科学网

 找回密码
  注册
科学网 标签 SOC

tag 标签: SOC

相关帖子

版块 作者 回复/查看 最后发表

没有相关内容

相关日志

科研进展:纠正对地震SOC的错误认识
qsqhopeiggcas 2018-11-9 19:04
要说地震学界谁的忽悠能力超群,当然是学者 Geller 了,他要称第二,无人敢称第一。 那么,当年 Geller 干了件什么“惊天动地”的事儿呢?他说“ 地球处于 SOC (自组织临界) 状态 , 任何小地震有可能级联性地发展成大地震 ”, 若真如此 , 则地震确实不能被预测。 其实,地球人几乎都知道,每天的小地震多如牛毛,而大地震则很少发生。事实表明, Geller 等已经错到姥姥家了,为何那么多地震界大腕还深信不疑呢? 在我看来,还是科学素养不高惹的祸! 然而,撼山易,撼“二班人”难! 否定某种观点,并非很难,可从逻辑与实证方面着手。若逻辑不能自洽(如前提条件不对,循环论证等),则肯定某种观点有问题。其实不懂逻辑也没关系,若能找个反例出来,也足矣一票否决。嗯,就这么简单呐。 咱也门清,世界之大,无奇不有,还有人不相信科学呢,所以估计有人不以为然。 关于地震 SOC 的认识,今年写过两篇博文,参见: 科研,应避免出现“张冠李戴”式的错误 http://blog.sciencenet.cn/blog-575926-1106804.html 小地震能否级联性地发展成大地震? http://blog.sciencenet.cn/blog-575926-1129091.html 简言之,按 Geller 等人的观点,由于地震 SOC 的存在,地震不能被预测;而按照“二班人”的新认识, 正是由于自组织过程的存在 , 才使得对某些大地震 ( 如标志性地震 ) 的预测成为可能 。 这是两种截然不同的观点,硬碰硬,究竟鹿死谁手呢? 嗯,不要看广告而要看疗效,请先阅读下述正式发表的文章,再做评判不迟。 孕震断层锁固段累积损伤导致失稳的自组织-临界行为特征 http://wulixb.iphy.ac.cn/CN/abstract/abstract72966.shtml 吴晓娲 , 秦四清 , 薛雷 , 杨百存 , 张珂 . 孕震断层锁固段累积损伤导致失稳的自组织 - 临界行为特征 . 物理学报 , 2018, 67(20):206401.doi:10.7498/aps.67.20180614. Wu Xiao-Wa, Qin Si-Qing, Xue Lei, Yang Bai-Cun, Zhang Ke. Behavior characteristics from self-organization to criticality caused by cumulative damage leading to instability of locked segments in seismogenic fault system. Acta Physica Sinica, 2018, 67(20):206401.doi:10.7498/aps.67.20180614. http://wulixb.iphy.ac.cn/CN/10.7498/aps.67.20180614 http://wulixb.iphy.ac.cn/CN/Y2018/V67/I20/206401 关于这篇论文的写作背景,请看: 论文发表策略:充实内涵,以获取“优先权”为首要考量 http://blog.sciencenet.cn/blog-575926-1131268.html 感谢付出辛勤劳动的《物理学报》编辑部!
个人分类: 热点关注|3572 次阅读|0 个评论
再谈自组织临界性:从沙堆模型到岩石破裂失稳模型
热度 1 qsqhopeiggcas 2017-11-23 23:24
俺以前写过三篇博文谈自组织临界性( SOC ),现在看来,谈的深度不够,因此有必要旧话重提,再总结性的扯扯淡。 岩石介质的非均匀性、力学行为的非线性与自组织临界性 http://blog.sciencenet.cn/blog-575926-841776.html 自组织临界性( SOC ):从沙堆模型到固体介质模型 http://blog.sciencenet.cn/blog-575926-655465.html “ 自组织临界性 ” 误导了地震科技工作者多少年? http://blog.sciencenet.cn/blog-575926-456465.html “沙堆模型”试验表明,沙堆达到某种临界状态后,一颗沙子的落下可能会引发沙堆结构发生“连锁反应式”(自组织)的突变,即沙崩 。 从这个试验,能得到以下启示: 1 、沙堆模型存在两个临界点,第一个临界点是自组织行为的开始点(连锁反应或多米诺效应开始);第二个临界点是当自组织行为演化到一定程度后,出现失稳(沙崩)。 2 、两个临界点之间的历时短暂,可视为瞬态行为。 如果把上述 “ 沙堆模型”比 喻成大地震孕育模型,可以认为任何小地震(一颗沙子落下)都有可能级联式地发展成一个大地震(沙崩)。若确实如此,那么从理论层面上看,确实无法预测大地震。 对于岩石(单锁固段)破裂失稳,或者说对大地震孕育过程而言,与“沙堆模型”有无异同点呢? 相同点: 也存在两个临界点,当岩石(单锁固段)被加载至体积膨胀点时,即使停止加载,破裂仍会自发地进行,即体积膨胀点是 自组织行为出现的开始点(第一临界点);当自组织行为演化到一定程度到达峰值强度点时,出现失稳(发生宏观破裂,第二临界点)。 不同点: 1 、对天然锁固段而言,若 第二临界点对应的是大地震(如 7.5 级 ), 第一临界点对应的也是大地震(不小于 7.0 级) ,中间会发生诸多大大小小的预震(不超过 6.8 级)。换句话说,通过锁固段的损伤累积过程,大地震可以导致大地震,但小地震绝无可能直接导致大地震,这会违背人们公认的能量守恒原理。 2 、两个临界点之间的历时,通常为数十年、数百年或更长,不是一个瞬态过程。 所以说,搞科研嘛,需要有超凡的想象力,但不能“张冠李戴”,不能把结构不同、力学行为不同的介质放到一起“类比”,若如此,就会误导吃瓜群众,既害人又害己呀。 Geller 等人【 1 】在《 Science 》杂志上发表了一篇题为《 Earthquakes Cannot Be Predicted 》的文章,他们从自组织临界性的概念出发,认为小地震可级联式地发展成大地震,从而得出地震(大震)不能被预测的结论,这在地震学界引起了轩然大波,导致许多学者对地(强)震预测悲观失望,甚至放弃了地震预测研究。 由上述分析可推知: (1 )研究包括地震预测在内 的诸多科学难题,必须从机制出发才能得出正确结论,除此别无他途 ; ( 2 ) Geller 等人是学界的“东郭先生”,吃点脑白金或许还有救;( 3 ) Geller 等人的文章违反了能量守恒原理,属于伪科学的范畴。俺看过多篇 《 Science 》杂志刊登的地震方面的文章,科学的少之又少,胡扯的居多。看的越多,被忽悠的越深, 那么,以后同学们看什么呀?不看广告,看疗效。 参考 【 1 】 RobertJ. Geller, David D. Jackson, Yan Y. Kagan,Francesco Mulargia. EarthquakesCannot Be Predicted. Science ,1997,Vol. 275. : 1616.
