网络弹性工程到底是什么？

如果加星标，可以及时收到推送

点击文末【阅读原文】,看到一个完整的安全系统

本文1024字，阅读时长4分钟，文章版本:V1.0

你好，我是你的朋友晓兵。又到了周四的时间，这里是锐安全《安全到底》栏目的第173篇、总第233篇原创文章《网络弹性工程到底是什么？》，今天大约需要4分钟时间，希望能给你带来启发。

有人说Resilience翻译成韧性更合适。

从物理学角度看，两者都是指物体对形变的适应能力，只不过弹性侧重表达形变还原的速度，弹性越大、还原速度越快；韧性侧重表达能够承受形变的作用力，韧性越强承受力越大。

从社会学角度看，弹性和韧性都是指一个人随环境改变自身行为模式的速度，弹性越大，改变越快，也可以说是顺势而为；韧性越强，改变越慢，也可以说是长期主义。

从安全角度看，我们对IT基础架构的安全期望是弹性和韧性都应具备的，当威胁来时，希望你有韧性，能抗得住。当抗不住的时候希望你有弹性，能快速自适应。

但是从语言表达的角度看，弹性比韧性更好听，所以大部分场合还是选择了“弹性”的说法。

MITRE公司于2011年推出了一个“网络弹性工程框架（Cyber Resiliency Engineering Framework）”，里面提到了专注于网络威胁的“网络弹性工程”的概念。

网络弹性工程是从网络安全、弹性工程、任务保障工程（Mission Assurance Engineering,MAE）扩展出来的一个横断子领域。

网络弹性工程与信息系统安全工程（information systems security engineering,ISSE）的不同之处在于威胁模型:网络弹性工程专注于持久、隐蔽和复杂的试图破坏当前或未来任务或业务职能的对手。这样的对手可以利用由威胁源（如自然灾害、结构故障）引起的事件。网络弹性不仅包括在攻击之前或攻击期间保护关键资源不受降级或拒绝服务的影响，还包括确保它们的完整性、可恢复或任务重建功能。

网络弹性工程是任务保障工程的一个子学科领域，它基于可靠性、存活能力、容错性、弹性工程、网络弹性等IT相关属性，和应急/连续性规划、任务/业务影响分析、关键基础设施的系统弹性等业务相关属性，建立了系统安全引擎、安全运营和管理、系统引擎性能和管理等三个重要组成部分。

任务保障工程是解决任务/业务在NIST定义的“风险管理”框架中的过程层的子领域集，其中包括：网络意识的企业转型战略（cyber-aware enterprise transformation strategies）、网络弹性工程（cyber resiliency engineering）、系统/采购任务保障工程（system/acquisition mission assurance engineering）等三个子领域。

而NIST定义的风险管理框架的过程层包括：一级的组织层，二级的任务/业务功能和体系层，三分之二级的通用基础设施、共享服务和应用/系统系列，三级的系统层等三级。

网络弹性工程主要是为NIST风险管理框架的第二级提供保障能力，并且与一级的组织层重叠，因为它同时为组织的投资和风险管理战略提供支撑。

网络弹性工程框架由四大要素构成：网络弹性要素、威胁模型、应用领域、成本面。

网络弹性要素包括4个网络弹性目标、8个网络弹性过程对象和14个网络弹性实践动作。

在这一年，MITRE公司并没有提出一个完整的网络弹性工程框架的架构图，完整的架构图，要等到4年以后。

恭喜你，又看完了一篇文章。从今天起，和我一起洞察安全本质！这里是锐安全，今天就到这里，咱们下周四再见！

点击文末【阅读原文】看到一个完整的安全系统

end

如果你对本文有任何建议,

欢迎联系我改进；

如果本文对你有任何帮助，

欢迎分享、点赞和在看