2014年2月，美國(guó)國(guó)家標(biāo)準(zhǔn)與技術(shù)研究所(NIST)發(fā)布了一套新的網(wǎng)絡(luò)安全指導(dǎo)方針，旨在幫助關(guān)鍵基礎(chǔ)設(shè)施提供者更好地保護(hù)自身，抵御攻擊。這一框架的出臺(tái)，源于奧巴馬總統(tǒng)在2013年發(fā)布的為關(guān)鍵基礎(chǔ)設(shè)施公司建立一套非強(qiáng)制性網(wǎng)絡(luò)安全標(biāo)準(zhǔn)行政命令。

[[130771]]

一年過(guò)后，NIST網(wǎng)絡(luò)安全框架在改善網(wǎng)絡(luò)彈性上有沒有起重大作用?是否就像反對(duì)者當(dāng)時(shí)預(yù)測(cè)的那樣，流于形式而荒于實(shí)質(zhì)?

NIST網(wǎng)絡(luò)空間安全框架源于美國(guó)面臨著最嚴(yán)重的經(jīng)濟(jì)和國(guó)家安全威脅之一，網(wǎng)絡(luò)攻擊。這一框架提供了：

· 一套用以預(yù)測(cè)和防護(hù)網(wǎng)絡(luò)攻擊的活動(dòng)(“核心”)

· 一套用以評(píng)估核心活動(dòng)實(shí)現(xiàn)程度和測(cè)算應(yīng)對(duì)攻擊的準(zhǔn)備程度的衡量標(biāo)準(zhǔn)。(“實(shí)施層”)

· 一份可用于通過(guò)對(duì)比當(dāng)前狀態(tài)分析和目標(biāo)狀態(tài)分析，得出改善組織網(wǎng)絡(luò)安全態(tài)勢(shì)機(jī)會(huì)的安全狀態(tài)分析報(bào)告。

另外，NIST網(wǎng)絡(luò)安全框架還包括一份大而全的所謂資訊性參考資料，也就是關(guān)鍵基礎(chǔ)設(shè)施產(chǎn)業(yè)通用的一些特定的標(biāo)準(zhǔn)、指南和實(shí)踐。

通過(guò)將所有這些資料集成到單一的一個(gè)知識(shí)庫(kù)里，政府為欠發(fā)達(dá)組織評(píng)估自身安全準(zhǔn)備水平和自我定位提供了一套通行的術(shù)語(yǔ)和方法論。就這一點(diǎn)而言，NIST網(wǎng)絡(luò)安全框架為網(wǎng)絡(luò)安全創(chuàng)建一套標(biāo)準(zhǔn)化方法邁出了良好的一步。然而，幾乎在它發(fā)布之初就已經(jīng)明了，這一框架需要后續(xù)很多實(shí)質(zhì)上的更新才能真正幫助改善國(guó)家網(wǎng)絡(luò) 彈性。因此，除了2月4號(hào)聽證會(huì)上提交給參議院委員會(huì)的一些坊間證據(jù)之外，并沒有任何可度量的證據(jù)表明采用了此框架可以幫助預(yù)防網(wǎng)絡(luò)攻擊。

然 后，NIST網(wǎng)絡(luò)安全框架為實(shí)現(xiàn)更好的網(wǎng)絡(luò)安全實(shí)踐提供了一些有價(jià)值的建設(shè)模塊，但并非預(yù)防網(wǎng)絡(luò)攻擊和數(shù)據(jù)泄露的萬(wàn)能藥。我們要認(rèn)識(shí)到，指導(dǎo)方針和條例規(guī) 程本質(zhì)上是靜態(tài)的，因而不能演變進(jìn)化以檢測(cè)和減輕不斷變化的威脅。同時(shí)，法規(guī)遵從也遠(yuǎn)遠(yuǎn)跟不上網(wǎng)絡(luò)攻擊的腳步。而指南本身更是可以從推薦的措施中暴露出漏 洞，攻擊者完全可以將之用作制訂攻擊戰(zhàn)略的藍(lán)圖。

最后，合適的安全措施和最佳實(shí)踐只是解決方案中的一部分。對(duì)組織而言最大的挑戰(zhàn)之一，是 管理為抓住偵測(cè)到網(wǎng)絡(luò)攻擊的機(jī)會(huì)而必須分析、標(biāo)準(zhǔn)化和優(yōu)先化的數(shù)據(jù)饋送的容積、速率和復(fù)雜性。塔基特?cái)?shù)據(jù)泄露事件就是一個(gè)例子。盡管合理配置的最佳技術(shù)可 以檢測(cè)到早前的入侵，那些警告卻湮沒在了數(shù)據(jù)汪洋大海里，致使安全團(tuán)隊(duì)未能及時(shí)警醒并快速反應(yīng)。反而是由第三方報(bào)告了被盜數(shù)據(jù)出現(xiàn)在互聯(lián)網(wǎng)上才揭露了數(shù)據(jù) 泄露事件。

如果沒有數(shù)據(jù)自動(dòng)化，進(jìn)行大數(shù)據(jù)風(fēng)險(xiǎn)分析和綜合集成可操作的安全評(píng)估就會(huì)耗費(fèi)數(shù)月甚至數(shù)年時(shí)間。找到利用技術(shù)手段克服從安全反饋中抽取可用情報(bào)的人力資源缺乏問題，以及形成快速及時(shí)的響應(yīng)，應(yīng)當(dāng)依然作為組織關(guān)注的焦點(diǎn)。

在這個(gè)背景下，NIST網(wǎng)絡(luò)安全框架確實(shí)是一塊重要的基石，但也只是通往實(shí)現(xiàn)抵御網(wǎng)絡(luò)安全風(fēng)險(xiǎn)的可操作性防御的第一步而已。

原文地址：http://www.aqniu.com/neo-points/7100.html