網(wǎng)絡(luò)彈性測評系統(tǒng)設(shè)計指南（征求意見稿）

1×××××—2024網(wǎng)絡(luò)彈性測評系統(tǒng)設(shè)計指南本文件給出了網(wǎng)絡(luò)彈性測評系統(tǒng)的設(shè)計指南，分別從物理資源層、基礎(chǔ)設(shè)施層、內(nèi)容層、業(yè)務(wù)層、用戶界面層五個層級進(jìn)行闡述。本文件適用于為信息系統(tǒng)提供網(wǎng)絡(luò)彈性測評服務(wù)的系統(tǒng)的設(shè)計、構(gòu)建、實施等活動。本標(biāo)準(zhǔn)適用對象為：信息系統(tǒng)網(wǎng)絡(luò)安全保護(hù)、安全運(yùn)營、安全保障等方面的網(wǎng)絡(luò)彈性評估系統(tǒng)。2規(guī)范性引用文件下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對應(yīng)的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。GB/T25069信息安全技術(shù)術(shù)語3術(shù)語和定義GB/T25069界定的以及下列術(shù)語和定義適用于本文件。3.1彈性resilience用于準(zhǔn)備和適應(yīng)不斷變化的條件，承受包括蓄意攻擊、事故或自然發(fā)生的威脅事件的破壞并從破壞中迅速恢復(fù)的能力。3.2網(wǎng)絡(luò)彈性cyberresilience信息系統(tǒng)網(wǎng)絡(luò)能夠預(yù)測、抵御、恢復(fù)、適應(yīng)包括壓力、攻擊、破壞等在內(nèi)的不利條件的能力。3.3網(wǎng)絡(luò)安全事件cybersecurityincident由于人為原因、軟硬件缺陷或故障、自然災(zāi)害等，危害網(wǎng)絡(luò)和信息系統(tǒng)或者其中的數(shù)據(jù)，導(dǎo)致業(yè)務(wù)中斷，對個人、組織、國家、社會、經(jīng)濟(jì)等方面造成負(fù)面影響的事件。3.4關(guān)鍵基礎(chǔ)業(yè)務(wù)importantandfundamentalbusiness一旦遭受網(wǎng)絡(luò)安全事件（3.3）可能會給組織或用戶造成重大損失的業(yè)務(wù)。3.5威脅情報threatintelligence用于預(yù)防和對抗針對組織或信息系統(tǒng)的網(wǎng)絡(luò)安全威脅的詳細(xì)、可操作的威脅信息。23.6攻擊樣本attacksample由個人、組織或平臺模擬或復(fù)現(xiàn)的可用網(wǎng)絡(luò)攻擊，描述了包括偵察、入侵、橫向移動、拒絕服務(wù)、數(shù)據(jù)泄露等多個階段在內(nèi)的整個網(wǎng)絡(luò)攻擊步驟。4符號和縮略語下列縮略語適用于本文件。APT：高級持續(xù)性威脅（AdvancedPersistentThreat）ATT&CK：對抗性戰(zhàn)術(shù)、技術(shù)以及公共知識庫（AdversarialTactics,Techniques,andCommonKnowledge）CCoA：網(wǎng)絡(luò)行動方案（CyberCoursesofAction）CVE：公共漏洞和暴露（CommonVulnerabilitiesandExposures）CVND：國家信息安全漏洞共享平臺（ChinaNationalVulnerabilityDatabase）DDoS：分布式拒絕服務(wù)（DistributedDenialofService）IDS：入侵檢測系統(tǒng)（IntrusionDetectionSystem）IPS：入侵防御系統(tǒng)（IntrusionPreventionSystem）5網(wǎng)絡(luò)彈性測評系統(tǒng)框架5.1網(wǎng)絡(luò)彈性概述網(wǎng)絡(luò)彈性能力是信息系統(tǒng)在面對內(nèi)部和外部不利條件時，對其進(jìn)行吸收和適應(yīng)，保證系統(tǒng)穩(wěn)定運(yùn)行并在必要時降級運(yùn)行的能力。其中，吸收是指系統(tǒng)具有應(yīng)對、解決內(nèi)外部不利條件的能力，可以通過冗余性和魯棒性等性質(zhì)實現(xiàn)；降級運(yùn)行是指當(dāng)遭受重大網(wǎng)絡(luò)安全事件時，系統(tǒng)能夠以相較于正常運(yùn)行模式性能降低的模式繼續(xù)運(yùn)行，保證系統(tǒng)關(guān)鍵業(yè)務(wù)功能的可達(dá)性和連續(xù)性。網(wǎng)絡(luò)彈性具有五個主要特征：1）聚焦于任務(wù)或業(yè)務(wù)功能；2）聚焦APT攻擊的影響；3）假設(shè)環(huán)境不斷變化；4）假設(shè)攻擊者必將攻破系統(tǒng)；5）假設(shè)攻擊者長期存在于系統(tǒng)中。網(wǎng)絡(luò)彈性能力包含“預(yù)防、承受、恢復(fù)、適應(yīng)”四個方面的內(nèi)涵。a）預(yù)防能力：保持對于網(wǎng)絡(luò)安全事件具有充分準(zhǔn)備、對于已知或未知網(wǎng)絡(luò)威脅或攻擊的感知與發(fā)現(xiàn)的能力，著眼于系統(tǒng)未遭到網(wǎng)絡(luò)攻擊之前的網(wǎng)絡(luò)安全能力。