《系统程序漏洞扫描安全评估方案》由会员分享，可在线阅读，更多相关《系统程序漏洞扫描安全评估方案（31页珍藏版）》请在金锄头文库上搜索。
1、一、项目概述21.1 评估范围21.2 评估层次21.3 评估方法21.4 评估结果21.5 风险评估手段31.5.1 基于知识的分析方法31.5.2 基于模型的分析方法31.5.3 定量分析41.5.4 定性分析51.6 评估标准5二、网拓扑评估52.1 拓扑合理性分析52.2 可扩展性分析5三、网络安全管理机制评估63.1 调研访谈及数据采集63.2 网络安全管理机制健全性检查73.3 网络安全管理机制合理性检查73.4 网络管理协议分析8四、脆弱性严重程度评估84.1 安全漏洞扫描84.2 人工安全检查104.3 安全策略评估114.4 脆弱性识别12五、网络威胁响应机制评估125.1远
2、程渗透测试13六、网络安全配置均衡性风险评估146.1 设备配置收集146.2 检查各项HA配置166.3 设备日志分析17七、风险级别认定18八、项目实施规划18九、项目阶段19十、交付的文档及报告2010.1 中间评估文档2110.2 最终报告212211.1 网络架构安全状况评估2211.1.1 内容描述2211.1.2 过程任务2311.1.3 输入指导2311.1.4 输出成果2312.2系统安全状态评估2311.2.1 内容描述2311.2.2 过程任务2611.2.3 输入指导2811.2.4 输出成果2811.3策略文件安全评估2811.3.1 内容描述2811.3.2 过程任
3、务2912.3.3 输入指导3012.3.4 输出成果3011.4最终评估结果30、项目概述1.1 评估范围针对网络、应用、服务器系统进行全面的风险评估。1.2 评估层次评估层次包括网络系统、主机系统、终端系统相关的安全措施，网络业务路由分配安全，管理策略与制度。其中网络系统包含路由器、交换机、防火墙、接入服务器、网络出口设备及相关网络配置信息和技术文件；主机系统包括各类UNIX、Windows等应用服务器；终端系统设备。1.3 评估方法安全评估工作内容：管理体系审核；安全策略评估；顾问访谈；安全扫描；人工检查；远程渗透测试；遵循性分析；1.4 评估结果通过对管理制度、网络与通讯、主机和桌面系
4、统、业务系统等方面的全面安全评估，形成安全评估报告，其中应包含评估范围中信息系统环境的安全现状、存在安全问题、潜在威胁和改进措施。协助对列出的安全问题进行改进或调整，提供指导性的建设方案：安全现状分析报告安全解决方案1.5 风险评估手段在风险评估过程中，可以采用多种操作方法，包括基于知识(Knowledge-based)的分析方法、基于模型(Model-based)的分析方法、定性(Qualitative)分析和定量(Quantitative)分析，无论何种方法，共同的目标都是找出组织信息资产面临的风险及其影响，以及目前安全水平与组织安全需求之间的差距。1.5.1 基于知识的分析方法在基线风险
5、评估时，组织可以采用基于知识的分析方法来找出目前的安全状况和基线安全标准之间的差距。基于知识的分析方法又称作经验方法，它牵涉到对来自类似组织(包括规模、商务目标和市场等)的“最佳惯例”的重用，适合一般性的信息安全社团。采用基于知识的分析方法，组织不需要付出很多精力、时间和资源，只要通过多种途径采集相关信息，识别组织的风险所在和当前的安全措施，与特定的标准或最佳惯例进行比较，从中找出不符合的地方，并按照标准或最佳惯例的推荐选择安全措施，最终达到消减和控制风险的目的。基于知识的分析方法，最重要的还在于评估信息的采集，信息源包括：会议讨论；对当前的信息安全策略和相关文档进行复查；制作问卷，进行调查；
