DoD 零信任策略和路线图概述了国防部组件和国防工业基地（DIB）合作伙伴基于零信任原则采用新的网络安全框架的路径。 零信任消除了传统的外围和信任假设，从而实现了更高效的体系结构，增强了安全性、用户体验和任务性能。
本指南针对 DoD 零信任 功能执行路线图中的 152 个零信任活动提供了建议。 这些部分对应于 DoD 零信任 模型的七大支柱。
使用以下各链接，转到指导的各节。
5 网络
本部分提供了 Microsoft 针对 DoD 零信任架构中网络基柱活动的指导和建议。 若要了解详细信息，请参阅 Secure networks with 零信任。
5.1 数据流映射
Azure 虚拟网络 服务是您在 Azure 专用网络中的构成基石。 在虚拟网络中，Azure资源彼此之间、与互联网和与本地资源进行通信。
在 Azure 中部署多个中心辐射型网络拓扑时，Azure 防火墙处理虚拟网络之间的路由流量。 此外，Azure 防火墙 Premium 包括 Trasport-Layer 安全（TLS）检查、网络入侵、检测和防护系统（IDPS）、URL 筛选和内容筛选等安全功能。
Azure网络工具（如Azure 网络观察程序和Azure Monitor Network Insights）可帮助你映射和可视化网络流量流。 Microsoft Sentinel集成可以使组织具备对网络流量的可见性和控制，并提供工作簿、自动化以及检测能力。
| DoD 活动说明和结果 | Microsoft指南和建议 |
|---|---|
Target 5.1.1 定义精细的控制访问规则和策略 pt1与各组织合作的 DoD 企业制定了精细的网络访问规则和策略。 相关的操作概念 (ConOps) 是根据访问策略制定的，并确保未来的可支持性。 达成一致后，DoD 组织会将这些访问策略实施到现有网络技术（例如下一代防火墙、入侵防护系统等）中，以提高初始风险水平。 结果： - 提供技术标准 - 制定操作概念 - 确定相关社区 |
Azure 防火墙 Premium 使用 Azure 虚拟网络 和 Azure 防火墙 Premium 来控制云资源、云和本地资源与 Internet 之间的通信和路由。 Azure 防火墙 Premium 具有威胁情报、威胁检测和入侵防护功能来保护流量。 - 分段策略 - 路由多中心辐射型拓扑 - Azure 防火墙 Premium 功能 使用 Azure 防火墙 策略分析来管理防火墙规则，启用对流量流的可见性，并针对防火墙规则进行详细分析。 - Azure 防火墙 策略分析 Azure 专用链接 使用 Azure 专用链接 通过虚拟网络中的专用终结点访问 Azure 平台即服务（PaaS）。 使用专用终结点将关键的 Azure 资源仅限制于虚拟网络。 从虚拟网络到Azure的流量仍保留在Azure主干网络上。 无需将虚拟网络暴露给公共 Internet 即可使用 Azure PaaS 服务。 - 安全网络：PaaS 服务边界 - 网络安全最佳实践 网络安全组 在网络安全组（NSG）上启用流日志记录，以获取流量活动。 在 网络观察程序. - NSG 流日志中可视化活动数据 Azure Virtual Network Manager 使用Azure Virtual Network Manager用于跨订阅的虚拟网络的集中式连接和安全配置。 - Azure Virtual Network Manager Azure 防火墙管理器 Azure 防火墙管理器是用于云端安全边界的集中安全策略和路由管理的安全管理服务。 - Azure 防火墙管理器 Azure Policy 使用Azure Policy强制实施网络标准，如强制流量隧道到Azure 防火墙或其他网络设备。 禁止公共 IP 或强制使用加密协议。 - Azure 网络服务的定义 Azure Monitor 使用 Azure 网络观察程序 和 Azure Monitor Network Insights，用于完整且可视化展示您的网络。 - 网络观察程序 - Network insights |
Target 5.1.2 定义精细的控制访问规则和策略 Pt2DoD 组织利用数据标记和分类标准，为 API 访问 SDN 基础结构开发数据过滤器。 API 决策点在 SDN 体系结构中正式确定，并通过非任务/任务关键型应用和服务实施。 结果： - 为 API 基础结构定义数据标记筛选器 |
