信息系统已知漏洞分析与总结.doc

《信息系统已知漏洞分析与总结.doc》由会员分享，可在线阅读，更多相关《信息系统已知漏洞分析与总结.doc（14页珍藏版）》请在金锄头文库上搜索。

1、信息系统安全报告书1第一章 信息系统漏洞简介41.1 信息系统安全漏洞的概念5第二章 信息系统漏洞的生命周期62.1 漏洞研究的主体62.2 漏洞研究的客体62.3漏洞研究的行为与内容62.4 漏洞的相关属性7第三章 Windows XP系统常见系统漏洞分析与总结7第四章LINUX系统常见系统漏洞分析与总结9第五章UNIX系统常见系统漏洞分析与总结13摘要：重要信息系统对于任何一个国家来说，在信息化的时代已经成为了一个关键的基础设施，它的安全不仅涉及到我们平时看到的技术安全，以及业务安全，还有一些对国家安全的影响。信息系统安全漏洞是信息时代存在的一种客观现象，针对信息系统安全漏洞的研究对保护网

2、络安全和信息安全有着重要的意义。首先在国内外已有的研究基础上,提出系统地、全面地开展信息系统安全漏洞的研究。然后从信息系统管理角度和技术角度对漏洞做了区分,并且从信息系统安全漏洞存在的宿主和起因对其类型进行了分析,对信息系统安全漏洞的定义做了明确。最后从信息系统安全漏洞研究的主体、客体、行为和属性四个方面进行了论述,提出信息系统安全漏洞生命周期的概念,最后对常见的几种系统进行漏洞分析，并提出防止策略。关键词：信息系统 漏洞描述 Windows XP系统 Unix系统 Linux系统 防范措施第一章 信息系统漏洞简介1.1 信息系统安全漏洞的概念在30 多年的漏洞研究过程中，学者们根据自身的不同

3、理解和应用需求对计算机漏洞下了很多定义。1982 年，邓宁(Denning)给出了一个访问控制漏洞的定义，他认为系统中主体对对象的访问安全策略是通过访问控制矩阵实现的，对一个访问控制漏洞的利用就是使得操作系 统执行违反安全策略的操作；1994 年，阿莫罗索(Amoroso)提出一个漏洞是导致威胁潜在发生的一个不利的特性；林德斯科(Lindskog)等人将一个漏洞定义为破坏发生的可能性超过预设阈值的地方；1998 年，克鲁索( Krsul)指出，一个软件漏洞是软件规范(specification)设 计、开发或配置中一个错误的实例，它的执行能违犯安全策略；2002 年，汪立东认为一个漏洞是软件系

4、统或软件组件中存在的缺陷，此缺陷若被发掘利用则会对系统的机密性，完整性和可用性造成不良影响；2004 年，邢栩嘉等人认为计算机脆弱性是系统的一组特性,恶意的主体 (攻击者或者攻击程序)能够利用这组特性，通过已授权的手段和方式获取对资源的未授权访问，或者对系统造成损害。 另外还有很多相关定义存在于不同的论述之中。存在这么多定义的 原因是因为研究者从不同角度来看待信息系统中存在的安全问题。从上面有关的定义来看, 漏洞的概念很宽泛,可以从很多角度来定义漏洞,主要可以分为两种:一种是比较狭义的,这种定义主要以软件产品中的安全问题为对象;另一种是比较广义的,是以信息系统中的安全问题 为对象,由此定义之间

5、的差别比较大。系统漏洞是指应用软件或操作系统软件在逻辑设计上的缺陷或错误，被不法者利用，通过网络植入木马、病毒等方式来攻击或控制整个电脑，窃取用户电脑中的重要资料和信息，甚至破坏用户的系统。在不同种类的软、硬件设备，同种设备的不同版本之间，由不同设备构成的不同系统之间，以及同种系统在不同的设置条件下，都会存在各自不同的安全漏洞问题。1.2 漏洞的类型与定义1.2.1 系统漏洞的分类信息系统是一种人机系统,一方面包括各种设备和资源,另一方面包括操作使用和管理的各种说明制度。从这种广义的角度来分析,信息系统中的漏洞就可以分为两个大类:一个可以称为信息系统管理漏洞,另一种称为信息系统安全漏洞。其中，

