1.3.3　自适应安全架构3.0

2018年，ISC发布的十大安全趋势中，正式确认了持续自适应风险与可信评估（CARTA）的安全趋势，而持续自适应风险与可信评估也是自适应安全架构3.0的核心元素。自适应安全架构3.0添加的内容较多，对模型名字也进行了修改。Gartner在2017年发布的《在高级威胁的时代使用“持续自适应风险与可信评估”的方法来拥抱数字商业机会》报告中提到了持续自适应风险与可信评估，并把原有的自适应安全架构2.0升级到3.0，自适应安全架构3.0如图1-5所示。

图1-5　自适应安全架构3.0

相比于2.0版本，自适应安全架构3.0最大的变化是多了关于访问认证的防护内环，并将自适应安全架构2.0作为攻击的防护外环。自适应安全架构2.0没有考虑访问认证的安全问题，导致架构不完整。如果黑客获取了有效的认证内容，比如用户名和密码，自适应安全架构会认为此类入侵是“可信”的，这样无法做到感知威胁。

在云时代，云访问安全代理（CASB）解决了部分认证的问题，Gartner同时使用自适应安全架构的方法论对CASB的能力架构进行了全面的分析，以CASB作为原型应用到3.0总体架构中。CASB自适应架构的核心在于认证，包括云服务的发现、访问、监控和管理。

如果认证体系只是一次性认证，没有持续监控和验证，就一定存在认证信息被窃取的安全风险，因为必须对访问认证活动进行持续的监控、分析以及响应，实现认证风险的闭环管理。CASB自适应威胁保护架构如图1-6所示。

图1-6　CASB自适应威胁保护架构

自适应安全架构的变化反映出自适应安全架构3.0对于认证领域（IAM）的重视，并将攻击保护侧和访问保护侧分别定位为将试图绕过认证的恶意行为驱赶出来，让正常的、有授权的正常行为进入。

如果把内外环换个顺序，感觉会更直观一些。一般来说，系统授权的用户是接触访问后再接触内部系统。自适应安全架构的适用场景变得更为广泛，包括安全响应、数据保护、安全运营中心、双模IT、开发安全运维、物联网、供应链安全、业务持续和灾难恢复等领域。

展望自适应安全架构的未来，开发安全运维（DevSecOps）和欺骗系统（Deception System）这两个方向是自适应安全架构关注的重点，随着自适应安全架构的演变，未来很有可能把这两个方向加入自适应安全架构。开发安全运维的想法提出了很多年，对于解决安全的本质问题很有意义。目前，开发安全运维慢慢成为主流，所谓安全，就是要从系统自身出发，解决安全风险问题，也就是大家常说的“内生”安全。而欺骗系统的重要性虽然也被提出来了，但是作为边缘产品，是否能得到甲方的全面认可，还要看市场的反馈。但是在这几年攻防实战演习中，欺骗系统已经在攻防实战演习中得到应用，并取得了不错的效果。

自适应安全架构发展了5年，它的内涵和外延不断扩展，表现出了极大的生命力，无论作为安全甲方还是安全乙方，都有很大的参考价值。安全建设方可以按照此架构梳理整个组织的安全状况，构建完整的安全建设方案，尽量选择自适应能力更强的厂商来改善整体安全态势。安全厂商可以根据此架构规划功能和能力，不断增强和加深自适应的各项安全要求。