b）承受能力：系統(tǒng)應(yīng)對、解決網(wǎng)絡(luò)安全事件帶來的影響，保證關(guān)鍵基礎(chǔ)業(yè)務(wù)可達(dá)性、連續(xù)性的能力，抵御外部攻擊或內(nèi)部故障的能力，著眼于系統(tǒng)遭到網(wǎng)絡(luò)攻擊過程中的網(wǎng)絡(luò)安全能力。c）恢復(fù)能力：系統(tǒng)在網(wǎng)絡(luò)安全事件發(fā)生后，在預(yù)期時間內(nèi)恢復(fù)關(guān)鍵基礎(chǔ)業(yè)務(wù)功能和正常服務(wù)條件的能力，著眼于系統(tǒng)遭受網(wǎng)絡(luò)攻擊之后的網(wǎng)絡(luò)安全能力。d）適應(yīng)能力：系統(tǒng)自我修復(fù)與完善的能力，用以適應(yīng)內(nèi)、外部環(huán)境變化，不斷提升抗風(fēng)險水平，實現(xiàn)自適應(yīng)系統(tǒng)演進(jìn)的能力。該能力不僅面向適應(yīng)威脅環(huán)境的變化，還包括適應(yīng)系統(tǒng)自身技術(shù)和運(yùn)行環(huán)境的變化，著眼于系統(tǒng)遭受網(wǎng)絡(luò)攻擊前、中、后期全過程中的網(wǎng)絡(luò)安全能力。5.2測評對象及要素5.2.1網(wǎng)絡(luò)彈性測評對象網(wǎng)絡(luò)彈性測評的對象是網(wǎng)絡(luò)信息系統(tǒng)，大多由7個層面組成：物理層、網(wǎng)絡(luò)設(shè)施層、基礎(chǔ)設(shè)施層、數(shù)據(jù)層、應(yīng)用層、業(yè)務(wù)層、管理層。3×××××—2024a）物理層：機(jī)房供電、線路、設(shè)施等。b）網(wǎng)絡(luò)設(shè)施層：路由器、交換機(jī)、負(fù)載均衡設(shè)備、虛擬化設(shè)備等網(wǎng)絡(luò)設(shè)備。c）基礎(chǔ)設(shè)施層：服務(wù)器、云平臺、操作系統(tǒng)、虛擬化軟件、存儲設(shè)備、終端設(shè)備等。d）數(shù)據(jù)層：數(shù)據(jù)庫、業(yè)務(wù)數(shù)據(jù)、管理數(shù)據(jù)、運(yùn)維數(shù)據(jù)、系統(tǒng)交換共享數(shù)據(jù)、中間件等。e）應(yīng)用層：應(yīng)用軟件、應(yīng)用接口、用戶界面等。f）業(yè)務(wù)層：業(yè)務(wù)運(yùn)行指標(biāo)及策略、業(yè)務(wù)功能性能、業(yè)務(wù)戰(zhàn)略等。g）管理層：人員、制度、機(jī)構(gòu)、策略、建設(shè)、管理、運(yùn)維、供應(yīng)鏈、測評等。5.2.2網(wǎng)絡(luò)彈性測評要素網(wǎng)絡(luò)彈性測評的要素包括測評對象、系統(tǒng)外部風(fēng)險、系統(tǒng)內(nèi)部缺陷、網(wǎng)絡(luò)彈性指標(biāo)、網(wǎng)絡(luò)彈性測評對照指標(biāo)等。a）測評對象：包括系統(tǒng)物理層、網(wǎng)絡(luò)設(shè)施層、基礎(chǔ)設(shè)施層、數(shù)據(jù)層、應(yīng)用層、業(yè)務(wù)層、管理層。b）系統(tǒng)外部風(fēng)險：包括來自系統(tǒng)之外的威脅、攻擊、破壞等。c）系統(tǒng)內(nèi)部缺陷：包括系統(tǒng)設(shè)計、構(gòu)建、管理等方面存在的問題與不足。d）網(wǎng)絡(luò)彈性指標(biāo)：包括板塊指標(biāo)、一級指標(biāo)、二級指標(biāo)、三級指標(biāo)及多個要求項。e）網(wǎng)絡(luò)彈性測評：包括測評主體評估系統(tǒng)預(yù)防安全風(fēng)險的能力、承受安全風(fēng)險的能力、遭到攻擊后的恢復(fù)能力以及適應(yīng)風(fēng)險變化的能力。5.3網(wǎng)絡(luò)彈性測評系統(tǒng)框架網(wǎng)絡(luò)彈性測評系統(tǒng)框架包括物理資源層、基礎(chǔ)設(shè)施層、內(nèi)容層、業(yè)務(wù)層、用戶界面等5個層級，如圖2所示。a）物理資源層：主要包括網(wǎng)絡(luò)彈性測評底層所需的基本物理資源。b）基礎(chǔ)設(shè)施層：主要包括網(wǎng)絡(luò)彈性測評過程中所需的與測評數(shù)據(jù)相關(guān)的工具和模塊。c）內(nèi)容層：主要包括網(wǎng)絡(luò)彈性測評所依據(jù)的測評指標(biāo)與測評算法。d）業(yè)務(wù)層：主要包括網(wǎng)絡(luò)彈性測評系統(tǒng)監(jiān)測和分析待測系統(tǒng)所需的工具和模塊。e）用戶界面：主要包括網(wǎng)絡(luò)彈性測評系統(tǒng)與外部用戶之間的接口。圖2網(wǎng)絡(luò)彈性測評系統(tǒng)框架46網(wǎng)絡(luò)彈性測評系統(tǒng)工作流程網(wǎng)絡(luò)彈性測評系統(tǒng)工作流程表明了在構(gòu)建某個特定的網(wǎng)絡(luò)彈性測評任務(wù)后，在該任務(wù)的具體實施過程中，整個網(wǎng)絡(luò)彈性測評系統(tǒng)如何運(yùn)作，是測評者和被測評者所關(guān)注的重點(diǎn)，網(wǎng)絡(luò)彈性測評系統(tǒng)構(gòu)建流程見圖3。具體而言，網(wǎng)絡(luò)彈性測評系統(tǒng)工作流程應(yīng)包括三個階段：風(fēng)險模擬與利用、數(shù)據(jù)采集與處理和網(wǎng)絡(luò)彈性測評與分析a）風(fēng)險模擬與利用，包括外部環(huán)境風(fēng)險模擬、系統(tǒng)內(nèi)部缺陷挖掘、風(fēng)險要素利用。