网络系统安全评估及高危漏洞演示课件

《网络系统安全评估及高危漏洞演示课件》由会员分享，可在线阅读，更多相关《网络系统安全评估及高危漏洞演示课件（198页珍藏版）》请在金锄头文库上搜索。

1、广东省中小学信息网络管理员安全技术培训班 Dec 2005 许伯桐（博士） Email: ,Professional Security Solution Provider,网络系统安全评估及高危漏洞,提纲,安全态势 （15分钟） 安全标准与风险评估（90分钟) 概述（15分钟） 通用准则CC （45分钟） BS7799 （30分钟） 休息 （15分钟) 系统高危漏洞 （60分钟) 概述（10分钟） 20个最危险的安全漏洞（25分钟） 网络安全维护（20分钟） 安全编程与其他安全技术领域（5分钟）,安全态势,安全态势,近年网络安全态势,任何组织都会遭受到的攻击 每年发现的漏洞数量飞速上升 发起攻

2、击越来越容易、攻击能力越来越强 黑客职业化 攻击方式的转变 不为人知的威胁 zero-day,特点,任何组织都会遭受攻击,每年发现的漏洞数量飞速上升,每年发现的漏洞数量飞速上升 2004年CVE全年收集漏洞信息1707条 到2005年到5月6日就已经达到1470条,发起攻击越来越容易、攻击能力越来越强,黑客的职业化之路,不再是小孩的游戏，而是与 ￥ 挂钩 职业入侵者受网络商人或商业间谍雇佣 不在网上公开身份，不为人知，但确实存在！ 攻击水平通常很高，精通多种技术 攻击者对自己提出了更高的要求，不再满足于普通的技巧而转向底层研究,面临严峻的安全形势,SQL Injection等攻击方式对使用者要

3、求较低 缓冲区溢出、格式串攻击已公开流传多年，越来越多的人掌握这些技巧 少部分人掌握自行挖掘漏洞的能力，并且这个数量在增加 漏洞挖掘流程专业化，工具自动化 “看不见的风险”厂商为了声誉不完全公开产品的安全缺陷：漏洞私有，不为人知,网络安全事件造成巨大损失,在FBI/CSI的一次抽样调查结果：被调查的企业2004年度由于网络安全事件直接造成的损失就达到1.4亿美元,怠工、蓄意破坏,系统渗透,Web页面替换,电信欺诈,电脑盗窃,无线网络的滥用,私有信息窃取,公共web应用的滥用,非授权访问,金融欺诈,内部网络的滥用,拒绝服务攻击,病毒事件,网络安全事件类型,来源：信息网络安全状况调查,常用管理方法

4、,来源：信息网络安全状况调查,应用最广泛的网络安全产品,来源：信息网络安全状况调查,网络攻击产生原因分析,来源：信息网络安全状况调查,安全设计四步方法论,ISSF模型,安全设计和安全域/等级保护的结合(示例）,安全体系的全面性 措施分级保护、适度安全 强度分级 三分技术，七分管理,网络系统安全风险评估,网络系统安全风险评估,组织实现信息安全的必要的、重要的步骤,风险评估的目的,风险评估的目的,了解组织的安全现状,分析组织的安全需求,建立信息安全管理体系的要求,制订安全策略和实施安防措施的依据,风险的四个要素：,资产及其价值 威胁 脆弱性 现有的和计划的控制措施,风险的要素,资产的分类,电子信息

5、资产 软件资产 物理资产 人员 公司形象和名誉,威胁举例：,黑客入侵和攻击 病毒和其他恶意程序 软硬件故障 人为误操作 自然灾害如：地震、火灾、爆炸等,盗窃 网络监听 供电故障 后门 未授权访问,脆弱性,是与信息资产有关的弱点或安全隐患。 脆弱性本身并不对资产构成危害，但是在一定条件得到满足时，脆弱性会被威胁加以利用来对信息资产造成危害。,脆弱性举例：,系统漏洞 程序Bug 专业人员缺乏 不良习惯 系统没有进行安全配置,物理环境不安全 缺少审计 缺乏安全意识 后门 ,风险的要素,风险分析矩阵风险程度,E：极度风险 H：高风险 M：中等风险 L: 低风险,国际上常见的风险控制流程,提供,采取,降

