So far, I have discussed security e

So far, I have discussed security engineering from the perspective of an application that is under development. The system procurer and developer have control over all aspects of the system that might be attacked. In reality, as I suggested in Figure 30.1, modem distributed systems inevitably rely on COTS and reusable components which have been developed separately. Their security characteristics may be external web services and network infrastructures that are outside the control of the application. 
This means that, irrespective of how much attention is paid to security, it can¬not be guaranteed that a system will be able to resist external attacks. Consequently, for complex networked systems, you should assume that penetration is possible and that the integrity of the system cannot be guaranteed. You should therefore think about how to make the system resilient so that it survives to deliver essential services to users.
Survivability (Westmark, 2004) is an emergent property of a system as a whole rather than a property of individual components, which may not themselves be survivable. The survivability of a system reflects its ability to continue to deliver essential business- or mission-critical services to legitimate users while it is under attack or after part of the system has been damaged as a consequence of either an attack or a system failure.
Work on system survivability was prompted by the fact that our economic and social lives are dependent on a computer-controlled critical infrastructure. This includes the infrastructure for delivering utilities (power, water, gas, etc.) and, equally critically, the infrastructure for delivering and managing information (telephones, Internet, postal service, etc.). However, survivability is not simply a critical infra¬structure issue. Any organisation that relies on critical networked computer systems should be concerned with how its business would be affected if their systems did not survive a malicious attack or catastrophic system failure. Therefore, for business- critical systems, survivability analysis and design should be part of the security engineering process.
Maintaining the availability of critical services is the essence of survivability. This means that you have to know:
• which system services are the most critical for a business;
• how these services might be compromised;
• what is the minimal quality of service that must be maintained;
• how these services can be protected;
• how you can recover quickly if the services become unavailable.
For example, in a system that handles ambulance despatching in response to emergency calls, the critical services are those concerned with taking calls and despatching ambulances to the medical emergency. Other services such as call logging, and ambulance location management are less critical either because they do not require real-time processing or because alternative mechanisms may be used. For example, to find an ambulance's location you can call the ambulance crew and ask them where they are.
Ellison and colleagues (Ellison, et al., 1999; Ellison, et al., 1999a; Ellison, et al., 2002) have designed a method of analysis called Survivable Systems Analysis. This is used to assess vulnerabilities in systems and to support the design of system architectures and features that promote system survivability. They argue that achieving survivability depends on three complementary strategies:

Kết quả (Việt) 1:

Cho đến nay, tôi đã thảo luận về kỹ thuật bảo mật từ quan điểm của một ứng dụng đang phát triển. Hệ thống procurer và nhà phát triển có quyền kiểm soát trên tất cả các khía cạnh của hệ thống có thể bị tấn công. Trong thực tế, như tôi đề nghị trong hình 30,1, modem phân phối hệ thống chắc chắn dựa vào cũi trẻ em và tái sử dụng các thành phần mà đã được phát triển một cách riêng biệt. Đặc điểm bảo mật của họ có thể là bên ngoài web dịch vụ và cơ sở hạ tầng mạng đang ở bên ngoài sự kiểm soát của các ứng dụng. Điều này có nghĩa rằng, không phân biệt như thế nào nhiều sự chú ý trả cho an ninh, nó can¬not được đảm bảo rằng một hệ thống sẽ có thể để chống lại cuộc tấn công bên ngoài. Do đó, cho hệ thống mạng phức tạp, bạn nên giả định rằng thâm nhập có thể và sự toàn vẹn của hệ thống không thể được đảm bảo. Do đó, bạn nên suy nghĩ về làm thế nào để làm cho hệ thống đàn hồi để nó tồn tại để cung cấp dịch vụ thiết yếu cho người dùng.Khả năng tồn tại (Westmark, năm 2004) là một tài sản cấp cứu của một hệ thống như một toàn thể chứ không phải là một tài sản của mỗi thành phần, mà có thể không tự FMC. Khả năng tồn tại của một hệ thống phản ánh khả năng của mình để tiếp tục cung cấp dịch vụ thiết yếu kinh doanh hoặc nhiệm vụ-quan trọng cho người sử dụng hợp pháp trong khi nó bị tấn công hoặc sau khi một phần của hệ thống đã bị hư hỏng do hậu quả của một cuộc tấn công hoặc một lỗi hệ thống.Làm việc trên hệ thống khả năng tồn tại được thúc đẩy bởi thực tế đời sống kinh tế và xã hội chúng ta là phụ thuộc vào một máy tính điều khiển quan trọng cơ sở hạ tầng. Điều này bao gồm cơ sở hạ tầng cho việc cung cấp tiện ích (điện, nước, khí đốt, vv) và không kém nghiêm trọng, cơ sở hạ tầng để cung cấp và quản lý thông tin (động, Internet, Dịch vụ bưu chính, vv.). Tuy nhiên, khả năng tồn tại không phải là chỉ đơn giản là một vấn đề quan trọng infra¬structure. Bất kỳ tổ chức dựa trên hệ thống máy tính nối mạng quan trọng cần được quan tâm với làm thế nào kinh doanh của mình sẽ bị ảnh hưởng nếu hệ thống của họ đã không tồn tại một độc hại tấn công hay thất bại hệ thống nghiêm trọng. Vì vậy, cho kinh doanh hệ thống quan trọng, khả năng tồn tại phân tích và thiết kế nên là một phần của an ninh kỹ thuật quá trình.Duy trì sự sẵn có của dịch vụ quan trọng là tinh túy của khả năng tồn tại. Điều này có nghĩa rằng bạn cần phải biết:• Dịch vụ hệ thống mà là quan trọng nhất cho một doanh nghiệp;• làm thế nào các dịch vụ có thể bị tổn hại;• chất lượng tối thiểu của dịch vụ phải được duy trì; là gì• làm thế nào các dịch vụ này có thể được bảo vệ;• làm thế nào bạn có thể khôi phục một cách nhanh chóng nếu các dịch vụ trở nên không có sẵn.Ví dụ, trong một hệ thống xử lý các xe cứu thương despatching để đáp ứng với cuộc gọi khẩn cấp, các dịch vụ quan trọng là những người có liên quan với tham gia cuộc gọi và despatching xe cấp cứu y tế khẩn cấp. Các dịch vụ khác chẳng hạn như đăng nhập cuộc gọi, và xe cứu thương vị trí quản lý rất ít quan trọng bởi vì họ không yêu cầu thời gian thực chế biến hoặc vì thay thế cơ chế có thể được sử dụng. Ví dụ, để tìm vị trí của xe cứu thương bạn có thể gọi phi hành đoàn xe cứu thương và yêu cầu họ, nơi họ đang có.Ellison và đồng nghiệp (Ellison, et al., 1999; Ellison, et al., 1999a; Ellison, et al., 2002) đã thiết kế một phương pháp phân tích được gọi là FMC hệ thống phân tích. Điều này được sử dụng để đánh giá các lỗ hổng trong các hệ thống và hỗ trợ thiết kế hệ thống kiến trúc và các tính năng thúc đẩy hệ thống khả năng tồn tại. Họ tranh luận rằng đạt được khả năng tồn tại phụ thuộc vào ba chiến lược bổ sung: