合规后连接：借助F5奠定零信任基础

F5生态系统 | 2025年6月17日

美国国防部（DoD）通过“合规后连接”（C2C）框架，在保护全球规模庞大且高度敏感的网络之一——国防部信息网络（DoDIN）方面迈出了重要一步。DoDIN覆盖15,000多个非密、涉密及云环境，每天面临近8亿起网络安全事件。C2C是美国国防部零信任进程中的一项基础性举措，旨在确保全面了解并保护连接到这一庞大网络的所有传统和非传统资产。

通过实施最小权限访问等零信任原则，C2C可识别、验证和评估所有设备及用户，同时实现修复和持续监控等安全功能的自动化。DoD旨在借助C2C，摆脱以勾选检查项为导向的战备模式，转向可持续的自动化网络安全方法。各军事基地的网络战备检查评分有所提高，运营效率也得到提升，这表明C2C已产生切实影响。

C2C不仅是一个框架，更推动美国国防部（DoD）从根本上转变关键基础设施的防御方式。随着全球网络威胁不断加剧，混合环境中的访问管理也日益复杂，C2C如今比以往任何时候都更加重要。它为实施更智能、更有效且符合零信任原则的安全措施奠定了基础。

“采用C2C和零信任，需要一个全面的解决方案生态系统，以满足设备可见性、安全访问和应用保护需求，而这正是F5所能提供的。”

合规后连接面临的挑战

美国国防部（DoD）在实施C2C的过程中面临诸多挑战。其中一个亟待解决的障碍是国防部信息网络（DoDIN）规模庞大且结构复杂。要管理如此庞大的企业网络的安全，需要使用先进工具来监控广泛的设备和系统、实现自动化并保障其安全，其中包括工业控制系统、物流平台和运营技术。

另一个重大挑战是与访问相关的安全事件日益增多，因此可信访问解决方案至关重要。攻击者越来越多地利用加密流量隐藏恶意载荷，进一步增加了复杂性。

最后，要确保在零信任框架下快速采用C2C，需要与现有系统无缝集成、实施稳健的加密策略并统一执行策略。各机构必须克服这些障碍，才能获得成功实施零信任所需的可见性和安全自动化能力。

F5如何助力C2C和零信任

采用零信任需要构建全面的解决方案生态系统，涵盖设备可见性、安全访问和应用保护，而这正是F5能够提供的。借助F5的专业能力，各机构可以应对C2C实施挑战，同时针对各种潜在入口点和攻击面提升网络安全成熟度。

1. 端点：使用F5 BIG-IP Access Policy Manager (APM)实现可信应用访问

访问控制是零信任的关键支柱。BIG-IP APM可简化并集中管理对云端和本地环境中应用、API及数据的访问。它提供现代身份验证、单点登录（SSO）和一致的用户体验，所有这些功能均由F5 BIG-IP Identity Aware Proxy（IAP）提供的更强大安全框架支持。对于联邦机构，BIG-IP APM可通过显示自定义警告横幅、支持强凭据以及查询用户属性来增强访问验证，从而实施最小权限访问。

此外，BIG-IP APM提供高级客户端完整性检查，确保端点符合基于主机的安全系统（HBSS）等政府安全标准，并验证是否使用政府配发设备（GFE）。这种综合方法可帮助机构防范未经授权的访问并提升端点安全性，而端点安全是C2C计划1的关键环节。

身份感知代理（IAP）旨在通过提供零信任应用访问来减少对VPN的需求。它充当反向代理，可能包含浏览器扩展，但除此之外无需客户端。IAP支持对所有应用进行精细的访问控制，并同时支持受管和非受管设备。这不仅涉及第7层访问控制列表（ACL），还提供可与外部工具集成的精细控制，以根据上下文授予或拒绝访问权限。

IAP还可衔接现代和传统身份验证方法，支持多重身份验证（MFA），并为传统身份验证（例如基于标头的身份验证）、OAuth 2.0、SAML 2.0和FIDO2（U2F）提供单点登录（SSO）。它提供高水平的按应用SSL、VPN和零信任应用访问能力，可通过统一界面管理所有应用。通过集成Microsoft合规性检索服务（Microsoft Intune MDM）并支持Microsoft Graph API，其功能得到进一步增强。

2. 身份服务与集成合作伙伴关系

零信任以身份验证为基础，F5解决方案可与Microsoft、Okta和Ping等可信提供商无缝集成。这种合作可增强关键任务应用、SaaS平台和云服务的身份服务，提供统一且安全的用户体验。通过弥合不同环境之间的身份管理缺口，F5可帮助机构保持强大且可扩展的零信任能力。

F5 BIG-IP可与主流移动设备管理（MDM）和企业移动管理（EMM）解决方案集成，包括VMware Horizon ONE (AirWatch)、Microsoft Intune和IBM MaaS360。

在实施方面，F5提供API和配置选项，可与这些MDM平台进行深度集成，确保只有合规且受管理的设备才能通过Identity Aware Proxy功能访问企业资源。F5集成提供以下功能：

在授予资源访问权限前，通过MDM解决方案检查设备合规状态，以评估设备安全状况
实时验证移动设备注册状态
强制执行MDM平台提供的访问策略
端到端策略和管理控制

与AirWatch、MaaS360或Intune等移动设备管理（MDM）系统集成时，边缘客户端会与BIG-IP APM建立VPN连接，端点管理系统则负责管理设备详细信息并将其发送至BIG-IP APM。

3. 应用：为关键任务应用提供第7层安全防护

随着组织管理的应用数量达到数百个，应用层安全比以往任何时候都更加重要。F5提供先进的Web Application Firewall (WAF)解决方案，可防御多种威胁，包括第7层分布式拒绝服务（DDoS）攻击、API攻击和基于凭据的漏洞利用。通过持续应用行为分析，帮助应用保持健康和安全，并保护关键任务应用和云应用，为机构的零信任战略提供支持。

4. 网络基础设施：保护加密流量

随着SSL/TLS加密成为标准，恶意行为者经常利用加密来掩盖攻击。为此，F5提供SSL可视性解决方案，可对流量进行解密和加密、消除盲区，并在整个安全链中实施基于策略的编排。通过保护入站和出站加密流量，F5帮助机构增强可视性，同时防止威胁绕过安全控制，与C2C和零信任的目标高度契合。