6、低,影响,完成,保护,安全保证技术提供者,系统评估者,安全保证,信心,风险,对策,资产,使命,资产拥有者,价值,给出证据,生成保证,具有,信息安全有效评估的目标,风险评估要素关系模型,信息系统是一个巨型复杂系统（系统要素、安全要素） 信息系统受制于外部因素（物理环境、行政管理、人员） 作业连续性保证 威胁和风险在同领域内的相似性 自评估、委托评估、检察评估,信息系统安全风险评估的特征,风险评估的一般工作流程,风险评估活动,风险评估活动,风险评估活动,评估工具,评估工具目前存在以下几类： 扫描工具：包括主机扫描、网络扫描、数据库扫描，用于分析系统的常见漏洞； 入侵检测系统（IDS）：用于收集与统

7、计威胁数据； 渗透性测试工具：黑客工具，用于人工渗透，评估系统的深层次漏洞； 主机安全性审计工具：用于分析主机系统配置的安全性； 安全管理评价系统：用于安全访谈，评价安全管理措施； 风险综合分析系统：在基础数据基础上，定量、综合分析系统的风险，并且提供分类统计、查询、TOP N查询以及报表输出功能； 评估支撑环境工具: 评估指标库、知识库、漏洞库、算法库、模型库。,GB 18336 idt ISO/IEC 15408 信息技术安全性评估准则,IATF 信息保障技术框架,ISSE 信息系统安全工程,SSE-CMM 系统安全工程能力成熟度模型,BS 7799, ISO/IEC 17799 信息安全

8、管理实践准则,其他相关标准、准则 例如：ISO/IEC 15443, COBIT。,系统认证和认可标准和实践 例如：美国DITSCAP, ,中国信息安全产品测评认证中心 相关文档和系统测评认证实践,技术准则 （信息技术系统评估准则）,管理准则 （信息系统管理评估准则）,过程准则 （信息系统安全工程评估准则）,信息系统安全保障评估准则,与现有标准关系,信息系统安全保障评估准则,信息技术安全评估准则发展过程 可信计算机系统评估准则TCSEC 信息技术安全评估准则ITSEC 通用准则CC（ISO 15408、GB/T18336) 计算机信息系统安全保护等级划分准则 BS7799、ISO17799 信

9、息技术 安全技术 信息技术安全性评估准则 ISO13335 IT安全管理指南 SSE-CMM 系统安全工程能力成熟度模型 我国的信息安全标准制定情况,标准介绍,保障信息安全有三个支柱，一个是技术、一个是管理、一个是法律法规。国家的法律法规，有专门的部门在研究和制定和推广。根据国务院27号文件，对信息安全实施分级安全保护的规定出台后，各有关部门都在积极制定相关的制度和法规，当前被普遍采用的技术标准的是CC/ISO 15408，管理体系标准是ISO 17799/ BS 7799。,通用准则CC (ISO/IEC 15408、GB/T18336）,通用准则CC,信息技术安全评估准则发展过程,1999

10、年 GB 17859 计算机信息系统安全保护等级划分准则,1991年欧洲信息技术安全性评估准则（ITSEC）,国际通用准则 1996年（CC1.0） 1998年（CC2.0）,1985年美国可信计算机系统评估准则（TCSEC）,1993年 加拿大可信计算机产品评估准则（CTCPEC）,1993年美国联邦准则（FC 1.0）,1999年 国际标准 ISO/IEC 15408,1989年 英国 可信级别标准 （MEMO 3 DTI）,德国评估标准（ZSEIC）,法国评估标准 （B-W-R BOOK）,2001年 国家标准 GB/T 18336 信息技术安全性评估准则 idt iso/iec1540

11、8,1993年美国NIST的MSFR,CC的适用范围,CC定义了评估信息技术产品和系统安全型所需的基础准则，是度量信息技术安全性的基准 针对在安全评估过程中信息技术产品和系统的安全功能及相应的保证措施提出的一组通用要求，使各种相对独立的安全评估结果具有可比性。 该标准适用于对信息技术产品或系统的安全性进行评估，不论其实现方式是硬件、固件还是软件，还可用于指导产品和系统开发。 该标准的主要目标读者是用户、开发者、评估者。,CC内容,CC吸收了个先进国家对现代信息系统安全的经验和知识，对信息系统安全的研究和应用定来了深刻的影响。它分为三部分： 第一部分介绍CC的基本概念和基本原理； 第二部分提出了

