TIC 3.0 包括五个安全目标，使联邦机构能够过渡到零信任模式：流量管理 - 验证受信任的互联网连接，确保授权活动的安全。监控谁有权访问特定数据、为何允许访问以及是否仍有必要访问。流量保密性--对正在访问的数据、发送数据者和接收数据者的信息进行保密和安全处理。检查只有授权人员才能访问流量数据。流量完整性 - 保持数据在传输过程中的完整性。防止数据被篡改和/或检测到任何篡改。服务弹性 - 确保安全系统持续运行。威胁在不断增加和演变，面对新威胁和新技术，系统的连续性至关重要。及时有效的反应 - 当发现威胁时，反应时间至关重要。TIC 3.0 可促进在系统被攻破时做出有效反应、调整未来的应对措施、实施新政策和采取新对策。

Q: 什么是 TIC 3.0 中的受管流量？

"，TIC 3.0 中的流量管理将观察、验证和过滤数据连接，使其与授权活动、最低权限和默认拒绝保持一致。"有效管理流量所面临的挑战是，要知道数据在哪里，以及谁或什么人在任何时候--静态和传输过程中--都应该能够访问数据。为了获得这方面的知识，各机构需要一些工具，对组织内外的身份形成一致的总体看法。有效的工具可以收集和整理 身份管理 数据，让人们深入了解谁拥有访问权、授予访问权的原因以及是否仍然需要这种访问权。持续监控和更新可为身份和访问提供单一真实来源。各机构可以首先评估自己在身份和访问管理（IAM）安全矩阵中的位置。IAM 是一个多层次模型，其中每个安全级别都为后续级别奠定了基础。一级安全有四个组成部分。首先是 单点登录 ，或许还可以在部门一级建立某种程度的联盟。第二级是以自动、可审计的方式进行用户配置的能力--而不是让潜在用户收到一张纸或一封电子邮件来创建用户表单。第三级是用户 自助服务 ，确保以可审计的方式验证用户的访问权限、最近的权限、过去的使用情况等。第四级为授权管理。

Q: 如何在 TIC 3.0 中保护流量完整性？

TIC 3.0 要求只有授权方才能辨别传输中的数据内容、发送方和接收方的身份以及执行。保护流量保密性的挑战集中在对传输中的数据（包括非结构化数据）进行加密，以及确认发送方和接收方的身份。一种解决方案是在 Windows 和非微软系统的文件系统栈中嵌入内核驱动程序的技术，对终端用户透明。驱动程序可拦截文件，即时加密和解密数据，并适用于所有应用程序和文件类型。企业可以使用策略规则确保实时自动加密数据，而不会减慢工作流程。这些解决方案还能在运行时监控数据，包括捕获和分析文件打开的时间和地点以及使用方式等信息。保护流量保密性涉及格式保存加密，而第二级身份访问管理则涵盖了六种左右的功能。首先是 多因素身份验证 ，包括在大流行病期间推出的一系列新登录功能，以应对远程工作的增加。其次是提高 管理的能见度，即谁有权使用各种资产 。第三是 特权访问管理， 涉及系统管理员可以访问和保护的不同安全级别。第四个是 用户和能力的虚拟目录 ，会定期更新，绝不会一成不变。第五是服务安全和变更监控，其次是 数据安全和加密 。

Q: 政府的 TIC 安全将如何发展？

系统恢复能力和风险管理也都将受益于 TIC 3.0 的实施。随着 TIC 的不断发展，涉及零信任、物联网 (IoT)、机构间通信和 SaaS 的用例都有望发布。这些用例将为各机构配置符合 3.0 标准的平台和服务提供指导。此外，还覆盖使用外部供应商提供的平台，以确保 TIC 安全功能在各个平台上充分发挥作用。各机构可针对使用案例中尚未涵盖的场景参与 TIC 试点。这一合作过程得到了 CISA 和 OMB 等领导机构的支持，可以为联邦政府使用的技术提供新的用例。OpenText 致力于成为企业、商业和联邦机构数字化转型的合作伙伴。我们开放而灵活的软件可帮助企业过渡到拥抱未来技术，包括提供 TIC 3.0 服务和解决方案。了解有关 OpenText 政府解决方案的更多信息，这些解决方案可帮助您利用 TIC 3.0 和零信任实现网络和数据中心基础设施的现代化和安全。

概述

可信互联网连接（TIC）是 2007 年启动的一项联邦倡议，旨在改进政府的互联网存在点和外部网络连接。 TIC 3.0是这一倡议的最新版本，它使联邦信息技术现代化，并允许政府机构访问云服务和远程安全工作。

那么，什么是可信的网络连接？简而言之，可信互联网连接是管理和预算办公室授权的一部分，旨在限制政府网络上的网关数量。TIC 要求所有联邦互联网流量必须通过 TIC 批准的机构传输。

