CH08系统风险评估与脆弱性分析.ppt

《CH08系统风险评估与脆弱性分析.ppt》由会员分享，可在线阅读，更多相关《CH08系统风险评估与脆弱性分析.ppt（20页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、信息安全技术教学课件 V2010.03 系统风险评估与脆弱性分析系统风险评估与脆弱性分析第第 8 章章本章要点本章要点p针针对对信信息息系系统统，特特别别是是网网络络系系统统，要要先先了了解解系系统的安全弱点，才能进行安全加固。统的安全弱点，才能进行安全加固。p本本章章在在系系统统风风险险评评估估的的理理念念指指导导下下，首首先先解解决决系系统统的的脆脆弱弱性性检检查查，发发现现问问题题后后再再通通过过后后续续章章节介绍的具体技术解决安全问题。节介绍的具体技术解决安全问题。2 2一、一、系统风险评估系统风险评估p1、风险评估的概念、风险评估的概念n通通过过风风险险评评估估能能够够清清楚楚信信息

2、息系系统统的的安安全全需需求求，了了解解信信息息系系统统的的脆脆弱弱性性，从从而而达达到到信信息息安安全全建建设设的的最最终终目目的的满满足足信息系统的安全需求和降低信息系统的安全风险。信息系统的安全需求和降低信息系统的安全风险。n所所谓谓风风险险评评估估，就就是是对对信信息息资资产产面面临临的的威威胁胁、存存在在的的弱弱点点、造造成成的的影影响响，以以及及三三者者综综合合作作用用而而带带来来风风险险的的可可能能性性的的评评估。估。n作作为为风风险险管管理理的的基基础础，风风险险评评估估是是组组织织确确定定信信息息安安全全需需求求的一个重要途径，属于组织信息安全管理体系策划的过程。的一个重要途

3、径，属于组织信息安全管理体系策划的过程。3 3一、一、系统风险评估系统风险评估p2、风险评估目的和基本要素、风险评估目的和基本要素n风险评估的目的风险评估的目的（1）了解组织的安全现状）了解组织的安全现状（2）分析组织的安全需求）分析组织的安全需求（3）建立信息安全管理体系的要求）建立信息安全管理体系的要求（4）制订安全策略和实施安防措施的依据）制订安全策略和实施安防措施的依据（5）组织实现信息安全的必要的、重要的步骤）组织实现信息安全的必要的、重要的步骤n风险评估的四大要素风险评估的四大要素（1）资产及其价值）资产及其价值（2）威胁）威胁（3）脆弱性）脆弱性（4）现有的和计划的控制措施）现有

4、的和计划的控制措施4 4一、一、系统风险评估系统风险评估p3、风险评估标准和工具、风险评估标准和工具n风险评估的标准风险评估的标准（1）ISO 13335 信息安全管理方针信息安全管理方针（2）ISO 15408 信息技术安全性通用评估准则信息技术安全性通用评估准则（3）SSE-CMM 系统安全工程成熟度模型系统安全工程成熟度模型（4）SP800-30 信息系统安全风险管理信息系统安全风险管理（5）ISO 27001 信息安全管理体系标准信息安全管理体系标准（6）GB 17859 安全保护等级划分准则安全保护等级划分准则 n风险评估的工具风险评估的工具（1）扫描工具）扫描工具（2）入侵检测系统

5、（）入侵检测系统（IDS）（3）渗透性测试工具）渗透性测试工具（4）主机安全性审计工具）主机安全性审计工具（5）安全管理评价系统）安全管理评价系统（6）风险综合分析系统）风险综合分析系统（7）评估支撑环境工具）评估支撑环境工具5 5一、一、系统风险评估系统风险评估p4、风险评估流程、风险评估流程n根根据据风风险险发发生生的的可可能能性性、风风险险发发生生后后对对系系统统产产生生的的影影响响程程度度，对对评评估估系系统统的的各各种种对对象象进进行行风风险险程程度度分分析析，将将系系统统对对象象按按发发生生风风险险的的可可能能性性大小、发生风险后对系统造成的影响及危害大小进行评估和组织。大小、发生