1）外部風(fēng)險模擬：應(yīng)包括已知風(fēng)險模擬、未知風(fēng)險模擬、風(fēng)險特征模擬、外部風(fēng)險環(huán)境模擬、多烈度風(fēng)險模擬。2）系統(tǒng)內(nèi)部缺陷挖掘：應(yīng)包括漏洞挖掘、內(nèi)置后門挖掘、自引入缺陷挖掘、內(nèi)置白盒漏洞挖掘、混沌工程挖掘。3）風(fēng)險要素利用：應(yīng)包括外部環(huán)境風(fēng)險利用、內(nèi)部缺陷風(fēng)險利用。b）數(shù)據(jù)采集與處理，包括數(shù)據(jù)采集、數(shù)據(jù)處理、數(shù)據(jù)監(jiān)測。1）數(shù)據(jù)采集：應(yīng)包含系統(tǒng)內(nèi)部狀態(tài)數(shù)據(jù)采集、系統(tǒng)外部環(huán)境數(shù)據(jù)采集。2）數(shù)據(jù)處理：應(yīng)包含格式化數(shù)據(jù)處理、非格式化數(shù)據(jù)處理、靜態(tài)數(shù)據(jù)處理、時序數(shù)據(jù)處理。3）數(shù)據(jù)監(jiān)測：應(yīng)包含原始數(shù)據(jù)波動監(jiān)測、處理后數(shù)據(jù)波動監(jiān)測。c）網(wǎng)絡(luò)彈性測評與分析，包括網(wǎng)絡(luò)彈性能力測評、網(wǎng)絡(luò)彈性能力分析、網(wǎng)絡(luò)彈性能力提升建議。1）網(wǎng)絡(luò)彈性能力測評：應(yīng)包括預(yù)防能力測評、承受能力測評、恢復(fù)能力測評、適應(yīng)能力測評、總體能力測評。2）網(wǎng)絡(luò)彈性能力分析：應(yīng)包括預(yù)防能力分析、承受能力分析、恢復(fù)能力分析、適應(yīng)能力分3）網(wǎng)絡(luò)彈性能力提升建議：應(yīng)包括預(yù)防能力提升建議、承受能力提升建議、恢復(fù)能力提升建議、適應(yīng)能力提升建議。圖3網(wǎng)絡(luò)彈性測評系統(tǒng)工作流程5×××××—20247物理資源層網(wǎng)絡(luò)彈性測評系統(tǒng)框架五層結(jié)構(gòu)中的物理資源層是計算、存儲、網(wǎng)絡(luò)等基礎(chǔ)物理資源的集合，位于最底層。物理資源層可以基于服務(wù)器或主機(jī)（例如ARM、X86等架構(gòu)的服務(wù)器或主機(jī)）來構(gòu)建，其資源以虛擬化技術(shù)為基礎(chǔ)，實現(xiàn)了資源池化、彈性伸縮、動態(tài)分配等功能。物理資源層是實際的網(wǎng)絡(luò)彈性測評任務(wù)執(zhí)行者，為網(wǎng)絡(luò)彈性測評系統(tǒng)提供高效、穩(wěn)定、安全的計算、存儲與通信服務(wù)。7.1存儲資源存儲資源是網(wǎng)絡(luò)彈性測評系統(tǒng)框架中用于存儲和管理的其他層服務(wù)實體的依賴或產(chǎn)生的各類數(shù)據(jù)的存儲系統(tǒng)，數(shù)據(jù)包括外部威脅情報數(shù)據(jù)、各層服務(wù)實體的配置數(shù)據(jù)、采集的各類可觀測的數(shù)據(jù)、各層服務(wù)實體的處理數(shù)據(jù)等。通過虛擬化技術(shù)，存儲資源可以實現(xiàn)數(shù)據(jù)集中管理、容量自動擴(kuò)展、高可用性等優(yōu)勢。根據(jù)數(shù)據(jù)安全性和可用性的要求，存儲資源可采用分布式存儲、備份和容災(zāi)等方案。7.2計算資源計算資源負(fù)責(zé)處理和執(zhí)行用戶提交的各種計算任務(wù)。通過虛擬化技術(shù)，計算資源可以實現(xiàn)多任務(wù)共享、動態(tài)調(diào)度和集中管理。在網(wǎng)絡(luò)彈性測評系統(tǒng)框架的分成架構(gòu)中，計算資源為攻擊實施、網(wǎng)絡(luò)彈性指標(biāo)計算、數(shù)據(jù)處理與分析等上層任務(wù)提供計算能力。計算資源的分配和管理可采用類似于“按需分配”的模式，各種測評任務(wù)可根據(jù)需求獲取相應(yīng)的計算能力。這種模式的優(yōu)勢在于能夠提高資源利用率、降低成本并滿足任務(wù)多樣化的需求。7.3網(wǎng)絡(luò)資源網(wǎng)絡(luò)資源是網(wǎng)絡(luò)彈性測評系統(tǒng)中負(fù)責(zé)數(shù)據(jù)傳輸和通信的基礎(chǔ)設(shè)施。網(wǎng)絡(luò)彈性測評系統(tǒng)的網(wǎng)絡(luò)為了滿足不同測評任務(wù)的需求，應(yīng)具備靈活的組網(wǎng)能力，支持多種網(wǎng)絡(luò)協(xié)議和管理策略。在網(wǎng)絡(luò)彈性測評系統(tǒng)五層體系架構(gòu)中，網(wǎng)絡(luò)資源扮演著連接各種資源的角色，負(fù)責(zé)將計算系統(tǒng)相互連接起來，并將計算系統(tǒng)與存儲系統(tǒng)連起來，負(fù)責(zé)測評系統(tǒng)的各個業(yè)務(wù)模塊之間，測評系統(tǒng)與測評對象之間的數(shù)據(jù)的傳輸與通信。另外，優(yōu)化網(wǎng)絡(luò)資源配置可以提高數(shù)據(jù)傳輸效率，降低網(wǎng)絡(luò)延遲，從而提升整個網(wǎng)絡(luò)彈性測評系統(tǒng)的性能。