应用程序安全组 使用应用程序安全组，将网络安全配置为应用程序结构的扩展。 根据应用程序安全组对虚拟机（VM）进行分组并定义网络安全策略。Azure 服务标签：使用 Azure 服务标签为 Azure VM 和 Azure 虚拟网络限制对正在使用的 Azure 服务的网络访问。 Azure 维护与每个标签相关的 IP 地址。 - Azure 服务标签 Azure 防火墙 Azure 防火墙管理器是一个安全管理服务，用于集中管理基于云的安全外周（防火墙、DDoS、WAF）的安全策略和路由。 使用 IP 组来管理 Azure 防火墙规则。 - Azure 防火墙管理器 - IP 组 Azure 虚拟网络管理器 虚拟网络管理器是一项管理服务，用于跨订阅全局对虚拟网络进行分组、配置、部署、查看和管理。 - 常见用例 Azure 网络观察程序 启用 网络观察程序 以监视、诊断和查看指标。 启用或禁用Azure基础结构即服务（IaaS）资源的日志。 使用网络观察程序监视和修复 IaaS 产品（如 VM、VNet、应用程序网关、负载均衡器等）的网络运行状况。 - Azure 网络观察程序 |
5.2 软件定义的网络
虚拟网络是Azure专用网络的基础。 使用虚拟网络（VNet），组织控制Azure资源和本地之间的通信。 筛选和路由流量，并与其他Azure服务（例如Azure 防火墙、Azure Front Door、Azure 应用程序网关、Azure VPN 网关和Azure ExpressRoute）集成。
| DoD 活动说明和结果 | Microsoft指南和建议 |
|---|---|
Target 5.2.1 定义 SDN APIDoD 企业与各组织合作，定义必要的 API 和其他编程接口，以启用软件定义的网络 (SDN) 功能。 这些 API 将启用身份验证决策点、应用程序交付控制代理和分段网关自动化。 结果： - SDN API 已标准化并实施 - API 可用于身份验证决策点、应用交付控制代理和分段网关 |
Azure 资源管理器 Deploy 并使用 Azure 资源管理器 （ARM） API 配置Azure网络。 Azure管理工具：Azure门户、Azure PowerShell、Azure命令行界面（CLI）和模板使用相同的 ARM API 对请求进行身份验证和授权。 - Azure资源管理器 - Azure REST API 引用 Azure角色 用于分配内置Azure角色以进行网络资源管理。 遵循最小特权原则，并通过 PIM 实时 (JIT) 分配角色。 - Azure 内置角色 |
Target 5.2.2 实现 SDN 可编程基础结构根据 API 标准、要求和 SDN API 功能，DoD 组织将实施软件定义的网络 (SDN) 基础结构以启用自动化任务。 分段网关和身份验证决策点集成到 SDN 基础结构中，以及输出日志记录到标准化存储库（例如 SIEM、Log Analytics）进行监视和警报。 结果： - 已实施应用程序交付控制代理 - 已建立 SIEM 日志记录活动 - 已实施用户活动监视 (UAM) - 已与身份验证决策点集成 |
Azure网络资源 对虚拟网络（VNet）中托管的应用程序进行外部访问，包括：Azure Front Door（AFD）、Azure 应用程序网关或Azure 防火墙。 AFD 和应用程序网关具有用于 Open Web Application Security Project (OWASP) Top 10 和机器人的负载均衡和安全功能。 可创建自定义规则。 Azure 防火墙在第 4 层启用威胁情报筛选。 - 云原生筛选和已知威胁防护 - 网络体系结构设计 Microsoft Sentinel Azure 防火墙、应用程序网关、ADF 和 Azure Bastion 会将日志导出到 Sentinel 或者其他安全信息和事件管理 (SIEM) 系统进行分析。 使用 Sentinel 或 Azure Policy 中的连接器在环境中强制实施此要求。 - Azure 防火墙与 Sentinel - Azure Web 应用防火墙连接器到 Sentinel - 查找 Sentinel 数据连接器 Microsoft Entra 应用程序代理 部署应用程序代理，用于在本地网络上发布和传送专用应用程序。 集成安全混合访问 (SHA) 合作伙伴解决方案。 - 应用程序代理 - 部署应用程序代理 - SHA 合作伙伴集成 Microsoft Entra ID 保护 部署 Microsoft Entra ID 保护 并将登录风险信号引入条件访问。 请参阅 用户指南 中的 Microsoft 指南 1.3.3。 Microsoft Defender for Cloud Apps 使用 Defender for Cloud Apps 监视有风险的 Web 应用程序会话。 - Defender for Cloud Apps |
