蘭德公司發(fā)布

衡量網(wǎng)絡(luò)安全和網(wǎng)絡(luò)彈性報告

作者：學(xué)術(shù)plus評論員  臨風(fēng)

網(wǎng)絡(luò)環(huán)境是動態(tài)和復(fù)雜的，威脅無處不在，而且也沒有一套基本的“自然法則”支配控制著網(wǎng)絡(luò)領(lǐng)域。在紅方（攻擊方）和藍方（防守方）兩方網(wǎng)絡(luò)行動的背景下來定義網(wǎng)絡(luò)指標將是一個卓有成效的方法。

為方便閱讀，紅方下文用R代表，藍方下文用B代表。

R的戰(zhàn)略和戰(zhàn)術(shù)將由其對B采取的的方式和弱點的評估結(jié)果來決定。同樣，B的選擇的應(yīng)對姿態(tài)也會受其對R威脅的預(yù)測所左右，兩者都將不斷發(fā)展。無論多么小心，B的任何先見之明都不足以預(yù)見到R在未來可能采取的所有行動。B需要使用基于已知最佳實踐（網(wǎng)絡(luò)安全）的“靜態(tài)”對策，以及實時響應(yīng)R的自適應(yīng)（網(wǎng)絡(luò)彈性）“動態(tài)”措施。網(wǎng)絡(luò)指標的這兩個維度都需要跨越實施計劃的幾乎整個范圍，以捕獲所有關(guān)注點。

為了衡量一個任務(wù)或系統(tǒng)在網(wǎng)絡(luò)競爭環(huán)境中的生存能力和有效性，我們必須了解R網(wǎng)絡(luò)行動的反擊程度。因此，網(wǎng)絡(luò)度量的重點必須是估計R的成功或失敗，而不是B可能嘗試的具體對策。當然，B的反制措施很重要，但它們的重要性是作為一種手段來達到阻止或挫敗R的目的。專注于符合B候選對策列表的網(wǎng)絡(luò)指標無法表明這些措施是否有效、適當實施或足夠全面以阻止R。因此，遵約辦法是不夠的。此外，不存在滿足這些需求的“儀表板”形式的簡單度量集。（注：這里的“儀表板”可能用來形容形式比較單一固定的指標模式，歡迎大家留言溝通?。?/p>

該框架在一定程度上可以作出這種推論：一個領(lǐng)域的優(yōu)勢可能部分抵消另一個領(lǐng)域的劣勢。更多的討論集中在如何以有助于支持決策的方式對這些指標進行評分。這些指標旨在支持項目辦公室和授權(quán)官員進行風(fēng)險管理和定義需求，包括運營需求和合同中使用的更詳細的系統(tǒng)設(shè)計需求，后者通常稱為衍生需求。

鑒于其復(fù)雜性，需要非常廣泛的網(wǎng)絡(luò)指標來監(jiān)控工作層面的活動?；诰W(wǎng)絡(luò)攻擊路徑的這些指標的框架，受兩人博弈范式的推動，既提供了確保指標全面的方法，也提供了關(guān)于程度的度量方法。

（一）框架和指標

采用工作級網(wǎng)絡(luò)指標框架，重點是阻止R的網(wǎng)絡(luò)操作。R必須執(zhí)行網(wǎng)絡(luò)攻擊路徑才能成功的進行網(wǎng)絡(luò)攻擊。該攻擊路徑包括訪問目標系統(tǒng)、獲取目標信息以實施攻擊、開發(fā)執(zhí)行攻擊所需能力，確定在執(zhí)行和平或戰(zhàn)時任務(wù)中起著重要作用的攻擊目標。這四項活動不一定要按這個順序進行，并且可能會在時間上有重疊。這四個活動可以進一步劃分。例如，訪問系統(tǒng)的需求可以通過供應(yīng)鏈、進入系統(tǒng)的數(shù)據(jù)通道等來實現(xiàn)。每個方法又都可以進一步細分。例如，供應(yīng)鏈可以滲透在設(shè)計、制造、運輸和儲存、維護和處置過程中。R攻擊元素的完全分解描述了度量內(nèi)容，即B反擊每一個R攻擊的能力。