8基礎(chǔ)設(shè)施層基礎(chǔ)設(shè)施層位于網(wǎng)絡(luò)彈性測評系統(tǒng)框架五層結(jié)構(gòu)中（自底向上）的第二層，以第7章所述的物理資源層為基礎(chǔ)，主要負(fù)責(zé)系統(tǒng)內(nèi)外部風(fēng)險的觸發(fā)以及數(shù)據(jù)采集與處理，包括攻擊工具集、數(shù)據(jù)采集模塊和數(shù)據(jù)處理模塊。8.1攻擊工具集網(wǎng)絡(luò)彈性測評流程的起始點(diǎn)，對系統(tǒng)外部風(fēng)險和內(nèi)部弱點(diǎn)進(jìn)行利用，模擬相應(yīng)攻擊，觸發(fā)系統(tǒng)外部風(fēng)險和內(nèi)部缺陷，支持網(wǎng)絡(luò)彈性測評的后續(xù)運(yùn)行，應(yīng)包括ATT&CK框架、攻擊工具庫、攻擊工具管理平臺、攻擊樣本編排平臺、攻擊工具介紹平臺。a）ATT&CK框架：攻擊工具集的底層映射框架，為各攻擊工具提供歸類依據(jù)，另外，提供豐富的網(wǎng)絡(luò)攻擊技戰(zhàn)術(shù)，指導(dǎo)攻擊樣本的生成，并為攻擊樣本的生成提供可解釋性。b）攻擊工具庫：提供網(wǎng)絡(luò)彈性測評所需的各類攻擊工具（例如burpsuite、kali-linux、sqlmap等），并依照ATT&CK框架進(jìn)行歸類。6c）攻擊工具管理平臺：對攻擊工具集種所包括的攻擊工具進(jìn)行管理，包括攻擊工具的添加、刪除、修改、查找。d）攻擊樣本編排平臺：實現(xiàn)ATT&CK框架下的各項技術(shù)及子技術(shù)、利用不同的攻擊工具編排不同場景下不同類型的攻擊樣本。e）攻擊工具介紹平臺：為內(nèi)容層、用戶界面層提供各攻擊工具的介紹，應(yīng)包括使用方法、使用場景、使用實例等。8.2數(shù)據(jù)采集模塊負(fù)責(zé)網(wǎng)絡(luò)彈性測評流程中生成的數(shù)據(jù)與信息系統(tǒng)固有靜態(tài)數(shù)據(jù)的采集。與物理資源層中的存儲資源（7.1）相連，實現(xiàn)相應(yīng)數(shù)據(jù)的階段性或持久化存儲。攻擊工具集（8.1）所觸發(fā)的系統(tǒng)外部風(fēng)險和內(nèi)部缺陷將導(dǎo)致系統(tǒng)外部環(huán)境數(shù)據(jù)和內(nèi)部狀態(tài)數(shù)據(jù)產(chǎn)生變化，數(shù)據(jù)采集模塊對變化前后的數(shù)據(jù)進(jìn)行采集，應(yīng)包括系統(tǒng)內(nèi)部狀態(tài)數(shù)據(jù)采集、系統(tǒng)外部環(huán)境數(shù)據(jù)采集。a）系統(tǒng)內(nèi)部狀態(tài)數(shù)據(jù)采集：利用傳感器、探針等收集系統(tǒng)內(nèi)部狀態(tài)數(shù)據(jù)，包括系統(tǒng)配置信息、日志、響應(yīng)速度、進(jìn)程狀態(tài)等。b）系統(tǒng)外部環(huán)境數(shù)據(jù)采集：利用IDS、IPS、防火墻等系統(tǒng)監(jiān)測并采集系統(tǒng)外部環(huán)境數(shù)據(jù)，包括網(wǎng)絡(luò)設(shè)備位置、網(wǎng)絡(luò)流量特征等。8.3數(shù)據(jù)處理模塊負(fù)責(zé)網(wǎng)絡(luò)彈性測評流程中生成的數(shù)據(jù)與信息系統(tǒng)固有靜態(tài)數(shù)據(jù)的處理。該模塊從物理資源層中的存儲資源（7.1）與數(shù)據(jù)采集模塊（8.2）中獲取所需的數(shù)據(jù)并進(jìn)行處理與分析，應(yīng)包含格式化數(shù)據(jù)處理、非格式化數(shù)據(jù)處理、靜態(tài)數(shù)據(jù)處理、時序數(shù)據(jù)處理。a）格式化數(shù)據(jù)處理：對數(shù)值、數(shù)組、表格等高度格式化的數(shù)據(jù)進(jìn)行處理，例如系統(tǒng)配置信息、時間序列、不同時刻的系統(tǒng)響應(yīng)時間等。b）非格式化數(shù)據(jù)處理：對圖像、視頻、音頻、自然語言等非格式化數(shù)據(jù)進(jìn)行處理，例如網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)、攝像頭抓取的外部環(huán)境信息等。c）靜態(tài)數(shù)據(jù)處理：對不會改變或很少改變的數(shù)據(jù)進(jìn)行處理，例如設(shè)備型號、軟硬件版本、網(wǎng)絡(luò)資源冗余度等。d）時序數(shù)據(jù)處理：對隨著事件改變的數(shù)據(jù)進(jìn)行處理，例如服務(wù)響應(yīng)時間、設(shè)備或機(jī)房溫度、網(wǎng)絡(luò)流量等。9內(nèi)容層內(nèi)容層位于網(wǎng)絡(luò)彈性測評系統(tǒng)框架五層結(jié)構(gòu)中（自底向上）的第三層，根據(jù)測評人員關(guān)注的側(cè)重點(diǎn)為當(dāng)前網(wǎng)絡(luò)彈性測評提供指標(biāo)、算法、風(fēng)險要素方面的選擇，包括指標(biāo)體系、風(fēng)險要素、評估算法模型。9.1指標(biāo)體系9.1.1國家標(biāo)準(zhǔn)網(wǎng)絡(luò)彈性由“預(yù)防、承受、恢復(fù)和適應(yīng)”四種能力構(gòu)成，作為評估網(wǎng)絡(luò)彈性的一級指標(biāo)。