ch7网络安全检测与评估技术-课件.ppt

1、第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 第第7章章 网络安全检测与评估网络安全检测与评估技术技术 内容提要：内容提要：网络安全漏洞网络安全漏洞 网络安全漏洞检测技术网络安全漏洞检测技术网络安全评估标准网络安全评估标准网络安全评估方法网络安全评估方法网络安全检测评估系统简介网络安全检测评估系统简介小结小结第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 7.1 网络安全漏洞网络安全漏洞 1.网络安全漏洞威胁网络安全漏洞威胁（1）安全漏洞的定义）安全漏洞的定义 漏洞是在硬件、软件、协议的具体实现或漏洞是在硬件、软件、协议的具体实现或系统安全策略上存在的缺陷，可以使攻击

2、者在系统安全策略上存在的缺陷，可以使攻击者在未授权的情况下访问或破坏系统。未授权的情况下访问或破坏系统。漏洞的产生有其必然性，这是因为软件的漏洞的产生有其必然性，这是因为软件的正确性通常是通过检测来保障的。而正确性通常是通过检测来保障的。而“检测只检测只能发现错误，证明错误的存在，不能证明错误能发现错误，证明错误的存在，不能证明错误的不存在的不存在”。返回本章首页返回本章首页第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 （2）安全威胁的定义）安全威胁的定义 安全威胁是指所有能够对计算机网络信息安全威胁是指所有能够对计算机网络信息系统的网络服务和网络信息的机密性、可用性系统的网络服

3、务和网络信息的机密性、可用性和完整性产生阻碍、破坏或中断的各种因素。和完整性产生阻碍、破坏或中断的各种因素。安全威胁可以分为安全威胁可以分为人为安全威胁人为安全威胁和和非人为安全非人为安全威胁威胁两大类。安全威胁与安全漏洞密切相关，两大类。安全威胁与安全漏洞密切相关，安全漏洞的可度量性使得人们对系统安全的潜安全漏洞的可度量性使得人们对系统安全的潜在影响有了更加直观的认识。在影响有了更加直观的认识。返回本章首页返回本章首页第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 可以按照风险等级对安全漏洞进行归类，表可以按照风险等级对安全漏洞进行归类，表7-1，7-2，7-3对漏洞分类方法进行

4、了描述对漏洞分类方法进行了描述。返回本章首页返回本章首页表表7-1 漏洞威胁等级分类漏洞威胁等级分类严严 重重 度度等级等级影响度影响度低严重度:漏洞难以利用，并且潜在的损失较少。1低影响度:漏洞的影响较低，不会产生连带的其他安全漏洞。中等严重度:漏洞难以利用，但是潜在的损失较大，或者漏洞易于利用，但是潜在的损失较少。2中等影响度:漏洞可能影响系统的一个或多个模块，该漏洞的利用可能会导致其他漏洞可利用。高严重度:漏洞易于利用，并且潜在的损失较大。3高影响度:漏洞影响系统的大部分模块，并且该漏洞的利用显著增加其他漏洞的可利用性。第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 返回本章

5、首页返回本章首页表表7-2 漏洞威胁综合等级分类漏洞威胁综合等级分类严重等级影响等级123112322343345第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 表表7-3 漏洞威胁等级分类描述漏洞威胁等级分类描述等级描 述1低影响度，低严重度2低影响度，中等严重度；中等影响度，低严重度3低影响度，高严重度；高影响度，低严重度；中等影响度，中等严重度4中等影响度，高严重度；高影响度，中等严重度5高影响度，高严重度第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 2.网络安全漏洞的分类方法网络安全漏洞的分类方法按漏洞可能对系统造成的直接威胁分类按漏洞可能对系统造成的直接威胁

6、分类按漏洞的成因分类按漏洞的成因分类返回本章首页返回本章首页第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 （1）按漏洞可能对系统造成的直接威胁分类）按漏洞可能对系统造成的直接威胁分类 可以将漏洞分为：可以将漏洞分为：远程管理员权限；本地管理员权限；普通远程管理员权限；本地管理员权限；普通用户访问权限；权限提升；读取受限文件；用户访问权限；权限提升；读取受限文件；远程拒绝服务；本地拒绝服务；远程非授权远程拒绝服务；本地拒绝服务；远程非授权文件存取；口令恢复；欺骗；服务器信息泄文件存取；口令恢复；欺骗；服务器信息泄露；其它漏洞。露；其它漏洞。返回本章首页返回本章首页第七章第七章 网络