个人分类: 科普|6611 次阅读|2 个评论
科研文摘及点评(2014-9-9):Dragon Kings
sanshiphy 2014-9-9 19:30
Didier Sornette and Guy Ouillon, Dragon-kings:mechanisms, statistical methods and empirical evidence, The European Physical Journal Special Topics, 205,1-26, 2012. According to this paradigm ( 指的是 power law 统计,也特指 Per Bak 等人的 SOC 理论对 power-law 的阐释 ), small, large and extreme events belong to the same population, the same distribution, and reflect the same underlying mechanism(s). Following that reasoning, a majority of the scientific community considers those events as unpredictable, in the sense that the final size of a future cannot be forecasted in advance ( 我们搞大气的大概不是 scientific community 或者说不是 major scientific community. 我们天天花那多钱搞高影响天气气候的预报,在主流科学团体看来简直是浪费 ) . This view is particularly pessimistic, and even alarming if true, as it casts a strong doubton possibilities of precise hazard prediction, with all the societal consequences. In our mind, it is even dangerous as it promotes an attitude of irresponsibility: in a world where catastrophes are pure surprises, no one can be responsible ( 对 SOC 的檄文,也算是帮我们搞大气的说了句话,看来大气加入 major scientific community 有门 ) . In contrast,the concept of dragon-kings, if their occurrences can be diagnosed ex-ante,brings back responsibility and accountability ( 说了这么一堆,杀手锏登场亮相, that is DRAGON-KING ) . Didier Sornette, Dragon-Kings, Black Swans and the Prediction of Crises, International Journal of Terraspace Sciences and Engineering, 2, 1-18, 2009. There is a growing recognition that progress in most of these disciplines, …, will need such a systemic complex system and multidisciplinary approach. This view tends to replace the previous “analytical” approach, consisting of decomposing asystem in components, such that the detailed understanding of each component was believed to bring understanding in the functioning of the whole. ( 不忘时时刻刻给还原论泼泼冷水 )
个人分类: 学习笔记|2585 次阅读|0 个评论
自组织临界性(SOC):从沙堆模型到固体介质模型
qsqhopeiggcas 2013-1-22 12:20
自组织临界性(SOC):从沙堆模型到固体介质模型
自然界对象的演化过程大多是复杂的,一般具有从量变到质变,从渐变到突变等的不可逆特征。那么,复杂性的根源是什么? Bak ( 1996) 给出了答案,他曾反复指出 “ 自组织临界性(S elf-Organized Criticality ,简称 SOC )是自然界趋向最大复杂性的驱动力,复杂系统必然在所有时空尺度上具有信息,简言之,复杂性就是临界性。” Bak 认为,自组织临界理论可以解释诸如地震、交通阻塞、金融市场、生物进化和物种绝灭过程、以及生态系统动态诸现象,并认为 SOC 是目前描述动态系统整体性规律的 “ 惟一的模型或数学表达 ” 。 一、自组织临界理论简介 SOC 指 的是一类开放的、动力学的、远离平衡态的、由多个单元组成的复杂系统能够通过一个漫长的自组织过程演化到一个临界态,处于临界态的一个微小的局域扰动可能会通过类似“多米诺效应”的机制被放大,其效应可能会延伸到整个系统,形成一个大的雪崩(灾变)。处于临界态的系统中会出现各种大小的“雪崩”事件,并且雪崩的时间尺度和空间尺度均服从幂律分布, 幂律分布是自组织临界态的指纹 。分形现象和 1/ f 噪声是自组织临界现象的空间和时间的印记( Bak )。 所谓 “ 自组织 ” 是指该状态的形成主要是由系统内部组织间的相互作用产生,而不是由任何外界因素控制或主导所致。所谓 “ 临界态 ” 是指系统处于一种特殊敏感状态,微小的局部变化可以不断放大、扩延至整个系统。也就是说,系统在临界态时,其所有组份的行为都相互关联。 SOC 理论发展至今,还存在一定的争议,没有形成一个普遍被接受的明确定义,国内外许多学者试图导出其严格的数学表达式,均以失败告终。但是从应用上看, SOC 理论 成功解释了包含千千万万个发生短相互作用的时空复杂系统的行为特征,已经广泛应用于森林火灾、岩土力学、宇宙起源、社会经济、地震科学、太阳耀斑等研究领域,并取得了重要进展。 二、沙堆模型 提到 SOC ,必然要提到著名的 “ 沙堆模型”( sandpile model ),因为 Bak 等人就是用该模型来形象地说明自组织临界态的形成和特点。 他们让沙子一粒一粒落在桌上,形成逐渐增高的一小堆,借助慢速录象和计算机模仿,精确地计算每在沙堆顶部落置一粒沙会连带多少沙粒移动;初始阶段,落下的沙粒对沙堆整体影响很小;然而当沙堆增高到一定程度,落下一粒沙却可能导致整个沙堆发生坍塌。 Bak 和 Chen 由此提出一种 “ 自组织临界 ” 的理论; 沙堆一达到 “ 临界 ” 状态,每粒沙与其他沙粒就处于 “ 一体性 ” 接触, 那时每粒新落下的沙都会产生一种 “ 力波 ” ,尽管微细,却能贯穿沙堆整体,把碰撞次第传给所有沙粒,导致沙堆发生整体性的连锁改变或重新组合; 沙堆的结构将随每粒新沙落下而变得脆弱,最终发生结构性失衡——坍塌。临界态时,沙崩规模的大小与其出现的频率呈幂函数关系。 沙堆模型是自组织临界性理论的典型范例。一个沙堆在受到扰动时,崩塌规模与发生频率的幂律分布规律与一个地震活动区的地震频度—震级的分布相符。 以后,国内外诸多学者也做过类似的实验(图 1 )。总体来看,在国内外文献中,从沙堆实验到米堆实验,再到玻璃球实验等,通过改变实验材料性质研究自组织临界性现象时, 有的实验出现自组织临界性现象,而许多真实沙堆实验没有出现 ,对于实验中出现的这些不同的现象,目前还不能进行合理的解释。同时,由于实际系统中材料本身的复杂性,从上述已有的研究来看,大都局限于均匀颗粒系统,没有涉及材料的非均匀性。 图 1 Held 圆锥沙堆试验示意图(高招宁) 思考: 1 、实验结果说明,产生自组织临界性需要一定的条件,对一个开放系统,不是任何时候都处于临界状态。 2 、我们的研究表明,非常均匀的介质,如在加载状态下的玻璃,不会有自组织过程,但有临界状态。对加载状态下的非均匀介质,自组织开始一段时间后,才能达到临界状态。若在自组织过程开始后,发生减载作用,则临界性也不会出现。 3 、沙堆属于散体介质,散体与固体(本文特指非散体介质,以示区别,如岩石等)的力学行为不同,从沙堆实验得出的自组织临界性的结果及其表现行为,不能直接外推到固体介质,两者是有区别的。如沙堆发生灾变前可能没有任何前兆,而固体介质在灾变前可能会有监测技术可识别的前兆出现。 三、 Geller 等人对 自组织临界性的误解 Robert J. Gellerd 等人在《 Science 》杂志上发表了一篇题为《 Earthquakes Cannot Be Predicted 》的文章,他们从自组织临界性的概念出发,认为地震(大震)不能被预测,这在地震学界引起了轩然大波,导致许多学者对地(强)震预测悲观失望,甚至放弃了地震预测研究。 先看看文章中的部分观点吧(略掉了引用的参考文献编号和图件)。 