其中，預(yù)防能力涵蓋四個二級指標(biāo)：態(tài)勢感知、檢查分析、協(xié)同防御和供應(yīng)鏈管理。承受能力包括應(yīng)急響應(yīng)、損失限制、遏制和生存性四個二級指標(biāo)。恢復(fù)能力由災(zāi)難備份、業(yè)務(wù)連續(xù)性和數(shù)據(jù)與業(yè)務(wù)恢復(fù)三個二級指標(biāo)組成。適應(yīng)能力則包含自主管理、重構(gòu)、節(jié)點(diǎn)適應(yīng)性和網(wǎng)絡(luò)適應(yīng)性四個二級指標(biāo)。每個二7×××××—2024級指標(biāo)下設(shè)有多個三級指標(biāo)，整體構(gòu)成15項二級指標(biāo)和63項三級指標(biāo)的指標(biāo)體系。指標(biāo)體系見表表1網(wǎng)絡(luò)彈性國家標(biāo)準(zhǔn)指標(biāo)體系一級指標(biāo)二級指標(biāo)三級指標(biāo)基本項擴(kuò)展項預(yù)防能力態(tài)勢感知檢測、重大風(fēng)險源監(jiān)測、監(jiān)測預(yù)警、特征已知威脅檢測特征未知威脅檢測檢查分析重大網(wǎng)絡(luò)安全威脅分析、重大風(fēng)險源分析級聯(lián)事件分析協(xié)同防御協(xié)同防御策略、情報共享自建威脅情報庫供應(yīng)鏈管理關(guān)鍵設(shè)備清單、供應(yīng)商資質(zhì)備案、知識產(chǎn)權(quán)管理多供應(yīng)商服務(wù)承受能力應(yīng)急響應(yīng)應(yīng)急預(yù)案管理、應(yīng)急處置有序響應(yīng)損失限制減少攻擊面、分離關(guān)鍵業(yè)務(wù)、IP地址受控訪問縮短時間窗、分段隔離遏制動態(tài)隔離、路由隔離延遲、重定向生存性安全失效模式、降級模式防故障模式、吸收模式恢復(fù)能力災(zāi)難備份備份策略、備份數(shù)據(jù)保護(hù)重要備份數(shù)據(jù)加密、安全庫存?zhèn)浞輼I(yè)務(wù)連續(xù)性可用性目標(biāo)、連續(xù)操作高可用性、還原或回滾數(shù)據(jù)與業(yè)務(wù)恢復(fù)恢復(fù)數(shù)據(jù)源、恢復(fù)策略、恢復(fù)目標(biāo)網(wǎng)絡(luò)恢復(fù)策略、重續(xù)運(yùn)行適應(yīng)能力自我修復(fù)完善、清除受損數(shù)據(jù)按需激活、積極防御重構(gòu)冗余、替換動態(tài)資源調(diào)度、業(yè)務(wù)重排節(jié)點(diǎn)適應(yīng)性節(jié)點(diǎn)加固、IP地址綁定與解綁便利性節(jié)點(diǎn)優(yōu)化、隨機(jī)IP地址、虛擬IP地址網(wǎng)絡(luò)適應(yīng)性負(fù)載均衡、路徑多樣性、路由協(xié)議多樣性數(shù)據(jù)與網(wǎng)絡(luò)分離、路由算法彈性9.1.2美國MITRE標(biāo)準(zhǔn)美國MITRE標(biāo)準(zhǔn)從阻止/避免、準(zhǔn)備、持續(xù)、遏制、理解、重建、轉(zhuǎn)變及重構(gòu)8個目標(biāo)對系統(tǒng)的網(wǎng)絡(luò)彈性進(jìn)行評估，目標(biāo)又可以進(jìn)一步分成若干子目標(biāo)，子目標(biāo)又可以細(xì)分為若干代表性活動。部分指標(biāo)見表2。表2美國MITRE標(biāo)準(zhǔn)部分指標(biāo)子目標(biāo)和活動指標(biāo)持續(xù)最小化服務(wù)交付降級：執(zhí)行任務(wù)損害評估;最小化服務(wù)交付中斷：執(zhí)行任務(wù)損害評估[任務(wù)/系統(tǒng)/資產(chǎn)]損害評估耗時阻止/避免應(yīng)用基本保護(hù)和風(fēng)險定制控制：基于關(guān)鍵度和敏感性(即資源對對手的吸引力)限制對資源的訪問根據(jù)敏感度進(jìn)行控制訪問的網(wǎng)絡(luò)資源的百分比準(zhǔn)備創(chuàng)建和維護(hù)網(wǎng)絡(luò)行動方案：定義/維護(hù)包含現(xiàn)實CCoA的網(wǎng)絡(luò)行動手冊網(wǎng)絡(luò)手冊中至少有一個CCoA處理的潛在網(wǎng)絡(luò)效應(yīng)類別的百分比扼制識別潛在破壞：識別潛在被攻陷或故障的進(jìn)程或服務(wù)檢查故障進(jìn)程或服務(wù)的頻率理解了解對手：揭示對手的數(shù)據(jù)收集或泄露包含可通過網(wǎng)絡(luò)搜索發(fā)現(xiàn)的隱藏簽名的高價值信息資產(chǎn)的百分比重建恢復(fù)功能：根據(jù)應(yīng)急措施或連續(xù)性運(yùn)營計從事故中恢復(fù)的平均時間長度8劃執(zhí)行恢復(fù)程序轉(zhuǎn)變重新定義任務(wù)線程以提高靈敏度：減少與持續(xù)進(jìn)程或通信相關(guān)的開銷和風(fēng)險非持久化的服務(wù)或進(jìn)程的百分比重構(gòu)修改系統(tǒng)或子系統(tǒng)以降低風(fēng)險：識別并減輕任務(wù)線程對非任務(wù)功能的共享資源的不必要依賴可識別的不依賴于非任務(wù)功能的共享資源的任務(wù)線程的百分比9.1.3紫金山實驗室標(biāo)準(zhǔn)紫金山實驗室標(biāo)從威脅態(tài)勢感知性、威脅抵御魯棒性、威脅損害恢復(fù)性和威脅變化適應(yīng)性等四個評價內(nèi)容對系統(tǒng)的網(wǎng)絡(luò)彈性進(jìn)行評估（威脅態(tài)勢感知性、威脅抵御魯棒性、威脅損害恢復(fù)性和威脅變化適應(yīng)性分別對應(yīng)于國標(biāo)中的預(yù)防能力、承受能力、恢復(fù)能力、適應(yīng)能力）。