4.3服务的可生存性
可生存性在某种程度上可以理解为资源调度问题，即为同某个服务关联的冗余资源设计合理的调度策略，借助实时监测机制，调控这些资源对服务请求做出响应。在网络系统遭受攻击和破坏时，应该通过可生存性设计，尽可能地减少关键服务的失效时间和失效频度。可生存性是网络研究的一个基本目标，需要为系统提供自测试、自诊断、自修复和自组织能力，维持关键服务的关键属性，如完整性、机密性、性能等。由于网络系统固有的脆弱性、人为的管理漏洞和操作失误、以及客观存在的攻击和破坏行为，在网络系统基础性作用日益增强的今天，保障网络关键服务的可生存性具有重要的现实意义。
几乎所有的网络系统都存在着可以造成攻击的渗透变迁，亦即存在着脆弱性。通常这些脆弱性并不是系统设计者刻意留下的，而是由于一些意外的原因造成的，表现在设计、实现、运行管理的各个环节。网络上的计算机总要提供某些服务才能够与其他计算机相互通信，然而如此复杂的系统不可能没有瑕疵。除了某些特定网络服务程序编写的错误，网络系统的脆弱性还可能包括某个网络节点的服务和软件的不正确配置和部署，以及网络协议本身的缺陷。协议定义了网络上计算机会话和通信的规则，如果在协议设计时存在瑕疵，那么无论实现该协议的方法多么完美，它都存在漏洞。
安全服务作为网络系统的关键服务，某种程度的失效就可能会造成整个系统遭受更大范围的攻击，导致更多服务的失效甚至是系统瘫痪。因此必须将这些关键服务的失效控制在用户许可的范围内。可生存性的研究必须在理论上深入剖析独立于具体攻击行为的可生存性的本质特征，通过容错设计尽可能地隐藏脆弱性，避免出现错误的系统状态变迁，通过容侵设计使脆弱性被攻击者利用时，尽可能地减少攻击所造成的影响，为服务的可恢复创造条件。
4.4网络的可管理性
互联网络发展至今，已成为一个庞大复杂的非线性系统，具有规模大、用户数量不断增长、协议体系庞杂、业务种类繁多、异质网络融合发展等特点。这远远超过了当初设计时的考虑，使得网络越来越难于管理。网络的可管理性是指在网络环境受到内外干扰的情况下，不仅对网络状态还对用户行为进行持续的监测、分析和决策，进而对设备、协议和机制的控制参数进行自适应优化配置，使网络的数据传输、资源分配和用户服务可以达到预期的程度。
当前网络的体系结构和管理协议不支持可管理性设计，仅仅是在现有网络体系结构的基础上添加网络管理功能，无法实现网络的有效管理。可信网络应该是一个充分可管理的网络，网络的可管理性对于网络的其他本资属性，如安全性、鲁棒性、普适性等也具有重要的支撑作用。“网络管理”主要是对网络状态进行持续监测、并优化配置网络设备运行参数的过程，包含网络扫描和优化决策两个重要方面，如图3所示。
对网络可管理性的研究就是通过改进网络体系中导致可管理性不足的设计原则，实现网络的充分可管理性，从而实现网络行为的可信，并进一步为解决一系列现实的网络本质属性问题如安全性、鲁棒性、普适性、QoS保障等提供支撑，以及为网络的进一步发展提供自适应的能力。
5 结束语
随着互联网在业务种类、用户数量以及复杂度上的急剧膨胀，当前分散、孤立、单一防御、外在附加的网络安全系统已经无法应对具有多样、随机、隐蔽和传播等特点的攻击和破坏行为，然而系统的脆弱性又不可避免，网络正面临着严峻的安全挑战。可信网络是当前网络发展的重要研究方向，本文对可信网络的概念、发展、以及需要解决的关键问题进行了分析和论述，为进一步研究的开展提供了方向。
6 参考文献
[1]TrustedComputingGroup[EB/OL]. https://www.trustedcomputinggroup.org/home, 2005.
[2]TrustedComputingGroup[R]. IWG Reference Architecture for Interoperability: Part 1 Specification Version 1.0, Revision 0.86. 2005.
[3]TrustedComputingGroup. IF-IMC Interface Specification, v.1.0[R].2005.
[4]ProgramSolicitation[EB/OL]. 2006-02-06. http://www.nsf.gov/pubs/2005/nsf05518/ nsf05518.htm.
[5]CyberTrust[EB/OL]. http://www.nap.edu/catalog/6161.html,2006.
[6]林闯,任丰原.可控可信可扩展的新一代互联网[J].软件学报,2004,15(12):1815-1821.
[7]LINChuang,PENG Xuehai. Research on network architecture with trustworthiness and controllability[J]. Journal of Computer Science and Technology, 2006, 21(5): 732-739.
[8]林闯,彭雪海.可信网络研究[J]. 计算机学报, 2005, 28(5): 751-758.
[9]林闯,汪洋,李泉林.网络安全的随机模型方法与评价技术[J].计算机学报,2005, 28(12): 1943-1956.
作者简介：
林闯，清华大学计算机科学与技术系教授、博士生导师。现任ACM理事，IFIPTC6(CommunicationSystems) 中国代表，IEEE 高级会员，主要研究方向为计算机网络，系统性能评价，安全分析，随机Petri网。2发表论文290多篇，并已出版3本专著。 王元卓，清华大学助理研究员。北京科技大学博士毕业。现任中国计算机学会高级会员。主要研究方向为可信网络、网格计算、网络服务质量、安全性评价等，已发表学术论文20多篇。 田立勤，华北科技学院计算机系副教授，博士生、硕士生导师。现任计算机学会Petri网专业委员会委员。主要研究方向是计算机网络、工作流模型和可信网络等，已发表学术论文32篇。