Target 5.2.3 将流分段为控制平面、管理平面和数据平面网络基础结构和流在物理上或逻辑上被分段为控制平面、管理平面和数据平面。 实施了使用 IPv6/VLAN 方法的基本分段，以更好地跨数据平面组织流量。 更新的基础结构中的分析和 NetFlow 会自动馈送到操作中心和分析工具中。 结果： - IPv6 分段 - 启用自动化 NetOps 信息报告 - 确保整个企业的配置控制 - 已与 SOAR 集成 |
Azure 资源管理器 Azure 资源管理器 是一种部署和管理服务，具有一个管理层，用于在 Azure 账户中创建、更新和删除资源。 - Azure 控制和数据面 - 多租户控制平面 - Azure 操作安全性 Microsoft Sentinel 将 Azure 网络基础设施连接到 Sentinel。 为非Azure网络解决方案配置 Sentinel 数据连接器。 使用自定义分析查询，触发 Sentinel SOAR 自动化。 - 使用 Playbook 的威胁响应 - 使用逻辑应用的 Azure 防火墙检测和响应 参阅第 5.2.2 节中的 Microsoft 指导。 |
Advanced 5.2.4 网络资产发现和优化DoD 组织通过 SDN 基础结构自动执行网络资产发现，从而根据基于风险的方法限制对设备的访问。 优化基于 SDN 分析进行，以提高整体性能，同时提供对资源的必要经批准的访问权限。 结果： - 技术更新/技术演变 - 提供优化/性能控制 |
Azure Monitor 使用 Azure Monitor 网络见解查看网络资源的全面可视化表示形式（包括拓扑、运行状况和指标）。 参阅第 5.1.1 节中的 Microsoft 指导。 Microsoft Defender for Cloud Defender for Cloud 发现并列出 Azure、其他云和本地的预配资源清单。 - 多云环境 - 管理资源安全态势 Microsoft Defender for Endpoint 加入终结点并配置设备发现来收集、探测或扫描你的网络以发现未托管的设备。 - 设备发现概述 |
Advanced 5.2.5 实时访问决策SDN 基础结构利用跨支柱数据源（如用户活动监视、实体活动监视、企业安全配置文件等）进行实时访问决策。 机器学习用于根据高级网络分析（完整数据包捕获等）协助决策制定。 使用统一访问标准在整个企业中一致地实施策略。 结果： - 使用分析引擎分析 SIEM 日志以提供实时策略访问决策 - 支持发送捕获的数据包、数据/网络流和其他特定日志进行分析 - 对端到端传输网络流进行分段 - 审核安全策略以实现整个企业的一致性 |
完成活动 5.2.1 - 5.2.4。 Microsoft Sentinel 通过将网络日志发送到 Sentinel 进行分析来检测威胁。 使用威胁情报、高级多阶段攻击检测、威胁搜寻和内置查询等功能。 通过 Sentinel 自动化，操作员能够阻止恶意 IP 地址。 - 使用分析规则检测威胁 - 用于 Sentinel 的 Azure 防火墙连接器 Azure 网络观察程序 使用 Azure 网络观察程序捕获传入和传出虚拟机 (VM) 和虚拟机规模集的网络流量。 - 数据包捕获 Microsoft Defender for Cloud Defender for Cloud 评估对框架（如 Microsoft 云安全基准、DoD 影响级别 4 (IL4) 和 IL5 及国家标准与技术研究所 (NIST) 800-53 R4/R5）中规定的网络安全控制的合规性。 - 安全控制：网络安全 条件访问 使用条件访问见解和报告工作簿，了解组织条件访问策略的影响。 - 见解和报告 |
5.3 宏观分段
Azure订阅是将Azure资源分开的高级构造。 显式预配了不同订阅中资源之间的通信。 订阅中的虚拟网络（VNet）资源提供网络级的资源隔离。 默认情况下，VNet 无法与其他 VNet 通信。 若要在 VNet 之间启用网络通信，请对 VNet 进行对等互连并使用 Azure 防火墙控制和监视流量。
若要了解详细信息，请参阅通过网格级分段保护和治理工作负载。
| DoD 活动说明和结果 | Microsoft指南和建议 |
|---|---|
Target 5.3.1 数据中心宏观分段DoD 组织使用传统分层的（Web、应用、db）和/或基于服务的体系结构实施以数据中心为中心的宏观分段。 基于设备特性和行为，代理和/或强制检查与 SDN 解决方案集成。 结果： - 将操作记录到 SIEM - 建立对设备特性、行为和其他数据的代理/强制检查 - 使用分析引擎分析活动 |
Azure网络 设计和实施Azure网络服务，基于已建立的架构，如企业规模的落地区域。 细分Azure虚拟网络（VNet），并遵循Azure网络安全最佳做法。 当数据包跨越各种 VNet 边界时，使用网络安全控制。 - 网络安全最佳做法 - 主权和 Azure 登陆区域 - 网络拓扑和连接 - 网络和连接建议 Microsoft Entra ID 保护 部署 Microsoft Entra ID 保护，并在条件访问策略集中使用设备和风险信号。 参阅用户中的 Microsoft 指导 1.3.3 和设备中的 2.1.4。 Microsoft Sentinel 使用连接器以使用 Microsoft Entra ID 中的日志及网络资源，以发送到 Microsoft Sentinel 进行审核、威胁搜寻、检测和响应。 在 Sentinel 中启用用户实体行为分析 (UEBA) 。请参阅 Microsoft 指南中的 5.2.2 和 1.6.2用户部分。 Microsoft Defender XDR 将 Microsoft Defender for Endpoint 与 Microsoft Defender for Cloud Apps 集成，并阻止访问未批准的应用。 - 将 Defender for Cloud Apps 与 Defender for Endpoint 集成 - 发现和阻止影子 IT |
Target 5.3.2 B/C/P/S 宏观分段DoD 组织使用限制横向移动的逻辑网络区域，实施基地、营地、哨所和车站的宏观分段。 基于设备特性和行为，代理和/或强制检查与 SDN 解决方案集成。 结果： - 建立对设备特性、行为和其他数据的代理/强制检查 - 将操作记录到 SIEM - 使用分析引擎分析活动 - 利用 SOAR 提供 RT 策略访问决策 |
完成活动 5.3.1. Microsoft Sentinel 使用 Azure 防火墙 可视化防火墙活动，使用 AI 智能分析功能检测威胁、关联活动并自动执行响应操作。 - Azure 防火墙 |
5.4 微观分段
网络安全组（NSG）和应用程序安全组（ASG）为Azure网络提供网络安全微分段。 ASG 根据应用程序模式简化流量筛选。 在同一子网中部署多个应用程序，并根据 ASG 隔离流量。
若要了解详细信息，请参阅通过网格级分段保护和治理工作负载。
| DoD 活动说明和结果 | Microsoft指南和建议 |
|---|---|
Target 5.4.1 实施微观分段DoD 组织在 SDN 环境中实施微观分段基础结构，从而实现服务组件（例如 Web、应用、db）、端口和协议的基本分段。 对于包括 API 决策在内的策略变更，已接受基本自动化处理。 虚拟托管环境在主机/容器级别实施微观分段。 结果： - 接受自动化策略更改 - 实施 API 决策点 - 在虚拟托管环境中实施 NGF/微观 FW/终结点代理 |
完成活动 5.3.1. Azure 防火墙 Premium 在 Azure 网络分段策略中，将 Azure 防火墙 Premium 用作下一代防火墙（NGF）， 请参阅 Microsoft 指导 5.1.1。 应用程序安全组 在网络安全组（NSG）中，可以使用应用程序安全组将网络安全配置为应用程序结构的扩展。 通过将 Azure 资源与同一应用程序关联到应用程序安全组来简化网络安全策略。 - 使用网络级别分段来保护和管理工作负载 - 应用程序安全组 Azure Kubernetes 服务 在 Azure Kubernetes 服务 (AKS) 中的应用程序需要使用 Azure Policy 中的内置定义来要求 Azure 容器网络接口 (Azure CNI)。 使用网络策略为 AKS 中的容器实现容器级微分段。 ``` - AKS 的网络概念 - 配置 Azure CNI 覆盖网络 - 使用网络策略保护 Pod 间的流量 - AKS 策略参考 适用于服务器的 Microsoft Defender 将 Azure 虚拟机（VM）、其他云托管环境中的 VM 以及本地服务器接入 Microsoft Defender for Servers。 ``` Microsoft Defender for Endpoint 中的网络保护会阻止主机级进程与匹配威胁指标 (IoC) 的特定域、主机名或 IP 地址通信。 - 规划 Defender for Servers 部署 - 保护网络 - 创建指标 |
