前言

隨著網路威脅情勢日益嚴峻，傳統的邊界防禦模式已不足以保護複雜的現代資訊系統。美國網路安全和基礎設施安全局（CISA）為此積極推動零信任（Zero Trust）架構的普及。近期，CISA 發布了一系列名為**「零信任之旅」的指南，特別聚焦於微切分（Microsegmentation）**的實施，旨在協助聯邦政府機構加速採用零信任策略，從而顯著提升其網路安全韌性。這一舉措不僅對美國聯邦機構具有指導意義，也為全球各組織，特別是關鍵基礎設施和工業控制系統（ICS）領域，提供了寶貴的實踐參考。

 

零信任原則的重新定義與其重要性

零信任並非單一技術，而是一種「永不信任，總是驗證」的網路安全模型。它顛覆了傳統上信任內部網路、不信任外部網路的假設。在零信任模式下，所有使用者、設備和應用程式在每次存取資源時都必須經過嚴格驗證，即使是已經在網路內部的實體也不例外。這種模型的核心理念是，不再有預設的「信任區」，每個存取請求都必須被視為潛在威脅，並在最低權限原則下被授予最小的存取權限。CISA 推動零信任，是因為意識到當前網路環境的複雜性：

1. 移動性與遠端工作普及： 隨著遠端工作和雲端服務的興起，企業網路邊界日益模糊，傳統的周邊防禦形同虛設。
2. 供應鏈攻擊頻繁： 供應鏈中的任何一個環節都可能成為攻擊點，導致惡意軟體滲透到內部網路。
3. 內部威脅不容忽視： 惡意內部人員或被入侵的帳戶可能對組織造成嚴重損害。
4. 物聯網（IoT）和操作技術（OT）的融合： 大量連網設備和工業系統的加入，擴大了攻擊面，傳統IT安全措施難以完全適用。

零信任透過持續驗證、最低權限存取和細粒度控制，旨在顯著降低數據洩露、橫向移動和特權提升的風險，從而全面提升組織的網路防禦能力。

微切分：零信任部署的關鍵基石

在「零信任之旅」系列指南中，微切分被CISA視為實現零信任架構的關鍵啟用技術（key enabler）。微切分是一種網路安全實踐，它將資料中心和雲端環境中的網路分成許多小段，每個應用程式、工作負載甚至單個設備都被分配到其獨立的、邏密的「微區段」。每個微區段之間都設有獨立的安全策略和防火牆規則，即使攻擊者突破了一個微區段，也難以橫向移動到其他區段。
相較於傳統的網路分段（Network Segmentation），微切分提供了更細粒度的控制：

1. 傳統分段： 通常基於VLAN或子網，將網路劃分為較大的邏輯區塊，如伺服器區、用戶區等。一旦攻擊者進入某個區塊，即可在該區塊內自由移動。
2. 微切分： 將安全邊界推至每個工作負載或應用程式的層級。即使是同一VLAN或子網內的兩個虛擬機，也可以透過微切分實現彼此隔離，並強制其流量通過安全策略引擎進行檢查。

CISA 強調微切分在零信任中的核心作用，主要基於以下幾點：

1. 限制橫向移動： 這是微切分最直接且最重要的優勢。即使一個應用程式或設備被入侵，攻擊者也難以利用其作為跳板橫向移動到網路中的其他關鍵資產，從而將損害限制在最小範圍內。
2. 增強可視性與控制： 微切分要求組織對網路中的所有流量進行詳細分析，了解每個工作負載的通訊模式。這有助於建立更精確的存取控制策略，並提供前所未有的網路可視性。
3. 簡化合規性： 對於需要遵守嚴格法規（如NIST、HIPAA、GDPR等）的聯邦機構而言，微切分有助於證明數據的隔離和保護，簡化合規性審計。
4. 支援動態環境： 雲端和虛擬化環境的動態特性使得傳統基於IP的防火牆規則難以管理。微切分可以基於應用程式身份、工作負載屬性等動態定義策略，更好地適應現代IT環境。
5. 保護關鍵OT/ICS系統： 對於與聯邦機構營運密切相關的OT和ICS系統，微切分尤為重要。這些系統通常包含許多老舊、難以修補的設備，且停機成本極高。透過微切分，即使OT設備存在漏洞，也能將其隔離在獨立的安全區域內，防止攻擊影響生產。