每個評價內(nèi)容通過一個或多個評價要點(diǎn)對其進(jìn)行評價，每個評價要點(diǎn)由若干評價項目構(gòu)成。針對每個評價項目，可以定義一個或多個定量度量指標(biāo)。如表3所示。表3紫金山實驗室標(biāo)準(zhǔn)指標(biāo)體系評價內(nèi)容評價要點(diǎn)評價項目代表性指標(biāo)威脅態(tài)勢感知性威脅數(shù)據(jù)分析威脅數(shù)據(jù)記錄是否對任務(wù)關(guān)鍵資源建立和維護(hù)日志記錄；監(jiān)控的網(wǎng)絡(luò)資源百分比；惡意活動的審計記錄分析頻率威脅回溯分析通過威脅分析指定的入侵指標(biāo)或可觀察指標(biāo)的數(shù)量；啟用惡意軟件或取證分析到使用分析結(jié)果之間的時間威脅事件感知異常輸入感知系統(tǒng)使用的威脅情報源的數(shù)量；威脅情報源更新的頻率；系統(tǒng)監(jiān)測的威脅類型的數(shù)量；從輸入發(fā)生異常到感知到異常所需的平均時間異常性能感知判斷性能異常考慮的指標(biāo)的數(shù)量；從性能發(fā)生異常到感知到異常所需的平均時間未知威脅感知系統(tǒng)是否能夠發(fā)現(xiàn)未知的威脅活動或異常情況；從檢測到未知威脅事件到完成評估損害過程的平均時間威脅抵御魯棒性威脅積累防范資源可信度標(biāo)識對可信度進(jìn)行標(biāo)識的任務(wù)關(guān)鍵資源的百分比不可信資源卷回可動態(tài)卷回的關(guān)鍵資源的百分比；從不可信資源卷回到可信資源上線的平均時間不可信資源替換用受保護(hù)資源替換不可信資源所需的時間；資源替換后對資源不受類似問題影響的信心資源非持續(xù)按需生成并在不需要時終止的資源百分比；資源的最大或平均使用期限；資源到期后是否殘漏敏感數(shù)據(jù)威脅目標(biāo)隱藏資源可隱藏應(yīng)用密碼加密的資源的百分比；密碼加密機(jī)制的強(qiáng)度資源可偽裝能夠?qū)嵤﹤窝b的網(wǎng)絡(luò)資源百分比；單位時間內(nèi)資源更改偽裝的頻率威脅損害恢復(fù)性威脅損害限制資源可隔離從決定隔離資源到完成隔離之間的時間；從其他位置發(fā)現(xiàn)、訪問或使用的動態(tài)隔離資源的百分比資源可遷移能夠動態(tài)遷移的網(wǎng)絡(luò)資源的百分比；完成資源遷移過程所需時間；從決定遷移資源到遷9×××××—2024移資源可用之間的時間資源可重配置能夠動態(tài)重配置的資源百分比；完成資源重配置過程所需時間；單位時間內(nèi)修改資源配置的頻率受損資源恢復(fù)資源冗余性存在冗余并且能夠動態(tài)切換到冗余的資源百分比資源可替換資源完成切換到冗余過程所需時間；單位時間內(nèi)資源切換到冗余的頻率威脅變化適應(yīng)性威脅環(huán)境重構(gòu)資源多樣性存在多個異構(gòu)實現(xiàn)的網(wǎng)絡(luò)資源的百分比；實現(xiàn)相同或相似能力所使用的不同技術(shù)架構(gòu)或標(biāo)準(zhǔn)的數(shù)量；來自非重疊供應(yīng)鏈的資源百分比資源可選擇能夠動態(tài)選擇運(yùn)行實例的資源百分比資源可升級完成資源升級所需的時間；從決定升級資源到升級資源可用之間的時間9.2風(fēng)險要素系統(tǒng)的風(fēng)險要素可以分為外部風(fēng)險要素、內(nèi)部風(fēng)險要素、風(fēng)險要素利用三部分。外部風(fēng)險要素主要來自網(wǎng)絡(luò)系統(tǒng)外部的環(huán)境和因素，它們可能通過網(wǎng)絡(luò)攻擊、自然災(zāi)害等方式影響網(wǎng)絡(luò)系統(tǒng)的正常運(yùn)行。內(nèi)部風(fēng)險則主要來自內(nèi)部的人員、流程和技術(shù)等方面，它們可能由于不當(dāng)行為或技術(shù)缺陷而導(dǎo)致安全風(fēng)險。風(fēng)險要素利用提供了如何利用上述兩種風(fēng)險要素的具體方法和實例。外部風(fēng)險要素應(yīng)包括網(wǎng)絡(luò)攻擊、自然災(zāi)害與意外事件、供應(yīng)鏈風(fēng)險。a）網(wǎng)絡(luò)攻擊：包括各種形式的網(wǎng)絡(luò)攻擊，如DDoS（分布式拒絕服務(wù)）攻擊、病毒、勒索軟件等。攻擊可能導(dǎo)致網(wǎng)絡(luò)癱瘓、數(shù)據(jù)泄露或損壞。b）自然災(zāi)害與意外事件：自然災(zāi)害（如地震、洪水）和意外事件（如電力中斷、設(shè)備故障）可能對網(wǎng)絡(luò)系統(tǒng)的正常運(yùn)行造成影響。c）供應(yīng)鏈風(fēng)險：依賴外部供應(yīng)商或服務(wù)提供商的網(wǎng)絡(luò)產(chǎn)品和服務(wù)，存在供應(yīng)商破產(chǎn)、服務(wù)中斷等風(fēng)險。供應(yīng)鏈中斷可能導(dǎo)致關(guān)鍵服務(wù)的不可用，影響整體業(yè)務(wù)的正常運(yùn)作。