6、对相关人员进行访谈；进行实地考察；为了简化评估工作，组织可以采用一些辅助性的自动化工具，这些工具可以帮助组织拟订符合特定标准要求的问卷，然后对解答结果进行综合分析，在与特定标准比较之后给出最终的推荐报告。1.5.2 基于模型的分析方法2001年1月，由希腊、德国、英国、挪威等国的多家商业公司和研究机构共同组织开发了一个名为CORAS的项目，即PlatformforRiskAnalysisofSecurityCriticalSystems。该项目的目的是开发一个基于面向对象建模特别是UML技术的风险评估框架，它的评估对象是对安全要求很高的一般性的系统，特别是IT系统的安全。CORAS!虑到技术、
7、人员以及所有与组织安全相关的方面，通过CORAS风险评估，组织可以定义、获取并维护IT系统的保密性、完整性、可用性、抗抵赖性、可追溯性、真实性和可靠性。与传统的定性和定量分析类似，CORAS风险评估沿用了识别风险、分析风险、评价并处理风险这样的过程，但其度量风险的方法则完全不同，所有的分析过程都是基于面向对象的模型来进行的。CORAS的优点在于：提高了对安全相关特性描述的精确性，改善了分析结果的质量；图形化的建模机制便于沟通，减少了理解上的偏差；加强了不同评估方法互操作的效率；等等。1.5.3 定量分析进行详细风险分析时，除了可以使用基于知识的评估方法外，最传统的还是定量和定性分析的方法。定量
8、分析方法的思想很明确：对构成风险的各个要素和潜在损失的水平赋予数值或货币金额，当度量风险的所有要素(资产价值、威胁频率、弱点利用程度、安全措施的效率和成本等)都被赋值，风险评估的整个过程和结果就都可以被量化了。简单说，定量分析就是试图从数字上对安全风险进行分析评估的一种方法。定量风险分析中有几个重要的概念：暴露因子(ExposureFactor，EF)特定威胁对特定资产造成损失的百分比，或者说损失的程度。单一损失期望(SingleLossExpectancy，SLE)或者称作SOC(SingleOccuranceCosts)，即特定威胁可能造成的潜在损失总量。年度发生率(AnnualizedR
9、ateofOccurrence，ARO)即威胁在一年内估计会发生的频率。年度损失期望(AnnualizedLossExpectancy，ALE)或者称作EAC(EstimatedAnnualCost)，表示特定资产在一年内遭受损失的预期值。考察定量分析的过程，从中就能看到这几个概念之间的关系：( 1) 首先，识别资产并为资产赋值；(2)通过威胁和弱点评估，评价特定威胁作用于特定资产所造成的影响，即EF(取值在0100%之间)； 3) 3)计算特定威胁发生的频率，即ARO； 4) 计算资产的SLE：SLE=AssetValuexEF 5) 计算资产的ALE:ALE=SLEXARO1.5.4定性分
10、析定性分析方法是目前采用最为广泛的一种方法，它带有很强的主观性，往往需要凭借分析者的经验和直觉，或者业界的标准和惯例，为风险管理诸要素(资产价值，威胁的可能性，弱点被利用的容易度，现有控制措施的效力等)的大小或高低程度定性分级，例如“高”、“中”、“低”三级。定性分析的操作方法可以多种多样，包括小组讨论(例如Delphi方法)、检查列表(Checklist)、问卷(Questionnaire)、人员访谈(Interview)、调查(Survey)等。定性分析操作起来相对容易，但也可能因为操作者经验和直觉的偏差而使分析结果失准。与定量分析相比较，定性分析的准确性稍好但精确性不够，定量分析则相反；