7、安全检测与评估技术网络安全检测与评估技术 （2）按漏洞的成因分类）按漏洞的成因分类 可以分为：可以分为：输入验证错误类；访问验证错误类；竞争条输入验证错误类；访问验证错误类；竞争条件类；意外情况处置错误类；设计错误类；配件类；意外情况处置错误类；设计错误类；配置错误类；环境错误类。置错误类；环境错误类。返回本章首页返回本章首页第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 7.2 网络安全漏洞检测技术网络安全漏洞检测技术 网络安全漏洞检测主要包括网络安全漏洞检测主要包括端口扫描端口扫描、操操作系统探测作系统探测和和安全漏洞探测安全漏洞探测。通过端口扫描可以掌握系统都开放了哪些通过端

8、口扫描可以掌握系统都开放了哪些端口、提供了哪些网络服务；端口、提供了哪些网络服务；通过操作系统探测可以掌握操作系统的类通过操作系统探测可以掌握操作系统的类型信息；型信息；通过安全漏洞探测可以发现系统中可能存通过安全漏洞探测可以发现系统中可能存在的安全漏洞。在的安全漏洞。返回本章首页返回本章首页第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 1.端口扫描技术端口扫描技术 端口扫描的原理是端口扫描的原理是向目标主机的向目标主机的TCP/IP端口发送探测数据包，并记录目标主机的响应。端口发送探测数据包，并记录目标主机的响应。通过分析响应来判断端口是打开还是关闭等状通过分析响应来判断端口是

9、打开还是关闭等状态信息。态信息。端口扫描技术分为：端口扫描技术分为：uTCP端口扫描技术端口扫描技术uUDP端口扫描技术端口扫描技术返回本章首页返回本章首页第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 （1）TCP端口扫描技术端口扫描技术 TCP端口扫描技术主要有全连接扫描技术、端口扫描技术主要有全连接扫描技术、半连接（半连接（SYN）扫描技术、间接扫描技术和秘）扫描技术、间接扫描技术和秘密扫描技术等。密扫描技术等。u全连接扫描技术全连接扫描技术全连接扫描的工作方式是：对目标主机上感兴全连接扫描的工作方式是：对目标主机上感兴趣的端口进行趣的端口进行connect()连接试探，如果

10、该端连接试探，如果该端口被监听，则连接成功，否则表示该端口未开口被监听，则连接成功，否则表示该端口未开放或无法到达。放或无法到达。返回本章首页返回本章首页第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 全连接扫描的最大优点是全连接扫描的最大优点是用户无须特殊权限，用户无须特殊权限，且探测结果最为准确且探测结果最为准确。缺点是。缺点是很容易被目标主很容易被目标主机察觉并记录下来机察觉并记录下来。u半连接（半连接（SYN）端口扫描技术）端口扫描技术半连接端口扫描不建立完整的半连接端口扫描不建立完整的TCP连接，而是连接，而是只发送一个只发送一个SYN信息包，就如同正在打开一个信息包，就

11、如同正在打开一个真正的真正的TCP连接，并等待对方的回应一样。连接，并等待对方的回应一样。返回本章首页返回本章首页第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 半连接扫描的优点半连接扫描的优点在于即使日志中对扫描有所在于即使日志中对扫描有所记录，但是尝试进行连接的记录也要比全连接记录，但是尝试进行连接的记录也要比全连接扫描要少得多扫描要少得多。缺点是在大部分操作系统下，发送主机需要构缺点是在大部分操作系统下，发送主机需要构造适用于这种扫描的造适用于这种扫描的IP包，通常情况下，包，通常情况下，构造构造SYN数据包需要超级用户或者授权用户访问专数据包需要超级用户或者授权用户访问专门

