1、第12章 网络安全检测与评估技术,主要内容：12.1 网络安全漏洞12.2 网络安全漏洞检测技术12.3 网络安全评估标准12.4 网络安全评估方法12.5 网络安全检测评估系统实例12.6 小结,12.1 网络安全漏洞,12.1.1 网络安全漏洞定义三种比较有代表性的漏洞定义： 基于访问控制的定义基于状态的定义基于模糊概念的定义,12.1 网络安全漏洞,12.1.1 网络安全漏洞定义主要表现在以下四个方面：系统存在安全方面的脆弱性。非法用户得以获得访问权。合法用户未经授权提高访问权限。系统易受来自各方面的攻击。,12.1 网络安全漏洞,12.1.2 网络安全漏洞威胁安全威胁是指所有能够对计算
2、机网络信息系统的网络服务和网络信息的机密性、可用性和完整性产生阻碍、破坏或中断的各种因素。安全威胁可以分为人为安全威胁和非人为安全威胁两大类。,12.1 网络安全漏洞,12.1.2 网络安全漏洞威胁针对网络安全的威胁主要有人为的无意失误人为的恶意攻击网络软件的漏洞和”后门”,12.1 网络安全漏洞,12.1.2 网络安全漏洞威胁主要表现在如下几个方面：非授权访问泄漏或丢失信息破环数据完整性拒绝服务攻击利用网络传播病毒,12.1 网络安全漏洞,12.1.3 网络安全漏洞的分类1. 从用户群体分类：大众类软件的漏洞专用软件的漏洞2从数据角度看分为：能读取本不能读的数据能把指定的内容写入到指定的位置
3、输入的数据能被执行,12.1 网络安全漏洞,12.1.3 网络安全漏洞的分类3从触发条件上看可以分为：主动触发漏洞被动触发漏洞4从操作角度看可分为：文件操作类型内存覆盖逻辑错误外部命令执行问题,12.1 网络安全漏洞,12.1.3 网络安全漏洞的分类5从时序上看可分为：已发现很久的漏洞新发现的漏洞还没有公开的漏洞6按危害的严重程度，漏洞可分为：A级漏洞B级漏洞C级漏洞,12.2 网络安全漏洞检测技术,对漏洞的检测目前主要是采用漏洞扫描技术。通常采用两种策略:被动式策略：基于主机的主动式策略：基于网络的,12.2 网络安全漏洞检测技术,12.2.1 端口扫描技术“端口扫描”（Port Scann
4、ing）是通过连接到目标系统的TCP协议或UDP协议端口，来确定什么服务正在运行。 端口扫描是入侵者收集信息的几种常用手法之一在安全防护上也可以利用这一技术，使入侵者暴露自己的身份和意图。扫描端口有如下目的：判断目标主机上开放了哪些服务。判断目标主机的操作系统。,12.2 网络安全漏洞检测技术,12.2.1 端口扫描技术1端口扫描的原理最简单的端口扫描程序仅仅是检查目标主机在哪些端口可以建立TCP连接，如果可以建立连接，则说明主机在那个端口被监听。对于非法入侵者而言，要想知道端口上具体提供什么服务，必须用相应的协议来验证才能确定，因为一个服务进程总是为了完成某种具体的工作而设计的。这种方法的最
5、大缺陷在于很容易被目标主机检测到并记录下来。,12.2 网络安全漏洞检测技术,12.2.1 端口扫描技术非法入侵者为了有效地隐蔽自己，又能进行端口扫描，多利用TCP/IP本身的特征，实现隐身。TCP connect()扫描TCP SYN扫描TCP FIN扫描Fragmentation扫描UDP recfrom()和write()扫描ICMP扫描,12.2 网络安全漏洞检测技术,12.2.1 端口扫描技术2端口扫描的常用工具及方法NSS：一个非常隐蔽的扫描器。NSS用Perl语言编写，工作在SunOS4.1.3，可以对Sendmail、TFTP、匿名FTP、Hosts和Xhost扫描。 SATA
6、N：（安全管理员的网络分析工具）是一个分析网络的安全管理，并进行测试与报告的工具。 SuperScan：著名安全公司Foundstone出品的一款功能强大的基于连接的TCP端口扫描工具，支持Ping和主机名解析。,12.2 网络安全漏洞检测技术,12.2.2 操作系统探测技术最具代表性的是Nmap的基于协议栈指纹的扫描。网络协议栈的指纹 ：各种操作系统的协议栈的实现存在细微的差异，这样就为识别操作系统提供了条件。TCP/IP规范并不是被严格地执行，每个不同的实现将会拥有它们自己的特性，这样就为成功探测带来了可能。,12.2 网络安全漏洞检测技术,12.2.3 安全漏洞探测技术漏洞探测是指对计算
7、机网络系统进行测试和检查，发现其中可能被黑客利用的安全漏洞。 漏洞扫描器是一种自动检测远程或本地主机安全性弱点的程序。通过使用漏洞扫描器，系统管理员能够发现所维护的服务器的各种TCP端口的分配、提供的服务、服务软件版本和这些服务及软件呈现在Internet上的安全漏洞。,12.2 网络安全漏洞检测技术,12.2.3 安全漏洞探测技术漏洞扫描技术也是以与端口扫描技术同样的思路来开展扫描的。漏洞扫描技术的原理：通过以各种方法来检查目标主机是否存在漏洞，在端口扫描后得知目标主机开启的端口以及端口上的网络服务，将这些相关信息与网络漏洞扫描系统提供的漏洞库进行匹配，查看是否有满足匹配条件的漏洞存在。通过
