DOT&E（作戰(zhàn)試驗(yàn)和鑒定主任,，The Director, Operational Test & Evaluation）是美軍試驗(yàn)和鑒定領(lǐng)域的最高主管，由總統(tǒng)任命,，其報(bào)告直接提交給國(guó)防部長(zhǎng)和國(guó)會(huì),。
每年一度的DOT&E年度報(bào)告，是非常重量級(jí)的國(guó)防部報(bào)告,。筆者一直關(guān)注其每年對(duì)JRSS（聯(lián)合區(qū)域安全棧）項(xiàng)目的評(píng)估結(jié)論,。
JRSS（聯(lián)合區(qū)域安全棧）是美國(guó)國(guó)防部聯(lián)合信息環(huán)境（JIE）的最重要的創(chuàng)新之舉,，是一種標(biāo)準(zhǔn)化的中間層安全設(shè)備。既備受頌揚(yáng),，又屢遭指責(zé),，爭(zhēng)議不斷。自2017年被列入DOT&E年度報(bào)告以來(lái),，幾乎每年都遭到批評(píng),。盡管如此，JRSS的預(yù)算卻屢屢增加,。批評(píng)反倒成為改進(jìn)的動(dòng)力,。
在2021年1月6日最新發(fā)布的2020財(cái)年DOT&E年度報(bào)告中，關(guān)于JRSS的論調(diào)仍然與以往相似,。但不同的是，這次不是干說(shuō),，而是真做——直接關(guān)停涉密版JRSS（并沒有關(guān)停非密版JRSS）,。更重要的是，報(bào)告強(qiáng)烈地期待零信任架構(gòu)能夠替代JRSS,。由于JRSS本質(zhì)上起到了中間層安全的作用,，所以DOT&E報(bào)告是希望零信任架構(gòu)能夠承擔(dān)起國(guó)防部網(wǎng)絡(luò)的中間層安全的重任。
回顧發(fā)展歷程,，筆者推斷：盡管以往每年都批評(píng)JRSS不行,，但國(guó)防部也找不到更好的替代品，只好繼續(xù)改進(jìn)它,；而從2020年開始,，國(guó)防部終于發(fā)現(xiàn)零信任架構(gòu)有可能成功替代JRSS，并且避免JRSS的弊端,，所以開始真刀真槍地要關(guān)停JRSS了,。
筆者當(dāng)然希望，零信任架構(gòu)能夠不辱使命,。而對(duì)于JRSS的歷史地位,，筆者也還堅(jiān)持肯定的態(tài)度。因?yàn)镴RSS開創(chuàng)了美軍網(wǎng)絡(luò)中間層安全（即區(qū)域安全架構(gòu)）的先河,。當(dāng)然可以說(shuō),，它只是增加了一層網(wǎng)絡(luò)防御的縱深，沒有什么了不起,；但也可以說(shuō),，它是Gartner在2019年提出的SASE（安全訪問服務(wù)邊緣）思想的早期實(shí)現(xiàn)，也是想把安全推向子網(wǎng)/用戶的接入邊緣,。請(qǐng)記住,，國(guó)防部是在2012年提出JRSS的設(shè)計(jì)思想的。那時(shí)候，它的實(shí)現(xiàn)方式當(dāng)然是硬件,、靜態(tài),、性能不足的。而一旦Gartner說(shuō)要用零信任,、SDP,、SD-WAN等新一代技術(shù)去實(shí)現(xiàn)的時(shí)候，瞬間又包裝出一個(gè)高大上的SASE概念,。
筆者認(rèn)同JRSS,，自然也不會(huì)反對(duì)SASE。JRSS和SASE之間,，當(dāng)然不只差一個(gè)零信任,。但如果零信任技術(shù)不過(guò)關(guān)，SASE也只能是空中樓閣,。
目錄
1. JRSS創(chuàng)造的中間層安全
2. DOT&E報(bào)告中的主要結(jié)論
3. DOT&E報(bào)告中的主要建議
01
JRSS創(chuàng)造的中間層安全
本節(jié)內(nèi)容為筆者便于讀者理解而添加,，非DOT&E年度報(bào)告內(nèi)容。關(guān)于JRSS的更多信息,，請(qǐng)參見本公眾號(hào)《美軍網(wǎng)絡(luò)安全 | 第3篇：JIE聯(lián)合區(qū)域安全棧JRSS》,。
圖1-聯(lián)合區(qū)域安全棧的整體概念圖
從整體上看，JRSS的目的是要將全局性態(tài)勢(shì)感知下沉到區(qū)域一級(jí),。因?yàn)樵跊]有JRSS之前,，國(guó)防部只能通過(guò)CSAAC（網(wǎng)絡(luò)態(tài)勢(shì)感知分析云）形成國(guó)防部一級(jí)（即總部一級(jí)）的態(tài)勢(shì)感知，并看不到區(qū)域一級(jí)（或者說(shuō)是分支一級(jí)）,。所以,，JRSS成為國(guó)防部的一個(gè)重要抓手，使得國(guó)防部能夠?qū)B(tài)勢(shì)感知下探到區(qū)域一級(jí),，形成更加全面完整的可見性,。從這個(gè)角度上講：