12、的系统调用门的系统调用。返回本章首页返回本章首页第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 （2）UDP端口扫描技术端口扫描技术 UDP端口扫描主要用来确定在目标主机上端口扫描主要用来确定在目标主机上有哪些有哪些UDP端口是开放的。其实现思想是发送端口是开放的。其实现思想是发送零字节的零字节的UDP信息包到目标机器的各个端口，信息包到目标机器的各个端口，若收到一个若收到一个ICMP端口不可达的回应，则表示端口不可达的回应，则表示该该UDP端口是关闭的，否则该端口就是开放的。端口是关闭的，否则该端口就是开放的。返回本章首页返回本章首页第七章第七章 网络安全检测与评估技术网络安全检

13、测与评估技术 2.操作系统探测技术操作系统探测技术由于操作系统的漏洞信息总是与操作系统的类由于操作系统的漏洞信息总是与操作系统的类型和版本相联系的，因此操作系统的类型信息型和版本相联系的，因此操作系统的类型信息是网络安全检测的一个重要内容。是网络安全检测的一个重要内容。操作系统探测技术主要包括：操作系统探测技术主要包括：u获取标识信息探测技术获取标识信息探测技术u基于基于TCP/IP协议栈的指纹探测技术协议栈的指纹探测技术u基于基于ICMP响应分析探测技术响应分析探测技术返回本章首页返回本章首页第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 （1）获取标识信息探测技术）获取标识信息

14、探测技术 获取标识信息探测技术主要是指借助操作获取标识信息探测技术主要是指借助操作系统本身提供的命令和程序进行操作系统类型系统本身提供的命令和程序进行操作系统类型探测的技术。探测的技术。通常，可以利用通常，可以利用telnet这个简单命令得到这个简单命令得到主机操作系统的类型。主机操作系统的类型。返回本章首页返回本章首页第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 （2）基于）基于TCP/IP协议栈的指纹探测技术协议栈的指纹探测技术 指纹探测实现依据是不同类型、不同版本指纹探测实现依据是不同类型、不同版本的操作系统在协议栈实现上存在细微差别。的操作系统在协议栈实现上存在细微差别。

15、操作系统指纹探测步骤为：操作系统指纹探测步骤为：u形成一个全面的操作系统指纹特征库；形成一个全面的操作系统指纹特征库；u向目标发送多种特意构造的信息包，检测其向目标发送多种特意构造的信息包，检测其是否响应这些信息包以及其响应方式；是否响应这些信息包以及其响应方式；u把从目标返回的特征信息与指纹特征库进行把从目标返回的特征信息与指纹特征库进行匹配，判断目标机器的操作系统类型等信息。匹配，判断目标机器的操作系统类型等信息。返回本章首页返回本章首页第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 （3）基于）基于ICMP响应分析探测技术响应分析探测技术 ICMP响应分析探测技术是一种较新的

16、操响应分析探测技术是一种较新的操作系统探测技术。该技术通过发送作系统探测技术。该技术通过发送UDP或或ICMP的请求报文，然后分析各种的请求报文，然后分析各种ICMP应答信应答信息来判断操作系统的类型及其版本信息。息来判断操作系统的类型及其版本信息。本质也是一种基于本质也是一种基于TCP/IP协议栈的操作协议栈的操作系统指纹探测技术。系统指纹探测技术。返回本章首页返回本章首页第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 3.安全漏洞探测技术安全漏洞探测技术 安全漏洞探测是采用各种方法对目标可能安全漏洞探测是采用各种方法对目标可能存在的已知安全漏洞进行逐项检查。存在的已知安全漏洞进

17、行逐项检查。按照网络安全漏洞的可利用方式来划分，按照网络安全漏洞的可利用方式来划分，漏洞探测技术可以分为：信息型漏洞探测和攻漏洞探测技术可以分为：信息型漏洞探测和攻击型漏洞探测两种。击型漏洞探测两种。按照漏洞探测的技术特征，可以划分为：按照漏洞探测的技术特征，可以划分为：基于应用的探测技术、基于主机的探测技术、基于应用的探测技术、基于主机的探测技术、基于目标的探测技术和基于网络的探测技术等。基于目标的探测技术和基于网络的探测技术等。返回本章首页返回本章首页第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 （1）信息型漏洞探测技术）信息型漏洞探测技术 信息型漏洞探测技术就是通过探测目标

