2026-05-11 08:52:08 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

文章总结： 本文解析CISSPOSG10中Domain1新增的三大核心主题：威胁情报（含CTI四层模型及ATT&CK框架应用）、供应链安全（强调SBOM和第三方风险评估）与零信任架构（基于NIST模型的实施路径）。内容涵盖各主题核心原则、企业落地步骤及三者协同关系，并提供实操评估清单，帮助构建主动防御体系。 综合评分： 85 文章分类： 技术标准,安全建设,解决方案,威胁情报,供应链安全

cover_image

【OSG10新增】Domain 1 威胁情报、供应链安全与零信任架构

原创

CISSP Learning CISSP Learning

CISSP Learning

2026年5月6日 09:11 浙江

在小说阅读器读本章

去阅读

2025-2026年CISSP考试已全面向OSG10（第十版）过渡，Domain 1（安全与风险管理）作为CBK最大的知识域，新增了大量现代安全实践内容。本文聚焦三大核心主题：威胁情报（Threat Intelligence）、供应链安全（Supply Chain Security）与零信任架构（Zero Trust Architecture），解析其在OSG10中的新增要点及企业落地路径。

──────────────────────────────

一、CIA三元组：安全基础再梳理

CISSP Domain 1的根基是CIA三元组（保密性、完整性、可用性），OSG10在此处做了更细致的阐述：

保密性（Confidentiality）：防止未授权数据泄露。敏感信息的泄露不一定来自攻击，人员疏忽或配置错误同样会导致。应对措施包括加密、严格访问控制、数据分类与人员培训。

完整性（Integrity）：保护数据可靠性与正确性，防止未授权修改。完整性的三个视角：防止未授权主体修改、防止授权主体未授权错误、维护内外一致性。

可用性（Availability）：授权主体及时且不间断访问资源。支持性措施包括冗余设计、备份系统、容错基础设施。

OSG10新增了对真实性和不可否认性的强调，信息安全五大支柱在云计算和AI时代有了新的内涵。

二、威胁情报（Threat Intelligence）

什么是威胁情报？

威胁情报是已收集、处理、分析并可用的关于现有或新兴威胁的信息，帮助组织理解攻击者能力、动机和攻击路径，从而做出更快、更有效的安全决策。

网络威胁情报（CTI）层次模型

OSG10引用了成熟的CTI四层模型：

框架对比：MITRE ATT&CK vs Cyber Kill Chain

OSG10详述了两个主流框架：

MITRE ATT&CK Framework：以战术为列、企业为行的矩阵，覆盖从初始访问到数据窃取的完整攻击生命周期。相较于传统Kill Chain，ATT&CK更注重细化到具体TTP（战术、技术和程序），适合红蓝对抗演练和检测规则编写。

Cyber Kill Chain（网络杀伤链）：洛克希德·马丁提出的七阶段模型（侦察→武器化→投递→利用→安装→命令控制→目标达成），更适合战略层面的威胁建模。

企业应将两者结合：Kill Chain用于宏观攻击阶段判断，ATT&CK用于微观检测粒度设计。

威胁情报生命周期

CTI遵循”规划→收集→处理→分析→分发→反馈”的闭环流程。OSG10强调，威胁情报的价值不在于收集数量，而在于情报质量、及时性和可操作性。虚假或过时的情报不仅无益，还可能误导安全团队。

三、供应链安全（Supply Chain Security）

供应链安全为何至关重要

现代企业极少从零构建全部IT系统，大量依赖第三方组件、开源库、云服务和外包服务。SolarWinds事件（2020）和Log4Shell漏洞（2021）深刻说明：供应链的任何一个薄弱环节，都可以成为攻击者的突破口。OSG10在供应链安全部分做了大幅扩展，引入了多项实操性极强的控制措施。