內(nèi)部風(fēng)險要素應(yīng)包括技術(shù)故障、流程不完善、管理失誤、數(shù)據(jù)泄露。a）技術(shù)故障：包括硬件故障（如服務(wù)器崩潰）、軟件缺陷（如系統(tǒng)漏洞）、配置錯誤等。技術(shù)問題可能導(dǎo)致服務(wù)中斷或性能下降。b）流程不完善：內(nèi)部流程的設(shè)計缺陷或?qū)嵤┎坏轿?，例如缺乏?biāo)準(zhǔn)操作程序，流程缺陷可能導(dǎo)致資源浪費(fèi)、效率低下或無法有效應(yīng)對突發(fā)事件，進(jìn)而影響業(yè)務(wù)連續(xù)性。c）管理失誤：包括戰(zhàn)略決策失誤、缺乏有效的管理流程和應(yīng)急預(yù)案等。管理不善可能導(dǎo)致對風(fēng)險的反應(yīng)不及時，從而造成損失加劇，影響企業(yè)的韌性。d）數(shù)據(jù)泄露：內(nèi)部員工對敏感數(shù)據(jù)的管理不當(dāng)，或系統(tǒng)安全措施不足而導(dǎo)致數(shù)據(jù)泄露。風(fēng)險要素利用應(yīng)包括威脅情報中心、攻擊樣本庫。a）威脅情報中心：基于攻擊工具集（8.1）中的ATT&CK框架建立，用于收集最新的網(wǎng)絡(luò)攻防技戰(zhàn)術(shù)和信息系統(tǒng)相關(guān)漏洞，并將其反饋給底層的ATT&CK框架，實現(xiàn)二者的同步。同時提供如何利用漏洞的說明，應(yīng)包括CVE、CVND。b）攻擊樣本庫：基于攻擊工具集（8.1）中的ATT&CK框架建立，存儲ATT&CK框架下的各項技術(shù)及子技術(shù)、威脅情報樣本以及攻擊工具集（8.1）中已編排的不同場景下的不同類型的攻擊樣本，并提供如何使用攻擊樣本的說明。9.3評估算法模型9.3.1國家標(biāo)準(zhǔn)評估算法逐一對指標(biāo)進(jìn)行評價，評價結(jié)果包括符合、不符合、不適用。其中，單項指標(biāo)評價結(jié)果為符合則得分為1分，不符合為0分，不適用項不計分。裁定標(biāo)準(zhǔn)如下：a)符合：指標(biāo)的內(nèi)容全部得到了滿足；b)不符合：指標(biāo)的內(nèi)容未全部得到滿足；c)不適用：指標(biāo)的應(yīng)用場景或評價方法不適用于評價對象。對兩類指標(biāo)的得分分別進(jìn)行，匯總網(wǎng)絡(luò)彈性評價分值計算如下：基本項指標(biāo)分值=基本項指標(biāo)單項評價總分/總適用項100%；擴(kuò)展項指標(biāo)分值=擴(kuò)展項指標(biāo)單項評價總分/總適用項100%。根據(jù)網(wǎng)絡(luò)彈性評價分值，確定網(wǎng)絡(luò)彈性等級。網(wǎng)絡(luò)彈性等級的劃分原則見表4。表4網(wǎng)絡(luò)彈性等級劃分評價等級指標(biāo)分值基本項指標(biāo)總分達(dá)到100%擴(kuò)展項指標(biāo)總分≥90%基本項指標(biāo)總分達(dá)到100%擴(kuò)展項指標(biāo)總分≥75%基本項指標(biāo)總分達(dá)到100%擴(kuò)展項指標(biāo)總分≥60%基本項指標(biāo)總分達(dá)到100%9.3.2美國MITRE標(biāo)準(zhǔn)評估算法系統(tǒng)的網(wǎng)絡(luò)彈性評價采用逐級加權(quán)評分計算方式，計算流程如下1）計算各活動得分，具體計算流程如下：a.根據(jù)業(yè)務(wù)場景等因素確定各指標(biāo)在各活動中的優(yōu)先級（即權(quán)重）b.確定各項指標(biāo)得分，得分為0-5的整數(shù)c.對各指標(biāo)得分進(jìn)行加權(quán)平均，得到各活動得分2）計算子目標(biāo)得分a.根據(jù)業(yè)務(wù)場景等因素確定各活動在各子目標(biāo)中的優(yōu)先級，優(yōu)先級為0-5的整數(shù)，其中5為最高優(yōu)先級。b.根據(jù)式3將各項活動得分進(jìn)行加權(quán)平均計算得到子目標(biāo)得分，其中ssub-objective為子目標(biāo)得分，performance(activity)為子目標(biāo)下每個活動的評分，priorty(acitvity)為每個活動的優(yōu)先級，actiities為子目標(biāo)下活動的數(shù)量。3）計算目標(biāo)得分a.根據(jù)業(yè)務(wù)場景等因素確定各子目標(biāo)在各目標(biāo)中的優(yōu)先級，優(yōu)先級為0-5的整數(shù)，其中5為最高優(yōu)先級b.根據(jù)式4將各項子目標(biāo)得分進(jìn)行加權(quán)平均計算得到目標(biāo)得分，其中，sobject為目標(biāo)得分，performance(sub-objective)為目標(biāo)下的子目標(biāo)得分，priority(sub-objective)為每個活動的優(yōu)先級，sub-objectives為子目標(biāo)的數(shù)量?！痢痢痢痢痢?0244）計算系統(tǒng)的網(wǎng)絡(luò)彈性整體得分a.根據(jù)業(yè)務(wù)場景等因素確定各目標(biāo)在總得分中的優(yōu)先級，優(yōu)先級為0-5的整數(shù)，其中5為最高優(yōu)先級b.根據(jù)式5將各項目標(biāo)得分映射為網(wǎng)絡(luò)彈性整體得分，其中s為網(wǎng)絡(luò)彈性整體得分，performance(objective)為目標(biāo)的得分，priority(objective)為目標(biāo)的優(yōu)先級，objectives為目標(biāo)的數(shù)量。