建站
咨詢
售后
建站咨詢
新聞中心
實(shí)際上，真實(shí)世界中的網(wǎng)絡(luò)安全往往致力于解決非代碼的漏洞，也就是說(shuō)，除了傳統(tǒng)的計(jì)算機(jī)網(wǎng)絡(luò)安全之外，還會(huì)涉及到網(wǎng)絡(luò)安全的管理、政策、法律和國(guó)際事務(wù)。借鑒于我們所熟知的OSI 7層協(xié)議模型，可以在之上增加組織、政府和國(guó)際事務(wù)的新分層，從而可以對(duì)與代碼無(wú)關(guān)的網(wǎng)絡(luò)安全問(wèn)題進(jìn)行分類，進(jìn)而提出應(yīng)對(duì)措施。
成都創(chuàng)新互聯(lián)公司專注于蔡家坡網(wǎng)站建設(shè)服務(wù)及定制，我們擁有豐富的企業(yè)做網(wǎng)站經(jīng)驗(yàn)。 熱誠(chéng)為您提供蔡家坡?tīng)I(yíng)銷型網(wǎng)站建設(shè)，蔡家坡網(wǎng)站制作、蔡家坡網(wǎng)頁(yè)設(shè)計(jì)、蔡家坡網(wǎng)站官網(wǎng)定制、成都小程序開(kāi)發(fā)服務(wù)，打造蔡家坡網(wǎng)絡(luò)公司原創(chuàng)品牌,更為您提供蔡家坡網(wǎng)站排名全網(wǎng)營(yíng)銷落地服務(wù)。
OSI 模型的擴(kuò)展
OSI模型是一個(gè)概念框架，能夠幫助我們?nèi)绾卫斫庥?jì)算機(jī)網(wǎng)絡(luò)，在安全領(lǐng)域也不例外。7層模型可以直觀地應(yīng)用于網(wǎng)絡(luò)安全風(fēng)險(xiǎn)，每一層都存在著潛在的安全漏洞，例如：
| 抽象層 | 名稱 | 潛在安全隱患示例 |
|---|---|---|
| 1 | 物理層 | 剪斷線纜，無(wú)線干擾，破壞設(shè)備，竊聽(tīng)裝置等 |
| 2 | 數(shù)據(jù)鏈路層 | 可用性威脅，增加噪音或延遲等 |
| 3 | 網(wǎng)絡(luò)層 | 虛假驗(yàn)證，DNS和BGP 攻擊等 |
| 4 | 傳輸層 | 中間人攻擊等 |
| 5 | 會(huì)話層 | 會(huì)話拼接，消息重組等 |
| 6 | 表示層 | 加解密破解，編碼攻擊等 |
| 7 | 應(yīng)用層 | 漏洞的手工探索，SQL注入，緩沖溢出，不良軟件等
|
在應(yīng)用層之上，可以引入對(duì)組織、政府和國(guó)際事務(wù)的抽象層，在第8層引入組織層，組織或企業(yè)面臨著廣泛的網(wǎng)絡(luò)風(fēng)險(xiǎn)，并且采取許多行動(dòng)來(lái)降低這些風(fēng)險(xiǎn);在第9層引入政府層，政府制定和執(zhí)行法律可以降低網(wǎng)絡(luò)安全的風(fēng)險(xiǎn);在第10層引入國(guó)際領(lǐng)域，沒(méi)有一個(gè)國(guó)家可以在另一個(gè)國(guó)家強(qiáng)制實(shí)施自己的法律，但通過(guò)國(guó)際條約或多邊會(huì)談，可以改善網(wǎng)絡(luò)安全的環(huán)境。
| OSI模型中抽象層 | 名稱 | 潛在安全隱患示例 |
|---|---|---|
| 8 | 組織層 | 內(nèi)部攻擊，培訓(xùn)和規(guī)章的匱乏；合作伙伴的網(wǎng)絡(luò)安全脆弱，缺乏信息共享；技術(shù)及組織標(biāo)準(zhǔn)的缺失等 |
| 9 | 政府層 | 缺少網(wǎng)絡(luò)安全以及物聯(lián)網(wǎng)安全的法律；糟糕的網(wǎng)絡(luò)犯罪律法；政府的過(guò)度監(jiān)管等 |
| 10 | 國(guó)際領(lǐng)域?qū)?/th> | 國(guó)家間的網(wǎng)絡(luò)攻擊；缺乏有效的國(guó)際協(xié)議來(lái)限制網(wǎng)絡(luò)攻擊；削弱網(wǎng)絡(luò)安全的跨國(guó)規(guī)定（例如ITU的某些提案）等 |