8、模拟黑客的攻击手法，对目标主机系统进行攻击性的安全漏洞扫描，如测试弱势口令等。若模拟攻击成功，则表明目标主机系统存在安全漏洞。,12.2 网络安全漏洞检测技术,12.2.3 安全漏洞探测技术按常规标准，漏洞扫描器分为两种类型：主机漏洞扫描器（Host Scanner）： COPS、tripewire、tiger等网络漏洞扫描器（Network Scanner）： Satan、ISS Internet Scanner等 。,12.3 网络安全评估标准,12.3.1 网络安全评估标准概述世界各国根据自己的研究进展和实际情况，先后发布了一系列信息安全风险评估的规范和标准： 美国国防部发布的可信计算机
9、系统安全评估准则TCSEC 欧洲四国发布的信息技术安全评估准则ITSEC 加拿大发布的可信计算机产品评价准则CTCPEC 美国、加拿大、欧洲四国共同提出的信息技术安全性评估通用准则CC：被ISO/IEC批准为ISO/IEC 15408。国际标准化组织发布的信息技术安全管理指南（ISO13335） 英国标准化协会（BSI）制定的信息安全管理体系标准BS 7799，被ISO/IEC批准为ISO/IEC 17799。 美国国家安全局(NSA)制订的信息保障技术框架IATF系统安全工程能力成熟度模型SSE-CMM 我国颁布的安全标准,图12-1 评估标准的演变历程,12.3 网络安全评估标准,12.3
10、.2 TCSEC、ITSEC和CC的基本构成1TCSEC的基本构成美国可信计算机安全评价标准 (Trusted Computer System Evaluation Criteria； commonly called the “Orange Book”)是计算机系统安全评估的第一个正式标准，具有划时代的意义。它也是第一个被广泛接受的安全评估标准。该准则于1970年由美国国防科学委员会提出，并于1985年12月由美国国防部公布。,12.3 网络安全评估标准,12.3.2 TCSEC、ITSEC和CC的基本构成1TCSEC的基本构成TCSEC 基于三个出发点：功能：目标系统所具有的安全功能，比如用
11、户验证和审计；有效性：安全功能的使用是否满足所需要提供的安全级别；认可度：授权机构对系统所提供的安全级别的认可程度。,12.3 网络安全评估标准,12.3.2 TCSEC、ITSEC和CC的基本构成1TCSEC的基本构成将评估对象的安全程度划分为4个等级：A、B、C、D，安全程度从A到D逐级下降。这四个等级的分级标准包括：安全策略物件标记使用者识别审计保证性文档持续保护,根据这些分级标准，TCSEC的4个安全等级再细分为7个级别，对用户登录、授权管理、访问控制、审计跟踪、隐蔽通道分析、可信通道建立、安全检测、生命周期保障、文档写作、用户指南等内容提出了规范性要求。,12.3 网络安全评估标准,
12、12.3.2 TCSEC、ITSEC和CC的基本构成2ITSEC的基本构成信息技术安全评估标准（Information Technology Security Evaluation Criteria）是由法、英、荷、德欧洲四国90年代初联合发布的。借用了TCSEC的许多设计思想，一个主要目标就是为安全评估提供一个更灵活的标准。提出了信息安全的机密性、完整性、可用性的安全属性。,12.3 网络安全评估标准,12.3.2 TCSEC、ITSEC和CC的基本构成2ITSEC的基本构成ITSEC则把完整性、可用性与保密性作为同等重要的因素。ITSEC定义了从E0级(不满足品质)到E6级(形式化验证)的
13、7个安全等级，对于每个系统，安全功能可分别定义。,12.3 网络安全评估标准,12.3.2 TCSEC、ITSEC和CC的基本构成2ITSEC的基本构成ITSEC的安全等级划分为功能性等级（F）和保证性等级（E）,12.3 网络安全评估标准,12.3.2 TCSEC、ITSEC和CC的基本构成2ITSEC的基本构成ITSEC的安全等级划分为功能性等级（F）和保证性等级（E）,12.3 网络安全评估标准,12.3.2 TCSEC、ITSEC和CC的基本构成3CC的基本构成通用准则（Common Criteria），由六个国家（美、加、英、法、德、荷）于1996年联合提出，在1999年通过了ISO
14、的认可，称为ISO15408。中国加入WTO之后，接受CC为信息系统产品安全评估标准，并制定了相应的国家标准GB18336。CC标准已经被技术发达的国家承认为代替TCSEC的评价安全信息系统的标准，已发展成为第一个信息技术安全评价国际标准，是信息技术安全评价标准以及信息安全技术发展的一个重要里程碑。,12.3 网络安全评估标准,CC的评估等级共分7级，每一级均需评估7个功能类。下面是TCSEC、ITSEC和CC的比较。,12.4 网络安全评估方法,12.4.1 CEM网络安全评估模型CEM主要包括评估的一般性原则，PP评估、ST评估和EAL1EAL4的评估。CEM与CC中的保证要求相对应。CE
15、M由两部分组成：简介与一般模型评估方法,12.4 网络安全评估方法,12.4.1 CEM网络安全评估模型1CEM评估一般原则CEM评估应该遵循适当、公正、客观的原则，要求评估结果满足可重复和可再现的特点，且评估结果是可靠的。2CEM评估模型,图12-2 CEM评估模型,12.4 网络安全评估方法,12.4.1 CEM网络安全评估模型3CEM评估任务评估输入任务：配置控制、证据的保护、处置和保密评估输出任务：书写观察报告（OR）和书写评估技术报告（ETR）4CEM评估活动5评估结果：评估人员的裁决可以有三种不同的结果，分别为：不确定、通过或失败。,12.4 网络安全评估方法,12.4.2 基于指
16、标分析的网络安全综合评估模型1. 综合评估概要为全面了解目标网络系统的安全性能的状况，需要对各个方面的指标或项目进行测试或评估，必须将全体评估项目的评估结果进行综合，才能得到关于目标网络信息系统的安全性能的最终评价。,12.4 网络安全评估方法,12.4.2 基于指标分析的网络安全综合评估模型2归一化处理定量指标的归一化定性评估项的量化和归一化3综合评估方法所有评估项的评估结果经过综合便可得到对系统的总的评价。对于同一个层次上的评估项（指标），综合评估过程是一个从多维空间到一个线段中的点或评价等级论域中的等级的映射过程：,12.4 网络安全评估方法,12.4.2 基于指标分析的网络安全综合评估
17、模型如果评估项之间是层次关系，则综合评估过程的任务是将该层次结构中的全部评估项映射到上面的线段A，或等级论域L。即： f：(H)A（或f：（H）L）其中，H表示评估项之间的层次结构。典型的综合评估方法有：加权算数平均加权几何平均混合平均,12.4 网络安全评估方法,12.4.3 基于模糊评价的网络安全状况评估模型模糊综合评价法可根据多因素对事物进行评价，是一种运用模糊数学原理分析和评价具有”模糊性”的事物的系统分析方法，它是一种以模糊推理为主的定性与定量相结合、非精确与精确相统一的分析评价方法。该方法利用模糊隶属度理论把定性指标合理的定量化，很好的解决了现有网络安全风险评估方法中存在的评估指标
18、单一、评估过程不合理的问题,12.4 网络安全评估方法,12.4.3 基于模糊评价的网络安全状况评估模型模糊综合评判决策的数学模型由因素集、评判集和单因素评判3个要素组成，其步骤分为4步：确定隶属函数建立关系模糊矩阵权重模糊矩阵模糊综合评价算法,12.5 网络安全检测评估系统实例,12.5.1 Internet ScannerInternet Scanner是ISS公司开发的一种维护网络安全的专用软件，它是目前最快、最易掌握和最有效的网络安全扫描软件。它在扫描网络时，模拟电脑黑客的思维方式，专查找网络的缺陷，就像一名攻击者寻找网络漏洞一样。用户利用它可以很快找出网络安全上的缺陷，并采用相应措施
19、堵住漏洞，便可防患于未然。 ISS软件主要分为扫描和监测两大部分。,12.5 网络安全检测评估系统实例,12.5.2 NessusNessus同样是一个功能强大的安全检测工具，它允许用户使用插件对它进行功能上的扩展。Nessus使用一个频繁更新的漏洞库作为安全检测的依据。Nessus 被认为是目前全世界最多人使用的系统漏洞扫描与分析软件。总共有超过75000个机构使用 Nessus 作为扫描该机构电脑系统的软件。,12.5 网络安全检测评估系统实例,12.5.2 NessusNessus的特色：提供完整的电脑漏洞扫描服务，并随时更新其漏洞数据库。不同于传统的漏洞扫描软件，Nessus 可同时在
20、本机或远端上摇控，进行系统的漏洞分析扫描。其运作效能能随着系统的资源而自行调整。如果将主机加入更多的资源(例如加快CPU速度或增加内存大小)，其效率表现可因为丰富资源而提高。可自行定义插件(Plug-in)。Nessus的安全测试选项可由NASL语言来写入。完整支持SSL,12.6 小 结,本章对网络安全检测与评估技术做了详细的介绍。网络安全检测与评估技术是保障计算机网络系统安全的有效手段，借助于各种安全漏洞检测、扫描等技术手段先于攻击者发现计算机网络系统的安全漏洞，可以做到防患于未然，将安全威胁减至最低。目前网络安全评估标准众多，其中比较著名的是CSEC、ITSEC和CC。合理使用网络安全检测评估系统软件可以预先评估分析网络系统中存在的安全问题，是预防和解决网络安全问题的重要手段。,
