网络安全和网络弹性:比较

莱迪思最近举办了一次虚拟研讨会，讨论与网络安全相关的挑战、机遇以及通信市场的最新可编程逻辑解决方案（如果您想看，可以提供存档版本）在这里）.在活动结束时的观众问答中，我们被要求澄清网络安全和网络弹性之间的区别。这是一个我们经常被问到的问题，所以我们认为一个博客来解释这两者之间的区别会很有用。

首先，让我们确定我们所说的“网络安全”和“网络弹性”是什么意思。出于本博客的目的，我们将保持简短。如果你想了解更多关于这些概念的知识，请查看我们的安全白皮书，创建网络弹性嵌入式系统，确保供应链安全.

网络安全—保护网络、设备、应用(程序)和数据免受网络攻击的技术、流程和实践。yabovip888

网络弹性-在不利的网络事件(如网络攻击)中持续交付预期结果的能力。网络弹性包括信息安全、业务连续性和整体组织弹性。

两者之间的关键区别在于检测到网络攻击后的处理方式。虽然网络安全包含威胁检测和预防的概念，但并非所有的网络安全解决方案都能使系统根据该知识实时采取行动，以减轻攻击、纠正攻击造成的任何持续安全问题，并保持数据流量安全移动，而不干扰业务。实时威胁检测和恢复的理念强调了网络的弹性。

正如我们在白皮书中所说，网络安全并不是一个过时的概念。事实上，网络安全是网络弹性的基础。但我们必须明白，在历史背景下，网络安全本身是不够的。让我们看看一个被广泛使用的网络安全解决方案可信平台模块(TPM)的真实安全示例，看看它如何保护系统，以及需要如何增强它，使系统具有真正的网络弹性。

可信计算组说TPM“是一种计算机芯片（微控制器），它可以安全地存储用于验证平台（您的PC或笔记本电脑）的工件。这些工件可以包括密码、证书或加密密钥。”去年，微软推出了Proputo安全处理器，改进了TPM概念。根据微软，“Pluton是现有可信平台模块(TPM)的进化，你可以在许多现代计算机中找到TPM。tpm存储与操作系统相关的安全信息，并启用Windows Hello等功能。”通过使用Pluton，微软将一个分立的TPM的功能集成到CPU中，以切断对主板上TPM和CPU之间的芯片对芯片总线接口的攻击。微软表示，“带有Pluton的设备将使用该处理器来保护凭证、用户身份、密钥和个人数据。”因此，Pluton安全性针对的是操作系统和应用程序级别，并保护用户数据和操作系统级别的密钥。在网络安全的硬件安全方面，Pluton向前迈进了一步，但它如何适应网络安全与网络弹性的范式呢?

虽然Pluton确实是一个健壮的网络安全解决方案，但它不能在操作系统加载之前的启动期间保护系统。从主板上的组件从固件启动到操作系统加载并启动网络安全措施，这段短暂的时间是当今网络犯罪分子越来越感兴趣的攻击载体。为了增强像Pluton这样的TPM的安全能力，系统还需要在硬件信任根(HRoT)上实现具有强大、动态、网络弹性保护的系统。

HRoT以这样一种方式引导系统，即每个主板组件只有在其固件被确认为有效后才被激活。这种验证是由HRoT建立的;它检查自己，以确保它正在运行有效的固件，并在重置模式下保持其他系统ic，直到它们的固件经过加密验证。在将固件加载到ICs之前，必须对其进行验证，因为受恶意软件感染的固件可能会对操作系统(OS)屏蔽其存在。这可能会阻碍基于TPM的身份验证，因为TPM只有在操作系统引导后才处于活动状态。除了安全引导硬件外，HRoT还持续监视受保护的CPU的非易失性固件以防止攻击。这种硬件级别的保护能够对攻击(包括拒绝服务攻击)做出纳秒级的响应。如果HRoT IC检测到损坏的固件，它可以快速用最后一个已知的良好固件替换损坏的固件，记录冲突，并恢复系统不间断且未损坏的运行。这种能够在没有帮助的情况下迅速恢复正常运作的能力，使一个系统具有弹性。

为了帮助开发人员维护固件的安全性，美国国家标准与技术研究所(NIST)发布了该报告NIST平台固件弹性(PFR)指南（NIST SP-800-193）。该指南通过描述保护固件免受未经授权的更改、在发生未经授权的更改时检测这些更改以及快速安全地从攻击中恢复的安全机制来促进网络弹性。PFR实施要求HRoT能够确定所有板级组件正在运行经授权的固件t引导。

Lattice MachXO3D和Mach NX FPGA通过充当硬件信任根（HROT）平台，帮助实现网络弹性

当一起使用时，像我们的HRoT解决方案晶格MachXO3D™或马赫™nxfpga和基于pluton的芯片提供了一个强大的安全解决方案，从平台启动的瞬间开始，并通过操作系统的加载和操作。组合解决方案在硬件和操作系统层面保护系统;从主板上的第一块IC (HRoT)启动的时刻开始，并持续进行整个系统的日常操作。如果一个系统集成电路被坏蛋企图干扰安装未经授权的固件,以利用系统,HRoT可以点攻击,有效地阻止它,从光盘引导IC先前已知和授权版本的固件,所以系统操作是不间断的。正是这种检测并从固件攻击中恢复的能力，使系统不仅具有网络安全，而且具有网络弹性。