18、信息型漏洞探测技术就是通过探测目标的型号、运行的操作系统版本及补丁安装情的型号、运行的操作系统版本及补丁安装情况、配置情况、运行服务及其服务程序版本况、配置情况、运行服务及其服务程序版本等信息确定目标存在的安全漏洞的探测技术。等信息确定目标存在的安全漏洞的探测技术。该技术具有实现方便、对目标不产生破该技术具有实现方便、对目标不产生破坏性影响的特点。其不足之处是对于具体某坏性影响的特点。其不足之处是对于具体某个漏洞存在与否，难以做出确定性的结论。个漏洞存在与否，难以做出确定性的结论。返回本章首页返回本章首页第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 为提高信息型漏洞探测技术的准确

19、率和效为提高信息型漏洞探测技术的准确率和效率，许多改进措施也不断地被引入率，许多改进措施也不断地被引入:顺序扫描技术顺序扫描技术多重服务检测技术多重服务检测技术返回本章首页返回本章首页第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 （2）攻击型漏洞探测技术）攻击型漏洞探测技术 模拟攻击是最直接的漏洞探测技术，其探模拟攻击是最直接的漏洞探测技术，其探测结果的准确率也是最高的。测结果的准确率也是最高的。该探测技术的主要思想是模拟网络入侵的该探测技术的主要思想是模拟网络入侵的一般过程，对目标系统进行无恶意攻击尝试，一般过程，对目标系统进行无恶意攻击尝试，若攻击成功则表明相应安全漏洞必然存

20、在。若攻击成功则表明相应安全漏洞必然存在。返回本章首页返回本章首页第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 （3）漏洞探测技术按其技术特征可分为：）漏洞探测技术按其技术特征可分为：基于应用的检测技术基于应用的检测技术 基于主机的检测技术基于主机的检测技术基于目标的漏洞检测技术基于目标的漏洞检测技术基于网络的检测技术基于网络的检测技术返回本章首页返回本章首页第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 7.3 网络安全评估标准网络安全评估标准 1.网络安全评估标准的发展历程网络安全评估标准的发展历程（1）首创而孤立的阶段）首创而孤立的阶段（2）普及而分散的阶段普及

21、而分散的阶段（3）集中统一阶段集中统一阶段 返回本章首页返回本章首页第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 返回本章首页返回本章首页图图7-1 测评标准的发展演变历程测评标准的发展演变历程第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 返回本章首页返回本章首页表表7-7 各标准的等级划分对照表各标准的等级划分对照表CCCCTCSECTCSECFCFCITSECITSECCTCPECCTCPECGB17859-1999GB17859-1999D DE0E0T0T0EAL1EAL1T1T11 1：用户自主保护：用户自主保护EAL2EAL2C1C1E1E1T2T22

22、2：系统审计保护：系统审计保护EAL3EAL3C2C2T1T1E2E2T3T33 3：安全标记保护：安全标记保护EAL4EAL4B1B1T2T2E3E3T4T44 4：结构变化保护：结构变化保护T3T3T4T4EAL5EAL5B2B2T5T5E4E4T5T55 5：访问验证保护：访问验证保护EAL6EAL6B3B3T6T6E5E5T6T6EAL7EAL7A AT7T7E6E6T7T7第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 2.TCSEC、ITSEC和和CC的基本构成的基本构成（1）TCSEC的基本构成的基本构成 TCSEC主要由以下四个方面进行描述：主要由以下四个方面进行描

23、述：安全策略模型（安全策略模型（Security Policy Model）可追究性（可追究性（Accountability）保证（保证（Assurance）文档（文档（Documentation）返回本章首页返回本章首页第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 返回本章首页返回本章首页TCSEC的安全级别的安全级别类别级别名 称主要特征A AA A验证设计形式化的最高级描述和验证形式化的隐蔽通道分析非形式化的代码对应证明B BB3B3安全区域访问控制高抗渗透能力B2B2结构化保护形式化模型/隐通道约束面向安全的体系结构较好的抗渗透能力B1B1标识的安全保护强访问控制安全标识

24、C CC2C2受控制的访问控制单独的可追究性广泛的审计踪迹C1C1自主安全保护自主访问控制D DD D低级保护相当于无安全功能的个人微机TCSECTCSEC根据所采用的安全策略、系统所具备的安全功能根据所采用的安全策略、系统所具备的安全功能将系统分为四类七个安全级别。将系统分为四类七个安全级别。第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 （2）ITSEC的基本构成的基本构成 TSEC也定义了也定义了7个安全级别，即个安全级别，即 E6：形：形式化验证；式化验证；E5：形式化分析；：形式化分析；E4：半形式化：半形式化分析；分析；E3：数字化测试分析；：数字化测试分析；E2：数字

