打开APP
未登录
开通VIP,畅享免费电子书等14项超值服
开通VIP
首页
好书
留言交流
下载APP
联系客服
风险管理之引入系统和组件驱动的风险管理方法
祺印说信安
>《待分类》
2023.10.30 河南
关注
1 .关于组件驱动方法
2 .关于系统驱动方法
3 .使用拉斯穆森层次结构来区分风险评估技术
4 .何时使用系统和组件驱动技术
5 .了解更多
系统和组件驱动的风险管理技术的概述。
关于组件驱动方法
在网络安全中,风险通常用系统的组成部分来描述,例如硬件(计算机、服务器等)或软件。我们将这种方法称为自下而上或组件驱动的风险技术。按照这种观点,风险被评估为给定系统组件的价值及其以某种方式受到损害的可能性的某种组合。更具体地说,这需要评估这些组件面临的威胁、它们的漏洞以及妥协可能造成的业务影响。
这种方法允许分析师识别系统内特定组件面临的特定风险。然后,它允许根据风险影响的严重程度(或威胁利用漏洞的难易程度)对这些风险进行优先级排序。以这种方式确定风险优先级的目的是在可能的情况下首先减轻最严重的风险。
关于系统驱动方法
补充方法主要关注系统(而不是组件)的目标或用途。我们将此类方法称为自上而下或系统驱动的风险技术,因为它们主要关注整个系统,而不是单个组件。自上而下的技术考虑系统各个方面之间的交互,包括人员、业务流程和技术。
这些方法要求风险分析师首先陈述系统的高级目的。从那里,您可以迭代地向该陈述添加更多细节,作为设计如何实现高级目标的一种方式。重点是理解系统的各个部分如何相互作用。像这样的方法对于系统工程师和其他涉及迭代设计技术的人来说是非常熟悉的,这些想法在这些技术中很常见。
风险从何而来?除了考虑系统应该服务的目的之外,自上而下的风险管理技术还会考虑系统不应该服务的高级目的。我们用系统运行过程中可能发生的“损失”来讨论这些问题。例如,如果您正在设计一个控制自动安全门的系统,该系统的目的可能是让人们进出。您可能发现的损失可能是让未经授权的人员通过,或者将人员困在门的机械装置中而受伤。
这种损失的概念似乎是显而易见的。然而,我们的经验表明,在项目生命周期开始时很少考虑系统不能做什么的这些高级描述(与考虑的目的不同)。通常只有当系统的设计相当成熟时才会考虑损失(因此您已经了解系统在逻辑上可能是什么样子)。这就是人们普遍抱怨安全性“是用螺栓固定的,而不是内置的”的部分原因。
使用拉斯穆森层次结构来区分风险评估技术
为了帮助检查自下而上和自上而下的技术如何相互关联,我们可以借鉴Jens Rasmussen 的抽象层次结构,如下所示。
该模型引入了这样的想法:您可以查看不同抽象级别的系统。仅考虑插图的前三层使我们能够从概念角度思考该系统。也就是说,我们的分析重点是系统应该实现什么(而不是它应该如何工作)。自下而上或组件驱动的方法 是分析该层次结构的底部两层可能出现的问题。在这里,您关心的是物理存在的事物或其表示形式,例如详细说明特定技术决策的详细架构图。
另外,自上而下或系统驱动的方法 考虑系统的高级目的和损失。目的是确定因系统概念设计而可能造成损失的方式。在这个抽象级别,威胁和漏洞等概念在组件驱动方法中使用时没有任何意义。在这里,您正在寻找系统可以实现任何损失的方法。
引入该框架的原因是为了证明组件驱动和系统驱动的风险管理技术以根本不同的方式分析风险,但它们相互支持。当应用于正确的问题时,它们都是有价值的风险管理工具。
何时使用系统和组件驱动技术
这些技术可以相互结合使用,以提供对风险的补充视角。例如,您可以使用自上而下的方法来识别最关键的系统、交互或漏洞,然后切换到自下而上的分析来详细探索这些关键领域。
他们以不同的方式增加价值;两者都不比另一个“更好”。然而,每种技术更适合某些类型的风险管理问题:
组件驱动的方法对于探索已知技术漏洞的暴露程度非常有用。例如,您的组织中可能有一台计算机由于操作原因而无法修补或升级。这在某些类型的操作技术中很常见。组件驱动的风险分析可用于探索未修补的计算机中的漏洞如何影响您的组织。这种分析可以确定可以在这台不可避免的易受攻击的计算机周围实施的保护措施。
系统方法在分析大型复杂系统时非常有用。特别是,它们可以帮助您探索 交互失败。 例如,系统的正确和安全操作可能取决于组成系统的多个组件或子系统之间的交互。当系统内的各个组件按照其应有的方式精确工作时,就会发生这种情况,但存在一些问题这些组件相互交互的方式存在缺陷,从而有可能发生安全漏洞。一个很好的例子可能是针对在线支付系统的欺诈风险,其中组件驱动的观点可能会忽略客户系统对整个系统安全的重要性。
下表总结了每种技术的优势:
适合
自上而下的方法
探索因系统许多部分的复杂交互而出现的安全漏洞
在决定系统的确切物理设计之前建立系统安全要求
汇集多个利益相关者对系统应该做什么和不应该做什么的看法(例如安全、安保、法律观点)
分析无法追溯到单点故障的安全漏洞
自下而上的方法
分析各个技术组件面临的风险
通过组件之间易于理解的连接来解构不太复杂的系统
在抽象级别上工作,其中系统的物理功能已在利益相关者之间达成一致
组件驱动技术和系统风险管理技术可以一起使用。例如,您可以使用系统驱动的方法来确保在做出任何特定技术决策之前从概念上识别安全风险,然后在您致力于采用特定解决方案后切换到组件驱动的分析。
>>>等级保护<<<
开启等级保护之路:GB 17859网络安全等级保护上位标准
网络安全等级保护:什么是等级保护?