對(duì)于通信協(xié)議的數(shù)據(jù)單元而言，組織的控制規(guī)則可能來(lái)自于契約合同。合同是公司之間關(guān)系的治理結(jié)構(gòu)，也管理著公司內(nèi)部的安排，管理著董事會(huì)、管理層和雇員的角色和行為。因此，契約合同是第8層的協(xié)議數(shù)據(jù)單元，在該層中提供規(guī)則。政府對(duì)協(xié)議數(shù)據(jù)單元的控制規(guī)則是法律，政府制定和執(zhí)行法律，要求政府管轄范圍內(nèi)的組織采取行動(dòng)。而第10層的國(guó)際領(lǐng)域沒(méi)有約束性法律普遍適用，參與者需要通過(guò)外交互動(dòng)，比如談判網(wǎng)絡(luò)安全相關(guān)條約等方式來(lái)實(shí)現(xiàn)。
總的來(lái)說(shuō)，OSI七層模型關(guān)注的是用機(jī)器語(yǔ)言表示的協(xié)議，而擴(kuò)展后的第8至10層關(guān)注的是用自然語(yǔ)言表示的協(xié)議(合同、法律、外交)。這些層可以同樣以 OSI 協(xié)議棧的方式運(yùn)作， 第8層的組織選擇第7層的應(yīng)用程序，第9層的政府制定法律來(lái)管理組織，第10層的國(guó)際事務(wù)影響到第9層的政府，并且適用于無(wú)法由一個(gè)政府制定法律的情況。
非代碼相關(guān)的網(wǎng)絡(luò)安全約束矩陣
非代碼相關(guān)的網(wǎng)絡(luò)安全主要指的是OSI模型的擴(kuò)展，第8層適用于面臨網(wǎng)絡(luò)攻擊的組織，第9層適用于政府撰寫(xiě)和執(zhí)行有關(guān)網(wǎng)絡(luò)安全的法律，第10層適用于沒(méi)有政府頒布法律的環(huán)境。因此，對(duì)第10層的研究既包括具有跨界影響的國(guó)家行為者，也包括非國(guó)家行為者。
組織、政府和國(guó)際事務(wù)形成了一個(gè)矩陣，可以確定哪些機(jī)構(gòu)參與哪些網(wǎng)絡(luò)安全領(lǐng)域。下圖描述了每一層影響網(wǎng)絡(luò)安全決策的機(jī)構(gòu)定義。
| OSI擴(kuò)展模型中抽象層 | 機(jī)構(gòu)或國(guó)家內(nèi)的風(fēng)險(xiǎn)應(yīng)對(duì) | 與其他參與者的關(guān)系 | 本層的其他約束 | 協(xié)議中的數(shù)據(jù)單元 |
|---|---|---|---|---|
| 組織層 | 降低組織內(nèi)部風(fēng)險(xiǎn)的內(nèi)部政策或行動(dòng)計(jì)劃 | 與其他實(shí)體（如供應(yīng)商）簽訂合同時(shí)的管理漏洞 | 私有的標(biāo)準(zhǔn)和限制 | 契約合同 |
| 政府層 | 管理組織和個(gè)人能夠或必須做什么的法律 | 管理組織和個(gè)人如何互動(dòng)的法律 | 政府限制自己行為的法律 | 法律 |
| 國(guó)際領(lǐng)域?qū)?/th> | 一國(guó)政府針對(duì)一個(gè)或多個(gè)其他國(guó)家的單方面行動(dòng) | 與其他國(guó)家的正式和非正式的關(guān)系管理 | 對(duì)來(lái)自其他國(guó)家的聯(lián)盟限制 | 外交
|
在矩陣中，三列中的每一列細(xì)化了決策機(jī)構(gòu)的種類。這些方法應(yīng)用于第8層(組織層)時(shí)變得更加清晰，一個(gè)公司(或其他面臨網(wǎng)絡(luò)安全攻擊的組織)采取許多行動(dòng)來(lái)降低網(wǎng)絡(luò)風(fēng)險(xiǎn)，該公司制定事故應(yīng)對(duì)計(jì)劃和其他內(nèi)部政策，并培訓(xùn)員工例如 CISO 在管理組織內(nèi)部網(wǎng)絡(luò)風(fēng)險(xiǎn)方面的責(zé)任。對(duì)于組織與其他參與者的關(guān)系。