软件物料清单（SBOM）

SBOM（Software Bill of Materials）是软件组件及其供应链关系的正式声明。类似于制造业的零部件清单，SBOM让采购方能够：

·• 快速确认是否受某漏洞影响（如Log4Shell）

·• 评估供应商代码质量

·• 满足合规要求（美国行政令EO 14028已强制要求联邦合同供应商提供SBOM）

OSG10指出，SBOM的普及将是软件采购的基本要求。

第三方安全评估

OSG10提出的关键评估维度：

·最低安全要求（Minimum Security Requirements）：供应商必须满足的基线安全标准

·服务级别协议（SLA）：明确安全责任、响应时间、违约处理

·第三方评估与监控：定期审计、渗透测试、渗透测试报告审查

·外包风险管理：离岸数据处理、主权法律风险、合同终止数据清理

芯片级根信任与物理不可克隆功能

OSG10新增了硬件级供应链安全概念：

·根信任（Root of Trust）：在硬件或固件层面建立可信启动链，确保系统从开机起即处于可信状态。

·物理不可克隆功能（PUF, Physical Unclonable Function）：利用芯片制造过程中的物理差异生成唯一”指纹”，用于设备身份认证，防止克隆或伪造硬件。

这些技术在IoT安全和硬件根证书场景中价值凸显。

供应商分层管理

OSG10建议按关键程度对供应商分级：

四、零信任架构（Zero Trust Architecture, ZTA）

零信任的核心原则

零信任不是一款产品，而是一种安全架构范式。OSG10明确其三大核心原则：

1.永不信任，始终验证（Never Trust, Always Verify）：无论流量来自内网还是外网，均需验证身份和授权

2.最小权限原则（Least Privilege）：用户和程序仅获得完成任务所需的最小权限

3.假设已被攻陷（Assume Breach）：安全设计假设攻击者已在内部，需通过微隔离和持续监控限制横向移动

传统边界防护 vs 零信任

NIST ZTA模型

OSG10参考了NIST SP 800-207定义的零信任架构核心逻辑：

·身份驱动：所有访问决策基于身份、设备状态、数据分类和上下文

·微隔离（Micro-segmentation）：将网络划分为细粒度段，每个段独立访问控制

·软件定义边界（SDP）：通过加密隧道和动态策略实现一对一连接，而非暴露端口

企业落地步骤

OSG10建议分阶段实施ZTA：

·第一阶段（基础）：实施强身份认证（MFA/Passwordless）+ 特权访问管理（PAM）+ 最小权限原则

·第二阶段（深化）：网络微隔离（划分安全区段）+ 日志集中与SIEM + 持续监控

·第三阶段（成熟）：SDP替换VPN + 设备信任评估（终端检测响应EDR联动）+ 数据分类与标签

ZTA与零信任网络架构（ZTNA）的区别

ZTNA（Zero Trust Network Access）是实现ZTA的一种技术方案（Google BeyondCorp属于此类）。ZTNA 不等于ZTA，零信任架构还包括数据层面（CASB）、身份层面（IdP）、设备层面（MDM）等的协同整合。

五、三者的关联与实战整合

这三者在OSG10中并非孤立，而是相互支撑：

·威胁情报：为ZTA提供上下文：ATT&CK框架让组织了解当前威胁态势，从而精准配置ZTA策略

·供应链安全：是ZTA的外延：即使内部零信任，如果第三方供应商存在短板，攻击者仍可绕过

·ZTA：是威胁情报和供应链安全的最终目标：所有控制措施最终服务于构建持续验证的弹性安全架构

企业评估清单

威胁情报

·• 是否建立了战略/运营/战术/技术四层CTI体系？

·• 是否使用MITRE ATT&CK框架进行威胁建模？

·• 情报生命周期是否形成闭环？

供应链安全

·• 供应商是否要求提供SBOM？

·• 是否对关键供应商进行年度安全评估？

·• 是否监控供应商的数据主权和离岸风险？

零信任架构

·• 是否实现了MFA覆盖（尤其特权账户）？

·• 网络是否已做微隔离？

·• 是否从VPN逐步向ZTNA迁移？

OSG10对Domain 1的扩展反映了当前网络安全领域的核心趋势：从被动防御走向主动防御，从边界防护走向全面身份化、持续验证化的安全架构。威胁情报让组织知己知彼，供应链安全堵住外敌渗透的暗道，零信任架构则从根本上重构信任模型。三者合力，构成现代企业安全运营的基础骨架。

下一篇文章我们将聚焦Domain 1的其他新增内容：风险管理框架（RMF）与合规治理，敬请关注。

免责声明：本文仅供学习交流，内容基于CISSP官方学习指南（OSG第十版）及公开资料整理，如有问题欢迎指正。

本公众号各类文章仅供学习交流之用！

更多资料获取，请加入【CISSP Learning】知识星球

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：CISSP Learning CISSP Learning CISSP Learning《【OSG10新增】Domain 1 威胁情报、供应链安全与零信任架构》