網路韌性

網路韌性(Cyber resilience)是指系統可以不受負面網路事件(Adverse cyber event)影響,仍然實現其原始功能的能力[1]。網路韌性對於資訊系統、關鍵基礎架構、商業流程、組織、社會及國家都很重要。

負面網路事件是指會影響網路資訊系統及其資訊的可用性資料完整性機密性的事件[2],事件可能是刻意的(例如網路攻擊),也可能是非預期的(例如軟體更新失敗),造成因素包括人為因素、自然因素,也可能二者都有。

網路韌性和網路安全(cyber security)有些不同,網路安全是要保護系統、網路以及資料,不會受到網路犯罪旳影響。網路韌性是要保護系統,在安全受威脅的情形下,其系統及網路仍可以正常運作[3]

網路韌性的目標是維持系統在任何時候都可以提供預期輸出的能力[4]。這表示就算正常的執行機制失效(例如出現危機或是安全漏洞),都要可以提供預期輸出的能力。此概念也包括在這類事件後復原或是恢復正常執行機制的能力,以及若需面對新的威脅時,可以持續性的變更或是修改執行機制的能力。在恢復執行機制的流程中,備份灾难恢复是重要的一部份。

框架

在美國總統政策行政命令PPD-21裡,將韌性定義為「可以適應變化條件,承受破壞,並且快速復原的能力」[5]。網路韌性著重在資訊科技環境中的預防措施、偵測措施及反應措施,針對系統的整體安全態勢評估和標準的差距,並且進行改善。Cyber Resilience Review英语Cyber Resilience Review(CRR)是由美國國土安全部所作,評估系統韌性的框架。另一個由Symantec所創的框架著重五點:準備/識別、保護、偵測、因應及復原[6]

國家標準技術研究所的NIST SP 800-160 Volume 2 Rev. 1[7] 提供了工程安全系統以及可靠系統的框架,其中將惡意網路事件視為和韌性和安全性都 有關的議題。在NIST SP 800-160中有識別出14種可以提昇韌性的技術:

網路韌性技術[8]
技術 目的
自動因應(Adaptive Response) 提昇用及時且適當的方式因應的能力
監控分析(Analytic Monitoring) 以及時、可行的作法監控惡意行動及條件,並且進行偵測
協調保護(Coordinated Protection) 實施多層防禦英语Defense in depth (computing)策略,讓入侵者要克服多個阻礙
欺騙(Deception) 刻意向入侵者隱藏關鍵資產,或是透露隱蔽的受污染資產,目的是要誤導入侵者,使其混淆。
多樣性(Diversity) 利用異質性來避免共因失效,特別是一些利用通用弱點的攻擊。
動態定位(Dynamic Positioning) 分散並多元化網路分佈,增加從非惡意事件(例如天災)中快速復原的能力
動態呈現(Dynamic Representation) 持續呈現目前網路的情形。強化對於網路或是非網路資源的相依性。可以看出惡意行為的模式或是趨勢。
非持久性(Non-Persistence) 依照需要在有限的時間內產生並且維持資源,這可以減少因資料受損、修改或是被盜用的影響。
特權限制(Privilege Restriction) 依使用者屬性、系統元件及環境因素來限制特權。
整治(Realignment) 讓任務關鍵服務和非關鍵服務之間的連結最小化,減少非關鍵服務失效影響到任務關鍵服務的可能性。
冗餘(Redundancy) 針對關鍵資源,提供多個受保護的實例。
區隔(Segmentation) 依關鍵性以及可信度定義系統元件,並且進行區隔。
證實可信性(Substantiated Integrity) 確定關鍵系統元素是否已經損壞.
不可預測性(Unpredictability) 讓變化以隨機,無法預測的方式出現。在入侵者面對系統保護時,增加入侵者的不確定性,提高他們確認正確行動方針的難度。

相關條目

參考資料

  1. ^ Björck, Fredrik; Henkel, Martin; Stirna, Janis; Zdravkovic, Jelena. Cyber Resilience - Fundamentals for a Definition. Advances in Intelligent Systems and Computing 353. Stockholm University. 2015: 311–316. ISBN 978-3-319-16485-4. doi:10.1007/978-3-319-16486-1_31. 
  2. ^ Ross, Ron. Developing Cyber-Resilient Systems: A Systems Security Engineering Approach (PDF). NIST Special Publication. 2021, 2 [2022-11-12]. (原始内容存档 (PDF)于2022-11-12) –通过NIST. 
  3. ^ Cyber Resilience. www.itgovernance.co.uk. [2017-07-28]. (原始内容存档于2022-11-12). 
  4. ^ Hausken, Kjell. Cyber resilience in firms, organizations and societies. Internet of Things. 2020-09-01, 11: 100204. ISSN 2542-6605. doi:10.1016/j.iot.2020.100204可免费查阅 (英语). 
  5. ^ What Is Security and Resilience? | Homeland Security. www.dhs.gov. 2012-12-19 [2016-02-29]. (原始内容存档于2018-11-21). 
  6. ^ The Cyber Resilience Blueprint: A New Perspective on Security (PDF). (原始内容存档 (PDF)于2023-12-11). 
  7. ^ (NIST), Ron Ross; (MITRE), Richard Graubart; (MITRE), Deborah Bodeau; (MITRE), Rosalie McQuaid. SP 800-160 Vol. 2 Rev 1., Developing Cyber-Resilient Systems: A Systems Security Engineering Approach. csrc.nist.gov. December 2021 [2022-08-11]. (原始内容存档于2023-05-08) (美国英语). 
  8. ^ (NIST), Ron Ross; (MITRE), Richard Graubart; (MITRE), Deborah Bodeau; (MITRE), Rosalie McQuaid. SP 800-160 Vol. 2 Rev 1., Developing Cyber-Resilient Systems: A Systems Security Engineering Approach. csrc.nist.gov. December 2021 [2022-08-11]. (原始内容存档于2023-05-08) (美国英语).