6、信息系统管理漏洞主要是针对关于信息系统的政策、法规和人员管理等方面的安全问题,主要是防止一些信息系统在物理层次方面出现安全问题,这些安全问题的出现是由于非技术原因所导致的,譬如说水灾、火灾、盗窃等,这种类型的漏洞其实在已有的风险评估规范里面已经有很多叙述,只不过都是作为物理环境的风险评估形式出现。信息系统安全漏洞主要是针对关于信息系统中由于技术原因出现的安全问题,这种安全问题存在于构成信息系统的软件、硬件等产品之中。从漏洞存在的宿主来看,有硬件类型, 例如 CPU、主板、BIOS、TPM 芯片等,有软件类型的,例如操作系统、数据库、应用软件等。1.2.2 信息系统安全漏洞的分类从系统安全漏洞方

7、面来研究的话,根据信息系统安全漏洞(以下简称漏洞)的出现的原因,可以把漏洞主要分为三种: 一是设计型漏洞,这种漏洞不以存在的形式为限制,只要是实现了某种协议、算法、模型或设计,这种安全问题就会存在,而不因其他因素而变化,例如无论是哪种 web 服务器,肯定 存在 HTTP 协议中的安全问题。 二是开发型漏洞,这种安全漏洞是广泛被传播和利用的,是由于产品的开发人员在实现过 程中的有意或者无意引入的缺陷,这种缺陷会在一定的条件下被攻击者所利用,从而绕过系统的安全机制,造成安全事件的发生,这种漏洞包含在国际上广泛发布的漏洞库中。三是运行型漏洞,这种类型漏洞的出现是因为信息系统的组件、 部件、 产品或

8、者终端由于 存在的相互关联性,和配置、结构等原因,在特定的环境运行时,可以导致违背安全策略的情况发生。这种安全问题一般涉及到不同的部分,是一种系统性的安全问题。 信息系统安全漏洞从广义上讲,是信息技术、信息产品、信息系统在设计、实现、配置、 运行等过程中,由操作实体有意或无意产生的缺陷,这些缺陷以不同的形式存在于信息系统的各个层次和环节之中,而且随着信息系统的变化而改变。这些缺陷可以被恶意主体所利用,造成信息系统的安全损害,从而影响构建于信息系统之上正常服务的运行,危害信息系统及信息的安全属性。第二章 信息系统漏洞的生命周期 综合考虑信息系统安全漏洞自身特性和研究内容，本文提出了信息系统安全漏

9、洞生命周期的概念。漏洞生命周期= 主体( Subject) ：政府机构、国际组织、大学/科研机构、信息技术公司、信息安全公司。 客体(Object) ：不同类型的漏洞。 行为(Action) ：制造、发现、验证、评估、公布、检测、消除。属性( Property)：描述属性、可利用性,危害性等。2.1 漏洞研究的主体随着信息化的进步和互联网的飞速发展,由于漏洞自身的特殊性,多种不同的主体根据不同的需求参与到有关漏洞的研究、分析工作中,包括:政府机构、国际组织、大学/科研机构、信息技术公司、信息安全公司和黑客组织等,它们在漏洞研究中从不同的角度分析漏洞,起到了不同的作用。对于政府机构而言,他们主要

10、关心的问题有信息系统中存在哪些漏洞,漏洞给信息系统带 来的安全风险有多大,如何有效地处理漏洞,避免安全风险的增加,如何建立一套系统化、制度化、程序化的工作流程来处理漏洞等内容。对于国际组织,他们大多在安全事件接报和统计、安全漏洞收集和整理、安全建议和培训 和系统安全提升办法等方面投入更多精力。大学和科研机构研究重点在:漏洞的分类方法、 漏洞的描述和利用方法、 漏洞带来安全风 险的分析。信息技术公司则分析漏洞的产生原因,避免漏洞的出现和对漏洞开发补丁。信息安全公司从事漏洞的检测方法和漏洞的解决方案。黑客组织的主要兴趣在未知漏洞的发现和漏洞的利用程序开发。2.2 漏洞研究的客体信息系统的构成是复杂

11、的,从不同的角度来看,漏洞存在于不同的部分,例如从信息系统 构成的纵向层次来看有部件、组件、产品、子系统、网络等,从信息系统的横向组成部分来看 有操作系统、数据库、应用软件、路由器、交换机、智能终端等。 根据美国国家漏洞库披露的数据显示,目前仅在软件产品中就存在 29000 个漏洞,涉及到 14000 个信息产品,而目前每天以 20 个漏洞左右数量增加。目前各大软件公司、国际组织、 安全公司等都公布有数量不同的漏洞信息。2.3漏洞研究的行为与内容 从漏洞的个体来看,每一个漏洞的出现、 被发现、 公布等状态都是由相关的主体来操作的, 这就必然使得漏洞个体研究或者管理存在一系列的行为过程和研究内容