For large earthquakes to be predictable, they would have to be unusual events resulting from specific physical states. However, the consensus of a recent meeting was that the Earth is in a state of self-organized criticality where any small earthquake has some probability of cascading into a large event. This view is supported by the observation that the distribution of earthquake size is invariant with respect to scale for all but the largest earthquakes. Such scale invariance is ubiquitous in self-organized critical systems. Whether any particular small earthquake grows into a large earthquake depends on a myriad of fine details of physical conditions throughout a large volume, not just in the immediate vicinity of the fault. This highly sensitive nonlinear dependence of earthquake rupture on unknown initial conditions severely limits predictability. The prediction of individual large earthquakes would require the unlikely capability of knowing all of these details with great accuracy. Furthermore, no quantitative theory for analyzing these data to issue predictions exists at present. Thus, the consensus of the meeting was that individual earthquakes are probably inherently unpredictable. 上段英文的大意是:地球处于自组织临界状态( 评论:不可能,如果是,则遇到合适的扰动,地球就爆炸了 ),任何小地震有可能级联性地发展成大地震, …… ,是否小地震能发展成大地震取决于要详细知道一个大区域的物理条件,而不仅是断层附近区域的细节( 我们的研究表明,这个非必要条件,因为有监测数据 ) ,…… ,大地震从本质上看可能是不能预测的。 思考与解读: 1 、小地震能级联性地直接发展到大地震吗?有这种可能性吗?对具有自组织临界特性的孕震系统会违反能量积累与释放的守恒原理吗?显然答案是不言而喻的,也参考本文后部分的解释。 2 、对自组织系统,能否预测它的临界状态呢?只要掌握了其规律性,建立了其失稳准则,为什么不能预测呢?反而对非自组织系统,因其在临界状态前,内部组织与结构呈现无序状态,即没有规律性,反而不能预测其临界行为。 3 、研究表明,强震孕育系统有自组织特性,断层中锁固体的损伤累积到一定程度才能到达临界状态,这需要一定的时间过程,即自组织现象的出现并不标志着系统已到达临界状态。 四、岩石破裂过程的自组织临界性 岩石具有非均匀性、各向异性等特点,从材料特性而言,非均匀性是非线性的物质根源。非均匀性的存在,使得对岩石力学性质的描述极为困难,如难以建立较为准确的本构模型、获得可靠的力学参数等。但这种非均匀性的存在,使得对强震、崩塌、滑坡、岩爆的预测成为可能。因为有非均匀性的存在,岩石才能在宏观破裂前产生微破裂丛集现象,才能有丰富多彩的前兆出现,才能被人类目前的监测技术识别。 由岩石单轴拉张试验(如图 2 所示 )可看出:随着外荷载增加,首先是均匀的变形阶段,微破裂在空间均匀地分布,随着变形进入非线性阶段,微破裂开始丛集,并逐渐向未来大断裂面附近集中,这种集中和丛集过程使微破裂的空间分布出现有序降维趋势。 图 2 在岩石变形过程中微破裂的空间分布( Mogi ) 从微破裂的均匀、随机的空间分布(无序)到出现变形局部化,直至贯通断裂(有序),其根本原因在于系统离开了原有的平衡态,系统失稳之源也来自于无序结构的失稳和新的有序结构的形成。 何时开始出现微破裂丛集呢?研究发现,是岩样加载到膨胀点进入非稳定破裂阶段(图 3 )。这时即使停止加载,破裂也会自发进行直至发生宏观破坏。 图 3 岩石不同变形阶段微破裂特征 加载到膨胀点进入非稳定破裂阶段后,自组织过程出现,虽然破裂急剧发展,但并未达到临界状态,当加载应力到达峰值强度点时,在微小的扰动下岩样失稳破坏,此时可认为达到了临界点。 在非稳定破裂前,岩石的微破裂是随机发生的,不具有自组织特性。这说明,系统自组织的出现需要一定条件。 对孕震断层中的锁固体而言,当其变形到膨胀点及以后,震群事件(图 4 )开始发生,这是监测手段可识别的唯一地震活动性前兆。 从图 4 知,海地 7.0 级地震发生前 ,在一个地震区会发生多次大大小小的地震事件,小地震事件不会直接导致大震的发生。 膨胀点与峰值强度点有确定的力学联系吗?有,我们根据重正化群理论和损伤力学建立了这种联系,发现其应变比满足: e f = 1.48 e c ,式中, e f 和 e c 分别为峰值强度点和膨胀点对应的应变。 图 4 2010 年 1 月 13 日 海地 7.0 级地震前累积 Benioff 应变随时间的变化 ( 蓝色线表示预测时间,红色线表示实际地震发生时间) 五、结论 固体介质与散体介质的自组织临界性不同,散体介质的灾变行为或许难以预测,但岩石介质的灾变行为有特定的规律性,可以预测。 非均匀系统在一定条件下会出现自组织现象,从自组织到临界状态需要一定的时间过程,即临界性是自组织过程发展的一个最终结果。 参考文献 P.Bak. 大自然如何工作 . 李炜,蔡歇,华中师范大学出版社, 2001,12-18. Per Bak,Chao Tang, Kurt Wiesenfield. Self-organized Criticality. Physical Review A, 1988,1(l):1364-1374. Per Bak, KallCllen, Creulz M. Self-organized criticality in the ‘Game of Life’. Nature, 1989,342(6251):780-782. Per Bak, Kan Chen. Self-organized Criticality. Selentific American, 1991,264(l):26-33. Mogi K. 1985. Earthquake Predication, Tokyo, Academic Press. Robert J. Geller, David D. Jackson, Yan Y. Kagan, Francesco Mulargia. Earthquakes Cannot Be Predicted. Science , 1997,Vol. 275.Nno. 5306 秦四清等著,非线性岩土力学基础,北京:地质出版社, 2008. 秦四清 , 徐锡伟 , 胡平等 . 孕震断层的多锁固段脆性破裂机制与地震预测新方法的探索 . 地球物理学报 , 2010 , 53 ( 4 ) 1001-1014. 高召宁,自组织临界性、分形及灾变理论研究,西南交通大学博士论文, 2008. http://baike.baidu.com/view/3182284.htm
个人分类: 科普|16229 次阅读|0 个评论
嘲风封面故事系列之二——Chem Soc Rev
热度 2 scimage 2012-12-5 10:09
嘲风封面故事系列之二——Chem Soc Rev
封面说明: 包含 2,7- 咔唑单元的聚合物是光电器件中一类重要的电子给体材料,本文综述了该类聚合物的合成及其在器件中的应用,重点阐述了分子结构与器件性能的关系。对于均聚物来说,更恰当的电子受体是染料类的分子,而不是常用的富勒烯。为了进一步降低材料带宽、拓宽吸收光谱,在分子结构设计中引入梯形结构,能够提高器件的效率。此外,包含 2,7- 咔唑给体单元与特定受体单元的共聚物,器件效率可达到 6% ,而理论值有望达到 10% 。 我的封面我的故事 : 这次封面设计是与静远嘲风的第一次沟通,此前组里的其他同事已经请静远嘲风设计过不少封面和插图,不过对于我来说,尚属初次触电。沟通很顺利,第一次草图出来,同设想的效果已经很接近。这个封面想体现柔性器件吸收阳光后,生成电子,在后部画了一只点亮的灯泡来表达所产生的电流信号。其中唯一纠结的是太阳,最初为了画面的整体性,设计师把太阳画在卷起的器件之内,并放射出一些光线,这样设计很美,但是太阳光转化为电流信号的主题被弱化了。后来尝试把太阳画在左上侧配以弱光,并以较小的尺寸展现,这样就不会喧宾夺主影响右侧的灯泡,明晰了主题。设计中有很多细节,是需要设计师同科研工作者不断沟通最后得以准确地表达出来,示意图是非常有力的辅助工具,能够帮助我们更快速、形象地展现工作内容,我想这就是科研工作者乐意、且需要借助的沟通工具。
个人分类: 封面故事|5593 次阅读|5 个评论
“自组织临界性”误导了地震科技工作者多少年?