传统上，各机构一直依赖基于周边的安全解决方案。当大多数员工在周边工作并通过数据中心访问应用程序和数据时，这些方法（在一定程度上）是有效的。

人们对 TIC 3.0 的期望很高，希望它能大大提高当今基于云的 IT 环境的安全性。但是，为了实现全部优势，各机构认识到他们还必须采用零信任安全模式，以确保网络应用程序中的数据受到保护。

可信互联网连接

什么是零信任，它与 TIC 3.0 有什么关系？

自 2010 年推出以来，"零信任 "已日益成为各组织的目标；TIC 3.0 是一项联邦任务。TIC 1.0 和 TIC 2.0 几乎只关注网络访问安全。TIC 3.0 主要关注数据和用户行为，既反映了现代威胁的演变，也反映了纯网络安全固有的弱点。

根据 NIST 于 2020 年 8 月发布的最新指南（零信任架构 - nist.go）、零信任（ZT）是一套不断发展的网络安全范式的术语，它将防御从静态的、基于网络的边界转移到用户、资产和数据等资源上。

具体来说，"零信任 "假定资产（如数据）或用户账户不会仅因其物理或网络位置（即局域网与互联网）或资产所有权（企业或个人所有）而获得隐含信任。身份验证和授权（主体和设备）是在与企业资源建立会话之前执行的独立功能。零信任是对企业网络发展趋势的一种回应，包括远程用户、自带设备（BYOD）和基于云的资产（不在企业拥有的网络边界内）。

零信任的重点是保护资源（资产、服务、工作流程、网络账户等），而不是网络元素，因为现在网络已不足以确保资源的安全态势。下面，我们将概述零信任的各个层面，并给出零信任可改善企业整体信息技术安全态势的一般部署模式和使用案例。

美国国务院战略架构师萨拉-莫斯利（Sara Mosley）在最近的一篇文章中说，TIC 3.0 和 "零信任 "是新安全理念的两个方面，大流行病加速并凸显了这一理念。

了解有关零信任的更多信息。

TIC 2.0 和 TIC 3.0 有什么区别？

我们知道联邦政府更新了其可信互联网连接 (TIC) 政策，但为什么需要进行更改，与 2.0 版相比有哪些改进？

外围安全是 TIC 1.0 和 TIC 2.0 的唯一重点，但不幸的是，外围安全遗留下来的是一种普遍存在的虚假安全感。由于过度关注将入侵者阻挡在防护墙之外，企业很容易受到内部威胁的影响。安全漏洞往往数月未被发现。

根据网络安全和基础设施安全局（CISA）的说法，在 TIC 2.0 中，TIC 安全通过将所有传入和传出数据输送到一个接入点来确保机构周边的安全。在 3.0 中，各机构可以更灵活地选择最适合自身网络和特定需求的安全计划。

最新一代的可信互联网连接（TIC 3.0）将使各机构在升级网络和数据中心基础设施时更容易实现现代化。"" 在 11 月中旬举行的关于该机构价值 500 亿美元、为期 15 年的企业基础设施解决方案 (EIS) 合同的公开会议上，GSA 联邦采购服务部电信服务办公室主任 Allen Hill 说："TIC 3.0 提供了我们前进所需的灵活性。

旨在确保联邦网络流量安全的 TIC 工作始于十多年前，当时各机构利用数十个专用数据中心、安全设备和虚拟专用网络来确保流量安全。从那时起，联邦机构开始转向云技术，因为云技术具有更高的效率、可扩展性和远程数据传输方法，这些旧的保护措施已经过时。

EIS 融合了软件定义的网络服务，大大扩展了网络参数。他说，TIC 2.0 围绕软件定义网络（SDN）的网络瓶颈提供了多种路由选择，并限制了可使用的路由。

"" ，CISA 联邦网络弹性部网络安全保证处副处长 John Simms 说，随着云计算成为现代化工作的关键， TIC 2.0 ，这成为了一个限制因素。" "Simms 说，他所在的机构正在研究 TIC 3.0 如何确保云环境的安全。"我们不仅要考虑网络边界或网络流量，还要考虑应用程序本身，以及如何巧妙地利用技术来确保这些应用程序栈、数据和监控的安全。"

CISA TIC 项目经理兼高级网络安全架构师 Shawn Connelly 表示，CISA、GSA 和首席信息安全官理事会正在开发 TIC 3.0 试点项目和特定应用的用例。目前的用例包括基础设施即服务（IaaS）、软件即服务（SaaS）、电子邮件即服务（EaaS）、平台即服务以及分支机构应用，但据 Connelly 称，各机构还可以提出更多建议。

