零信任成熟度模型与迁移规划

Zero Trust 不是您购买的一款产品，而是跨多个安全领域的持续改进之旅。如果没有结构化的 Maturity Model，组织就难以确定投资优先级并衡量进展。CISA Zero Trust Maturity Model 提供了通用语言和路线图，帮助团队了解当前状态，并规划切合实际、分阶段的改进方案。

CISA Zero Trust Maturity Model 定义了五个支柱——Identity、Devices、Networks、Applications and Workloads 以及 Data——以及三个成熟度阶段：Traditional、Advanced 和 Optimal。在 Traditional 阶段，各领域彼此孤立，隐式信任很常见。在 Advanced 阶段，自动化和集成得到改善。在 Optimal 阶段，动态 policies、持续监控和自动化已在所有支柱中全面实施。

在 Identity 支柱中，Traditional 组织使用基础的用户名/密码身份验证，且没有 MFA。Advanced 组织为大多数 Application 实施 MFA 和单点登录。Optimal 组织采用结合行为分析的基于 risk 的持续身份验证——使用动态 risk 分数、即时权限提升和无密码身份验证方法，实时评估每个访问请求。

在 Devices 支柱中，Traditional 组织的资产清单不完整，强制执行措施也很少。Advanced 组织部署 MDM 并强制执行基础合规检查。Optimal 组织拥有完整的资产清单、持续的合规监控、对不 compliant Devices 的自动修复、硬件证明（TPM），并通过 Policy 引擎将 Device 健康信号集成到每个访问决策中。

在 Networks 支柱中，Traditional 组织依赖边界防火墙和扁平的内部 Networks。Advanced 组织实施宏观分段，并开始在部分使用场景中用 ZTNA 取代 VPN。Optimal 组织实现所有 Workloads 的完整微分段、加密的东西向流量、软件定义边界，以及将 Network 流量分析实时馈送到 Zero Trust Policy 引擎。

对于 Applications and Workloads，Traditional 组织按 Application 授予宽泛的访问权限。Optimal 组织实施按 Session 分配的最小权限访问，并结合内联 Data 丢失防护和应用层检查。对于 Data 支柱，Traditional 组织只进行最低限度的分类。Optimal 组织实现自动化 Data 发现、对静态和传输中的 Data 进行分类、全程加密，以及以 Data 为中心的访问控制，使控制措施无论 Data 传向何处都能随之生效。

在规划迁移之前，应跨全部五个支柱开展Gap 评估。针对每个支柱，记录当前状态（Traditional/Advanced/Optimal）、Target 状态，以及必须弥合的 Gap。收集来自身份提供商日志、MDM 控制台、Network 图、Application 清单和 Data 分类报告的数据。最终输出是映射到各个支柱的Projects 优先级列表。

成功的 Zero Trust 迁移会从能够在不影响业务的情况下带来安全价值的快速收益开始。第 1 阶段的典型成果包括：为所有用户部署 MFA、将 Devices 注册到 MDM、实施 SSO 以减少密码泛滥，以及启用基础 Conditional Access。这些步骤可以应对最关键的 risk（凭据泄露和未受管理的 Devices），同时建立利益相关者对更大规模投资的信心。

第 2 阶段会集成各个支柱并引入自动化。Identity risk 分数会馈送到 Conditional Access policies 中。Device compliant 会作为 Application 访问的闸门强制执行。ZTNA 会取代用于远程访问的 VPN。特权访问管理（PAM）会对特权凭据进行保管和轮换。自动化可以减少人工干预，确保 policies 得到一致应用，从而消除访问控制决策中的人为错误。

Zero Trust 迁移的常见挑战包括：不支持现代身份验证协议（SAML、OIDC）的传统 Application；工作流程受到影响的团队产生的利益相关者抵触；以及集成 Identity、MDM、SIEM 和 ZTNA 产品所造成的工具泛滥。应对这些挑战需要制定 Application 现代化路线图、获得高管支持、实施变更管理计划，并整合平台以降低集成复杂性。

Zero Trust 的成熟度应使用可量化的指标来衡量，而不是主观评级。关键指标包括：用户注册 MFA 的比例、设备注册 MDM 且符合合规要求的比例、只能通过 ZTNA 访问的应用程序比例、检测到 Lateral Movement 尝试的平均时间（MTTD），以及已禁用的旧版协议数量。定期根据 CISA 成熟度模型的检查点进行衡量，有助于确保该计划按计划推进，并为持续投入提供依据。

测试您对本课 CompTIA Security+ (SY0-701) 概念的理解。

在本课中，您学习了：CISA Zero Trust 成熟度模型在三个成熟度阶段中定义了五大支柱；差距评估可以识别当前安全状况并确定改进项目的优先级；从快速见效措施（MFA、MDM、SSO）开始的分阶段迁移，能够在逐步实现完整 Zero Trust 的同时，尽早带来安全价值。接下来，我们将学习威胁狩猎方法，以及如何为主动调查制定结构化假设。