热度 4 qsqhopeiggcas 2011-6-17 22:20
自从 Bak , Tang 还有 Wiesenfeld ( BTW ),在 1987 年 发表于 “ 物理评论快报 ” 的文章中提出 “ 自组织临界性 ” ( SOC )以来,这一概念就被笼罩在激烈的争论气氛之下。 自组织临界性 ( SOC) 指的是 , 一个具有持续的能量供给、由很多基本单元组成、组成系统的基本单元之间具有 ( 非线性的 ) 相互作用的系统 , 会自发地演化到一个类似于临界状态的状态。目前国际上围绕地震预测问题的争论 , 很大程度上与地震的自组织临界性 ( SOC ) 模型有关。根据地震的 SOC 模型 , 地震预测被认为是不可能的 。 Geller 等 (1997) 认为 : “ 地球是处在一种自组织临界状态上的 , 其中任何小地震都有可能级联式地发展成一个大地震。这一想法得到除特大地震之外的所有地震的尺度不变性的观测事实的支持”。如果地球总是处于自组织临界状态,那么地震真的不能被预测。是否自组织临界性的概念适用于孕震系统呢?我们先从岩石力学试验谈起。 岩石力学试验表明,在加载到膨胀点之前,岩石的破裂过程是稳定的,没有自组织临界性;加载到膨胀点之后与强度峰值点之前,破裂是不稳定的且会自发发展,此时系统具有自组织性;只有加载到强度峰值点时,系统才具有自组织临界性,在微小的扰动下发生失稳。由此可知,系统不总是处在自组织临界状态。 各种内外营力对活断层中的锁固体加载,在加载到膨胀点时,震群事件发生;加载到强度峰值点时,在适当的扰动下大震发生。我们的研究 表明,强震孕育过程不仅有唯一的地震活动性前兆——震群事件,还有极强的规律性,强震不是不能预测,而是可以根据科学方法预测。 到 2011 年为止,自组织临界性的概念已误导了地震科技工作者 24 年,此概念不适用于正确描述强震孕育过程,该是让它退出强震预测“舞台”的时候了。希望某些科研工作者以后不要再“以讹传讹”了 , 不要不干实事“炒作”某个概念了。 参考文献 吴忠良 . 自组织临界性与地震预测 —— 对目前地震预测问题争论的评述 ( 之一 ). 中国地震 , 1998, 14( 4):1~9. Geller R J, Jackson D D, Kagan Y Y, et al. Earthquakes cannot be predicted. Science, 1997, 275: 1616. 秦四清 , 徐锡伟 , 胡平 , 王媛媛 , 黄鑫 , 泮晓华 . 孕震断层的多锁固段脆性破裂机制与地震预测新方法的探索 地球物理学报 , 2010,V53(4): 1001-1014
个人分类: 强震预测|5985 次阅读|9 个评论
地震不可预测与自组织临界性思想
热度 21 hufeng 2011-3-13 20:24
地震不可预测与自组织临界性思想
来自沙堆的想象 上次汶川地震的时候,我在电视上看到一位地震局的研究人员说,他买了一些办公用品后,犹豫了半天是否开发票的问题,因为当时他不愿意或者不敢让别人知道他的工作单位。我可以理解他的苦衷,比如我的一个朋友就认为地震局其实已经预测到了这次地震,但因为种种猫腻而不对外宣布。还有一些人认为国家出钱养着这帮研究人员,你拿了钱就应该预报出地震来。其实,是我们错怪了地震局的研究人员。地震预测作为一个世界难题,目前难倒了世界各国的科学家。美国著名的地震学家,里氏震级的提出者 Richter 曾经说过:“只有傻瓜 和骗子才会试图 预测地震 。” 而让地震预测工作更加没有希望的是,根据物理学家 Bak 等在 1987 年提出的自组织临界性思想,认为地震预测从本质上说是不能的。 描述自组织临界性思想的经典模型是沙堆模型,其模拟了一个沙堆的形成和坍塌过程。用一个画满了正方形小格子的平面表示沙堆的所在区域,每个小格子表示沙堆中的一个局部区域,而小格子中有一个数字表示了这个局部地区的沙粒的数目。根据我们玩沙的经历,可以知道当沙堆堆到一定的高度时,会不断的坍塌。这个现象被 Bak 等抽象为沙堆模型中唯一的一个坍塌规则,当某个小格子的沙粒超过一个特定的坍塌数值(比如 4 ),这个小格子中的沙粒因为过于不稳定而会发生“沙崩”,所有的沙粒都会因为坍塌而平均的流向相邻的格子中。局部的“沙崩”许会引起连锁的反应,比如刚好让相邻格子的沙粒也超过了坍塌的数值发生了坍塌,然后又继续影响它周围的格子。我们可以根据某一个沙崩影响格子的多少来定义一个沙崩的大小。当你不断的向这个“沙堆”加入沙粒,取决于沙堆的状态和沙粒添加的位置,会不断的会产生“沙崩”,大的,小的不停的演化。这是一个很简单的模型,用一个普通的个人电脑就可以做出模型的模拟计算。也正因为简单,所以这个模型可以有很大的普遍性,比如说如果认为地震过程也只是地壳间的摩擦、碰撞,沙堆模型很类似于地震的发生现象。 当然,科学家不会被这种表面上的相似性说服,是什么让科学家相信“沙堆”模型以及由此得出的自组织临界性思想,抓住了地震产生机理的关键点呢? 在地震研究领域内,有一个很有名的实验现象规律叫做 Gutenberg – Richter 定律。这个定律描述了在某一个地区一个较长的时间段内不同大小的地震所发生的频率的规律。随着观察水平的提高,这个规律也一再被后来的科学家用更多、更新的数据重新发现。在 2002 年, Bak 统计了在美国加州地区 1984 年到 2000 年间所发生地震大小的频率的规律。与我们经验相符的是,数据表明大地震很少,小地震很多。但超乎直觉的是,各种大小的地震,从震级为 2 小地震到震级为 7 的大地震,发生的次数与震级大小符合数学上的幂律关系,专业描述是地震的发生次数随着其大小按照幂律下降。如果将这些地震的数据点画在横轴是震级大小,纵轴是次数的双对数图上,是一条直线。这是一个很惊人的发现,因为地震大小每提高一个里氏级,其释放的能量增大约 30 倍。震级为 2 的地震与震级为 7 的地震释放的能量相差 2 千 5 百万倍,但能量相差如此之大的地震,其统计数据点都奇迹般的落在了 Gutenberg – Richter 定律所描述的直线上,而不是别处。当然,这个定律只是现象描述,并没有涉及到地震产生的机理。大地震与小地震落在同样一条直线上是否表示这些地震,不论其大小,有着相同的机理呢? 