"他说，TIC 3.0 为各机构提供了空间，使其能够对" 的用例进行新的解释。" Connelly 说，在试点期间，CISA 将与该机构合作，开发最佳实践，使应用解释更不受制于供应商，并研究如何在联邦政府范围内使用。

康奈利说，CISA 目前正在与各机构讨论零信任用例和合作伙伴协作用例。

在 TIC 3.0 中，各机构可以在更靠近数据的地方实施安全措施，建立信任区和用例，而不是将数据重新路由到接入点进行检查。这种灵活性在处理软件即服务（SaaS）技术和员工远程工作时尤其有用。

TIC 3.0 认识到，基于周边的安全已不再足够。这部分是由于有如此多的用户或系统在外围工作；此外，恶意行为者在窃取凭证和进入外围方面已变得更加熟练。

TIC 3.0 需要什么？

TIC 3.0 包括五个安全目标，使联邦机构能够过渡到零信任模式：

流量管理- 验证可信的互联网连接，确保授权活动的安全。监控谁有权访问特定数据、为何允许访问以及是否仍有必要访问。
流量保密性--对正在访问的数据、发送数据者和接收数据者的信息进行保密和安全处理。检查只有授权人员才能访问流量数据。
流量完整性- 保持数据在传输过程中的完整性。防止数据被篡改和/或检测到任何篡改。
服务弹性- 确保安全系统持续运行。威胁在不断增加和演变，面对新的威胁和技术，系统的连续性至关重要。
及时有效的反应- 当发现威胁时，反应时间至关重要。TIC 3.0 可促进在系统被攻破时做出有效反应、调整未来的应对措施、实施新政策和采取新对策。

什么是 TIC 3.0 中的受管流量？

TIC 3.0 中的流量管理将 "观察、验证和过滤数据连接，以符合授权活动、最低权限和默认拒绝"。

有效管理流量的挑战在于了解数据在哪里，以及谁或什么人在任何时候（静态和传输过程中）都应有权访问数据。为了获得这方面的知识，各机构需要一些工具，对组织内外的身份形成一致的总体看法。有效的工具可以收集和整理身份管理数据，让人们深入了解谁拥有访问权、为什么授予访问权以及是否仍然需要这种访问权。持续监控和更新可为身份和访问提供单一真实来源。

各机构可以首先评估自己在身份和访问管理（IAM）安全矩阵中的位置。IAM 是一个多层次模型，其中每个安全级别都为后续级别奠定了基础。

一级安全有四个组成部分。首先是单点登录，或许还可以在部门一级建立某种程度的联盟。
第二级是以自动、可审计的方式进行用户配置的能力--而不是让潜在用户收到一张纸或一封电子邮件来创建用户表单。
第三级是用户自助服务，确保以可审计的方式对用户的访问、最近权限、过去使用情况等进行验证。
第四级为授权管理。

如何在 TIC 3.0 中保护流量完整性？

TIC 3.0 要求只有授权方才能识别传输中的数据内容、发送方和接收方的身份以及执行。

保护流量保密性的挑战集中在对传输中的数据（包括非结构化数据）进行加密，以及确认发送方和接收方的身份。一种解决方案是在 Windows 和非微软系统的文件系统栈中嵌入内核驱动程序的技术，对终端用户透明。驱动程序可拦截文件，即时加密和解密数据，并适用于所有应用程序和文件类型。

企业可以使用策略规则确保实时自动加密数据，而不会减慢工作流程。这些解决方案还能在运行时监控数据，包括捕获和分析文件打开的时间和地点以及使用方式等信息。

保护流量保密性涉及格式保存加密，而第二级身份访问管理则涵盖了六种左右的功能。

首先是多因素身份验证，包括在大流行病期间推出的一系列新登录功能，以应对远程工作的增加。
其次是提高管理的能见度，即谁有权使用各种资产。
第三是特权访问管理，涉及系统管理员可以访问和保护的不同安全级别。
第四个是用户和能力的虚拟目录，会定期更新，绝不会一成不变。
第五是服务安全和变更监控，其次是数据安全和加密。

TIC 3.0 如何确保服务弹性？

服务弹性可促进弹性应用程序和安全服务，以便随着技术和威胁形势的发展而持续运行。任务的有效性要求系统具有连续性和可靠性。当系统需求激增或网络受到攻击时，尤其是在 IT 团队人手紧张的情况下，保证正常运行时间可能是一项挑战。将琐碎和重复性的任务自动化，并添加工作流程，可以减轻人类员工的负担，保证业务运行。专业软件有能力处理一半或更多的事件响应任务。工作流程自动化和人工智能可以询问端点、配置防火墙、隔离网络中的计算机并锁定用户账户。

