|
Работа с Web-сервисами в корпоративных SOA: Часть 12. Разработка Web-сервисов управления риском в SOA с использованием IBM Rational ClearQuest
Статьи
→
SOA и Web-сервисы
Введение
Часть 10, этой серии статей, была посвящена использованию глубокой защиты для обеспечения безопасности ваших SOA. Вам была продемонстрирована центрированная модель трехслойной системы защиты. Вы можете использовать эту модель для преодоления недостатков, характерных для некоторых технологий, и средств управления, динамично маневрируя между лучшими ресурсами.
То, что образует каждый слой, с учетом защитной позиции, зависит от бизнес-стратегии организации и концепции защиты SOA. Вы видели как стратегии защиты и средства контроля могут базироваться на основе технологий и наоборот: как технологии и средства контроля могут базироваться на основе стратегий защиты и программ.
За пределами глубокой защиты
Вам нужно больше чем глубокая защита. Процесс разработки Web-сервисов в SOA всегда сопровождается неопределенностями. Неопределенность возникает, когда неизвестно распределение вероятностей (случайное распределение). Введите данные риска для установления распределения вероятностей. Риск это вероятность фактора угрозы, пользующийся одной или несколькими уязвимостями.
В этой статье описывается традиционный жизненый цикл риска в SOA: Web-сервисы анализа риска, оценки риска и управления риска. Мы рассматриваем увеличение жизненного цикла для включения других Web-сервисов: прогнозирования риска, стратегий риска, технических требований риска и мониторинга риска. Вы увидите, почему для работы с файлами, которые своевременно динамически зависят от других, необходимы нелинейные очереди.
Традиционный жизненный цикл риска
Анализ риска это метод идентификации рисков и оценки потенциальных повреждений для настройки средств контроля и мер безопасности.
Оценка риска это процесс идендификации активов, угроз и уязвимостей, измерения рисков и их приоритезации. Вы можете использовать количественный или качественный подход для определения манеры возникновения угроз.
Примером количественного подхода является оценивание с помощью вероятностей. А отнесение риска к рискам повышенной (H), средней (M) или сниженной (L) степени пример качественного подхода. Вам необходимо управлять рисками таким образом, чтобы каждая угроза эксплуатировала одну или несколько уязвимостей, и снизить риски до приемлемых уровней с наименьшими затратами на контрмеры.
Управление риском это процесс снижения риска до приемлемого уровня и применения мер безопасности и средств контроля для поддерживания этого уровня риска и получения доходов от инвестиции (ROI). ROI для каждой меры безопасности показатель того, насколько используемая вами мера безопасности оправдывает инвестиции в снижение рисков.
Применение мер безопасности не завершает процесс анализа, оценки и управления рисками. Процесс продолжает обратная связь с предыдущими этапами жизненного цикла, реагируя на экономически значимые изменения системных активов, уязвимостей, угроз, стратегий и требований.
Чтобы вместить больший диапазон угроз, уязвимостей и рисков современного мира, необходимо увеличить жизненный цикл риска. Для наглядности рассмотрим риск непредумышленной ошибки пользователя, когда некорректный ввод данных на экран приводит к системной ошибке.
Сниженный или повышенный риск?
До крупной системной ошибки степень риска непредумышленной ошибки пользователя можно считать низкой, благодаря корректному вводу данных пользователем ранее. Одна контрмера была применена с целью обратить внимание пользователя на некорректность вводимых данных. Другая контрмера обеспечила пользователей учебной программой. После первой ошибки системы степень риска возросла. Вследствие чего были приняты новые контрмеры, такие как кадровая безопасность в первой линии защиты и аттестация программного обеспечения на проведение процедур проверки достоверности для защиты системы от непредумышленной ошибки пользователя во второй линии защиты.
Прогнозирование необходимостей
Если бы мы спрогнозировали необходимость изменить рейтинг риска до того, как произошла непредумышленная ошибка системы, то степень риска непредумышленной ошибки пользователя была бы выше, и были бы приняты дополнительные контрмеры. Итак, пусть первой фазой жизненого цикла будет прогнозирование необходимостей управления риском. Перед фазой анализа риска необходимо добавить еще 2 фазы: стратегии и требования управления риском.
Включения в стратегии
Данные о необходимости управления риском, полученные во время прогнозирования, включаются в стратегии управления риском. Стратегия должна быть четко задана таким образом, чтобы общую картину можно было преобразовать в задачи, которые вы можете использовать для измерения протекания каждой фазы цикла. Например, когда стратегия требует снижения риска авиакатастрофы до более приемлемого уровня, задачами, поддающимися измерению будут такие показатели как вычисление вероятности годовых убытков и ROI мер безопасности.
Планирование требований.
От задач мы переходим к планированию требований упраления риском, включая переоценку модифицируемой системы программного обеспечения в заданных временных рамках, как 3 года и меньше. В требованиях должен также указываться вид документации, соответствующий правилам техники безопасности оценки и управления рисками, для обеспечения защиты системы от непредумышленной ошибки пользователя.
Мониторинг изменений
По завершении задач по упралению риском мы добавляем к жизненному циклу еще одну фазу мониторинг изменений. Необходимо контролировать качество реакции оркестраторов на изменения рисков, угроз, уязвимостей, требований и организационных структур. С помощью электронной почты мы можем получить предупреждение о критических моментах или опасности системных перегрузок в ходе операций.
Первичный оркестратор
Итак, мы увеличили жизненный цикл Risk Web-сервиса, состоящий из следующих Web-сервисов, каждый из которых представляет собой фазу цикла:
- Прогнозирование
- Стратегия
- Требования
- Анализ
- Оценка
- Управление
- Мониторинг
Risk Management Web-сервис (Web-сервис управления риском) одновременно является и частью жизненного цикла, и первичным оркестратором Web-сервисов первого уровня. Как показано на рисунке 1, эти сервисы динамично отвечают на его запросы ресурсов Risk Management (управления риском) в зависимости от потока деятельности и изменения параметров отслеживания.
Рисунок 1. Первичный оркестратор
Вы можете довершить это IBM Rational ClearQuest для иерархии оркестраторов.
Вторичный оркестратор
Пусть Risk Analysis Web-сервис (Web-сервис анализа риска) вторичный оркестратор. См. рисунок 2.
Рисунок 2. Вторичный оркестратор
Фазу анализа мы делим на:
- Asset identification Web-сервис (Web-сервис идентификации актива)
- Vulnerability identification Web-сервис (Web-сервис идентификации уязвимости)
- Threat identification Web-сервис (Web-сервис идентификации угрозы)
- Vulnerability-threat mapping Web-сервис (Web-сервис сопоставления угроз и уязвимостей)
Мировая компания может использовать оркестратор анализа для обновления информации об активах людях, технологиях и средствах из всех своих организационных единиц в разных SOA. Этот оркестратор можно запрограмировать на рассылку e-mail предупреждений о несостоятельности обновлений. То же самое можно сделать для Web-сервисов идентификации уязвимостей и угроз.
Web-сервис сопоставления угроз и уязвимостей
Самая интересная часть анализа риска сервис сопоставления уязвимостей и угроз. Этот сервис сопоставляет уязвимость с несколькими угрозами, подразумевая, что одна и та же уязвимость может использоваться несколькими угрозами. Возможно также использование одной и той же уязвимости в создаваемой SOA одними угрозами в одной и другими угрозами в другой SOA.
Точно также этот сервис сопоставляет одну угрозу с несколькими уязвимостями, подразумевая, что одна и та же угроза может использовать несколько уязвимостей. Одна угроза может воспользоваться какой-либо группой уязвимостей в одной SOA и другой группой в другой SOA. Угроза может быть непредумышленной, умышленной или созданной человеком.
Все усложняется, когда объекты перемещаются в сети из одной точки в другую и из одной SOA в другую, динамично изменяя диапазон угроз, уязвимостей и рисков. На рисунки 3 сервис сопоставления представлен как другой оркестратор для координирования этих изменений.
Рисунок 3. Оркестратор третьего уровня
Использование Rational ClearQuest поможет вам проследить за изменениями в потоке деятельности Web-сервисов на этом уровне.
Нелинейные очереди оркестраторов
С возросшей сложностью Web-сервисов, зависящих от других при выполнении серии задач, всегда есть вероятность того, что один-два файла одного Web-сервиса не совметсимы с некоторыми файлами других Web-сервисов. Единственный способ справиться с такой нетерпимостью создать нелинейные очереди в Web-сервисах, часто требующих связи с другими. Когда принимающая нелинейная очередь принимает файл из внешнего Web-сервиса, созданный Web-сервис перемещает этот файл в другую нелинейную очередь, которая доступна для немедленной связывающей оптимизации с другими файлами, которые ждали их в ближайшее время. Rational ClearQuest отслеживает изменения в способе связи файлов.
Выводы
Разработка Web-сервисов для управления рисками в SOA требует заранее составленного плана: прогнозирование необходимостей, составление концепции стратегии, формулировка требований, проведение анализа и оценки, преодоление риска и мониторинг результатов. Стадия планирования также включает в себя определение того, какие участки жизненного цикла должны быть оркестраторами на разных уровнях структуры жизненного цикла риска. Вам необходимо обсудить обеспечение адекватного управления рисками с группой системных администраторов, бизнес аналитиков и разработчиков.
Вы непременно найдете, что решение этих вопросов существенно облегчит разработку Web-сервисов для преодоления рисков. Вы можете использовать IBM Relational ClearQuest для автоматизации процессов разработки с помощью гибкого управления потоком действий и отслеживания дефектов и изменений. После разрешения этих вопросов работа администраторов по управлению и контролю Web-сервисов в жизненном цикле риска станет легче. Они смогут определить, сколько файлов может быть создано и использовано без системных прегрузок.
21.02.2008
Комментарии
Добавить комментарий (анонимные комментарии не публикуются!!!)
Новости и пресс-релизы СМ-Консалт
21.02.2012 12:42:20 Новая статья: IT и психология. Человеческий фактор в парном программировании: почему многие не получают желаемого от его внедрения?
Статья, находящаяся перед вами, открывает цикл статей о человеческом
факторе, Agile-практиках и других полезных приемах, используемых при
управлении командами в ИТ. Объединяет рассматриваемые практики и приемы
одно – они позволяют проявиться положительным эффектам, связанным с
человеческим фактором. И мы объясняем, почему с точки зрения психологии,
это происходит. Так сказать, подводим теоретическую и экспериментальную
базу под то, что себя уже давно зарекомендовало и работает. Или под то,
что работает не у всех, и потому является предметом оживленных споров и
дискуссий. И начинаем мы наши исследования с рассмотрения эффекта
парного программирования через призму экспериментов социальной
психологии.
Отдельную благодарность за рецензию и время, потраченное на прочтение
первого варианта статьи, выражаем Асхату Уразбаеву,
ценные замечания которого позволили не только улучшить данную статью,
но и позволили убедиться в необходимости и востребованности именно цикла
статей!
Читать -->
27.12.2011 16:15:27 Компания "СМ-Консалт" получила отзыв о работах в Федеральной Налоговой Службе (ГНИВЦ ФНС)
Специалистами ООО «СМ-Консалт» в 2010-2011г. был выполнен проект
по настройке и внедрению системы управления жизненным циклом разработки
программных систем в части управления изменениями и конфигурациями на
основе Microsoft Visual Studio Team Foundation Server 2010 для
Филиала Федерального государственного унитарного предприятия «Главный
научно-исследовательский вычислительный центр Федеральной налоговой
службы» в Приволжском Федеральном округе (Филиал ФГУП ГНИВЦ ФНС России в
ПФО).
28.11.2011 15:05:11 Новая статья: "Всегда ли «Да» – это «Да»? Или как нас вынуждают принимать решения"
Мы предлагаем вашему вниманию цикл статей, в основу которых положены
психологические практики и приемы, позволяющие влиять на решения,
принимаемые людьми. Эта идея была логическим продолжением ряда
выступлений с докладами о коммуникациях в проектах разработки и
внедрения ПО. Давайте, не откладывая в долгий ящик, начнем с самого
простого приема убеждения, с которым сталкиваемся ежедневно в магазинах,
в транспорте, в разговорах с коллегами… да мало ли где еще!
Авторы: Новичков Александр и Карабанова Галина.
Читать -->
10.10.2011 11:16:06 Компания «СМ-Консалт» открывает новое направление продаж - ПО Adobe Connect
Программное обеспечение Adobe Connect является гибкой системой
web-коммуникации с высоким уровнем информационной безопасности. Adobe
Connect предоставляет такие важнейшие функции корпоративного
взаимодействия, как деловое общение и совместная работа сотрудников на
уровне предприятий, дистанционное обучение, организация широкомасштабных
сетевых семинаров и презентаций. Система Adobe Connect базируется на
технологии Adobe Flash, а также Air, и поэтому позволяет подключать
сотрудников к единому пространству взаимодействия через web-браузер с
любых устройств.
17.09.2011 21:40:22 Новая статья: "Разработка прикладного программного обеспечения с использованием Rational Unified Process на Иркутском Авиационном заводе"

На сайте СМ-Консалт открыт новый раздел Статьи наших заказчиков об успешных внедрениях IBM Rational и Microsoft. Статьи для данного раздела пишутся нашими заказчиками и рассказывают о сути проектов внедрения технологий IBM и Microsoft. Первая статья, представленная вашему вниманию написана сотрудниками Иркутского Авиационного Завода (ИАЗ).
Иркутский авиазавод имеет длительный опыт разработки программного
обеспечения для информационной поддержки ключевых бизнес-процессов
предприятия. Однако, в связи с увеличивающейся сложностью и повышением
требований к разрабатываемому программному обеспечению, возникла
настоятельная необходимость усовершенствовать процесс разработки:
повысить качество разрабатываемых программных продуктов,
стандартизировать процесс с увеличением его эффективности.
С целью повышения качества программного обеспечения собственной
разработки и сокращения сроков разработки руководство Управления
информационных технологий (УИТ) Иркутского Авиационного Завода в 2006г. приняло решение о внедрении технологии разработки ПО на базе методологии Rational Unified Process и с использованием инструментов автоматизации IBM Rational.
13.09.2011 12:07:29 Новый тренинг «Коммуникации и психология межличностных отношений в ИТ-проектах»

Компания «СМ-Консалт» представляет новый тренинг, организуемый совместно с компанией «КарьерKаб» - «Коммуникации
и психология межличностных отношений в ИТ-проектах.
Тренинг позволит понять, насколько коммуникации в проектах важнее инструментов, что люди и их взаимоотношения зачастую оказываются решающим фактором, определяющим успех проекта. Если более пятидесяти процентов рабочего времени вы тратите на взаимодействие с заказчиком, если вам небезразлична судьба вашей команды и вы хотите, чтобы ваша команда работала как часы, реализуя проекты точно, вовремя и без перерасхода ресурсов - наш тренинг поможет в этом.
01.08.2011 17:44:25 Наша компания получила отзыв о сотрудничестве с ОАО «Нордеа Банк»

В 2010-2011 гг. наши специалисты провели в Нордеа Банке проект по предварительному обследованию, развертыванию инструментальных средств и ряд тренингов по обучению методологии и работе с продуктами IBM Rational: «Методология разработки программных систем IBM Rational Unified Process», «Управление требованиями с использованием IBM Rational RequisitePro», «Управление изменениями в IBM Rational ClearQuest».
24.06.2011 01:27:57 Бесплатный семинар-вебинар «Повышение эффективности IT подразделений и качества разрабатываемого ПО с использованием современных методологий и технологий»
Компании СМ-Консалт , Legal SoftWaveTM и DNA приглашают Вас посетить бесплатный семинар-вебинар, посвященный обзору технологий и методологий, которые позволяют повысить эффективность ИТ подразделений. На семинаре рассматриваются технологии IBM Rational, Microsoft TFS, а также системы аналитической обработки информации (Business Intelligence) (IBM SPSS, Deductor, QlikView и другие).
Планируемая продолжительность семинара - 8 академических часов.
Место проведения: Санкт-Петербург (очно) и Интернет (для всех желающих: приходите сами и приглашайте друзей!).
Дата и время: 14 июля 2011 в 9 00.
ВНИМАНИЕ: если вы не сможете очно приехать на семинар - это не страшно, так как семинар будет транслироваться через интернет в формате вебинара и к нему, после регистрации, смогут присоединиться все желающие. Трансляция будет осуществляться посредством технологии Adobe Connect Pro , это позволит Вам присоединяться к конференции без установки дополнительного ПО - только интернет браузер.
Смотреть программу -->
07.06.2011 13:02:44 Компания "СМ-Консалт" провела серию успешных семинаров для ГНИВЦ ФНС России

Проведенные семинары были посвящены средствам разработки и тестирования программного обеспечения компании Майкрософт для сотрудников ГНИВЦ ФНС России. Слушатели семинаров отметили высокую квалификацию тренеров компании "СМ-Консалт" по организации учебного процесса и повышению квалификации специалистов, прошедших обучение.
Индивидуальный подход при решении любых вопросов, возникающих в процессе обучения, оперативность принятия решений, гарантированное выполнение взятых на себя обязательств и профессионализм позволили провести обучение на самом высоком уровне.
07.12.2010 12:28:15 Мы идем в Твиттер!

Наша компания открыла аккаунт в системе микроблоггинга Twiter.Теперь все официальные и неофициальные новости будут появляться в нашей ленте в Twitter.
Там же возможно будет задать прямые вопросы специалистам СМ-Консалт, по всем вопросам, связанным как с деятельностью компании, так и с техническими аспектов продуктов IBM и собственных решений СМ-Консалт.
Следуйте за нами!
https://twitter.com/cmconscom
11.11.2010 14:14:14 Осенний марафон Microsoft ALM Road Show
Компания СМ-Консалт совместно с образовательным центром Careerlab провели серию семинаров в рамках мероприятий ALM Roadshow 2.0 в крупнейших городах, расположенных на Волге, – крупных научных центрах, в которых ИТ технологии находятся на высоком уровне. Семинары прошли в Самаре, Нижнем Новгороде и Казани. Cеминары были посвящены использованию новых инструментов MS Visual Studio Team System в проектах разработки ПО.
В семинарах принимали участие представители различных ролей процесса разработки ПО: от разработчиков до руководителей предприятий различного уровня. Темы, обсуждаемые в ходе семинара, вызвали большой интерес аудитории и немалое количество вопросов, на которые были предоставлены исчерпывающие ответы. В процессе семинара также было показано большое количество примеров, которые дают представление о возможностях инструментов MS Team System. Средняя оценка за семинар составила 4,6 балла по пятибальной шкале
08.09.2010 18:37:52 Скидки до 30% на программное обеспечение IBM Rational

Компания СМ-Консалт предлагает для всех желающих на льготных условиях приобрести программное обеспечение IBM Rational. Снижение цен связано с тем, что мы стараемся быть как можно ближе к нашим клиентам, многие из которых постепенно начали преодолевать последствия финансового кризиса.Наше предложение поможет с минимальными издержками приобрести ПО IBM Rational, что является хорошим капиталовложением.
Скидки до 1 декабря 2010 года:
- 20% скидки при покупке IBM Rational ClearCase, ClearQuest, CearCase LT, при приобретении пяти и более лицензий*;
- 30% скидки при покупке пяти любых продуктов IBM Rational + решение или тренинг СМ-Консалт*.
Для получения деталей обязательно свяжитесь с нашими менеджерами
|