沙堆模型惊人的模拟结果恰恰是“沙崩”发生的大小与发生的次数也严格符合数学上的幂次率,如果在一个上述的双对数图上画出,“沙崩”的统计数据也都严格的落在直线上。令人惊异和赞叹的是,“沙崩”与地震的统计规律是完全一样的,这是很深刻的相似性。其实,远不止地震,从自然系统到人造的系统,一些灾难性行为包括森林火灾、生物灭绝、甚至城市交通中的塞车都呈现出了幂次律的关系,都遵守着与“沙崩”同样的规律。 在沙堆动力学背后,蕴藏着自组织临界性的思想:一个动力学系统会自身(不需要外部干涉、引导)会演化到临界状态,在这个状态,任何一个小的扰动,比如加一粒沙,所引起的后果是不可预测的。很可能引起一些小的沙崩,但如果恰好在适当的位置上,也学会引发特大的沙崩。如果你把这些“沙崩”比喻成地震的话,那么我们可以说,引发大地震和小地震的原因是一样的,比如说是地壳的某一次小的滑动,正如我们在沙堆上随机加上的那一粒沙一样,很偶然的原因,但产生的后果也许是一个感觉不到的地震或者是日本最近发生的 9 级的地震。这个发现对以揭示大自然如何工作的物理学家来说,是一件美妙的作品。而对于做地震预测的研究人员来说则是灾难。如果大地震和小地震都由一些很偶然的原因引起,而这些“偶然”的原因又是那么的无穷无尽,那么预测从理论上来说是不可能的。 也许,我们需要做的不是去谴责地震局的研究人员为什么作不出地震预报,更应该怪罪为什么成立地震预报局这样的单位,为什么不把钱投入到更加基础的研究中?自组织临界性思想目前主导着国际地震学的研究,这也是有一些国家放弃了地震预测研究的原因。但我注意到物理学最近的一个实验研究中,发现了在产生大的沙崩前,可以观察到沙堆系统的一些异常行为。这个与自组织临界性的理论是不相符的,只是现在还没有比较成熟的研究结果。 关于地震预测,也有很多人希望跳出研究地震机理,直接去找一些与地震相关的异常现象来预测地震。比如,小学的时候背过的“牛马骡羊不进圈,猪不吃食狗乱咬”。但这种研究很难取得什么成果。对与这种异常现象与地震的联系,因为不明白机理,严格的说需要做很多例,并且随机选取一些个体,并且有一个对照组,来检验这种联系。因为做不到这种严格的检验,所以有很多动物异常现象被想当然的认为是地震的前兆了,或者出现一些“事后诸葛”。这种预测目前也只能是给地震预测增添一些花边新闻而已。 13 March 2011 于悉尼大学生物学院
14253 次阅读|50 个评论
SOC主业与技术前景
wyf 2009-2-14 18:50
最近闲谈交流时,SOC(安全管理中心)聊得不少,在这里想把有关思路点滴记录一下。 做好一桌菜,买菜选料很重要,但好筵席最需要的,还是做菜的手艺。SOC也是一样,把各类日志、扫描信息、IDS信息收集齐、整理好固然关键,但SOC真正的主业,是进行深度关联分析。 既然起了运营中心的名字,那么SOC就不是安全仓库,用户对SOC期望和厂家对SOC的厚望,就都集中在关联分析上,不仅是分析,还应该是深度分析。 2009年再次环顾SOC市场,觉得SOC在主业上,还有很多、很深的工作值得做,在这里进展的空间,也非常大。 虽然笔者2008年所谈过的SOC迷途( http://fwrh.blog.sohu.com/106841437.html )依然存在,经济形势又收紧了客户的预算,但随着客户的安全意识逐渐深入、安全技能掌握愈加熟练、安全产品部署愈加丰富完备这三大因素的成熟,相信SOC的深度关联分析有了很好的技术基础,下面几年的技术发展前景值得期待。
个人分类: 行业分析|4460 次阅读|0 个评论
SOC迷途:在困境中徘徊的SOC
wyf 2008-11-30 12:44
本人2008年7月14日发表于《中国计算机报》,封面文章 信息安全市场在一定程度上是围绕着各种产品、议题和概念运转的,每年都会诞生大量的新产品、新议题和新概念,当然也有很多过气的东西黯然消亡。在激烈竞争的市场里,谁进谁出具有一定的法则好东西进,坏东西出,不好不坏的SOC(Security Operation Center,安全运营中心)在徘徊。 SOC的概念被炒了很多年,虽然它绝不是坏东西,但也并非想象中的那么好,于是它总没有业界所预期的那般快速发展,发挥出它应有的作用,而是处在徘徊的困境里。 SOC在使用中遇到的尴尬局面,和IDS出奇地相似。很多业内人士把SOC也比喻成垃圾电影,故事还没有进入高潮就已经把观众逼出了影院。有些企业在充分部署了防火墙、IDS、防毒墙、抗DoS攻击网关等硬件产品,还有杀毒软件和漏洞扫描器等软件产品,购买了渗透测试、应急响应、安全咨询等安全服务后,在自身日益增长的安全需求下,开始考虑部署SOC系统。 他们兴致勃勃地把SOC软件装在平时从不舍得用的高性能机器上,煞费心思地把能想到的数据都接入进来,专心致志地定时观测SOC报警,认认真真地撰写运行报告 但一段时间后却发现,SOC给出的风险结果与实际情况偏差甚大,拿到的报警多数都是误报,兴高采烈地获取到的报警信息记录的却是公司正常业务操作的行为;对于SOC报出的风险,名称看不懂,懂了也分析不清;而那些自动生成的图形报表反映的也是被误报严重扭曲过的统计结果;等到危险事件发生时,真该出现的SOC报警却已经淹没在无数误报中。 一来二去后,用户发现进行了巨大的投资,牵扯了大量的人力,却没有换来理想的运营管理效果,原本满心热忱去用它,到头来却让自己寒心。 困境:挣扎中的SOC SOC虽然名曰中心,但SOC并不是人力、场地俱全的大型中心枢纽,而是一种应用软件产品,安装在用户数据中心大楼的主机里,通过信息网络,把防病毒、防火墙、IDS老三样以及其他的安全设备统统纳入自己的管控范围,监看信息系统的威胁、脆弱与资产价值,在应用层上发挥协调作用。 SOC在中国发展已有多年。从产品上讲,有国内研制的,也有国外引进的;从应用范围上讲,在国内很多行业已经进行部署使用过。但从使用的效果看,生产商觉得SOC没有杀毒产品、防火墙、入侵检测系统那么好卖,客户认为投资回报不明显,觉得现有的产品没有达到预期的效果,甚至还不如买个日志管理系统更实在。 到底是什么导致SOC陷入现在的困境呢?笔者结合多年的SOC实践经验,总结出以下四点原因。 1.巧妇难为少米炊 SOC本该是个众人拾柴火焰高的系统工程,但往往却落个巧妇难为少米之炊的下场真正想部署SOC的用户不大可能无米,少米倒是普遍的情况。SOC放在用户的信息环境中,需要把大量的信息安全相关数据取来分析,这些数据主要来自各类用户已有的安全设备,或在主机、网络设备上安装Agent采集日志。但是,三种导致巧妇少米的原因常会发生: (1)用户安全设备部署得不够充分; (2)用户安全设备品牌多样化; (3)已有安全数据没有全部接入SOC。 巧妇少米对于SOC危害性极大,安全事件判断的准确性,并非随数据的完备丰富而线性递增安全世界里并不存在监控80%的数据,即获得80%的准确性的逻辑,差了关键的20%数据采集就可能导致监测判断完全失败,准确性陡降为零。 所以在SOC实践中,对少米问题没有任何商量余地,用户必须把少的地方补上,不然前面即使投资换来99%的覆盖率,都可能在千变万化的安全事件前打了水漂。 2.产品盛刮技术风 安全市场上销售SOC时,售前工程师常爱以IDS为例这样讲解:IDS是检测防御黑客时必须的,但您买了IDS后会发现调整误报后仍有大量报警,这是因为IDS报出的威胁和攻击与您系统自身脆弱点没有进行关联匹配,所以黑客攻的不对路、系统并无对应缺陷的入侵也被报出来,影响了运营者的视线,而SOC能够把威胁和脆弱两边信息对应匹配,屏蔽这些不该有的报警。 SOC确实解决了一个又一个这样的技术难题,日志抓得快了,威胁分析得准了,误报少了,报表饼图制得好用了。但是安全运营中心的核心在运营二字上,运营是科学,是艺术,更是思想。所以SOC本来就不该被当成技术活儿。 用户需要的安全运营中心,要能把安全问题统揽过来、综合分析、全面研判,应该成为一个全局化的大系统,要有先进的非技术因素、非技术思想融入。 有的生产商会反驳,用户在购买SOC产品时,更多的也是关注具体技术问题,为了卖产品,生产商必须把每项采集分析技术都落到实处。 运营不能脱离技术,不实现具体技术而制作一个纯运营的SOC是在空中造楼阁,但是扎实的技术基础,更需要非技术思想将它们整合,生产商不能为了迎合客户的直接需求而忽视了更核心的内容。 3.盲目追求自动化 实现管理自动化,也是SOC产品常见的卖点,但如果盲目追求自动化,SOC发展就将走入瓶颈。 拿工业自动化领域的机器人做个类比,机器的发展现状远不及几十年前人们的预期,原因是其智能化程度一直发展不上来,不智能的自动化往往要带来更多的错误和需要人工弥补的工作压力。 SOC也一样,想追求自动化却没有足够的智能技术支持。复杂的信息安全风险在评判时并不遵循线性逻辑,绝非几个函数所能算清,于是SOC就不可能完全替代人工来实现事件的分析、判断和报警,过多地宣传或期待SOC能如何节省人工劳动也只是画饼充饥。 正如同现代精密工业加工中仍然留存有半自动操作一样,同样容不得半点误差的安全运营中心也理应保留相当多的人工参与环节。人工参与等于落后是唯技术者的谬论,继续盲目追求自动化,只能让SOC走进死胡同。 4.个性用户共性产品 安全运营中不同用户的信息系统现状差异甚大,安全特点和安全需求往往是个性化的,运营思路也应有针对性。但目前的SOC产品,软件中体现的运营思路都是较单一的模式,对待差异化的客户往往顾此失彼,所谓个性用户共性产品。 差异化个性化问题在防火墙、IDS等单个安全产品的应用中并不突出,因为标准化的产品模块在用户手中可以灵活组合,满足个性需要。但在SOC这样的综合运营平台中,标准化产品与个性化客户的矛盾集中体现,无法回避也必须面对。 定位:SOC的算术问题 分析清了SOC困境之源,并非马上就能找到解决之道,因为依据问题堵漏洞的方法是限于局部化思维的改良型陋习,补旧洞时还可能添新洞,科学的做法是整体把握分析,设计出全面根治问题的解决方案。 动力学含义中的三元安全运作模型图 整体把握SOC之路,首先就要搞清SOC产品的定位,笔者使用动态三元安全运作模型来进行这一定位分析。 动态三元安全运作模型中指出,技术、管理和审计在信息安全建设中同等重要,而在数学逻辑上,技术可视为加法,管理可视为乘法,审计可视为乘百分数。 如果与控制温度的空调类比,安全目标对应着空调遥控器的温度,安全工作效果对应实际室温,安全管理是空调调节芯片里的程序,安全技术是释放热气的电机和压缩机,信息资产是室内空气,安全审计是温度传感器,外来威胁则是室外温度突变。 可以把温控空调和动态三元安全运作模型归纳到统一的动力学模型中,并把它们的组成元素赋予动力学含义. 不管是动态三元安全运作模型,还是空调,调节器都会根据变送器送回的结果与系统给定的偏差大小调整执行器的工作力度,保障被控对象更快、更稳、更准地达到目标。如何配置好每个模块是全系统成功运作的关键,在动态三元安全运作模型下科学配置管理、技术、审计三元素,才能让整个安全体系发挥最大的作用。 1、安全管理。 作为调节器,怎么制定驱动策略是安全管理环节配置的关键。当室温与遥控器上指定的温度有差距时,不同空调的调节方法不同,普通空调、变频空调、模糊变频空调性能就有很大差别。安全管理中也需要设计出适合自己的管理方法,应对变化。 2、安全技术。 技术作为执行器,需要踏实干活,保证技术的先进性和稳定性。不先进,不能迎接各种风险考验;不稳定,可能会在关键时刻失效。 3、安全审计。 作为有反馈作用的变送器,审计工作一要精准,二要转化有方,三要频率得当。 精准: 空调传感器精度如果不准,温控无法有效;安全审计中做到精准度量,才能发现偏差所在。 转化有方: 空调传感器完成非电量的电测量;安全审计依靠科学的风险评估方法,才能把繁杂的安全工作效果转化成易识别理解的审计结果。 频率得当: 以一小时为采温频率的空调不是好空调,审计时频率过密或过稀的动态安全运作体系也不是好体系。 把SOC放入上述模型,可以发现,SOC的正确定位其实应该是安全审计,即一个变送器,而不是作为执行器的安全管理。过程管理学派常说的计划组织领导控制,SOC几乎一个也做不到,只能呈现出一个信息安全现状给管理者,让管理者根据SOC呈现出的东西来计划组织领导控制。 对SOC定位过程同时证明了动态三元安全运作模型更适合指导安全建设,比传统的三分技术、七分管理更具有可操作性。 拆招:破解SOC四大困局 该做的东西如果真不可行,拼了命、砸足钱、找了最好的咨询公司,也未必能实现。好在SOC不是这般不可救药,针对前面分析的SOC四大困局,对市场有深刻理解的人都能找到破解之法。 