6、风险后对系统造成的影响及危害大小进行评估和组织。n风险分析风险分析矩阵矩阵n风险控制流程风险控制流程6 6二、二、系统脆弱性分析概述系统脆弱性分析概述p1、脆弱性的概念、脆弱性的概念n脆脆弱弱性性即即vulnerability，国国内内多多称称“漏漏洞洞”，是是指指硬硬件件、软软件件或或策策略略上上存存在在的的安安全全缺缺陷陷，从从而而使使得得攻攻击击者者能能够够在在未未授权的情况下访问、控制系统。授权的情况下访问、控制系统。nCVE(Common Vulnerabilities and Exposures)，漏漏洞洞标准化组织。标准化组织。n对对于于一一个个信信息息系系统统来来说说，它它的的

7、安安全全性性不不在在于于它它是是否否采采用用了了最最新新的的加加密密算算法法或或最最先先进进的的设设备备，而而是是由由系系统统本本身身最最薄薄弱弱之处，即漏洞所决定的。之处，即漏洞所决定的。-信息系统安全信息系统安全“木桶原则木桶原则”7 7二、二、系统脆弱性分析概述系统脆弱性分析概述p2、漏洞的发现、漏洞的发现n网网络络的的开开放放性性、软软件件系系统统的的自自身身缺缺陷陷和和黑黑客客攻攻击击使使得得系系统统的的脆脆弱弱性性充充分暴露。分暴露。n1999年年安安全全应应急急响响应应小小组组论论坛坛FIRST的的专专家家指指出出，每每千千行行程程序序中中至至少有一个缺陷。少有一个缺陷。Wind

8、ows XP有有35万行。万行。nCVE(Common Vulnerabilities and Exposures)，漏漏洞洞标标准准化组织。（化组织。（http:/cve.mitre.org/）n对对于于一一个个信信息息系系统统来来说说，它它的的安安全全性性不不在在于于它它是是否否采采用用了了最最新新的的加加密密算算法法或或最最先先进进的的设设备备，而而是是由由系系统统本本身身最最薄薄弱弱之之处处，即即漏漏洞洞所所决决定定的的。-信息系统安全信息系统安全“木桶原则木桶原则”nSANS(SysAdmin,Audit,Network,Security)的的研研究究报报告告（http:/www.s

9、ans.org）：）：Windows最关键的十大安全隐患最关键的十大安全隐患8 8二、二、系统脆弱性分析概述系统脆弱性分析概述n漏洞的类型漏洞的类型（1）管理漏洞）管理漏洞（2）软件漏洞）软件漏洞（3）结构漏洞）结构漏洞（4）信任漏洞）信任漏洞n漏洞的发现漏洞的发现p由以下三个组织之一来完成：由以下三个组织之一来完成：（1）黑客）黑客（2）破译者软件漏洞）破译者软件漏洞（3）安全服务商组织）安全服务商组织p管理者需要制定一个从新闻组、邮件列表、管理者需要制定一个从新闻组、邮件列表、Web站点、站点、FTP文档文档等收集、分析以及抽取漏洞信息的策略，以便获取有用的信息。等收集、分析以及抽取漏洞信

10、息的策略，以便获取有用的信息。9 9二、二、系统脆弱性分析概述系统脆弱性分析概述p3、漏洞对系统的威胁、漏洞对系统的威胁n漏洞对系统的威胁体现在恶意攻击行为对系统的威胁。漏洞对系统的威胁体现在恶意攻击行为对系统的威胁。n只只有有利利用用硬硬件件、软软件件和和策策略略上上最最薄薄弱弱的的环环节节，恶恶意意攻攻击击者者才可以得手。才可以得手。n目目前前，互互联联网网上上已已有有几几万万个个黑黑客客站站点点，而而且且黑黑客客技技术术不不断断创新，基本的攻击手法已达上千种。创新，基本的攻击手法已达上千种。n多多数数情情形形下下，计计算算机机已已经经被被网网络络入入侵侵者者完完全全控控制制，且且被被偷偷