网络安全等级保护:等级保护工作从定级到备案
网络安全等级保护:等级测评中的渗透测试应该如何做
网络安全等级保护:等级保护测评过程及各方责任
网络安全等级保护:政务计算机终端核心配置规范思维导图
网络安全等级保护:信息技术服务过程一般要求
网络安全等级保护:浅谈物理位置选择测评项
闲话等级保护:网络安全等级保护基础标准(等保十大标准)下载
闲话等级保护:什么是网络安全等级保护工作的内涵?
闲话等级保护:网络产品和服务安全通用要求之基本级安全通用要求
闲话等级保护:测评师能力要求思维导图
闲话等级保护:应急响应计划规范思维导图
闲话等级保护:浅谈应急响应与保障
闲话等级保护:如何做好网络总体安全规划
闲话等级保护:如何做好网络安全设计与实施
闲话等级保护:要做好网络安全运行与维护
闲话等级保护:人员离岗管理的参考实践
信息安全服务与信息系统生命周期的对应关系
>>>工控安全<<<
工业控制系统安全:信息安全防护指南
工业控制系统安全:工控系统信息安全分级规范思维导图
工业控制系统安全:DCS防护要求思维导图
工业控制系统安全:DCS管理要求思维导图
工业控制系统安全:DCS评估指南思维导图
工业控制安全:工业控制系统风险评估实施指南思维导图
工业控制系统安全:安全检查指南思维导图(内附下载链接)
业控制系统安全:DCS风险与脆弱性检测要求思维导图
>>>数据安全<<<
数据治理和数据安全
数据安全风险评估清单
成功执行数据安全风险评估的3个步骤
美国关键信息基础设施数据泄露的成本
备份:网络和数据安全的最后一道防线
数据安全:数据安全能力成熟度模型
数据安全知识:什么是数据保护以及数据保护为何重要?
信息安全技术:健康医疗数据安全指南思维导图
金融数据安全:数据安全分级指南思维导图
金融数据安全:数据生命周期安全规范思维导图
>>>供应链安全<<<
美国政府为客户发布软件供应链安全指南
OpenSSF 采用微软内置的供应链安全框架
供应链安全指南:了解组织为何应关注供应链网络安全
供应链安全指南:确定组织中的关键参与者和评估风险
供应链安全指南:了解关心的内容并确定其优先级
供应链安全指南:为方法创建关键组件
供应链安全指南:将方法整合到现有供应商合同中
供应链安全指南:将方法应用于新的供应商关系
供应链安全指南:建立基础,持续改进。
思维导图:ICT供应链安全风险管理指南思维导图
英国的供应链网络安全评估
>>>其他<<<
网络安全十大安全漏洞
网络安全等级保护:做等级保护不知道咋定级?来一份定级指南思维导图
网络安全等级保护:应急响应计划规范思维导图
安全从组织内部人员开始
VMware 发布9.8分高危漏洞补丁
影响2022 年网络安全的五个故事
2023年的4大网络风险以及如何应对
网络安全知识:物流业的网络安全
网络安全知识:什么是AAA(认证、授权和记账)?
美国白宫发布国家网络安全战略
开源代码带来的 10 大安全和运营风险
不能放松警惕的勒索软件攻击
10种防网络钓鱼攻击的方法
5年后的IT职业可能会是什么样子?
累不死的IT加班人:网络安全倦怠可以预防吗?
网络风险评估是什么以及为什么需要
美国关于乌克兰战争计划的秘密文件泄露
五角大楼调查乌克兰绝密文件泄露事件
湖南网安适用《数据安全法》对多个单位作出行政处罚
如何减少制造攻击面的暴露
来自不安全的经济、网络犯罪和内部威胁三重威胁
2023 年OWASP Top 10 API 安全风险
全国网络安全等级测评与检测评估机构目录(6月6日更新)
什么是渗透测试,能防止数据泄露吗?
SSH 与 Telnet 有何不同?
本站仅提供存储服务,所有内容均由用户发布,如发现有害或侵权内容,请
点击举报
。
打开APP,阅读全文并永久保存
查看更多类似文章
猜你喜欢
类似文章
FMEA和FTA在功能安全中的应用
为什么集成测试被人瞧不起?我不理解还是?
《量化交易之门》连载15:交易系统构建的两种方式:自上而下VS自下而上
投资的方法
'自下而上'和'自上而下'丨读《自下而上》
如何估算项目:完整的项目预算和成本估算指南
更多类似文章 >>
生活服务
热点新闻
留言交流
回顶部
联系我们
分享
收藏
点击这里,查看已保存的文章
导长图
关注
一键复制
下载文章
绑定账号成功
后续可登录账号畅享VIP特权!
如果VIP功能使用有故障,
可点击这里联系客服!
联系客服
微信登录中...
请勿关闭此页面
先别划走!
送你5元优惠券,购买VIP限时立减!
5
元
优惠券
优惠券还有
10:00
过期
马上使用
×