25、化测：数字化测试；试；E1：功能测试；：功能测试；E0：不能充分满足保证。：不能充分满足保证。返回本章首页返回本章首页第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 ITSEC的安全功能分类为：标识与鉴别、的安全功能分类为：标识与鉴别、访问控制、可追究性、审计、客体重用、精确访问控制、可追究性、审计、客体重用、精确性、服务可靠性、数据交换。其保证则分为：性、服务可靠性、数据交换。其保证则分为：有效性（有效性（Effectiveness）和正确性）和正确性（Correctness）。）。返回本章首页返回本章首页第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 （3）CC的基

26、本构成的基本构成 CC分为三部分，相互依存，缺一不可。分为三部分，相互依存，缺一不可。其中第其中第1部分是介绍部分是介绍CC的基本概念和基本原的基本概念和基本原理，第理，第2部分提出了安全功能要求，第部分提出了安全功能要求，第3部分部分提出了非技术的安全保证要求提出了非技术的安全保证要求。返回本章首页返回本章首页第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 CC的功能要求和保证要求均以类的功能要求和保证要求均以类-族族-组件组件的结构表述。的结构表述。功能要求包括功能要求包括11个功能类（安全审计、通个功能类（安全审计、通信、密码支持、用户数据保护、标识和鉴别、信、密码支持、用户

27、数据保护、标识和鉴别、安全管理、隐秘、安全管理、隐秘、TSF保护、资源利用、保护、资源利用、TOE访问、可信路径、信道）访问、可信路径、信道）。保证要求包括保证要求包括7个保证类（配置管理、交个保证类（配置管理、交付和运行、开发、指导性文件、生命周期支持、付和运行、开发、指导性文件、生命周期支持、测试、脆弱性评定）。测试、脆弱性评定）。返回本章首页返回本章首页第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 CC的评估等级共分的评估等级共分7级：级：EAL1到到EAL7，分别为功能测试，结构测试，系统测试和检验，分别为功能测试，结构测试，系统测试和检验，系统设计、测试和评审，半形式化

28、设计和测试，系统设计、测试和评审，半形式化设计和测试，半形式化验证的设计和测试，形式化验证的设半形式化验证的设计和测试，形式化验证的设计和测试。计和测试。返回本章首页返回本章首页第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 返回本章首页返回本章首页CC结构关系图结构关系图 第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 7.4 网络安全评估方法网络安全评估方法 1.基于通用评估方法基于通用评估方法(CEM)的网络安全评估模型的网络安全评估模型 CC作为通用评估准则，本身并不涉及具体的作为通用评估准则，本身并不涉及具体的评估方法，信息技术的评估方法论主要由评估方法，信息

29、技术的评估方法论主要由CEM给给出。出。CEM主要包括评估的一般性原则，主要包括评估的一般性原则，PP评估、评估、ST评估和评估和EAL1EAL4的评估。的评估。CEM与与CC中的中的保证要求相对应。保证要求相对应。返回本章首页返回本章首页第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 CEM由两部分组成：由两部分组成：第一部分为简介与一般模型，包括评估的第一部分为简介与一般模型，包括评估的一般原则、评估过程中的角色、评估全过程概一般原则、评估过程中的角色、评估全过程概况和相关术语解释；况和相关术语解释；第二部分为评估方法，详细介绍适于所有第二部分为评估方法，详细介绍适于所有评估的

30、通用评估任务、评估的通用评估任务、PP评估、评估、ST评估、评估、EALIEAL4评估及评估过程中使用的一般技评估及评估过程中使用的一般技术。术。返回本章首页返回本章首页第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 （1 1）CEMCEM评估一般原则评估一般原则 CEM评估应该遵循适当、公正、客观的原评估应该遵循适当、公正、客观的原则，要求评估结果满足可重复和可再现的特点，则，要求评估结果满足可重复和可再现的特点，且评估结果是可靠的。且评估结果是可靠的。CEM假定代价合理，方法可以不断演进，假定代价合理，方法可以不断演进，评估结果可重用。评估结果可重用。返回本章首页返回本章首页第