11、走大量机密资料，而管理员却毫不知情。走大量机密资料，而管理员却毫不知情。1010二、二、系统脆弱性分析概述系统脆弱性分析概述p4、系统脆弱性的主要类型、系统脆弱性的主要类型n漏洞类型多样漏洞类型多样n如如DNS与与FTP协协议议的的安安全全性性、缓缓冲冲区区溢溢出出问问题题、拒拒绝绝服服务务和和后后门门等等，通过各种应用软件表现。通过各种应用软件表现。n目目前前，“应应用用层层的的不不安安全全调调用用”已已成成为为新新的的关关注注焦焦点点，而而又又容容易易被被技技术人员忽视。术人员忽视。n应应用用层层中中的的漏漏洞洞才才是是最最直直接接、最最致致命命的的，因因为为互互联联网网的的应应用用必必须

12、须开开放放端端口口，这这时时防防火火墙墙等等设设备备已已无无能能为为力力；网网络络应应用用连连接接着着单单位位的的核核心心数数据据，漏漏洞洞直直接接威威胁胁着着数数据据库库中中的的数数据据；内内部部人人员员通通过过内内网网的的应应用用安安全全也不受防火墙控制。也不受防火墙控制。n据据OWASP（Open Web Applications Security Project，开放网络应用安全计划开放网络应用安全计划）相关统计资料显示攻击者利用网站系统的代）相关统计资料显示攻击者利用网站系统的代码漏洞，精心构造攻击代码，完成对网站系统的非法访问或控制，中码漏洞，精心构造攻击代码，完成对网站系统的非法

13、访问或控制，中国、美国、德国和俄罗斯是恶意代码最为活跃的地区。国、美国、德国和俄罗斯是恶意代码最为活跃的地区。常见的常见的Web应用安全漏洞有：应用安全漏洞有：SQL注入（注入（SQL injection）跨站脚本攻击跨站脚本攻击恶意代码恶意代码更改更改cookie输入信息控制输入信息控制缓冲区溢出缓冲区溢出直接访问浏览直接访问浏览 。1111三、三、脆弱性脆弱性扫描器的类型和组成扫描器的类型和组成p1、扫描技术与原理、扫描技术与原理n扫扫描描是是检检测测Internet上上的的计计算算机机当当前前是是否否是是活活动动的的、提提供了什么样的服务，以及更多的相关信息。供了什么样的服务，以及更多的

14、相关信息。n主要使用的技术有主要使用的技术有Ping扫描、端口扫描和操作系统识别。扫描、端口扫描和操作系统识别。n扫扫描描技技术术也也是是采采用用积积极极的的、非非破破坏坏性性的的办办法法来来检检验验系系统统是是否否有有可可能能被被攻攻击击崩崩溃溃。它它利利用用了了一一系系列列的的脚脚本本模模拟拟对对系系统统进进行行攻攻击击的的行行为为，并并对对结结果果进进行行分分析析。这这种种技技术术通通常常被被用用来来进进行行模模拟拟攻攻击击实实验验和和安安全全审审计计。网网络络安安全全扫扫描描技技术术与与防防火火墙墙、安安全全监监控控系系统统互互相相配配合合就就能能够够为为网网络络提提供供很很高高的的安

15、安全性。全性。1212三、三、脆弱性脆弱性扫描器的类型和组成扫描器的类型和组成p1、扫描技术与原理、扫描技术与原理n网络安全扫描一般分三个阶段：网络安全扫描一般分三个阶段：p第第1阶段：发现目标主机或网络。阶段：发现目标主机或网络。p第第2阶段：发现目标后进一步搜集目标信息，包括操作系统类型、运行的阶段：发现目标后进一步搜集目标信息，包括操作系统类型、运行的服务以及服务软件的版本等。如果目标是一个网络，还可以进一步发现该服务以及服务软件的版本等。如果目标是一个网络，还可以进一步发现该网络的拓扑结构、路由设备以及各主机的信息。网络的拓扑结构、路由设备以及各主机的信息。p第第3阶段：根据搜集到的信