SOC困局之一谈的是巧妇难为少米炊 没有完备的安全数据,SOC就是个受到远端蒙蔽的中央指挥部。其实,中国市场有一个客观现实,玩得起SOC的主儿都有不错的安全建设基础。 能把安全建设推动到实施SOC这步的用户,一定是已经做了大量前期建设的。能有心实施SOC的用户或生产商主攻的目标一定是有点儿闲时间、闲资金而且有足够安全意识的机构。 这样的机构,安全设备部署的即使不是特别充分,再买两台也就补齐了;安全品牌即使不是完全统一,也相对较为集中或者用户有能力来协调各生产商进行整合;已有安全数据即使监测不够全面,以它们良好的基础认真调整一下也能收拢全,不会像乱线团一样永远理不清。有基础的用户,只要肯用心准备、肯把米备齐,这一困局是完全可以打破的。 SOC的困局之二是产品盛刮技术风 目前,SOC靠技术实现了大量监测功能,却缺少强有力的运营(非技术)思想支持。其实,运营思想抑或审计思想是要靠用户来提供的,现有的SOC产品虽然技术氛围较重,但在客户化过程中可以弥补这一缺陷。 信息化建设与运维中,追求真正的安全只能靠用户自己的思路。运营思想要因地制宜,由客户决策要做的事情、要用的运作模式,才能够推广下去,不可能靠纯粹是外人思想的安全软件来改变机构固有的工作思路。 在实务操作中,SOC生产商在做好技术本身的同时,更多地需要培训客户,帮助客户梳理运营思路以便用好SOC,从这一层面来弥补现有SOC产品中缺乏非技术思想的困局。 当然,把SOC开发得灵活应变,蕴含多种运营审计思路供客户选择,将会彻底解决这个困局,只是成本过高,并不值得推荐。 SOC的困局之三是盲目追求自动化 其实,对于自动化安全运营的问题,退一步海阔天空。 退的目的是求进,生产商可以把全自动化的目标适度调低,将SOC设计成能够人机结合与自由切换的半自动安全产品,最终让用户灵活掌控这套安全产品。SOC中有必要让人工发挥作用的场合包括但不限于以下几项: 1.各类日志报警最终定案时 不同设备发出的日志纷繁复杂,SOC自动分析的,即使再精确、再先进,也难免出现偏差。 2.异常检测型事件报警时 IDS的两种主流检测方式是模式匹配和异常检测,模式匹配相对精准,而异常检测就常出问题。 3.进行关联分析时 关联分析方法可以让SOC大幅减少误报但绝没有能力根除误报,所以呈现在用户面前的报警必然还要利用人工进行最后一次筛查。此时要的不仅是人的经验,还有人的思考判断能力。机器语言与自然语言有差距自不必说,即使是自然语言也未必能表达清什么是安全,就好比法律条款中对淫秽图片下定义时总是很费力,其实在法庭上让法官看一眼就可以断定。 SOC的困局之四是个性用户共性产品 各形各色的用户加上千奇百怪的信息环境,一个模子做出来的SOC产品难以处处吃香。其实在中国市场上推广SOC时,往往都要进行客户化定制,所以此处的困局可以利用我们实践中的惯例来打破。 在谈到非技术内容靠用户时,SOC在设计过程中一定要根据用户情况,具体问题具体改进。所以真想把SOC做好,定制开发的工作少不了,中国市场上目前在电信等行业实施SOC时也确实做了不少客户化定制改进。 既然定制开发是一条正确路线,那就在这个环节努力做好,把SOC做成个性产品,提供给不同的用户,或者汇总各种先前用户的需求,建立丰富的模块化库,让新用户可以自由购买模块组合使用,成为一种安全模块超市式的定制。 疑问: SOC该不该做 正确定位SOC后,仍然不能急于讨论如何化解它徘徊不前的困局,用户需要站在刚给它做的定位上看看SOC该不该做,也就是看看应用它的必要性。经过对SOC的全面分析,尤其是从它安全审计产品的定位来看,SOC是应该好好发展的,但确实面临大量困境,前路困难重重。 之所以要坚定信心逆势而上推进SOC,主要基于以下四点考虑。 关联分析:难做也得做 在SOC推销中常拿IDS误报问题当作引子,告知客户用SOC的关联分析法有助于解决IDS报警不准的问题,把威胁与脆弱摆在一个台面儿上研究会有最佳效果。 当然,关联分析也是个颇有难度的工作。安全威胁信息的来源主要有IDS、反病毒产品和各类主机日志、网络日志,安全脆弱信息的来源有系统级和应用级扫描器等。不同品牌的安全产品在脆弱与威胁的描述上界定不同、语法不同,无法充分匹配,而各类日志纷繁复杂,也不是简单地能与其他事件关联匹配起来的。 虽然关联分析难,但却是SOC肩负的历史使命,安全产品中太需要这样一个能够汇总各方信息,给用户一个综合结论的平台。所以,关联分析难做也得做,安全市场上需要SOC。 动态评估:夸张也得搞 SOC对安全产业的另一个重要作用是能够实现用户梦寐以求的动态风险评估。现代信息系统面临外来威胁大、种类多、手段多变,安全技术进步快,常规的静态风险评估不能适应外界的变化,只有做到动静结合、评估常态化,克服年检式风险评估存在的结构性疏漏。动态评估采集的大量数据,应由统一的信息平台进行整理、计算与呈现,SOC是最合适的软件产品。 动态评估听起来非常夸张,但是没有动态监督,就不可能实现对风险的全面掌控。 动态评估中不可能沿袭传统静态风险评估中填表格、做访谈等方式,而应该抓住主要关注点,实时采集数据、统一分析、集中展现,把动态的结果提供给用户。SOC是做好这一工作的充分必要产品,所以我们梦寐以求的动态评估,夸张也得搞。 基础设施:亏钱也得建 SOC是不是奢侈品,是一个很好的议题。SOC是可有可无,还是锦上添花呢?笔者的观点是,SOC是个基础设施。 帮助用户从分散式的安全产品分布走向集中式管理,SOC担负着安全产品家族大家长的角色,是一个一体化安全建设运维的灵魂与核心,是各个局部做出精彩成绩的总后援和大基地。 没有SOC,几个安全病毒、几个非法操作用户尚能应付,但很难想象一个没有统一安全运营平台的机构怎么应对真正严峻的安全挑战,甚至是内外勾结的集团化犯罪。所以,SOC的定位就决定了它是一项用户信息安全建设中必备的基础设施,绝非锦上添花之物、可有可无之产品。 应急响应:鲜有也得备 SOC把脆弱信息与威胁信息拢在一起分析的工作,其实人工也可以干。IDS的报警信息拿来,看看帮助文件,去百度搜索一下,搞清原理;然后看看攻击的对象,查查系统配置,扫描两下,定位脆弱点;再然后,把脆弱点和攻击原理匹配,开个会讨论讨论,定出这个报警是否攻击以及如何处置。分析的流程走完了,结论也拿得挺准,但时间却错过了。 