首先，公司與供應(yīng)商建立數(shù)據(jù)使用協(xié)議和其他合同，有缺陷的管理會(huì)使公司面臨風(fēng)險(xiǎn)，比如雇傭一個(gè)分包商來(lái)管理系統(tǒng)或數(shù)據(jù)，而承包商的安全管理可能很糟糕。網(wǎng)絡(luò)安全的另一個(gè)方面是組織之間的信息共享，比如通過(guò)信息共享和分析中心。組織的私有限制如果標(biāo)準(zhǔn)設(shè)計(jì)和實(shí)施得當(dāng)，那么網(wǎng)絡(luò)安全就會(huì)得到改善; 如果做得不好，網(wǎng)絡(luò)風(fēng)險(xiǎn)和成本就會(huì)增加。將第8層作為一個(gè)整體來(lái)看，整個(gè)網(wǎng)絡(luò)安全在很大程度上取決于一個(gè)組織內(nèi)部處理風(fēng)險(xiǎn)的能力、與其他行為者的合同和關(guān)系以及私有的標(biāo)準(zhǔn)和規(guī)范。
政府制定的法律規(guī)范了個(gè)人或組織行為，例如我國(guó)的《個(gè)人信息保護(hù)法》的頒布與實(shí)施，還包含了管理組織和個(gè)人如何相互作用的法律，例如我國(guó)的《中華人民共和國(guó)網(wǎng)絡(luò)安全法》中的未經(jīng)授權(quán)進(jìn)入計(jì)算機(jī)系統(tǒng)是犯罪行為。同時(shí)，還要明政府對(duì)自身行為的限制。監(jiān)視有時(shí)候有助于安全，比如罪犯的發(fā)現(xiàn)，但有時(shí)候也會(huì)傷害安全，例如政府的行為制造了后門(mén)或其他漏洞。
國(guó)際領(lǐng)域?qū)舆m用于在一個(gè)國(guó)家內(nèi)采取的旨在對(duì)其他國(guó)家產(chǎn)生網(wǎng)絡(luò)影響的行動(dòng)，可以是一個(gè)政府的單方面行為，也會(huì)涉及到與其他國(guó)家的關(guān)系，這是外交的主要任務(wù)。有一些影響網(wǎng)絡(luò)安全的正式條約，如《布達(dá)佩斯公約》中有關(guān)于網(wǎng)絡(luò)犯罪和司法互助的條款，廣泛地說(shuō)，適用于與其他國(guó)家可能進(jìn)行的網(wǎng)絡(luò)安全方面的合作。當(dāng)然，也有來(lái)自其他國(guó)家的聯(lián)盟限制，例如，國(guó)際電信聯(lián)盟制定的網(wǎng)絡(luò)安全規(guī)則，如果這些規(guī)則得以實(shí)施，那么就可以管理具有跨國(guó)效應(yīng)的網(wǎng)絡(luò)行為。
審視非代碼相關(guān)的網(wǎng)絡(luò)安全
通過(guò)對(duì)OSI 網(wǎng)絡(luò)協(xié)議模型的擴(kuò)展，可以建立網(wǎng)絡(luò)安全的大局觀，即系統(tǒng)視角。除了技術(shù)視角之外， 還要關(guān)注該如何管理公司的風(fēng)險(xiǎn)，例如，如何設(shè)計(jì)和管理網(wǎng)絡(luò)安全合同的法律和管理問(wèn)題: 在外包或保險(xiǎn)合同中應(yīng)該如何對(duì)待網(wǎng)絡(luò)安全?進(jìn)一步，還要關(guān)注國(guó)家網(wǎng)絡(luò)安全法律以及國(guó)際事務(wù)。
當(dāng)前，有很多人模糊地承認(rèn)了“跨學(xué)科”的必要性，同時(shí)，非代碼相關(guān)網(wǎng)絡(luò)安全的重要性日益增加，約束矩陣中任何部分的錯(cuò)誤決定都可能對(duì)網(wǎng)絡(luò)安全產(chǎn)生負(fù)面影響，“真正的”網(wǎng)絡(luò)安全不再只是指技術(shù)措施。
當(dāng)前標(biāo)題：與代碼無(wú)關(guān)的網(wǎng)絡(luò)安全
網(wǎng)頁(yè)鏈接：http://www.5511xx.com/article/cddgcdi.html