CSAAC（網(wǎng)絡(luò)態(tài)勢(shì)感知分析云）可以類比于云端安全大腦，統(tǒng)管全局,。
JRSS（聯(lián)合區(qū)域安全棧）可以類比于區(qū)域安全大腦,，統(tǒng)管區(qū)域。國(guó)防部在全球按地域分為二十多個(gè)區(qū)域,，每個(gè)區(qū)域部署一套JRSS設(shè)備（非密版,、涉密版各一套）。JRSS并不只是傳感器,，具有很強(qiáng)的本地安全分析能力,。
總之，JRSS旨在形成集中化和標(biāo)準(zhǔn)化的區(qū)域安全架構(gòu),，而非之前在美軍各個(gè)軍事基地構(gòu)建的各自為政,、成熟度各不相同的本地化,、非標(biāo)準(zhǔn)化架構(gòu)。
從觀念上看,，JRSS的想法很先進(jìn),，只可惜其實(shí)現(xiàn)方式太老舊，難以達(dá)成其安全和性能目的,。所以,，屢遭非議。
何謂中間層（mid-tier）安全,？下圖展示得比較清楚：
圖2-JRSS部署在中間層
通過(guò)增加JRSS,，國(guó)防部網(wǎng)絡(luò)共形成三層縱深防御：1）邊界（外部邊界，如互聯(lián)網(wǎng)邊界,、商業(yè)云邊界等）,；2）中間段（JRSS）；3）飛地/端點(diǎn)（局域網(wǎng)）,。
02
DOT&E報(bào)告中的主要結(jié)論
2020財(cái)年DOT&E年度報(bào)告的主要結(jié)論如下：
1）對(duì)涉密網(wǎng)JRSS的評(píng)估效果很差,。
2020年2月，DOT&E高級(jí)網(wǎng)絡(luò)作戰(zhàn)（ACO）團(tuán)隊(duì)和國(guó)防信息系統(tǒng)局（DISA）紅隊(duì),，與聯(lián)合區(qū)域安全棧（JRSS）項(xiàng)目管理辦公室（PMO）一起,，開展了一項(xiàng)重要評(píng)估活動(dòng),。
本次活動(dòng)旨在評(píng)估SIPRNET-JRSS（S-JRSS）,、SIPRNET聯(lián)合管理網(wǎng)絡(luò)（S-JMN）和SIPRNET聯(lián)合管理系統(tǒng)（S-JMS）的網(wǎng)絡(luò)態(tài)勢(shì)。這次檢查了四個(gè)已部署,、但未實(shí)際運(yùn)行的S-JRSS堆棧的網(wǎng)絡(luò)安全狀況,。
本次評(píng)估活動(dòng)得到了糟糕的網(wǎng)絡(luò)安全調(diào)查結(jié)果，這導(dǎo)致項(xiàng)目管理辦公室（PMO）關(guān)閉了現(xiàn)有的S-JRSS,，而數(shù)字現(xiàn)代化基礎(chǔ)設(shè)施執(zhí)行委員會(huì)（DMI EXCOM）也將未來(lái)的S-JRSS部署推遲到FY23,。2020年8月，DMI執(zhí)行委員會(huì)（前聯(lián)合信息環(huán)境執(zhí)行委員會(huì)）批準(zhǔn)了2022財(cái)年的縮減開支計(jì)劃,，將S-JRSS工作推遲到2023財(cái)年,。在此期間，國(guó)防部將考慮替代的中間層（mid-tier）防御網(wǎng)絡(luò)安全解決方案,。
注：JRSS目前僅在NIPRNET（N-JRSS）上運(yùn)行,。原計(jì)劃在2016年安裝一個(gè)SIPRNET（S-JRSS）版本，其中有幾個(gè)正在安裝,，但尚未投入運(yùn)行,。
2）對(duì)非密網(wǎng)JRSS的評(píng)估結(jié)果一直不佳。
向N-JRSS的遷移仍在繼續(xù),，并不取決于運(yùn)行測(cè)試結(jié)果,。盡管DOT&E建議暫停遷移,，直到安全棧在運(yùn)行測(cè)試中顯示有效為止。自2016年以來(lái),，N-JRSS作戰(zhàn)評(píng)估不斷顯示,，N-JRSS無(wú)法幫助網(wǎng)絡(luò)防御者保護(hù)國(guó)防部組成部門的網(wǎng)絡(luò)免受實(shí)際網(wǎng)絡(luò)攻擊。
