Kiến trúc An ninh Mở

Thứ năm - 22/09/2011 05:51

OpenSecurity Architecture

Theo:http://www.opensecurityarchitecture.org/cms/en/component/content/article/1-foundations/1-open-security-architecture

Lờingười dịch: Kiến trúc An ninh Mở - OSA (Open SecurityArchitecture) “được cấp phép theo giấy phép CreativeCommons Share - Alike. Chúng tôi tin tưởng rằng các nguyêntắc của Nguồn Mở sẽ tạo ra những hệ thống an ninhhơn, và muốn các kiến trúc điện toán mà chúng tôidựa vào cho cuộc sống hàng ngày sẽ là an ninh một cáchđáng tin cậy nhất có thể”. Đây chính là các nguyêntắc kiến trúc được khuyến cáo sử dụng trong Kiếntrúc của Điện toán Đám mây.

Tầmnhìn của Kiến trúc An ninh Mở - OSA (Open SecurityArchitecture):

“OSA nhỏ giọt trithức của cộng đồng kiến trúc an ninh và đưa ra nhữngmẫu có khả năng sử dụng được rồi cho ứng dụng củabạn. OSA sẽ là một khung tự do được cộng đồng pháttriển và sở hữu”.

OSA được cấp phéptheo giấy phép Creative Commons Share - Alike. Chúng tôi tintưởng rằng các nguyên tắc của Nguồn Mở sẽ tạo ranhững hệ thống an ninh hơn, và muốn các kiến trúc điệntoán mà chúng tôi dựa vào cho cuộc sống hàng ngày sẽlà an ninh một cách đáng tin cậy nhất có thể.

Catalogkiểm soát

Catalogkiểm soát trong OSA hiện đang dựa vào NIST 800-53. Cómột sự ánh xạ sẵn sàng đối với ISO17799, và các tiêuchuẩn nổi tiếng khác. Chúng tôi cảm thấy đây làcatalog kiểm soát tốt nhất sẵn sàng cho nền công nghiệpCNTT. Catalog này có thể được sử dụng mà không có sựhạn chế.

Bằng việc nắm lấymột catalog kiểm soát duy nhất, chúng tôi cho phép bạnthiết lập một cách rõ ràng cách mà bạn có thể đápứng được các mục đích của nhiều tiêu chuẩn, màkhông phải tiến hành công việc một cách lặp đi lặplại những kiểm soát cần thiết và cách mà chúng có thểđược triển khai. Bổ sung thêm, chúng tôi ánh xạ đốivới các mối đe dọa và đưa ra những kiểm thử, nênbạn có thể nhanh chóng thiết lập được liệu một kiểmsoát cụ thể nào đó là phù hợp cho tình huống của bạnhay không, và có thể kiểm tra nó làm việc có đúng không(tốt cho những rà soát lại và kiểm toán về an ninh).

TheOSA vision:

"OSAdistills the know-how of the security architecture community andprovides readily usable patterns for your application. OSA shall be afree framework that is developed and owned by the community.

OSAis licensed in accordance with Creative Commons Share-alike. Webelieve that Open Source principles result in more secure systems,and want the computing architectures that we depend on for our dailylives to be as secure and reliable as possible

Controlcatalogue

Thecontrolcatalog in OSA is currently based upon NIST 800-53. There is amapping available against ISO17799, and other prominent standards. Wefeel this is the best control catalog available for the IT industry.This catalog can be used without restriction.

Bytaking a single control catalog we allow you to clearly establish howyou can meet the objectives of many standards, without having torepeatedly work out what controls are needed and how they can beimplemented. In addition we map against threats and supply tests, soyou can quickly establish whether a particular control is relevantfor your situation, and can check it's working correctly (great forsecurity reviews and audits).

Cácmẫu trực quan

Các mẫu trực quan làcốt lõi của OSA và mang lại cùng các yêu cầu về anninh cho một trường hợp điển hình như truy cập từ xavới sự hỗ trợ các kiểm soát từ catalog. Chúng trao chobạn các khối xây dựng cơ bản để làm cho giải phápcụ thể của bạn an ninh. Chúng tôi phân chia các mẫutrực quan theo Nền công nghiệp, các Mối đe dọa, các Quyđịnh pháp luật và các Kiến trúc.

Chúng tôi cũng đưara một thư viện tùy biến các biểu tượng được sinnhra từ dự án Tango, và bản thân các mẫu đang có sẵnnhư các tệp SVG.

Đánhgiá

Có một loạt các kỹthuật để đánh giá môi trường mà giải pháp của bạnsẽ vận hành để xác định các yêu cầu an ninh thôngtin đám mây (CIA) cho qui trình nghiệp vụ mà kiến trúc đóhỗ trợ. Hiện hành chúng tôi vẫn cảm thấy rằng mộtsự tính toán Triển vọng Mất mát Thường niên (ALE -Annual Loss Expectancy) là đủ để xác định số lượng màbạn nên bỏ ra vào các kiểm soát có liên quan tới chiphí của các tài sản bạn đang bảo vệ. Chúng tôi muốnnhấn mạnh rằng tính sẵn sàng thường là yếu tố đắtnhất phải cân nhắc. Bạn có thể muốn nhìn vào cácphương pháp phức tạp hơn, nhưng theo nghĩa đen về bảnchất thì bước này tất cả là về một Phân tích Lợiích Giá thành cho các kiểm soát được xác định.

Kiếntrúc an ninh

Bước cuối cùng, ởđây bạn chỉnh sửa các kiểm soát theo mẫu dựa vào sựđánh giá môi trường, để hoàn tất các kiểm soát đặcthù và sự triển khai của chúng trong giải pháp mà bạnđang phát triển. Kiến trúc của bạn ở giai đoạn nàysẽ được nhúng vào trong kiến trúc giải pháp rộng lớnhơn mà đang được phát triển.

Visualpatterns

Thevisual patterns are at the core of OSA and bring together securityrequirements for a use case e.g. remote access with the supportingcontrols f-rom the catalog. They give you the basic building blocks tomake your particular solution secure. We classify visual patterns byIndustry, Threats, Regulations, and Architectures.

Wealso provide a customizedlibrary of icons generated f-rom the Tangoproject, and the patternsthemselves which are available as SVG files.

Assessment

Thereare various techniques to assess the environment your solution willoperate in order to determine the CIA requirements for the businessprocesses the architecture supports. Currently we still feel that anAnnual Loss Expectancy (ALE) calculation is sufficient to determinethe amount you should be spending on the controls relative to thecost of the assets you are protecting. We would emphasize thatavailability is often the most expensive element to consider. You maywant to look at the more complex methods, but in essence this step isall about a Cost Benefit Analysis for the controls identified.

SecurityArchitecture

Thelast step, here you tailor the controls in the pattern based on theenvironmental assessment, to finalise the specific controls and theirimplementation in the solution you are developing. Your architecturewill at this stage be embedded into the wider solution architecturethat is being developed.

Dịch tài liệu: LêTrung Nghĩa

letrungnghia.foss@gmail.com

Tags: công nghệ tin học, khác, security, philosophy