随着万物互联时代的到来，数字化转型成为了企业级市场的重要关键词。数字化转型给企业带来颠覆型改变的同时，也使得网络安全发生了前所未有的变化和挑战。面对日益严峻的网络安全威胁，企业信息系统正处于持续风险状态中，传统的安全防护体系已经难以应对新的威胁和攻击。在此背景下，可实现主动防御与持续响应的自适应安全架构（Adaptive Security Architecture, ASA）应运而生。
一、自适应安全架构的发展历程
（1）自适应安全架构1.0
2014年，Gartner针对高级定向攻击和当时市场上的安全产品偏重防御和边界的问题，设计了下一代安全防护平台——自适应安全架构。与传统依托纵深防御和边界的安全产品不同的是，该架构不再被动地进行防御与应急响应，而是加强检测与动态响应能力，以及持续地监控和分析，同时也引入了全新的预测能力。构成了防御、检测、响应以及预测的安全防控流程闭环。
2016年，自适应安全架构在全球范围内得到了广泛认可，很多安全公司的产品都针对此架构进行了演进。在2016年Gartner发布的十大战略科技趋势中，自适应安全架构首次名列其中。从自适应安全架构的提出到初步受到广泛关注，2014年到2016年可以定义为“自适应安全架构1.0时期”。自适应安全架构1.0的示意图如下图所示：
（2）自适应安全架构2.0
2017年，自适应安全架构进入2.0时期，在1.0的基础上进行了相关的理论丰富，自适应架构2.0的示意图如下图所示：
与自适应安全架构1.0相比，自适应安全架构2.0的主要变化包括：加入了用户和实体行为分析模块（User and Entity Behavior Analytics, UEBA）；在四个模块间的大循环闭环体系不变的同时，在各自的模块中引入小的循环体系以表示每个模块所承担的角色功能；在大循环中加入了策略与合规的要求，进一步提升了自适应安全架构的普适性。
（3）自适应安全架构3.0
在2018年Gartner的十大安全趋势中，正式确认了持续自适应风险与信任评估（Continuous Adaptive Risk and Trust Assessment, CARTA）的安全体系，该体系被普遍认为是自适应安全架构3.0。与自适应安全架构2.0相比，新提出的CARTA体系中新增了关于访问的保护内环，将2.0的架构作为攻击的保护外环，同时还将云访问安全代理（Cloud Access Security Broker, CASB）迁移到了总体架构中。自适应安全架构3.0无论是自适应的认证鉴权体系还是安全防御体系均形成了闭环，其示意图如下图所示：
CARTA在2019年再次被列入十大安全项目，也是Gartner主推的一种应对当前及未来安全趋势的先进战略方法。
二、CARTA战略方法简介
持续自适应风险与信任评估强调对风险和信任的评估分析，这个分析的过程就是一个权衡的过程。CARTA告别了传统安全门式允许/阻断的处置方式，旨在通过动态智能分析来评估用户行为，放弃追求完美的安全，不要求零风险，不要求100%信任，而是寻求一种0和1之间的风险与信任的平衡。
CARTA的核心思想就是对“风险”与“信任”两个要素进行持续地、自适应地评估。
“风险”是指判定网络中的安全风险，包括判定攻击、漏洞、违规、异常等等。持续自适应风险评估是从防护的角度看问题，力图识别出“坏人”（攻击、漏洞、威胁等）；
“信任”是指判定身份，进行访问控制。持续自适应信任评估是从访问控制的角度看问题，力图识别出“好人”（授权、认证、访问等）；
“持续”是指对风险和信任的判断过程是持续不断、反复多次进行的；
“自适应”是一种能够针对环境的改变从而自动变更策略的能力。
CARTA战略是一个庞大的体系，其包括大数据、AI、机器学习、自动化、行为分析、威胁检测、安全防护、安全评估等方面，集主流技术于一体打造出一个自适应和自判断的安全防护平台。
三、CARTA理论的实践
CARTA结合了零信任网络访问、开发安全运营一体化（DevSecOps）的理念，通过UEBA、漏洞管理、威胁情报等技术进行持续的数据分析和监控，从而保障企业的总体风险在可接受水平。
CARTA在战略方法中强调，在交互过程中需要进行风险管理，不断地监视和评估风险信任级别，如果发现信任下降或者风险增加到了阈值，需要进行响应，及时地调整访问策略。Gartner在CARTA的落地方面给出了七点建议，如下图所示：
采用CARTA战略方法需要对人员、流程和安全基础设施进行重大改变，这也是CARTA落地实施的一个难点所在。
四、小结
依托Gartner提出的CARTA模型，可以有效地提高企业的风险管理能力，帮助企业构建自适应的安全运营防护能力和响应体系流程，营造更为安全的网络空间环境。自适应安全架构发布后，有较多企业按照此架构来搭建自身的产品体系。作为自适应安全架构演进后形成的一个新概念，CARTA十分复杂和庞大，面对涵盖了如此多技术的CARTA战略体系，应该怎样实现理论到实践的落地？ 欢迎联系探讨~
本文部分信息来源出处：《自适应安全架构的历史和演进》、《CARTA：持续自适应风险与信任评估》
