网络韧性
网络韧性（Cyber resilience）是指系统可以不受负面网络事件（Adverse cyber event）影响，仍然实现其原始功能的能力[1]。网络韧性对于资讯系统、关键基础架构、商业流程、组织、社会及国家都很重要。
负面网络事件是指会影响网络资讯系统及其资讯的可用性、资料完整性及机密性的事件[2]，事件可能是刻意的（例如网络攻击），也可能是非预期的（例如软件更新失败），造成因素包括人为因素、自然因素，也可能二者都有。
网络韧性和网络安全（cyber security）有些不同，网络安全是要保护系统、网络以及资料，不会受到网络犯罪旳影响。网络韧性是要保护系统，在安全受威胁的情形下，其系统及网络仍可以正常运作[3]。
网络韧性的目标是维持系统在任何时候都可以提供预期输出的能力[4]。这表示就算正常的执行机制失效（例如出现危机或是安全漏洞），都要可以提供预期输出的能力。此概念也包括在这类事件后复原或是恢复正常执行机制的能力，以及若需面对新的威胁时，可以持续性的变更或是修改执行机制的能力。在恢复执行机制的流程中，备份及灾难恢复是重要的一部分。
框架[编辑]
在美国总统政策行政命令PPD-21里，将韧性定义为“可以适应变化条件，承受破坏，并且快速复原的能力”[5]。网络韧性着重在资讯科技环境中的预防措施、侦测措施及反应措施，针对系统的整体安全态势评估和标准的差距，并且进行改善。Cyber Resilience Review（CRR）是由美国国土安全部所作，评估系统韧性的框架。另一个由Symantec所创的框架着重五点：准备/识别、保护、侦测、因应及复原[6]。
国家标准技术研究所的NIST SP 800-160 Volume 2 Rev. 1[7] 提供了工程安全系统以及可靠系统的框架，其中将恶意网络事件视为和韧性和安全性都 有关的议题。在NIST SP 800-160中有识别出14种可以提升韧性的技术：
| 技术 | 目的 |
|---|---|
| 自动因应（Adaptive Response） | 提升用及时且适当的方式因应的能力 |
| 监控分析（Analytic Monitoring） | 以及时、可行的作法监控恶意行动及条件，并且进行侦测 |
| 协调保护（Coordinated Protection） | 实施多层防御策略，让入侵者要克服多个阻碍 |
| 欺骗（Deception） | 刻意向入侵者隐藏关键资产，或是透露隐蔽的受污染资产，目的是要误导入侵者，使其混淆。 |
| 多样性（Diversity） | 利用异质性来避免共因失效，特别是一些利用通用弱点的攻击。 |
| 动态定位（Dynamic Positioning） | 分散并多元化网络分布，增加从非恶意事件（例如天灾）中快速复原的能力 |
| 动态呈现（Dynamic Representation） | 持续呈现目前网络的情形。强化对于网络或是非网络资源的相依性。可以看出恶意行为的模式或是趋势。 |
| 非持久性（Non-Persistence） | 依照需要在有限的时间内产生并且维持资源，这可以减少因资料受损、修改或是被盗用的影响。 |
| 特权限制（Privilege Restriction） | 依使用者属性、系统元件及环境因素来限制特权。 |
| 整治（Realignment） | 让任务关键服务和非关键服务之间的连结最小化，减少非关键服务失效影响到任务关键服务的可能性。 |
| 冗余（Redundancy） | 针对关键资源，提供多个受保护的实例。 |
| 区隔（Segmentation） | 依关键性以及可信度定义系统元件，并且进行区隔。 |
| 证实可信性（Substantiated Integrity） | 确定关键系统元素是否已经损坏. |
| 不可预测性（Unpredictability） | 让变化以随机，无法预测的方式出现。在入侵者面对系统保护时，增加入侵者的不确定性，提高他们确认正确行动方针的难度。 |
相关条目[编辑]
参考资料[编辑]
- ^ Björck, Fredrik; Henkel, Martin; Stirna, Janis; Zdravkovic, Jelena. Cyber Resilience - Fundamentals for a Definition. Advances in Intelligent Systems and Computing 353. Stockholm University. 2015: 311–316. ISBN 978-3-319-16485-4. doi:10.1007/978-3-319-16486-1_31.
- ^ Ross, Ron. Developing Cyber-Resilient Systems: A Systems Security Engineering Approach (PDF). NIST Special Publication. 2021, 2 [2022-11-12]. （原始内容存档 (PDF)于2022-11-12） –通过NIST.
- ^ Cyber Resilience. www.itgovernance.co.uk. [2017-07-28]. （原始内容存档于2022-11-12）.
- ^ Hausken, Kjell. Cyber resilience in firms, organizations and societies. Internet of Things. 2020-09-01, 11: 100204. ISSN 2542-6605. doi:10.1016/j.iot.2020.100204
（英语）.
- ^ What Is Security and Resilience? | Homeland Security. www.dhs.gov. 2012-12-19 [2016-02-29]. （原始内容存档于2018-11-21）.
- ^ The Cyber Resilience Blueprint: A New Perspective on Security (PDF). （原始内容存档 (PDF)于2023-12-11）.
- ^ (NIST), Ron Ross; (MITRE), Richard Graubart; (MITRE), Deborah Bodeau; (MITRE), Rosalie McQuaid. SP 800-160 Vol. 2 Rev 1., Developing Cyber-Resilient Systems: A Systems Security Engineering Approach. csrc.nist.gov. December 2021 [2022-08-11]. （原始内容存档于2023-05-08） （美国英语）.
- ^ (NIST), Ron Ross; (MITRE), Richard Graubart; (MITRE), Deborah Bodeau; (MITRE), Rosalie McQuaid. SP 800-160 Vol. 2 Rev 1., Developing Cyber-Resilient Systems: A Systems Security Engineering Approach. csrc.nist.gov. December 2021 [2022-08-11]. （原始内容存档于2023-05-08） （美国英语）.