Target 5.4.2 应用程序与设备微观分段DoD 组织利用软件定义的网络 (SDN) 解决方案来建立满足 ZT 目标功能的基础结构：针对用户和设备的逻辑网络区域、角色、特性和基于条件的访问控制，针对网络资源的特权访问管理服务，以及针对 API 访问的基于策略的控制。 Outcomes： - 分配角色、属性和条件为基础的访问控制给用户和设备 - 提供特权访问管理服务 - 基于每个身份限制用户和设备访问 - 创建逻辑网络区域 |
将应用程序与 Microsoft Entra ID 集成。 使用应用角色、安全组和访问包管理访问权限。 请参阅用户中的 Microsoft 指南 1.2。 Conditional Access 设计条件访问策略集，以便基于用户、角色、组、设备、客户端应用、标识风险和应用程序资源进行动态授权。 根据用户和环境条件，使用身份验证上下文创建逻辑网络区域。 参阅用户中的 Microsoft 指导 1.8.3。 Privileged Identity Manager 配置 PIM 以便对特权角色和 Microsoft Entra 安全组进行实时 (JIT) 访问。 参阅用户中的 Microsoft 指导 1.4.2。 Azure 虚拟机和 SQL 数据库 将 Azure 虚拟机和 SQL 实例配置为使用 Microsoft Entra 标识进行用户登录。 - 在 Azure 中登录 Windows - 在 Azure 中登录 Linux VM - 使用 Azure SQL 进行身份验证 Azure Bastion 使用 Bastion 从 Azure 门户通过专用 IP 地址或通过使用本机安全外壳 (SSH) 或远程桌面协议 (RDP) 客户端，安全地连接到 Azure 虚拟机。 - Bastion Microsoft Defender for Servers 对虚拟机使用即时 (JIT) 访问，以保护它们免于未经授权的网络访问。 - 在 VM 上启用 JIT 访问 |
Advanced 5.4.3 流程微观分段DoD 组织利用现有的微观分段和 SDN 自动化基础结构，实施了流程微观分段。 主机级进程根据安全策略进行分割，基于实时访问决策来给予访问权限。 结果： - 对安全策略的主机级流程进行分段 - 支持实时访问决策和策略更改 - 支持卸载日志以进行分析和自动化 - 支持动态部署分段策略 |
完成活动 5.4.2。 Microsoft Defender for Endpoint 在 Defender for Endpoint 中启用网络保护，以阻止主机级进程和应用程序连接到恶意网络域、IP 地址或已泄露的主机名。 请参阅 Microsoft 指南 4.5.1。 连续访问评估 连续访问评估（CAE）使 Exchange Online、SharePoint Online 和 Microsoft Teams 等服务能够订阅 Microsoft Entra 的事件，如帐户停用和 Microsoft Entra ID 保护 中的高风险检测。 请参阅 User 中的 Microsoft 指南 1.8.3。 Microsoft Sentinel 使用连接器来传入 Microsoft Entra ID 的日志，网络资源发送到 Microsoft Sentinel 以进行审核、威胁搜寻、检测和响应。 请参阅 5.2.2 和 User 中的 Microsoft 指南 1.6.2。 |
Target 5.4.4 保护传输中的数据基于数据流映射和监视，DoD 组织启用策略以强制保护传输中的数据。 保护策略中包括联盟信息共享、跨系统边界共享和跨体系结构组件保护等常见用例。 结果： - 在联盟信息共享期间保护传输中的数据 - 跨系统高边界保护传输中的数据 - 跨体系结构组件集成传输中的数据保护 |
Microsoft 365 将Microsoft 365用于 DoD 协作。 Microsoft 365 服务对静态和传输中的数据进行加密。 - Microsoft 365 中的加密 Microsoft Entra 外部 ID Microsoft 365 和 Microsoft Entra ID 增强了联盟共享，方便其他 DoD 租户的用户加入和管理访问。 - B2B 协作 - 保护来宾共享 配置跨租户访问和 Microsoft 云设置，以控制用户与外部组织的协作方式。 - 跨租户访问 - Microsoft 云设置 Microsoft Entra ID 治理 通过权利管理来管理外部用户访问生命周期。 - 使用权利管理的外部访问 Microsoft Defender for Cloud 使用 Defender for Cloud 持续评估并强制执行云资源的安全传输协议。 - 云安全态势管理 |
后续步骤
为 DoD 零信任 策略配置Microsoft云服务：