信息安全網(wǎng)絡(luò)安全檢測(cè)與評(píng)估技術(shù)

信息安全網(wǎng)絡(luò)安全檢測(cè)與評(píng)估技術(shù)

ID:42342774

大?。?34.00 KB

頁(yè)數(shù):25頁(yè)

時(shí)間:2019-09-13

信息安全網(wǎng)絡(luò)安全檢測(cè)與評(píng)估技術(shù)_第1頁(yè)
信息安全網(wǎng)絡(luò)安全檢測(cè)與評(píng)估技術(shù)_第2頁(yè)
信息安全網(wǎng)絡(luò)安全檢測(cè)與評(píng)估技術(shù)_第3頁(yè)
信息安全網(wǎng)絡(luò)安全檢測(cè)與評(píng)估技術(shù)_第4頁(yè)
信息安全網(wǎng)絡(luò)安全檢測(cè)與評(píng)估技術(shù)_第5頁(yè)
資源描述:

《信息安全網(wǎng)絡(luò)安全檢測(cè)與評(píng)估技術(shù)》由會(huì)員上傳分享,免費(fèi)在線閱讀,更多相關(guān)內(nèi)容在教育資源-天天文庫(kù)

1、第7章網(wǎng)絡(luò)安全檢測(cè)與評(píng)估技術(shù)7.1網(wǎng)絡(luò)安全漏洞1.網(wǎng)絡(luò)安全漏洞威脅(1)安全漏洞的定義漏洞是在硬件、軟件、協(xié)議的具體實(shí)現(xiàn)或系統(tǒng)安全策略上存在的缺陷,可以使攻擊者在未授權(quán)的情況下訪問或破壞系統(tǒng)。漏洞的產(chǎn)生有其必然性,這是因?yàn)檐浖恼_性通常是通過(guò)檢測(cè)來(lái)保障的。而“檢測(cè)只能發(fā)現(xiàn)錯(cuò)誤,證明錯(cuò)誤的存在,不能證明錯(cuò)誤的不存在”。(2)安全威脅的定義安全威脅是指所有能夠?qū)τ?jì)算機(jī)網(wǎng)絡(luò)信息系統(tǒng)的網(wǎng)絡(luò)服務(wù)和網(wǎng)絡(luò)信息的機(jī)密性、可用性和完整性產(chǎn)生阻礙、破壞或中斷的各種因素。安全威脅可以分為人為安全威脅和非人為安全威脅兩大類。安全威脅與安全漏洞密切相關(guān),安全漏洞的可度量性使得人們對(duì)系統(tǒng)安全的潛在影

2、響有了更加直觀的認(rèn)識(shí)。表7-1漏洞威脅等級(jí)分類嚴(yán)重度等級(jí)影響度低嚴(yán)重度:漏洞難以利用,并且潛在的損失較少。1低影響度:漏洞的影響較低,不會(huì)產(chǎn)生連帶的其他安全漏洞。中等嚴(yán)重度:漏洞難以利用,但是潛在的損失較大,或者漏洞易于利用,但是潛在的損失較少。2中等影響度:漏洞可能影響系統(tǒng)的一個(gè)或多個(gè)模塊,該漏洞的利用可能會(huì)導(dǎo)致其他漏洞可利用。高嚴(yán)重度:漏洞易于利用,并且潛在的損失較大。3高影響度:漏洞影響系統(tǒng)的大部分模塊,并且該漏洞的利用顯著增加其他漏洞的可利用性。表7-3漏洞威脅等級(jí)分類描述等級(jí)描述組合1低影響度,低嚴(yán)重度1-12低影響度,中等嚴(yán)重度;中等影響度,低嚴(yán)重度1-23低影

3、響度,高嚴(yán)重度;高影響度,低嚴(yán)重度;中等影響度,中等嚴(yán)重度1-3,2-24中等影響度,高嚴(yán)重度;高影響度,中等嚴(yán)重度2-35高影響度,高嚴(yán)重度3-32.網(wǎng)絡(luò)安全漏洞的分類方法按漏洞可能對(duì)系統(tǒng)造成的直接威脅分類按漏洞的成因分類返回本章首頁(yè)(1)按漏洞可能對(duì)系統(tǒng)造成的直接威脅分類可以分為:遠(yuǎn)程管理員權(quán)限;本地管理員權(quán)限;普通用戶訪問權(quán)限;權(quán)限提升;讀取受限文件;遠(yuǎn)程拒絕服務(wù);本地拒絕服務(wù);遠(yuǎn)程非授權(quán)文件存??;口令恢復(fù);欺騙;服務(wù)器信息泄露;其它漏洞。返回本章首頁(yè)WindowXP的用戶名和密碼在DOS下可以修改增加用戶:netuserabc123/add升管理員:netlocal

4、groupadministratorsabc/add溢出攻擊緩沖區(qū)是內(nèi)存中存放數(shù)據(jù)的地方,是程序運(yùn)行時(shí)計(jì)算機(jī)內(nèi)存中的一個(gè)連續(xù)的塊,它保存了給定類型的數(shù)據(jù)。問題隨著動(dòng)態(tài)分配變量而出現(xiàn)。為了不用太多的內(nèi)存,一個(gè)有動(dòng)態(tài)分配變量的程序在程序運(yùn)行時(shí)才決定給他們分配多少內(nèi)存。當(dāng)程序試圖將數(shù)據(jù)放到計(jì)算機(jī)內(nèi)存中的某一位置,但沒有足夠空間時(shí)會(huì)發(fā)生緩沖區(qū)溢出。voidfunction(char*str){charbuffer[4];strcpy(buffer,str);}如果str的長(zhǎng)度大于16,就會(huì)造成buffer的溢出,使程序運(yùn)行出錯(cuò)。charA[]intBint(*c)()SQL注入輸入