CISA「零信任之旅」系列指南的內容與影響

CISA 的「零信任之旅」系列指南旨在為聯邦機構提供一份清晰、可執行的藍圖，以推進零信任架構的實施。該指南涵蓋了零信任策略的各個方面，包括身份識別、裝置、應用程式與工作負載、數據以及網路等五大支柱。其中，微切分被定位為網路支柱中的核心策略，提供了詳細的實施步驟和最佳實踐。指南可能涵蓋以下內容：

1. 評估現狀： 協助機構評估其當前的網路安全態勢，識別零信任實施的差距和挑戰。
2. 策略規劃： 提供制定零信任策略的框架，包括目標設定、預算分配和資源規劃。
3. 技術實施： 針對微切分等關鍵技術，提供具體的部署建議、工具選擇指南和常見問題解決方案。這可能包括如何選擇微切分供應商、如何定義和實施策略、以及如何監控和維護微切分環境。
4. 人員與流程： 強調零信任不僅是技術問題，更需要組織文化和流程的轉變。指南可能包含員工培訓、安全意識提升和事件響應流程的建議。
5. OT/ICS 整合： 由於工業控制系統的特殊性，指南可能特別提出針對OT環境實施微切分的考量，例如如何保護SCADA系統、PLC和RTU等設備，同時確保營運的連續性。這對於保護關鍵基礎設施，如電網、水處理系統和交通網路，具有至關重要的意義。

這些指南的發布，對聯邦機構而言，意味著在零信任轉型過程中有了更明確的指導方向和實用工具。對於網路安全產業，這將刺激相關技術和服務的創新與需求。特別是微切分技術供應商將迎來新的市場機遇。

微切分部署的挑戰與克服

儘管微切分帶來巨大優勢，但其部署並非沒有挑戰：

1. 複雜性管理： 將大型網路切分為數千甚至數萬個微區段，其策略定義和管理可能會非常複雜。組織需要具備強大的策略管理工具和自動化能力。
2. 應用程式依賴性分析： 成功實施微切分的前提是精確了解每個應用程式、服務和工作負載之間的通訊依賴關係。這通常需要深入的網路流量分析和應用程式映射。
3. 既有系統整合： 對於擁有大量傳統、老舊（Legacy）系統的機構，將微切分技術與現有基礎設施整合可能面臨技術和營運上的困難。
4. 效能考量： 過於嚴格的微切分策略可能對網路效能產生影響，需要仔細權衡安全與效能之間的平衡。
5. 人員技能： 實施和維護微切分需要具備相應專業知識的安全人員，這對許多機構來說是一個挑戰。

CISA 的指南正是為了幫助機構克服這些挑戰。指南可能建議採用逐步實施的方法，從關鍵資產或較小的應用程式群組開始進行微切分，逐步擴大部署範圍。同時，鼓勵利用自動化工具來簡化策略管理和依賴性發現，並強調持續監控和調整策略的重要性。

對台灣和全球的啟示

CISA 作為全球領先的網路安全機構之一，其對零信任和微切分的推動，對台灣乃至全球各國政府和企業都具有重要參考價值。台灣正積極推動數位韌性策略，而零信任架構正是其中不可或缺的一環。特別是對於台灣的半導體、高科技製造業以及電力、通訊等關鍵基礎設施領域，其OT和ICS系統面臨日益複雜的網路威脅。CISA 的指南提供了一套經過驗證的實施框架，台灣的政府機構和企業可以借鑒：

1. 優先部署微切分： 認知到微切分作為零信任核心啟用技術的重要性，並將其納入資安建設的優先事項。
2. 加強OT/ICS安全： 將微切分應用於關鍵工業控制系統，即使老舊設備存在漏洞，也能透過隔離有效防禦橫向移動攻擊。
3. 培育專業人才： 投入資源培訓具備零信任和微切分實施能力的資安專業人才。
4. 發展本土解決方案： 鼓勵本土資安企業發展符合零信任原則和微切分需求的產品和服務。
5. 公私部門協作： 借鑒 CISA 模式，促進政府與民間資安業者之間的合作，共同應對網路威脅。

總之，CISA 發布的「零信任之旅」系列指南，特別是其對微切分的強調，為各組織在複雜的網路環境中建立更具韌性的防禦體系提供了清晰路徑。這不僅是技術層面的革新，更是安全思維的根本轉變，旨在從根本上提升面對日益增長網路威脅的防禦能力。