16、息判断或者进一步测试系统是否存在安全漏洞。阶段：根据搜集到的信息判断或者进一步测试系统是否存在安全漏洞。n扫描技术主要包括：扫描技术主要包括：pPING扫射（扫射（Ping sweep）p操作系统探测（操作系统探测（Operating system identification）p访问控制规则探测（访问控制规则探测（firewalking）p端口扫描（端口扫描（Port scan）p漏洞扫描（漏洞扫描（vulnerability scan）n这些技术在网络安全扫描的这些技术在网络安全扫描的3个阶段中各有体现。个阶段中各有体现。1313三、三、脆弱性脆弱性扫描器的类型和组成扫描器的类型和组成p2

17、、扫描器的类型、扫描器的类型n分主机扫描器和网络扫描器两大类。分主机扫描器和网络扫描器两大类。n主机扫描器主机扫描器p又又称称本本地地扫扫描描器器，与与待待检检查查系系统统运运行行于于同同一一节节点点，执执行行对对自自身身的的检检查查。它它的的主主要要功功能能为为分分析析各各种种系系统统文文件件内内容容，查查找找可可能能存存在在的的对系统安全造成威胁的漏洞或配置错误。对系统安全造成威胁的漏洞或配置错误。n网络扫描器网络扫描器p又又称称远远程程扫扫描描器器，一一般般它它和和待待检检查查系系统统运运行行于于不不同同的的节节点点上上，通通过网络远程探测目标节点，检查安全漏洞。过网络远程探测目标节点，

18、检查安全漏洞。p远程扫描器远程扫描器检查网络和分布式系统的安全漏洞检查网络和分布式系统的安全漏洞。p与与主主机机扫扫描描器器的的扫扫描描方方法法不不同同，网网络络扫扫描描器器通通过过执执行行一一整整套套综综合合的的扫扫描描方方法法集集，发发送送精精心心构构造造的的数数据据包包来来检检测测目目标标系系统统是是否否存存在在安全隐患。安全隐患。1414三、三、脆弱性脆弱性扫描器的类型和组成扫描器的类型和组成p3、扫描器的组成、扫描器的组成n一一般般说说来来，扫扫描描器器由由以以下下几几个个模模块块组组成成：用用户户界界面面、扫扫描描引擎、扫描方法集、漏洞数据库、扫描输出报告等。引擎、扫描方法集、漏洞

19、数据库、扫描输出报告等。n扫扫描描器器的的关关键键是是要要有有一一个个组组织织良良好好的的漏漏洞洞数数据据库库和和相相应应的的扫描方法集。扫描方法集。n漏漏洞洞库库是是核核心心，一一般般含含漏漏洞洞编编号号、分分类类、受受影影响响系系统统、漏漏洞描述、修补方法等内容。洞描述、修补方法等内容。n扫扫描描方方法法集集则则要要根根据据漏漏洞洞描描述述内内容容，提提取取出出漏漏洞洞的的主主要要特特征征，进进一一步步转转化化出出检检测测出出这这个个漏漏洞洞的的方方法法，这这是是一一个个技技术术实现的过程。实现的过程。n整个扫描过程由用户界面驱动。整个扫描过程由用户界面驱动。1515四、四、脆弱性检测评估

20、工具脆弱性检测评估工具p借借助助一一些些工工具具软软件件来来帮帮助助分分析析当当前前系系统统存存在在的的安安全全漏漏洞洞，以以便及时地发现漏洞的存在，及时下载安全补丁。便及时地发现漏洞的存在，及时下载安全补丁。p这些工具也常被攻击者所利用，使用时可能存在着一些风险。这些工具也常被攻击者所利用，使用时可能存在着一些风险。n微微 软软 基基 准准 安安 全全 分分 析析 器器（Microsoft Baseline Security Analyzer，即，即MBSA）p扫扫描描基基于于Windows的的计计算算机机，并并检检查查操操作作系系统统和和已已安安装装的的其其他他组组件件（如如：IIS和和S