31、七章第七章 网络安全检测与评估技术网络安全检测与评估技术 （2 2）CEMCEM评估模型评估模型 CEM评估，都可用下图的模型来表示。评估，都可用下图的模型来表示。返回本章首页返回本章首页第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 （3 3）CEMCEM评估任务评估任务 CEM中所有的评估都具备的评估任务是评中所有的评估都具备的评估任务是评估输入任务和评估输出任务估输入任务和评估输出任务。评估输入任务包括配置控制、证据的保护、评估输入任务包括配置控制、证据的保护、处置和保密四个任务，其中处置和保密四个任务，其中CEM对后两个任务对后两个任务无要求，留给评估体制解决。无要求，留给

32、评估体制解决。评估输出任务包括书写观察报告（评估输出任务包括书写观察报告（OR）和书写评估技术报告（和书写评估技术报告（ETR）两个子任务。）两个子任务。返回本章首页返回本章首页第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 （4 4）CEM评估活动评估活动 任何一个信息技术安全产品或系统（也可任何一个信息技术安全产品或系统（也可以是以是PP）的评估，其核心是评估人员展开的一）的评估，其核心是评估人员展开的一组评估活动。每一项评估活动可进一步细分为组评估活动。每一项评估活动可进一步细分为子活动，子活动又进一步细分为动作，而每一子活动，子活动又进一步细分为动作，而每一个动作又由一个或

33、多个确定的工作单元组成，个动作又由一个或多个确定的工作单元组成，如下图所示：如下图所示：返回本章首页返回本章首页第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 返回本章首页返回本章首页评估活动的分解评估活动的分解第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 （5 5）评估结果）评估结果 评估人员在评估过程中，需要作出不同层评估人员在评估过程中，需要作出不同层次的裁决，评估人员的裁决可以有三种不同的次的裁决，评估人员的裁决可以有三种不同的结果，分别为：不确定、通过或失败。结果，分别为：不确定、通过或失败。返回本章首页返回本章首页第七章第七章 网络安全检测与评估技术网络安

34、全检测与评估技术 2.基于指标分析的网络安全综合评估模型基于指标分析的网络安全综合评估模型（1 1）综合评估概要综合评估概要 为全面了解目标网络系统的安全性能的状为全面了解目标网络系统的安全性能的状况，需要对各个方面的指标或项目进行测试或况，需要对各个方面的指标或项目进行测试或评估，必须将全体评估项目的评估结果进行综评估，必须将全体评估项目的评估结果进行综合，才能得到关于目标网络信息系统的安全性合，才能得到关于目标网络信息系统的安全性能的最终评价。能的最终评价。返回本章首页返回本章首页第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 为完成网络系统安全状况的综合评估，首为完成网络系统

35、安全状况的综合评估，首先要从最低层的项目入手，然后由低到高，确先要从最低层的项目入手，然后由低到高，确定出每个层次项目的评估结果，最后将第一层定出每个层次项目的评估结果，最后将第一层项目的评估结果综合在一起，得出目标网络系项目的评估结果综合在一起，得出目标网络系统安全状况的综合评估结果。统安全状况的综合评估结果。对同一层次上的（局部的）评估项的评估对同一层次上的（局部的）评估项的评估结果的综合，可以有多种方法，如采用加权平结果的综合，可以有多种方法，如采用加权平均，模糊综合评价等。均，模糊综合评价等。返回本章首页返回本章首页第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 （2 2）

36、归一化处理归一化处理 定量指标的归一化定量指标的归一化 对定量指标进行归一化处理方法可分成三对定量指标进行归一化处理方法可分成三类：线段，折线，曲线。使用哪一种方类：线段，折线，曲线。使用哪一种方法做归一化处理取决于具体的测试项的特点，法做归一化处理取决于具体的测试项的特点，适用于某一测试项的归一化方法不一定适用于适用于某一测试项的归一化方法不一定适用于其它项目。其它项目。返回本章首页返回本章首页第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 定性评估项的量化和归一化定性评估项的量化和归一化 定性评估项的结果通常以等级的形式给定性评估项的结果通常以等级的形式给出，如出，如“很差、较