2020年1月至3月,，JRSS項(xiàng)目管理辦公室在美國(guó)大陸內(nèi)的兩個(gè)N-JRSS生產(chǎn)堆棧上,，對(duì)選定的加密流量進(jìn)行了中斷和檢查（B&I）能力的試點(diǎn)。2020年9月,，JRSS高級(jí)咨詢小組投票決定暫緩實(shí)施JRSS B&I,，直到對(duì)該能力以及如何在國(guó)防部使用該能力進(jìn)行進(jìn)一步分析。
2020年6月,，空軍停止資助第346測(cè)試中隊(duì)參與JRSS試驗(yàn),。這導(dǎo)致測(cè)試人員無(wú)法深入了解空軍的方法、優(yōu)先級(jí)和拓?fù)浣Y(jié)構(gòu),，從而降低了對(duì)空軍JRSS使用的評(píng)估效率,。
3）期待用零信任架構(gòu)取代JRSS。
國(guó)防部正在評(píng)估國(guó)防部采用以數(shù)據(jù)為中心的安全模式,，而不是傳統(tǒng)的以網(wǎng)絡(luò)為中心的安全模式,。
美國(guó)網(wǎng)絡(luò)司令部（USCC）在DOT&E評(píng)估支持下，正在幫助軍種試點(diǎn)實(shí)施零信任架構(gòu),，因?yàn)閲?guó)防部需要評(píng)估一個(gè)更加以數(shù)據(jù)為中心的安全模型,。這種新模式比JRSS目前提供的邊界防御系統(tǒng)保證了更有效的網(wǎng)絡(luò)安全。
2020年9月,，DOT&E開始了一系列驗(yàn)證活動(dòng),，以支持軍種對(duì)USCC零信任試點(diǎn)進(jìn)行的網(wǎng)絡(luò)安全評(píng)估。DOT&E正在通過(guò)一系列驗(yàn)證活動(dòng)幫助評(píng)估網(wǎng)絡(luò)安全,，USCC零信任試點(diǎn)的結(jié)果將用于指導(dǎo)未來(lái)中間層安全（mid-tier security）的發(fā)展方向,。
在國(guó)防部將用戶遷移到零信任環(huán)境（通常通過(guò)軟件定義邊界（SDP）能力實(shí)現(xiàn)）之前，需要修改N-JRSS的概念,、設(shè)計(jì)和使用,，以有效、適當(dāng)?shù)刂С趾图傻椒烙W(wǎng)絡(luò)任務(wù)中,。
03
DOT&E報(bào)告中的主要建議
1）國(guó)防部首席信息官（CIO）和國(guó)防部組成部門應(yīng)：
繼續(xù)開發(fā)更加有效的網(wǎng)絡(luò)安全替代方案以替代JRSS,，例如軍種正在進(jìn)行的實(shí)施零信任架構(gòu)的試點(diǎn)工作，并更加注重發(fā)展和維持一支訓(xùn)練有素的防御性網(wǎng)絡(luò)工作隊(duì)伍,。
如果零信任架構(gòu)被證明是可行的,，那么應(yīng)該完全放棄S-JRSS運(yùn)行。
停止將新用戶遷移到JRSS,，直到該系統(tǒng)證明其能夠幫助網(wǎng)絡(luò)防御者檢測(cè)和應(yīng)對(duì)現(xiàn)實(shí)運(yùn)行的網(wǎng)絡(luò)攻擊,，直到USCC,、國(guó)防部CIO、國(guó)防部首席網(wǎng)絡(luò)顧問和外部顧問的中間層網(wǎng)絡(luò)安全分析,，能夠告知未來(lái)方向,。
在USCC和DOD CIO分析如何在DODIN中最佳利用和實(shí)施流量檢查能力時(shí)，重新評(píng)估N-JRSS B&I的功能需求,。
優(yōu)先考慮培訓(xùn),、系統(tǒng)可用性和操作員熟練程度，而不是滿足遷移時(shí)間表的最后期限,。
2）JRSS PMO,、DISA Global、國(guó)防部組成部門應(yīng)：
繼續(xù)關(guān)注培訓(xùn)和SOP開發(fā),。
操作員培訓(xùn)是任務(wù)成功的一個(gè)重要因素,，作為COVID-19響應(yīng)的一部分，最近的最低人員配置變化使得操作員的能力更加重要,。
3）DISA和國(guó)防部組成部門應(yīng)：
驗(yàn)證JRSS操作員的能力和培訓(xùn),，以便在新用戶遷移之前正確配置和使用JRSS服務(wù)。
4）DISA（JRSS PMO）,、國(guó)防部組成部門和JITC應(yīng)：
與軍種網(wǎng)絡(luò)司令部和作戰(zhàn)部隊(duì)協(xié)調(diào),，確定真實(shí)世界的測(cè)試指標(biāo)和數(shù)據(jù)源，以支持遠(yuǎn)程評(píng)估和補(bǔ)充作戰(zhàn)測(cè)試數(shù)據(jù),。
5）空軍應(yīng)：
考慮恢復(fù)346測(cè)試中隊(duì)的JRSS測(cè)試資金,，以代表空軍繼續(xù)進(jìn)行JRSS性能評(píng)估。