在攻击面前,没有犹豫时间,必须有应急响应的能力和速度,此时就急需SOC这样的综合关联分析平台发挥作用了。SOC可以以最短的时间帮用户搜集所需的数据,并且加以筛选匹配,支持应急响应。 但应急响应发生的概率实在不会太高,用户要配备一套昂贵的SOC来应对不知猴年马月才会发生的突发攻击事件么?当然需要。一个突发事件可以造成极为巨大的经济损失和无法估量的非经济影响,而提早一秒钟作出处置就可能扭转局面。 SOC的投资回报率经常在真正出现事故时才能体现出来,就像购买意外保险一样,不出意外就永远不觉得自己享受了保障。 关联分析、动态评估、基础建设和应急响应四大理由,每条都证明了SOC该做。 方法:三大中心一台戏 仅知道能做是不够的,还要讨论如何才能做得更好。行文至此,终于要讨论一下SOC的最佳实践方案了。为了给SOC的使用者、开发者支几个妙招,笔者下面提出并论述一下实施SOC时的三大中心建设法。 风险评估中心 SOC在业界推介多年,真的把SOC当作风险评估中心来卖的生产商却不多,现在常规风险评估服务的那些计算表格,也没有谁往SOC里放过。其实,风险评估中心,应该是SOC建设中的第一个主打概念。 当然,仅靠现有的SOC做不好风险评估,因为它对物理风险和系统风险的分析技术较为成熟,也更偏爱这两项风险,而对应用层风险、网络风险关注的不够。要想让SOC取得良好的风险评估,还需要加强应用层风险和网络风险的评估。以下介绍笔者在这两方面的设计。 1.评估应用层风险 IDS反映了应用层威胁,而应用层脆弱点要靠人工或工具渗透测试来获取。目前的SOC中鲜有将渗透测试结果纳入关联分析中的,但笔者认为把渗透测试结果引入SOC的信息库中是SOC今后的发展趋势,不妨用IDS的规则库(应用威胁)来反向定义脆弱点(应用弱点)。 2.评估网络层风险 SOC目前监控的主要是各个网络设备的运转好坏,并没有关注其中的访问控制策略对安全保障的影响。其实,可以在SOC评判风险时加上网络访问控制这层关联攻击威胁即使与系统脆弱完全匹配,也应该与防火墙是否开放了相应端口再行比对一下,如果没有开放,有关攻击也会失效。 等级保护中心 等级保护是国家信息安全管理的根本制度与根本方法。风险评估中心的概念把SOC变得更富有时代意义,等级保护中心的概念则会让SOC在用户决策层得到更多支持。 SOC一直很强调信息资产的概念,一些生产商的SOC产品更是直接提出以信息资产为工作中心,而信息资产的概念中就包含等级划分的内容,资产重要性等级是信息资产的关键属性。因为SOC只是审计工具,所以无法做到等级的保护,只能做到对风险的等级化展现,即将不同等级信息资产的风险集中展现统计,供用户了解其在某个等级下的信息资产安全状况如何。 将SOC作为等级保护中心来使用,具有两个好处:1.让用户及时掌握自己等级保护制度下各系统的运行情况。2.让用户对风险分级监测,不是依靠风险高低分级,而是看风险发生在多重要的系统上,用户可以更好地关注高等级系统目前的风险状况。 在把SOC建设成等级保护中心时,需要事先对用户的信息系统进行认真的定级工作,而且可以在国家五级标准下,在进行进一步细化。 应急响应中心 应急响应中心是SOC的又一个很好的建设方向,也就是把SOC做成用户的CERT(计算机应急响应组)的大后援平台。机构在安全管理中,由于各方面原因,不可能100%修复系统中的脆弱点,挡住100%的攻击,必然会出现残余风险。应急响应用10元应急钱代替1000元的根除残余风险成本,是一种低成本的好方法。 把SOC建设为应急响应中心时,需要注意以下几个问题:1.图形化界面内容一定要丰富且易变,供用户选择搭配,关注他们最关心的内容。2.报警方式要多样,除了声音、图像显示外,要考虑邮件报警和短信报警的实现。3.配套措施一定要完善,应急响应的信息向用户呈现或发出后,用户自身要有足够完备有效的流程,保证对紧急信息的有效处理和应对。 在实践中,三个中心应该同步展开建设,让SOC拥有多重身份,而不是孤立地只建设一个,以求最好的投资回报。当然,根据用户的不同特点和不同安全目标,三个角色的戏份可以有所侧重,适当调整。
个人分类: 行业分析|3824 次阅读|0 个评论
集成电路测试方向的发展前景
yangjingangel 2008-11-26 11:55
首先说明一下,我本人就是研究集成电路测试方向的。开初选择这个方向的原因就是觉得它软硬兼备。但是真正开始研究的时候才发现一切都不似我想象的那般简单。 身边的同门师兄妹都很关注该方向的发展前景,其实说白了,就是关心它的就业前景。相关领域的老师是这样说的:集成电路测试是很 有用的 (没用我们研究它干嘛?),尤其是对那些生产相关芯片的厂商和公司。现在国外在这个领域已经发展的很完善了,但我们国内还没有独立的这样一个公司,但是只要有开发与生产的地方就 需要测试 (可见能够就业的范围极其有限),而且我们国家也在 逐渐重视 (表示还没有重视)这个领域 总而言之呢,我们这个研究方向是个热门中的冷门。 IT 行业热吧?很热,热过头了!软件工程热吧?最好就业的十大专业里排名第一!嵌入式系统热吧?新新兴起的 IT 又一热!集成电路测试直属嵌入式系统旗下,隶属于计算机与软件工程专业,在 IT 行业涵括之内,但是它却是热热热门中的冷门。就业前景似乎不是一般的暗淡,就已就业的师兄师姐而言,除了改行的貌似都进了华为了,进了华为的也不一定就意味着做了本行。 但是换个角度来想,也许现实并不是那么糟糕。它有用证明它值得研究,它被需要证明我们还是有用武之地的,它逐渐被重视证明它开始变得重要起来。冷门不表示永远冷门。之前本科阶段学的是计算机,那在当时简直热的不得了(热到顶点就意味着开始走下坡路),等我毕业的时候,大街上随便抓一个就是学的计算机,就业一样困难。但是集成电路测试是在一个冷到热的转变过程,这就说明目前我们的就业前景只会越来越好。 写这个只想为同行们加加油,也为自己鼓鼓劲,千万千万别泄气更别放弃 ~~
个人分类: 探索科学|5013 次阅读|2 个评论

Archiver|手机版|科学网 ( 京ICP备07017567号-12 )

GMT+8, 2024-5-16 02:21

Powered by ScienceNet.cn

Copyright © 2007- 中国科学报社

返回顶部