环球小咖|【智库声音】《网络空间安全和网络弹性度量》
来源：占知智库
近日 ， 兰德发布一份报告《网络空间安全和网络弹性度量》 ， 提出了度量网络空间安全和网络弹性的架构以及具体的评分方法 。 报告将网络空间安全分为2个层面：工作层 ， 即对抗敌方的网络空间行动；机制层 ， 即捕捉与网络空间相关的制度缺陷 。 针对2个层面 ， 分别制定了评价方法和安全级别 。
文章图片
网络空间环境是动态、复杂的（和平时期和战时 ， 国外和国内 ， 都会不同） ， 威胁无处不在 ， 目前尚无一套基本法则来约束网络空间中的行为 。 如何评价网络空间是否安全 ， 如何量化考核武器系统和任务执行团队在网络对抗环境下的表现？
该报告认为：一个富有成效的方法是在红方（攻方）和蓝方（守方）之间的网络博弈背景下定义网络安全指标 。
文章图片
在对抗环境下 ， 双方态势会在博弈中发展 。 红方对蓝方态势和弱点进行评估 ， 其战略战术随机应变 。 同样 ， 蓝方也会对红方威胁进行预判 ， 采取防范措施；然而 ， 无论蓝方再有先见之明 ， 如何小心翼翼 ， 都不足以预测到红方未来可能采取的所有行动 。 蓝方需要基于已掌握的经验 ， 审时度势 ， 实时应对红方攻击 ， 这就是网络弹性 。
文章图片
报告认为：
要衡量任务团队或系统在网络对抗环境下的生存力和有效性如何 ， 必须将重点放在红方对成败的估算 ， 红方的攻击路径上 ， 而非蓝方可能采取的反制措施 。 蓝方的反制措施只是达到目的的一种手段 ， 并不能说明这些措施有效、得当 ， 能全面阻止红方的行动 。
框架和度量标准
红方要想成功实施网络攻击、网络渗透或内线攻击 ， 必须执行一条网络攻击路径 。 该攻击路径包括：获取目标系统的访问权限 ， 获取足够的目标信息以实施攻击、开发或获取执行攻击所需的能力 ， 确定对攻击目标 。 这四项活动不一定要按顺序进行 ， 在时间上可能会重叠 。 每一项活动可以进一步细分 。 例如 ， 进入系统可以通过供应链、数据通路、内线等途径来实现 ， 而供应链渗透 ， 又可以从设计、制造、运输、存储、维护、报废等环节来进行 。 通过对红方攻击要素进行逐级分解 ， 便可以得到度量要素 。
评估方法
评估可以在三个层次进行：
【环球小咖|【智库声音】《网络空间安全和网络弹性度量》】1)自我评估 ， 主要由项目办公室和业务部门进行；
2)外部评估 ， 主要由项目执行官、授权官员和测试团体对这些评估进行验证和确认；
3)任务级评估 ， 在系统层面将评估结果进行综合 。
工作层面的网络安全级别
1最成熟对抗红队的解决方案经过测试、实践 ， 且充分 。
2成熟对抗红队的解决方案能实现持续监测 。
3中等对抗红队的解决方案已经确定 。
4不成熟能理解红队在系统或任务背景下如何行动 ， 且定义了可信状态基线 。
5很不成熟不清楚红队会如何针对系统或任务下手 。
机制层面的网络安全级别
1最成熟记录并分发经验教训;对过程进行定期评审并改进 。
2成熟向相关决策者提供建议 。
3中等由独立的主题专家评估关注问题 ， 通过报告提出建议 。
4不成熟有正式的机制 ， 可获取航空安全报告系统关键要素(包括保密性) ， 报告有关网络安全和网络弹性的问题 。
5很不成熟个人在网络安全和网络弹性方面的担忧 ， 除了通过指挥链报告外 ， 不存在其他机制 。
报告目录
《网络空间安全和网络弹性度量》发布于2020年4月 ， 全文65页文件：
推荐阅读
- 环球时报-环球网|哈萨克斯坦新冠肺炎确诊病例累计已达47171例，总统警告不得无故提高药品价格
- 环球网|美国南卡罗来纳州发生枪击案 已造成2人死8伤
- 环球网|俄总统新闻秘书：普京向特朗普发贺电，祝贺美国独立日
- 环球时报|社评：美国度过了最黯淡之一的国庆日
- 环球网|他在911中幸存，死于新冠
- 环球网|母女养了七八条狗，深夜狗叫声此起彼伏，屋内外蟑螂成群…邻居怒了
- 环球时报|日本九州强降雨引发严重次生灾害 已致7死4失踪
- 环球网|深夜，暴雨来势汹汹，这群男人在桥头上……真帅
- 环球时报|美国西雅图一男子驾车冲撞示威人群，致一死一重伤
- 环球网|美国南卡罗来纳州夜店突发枪击案，致2死8伤