37、差、一般、较好、很好很差、较差、一般、较好、很好”。对于定性评估项的最筒单的定性评估结对于定性评估项的最筒单的定性评估结果，即评估结果为果，即评估结果为“是是”或或“否否”的情况，的情况，量化和归一化可采用直截了当法，即量化和归一化可采用直截了当法，即“是是”指定为指定为“1”，“否否”指定为指定为“0”。返回本章首页返回本章首页第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 当定性指标采用当定性指标采用“很差、较差、一般、较很差、较差、一般、较好、很好好、很好”的方式描述时，可根据它们的次序的方式描述时，可根据它们的次序粗略地分配一个整数来实现结果的量化，如使粗略地分配一个整数来

38、实现结果的量化，如使用用“1、2、3、4、5”与之对应。这些量化后与之对应。这些量化后的结果的结果“1、2、3、4、5”可分别采用可分别采用“0.1、0.3、0.5、0.7、0.9”或或“a、b、c、d、e”作作为它们的归一化值，其中为它们的归一化值，其中0a0.2，0.2b0.4，0.4c0.6，0.6d0.8，0.8e1。返回本章首页返回本章首页第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 （3 3）综合评估方法综合评估方法 所有评估项的评估结果经过综合便可得到所有评估项的评估结果经过综合便可得到对系统的总的评价。对于同一个层次上的评估对系统的总的评价。对于同一个层次上的评估

39、项（指标），综合评估过程是一个从多维空间项（指标），综合评估过程是一个从多维空间到一个线段中的点或评价等级论域中的等级的到一个线段中的点或评价等级论域中的等级的映射过程。映射过程。返回本章首页返回本章首页LIIIfAIIIfnn,:,:2121或第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 如果评估项之间是层次关系，则综合评估如果评估项之间是层次关系，则综合评估过程的任务是将该层次结构中的全部评估项映过程的任务是将该层次结构中的全部评估项映射到上面的线段射到上面的线段A，或等级论域，或等级论域L。即：。即：f：(H)A（或（或f：（：（H）L）其中，其中，H表示评估项之间的层次结

40、构表示评估项之间的层次结构 返回本章首页返回本章首页第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 典型的综合评估方法有：典型的综合评估方法有：加权算数平均加权算数平均加权几何平均加权几何平均混合平均混合平均 返回本章首页返回本章首页第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 在综合评估过程中，对某些评估项来说，在综合评估过程中，对某些评估项来说，使用加权算数平均对其进行综合比较合适，而使用加权算数平均对其进行综合比较合适，而对另一些评估项来说，使用加权几何平均可能对另一些评估项来说，使用加权几何平均可能更好。这种情况是由评估项的固有性质决定的。更好。这种情况是由评

41、估项的固有性质决定的。某一评估项的评估值可能是决定性的，以至于某一评估项的评估值可能是决定性的，以至于基本上主要依靠它作出最终评价，也可能不那基本上主要依靠它作出最终评价，也可能不那么重要。么重要。返回本章首页返回本章首页第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 3.基于模糊评价的网络安全状况评估模型基于模糊评价的网络安全状况评估模型 在评估实践中，经常遇到一些评估项，它在评估实践中，经常遇到一些评估项，它们的评估结果难于以定量的方式表达。模糊们的评估结果难于以定量的方式表达。模糊数学特别适合于用来处理定性的评估项目。数学特别适合于用来处理定性的评估项目。例如：系统评估中的大

42、部分项目基本都是例如：系统评估中的大部分项目基本都是定性的。模糊数学可用来处理这些评估结果，定性的。模糊数学可用来处理这些评估结果，并形成总的评价。并形成总的评价。返回本章首页返回本章首页第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 7.5 网络安全检测评估系统简介网络安全检测评估系统简介 计算机网络信息系统安全检测评估系统的计算机网络信息系统安全检测评估系统的发展非常迅速，现在已经成为计算机网络信息发展非常迅速，现在已经成为计算机网络信息系统安全解决方案的重要组成部分。系统安全解决方案的重要组成部分。我们以我们以Internet Scanner和和Nessus为例为例来介绍网络

