查端点、配置防火墙、隔离网络中的计算机并锁定用户账户。
这些技术还通过收集数据来协助人类分析师加快分析速度并进行补救。在使用案例研究中，集成人工智能和机器学习可将事件调查和响应速度提高 10 倍。在威胁检测和响应方面，分秒必争。功能强大的安全信息和事件管理（SIEM）平台可以实时检测、分析这些威胁并确定优先级。有效的平台还能通过工作流、响应和合规性管理为安全操作中心（SOC）提供支持。业界领先的威胁关联引擎将促进 SOC 进行有效的安全分析。
TIC 3.0 如何确保有效的事件响应？
TIC 3.0 促进对发现的威胁做出及时反应并调整未来的应对措施；定义并实施政策；简化新应对措施的采用是事件响应的关键目标。
当今的内部威胁主要以应用程序代码和应用程序安全的形式存在。平均而言，政府机构使用的应用程序 80% 都是定制代码或开放源代码。它们不是来自具有企业级软件测试能力的供应商，甚至没有责任。网络事件和漏洞 85% 都是定制代码或开放源代码造成的。这些代码是造成安全问题的真正机会。
目前，各机构经常要对需要立即关注的大量警报和威胁数据做出响应。为了管理源源不断的关键数据流，未来各机构将利用更多机器驱动的自动化活动。向 TIC 3.0 迈进的机构将受益于各种技术，这些技术可帮助机构拥有一个收集警报和威胁信息的中央位置，并以机器速度响应和修复事件。
可以使用哪些工具和方法来实现 TIC 3.0？
多因素身份验证（MFA）使集中身份验证和授权管理成为可能。通过单一解决方案简化管理可降低成本，提高安全性。可利用开放标准的解决方案可实现快速集成，防止安全漏洞和供应商锁定风险。高级身份验证框架的内置灵活性允许定制安全协议和方法，并改善整体用户体验。
格式保留加密（FPE）是一种新型加密技术，用于加密保留原始长度和格式的纯文本，NIST 标准（SP 800-38G）对其进行了描述，并经过密码学界的广泛审查和验证，可确保任何外泄数据毫无用处。这类安全解决方案（如Voltage ）可在现有应用程序中轻松实施。
安全协调、自动化和响应（SOAR）软件可自动执行三大类活动，这些活动传统上都是由分析人员手动执行的：
- 自动分流：Arcsight SOAR 可以进行自动分流，而不是由一级社会分析员审查警报并进行手动分流。这可以是运行某些检查以消除基本的误报，查找资产、IP 等以调整严重性级别，也可以是将多个不同的警报合并为一个事件案例，甚至自动将票据分派给 SecOps 团队中的正确成员或小组。这种自动化的目标是随着时间的推移尽可能消除一级工作。
- 数据收集和关联有助于利用相关数据为事件增添色彩，从而更好地了解事件。 在活动目录中查找用户、检查是否有人刷卡进入大楼、收集特定计算机上所有运行程序的哈希值以及从 Arcsight Logger 获取用户的所有网络浏览日志，这些都是SIEM 日志管理和数据收集活动的示例。在 SOAR 术语中，这些活动被称为 "富集"（enrichment）；这些数据有助于更好地了解情况。自动数据收集一般具有惊人的优势；只要您在屏幕上看到一个事件，所有相关数据可能都已收集并呈现在同一屏幕上。无需再到其他地方手动收集数据。通常情况下，ArcSight SOAR byOpenText™ 可以将 5,000 个警报整合为易于管理的单个 250 个事件，从而在我们开始工作之前就减少了 SOC 分析师的工作量。
- 自动遏制：您可以在基础设施和安全设备上采取行动，遏制正在进行的攻击；在防火墙上阻止一个 IP、在网络网关上阻止一个 URL、在 NAC 上隔离一台计算机就是此类行动的例子。
这些自动化类型的强大之处在于，您可以根据自己的需要，混合和匹配所有这些类别，并构建具有完全自动化功能的端到端游戏手册。
政府的 TIC 安全将如何发展？
系统恢复能力和风险管理也都将受益于 TIC 3.0 的实施。
随着 TIC 的不断发展，涉及零信任、Internet of Things (IoT)、机构间通信和 SaaS 的用例预计都将发布。这些用例将为各机构配置符合 3.0 标准的平台和服务提供指导。
此外，还覆盖使用外部供应商提供的平台，以确保 TIC 安全功能在各平台上充分发挥作用。
各机构可以针对使用案例中尚未涵盖的场景参与 TIC 试点。这一合作过程得到了 CISA 和 OMB 等领导机构的支持，可以为联邦政府使用的技术提供新的使用案例。
OpenText 致力于成为企业、商业和联邦机构数字化转型的合作伙伴。我们开放而灵活的软件可帮助企业过渡到拥抱未来技术，包括提供 TIC 3.0 服务和解决方案。了解有关OpenText 政府解决方案的更多信息，这些解决方案可帮助您利用 TIC 3.0 和零信任实现网络和数据中心基础设施的现代化和安全。
