3月24日讯 美国国家标准与技术研究院（简称NIST）发布的“系统安全工程指南 SP 800-160”，旨在为开发人员提供从起步开始构建安全 IT 网络的系统与程序目录。2018年3月21日发布这份指南的第二卷，主要向开发人员展示如何利用这些程序提升旧有传统IT系统的安全性，从而减少黑客入侵的可能性。

NIST 研究员兼网络专家罗恩·罗斯在采访当中表示，这是一项必要的纠正性举措。美国一直关注于渗透弹性、系统强化以及抵御攻击者等工作。但问题在于现有的IT系统在复杂程度上已经达到难以置信的水平，IT 系统中总会出现无法及时发现的漏洞。

罗斯强调称“经验数据表明，民族国家支持型黑客集团往往水平高超且极富耐心，我们根本无法长期将攻击者阻挡在系统之外。”这份指南属于指导性出版物，亦作为 NIST 计算机科学家们为公共及私营部门提供的最佳实践资源库的组成部分。

第二卷指南

“系统安全工程指南 SP 800-160”第二卷指南专注于网络弹性工程议题，并在其定义当中指定了以下四项特征：

• 关注使命：“最大程度提升组织在自身系统与基础设施已经遭遇对方入侵的情况下，仍可继续执行关键或基本任务或业务功能的能力。”

• 关注对手：敌对方水平高超且资源充足，必须透彻理解其行动方式。

• 假设已经遭遇违规：这是网络弹性层面的一项基本假设，即无论“系统设计质量如何、安全组件的效能如何以及所选定组件的可信度如何，有决心且具备相关技能的对手终将成功实施入侵。

• 假设对方已实现持久驻留：APT（即先进持续性威胁）的隐匿特性，使得组织很难确定威胁因素是否已经得到根除。

除构建期间的系统元素之外，第二卷指南还包括“可在系统生命周期的任意阶段使用”的元素。

罗斯表示，美国必须解决一大核心问题，即美国目前能够做些什么以确保遗留系统不致发生安全事故。

声明：本文来自E安全，版权归作者所有。文章内容仅代表作者独立观点，不代表士冗科技立场，转载目的在于传递更多信息。如有侵权，请联系 service@expshell.com。