安全评估工具及方法介绍

安全评估工具及方法介绍议程评估概述评估工具介绍Windows2000安全评估Unix安全评估网络设备安全性评估网络架构安全评估安全风险评估三要素风险评估三要素资产脆弱性威胁资产“资产”定义电信网和互联网及相关系统资产是具有价值的资源，是安全防护体系保护的对象。它能够以多种形式存在，有无形的、有形的，有硬件、软件，有文档、代码，也有服务、形象等。资产识别资产是具有价值的资源，是安全策略保护的对象。风险评估中，首先需要将电信网和互联网及相关系统资产进行恰当的分类，以此为基础进行下一步的风险评估。资产分类及示例分类示例数据保存在设备上的各种数据资料，包括源代码、数据库数据、系统文档、运行管理规程、计划、报告、用户手册等软件系统软件：操作系统、协议包、工具软件、各种数据库软件等应用软件：外部购买的应用软件，外包开发的应用软件，各种共享、自行或合作开发的各种软件等硬件网络设备：路由器、网关、交换机等计算机设备：大型机、小型机、服务器、工作站、台式计算机、移动计算机等存储设备：磁带机、磁盘阵列等传输线路：光纤、双绞线等保障设备：动力保障设备（UPS、变电设备等）、消防设施等服务网络服务：各种网络设备、设施提供的网络连接服务等业务提供服务：依赖电信网和互联网及相关系统开展的各类业务等文档纸质的各种文件，如设计文档、管理规定和技术要求等人员掌握重要技术的人员，如网络维护人员、网络或业务的研发人员等其它企业形象，客户关系等威胁威胁是一种对资产构成潜在破坏的可能性因素，是客观存在的。威胁可以通过威胁主体、动机、途径等多种属性来描述。威胁可能导致对电信网和互联网及相关系统产生危害的不希望事件潜在起因，它可能是人为的，也可能是非人为的；可能是无意失误，也可能是恶意攻击。常见的网络威胁有盗取帐号密码、冒名顶替、病毒、特洛伊木马、错误路由、火灾、水灾等。威胁赋值•评估者根据经验和（或）有关的统计数据来判断威胁出现的频率威胁发生频率威胁分类及示例种类描述软硬件故障由于设备硬件故障、通讯链路中断、系统本身或软件Bug导致对业务高效稳定运行的影响物理环境威胁断电、静电、灰尘、潮湿、温度、鼠蚁虫害、电磁干扰、洪灾、火灾、地震等环境问题和自然灾害无作为或操作失误由于应该执行而没有执行相应的操作、或无意地执行了错误的操作，对系统造成影响管理不到位安全管理无法落实、不到位，造成安全管理不规范或者管理混乱，从而破坏电信网和互联网及相关系统正常有序运行恶意代码和病毒具有自我复制、自我传播能力，对电信网和互联网及相关系统构成破坏的程序代码越权或滥用通过采用一些措施，超越自己的权限访问了本来无权访问的资源；或者滥用自己的职权，做出破坏电信网和互联网及相关系统的行为黑客攻击技术利用黑客工具和技术，例如侦察、密码猜测攻击、缓冲区溢出攻击、安装后门、嗅探、伪造和欺骗、拒绝服务攻击等手段对电信网和互联网及相关系统进行攻击和入侵物理攻击物理接触、物理破坏、盗窃泄密机密泄漏，机密信息泄漏给他人篡改非法修改信息抵赖不承认收到的信息和所作的操作或交易脆弱性“脆弱性”定义脆弱性是电信网和互联网及相关系统资产中存在的弱点、缺陷与不足，不直接对资产造成危害，但可能被威胁所利用从而危及资产的安全。脆弱性赋值•被威胁利用后对资产的损害程度威胁利用脆弱性示例威胁威胁子类威胁可利用的脆弱性人为威胁非故意无作为、误操作威胁核心盘有无保护网管服务器及数据的备份厂家支持力度人员素质及管理外力施工光缆铺设合理性承载系统保护机制故障应急机制有效性故意恶意代码和病毒防恶意代码及病毒措施网络及系统漏洞网络攻击防网络攻击措施针对网络攻击的网络脆弱性泄密、篡改、抵赖防泄密、篡改、抵赖措施保密管理的脆弱性风险值计算－相乘法风险值计算方法--相乘法风险值＝资产价值×威胁值×脆弱性值风险值的取值范围为1-125，风险值等级化处理，确定风险值对应的风险等级。