韧性指标调研

由于种种原因入站了做一些网络韧性评估方面的调研。这里围绕标准文件展开调研。弹性和韧性这两个词可以换着用是同一个意思。不过在写论文的时候统一用韧性英文都是resilience。解读AI解析人理解。相关标准文件NIST.SP.800-160v2r1NIST.SP.800-193NIST SP.800-53NIST SP.800-172NIST SP.800-37脉络第一章阐述了开发网络弹性系统的必要性定义了网络弹性 (Cyber Resiliency) 的核心概念即预测、抵御、恢复和适应并明确了目标受众和文件使用方法。第二章这是核心理论基础。它正式提出了网络弹性工程框架并详细介绍了框架的五个核心构建块 (constructs)即目标 (Goals)、子目标 (Objectives)、技术 (Techniques)、实现方法 (Approaches) 和设计原则 (Design Principles)并说明了它们之间的相互关系。第三章将理论付诸实践。它提供了如何选择和优先考虑适用的网络弹性构建块的指导并描述了一个可裁剪的分析流程用于评估现有或计划中的系统是否具有足够的网络弹性。这个分析流程包括理解上下文、建立基线、分析系统、定义替代方案和制定建议等步骤。附录提供了支持正文的详细技术信息和背景资料。Appendix A-C提供术语表、缩略词和背景信息解释了网络弹性与其他学科如安全、韧性工程的关系。 AppendixD核心参考详细描述了框架中的所有构建块目标、子目标、技术、方法、设计原则及其相互映射关系。 Appendix E映射了NISTSP 800-53中的安全控制措施这些控制措施可以直接支持网络弹性的实现。 AppendixF提供了一个以攻击者为导向的分析方法展示了网络弹性技术和方法如何影响攻击者的战术、技术和程序 (TTPs)。 AppendixG专门针对运营技术如工业控制系统进行了与Appendix F类似的分析。指标含义何为Sub-Objective“子目标 (Sub-objective)” 是网络弹性工程框架中的一个关键构建块它是对“目标 (Objective)”的进一步细化和分解。定义与含义定义根据文件中的术语表 (Appendix A)“子目标”是附属于网络弹性目标 (Objective)的声明它强调该目标的不同方面或确定实现该目标的方法。作用子目标的主要作用是作为一个中间层级将高层次、抽象的目标转化为更具体、更可操作的方向。它为后续定义更细致的“活动或能力(Activities or Capabilities)”以及制定具体的度量指标Metrics或有效性度量MOEs提供了桥梁。实践意义通过定义子目标工程师和利益相关者可以更清晰地理解每个高层目标在实际系统中意味着什么以及如何评估这些目标是否达成。在原文中的位置与描述关于子目标的定义和描述主要集中出现在以下位置位置一第二章 表1 (TABLE 1: CYBER RESILIENCY CONSTRUCTS)原文位置第24页PDF页码TABLE 1 中的 Sub-Objective 行。 原文描述 A statement,subsidiary to a cyber resiliency objective, that emphasizesdifferent aspects of that objective or identifies methods toachieve that objective. Purpose: Serve as a step in thehierarchical refinement of an objective into activities orcapabilities for which performance measures can be defined.Application: Used in scoring methods or analyses; may be reflected insystem functional requirements.解析此处明确指出子目标是目标的附属物用于强调不同方面或识别方法。其目的是作为将目标层级式地细化为可度量活动和能力的中间步骤。位置二第二章 第2.1.2节 “Cyber Resiliency Objectives”原文位置第26-28页PDF页码本节的最后一段。 原文描述 cyber resiliency objectives can behierarchically refined to emphasize the different aspects of anobjective or the methods to achieve an objective, thus creatingsub-objectives. 解析这里说明了子目标的来源即通过对目标进行层级式细化从而强调不同方面或实现方法。位置三附录D 第D.2节 “CYBER RESILIENCY OBJECTIVES” 原文位置第102-105页PDF页码特别是TABLE D-1: CYBER RESILIENCY SUB-OBJECTIVES。原文描述该表格是全文关于子目标最详尽、最具体的描述。表格为每一个高层“目标 (Objective)”都提供了“代表性子目标(Representative Sub-objectives)”和“代表性度量示例 (Representative Examples ofMetrics)”。解析这是理解子目标具体内涵的最佳位置。例如对于“Continue”继续这个目标其代表性子目标包括“最小化服务交付的降级”、“最小化服务中断”和“确保持续运行的正确性”。这些子目标指明了实现“Continue”目标的具体关注点并可直接用于定义度量指标。小结总而言之“子目标 (Sub-Objective)” 在网络弹性工程框架中扮演着承上启下的核心角色它是桥梁它将高层次的、战略性的“目标 (Goals)”如预测、抵御和“目标(Objectives)”如准备、继续与低层次的、可执行的技术实现和度量评估连接起来。它是细化它把抽象的“目标”分解为更具体、更聚焦的方面让系统工程师知道在设计和评估系统时应该关注什么。它是基础它为进一步定义具体的“活动/能力”和开发“度量指标”提供了直接依据是进行网络弹性分析和评估的起点。通过这种方式子目标确保了整个工程框架既保持了宏观的战略方向又具备了指导具体实践的操作性。个人解读在NIST SP 800-160 V2的2.1中给出了网络韧性工程框架框架的层级关系是cyber resiliency goals, objectives, techniques, implementation approaches, design principles。这里看sub-objectives没有单独拎出来但是在表D-1中Objective下面有两项分别是Sub-objective和“Activity or Capability”前者表示Objective的附属声明A statement, subsidiary to a cyber resiliency objective, that emphasizes different aspects of that objective or identifies methods to achieve that objective.后者表示能力或行动的声明表示它支持objective或sub-objectiveA statement of a capability or action that supports the achievement of a sub-objective and, hence, an objective.。在表格中用颜色着重强调且平级的是Goal, Objective, Strategic design principle, Structural design principle, Technique, Implementation approach, Solution, Mitigation。一共8个。其中Objective下面分出两个很明显Sub-objective算是一个更细的概念。从概念的描述来看同样是目标从Goal到Objective再到Sub-Objective是从抽象到具体。Goal最抽象Sub-objective最具体。Strategic design principle是反映风险管理策略的一个方面的高级声明Structural design principle是定义系统架构和设计的经验声明。看不出明显的上下级关系感觉是后者更具体一些涉及实现了前者是在管理策略层面的内容。Implementation approach和Solution看起来都是措施但是翻译过来看前者是实现方法后者是解决方案前者更具体后者更全面。从Figure 2来看Solution反而是最大的。但和表D-1中的内容不是一一对应的比如Risk management strategy在D-1中就没有approaches前面没有Implementation。说明文档在描述这些韧性要素的时候没有严格的界定。图2按照WhyWhat和How来划分可参考从这里可以看出这些要素之间不是简单的层次关系而是类似本体的对象属性关系。工作文档待补充。