12、,主要包括： 1制造 漏洞是被有意或者无意地制造出来的,对于大多数情况来讲,漏洞是在无意中产生的,但 是有些条件下,并不排除被有意产生。 在此阶段,主要研究漏洞产生的特定环境、条件和原因,分析不同漏洞的来源、平台、时 间、 分布位置等多种因素,发现漏洞产生的场景模式和规律,找到其中可重用的模式,为漏洞相 关研究环节提供研究基础。 2发现 漏洞作为客观对象存在于信息产品之中,被不断地挖掘出来。 针对未知漏洞存在而又不为 人所知的情况,在此阶段研究者主要研究利用各种方法、 技术、 理论来发现未知漏洞并且分析 由于模块化设计、代码重用等方式带来的漏洞在不同位置出现的关联性和依赖性。 所使用的方法主要

13、有:基于静态分析的漏洞发现技术、基于动态分析的漏洞发现技术等: 信息系统安全漏洞研究静态、动态分析相结合的漏洞发现技术。 3验证 在公布的漏洞中,由于信息来源的不确定性,需要对公布的漏洞进行仔细的分析,以确定 漏洞是否存在,相关信息是否准确,并对其相关特征进行深入分析。 在此阶段,主要研究漏洞触 发条件和利用规则的分析和描述、漏洞攻击模拟与验证。 4评估 分析漏洞的危害性、 利用方法和危害等级等,对漏洞可能对信息系统造成的安全危害进行 分析。并且通过分析漏洞利用和攻击的条件、境、可能等特点,研究信息系统中利用漏洞危害 系统安全的风险传播模型。 5检测 在役系统中存在大量的、 已公布的漏洞,研究

14、如何标示漏洞的特征,以便进行有效的检查, 主要研究漏洞检测特征的知识表达,主要手段有基于主机的漏洞检测和基于网络的漏洞检测。6公布 讨论漏洞相关信息的搜集、发布、管理、统计、分析等,以形成有效的信息发布机制和相 关知识框架,以便有策略或分类别地发布漏洞信息,并发布相应的安全建议。 7消除 针对信息系统中存在的漏洞,研究如何有效地消除以及避免其危害的方法和途径,例如软 件公司通过开发针对漏洞的补丁或软件升级,并且分析一旦漏洞被利用带来攻击时,如何有效 地和其他安全措施联动,防止更大的危害产生。2.4 漏洞的相关属性能够深入地分析信息系统的安全漏洞,需要准确地提取漏洞的属性特征,即在确定研究对 象

15、之后,就应该解决如何描述这个对象的问题,也就是通过哪些属性来刻画这个对象,结合漏 洞的研究主体和其行为,漏洞的特征可以分为客观性属性和评价性属性。 第一，客观性属性漏洞作为信息系统中的一种客观事实,其客观性属性是不随研究者的研究观点而变化,这些属性是静态的,描述了与信息系统相关组成部分的一些对应关系,为了简明而清晰地说明这些属性,本文将这些属性归纳成以下几类: 生产主体:产生漏洞的主体,例如 Microsoft,Cisco 等。宿主种类应包括操作系统、网络协议、应用程序等。 出现位置:漏洞出现在系统中的位置,如内存管理、文件管理、设备管理、身份认证和进 程管理调度等。 起源成因:漏洞产生的原因。 时间属性:例如发现时间,发布时间、更新时间等。 攻击方式:本地攻击或远程攻击。 攻击所需权限:使用某通用服务远程访问、通过可信系统访问、使用用户账号访问、物理 访问、特权访问等。 后果影响: 访问数据(系统数据、 用户数据),命令执行(执行系统命令、 执行用户命令) 、 代码执行(以系统特权执行机器码、以用户权限执行机器码、以系统特权执行脚本、以用户特 权执行脚本) 、DOS 等。 第二，评价性属性 漏洞评价性属性是一些动态变化的属性,根据时间、环境、 研究者的变化而存在的很难统 一描述的一些属性。 首先是安全性威胁:对系统完整性、可用性、机密性等