安全评估网络安全主机安全应用安全数据安全物理安全各层的安全需求：1、保证本层自身的安全；2、实现本层对上层的安全支撑；3、增强对上层安全侵害的抵抗能力；4、尽可能减少本层对下层的安全依赖；5、尽可能减少本层对下层的安全侵害；单系统评估–风险评估实施流程图否是否是风险评估准备已有安全措施的确认风险计算风险是否接受保持已有的安全措施施施施选择适当的安全措施并评估残余风险实施风险管理脆弱性识别威胁识别资产识别是否接受残余风险风险分析评估过程文档评估过程文档风险评估文件记录评估结果文档…………………风险评估规范的依据风险评估方法工具评估人工检查资料分析访谈问卷调查渗透测试工具评估目的：以网络扫描的方式，发现易于被攻击者利用的安全风险；要求：尽可能和被扫描设备之间无访问控制扫描影响：对网络资源的影响在5%以下，对系统资源的影响在3%以下；人工评估目的：–对工具评估结果进行分析；–查找工具评估无法发现的安全漏洞；–了解系统配置信息，为安全加固做准备；–查看系统受攻击情况；要求：以系统管理员方式登陆系统评估影响：不对系统进行任何更改，没有影响；风险规避措施评估前要求对重要系统进行有效备份；扫描中不使用DoS扫描策略；对重要业务系统选择业务量比较小的时间段进行评估；双机热备系统分别扫描，确认工作正常后再继续扫描；发现问题，及时中止，确认问题解决后再继续扫描议程评估概述评估工具介绍Windows2000安全评估Unix安全评估网络设备安全性评估网络架构安全评估什么是扫描器什么是扫描器–黑客实施盗窃之前，最先进行的工作——窥探，利用扫描器可以收集到：操作系统类型、开放端口、开放服务及版本号、共享目录，…–无疑扫描器成了黑客的帮凶！但扫描器无罪，关键看掌握在谁的手里；什么是扫描器安全管理者眼中的扫描器–知己知彼，百战不殆。通过扫描器可以对己方的安全隐患了如指掌；–利用扫描器提供的漏洞修补建议，完成系统的加固；–防范未授权的扫描：部署防火墙、IDS等；–与其它产品联动：防火墙阻断主机、IDS入侵事件过滤;主流扫描器ISSSSSWebRavorLinktrustNetworkScannerXSCANSPUER-SCANNMAPNESSUS流光……X-ScanX-ScanNESSUSNESSUS议程评估概述评估工具介绍Windows2000安全评估Unix安全评估网络设备安全性评估网络架构安全评估主要检查项补丁与版本用户与口令服务状况安全配置系统日志主要应用软件被攻击情况检查版本与补丁版本查看办法–“我的电脑”——〉”属性”–开始菜单–“管理工具”——〉计算机管理——〉系统信息——〉系统摘要补丁查看办法–通过在线WindowsUpdate，检查有哪些安全更新需要安装–通过“控制面板”——〉”添加/删除软件”查看已经安装了哪些补丁–通过注册表HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Updates–通过其它工具用户与口令确保禁用Guest等账户；检查用户所属的组，关注administrators组；用户与口令–C:\winnt\repair\sam文件服务状况“管理工具”——〉服务需要关注的服务–Alerter、messenger、snmp、remoteregistryservice、routingandremoteaccess、runas、telnet、ftp、smtp、nntp、terminalservice、–其他远程服务、可疑的服务远程管理服务–Terminalservice、pcanywhere、netmeeting等共享服务–C:\netshare–“管理工具”——〉”计算机管理”——〉”共享”–注意共享访问权限安全配置安全选项–“管理工具”——〉“本地安全策略”——〉“安全设置/本地策略/安全选项”对匿名连接的额外限制；允许在未登录前关机；是否显示上次登录帐号；LANManager身份验证级别；发送未加密的密码以连接到第三方SMB服务器；允许弹出可移动NTFS媒体；在断开会话之前所需的空闲时间；如果无法记录安全审计则立即关闭系统；登录屏幕上不要显示上次登录的用