B可以通過大量復(fù)雜的反制措施來回應(yīng)R的行動，所以說，試圖列出所有可能的反制措施是徒勞的。B采取的對策最好在技術(shù)知識所在的工作層面上制定。任何潛在的對策清單，如國家標準技術(shù)研究所建議的控制措施，都應(yīng)作為補充工作層面的反R工作指導(dǎo)。通過專注于R行動來反擊，可以提供一個天然的框架，確保工作層面的網(wǎng)絡(luò)指標足夠全面（即，是否涵蓋所有潛在的R行動），并可判斷多少是足夠的。后者的一個例子是R攻擊路徑分解的布爾結(jié)構(gòu)。

R需要擁有訪問權(quán)限、知識、能力和效果。這四個部分通過布爾語句相互關(guān)聯(lián)。打擊四個中的任何一個都可以挫敗R。通常，對于由布爾和語句關(guān)聯(lián)的R部分，從B的角度來看，采取的總體對策需要達到針對所有部分都最優(yōu)才可以。因為，R可以通過供應(yīng)鏈、標準數(shù)據(jù)路徑或內(nèi)部人員來獲取訪問權(quán)限，而B必須阻止所有的這些才能成功。對于與布爾或語句關(guān)聯(lián)的R部分，從B的角度來看，總體對策需要選擇達到其中一個最優(yōu)就可以了。例如，在攻擊路徑的知識部分，R必須獲得必要的知識，并且該知識必須保持最新。B在阻止R獲取所需知識方面，可以通過使該知識轉(zhuǎn)瞬即逝（例如，通過改變系統(tǒng)配置）來部分抵消。

（二）評估方法

評估可以在三個層次進行:(1)自我評估，主要由項目辦公室和業(yè)務(wù)部門進行;(2)外部各方評估，主要是項目執(zhí)行官員、授權(quán)官員和測試團體對這些評估進行驗證;(3)任務(wù)級評估，合并系統(tǒng)一級的評價。

最重要的產(chǎn)品是工作級別上的評估，它記錄了為應(yīng)對每一個R活動所做的工作。技術(shù)和操作細節(jié)就在這個層次上。這個級別必須做最詳細的評估來記錄B的對抗措施和效果。但是，領(lǐng)導(dǎo)需要看到的是工作級別報告評估的匯總。這種匯總對于獲得更廣泛的任務(wù)視圖是必要的，而不需要審查在工作級別生成的所有工作。我們推薦的成熟度指數(shù)，如表所示。

對每個R行動向量的成熟度指數(shù)進行評分時應(yīng)謹慎。為了提高成熟度得分，每個成熟度級別的問題必須盡可能徹底地解決。B對抗R的一個弱點就是R會占上風(fēng)。因此，即使已經(jīng)確定、實施、測試并發(fā)現(xiàn)一些針對R的對策是充分的，但如果沒有正確確定其他對策，對該R行動的反應(yīng)仍然是不成熟的。例如，即便通過通信路徑訪問武器系統(tǒng)的反措施已經(jīng)被全面識別、實施、測試并發(fā)現(xiàn)是充分的，但是所有R可能通過子系統(tǒng)訪問的路徑仍然有待識別，那么通過數(shù)據(jù)路徑訪問R的得分仍然是“最不成熟的”。

網(wǎng)絡(luò)安全和網(wǎng)絡(luò)彈性的總體狀況不僅僅是所有單個部分評估的總和。它是從所有這些部分的相互作用中產(chǎn)生的。因此，即使有足夠的工作級別衡量標準，制度層面的缺陷仍可能無法被發(fā)現(xiàn)。一些經(jīng)過充分研究的案例表明，組織的制度缺陷可能在不能執(zhí)行任務(wù)方面造成很大影響。從失敗中得到的教訓(xùn)表明，在任務(wù)失敗之前，組織中的某個地方通常都知道存在缺陷。但信息沒有正確的傳達給指揮者，也沒有對風(fēng)險進行適當評估。

大量文獻表明，當組織狀態(tài)波動超過其適應(yīng)環(huán)境的能力時，即當波動超過組織的彈性時，就會發(fā)生重大的制度失靈。彈性邊緣的逐漸侵蝕是一種稱為漂移的現(xiàn)象。漂移的一個關(guān)鍵指標是，高層領(lǐng)導(dǎo)對業(yè)務(wù)發(fā)生方式的看法與業(yè)務(wù)實際的發(fā)生方式不同。成功避免災(zāi)難性故障的組織通過收集組織中所有成員的信息，對其進行分類、評估以創(chuàng)造意義，并將關(guān)鍵信息傳遞給正常指揮鏈之外的高級領(lǐng)導(dǎo)，從而減少了偏差。如表所述，可以通過機構(gòu)層面問題的成熟度指數(shù)來評估這一過程。

（全文完）