So far, I have discussed security e

So far, I have discussed security engineering from the perspective of an application that is under development. The system procurer and developer have control over all aspects of the system that might be attacked. In reality, as I suggested in Figure 30.1, modem distributed systems inevitably rely on COTS and reusable components which have been developed separately. Their security characteristics may be external web services and network infrastructures that are outside the control of the application. 
This means that, irrespective of how much attention is paid to security, it can¬not be guaranteed that a system will be able to resist external attacks. Consequently, for complex networked systems, you should assume that penetration is possible and that the integrity of the system cannot be guaranteed. You should therefore think about how to make the system resilient so that it survives to deliver essential services to users.
Survivability (Westmark, 2004) is an emergent property of a system as a whole rather than a property of individual components, which may not themselves be survivable. The survivability of a system reflects its ability to continue to deliver essential business- or mission-critical services to legitimate users while it is under attack or after part of the system has been damaged as a consequence of either an attack or a system failure.
Work on system survivability was prompted by the fact that our economic and social lives are dependent on a computer-controlled critical infrastructure. This includes the infrastructure for delivering utilities (power, water, gas, etc.) and, equally critically, the infrastructure for delivering and managing information (telephones, Internet, postal service, etc.). However, survivability is not simply a critical infra¬structure issue. Any organisation that relies on critical networked computer systems should be concerned with how its business would be affected if their systems did not survive a malicious attack or catastrophic system failure. Therefore, for business- critical systems, survivability analysis and design should be part of the security engineering process.
Maintaining the availability of critical services is the essence of survivability. This means that you have to know:
• which system services are the most critical for a business;
• how these services might be compromised;
• what is the minimal quality of service that must be maintained;
• how these services can be protected;
• how you can recover quickly if the services become unavailable.
For example, in a system that handles ambulance despatching in response to emergency calls, the critical services are those concerned with taking calls and despatching ambulances to the medical emergency. Other services such as call logging, and ambulance location management are less critical either because they do not require real-time processing or because alternative mechanisms may be used. For example, to find an ambulance's location you can call the ambulance crew and ask them where they are.
Ellison and colleagues (Ellison, et al., 1999; Ellison, et al., 1999a; Ellison, et al., 2002) have designed a method of analysis called Survivable Systems Analysis. This is used to assess vulnerabilities in systems and to support the design of system architectures and features that promote system survivability. They argue that achieving survivability depends on three complementary strategies:

Kết quả (Việt) 1:

Cho đến nay, tôi đã thảo luận về kỹ thuật bảo mật từ quan điểm của một ứng dụng đang phát triển. Hệ thống procurer và nhà phát triển có quyền kiểm soát trên tất cả các khía cạnh của hệ thống có thể bị tấn công. Trong thực tế, như tôi đề nghị trong hình 30,1, modem phân phối hệ thống chắc chắn dựa vào cũi trẻ em và tái sử dụng các thành phần mà đã được phát triển một cách riêng biệt. Đặc điểm bảo mật của họ có thể là bên ngoài web dịch vụ và cơ sở hạ tầng mạng đang ở bên ngoài sự kiểm soát của các ứng dụng. Điều này có nghĩa rằng, không phân biệt như thế nào nhiều sự chú ý trả cho an ninh, nó can¬not được đảm bảo rằng một hệ thống sẽ có thể để chống lại cuộc tấn công bên ngoài. Do đó, cho hệ thống mạng phức tạp, bạn nên giả định rằng thâm nhập có thể và sự toàn vẹn của hệ thống không thể được đảm bảo. Do đó, bạn nên suy nghĩ về làm thế nào để làm cho hệ thống đàn hồi để nó tồn tại để cung cấp dịch vụ thiết yếu cho người dùng.Khả năng tồn tại (Westmark, năm 2004) là một tài sản cấp cứu của một hệ thống như một toàn thể chứ không phải là một tài sản của mỗi thành phần, mà có thể không tự FMC. Khả năng tồn tại của một hệ thống phản ánh khả năng của mình để tiếp tục cung cấp dịch vụ thiết yếu kinh doanh hoặc nhiệm vụ-quan trọng cho người sử dụng hợp pháp trong khi nó bị tấn công hoặc sau khi một phần của hệ thống đã bị hư hỏng do hậu quả của một cuộc tấn công hoặc một lỗi hệ thống.Làm việc trên hệ thống khả năng tồn tại được thúc đẩy bởi thực tế đời sống kinh tế và xã hội chúng ta là phụ thuộc vào một máy tính điều khiển quan trọng cơ sở hạ tầng. Điều này bao gồm cơ sở hạ tầng cho việc cung cấp tiện ích (điện, nước, khí đốt, vv) và không kém nghiêm trọng, cơ sở hạ tầng để cung cấp và quản lý thông tin (động, Internet, Dịch vụ bưu chính, vv.). Tuy nhiên, khả năng tồn tại không phải là chỉ đơn giản là một vấn đề quan trọng infra¬structure. Bất kỳ tổ chức dựa trên hệ thống máy tính nối mạng quan trọng cần được quan tâm với làm thế nào kinh doanh của mình sẽ bị ảnh hưởng nếu hệ thống của họ đã không tồn tại một độc hại tấn công hay thất bại hệ thống nghiêm trọng. Vì vậy, cho kinh doanh hệ thống quan trọng, khả năng tồn tại phân tích và thiết kế nên là một phần của an ninh kỹ thuật quá trình.Duy trì sự sẵn có của dịch vụ quan trọng là tinh túy của khả năng tồn tại. Điều này có nghĩa rằng bạn cần phải biết:• Dịch vụ hệ thống mà là quan trọng nhất cho một doanh nghiệp;• làm thế nào các dịch vụ có thể bị tổn hại;• chất lượng tối thiểu của dịch vụ phải được duy trì; là gì• làm thế nào các dịch vụ này có thể được bảo vệ;• làm thế nào bạn có thể khôi phục một cách nhanh chóng nếu các dịch vụ trở nên không có sẵn.Ví dụ, trong một hệ thống xử lý các xe cứu thương despatching để đáp ứng với cuộc gọi khẩn cấp, các dịch vụ quan trọng là những người có liên quan với tham gia cuộc gọi và despatching xe cấp cứu y tế khẩn cấp. Các dịch vụ khác chẳng hạn như đăng nhập cuộc gọi, và xe cứu thương vị trí quản lý rất ít quan trọng bởi vì họ không yêu cầu thời gian thực chế biến hoặc vì thay thế cơ chế có thể được sử dụng. Ví dụ, để tìm vị trí của xe cứu thương bạn có thể gọi phi hành đoàn xe cứu thương và yêu cầu họ, nơi họ đang có.Ellison và đồng nghiệp (Ellison, et al., 1999; Ellison, et al., 1999a; Ellison, et al., 2002) đã thiết kế một phương pháp phân tích được gọi là FMC hệ thống phân tích. Điều này được sử dụng để đánh giá các lỗ hổng trong các hệ thống và hỗ trợ thiết kế hệ thống kiến trúc và các tính năng thúc đẩy hệ thống khả năng tồn tại. Họ tranh luận rằng đạt được khả năng tồn tại phụ thuộc vào ba chiến lược bổ sung:

Kết quả (Việt) 2:

Cho đến nay, tôi đã thảo luận về kỹ thuật an ninh từ quan điểm của một ứng dụng đang được phát triển. Hệ thống ma cô và nhà phát triển có thể kiểm soát tất cả các khía cạnh của hệ thống có thể bị tấn công. Trong thực tế, như tôi đã gợi ý trong hình 30.1, hệ thống phân phối modem chắc chắn dựa trên COTS và phần tái sử dụng mà đã được phát triển một cách riêng biệt. Đặc điểm an ninh của họ có thể là các dịch vụ web bên ngoài và cơ sở hạ tầng mạng lưới nằm ngoài sự kiểm soát của các ứng dụng. 
Điều này có nghĩa rằng, bất kể có bao nhiêu chú trọng đến an ninh, nó can¬not được đảm bảo rằng hệ thống sẽ có thể chống lại các cuộc tấn công từ bên ngoài . Do đó, đối với hệ thống mạng phức tạp, bạn nên cho rằng sự thâm nhập là có thể và tính toàn vẹn của hệ thống không thể được đảm bảo. Do đó bạn nên suy nghĩ về làm thế nào để làm cho hệ thống đàn hồi để nó tồn tại để cung cấp các dịch vụ thiết yếu cho người sử dụng.
Khả năng sống sót (Westmark, 2004) là một tài sản nổi của một hệ thống như một toàn thể chứ không phải là một tài sản của các thành phần cá nhân, trong đó không thể tự được survivable. Các khả năng sống sót của một hệ thống phản ánh khả năng của mình để tiếp tục cung cấp các dịch vụ thiết yếu business- hay nhiệm vụ quan trọng cho người sử dụng hợp pháp trong khi nó đang bị tấn công hoặc sau khi một phần của hệ thống đã bị hư hại do hậu quả của một trong hai cuộc tấn công hoặc thất bại của hệ thống.
Work trên hệ thống sống sót đã được nhắc nhở bởi thực tế là đời sống kinh tế và xã hội của chúng tôi phụ thuộc vào cơ sở hạ tầng quan trọng máy tính kiểm soát. Điều này bao gồm các cơ sở hạ tầng cho các tiện ích cung cấp (điện, nước, gas, vv), và bình đẳng giới phê bình, các cơ sở hạ tầng cho việc cung cấp và quản lý thông tin (điện thoại, Internet, dịch vụ bưu chính, vv). Tuy nhiên, khả năng sống sót không chỉ đơn giản là một vấn đề quan trọng infra¬structure. Bất kỳ tổ chức dựa trên các hệ thống máy tính nối mạng quan trọng cần được quan tâm với cách kinh doanh của mình sẽ bị ảnh hưởng nếu hệ thống của họ đã không tồn tại một cuộc tấn công độc hại hay lỗi hệ thống nghiêm trọng. Vì vậy, đối với các hệ thống quan trọng business-, phân tích khả năng sống sót và thiết kế nên là một phần của quá trình kỹ thuật an ninh.
Duy trì sự sẵn có của các dịch vụ quan trọng là bản chất của năng sống sót. Điều này có nghĩa rằng bạn phải biết:
• các dịch vụ hệ thống là quan trọng nhất đối với một doanh nghiệp;
• làm thế nào những dịch vụ này có thể bị tổn hại;
• chất lượng tối thiểu của dịch vụ đó phải được duy trì là những gì;
• làm thế nào những dịch vụ có thể được bảo vệ;
• làm thế nào bạn có thể phục hồi nhanh chóng nếu các dịch vụ trở thành không có.
Ví dụ, trong một hệ thống xử lý xe cứu thương despatching để đáp ứng với các cuộc gọi khẩn cấp, các dịch vụ quan trọng là những người có liên quan với việc các cuộc gọi và despatching xe cứu thương đi cấp cứu y tế. Các dịch vụ khác như gọi khai thác gỗ, và xe cứu thương quản lý vị trí ít quan trọng hoặc vì họ không yêu cầu xử lý thời gian thực hoặc do cơ chế thay thế có thể được sử dụng. Ví dụ, để tìm vị trí của một xe cứu thương, bạn có thể gọi các phi hành đoàn xe cứu thương và yêu cầu họ mà họ đang có.
Ellison và các đồng nghiệp (Ellison, et al, 1999;. Ellison, et al, 1999a;.. Ellison, et al, 2002) có thiết kế một phương pháp phân tích gọi là Hệ thống Survivable Phân tích. Điều này được sử dụng để đánh giá các lỗ hổng trong hệ thống và hỗ trợ các thiết kế của kiến trúc hệ thống và tính năng thúc đẩy hệ thống khả năng sống sót. Họ lập luận rằng việc đạt được khả năng sống sót phụ thuộc vào ba chiến lược bổ sung: