本書描述了對象管理組（OMG）的軟件安全保證體系，向協作式的網絡安全自動化管理邁出了重要的一步，它提供了一種基于標準的方案以便在計算機系統中建立安全性和還原能力。
—— Joe Jarzombek
美國國土安全部、國家網絡安全部門、全球網絡安全管理組軟件質量保證總監

系統安全保證是一個非常復雜、非常困難的主題。本書詳細地描述了如何將不同的現有工具組合起來，以可行的方式系統地開發系統安全保證文檔，并可以進行調整以便用于特定的領域。本書還提供了非常有用的實例指導，可供安全評估領域的技術人員和管理人員使用，也可供其他領域的技術人員參考。
—— John P. Hopkinson
Kwictech公司安全戰略師

當今社會，企業兼并時有發生，應用整合也持續進行著，系統通常包含多種編程語言和運行平臺，既包含新內容，也有遺留內容。這樣的混合系統有更多的缺陷，且更容易被攻破。
本書針對這些問題提出了系統化的解決方案，是參與系統安全保證的安全分析師和開發人員的重要參考資源。本書介紹如何使用OMG的專家意見和獨特標準以整合現有軟件，并構造系統安全保證的客觀方案。OMG的軟件安全保證體系提供了一個通用框架，以發現、整合、分析并發布企業軟件的問題。它的基礎是系統事實交換標準協議，由OMG知識發現元模型（KDM）定義。此外，業務詞匯和規則的語義（SBVR）定義了一個標準協議，以交換安全策略規則和安全保證模式。將這些標準結合起來，可以學會如何利用網絡安全社區的知識，并實現保護系統自動化。

本書特點：
●　揭示黑客為何更了解我們的系統
●　用黑屋子里抓黑貓的示例說明發現系統安全問題的過程與方法
●　提供系統的、可重復的、可支付的安全保證方案
●　用螺栓與螺母的關系生動講解通用系統安全保證內容的事實模型
●　對OMG的軟件安全保證體系協議進行概述，該協議在安全保證論據的指導下，整合了風險、架構和代碼分析
●　完整的案例研究，演示OMG軟件安全保證體系協議的應用
●　提供在線案例學習，闡釋使用自動化工具實現系統安全保證的步驟。

Claude Langton：我還沒有聽到任何關于謀殺的消息。

Hercule Poirot：你不會聽到的。因為到目前為止，謀殺還沒有發生。要知道，如果在謀殺發生之前就去調查，那么就可以阻止它。

——阿加莎·克里斯蒂《波洛探案集：黃蜂的巢》

系統安全保證類似于偵探，因為偵探大部分時間都在外面搜集證據：采訪潛在的證人，或者搜尋一個具有重要意義的“煙頭”。搜集證據是至關重要的，證據驅動著調查，調查要遵循事實，而在進行偵探時還應該花些時間來計劃如何進行調查。最后，證據要展示在法官和陪審團面前。

系統安全保證需要調查系統中的安全漏洞，漏洞是指系統中允許攻擊者進行網絡犯罪的弱點。系統漏洞可以是有意或無意植入系統中的，也可能是因為遺漏所造成的，甚至是因為存在設計問題的協議造成的。通常來講，漏洞是跟某一特定種類的系統相關的，即某個系統中的漏洞在其他系統中未必成為漏洞。這正如我們教育孩子時，告誡他們不要跟陌生人講話，而對于一個銷售人員來說，同陌生人講話是再正常不過的事情了。所以，漏洞是使得網絡系統易于遭受攻擊的地方，也是導致不安全的地方。

系統安全保證相當于在網絡遭受攻擊之前執行的取證調查。然而，系統安全保證需要搜集足夠的證據，以得到一個綜合的結論：該系統可防御某種類型的攻擊。系統安全保證是確保我們的系統更加安全、更加可靠、可抵抗網絡犯罪的一種方法。網絡系統的安全風險是現實存在的，在一個新系統投入運行前，必須明白和承認這些風險。最后，廣大用戶需要明白并承認使用該網絡系統的風險。所以，研發人員和公司需要對發布新的網絡系統負責，而監管機構和廣大用戶是“陪審團”，公司需要向他們闡明系統的安全性。系統安全保證是建立清晰的、全面的、可防御的案例，以保證系統可以安全、可靠地運行，并且不存在漏洞。發布系統安全保證案例意味著開誠布公地與“陪審團”交流，解決他們所提出的尖銳問題，以此建立信任。

安全保證案例不是單單通過聲明就能得到的，其可信度必須要有證據支撐。我們可以搜集很多東西作為證據來支撐關于系統安全性和可靠性的聲明。但是不同的證據有著不同的證明能力，有些證據比其他證據更具有說服力。例如：某個著名專家聲明“我相信這個投票機是安全的”，這很具有說服力。但是，另一個資深的道德黑客說：“歷經五天攻擊，我也沒能成功入侵這個系統。”這個聲明可能更具有說服力。因為它是基于具體的、與所關心的系統直接相關的調查式行動得出的，而不是純粹的專家意見。顯然，第二個聲明者對于所關心的系統更了解，這使得第二個聲明比第一個更具有說服力。

表面上看來，防御方對于系統具有更深刻的認識，并在設計初期就考慮了安全問題以有效避免出現漏洞，從而得到一個健壯的系統。然而，防御方并不能面面俱到。有些系統由商業組件、遺留系統組件和開源組件組成，其安全性是未知的，這樣混合得到的系統更加脆弱，易于遭受攻擊而被破壞。所以，盡管在系統生命周期的初始階段就開始考慮了系統的安全性，但系統仍然存在很多未知的缺陷，并且處于開發者的控制范圍之外。況且，系統開發者并不能很好地預見會造成網絡攻擊的漏洞，因為他們缺乏攻擊者的視角，即可以設計系統攻擊的犯罪潛質。最后，系統知識的生命周期很短，隨著開發者不斷更換項目，對于之前的系統知識只會慢慢遺忘。所以，只有代碼，甚至是機器碼才是唯一可信的關于系統的知識。

黑客往往比我們更了解我們的系統，這一點我們必須要正視。優秀的黑客不斷地研究我們的系統，并找到新穎的方法來入侵我們的系統。他們這樣做一是為了好玩，二是為了利益。網絡犯罪之所以成為人們討論的焦點，是因為攻擊者在成功入侵系統后，會將攻擊方法在黑客之間共享，從而形成更大的犯罪圈。這些犯罪圈中的人則更關注利用這些漏洞來獲取利益，而非樂趣。網絡犯罪更為嚴重的是攻擊者的規模可以很大，而又分散于世界的各個角落，跨越了國界。黑客們不僅共享攻擊技術，還武裝自己，編寫很容易就可以使用的腳本，使得攻擊成為可重復的、可支付的。而今利用我們系統中漏洞的惡意軟件已經可以養活有組織的犯罪集團，而這些犯罪集團正在形成更大的犯罪產業。

攻擊者和防御者都鐘愛自動化的代碼分析工具，用于檢測系統漏洞。然而，事實上雙方有根本的不同點：攻擊者可以進行特定的或碰巧的漏洞檢測，而這些方法卻不適合于防御者，防御者需要系統地、精細地了解系統風險并設計安全機制。因此，我們應當把重點放在通過系統、合理地調查安全威脅來實現系統的安全保證上。

那么如何才能使得網絡防御是系統的、可重復的和可支付的？解決之道在于采用綜合治理方案：積累公共網絡安全知識，建立自動化的工具來擴大防御者的優勢，從而超越攻擊者。建立這些協作性方案需要注意如下幾個方面。首先，需要標準化的協議將用于處理現代復雜系統的分析工具組織起來。通常，一個公司或者安全研究人員所做的工作有一定的局限性，會使得解決方案有諸多限制、效率低下、方案折中。同時還需要一個支持互操作組件的更大市場，與使用樂高積木塊類似，通過不同廠商的組件，組建強健的分析方案。其次，需要開發標準協議以支持網絡安全內容的存儲和信息交換。為了使得網絡安全內容和漏洞知識是可重復的、可支付的，它們必須是機器可識別的，并且對于防御者是可用的。換句話說，對于安全保證來說，既要有工具組成的基本系統，還要有機器可識別的內容。

我們之所以將本書命名為《System Assurance: Beyond Detecting Vulnerabilities》，是因為系統的、可重復的、可支付的網絡防御遠遠超出了漏洞檢測方面的知識，此外本書還包括系統知識、風險和威脅知識、安全防護知識、安全保證論據知識，以及回答系統為什么安全的相應證據。換句話說，當檢測到至少一個潛在漏洞并將其作為證據呈現時，就可以聲明系統是不安全的。但是，如果沒有檢測到任何漏洞，就真的意味著系統是安全的嗎？實際上并不是這樣的。為了證明系統是安全的，還需要有力的證據，包括：工具被正確使用；在理解不同人編寫的代碼時，沒有任何歧義；沒有任何代碼被落下，等等。系統安全保證工具遠遠超出了漏洞檢測的范圍，它還要包括提供證據以支持系統安全的聲明。

我們被授權參加正在解決此問題的網絡安全社區，其中，對象管理組（Object Management Group，OMG）是一個開放成員的非營利性國際計算機組織，目的是開發企業整合標準。本書介紹了對象管理組的軟件安全保證體系（Software Assurance Ecosystem,SAE），這是一個發現、整合、分析、發布現存軟件系統中事實的通用框架，它的基礎是系統事實交換的標準協議，是對象管理組的知識發現元模型（Knowledge Discovery Metamodel，KDM）。業務詞匯和業務規則的語義（Semantics of Business Vocabularies and Business Rules,SBVR）定義了安全策略規則和安全保證模型交換的標準協議。綜合使用這些標準，網絡安全社區就可以積累并發布機器可識別的網絡安全內容，并實現系統保護的自動化。最后，安全保證論據已由對象管理組的軟件安全保證案例元模型（Software Assurance Case Metamodel，SACM）定義為機器可識別的內容。我們描述了一個特有的系統安全保證方法，它充分利用了對象管理組的軟件安全保證體系標準，最終形成一個綜合系統模型（Integrated System Model），該系統是一個通用表示形式，用于系統分析和證據收集。

對象管理組（OMG）的軟件安全保證體系的核心叫做通用事實模型（Common Fact Model，CFM），它是一個形式化的方法，為信息交換、通用XML交換格式和面向事實的整合建立通用詞匯庫。

本書涉及內容廣泛。第一部分（第1～3章）介紹了網絡安全基礎知識，用于建立系統的、可重復的、可支付的網絡防御解決方案，以及對象管理組創建軟件安全保證體系的動機。接著討論了系統安全保證的本質及其與漏洞檢測的區別，并簡要介紹了對象管理組的軟件安全保證體系的標準。對象管理組的軟件安全保證體系描述了一個端到端的方法，該體系綜合了風險分析、架構分析和代碼分析方法來建立一個完整的安全保證方案，該體系以KDM的面向事實的可重復的系統安全保證方法（FactOriented Repeatable System Assurance，FORSA）為基礎。

第二部分（第4～7章）介紹了網絡安全知識的不同方面，以建立網絡安全論據。這些知識包括系統知識、與安全威脅和風險相關的知識以及漏洞知識。最后，描述了網絡安全內容的新格式，即機器可識別的漏洞模式。在描述網絡安全知識時，我們使用業務詞匯和業務規則的語義（SBVR）來概述通用網絡安全詞匯，而這些詞匯由通用事實模型和SBVR標準開發生成。

第三部分（第8～11章）介紹了對象管理組的軟件安全保證體系的協議。首先，介紹了通用事實模型（CFM）方法的細節。然后，描述了業務詞匯和業務規則的語義（SBVR）標準。最后，介紹了知識發現元模型（KDM）。讀者可以通過閱讀規范來了解更多的對象管理組標準。

第四部分（第12章）通過一個端到端的案例研究來講解系統安全保證項目的某些部分，以闡釋第3章所定義的系統安全保證方法（System Assurance Methodology，ASM）、綜合系統模型和系統安全保證案例。

本書還包括一個在線附錄，詳細地介紹了如何使用綜合系統模型為安全保證案例收集證據。附錄是針對技術人員的，并包括了KDM Analytics中KDM Workbench工具的截圖。這也是沒有將該部分材料作為本書主要部分的原因。

本書英文網站是：wwwbookselseviercom,本書英文書號為ISBN 9780123814142可上網查詢該附錄。也可從華章網站下載：wwwhzbookcom。——編輯注 

本書主要面向以下讀者：希望更詳盡地理解系統安全保證是什么，如何證明一個系統的安全狀況，及如何進行綜合安全評價；希望了解基于架構的安全評價過程、建立系統安全保證案例和搜集系統安全證據的安全專業人員。

安全專業人員在閱讀本書后可以熟悉標準的系統安全保證方法。本書還可以引導讀者了解對象管理組的知識發現元模型、通用事實模型和相關標準，這有利于建立支持互操作的解決方案，充實網絡安全內容，并通過多個工具廠商來形成解決方案。對象管理組軟件安全保證體系中越來越多的組件成為開源項目，這對于大學里的安全研究人員、開源軟件開發人員具有相當大的吸引力。

本書對安全保證研究實驗機構也很有價值，因為本書提供了將多種商業工具整合為一個功能強大的、高度自動化的評價方案的藍圖，在這個整合過程中，知識發現元模型（KDM）和通用事實模型（CFM）發揮了巨大作用。

安全工具廠商也可以從本書學習如何通過簡單的導入導出以插入端到端的方案，從而利用安全體系，并擴大產品市場份額。

接受系統安全服務的用戶可以從本書受益。除了獲得更好、更便宜、更快、更綜合的系統安全評估外，還可以了解并非由清晰的、具有說服力的論據所支持的漏洞檢測的缺陷。

系統設計相關人員也可以從本書受益，本書可以幫助理解開放標準的、協作式網絡安全的架構。這樣就可以選擇最好的工具來滿足要求，并要求廠商開發額外的功能，使得工具開發廠商和安全研究人員能夠高效地協作。在網絡攻擊面前，這對于做好安全工作至關重要。