户名；禁用按CTRL+ALT+DEL进行登录的设置；在关机时清理虚拟内存页面交换文件；系统日志系统日志设置系统日志日志审核设置主要应用软件MSSQLServer等数据库软件Seru-U等ftp软件Apache、IIS等服务软件被攻击情况检查查看系统进程–任务管理器查看系统开放服务查看系统端口和连接–Netstat–an结合fport工具查看系统日志–系统日志、安全日志、应用日志、IIS等访问日志–C:\winnt\system32\logfiles\被攻击情况检查系统注册表–HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run和HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce项下是否有异常程序–菜单——〉程序——〉启动–Txt、exe等关联程序C:\ftypetxtfile等议程评估概述评估工具介绍Windows2000安全评估Unix安全评估网络设备安全性评估网络架构安全评估主要检查项系统基本信息root用户安全配置系统服务启动状况关键服务配置用户与口令系统审计文件系统与文件权限其他系统基本信息（补丁）系统补丁信息使用oslevel确定系统版本补丁分为三类-RecommendedMaintenancePackage(RM)-CriticalFix(cfix)-EmergenceFix(efix)推荐使用RPM安装系统补丁对于最新的漏洞，需要efix系统基本信息（其他）系统基本信息uname-a系统网卡信息ifconfig-a系统路由信息netstat-nr网络连接信息netstat-na系统进程信息ps-efroot用户安全配置是否允许root用户远程登录－在/etc/security/user文件中设定－使用lsuser可以查看－使用chuser更改root用户的环境变量－/etc/environment是全局的环境变量－/etc/security/environ中可以设定单个用户的环境变量－也可以通过启动文件设定环境变量系统服务启动状况初始的启动文件/etc/inittabpiobeqdaemonwritesrvhttpdlite通常服务在/etc/rc.*文件中启动rc.nfsrc.tcpiprc.d/inetd的启动文件/etc/inetd.conf关键服务配置R命令（rlogin,rsh）的配置情况CDE（dtlogin）是否设置访问控制Ftp服务是否限制系统用户访问（/etc/ftpusers）Cron服务NFS服务SNMP服务Sendmail服务DNS服务用户与口令删除无用用户查看是否存在空/弱口令口令策略设定－在/etc/security/user文件中设定－使用lsuser/chuser查看与修改登录策略设定－在/etc/security/login.cfg文件中设定通用用户的环境变量设定－在/etc/environment文件中设定系统审计syslog日志的配置状况记录失败登录：/etc/security/failedlogin使用who查看：who/etc/security/failedlogin记录最新登录：/etc/security/lastlog文本文件，使用more查看记录su的使用：/var/adm/sulog文本文件，使用more查看文件系统与文件权限以安全模式加载文件系统文件基本权限查找setuid,setgid与全局可写的文件find/-perm-4000-ls查找所有setuid的文件find/-perm-2000-ls查找所有setgid的文件find/-perm-0004-ls查找所有全局可写的文件和目录其他修改banner信息在/etc/security/login.cfg中修改herald参数对网络连接设置访问控制服务安全管理尽可能少泄露系统信息–更改telnetd\ftpd\bind\sendmail等的banner信