这些技术还通过收集数据来协助人工分析师加快分析速度和进行补救。在使用案例研究中，集成人工智能和机器学习可将事件调查和响应速度提高 10 倍。在威胁检测和响应方面，分秒必争。功能强大的安全信息和事件管理（SIEM）平台将实时检测、分析这些威胁并确定优先级。有效的平台还能通过工作流程、响应和合规管理为安全运营中心（SOC）提供支持。业界领先的威胁关联引擎将促进 SOC 进行有效的安全分析。

TIC 3.0 如何确保有效的事件响应？

TIC 3.0 促进对发现的威胁做出及时反应并调整未来的应对措施；定义并实施政策；简化新应对措施的采用是事件响应的关键目标。

如今，内部威胁主要以应用程序代码和应用程序安全的形式存在。平均而言，政府机构使用的应用程序有 80% 定制代码或开放源代码。它们不是来自具备企业级软件测试能力的供应商，甚至也没有责任心。在 85% 的情况下，网络事件和漏洞都是定制代码或开放源代码造成的。这些代码是造成安全问题的真正机会。

目前，企业经常要应对大量需要立即关注的警报和威胁数据。为了管理源源不断的关键数据流，未来各机构将利用更多机器驱动的自动化活动。正在向 TIC 3.0 迈进的机构将受益于各种技术，这些技术可帮助机构拥有一个收集警报和威胁信息的中央位置，并以机器速度响应和修复事件。

可以使用哪些工具和方法来实现 TIC 3.0？

多因素身份验证（MFA）使集中身份验证和授权管理成为可能。通过单一解决方案简化管理，既能降低成本，又能提高安全性。能够利用开放标准的解决方案可实现快速集成，防止安全漏洞和供应商锁定风险。先进的身份验证框架具有内置灵活性，可以定制安全协议和方法，并改善整体用户体验。

格式保留加密（FPE）是一种新的加密方式，用于对保留原始长度和格式的纯文本进行加密，NIST 标准（SP 800-38G）对其进行了描述，并经过密码学界的广泛审查和验证，可确保任何外泄数据毫无用处。这类安全解决方案（如 Voltage）可以很容易地在现有应用程序中实施。

安全协调、自动化和响应（SOAR）软件可自动执行三大类活动，这些活动传统上都是由分析人员手动执行的：

自动分流：Arcsight SOAR 可以进行自动分流，而不是由一级社会分析员审查警报并进行手动分流。这可以是运行某些检查以消除基本的误报，查找资产、IP 等以调整严重性级别，也可以是将多个不同的警报合并为一个事件案例，甚至自动将票据分派给 SecOps 团队中的正确成员或小组。这种自动化的目标是随着时间的推移尽可能消除一级工作。
数据收集和关联有助于利用相关数据为事件增添色彩，从而更好地了解事件。在活动目录中查找用户、检查是否有人刷卡进入大楼、收集特定计算机上所有运行程序的哈希值以及从 Arcsight Logger 获取用户的所有网络浏览日志，都是此类SIEM 日志管理和数据收集活动的示例。用 SOAR 的行话来说，这些数据被称为 "丰富数据"，有助于更好地了解情况。自动数据收集一般具有惊人的优势；只要您在屏幕上看到一个事件，所有相关数据可能已经收集完毕，并在同一屏幕上呈现给您。无需前往各地手动收集数据。通常情况下，ArcSight SOAR by OpenText™ 可以将 5,000 个警报整合为 250 个易于管理的事件，从而在我们开始工作之前就减少了 SOC 分析师的工作量。
自动遏制：您可以在基础设施和安全设备上采取行动，遏制正在进行的攻击；在防火墙上阻止一个 IP、在网络网关上阻止一个 URL、在 NAC 上隔离一台计算机就是此类行动的例子。

这些自动化类型的强大之处在于，您可以根据自己的需要，混合和匹配所有这些类别，并构建具有完全自动化功能的端到端游戏手册。

政府的 TIC 安全将如何发展？

系统恢复能力和风险管理也都将受益于 TIC 3.0 的实施。

随着 TIC 的不断发展，涉及零信任、物联网 (IoT)、机构间通信和 SaaS 的用例都有望发布。这些用例将为各机构提供指导，帮助他们按照 3.0 标准配置平台和服务。

此外，还覆盖使用外部供应商提供的平台，以确保 TIC 安全功能在各平台上充分发挥作用。

各机构可针对使用案例中尚未涵盖的场景参与 TIC 试点。这一合作过程得到了 CISA 和 OMB 等领导机构的支持，可以为联邦政府使用的技术提供新的用例。

OpenText 致力于成为企业、商业和联邦机构数字化转型的合作伙伴。我们开放而灵活的软件可帮助企业过渡到拥抱未来技术，包括提供 TIC 3.0 服务和解决方案。了解有关 OpenText 政府解决方案的更多信息，这些解决方案可帮助您利用 TIC 3.0 和零信任实现网络和数据中心基础设施的现代化和安全。