12、安全功能要求； 第三部分提出了非技术性的安全保证要求。 后两部分构成了CC安全要求的全部：安全功能要求和安全保证要求，其中安全保证的目的是为了确保安全功能的正确性和有效性，这是从ITSEC和CTCPEC中吸收的。同时CC还从FC中吸收了保护轮廓的(PP)的概念，从而为CC的应用和发展提供了最大可能的空间和自由度。 CC定义了作为评估信息技术产品和系统安全性的基础准则，提出了目前国际上公认的表述信息技术安全性的结构，即： 安全要求=规范产品和系统安全行为的功能要求+解决如何正确有效的实施这些功能的保证要求。,CC的关键概念,评估对象（Target of Evaluation,TOE) 用于安全评

13、估的信息技术产品、系统或子系统（如防火墙、计算机网络、密码模块等），包括相关的管理员指南、用户指南、设计方案等文档。 保护轮廓（Protection Pro) 为既定的一系列安全对象提出功能和保证要求的完备集合，表达了一类产品或系统的用户需求。 PP与某个具体的TOE无关，它定义的是用户对这类TOE的安全需求。 主要内容：需保护的对象；确定安全环境；TOE的安全目的；IT安全要求；基本原理 在标准体系中PP相当于产品标准，也有助于过程规范性标准的开发。 国内外已对应用级防火墙、包过滤防火墙、智能卡等开发了相应的PP。,CC的关键概念,安全目标（Security Target) ST针对具体TO

14、E而言，它包括该TOE的安全要求和用于满足安全要求的特定安全功能和保证措施。 ST包括的技术要求和保证措施可以直接引用该TOE所属产品或系统类的PP。 ST是开发者、评估者、用户在TOE安全性和评估范围之间达成一致的基础。 ST相当于产品和系统的实现方案，与ITSEC的安全目标类似。 TOE Security Policy (TSP)TOE安全策略 控制TOE中资产如何管理、保护和分发的规则。,CC的关键概念,TOE Security Functions(TSF)TOE安全功能 必须依赖于TSP正确执行的TOE的所有部件。 组件（Component) 组件描述了一组特定的安全要求，使可供PP、

15、ST或包选取的最小的安全要求集合。 在CC中，以“类_族.组件号”的方式来标识组件。 包（Package) 组件依据某个特定关系的组合，就构成了包。 构建包的目的是定义那些公认有用的、对满足某个特定安全目的有效的安全要求。 包可以用来构造更大的包，PP和ST。包可以重复使用。 CC中有功能包和保证包两种形式。,CC的关键概念,CC的关键概念,CC的关键概念,CC的先进性,结构的开放性 即功能要求和保证要求都可以在具体的“保护轮廓”和“安全目标”中进一步细化和扩展，如可以增加“备份和恢复”方面的功能要求或一些环境安全要求。这种开放式的结构更适应信息技术和信息安全技术的发展。 表达方式的通用性 即

16、给出通用的表达方式。如果用户、开发者、评估者、认可者等目标读者都使用CC的语言，互相之间就更容易理解沟通。例如，用户使用CC的语言表述自己的安全需求，开发者就可以更具针对性地描述产品和系统的安全功能和性能，评估者也更容易有效地进行客观评估，并确保用户更容易理解评估结果。这种特点对规范实用方案的编写和安全性测试评估都具有重要意义。在经济全球化发展、全球信息化发展的趋势下，这种特点也是进行合格评定和使评估结果实现国际互认的需要。,CC的先进性,结构和表达方式的内在完备性和实用性 体现在“保护轮廓”和“安全目标”的编制上。 “保护轮廓”主要用于表达一类产品或系统的用户需求，在标准化体系中可以作为安全技术类标准对待。 内容主要包括： 对该类产品或系统的界定性描述，即确定需要保护的对象； 确定安全环境，即指明安全问题需要保护的资产、已知的威胁、用户的组织安全策略； 产品或系统的安全目的，即对安全问题的相应对策技术性和非技术性措施； 信息技术安全要求，包括功能要