11、定性分析没有定量分析那样繁多的计算负担，但却要求分析者具备一定的经验和能力；定量分析依赖大量的统计数据，而定性分析没有这方面的要求；定性分析较为主观，定量分析基于客观；此外，定量分析的结果很直观，容易理解，而定性分析的结果则很难有统一的解释。组织可以根据具体的情况来选择定性或定量的分析方法。1.6评估标准1、计算机网络安全管理2、 ISO15408信息安全技术评估通用准则3、 GB17859-1999计算机信息系统安全保护等级划分准则4、相关各方达成的协议二、网拓扑评估2.1 拓扑合理性分析目前网络都基本采取传统的三层架构，核心、汇聚与接入，其他设备都围绕着这三层进行扩展，各设备之间的线路基本
12、采用千兆光纤接入方式，实现高速数据传输，降低延时，减少干扰，设备间存在冗余，从而保证各数据间传输的可靠性，各业务之间的稳定性。2.2 可扩展性分析核心设备、汇聚设备是否都存在部分空模板、空接口，可以满足未来几年内的扩展核心设备的背板带宽在高峰期间业务流量能正常通过，从中可看出目前核心设备的带宽完全能承载当前的流量；背板带宽越大，各端口所分配到的可用带宽越大，性能越高，处理能力越快。三、网络安全管理机制评估3.1 调研访谈及数据采集（ 、整网对于核心层设备、汇聚层设备以及接入楼层设备，进行远程登录方式、本地登录模式、特权模式的用户名与密码配置，密码都是以数字、大小写字母和字符一体化，防止非法用户
13、的暴力破解，即便通过其它方式获取到配置清单，也无法知道这台设备的密码，密码都是以密文的形式显示在配置清单里，这样，无论是合法用户还是恶意用户，只要没有设备的用户名和密码都不能登录到该设备，自然也无法对设备的内容等相关配置信息进行修改，相当于给设备安装了一层保护墙，从而保护了设备的最基本的安全性。（ 、整个网络采用一种统一的安全制度对网络设备、服务器集进行有效的检查，管理，实时发现网络中是否存在的一些问题，如果发现问题的存在，都会采取制定的流程及时给予解决，使得网络设备能一直正常运行，可用性得到提高，业务流量保持稳定性状态，以下是安全制度管理的部分选项。（ 1）定期扫描漏洞：定期对整网服务器进行
14、扫描，检查是否有漏洞的存在，数据的来源，事件的分析，主机服务信息，是否存在高危险性事件，主机流量分析等，以确保网络的安全性。（ 2）检查版本升级：定期对整网服务器进行检查，各主机的系统版本是否最新，各主机的软件，特别是杀毒软件、防火墙、辅助软件有没及时的更新，特征库当前是否为最新。（ 3）策略：定期对整网服务器的密码进行检查，查看是否开启密码策略、帐户锁定策略、本地审核策略，并作了相应的设置。（ 4）关闭用户：定期对整网服务器进行周密的检查，是否对GUESTB户、长期未登录用户进行关闭。（ 5）关闭服务：定期对整网服务器进行松紧，是否对一些特殊的服务，如Remoteregister、不需要远程
15、登陆的主机Terminalservices进行关闭。3.2 网络安全管理机制健全性检查1、 以目前的网络设备完全能承载整网的业务流量，可以说目前的设备性能较强，未来，随着网络规模越来越大，业务流量越来越集中，对设备性能的要求也更加严格，但以目前的设备的处理能力，足以胜任未来几年内的扩展，并且具有一定的安全性；2、 整网有统一的管理员，对网络设备进行相关的管理，每个管理员所管辖的范围不同；每个管理员负责每一部分，服务器有应用、数据库、测试、视频等3、机房有门禁系统，机房有它制定的管理方式，进机房首先得找具有申请进机房资格的工作人员，接着，机房中心工作人员对这条申请的信息进行审核，审核通过后，需要拿身份证去机房门口进行登记，这样，才能进入机房查看设备、或对设备进行相关的操作，这是进机房的基本流程。4、机房里有特定的系统专门对当前设备的温度进行测量，不管是白天还是晚上，每天24小时都会有保
