了得網計算機/網絡_安全模式最佳實踐

編輯推薦

《安全模式**實踐》

世界**安全專家親筆撰寫，從軟件架構視角，全面總結軟件開發領域的各類安全模式，覆蓋現代安全問題，包含大量真實案例

從概念到設計，再到實現和逆向工程，詳細講解安全模式在開發安全軟件過程中的應用，提供詳細的實現建議和UML圖

內容簡介

《安全模式*實踐》分為三部分：部分（第1~3章）描述使用安全模式的動機、經驗，以及本書所面向的對像，並且展示了作者的安全開發方法論；第二部分（第4~15章）詳細介紹各種常用的安全模式，包括計算機繫統不同體繫結構層次的模式，如身份管理模式、身份認證模式、訪問控制模式、安全進程管理模式、安全執行模式和文件管理模式、安全操作繫統體繫結構和管理模式、網絡安全模式、Web服務安全模式、Web服務密碼學模式、安全中間件模式、誤用模式、雲計算架構模式；第三部分（第16~17章）展示的是一些模式應用的示例、模式表，並且指出了今後可能的研究方向。

作者簡介

愛德華多B.費爾南德斯，美國Florida Atlantic University計算機科學與工程繫的教授。業餘時間，他還是智利Universidad Tecncia Federio Santa Maria的客座教授。他在授權訪問模型、面向對像分析與設計、安全模式等方面發表了大量的論文，並編撰了四本書籍。他曾多次在全球性質的學術和產業會議上發表演講，目前主要關注安全模式、網絡服務、雲計算安全與容錯等技術。他在普渡大學獲得電氣工程理科碩士學位，在加州大學洛杉磯分校獲得計算機科學博士學位。他是IEEE、ACM會員，同時也是IBM、Allied Signal、摩托羅拉、朗訊等公司的顧問。他的個人主頁是www.cse.fau.edu／～ed。

譯者序
序
前言
部分概述
第1章動機與目標
1.1 為什麼需要安全模式
1.2 基本定義
1.3 安全模式的歷史
1.4 安全模式的工業級應用
1.5 其他建設安全繫統的方法
第2章模式與安全模式
2.1 什麼是安全模式
2.2 安全模式的性質
2.3 模式的描述與目錄譯者序

序

前言

部分概述

第1章動機與目標

1.1 為什麼需要安全模式

1.2 基本定義

1.3 安全模式的歷史

1.4 安全模式的工業級應用

1.5 其他建設安全繫統的方法

第2章模式與安全模式

2.1 什麼是安全模式

2.2 安全模式的性質

2.3 模式的描述與目錄

2.4 安全模式的剖析

2.5 模式圖

2.6 如何對安全模式分類

2.7 模式挖掘

2.8 安全模式的應用

2.9 如何評估安全模式及其對安全的影響

2.10 威脅建模和濫用模式

2.11 容錯模式

第3章安全繫統開發方法

3.1 為模式增加信息

3.2 基於生命周期的方法

3.3 采用模型驅動的工程方法

第二部分模式

第4章身份管理模式

4.1 概述

4.2 信任環

4.3 身份提供者

4.4 身份聯合

4.5 自由聯盟身份聯合

第5章身份認證模式

5.1 概述

5.2 認證器

5.3 遠程認證器/授權者

5.4 憑據

第6章訪問控制模式

6.1 概述

6.2 授權

6.3 基於角色的訪問控制

6.4 多級安全

6.5 基於策略的訪問控制

6.6 訪問控制列表

6.7 權能

6.8 具體化的引用監控器

6.9 受控的訪問會話

6.10 基於會話和角色的訪問控制

6.11 安全日志和審計

第7章安全進程管理模式

7.1 概述

7.2 安全進程/線程

7.3 受控進程創建器

7.4 受控對像工廠

7.5 受控對像監控器

7.6 受保護的入口點

7.7 保護環

第8章安全執行模式和文件管理模式

8.1 概述

8.2 虛擬地址空間訪問控制

8.3 執行域

8.4 受控執行域

8.5 虛擬地址空間結構選擇

第9章安全操作繫統體繫結構和管理模式

9.1 概述

9.2 模塊化操作繫統體繫結構

9.3 分層操作繫統體繫結構

9.4 微內核操作繫統體繫結構

9.5 虛擬機操作繫統體繫結構

9.6 管理員分級

9.7 文件訪問控制

第10章網絡安全模式

10.1 概述

10.2 抽像虛擬專用網

10.3 IPSec虛擬專用網

10.4 傳輸層安全虛擬專用網

10.5 傳輸層安全

10.6 抽像入侵檢測繫統

10.7 基於簽名的入侵檢測繫統

10.8 基於行為的入侵檢測繫統

第11章 Web服務安全模式

11.1 概述

11.2 應用防火牆

11.3 XML防火牆

11.4 XACML授權

11.5 XACML訪問控制評估

11.6 Web服務策略語言

11.7 WS策略

11.8 WS信任

11.9 SAML斷言

第12章 Web服務密碼學模式

12.1 概述

12.2 對稱加密

12.3 非對稱加密

12.4 運用散列法的數字簽名

12.5 XML加密

12.6 XML簽名

12.7 WS安全

第13章安全中間件模式

13.1 概述

13.2 安全經紀人

13.3 安全管道和過濾器

13.4 安全黑板

13.5 安全適配器

13.6 安全的三層結構

13.7 安全企業服務總線

13.8 安全的分布式發布/訂購

13.9 安全的“模型–視圖–控制器”

第14章誤用模式

14.1 概述

14.2 蠕蟲

14.3 VoIP中的拒絕服務

14.4 Web服務欺騙

第15章雲計算架構模式

15.1 簡介

15.2 基礎設施即服務

15.3 平臺即服務

15.4 軟件即服務

第三部分模式應用

第16章構建安全的架構

16.1 列舉威脅

16.2 分析階段

16.3 設計階段

16.4 法律案例的安全處理

16.5 SCADA繫統

16.6 醫療應用

16.6.1 醫療記錄及其規程

16.6.2 病人治療記錄模式

16.6.3 病人記錄模式

16.7 環境輔助生活

16.8 無線網絡安全

16.9 本章小結

第17章安全模式總結及安全模式的未來

17.1 安全模式總結

17.2 安全模式的未來研究方向

17.3 安全原則

17.4 未來展望

附錄A XACML訪問控制評估的偽代碼

術語表

參考文獻

前言

前言
一個人隻有大量地閱讀，各處去周遊，纔能夠見多識廣。
——米格爾德塞萬提斯《堂吉訶德》
我在加入IBM後，進行了近九年的安全技術工作。在IBM工作期間，我與人合著了一本關於數據庫安全的書，那是早關注這方面主題的書籍之一。後來，我意識到大量的安全知識被浪費掉了，因為從業者沒有讀過此類書籍和論文；他們始終在重復著相同的錯誤。特別是軟件開發者對於安全性知之甚少。再後來，我參加了一個關於模式的會議，意識到將安全知識以模式形式進行陳述將是傳播這種知識的有效途徑。在那段時間裡，Yoder和Barcalow[Yod97]發表了一篇使用模式形式陳述安全方法的論文，這讓我更加深信，這是一個好的方向。再再後來，我發現安全模式除了向沒有經驗的開發者傳播安全知識之外，對安全專家也十分有用，可以幫助他們以一種繫統級的方法應用安全知識去開發新的應用程序或者產品，理解復雜的標準，審計復雜的應用程序和重新開發遺留繫統。於是我與人合著了一本書，該書介紹了2005年之前發布的絕大部分安全模式類型。然而，自從那本書出版後，出現了更多的模式。前言

一個人隻有大量地閱讀，各處去周遊，纔能夠見多識廣。

——米格爾德塞萬提斯《堂吉訶德》

我在加入IBM後，進行了近九年的安全技術工作。在IBM工作期間，我與人合著了一本關於數據庫安全的書，那是早關注這方面主題的書籍之一。後來，我意識到大量的安全知識被浪費掉了，因為從業者沒有讀過此類書籍和論文；他們始終在重復著相同的錯誤。特別是軟件開發者對於安全性知之甚少。再後來，我參加了一個關於模式的會議，意識到將安全知識以模式形式進行陳述將是傳播這種知識的有效途徑。在那段時間裡，Yoder和Barcalow[Yod97]發表了一篇使用模式形式陳述安全方法的論文，這讓我更加深信，這是一個好的方向。再再後來，我發現安全模式除了向沒有經驗的開發者傳播安全知識之外，對安全專家也十分有用，可以幫助他們以一種繫統級的方法應用安全知識去開發新的應用程序或者產品，理解復雜的標準，審計復雜的應用程序和重新開發遺留繫統。於是我與人合著了一本書，該書介紹了2005年之前發布的絕大部分安全模式類型。然而，自從那本書出版後，出現了更多的模式。

我已經寫了超過80個模式，大多數都會在本書中介紹。其他作者也發表了一些模式，完善了本書（參見第1章）。我已經在每個模式的“參見”小節中列出了這些補充內容。需要注意的是別人使用的符號或者模式格式可能與我們有所不同。

我不想過度闡述，所以可能會遺漏一些有價值的模式。希望能夠在本書英文版的網站：或者是在新版本中，將那些未來發現的模式不斷完善進來，模式可以在使用或者更好地理解之後進行完善。本書中的一部分模式是在15年前完成的，而其他的模式仍處於發展階段。當審視這些相對較早的模式時，我意識到現在可以把它們寫得更好一些，這也就延遲了本書的定稿時間。本書不是2006年出版的書籍[Sch06b]的第二卷或者升級版，而是體現了我這些年的工作成果。為了保證完整性，一些來自於我的更早書籍的模式也加入本書中；我希望終能夠做出一個完整的目錄，雖然現在還沒有成功。其他作者也寫出了一些好的模式，這樣就會有一批高質量的模式供開發者和研究人員使用。我的讀者大部分都是希望把安全性整合在產品中的軟件開發者，然而，本書也適合研究人員、計算機科學專業的學生和對繫統安全感興趣的人參考。

我們工作中的一個難點就是用了很長的時間來統一圖形風格。書中描述的所有模式要麼是在模式會議上討論過，要麼是在研究會議上展示過。然而，為了本書的出版，我對它們重新進行了修改，有的部分改動還比較大。我仍然非常積極地接受那些提供初想法的原始版本，閱讀每一行並完善它們的內容。換句話說，本書是我全新的創作，而不僅僅是過去工作的編輯或者我學生作品的展示。

僅有模式還是不夠的：我們的終目標是建立安全的繫統。為了這個目標，我一直都在研究使用模式創建安全繫統的方法論，本書中也會演示幾個例子。嚴格意義上來說，我使用的方法是一種工程方法。但這不意味著不會談到理論，但我會盡量隻在必要的時候提出理論；同樣，也不意味著使用代碼：盡管我會給一些代碼示例，但大多時候會使用模型進行舉例。為了能夠支持現在繫統的復雜度，我們需要對模型進行抽像。模式的重要作用就是引導我們進行繫統級的思考。一個繫統不僅僅是它各個部分的組合，因此，單單關注孤立的代碼和硬件隻是一種微觀視角，無法帶來安全的繫統。

每個模式可以用一頁來介紹理念，也可以用30頁來描述細節，我選擇的是一種介於兩者之間的中間層次。目標是讓讀者通過足夠的細節描述理解模式的意義，並且評估它們的可行性。我發現這種層次的細節描述在我的工作中為有效。我已經忍住了添加安全背景相關資料的衝動：這些已經在好幾本書中進行過介紹（見第1章）。

因為我在大學裡工作，所以被多次指責“不注重實踐性”。其實我在企業裡工作了十年左右，並且為很多公司做過顧問，所以有一些產業界的經驗。當我編寫這些模式時，我的那些已經在企業界工作的學生也提供了一些重要的產業視角。在某種程度上，本書是一本跨學科的書籍，將安全性與軟件體繫結構聯繫起來了。

我很希望聽到對本書的建議和批評意見。雖然這些模式包括了計算機繫統體繫結構的所有範圍，但我也確信在某些方面我的理解並不正確。我對安全模式在實際項目中的使用特別感興趣。如果有任何建議，請發送郵件給我：。Markus Schumacher和我會在securitypatterns.org上發布有關模式的評論。

本書結構

本書分為三部分。部分描述使用模式的動機、經驗，以及本書的目標，並且展示了作者的安全開發方法論。第二部分是安全模式的詳細介紹，包括計算機繫統不同體繫結構層次的模式。第三部分展示了一些模式的應用、模式表，並且指出了今後可能的研究方向。

在線試讀

第1章
動機與目標
徒勞地追求安全，隻會把我們自己拖垮。
—Dwigbt D.Eisenbower
1.1 為什麼需要安全模式
現代應用繫統大都是分布式且聯網的—通過互聯網、局域網或其他專用網絡相連，並支持Web界面、Web 服務以及代理。這類繫統的復雜性不僅帶來了對其理解、設計和維護上的困難，也導致了漏洞的產生，以及由此所引發的安全攻擊。功能強大的移動設備和感應設備的日益廣泛使用，使得安全問題愈發突出。全世界每天都有網站或數據庫遭受攻擊的報道，而由這些攻擊造成的直接或間接經濟損失高達數。各類繫統持續不斷地遭受攻擊和入侵，也引發了人們對國家的基礎設施可能遭受敵人攻擊破壞的擔憂。
為何對這些繫統的安全加固失敗了？一個重要原因是：繫統自身的復雜性導致了錯誤增多以及漏洞難以發現。另一個重要原因是：安全加固是以修修補補的方式進行的，繫統各部分雖然都采用了特定的安全措施，卻鮮有針對完整繫統的整體安全分析。就算有，分析繫統各部分所采用的安全模型也不相同，比如數據庫用一個模型，無線設備用另一個模型。遺憾的是，想要阻斷所有可能的攻擊，在安全上就必需采用一種全面詳盡的方法。安全組件再安全，如果沒能覆蓋到繫統的每個角落或者各組件間不協調同步，也無法保障繫統整體的安全。威脅分析通常針對繫統的各個部分進行，但很多威脅隻在繫統各部分連通時纔會出現。此外，建設安全繫統的方法多是針對新建繫統的，而大多數在用的繫統都是處在不斷維護狀態中的舊有繫統。就算是精心建設的繫統也可能遭受“軟件架構侵蝕”，即由於產品實現與架構設計出現偏差，從而導致安全防護措施失效或削弱。
我們需要以某種方式應對新繫統的復雜性，並以繫統性、整體性的方式確保安全。對於舊有繫統的安全改造，需要跟蹤代碼的更改，檢測並修正其對安全機制的影響。軟件開發人員通常都熟悉特定的開發語言和環境，但對安全知之甚少，這就導致他們的繫統中存在大量可被攻擊者利用的漏洞。此外他們還面臨盡早交付產品的壓力。
建設安全的繫統應采用繫統化的方式，即安全性應當如繫統的可靠性和其他繫統特性那樣，成為軟件生命周期中一個不可或缺的組成部分[Fer04b][How06][McG06]。如果在應用軟件開發時能夠將中間件、操作繫統及網絡等因素進行整體考慮，我們就能抵御來自內/外部全繫列攻擊。我們認為，為了開發安全的應用軟件，將底層平臺和應用軟件隔離開分別進行安全設計、而後拼接的方式並不奏效；而應該將應用軟件和底層平臺一起設計，並使得底層平臺和應用軟件相匹配。此外，所有安全性和可靠性的約束條件都應在其語義能夠被理解的應用層級定義，而後再向體繫架構較低的層級傳遞[Fer99b][Fer06b][Sum97]。第1章

動機與目標

徒勞地追求安全，隻會把我們自己拖垮。

—Dwigbt D.Eisenbower

1.1 為什麼需要安全模式

現代應用繫統大都是分布式且聯網的—通過互聯網、局域網或其他專用網絡相連，並支持Web界面、Web 服務以及代理。這類繫統的復雜性不僅帶來了對其理解、設計和維護上的困難，也導致了漏洞的產生，以及由此所引發的安全攻擊。功能強大的移動設備和感應設備的日益廣泛使用，使得安全問題愈發突出。全世界每天都有網站或數據庫遭受攻擊的報道，而由這些攻擊造成的直接或間接經濟損失高達數。各類繫統持續不斷地遭受攻擊和入侵，也引發了人們對國家的基礎設施可能遭受敵人攻擊破壞的擔憂。

為何對這些繫統的安全加固失敗了？一個重要原因是：繫統自身的復雜性導致了錯誤增多以及漏洞難以發現。另一個重要原因是：安全加固是以修修補補的方式進行的，繫統各部分雖然都采用了特定的安全措施，卻鮮有針對完整繫統的整體安全分析。就算有，分析繫統各部分所采用的安全模型也不相同，比如數據庫用一個模型，無線設備用另一個模型。遺憾的是，想要阻斷所有可能的攻擊，在安全上就必需采用一種全面詳盡的方法。安全組件再安全，如果沒能覆蓋到繫統的每個角落或者各組件間不協調同步，也無法保障繫統整體的安全。威脅分析通常針對繫統的各個部分進行，但很多威脅隻在繫統各部分連通時纔會出現。此外，建設安全繫統的方法多是針對新建繫統的，而大多數在用的繫統都是處在不斷維護狀態中的舊有繫統。就算是精心建設的繫統也可能遭受“軟件架構侵蝕”，即由於產品實現與架構設計出現偏差，從而導致安全防護措施失效或削弱。

我們需要以某種方式應對新繫統的復雜性，並以繫統性、整體性的方式確保安全。對於舊有繫統的安全改造，需要跟蹤代碼的更改，檢測並修正其對安全機制的影響。軟件開發人員通常都熟悉特定的開發語言和環境，但對安全知之甚少，這就導致他們的繫統中存在大量可被攻擊者利用的漏洞。此外他們還面臨盡早交付產品的壓力。

建設安全的繫統應采用繫統化的方式，即安全性應當如繫統的可靠性和其他繫統特性那樣，成為軟件生命周期中一個不可或缺的組成部分[Fer04b][How06][McG06]。如果在應用軟件開發時能夠將中間件、操作繫統及網絡等因素進行整體考慮，我們就能抵御來自內/外部全繫列攻擊。我們認為，為了開發安全的應用軟件，將底層平臺和應用軟件隔離開分別進行安全設計、而後拼接的方式並不奏效；而應該將應用軟件和底層平臺一起設計，並使得底層平臺和應用軟件相匹配。此外，所有安全性和可靠性的約束條件都應在其語義能夠被理解的應用層級定義，而後再向體繫架構較低的層級傳遞[Fer99b][Fer06b][Sum97]。

體繫架構中較低層級的安全保證來自於上層應用遵循約束條件，換句話說，保證無法繞過這些約束條件。在由眾多不同部分所組成的繫統中，想要統一提供這種保證，的選擇是使用抽像。進一步說，我們可以通過使用“模式”提供這種抽像。模式封裝了反復出現的繫統問題的解決方案，同時精確地表述了繫統要求和解決方案，也為設計人員提供了相互交流的工具。[Bus96][Gam94]。采用模式的繫統架構描述比較容易讓人看懂，也為設計和分析提供了指南，還定義了使架構更安全的方法。安全模式使得不具備專業安全知識的應用開發人員也可以使用安全措施。我們還可以通過分析現有繫統看它們是否包含特定的模式，進而評估它們的安全性。此外，我們可以在改造舊有繫統時，利用模式來添加繫統中缺失的安全特性。（下面我會把基於模式的安全建設方法和其他方法做個比較。）

我們需要將一個繫統橫向、縱向的架構統一起來，具體說就是將繫統開發的各個階段（橫向）以及繫統架構的各層級（縱向）[Fer11a]統一起來，以運用繫統安全建設的整體性方法。本書為讀者呈現了一種完全基於模式的構建安全繫統的方法，涵蓋純信息繫統和嵌入式繫統。我在[Fer06b]中闡述過本書的主要觀點，並不斷地完善和擴充直至現在。我的長遠目標是推廣這樣的概念：“模式可為建立安全、可靠的繫統提供行之有效的方法”。Neumann基於堅實的概念方法，提出了“有原則的”繫統概念[Neu04]：模式意味著隱式地應用了原則。我已經為達到這個目標做了大量工作，但還需要進一步加以鞏固和擴展。[Uzu12c]對基於模式的安全建設方法和其他方法進行了綜述。

為了設計一個安全的繫統，我們首先需要搞清楚這個繫統可能會面臨的威脅。我們在[Bra08a]和[Fer06c]中提出了一種識別威脅的方法，即通過分析每個使用案例中的活動來識別威脅。這一方法能夠找到來自繫統架構較低層級產生的威脅（攻擊者的目標）。我們要弄明白體繫架構的各特定的組成部分，是如何被攻破的，或者如何被攻擊者利用來達到其攻擊目標。我們用“濫用”（攻擊）模式為繫統中真實的濫用建模。

對於標準和規範，需要用一種方法來定義和落實；對此，我們提出的基於模式的方法非常有價值。事實上，一些標準和規範（如HIPAA、FEMA和Sarbanes-Oxley）要麼十分復雜，要麼有歧義；而采用模式可以準確地描述它們，使其更容易理解、更易使用。此外，利用模式可以很好地滿足Web服務和雲計算提出的服務認證需求[Dam09]。

我們所說的“建模”，不是一種新的授權訪問模型，而是整合計算機繫統裡不同設的安全控制的模型，對於復雜的繫統來說這是重要的基礎。通過添加各種模式以涵蓋繫統各層面的威脅，纔能獲得更全面的防護，使安全繫統整體更接近完美。我們認為這也是防御可能出現的網絡戰爭的好方法。模式本身不提供可證明的安全性，但對日益復雜的繫統來說，安全模式確實很實用。

1.2 基本定義

在開始正式討論之前，我們先來定義一些基本的術語。安全是指針對下述威脅所進行的防護：

未經授權的數據洩露（機密性或秘密性）

未經授權的數據篡改（完整性）。未經授權的數據篡改會導致產生不一致性或錯誤數據。數據破壞則會導致各種各樣的損失。

拒絕服務：用戶或其他繫統可能會阻止合法用戶使用繫統。拒絕服務是針對繫統可用性的攻擊。

缺乏稽核：用戶應對其自身的行為後果負責，並且不能夠對他們的所作所為進行抵賴（不可抵賴性）。

上述定義將安全描述為針對某種類型的攻擊所采取的防護措施。一般意義上的防護（或稱之為反制措施）則包括：

身份標識與認證（I&A）。身份標識指某個用戶訪問繫統時所提供的身份。身份認證指的是提供證據來證明，一個用戶或繫統與其所聲稱身份相符。身份認證的結果可能是一組憑據，隨後被用作身份的證明，或描述被認證實體的某些屬性。身份管理模式和身份認證的模式將分別在第4、5章中進行闡述。

授權與訪問控制（A&A）。授權定義了針對某項資源的合法訪問，判斷合法與否的依據是基於訪問者（用戶、運行的進程）、被訪問的資源以及訪問資源的目的。訪問控制是保障授權生效所采用的機制。訪問控制模式將在第6章進行闡述。

日志與審計。日志和審計指的是記錄和安全相關的行為，以供日後進行分析。這可以用來收集用於指控的證據（取證），並通過分析某次攻擊緣何能夠成功，進而改進繫統的安全性。日志和審計也在第6章進行闡述。

信息隱藏。信息隱藏一般通過密碼學實現，使用隱寫術則是另一種選擇（見第12章）。主要思想是通過隱藏信息來達到保護信息的目的。

入侵檢測。入侵檢測繫統（IDS）在繫統遭受攻擊時實時地發出警告。第10章討論有關網絡的模式。

本書的目標是建設復雜的應用繫統，如醫療繫統、財務應用、法律應用、操作繫統等。這類應用在實現時，通常選用的繫統都會優先考慮一些非功能性的需求，如可靠性容錯性等。這些繫統往往由多種軟組成，其中有些是定制的，有些是購買的，有些則是外包的。在這樣的繫統中，應用軟件的安全性與繫統其他部分的安全性密不可分。

另一方面，此類繫統必須時常與相關的安全監管標準相符。繫統中可能包含一些數據庫，並且通常有互聯網和無線接入。數據通常通過集成了Web和數據庫應用軟件的Web應用服務器（WAS）進行訪問。Web應用服務器通常采用全局企業模型，並使用J2EE或.NET（對企業和任何類型的機構都十分重要）組件實現。在建設這類繫統時，要求采用某種繫統化的方法來使其達到特定的安全性級別。我們之所以聚焦這類應用，是因為它們代表了我們的模式方法論裡糟糕的應用場景。

[Sum97]次以繫統化的視角研究了安全，之後出現了衡量安全性的相關標準[cc][DoD83]。再後來，重心轉向了軟件安全；無數論文強調軟件安全的重要性，並給我們造成這樣一種印像：我們隻需做好軟件安全就能建設安全的繫統[How03]；現在有大量關於改進代碼安全的工作[DeW09]。然而事情沒那麼簡單：整個繫統都必須安全，包括硬件和繫統配置。為了建設安全的繫統，我們需要一種全局的、整體的視角。在討論特定的題目時一些教科書如[Gol06][Sta12]很有用，但是沒有提供全局的視角。多數論文針對特定機制而非繫統整體開展研究。在以隨機性繫統視角研究安全方面，也有人做了大量工作[Nic04]，雖然這種評估方法很有趣，但卻沒有提供針對繫統安全的建設性解決方案。

本書中，我們采取了一種繫統化的安全視角，以軟件架構作為其重要的基石[Bus07][Tay10]。軟件架構提供了對繫統的全局視角，但是到目前為止多數研究要麼還沒有考慮到軟件生命周期中的早期階段，要麼就是對安全談的太多[Fer12a]。不管怎樣，從軟件架構視角來看待安全十分重要。為了把方法應用起來，我們需要一個好的模式目錄：這也是本書的主旨之一。

一個相關的方面是如何利用繫統化的方法應用這些模式。我們已經成功地將本書介紹的模式貫穿應用於安全繫統的開發方法中，此方法基於對安全機制的分層架構，而架構中的層次定義了每個安全機制適用的範圍[Fer04b][Fer06b]。我們將在第3章討論此方法。

商品搜索

商品分类

【醫學】

【各大出版社】