NSA和(hé)CISA權衡5G時(shí)代雲安全的責任

美(měi)媒近日報(bào)道(dào)，美(měi)國主要聯邦機構發布了(le)一系列報(bào)告中的第一份，詳細說明(míng)了(le)他(tā)們對(duì)5G網絡設備和(hé)服務提供商的期望，他(tā)們認爲，如果這(zhè)些(xiē)設備和(hé)服務沒有得到(dào)适當的保護，它們将越來(lái)越多地成爲網絡攻擊的載體。 針對(duì)雲提供商和(hé)移動運營商，美(měi)國國家安全局（National Security Agency，NSA）和(hé)網絡安全與基礎設施安全局（Cybersecurity and Infrastructure Security Agency，CISA）表示，“5G網絡應該爲所有将與5G網絡中的其他(tā)元素通信的元素（最好(hǎo)是每個接口）分配唯一的身份。”。 周四發布的報(bào)告着重于防止和(hé)檢測橫向移動，以便在一個雲資源受到(dào)影響的情況下(xià)，整個網絡不會(huì)受到(dào)影響。在最近的攻擊中，側向移動一直是一個主要問題，包括據信是“Solar Winds”事(shì)件背後的黑客發起的攻擊。 5G網絡本質上(shàng)是基于雲的，建議(yì)的緩解措施遠遠超出了(le)實施多因素身份驗證以驗證用(yòng)戶身份的範圍。正如“SolarWinds”事(shì)件背後黑客所展示的那樣，新興的網絡架構提供了(le)繞過MFA的方法。 “5G雲部署将帶來(lái)更多以這(zhè)種方式進行橫向移動的機會(huì)，因爲它們支持新的實現(xiàn)，如基于服務的體系結構（SBA）、容器和(hé)虛拟機與以前使用(yòng)物理(lǐ)設備和(hé)點對(duì)點接口的網絡相比，這(zhè)導緻了(le)更多的元素對(duì)元素之間的通信。 但(dàn)是，克服圍繞雲安全共享責任模型所緻的混亂是挑戰的一部分。正如報(bào)告所說，“雲提供商和(hé)移動網絡運營商可能(néng)分擔安全責任，要求運營商承擔責任，确保其“在雲中”的租賃是安全的。”。 該報(bào)告源自(zì)《持久安全框架》，該《框架》是一個關于國家安全系統面臨的威脅和(hé)風(fēng)險的關鍵基礎設施夥伴關系咨詢委員會(huì)（Critical Infrastructure Partnership Advisory Council，CIPACs）。CIPACs是國土安全部組織的團體，旨在根據《聯邦咨詢委員會(huì)法案》的豁免，将政府和(hé)行業代表召集在一起，該法案要求提供公衆提建議(yì)和(hé)報(bào)告的機會(huì)。 政府一直強調不斷發展的公私夥伴關系，特别是通過CISA的聯合網絡安全防禦協作(zuò)機制。報(bào)告系列中的建議(yì)将适用(yòng)于JCDC雲提供商（如微軟）和(hé)移動運營商（如Verizon）的許多公司。 該報(bào)告是《持久安全框架》小(xiǎo)組計(jì)劃就雲安全問題發表的四份報(bào)告中的第一份，該小(xiǎo)組在今年夏天與政府和(hé)行業的相關代表舉行了(le)爲期兩個月的研究會(huì)議(yì)。下(xià)一期将集中讨論安全隔離網絡資源，第三期和(hé)第四期将分别讨論傳輸中、使用(yòng)中和(hé)靜止時(shí)的數據保護以及基礎設施完整性。 根據第一份報(bào)告，這(zhè)些(xiē)出版物旨在“記錄5G雲安全挑戰、威脅和(hé)潛在緩解措施，包括指南、标準和(hé)分析”，其中包括對(duì)服務提供商和(hé)系統集成商構建和(hé)配置5G雲基礎設施的建議(yì)，以及政府機構等客戶。在整個系列中，報(bào)告将詳細說明(míng)建議(yì)是否針對(duì)核心網絡設備供應商、雲服務提供商、移動網絡運營商或集成商，該研究小(xiǎo)組表示，這(zhè)些(xiē)建議(yì)應提供“構建強化5G雲部署的分層方法”。 國家安全局（NSA）網絡安全總監Rob Joyce在周四的新聞發布會(huì)上(shàng)表示：“本系列展示了(le)來(lái)自(zì)網絡安全與基礎設施安全局（CISA）、國家安全局（NSA）和(hé)行業的ESF專家的共同努力所帶來(lái)的國家安全利益。”。“應用(yòng)本指南構建和(hé)配置5G雲基礎設施的服務提供商和(hé)系統集成商将爲改善我國的網絡安全做出自(zì)己的貢獻。” 來(lái)源：中國IDC圈