9.3.3紫金山實驗室標(biāo)準(zhǔn)評估算法系統(tǒng)的網(wǎng)絡(luò)彈性評價采用逐級加權(quán)評分計算方式，首先可以通過靜態(tài)評估、對抗評估或破壞性評估對度量指標(biāo)進(jìn)行評估，基于評估結(jié)果對評價項目進(jìn)行打分（評價項目的打分范圍為0-5分）基于評價項目的得分，通過公式1加權(quán)計算各個評價要點(diǎn)的得分，其中i表示評價要點(diǎn)數(shù)，j表示評價要點(diǎn)i內(nèi)的評價項目數(shù)，Si表示評價要點(diǎn)i的評分，wij表示評價要點(diǎn)i內(nèi)評價項目j的權(quán)重，Rij表示評價要點(diǎn)i內(nèi)評價項目j的評分，評分范圍為0-50。通過公式2計算系統(tǒng)的網(wǎng)絡(luò)彈性整體評分，評分范圍為0-100,其中，S表示網(wǎng)絡(luò)彈性整體評分，wi表示評價要點(diǎn)i的權(quán)重，Si表示評價要點(diǎn)i的評分。S=100×Σiwi×Si/(5)10業(yè)務(wù)層業(yè)務(wù)層位于網(wǎng)絡(luò)彈性測評系統(tǒng)框架五層結(jié)構(gòu)中（自底向上）的第四層，是網(wǎng)絡(luò)彈性測評系統(tǒng)框架中核心業(yè)務(wù)服務(wù)實體的集合，基于下層的內(nèi)容層與基礎(chǔ)設(shè)施層向上層提供網(wǎng)絡(luò)彈性測評服務(wù)，核心服務(wù)實體包括測評模塊、監(jiān)測模塊、分析模塊。10.1測評模塊測評模塊串聯(lián)各層服務(wù)實體，構(gòu)建被評價系統(tǒng)的完整的網(wǎng)絡(luò)彈性的測評流程，應(yīng)包括評價對象信息錄入子模塊、網(wǎng)絡(luò)彈性測評實驗環(huán)境構(gòu)建子模塊、網(wǎng)絡(luò)彈性測評任務(wù)執(zhí)行子模塊。a）評價對象信息錄入子模塊：基于被評價網(wǎng)絡(luò)信息系統(tǒng)的業(yè)務(wù)架構(gòu)與技術(shù)架構(gòu)分析，勾勒系統(tǒng)網(wǎng)絡(luò)彈性能力的基本輪廓，這一過程也稱為網(wǎng)絡(luò)彈性分析，主要包括系統(tǒng)背景分析、系統(tǒng)技術(shù)架構(gòu)分析、系統(tǒng)外部風(fēng)險與內(nèi)部缺陷分析。b）網(wǎng)絡(luò)彈性測評實驗環(huán)境構(gòu)建子模塊：基于被評價系統(tǒng)網(wǎng)絡(luò)彈性能力的基本輪廓，從內(nèi)容層的指標(biāo)體系庫中選出適用項?；诰W(wǎng)絡(luò)彈性評價指標(biāo)體系知識圖譜構(gòu)建網(wǎng)絡(luò)彈性測評實驗環(huán)境，包括從內(nèi)容層中調(diào)取評估算法模型、指標(biāo)關(guān)聯(lián)的測評場景編排腳本、場景腳本關(guān)聯(lián)的攻擊樣本集，從基礎(chǔ)設(shè)施層獲取攻擊樣本執(zhí)行所需的工具與其執(zhí)行環(huán)境構(gòu)建腳本、監(jiān)測指標(biāo)所需的探針，向物理資源層申請所需的計算、存儲、網(wǎng)絡(luò)資源。C）網(wǎng)絡(luò)彈性測評任務(wù)執(zhí)行子模塊：管理網(wǎng)絡(luò)彈性測評任務(wù)（開始、暫停、終止、刪除）、任務(wù)屬性配置（時長、資源、數(shù)據(jù)存儲路徑等）。10.2監(jiān)測模塊監(jiān)測模塊是實施網(wǎng)絡(luò)彈性測評流程的基礎(chǔ)，基于內(nèi)容層的標(biāo)準(zhǔn)網(wǎng)絡(luò)彈性評價指標(biāo)體系設(shè)置所需的探針，利用基礎(chǔ)設(shè)施層的數(shù)據(jù)采集模塊與數(shù)據(jù)處理模塊，將采集的數(shù)據(jù)預(yù)處理后，統(tǒng)一到監(jiān)測面板可視化展示，應(yīng)包括探針部署子模塊、數(shù)據(jù)預(yù)處理策略管理子模塊、監(jiān)測面板子模塊。a）探針部署子模塊：基于內(nèi)容層的標(biāo)準(zhǔn)網(wǎng)絡(luò)彈性評價指標(biāo)體系與系統(tǒng)網(wǎng)絡(luò)彈性能力的基本輪廓部署探針，調(diào)用基礎(chǔ)設(shè)施層用于數(shù)據(jù)采集。b）數(shù)據(jù)預(yù)處理策略管理子模塊：配置數(shù)據(jù)預(yù)處理的策略，策略下發(fā)給基礎(chǔ)設(shè)施層的數(shù)據(jù)處理模塊，通過過濾、降噪和聚合，把具備網(wǎng)絡(luò)彈性評分計算價值的數(shù)據(jù)進(jìn)行提取，保證數(shù)據(jù)質(zhì)量。c）監(jiān)測面板子模塊：可視化指標(biāo)數(shù)據(jù)、可視化測評任務(wù)狀態(tài)、可視化資源狀態(tài)。10.3分析模塊分析模塊是網(wǎng)絡(luò)彈性測評的目的，通過測評模塊輸出的網(wǎng)絡(luò)彈性測評結(jié)果，發(fā)現(xiàn)被評價的網(wǎng)絡(luò)信息系統(tǒng)的薄弱指標(biāo)項，給出能力提升建議，應(yīng)包括關(guān)聯(lián)