21、QL Server），以以发发现现安安全全方方面面的的配配置置错错误误，并并及及时时通通过过推荐的安全更新进行修补。推荐的安全更新进行修补。n天镜脆弱性扫描系统天镜脆弱性扫描系统p启明星辰产品，对网络和系统进行全方位、高密度的扫描。启明星辰产品，对网络和系统进行全方位、高密度的扫描。n安恒扫描类产品安恒扫描类产品p应应用用层层扫扫描描检检测测产产品品，主主要要有有MatriXay应应用用弱弱点点扫扫描描系系统统、DAS-DBScan应应用用弱弱点点扫扫描描系系统统和和网网上上木木马马自自动动侦侦测测溯溯源源器器等等几几种种。通通过过深深度扫描、渗透测试等技术对度扫描、渗透测试等技术对Web应作

22、深入检测。应作深入检测。nShadow Security Scanner（SSS）nNeXpose（漏洞评估）与（漏洞评估）与Metasploit（攻击工具）的综合应用（攻击工具）的综合应用1616五、五、解决网络安全的技术构想解决网络安全的技术构想p网络安全问题分类信息表网络安全问题分类信息表1717五、五、解决网络安全的技术构想解决网络安全的技术构想p网络安全技术网络安全技术n针针对对各各种种网网络络安安全全问问题题，全全世世界界的的网网络络安安全全厂厂商商都都试试图图发发展展了了各各种种安安全技术来防范这些问题，这些技术主要包括：全技术来防范这些问题，这些技术主要包括：p访问控制技术访问

23、控制技术p识别和鉴别技术识别和鉴别技术p密码技术密码技术p完整性控制技术完整性控制技术p审计和恢复技术审计和恢复技术p防火墙系统防火墙系统p计算机病毒防护计算机病毒防护p操作系统安全操作系统安全p数据库系统安全和抗抵赖协议数据库系统安全和抗抵赖协议n相相继继陆陆续续推推出出了了包包括括防防火火墙墙、入入侵侵检检测测、防防病病毒毒软软件件、CA系系统统、加加密密算算法法等等在在内内的的各各类类网网络络安安全全软软件件，这这些些技技术术和和安安全全系系统统（软软件件）对对网网络络系系统统提提供供了了一一定定的的安安全全防防范范，一一定定程程度度上上解解决决了了网网络络安安全全问问题题某某一一方面的

24、问题。方面的问题。n后续章节将陆续介绍其中的几种关键技术。后续章节将陆续介绍其中的几种关键技术。1818本章小结本章小结p漏洞是指硬件、软件或策略上存在的的安全缺陷，漏洞是指硬件、软件或策略上存在的的安全缺陷，从而使得攻击者能够在未授权的情况下访问、控制从而使得攻击者能够在未授权的情况下访问、控制系统。系统。p本章在介绍风险评估的基础，特别针对系统脆弱性本章在介绍风险评估的基础，特别针对系统脆弱性问题，简要说明了漏洞的威胁、后果及发现的方法。问题，简要说明了漏洞的威胁、后果及发现的方法。p介绍漏洞扫描技术：端口扫描、介绍漏洞扫描技术：端口扫描、Ping扫描、扫描、TCP扫扫描、描、UDP扫描等。扫描等。p最后介绍几种主流的脆弱性扫描系统产品。最后介绍几种主流的脆弱性扫描系统产品。1919作业：作业：p三、名词解释三、名词解释n风险评估风险评估 漏洞漏洞 注入攻击注入攻击 网络扫描网络扫描p四、简答题四、简答题1请简述风险评估的目的请简述风险评估的目的4请简要介绍网络扫描的一般过程。请简要介绍网络扫描的一般过程。2020