5、用戶名,密碼進(jìn)行用戶身份驗(yàn)證。用戶名:uid密碼:upwdSELECT*FROMusersWHEREusername='uid'AND'password'='upwd'用戶名:'or''='密碼:'or''='SELECT*FROMusersWHEREusername=''or''=''AND'password'=''or''=''(2)按漏洞的成因分類可以分為:輸入驗(yàn)證錯(cuò)誤類;訪問驗(yàn)證錯(cuò)誤類;競(jìng)爭(zhēng)條件類;意外情況處置錯(cuò)誤類;配置錯(cuò)誤類;環(huán)境錯(cuò)誤類;設(shè)計(jì)錯(cuò)誤類。3.網(wǎng)絡(luò)安全漏洞探測(cè)技術(shù)按照網(wǎng)絡(luò)安全漏洞的可利用方式來(lái)劃分:信息型漏洞探測(cè)攻擊型漏洞探測(cè)(1)信息型漏洞探測(cè)技術(shù)信

6、息型漏洞探測(cè)技術(shù)就是通過(guò)探測(cè)目標(biāo)的型號(hào)、運(yùn)行的操作系統(tǒng)版本及補(bǔ)丁安裝情況、配置情況、運(yùn)行服務(wù)及其服務(wù)程序版本等信息確定目標(biāo)存在的安全漏洞的探測(cè)技術(shù)。優(yōu)點(diǎn):實(shí)現(xiàn)方便、對(duì)目標(biāo)不產(chǎn)生破壞性影響。不足:屬于間接探測(cè)技術(shù),是對(duì)于具體某個(gè)漏洞存在與否難以做出確定性的結(jié)論。(2)攻擊型漏洞探測(cè)技術(shù)該探測(cè)技術(shù)的主要思想是模擬網(wǎng)絡(luò)入侵的一般過(guò)程,對(duì)目標(biāo)系統(tǒng)進(jìn)行無(wú)惡意攻擊嘗試,若攻擊成功則表明相應(yīng)安全漏洞必然存在。模擬攻擊主要通過(guò)專用攻擊腳本語(yǔ)言、通用程序設(shè)計(jì)語(yǔ)言和成型的攻擊工具來(lái)進(jìn)行。模擬攻擊是最直接的漏洞探測(cè)技術(shù),其探測(cè)結(jié)果的準(zhǔn)確率也是最高的。局限性:模擬攻擊行為無(wú)法面面俱到;無(wú)法做到完全

7、沒有破壞性。按照漏洞探測(cè)的技術(shù)特征,又可以劃分為:基于應(yīng)用的探測(cè)技術(shù)檢查應(yīng)用軟件包基于主機(jī)的探測(cè)技術(shù)檢查系統(tǒng)的內(nèi)核、文件的屬性、系統(tǒng)的補(bǔ)丁基于目標(biāo)的探測(cè)技術(shù)檢查系統(tǒng)屬性和文件屬性基于網(wǎng)絡(luò)的探測(cè)技術(shù)檢查網(wǎng)絡(luò)相關(guān)漏洞7.2網(wǎng)絡(luò)安全評(píng)估標(biāo)準(zhǔn)1.網(wǎng)絡(luò)安全評(píng)估標(biāo)準(zhǔn)的發(fā)展歷程(1)首創(chuàng)而孤立的階段1983年,美國(guó)國(guó)防部《可信計(jì)算機(jī)系統(tǒng)安全評(píng)估準(zhǔn)則》(TCSEC)(2)普及而分散的階段1991年,德英法荷四國(guó)《信息技術(shù)安全評(píng)估標(biāo)準(zhǔn)》(ITSEC)1993年,加拿大《加拿大計(jì)算機(jī)產(chǎn)品評(píng)估準(zhǔn)則》(CTCPEC)1993年,美國(guó)政府《

當(dāng)前文檔最多預(yù)覽五頁(yè),下載文檔查看全文

此文檔下載收益歸作者所有

當(dāng)前文檔最多預(yù)覽五頁(yè),下載文檔查看全文
溫馨提示:
1. 部分包含數(shù)學(xué)公式或PPT動(dòng)畫的文件,查看預(yù)覽時(shí)可能會(huì)顯示錯(cuò)亂或異常,文件下載后無(wú)此問題,請(qǐng)放心下載。
2. 本文檔由用戶上傳,版權(quán)歸屬用戶,天天文庫(kù)負(fù)責(zé)整理代發(fā)布。如果您對(duì)本文檔版權(quán)有爭(zhēng)議請(qǐng)及時(shí)聯(lián)系客服。
3. 下載前請(qǐng)仔細(xì)閱讀文檔內(nèi)容,確認(rèn)文檔內(nèi)容符合您的需求后進(jìn)行下載,若出現(xiàn)內(nèi)容與標(biāo)題不符可向本站投訴處理。
4. 下載文檔時(shí)可能由于網(wǎng)絡(luò)波動(dòng)等原因無(wú)法下載或下載錯(cuò)誤,付費(fèi)完成后未能成功下載的用戶請(qǐng)聯(lián)系客服處理。