43、安全检测评估系统。来介绍网络安全检测评估系统。返回本章首页返回本章首页第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 1.Internet Scanner 7.0简介简介 Internet Scanner是是ISS公司开发的网络公司开发的网络安全评估工具，可以对网络漏洞进行分析和提安全评估工具，可以对网络漏洞进行分析和提供决策支持。供决策支持。Internet Scanner可以对计算机网络信可以对计算机网络信息系统进行全面的检测和评估。息系统进行全面的检测和评估。返回本章首页返回本章首页第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 2.Internet Scanne

44、r的扫描评估过程的扫描评估过程 Internet Scanner 有计划和可选择性地有计划和可选择性地对网络通信服务、操作系统、主要的应用系统对网络通信服务、操作系统、主要的应用系统以及路由器和防火墙等进行探测扫描，查找最以及路由器和防火墙等进行探测扫描，查找最容易被用来攻击的漏洞，探测、调查和模拟攻容易被用来攻击的漏洞，探测、调查和模拟攻击网络。最后击网络。最后Internet Scanner 对漏洞情况对漏洞情况进行分析，同时提供一系列正确的应采取的措进行分析，同时提供一系列正确的应采取的措施，提供趋势分析并产生报告和数据。施，提供趋势分析并产生报告和数据。返回本章首页返回本章首页第七章第

45、七章 网络安全检测与评估技术网络安全检测与评估技术 Internet Scanner的扫描评估过程的扫描评估过程返回本章首页返回本章首页 DMZ Email Email HTTP Internet ScannerInternet Scanner InternetInternet RouterRouter Internet ScannerInternet Scanner 网络结构图网络结构图 内 部 网 Internet Scanner 扫描流向 第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 （1）定义扫描会话（）定义扫描会话（Session）Internet Scanner利用会

46、话（利用会话（Session）来定义哪些设备需要被扫描。创建了某个新的来定义哪些设备需要被扫描。创建了某个新的会话时，其中会包含以下三个属性：会话时，其中会包含以下三个属性：用来定义扫描测试内容的策略（用来定义扫描测试内容的策略（Policy）；）；用来定义扫描范围的用来定义扫描范围的KEY文件；文件；按按IP地址定义的需要被扫描的设备组；地址定义的需要被扫描的设备组；返回本章首页返回本章首页第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 （2）定义扫描策略）定义扫描策略 扫描策略（扫描策略（Policy）是用来定义）是用来定义Internet Scanner扫描系统时利用攻击库里

47、的哪些攻击扫描系统时利用攻击库里的哪些攻击方式来尝试攻击系统。方式来尝试攻击系统。获得策略定义的方法有如下两种：获得策略定义的方法有如下两种：直接利用直接利用Internet Scanner默认设置的策略默认设置的策略定义；定义；点击点击Add Policy按钮来自定义策略。按钮来自定义策略。返回本章首页返回本章首页第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 （3）确定被扫描评估的目标确定被扫描评估的目标 确定被扫描主机的方法有如下三种：确定被扫描主机的方法有如下三种：利用某个已经存在的主机文件。利用某个已经存在的主机文件。利用行输入方式输入某个或多个利用行输入方式输入某个或多

48、个IP地址或网地址或网段来确定扫描的主机。段来确定扫描的主机。ping所有所有key文件定义网段范围的所有文件定义网段范围的所有IP地地址，只要是可以址，只要是可以ping通的设备均会被扫描。通的设备均会被扫描。返回本章首页返回本章首页第七章第七章 网络安全检测与评估技术网络安全检测与评估技术 （4 4）生成报告生成报告 Internet Scanner 提供多种类型的报告，提供多种类型的报告，报告的格式也有多种可选。报告的格式也有多种可选。行政管理人员报告行政管理人员报告 技术管理人员报告技术管理人员报告 技术人员报告技术人员报告 用户定制报告用户定制报告 返回本章首页返回本章首页第七章第七

49、章 网络安全检测与评估技术网络安全检测与评估技术 3.Nessus简介简介 Nessus是一套非常简单易用且功能强大是一套非常简单易用且功能强大的网络安全检测工具。的网络安全检测工具。Nessus 的主要特色包的主要特色包括：括：uClient/Server 架构架构u采用采用 plug-in 技术技术u调用外部程序增强测试能力调用外部程序增强测试能力 Nessus 3和和Nessus 2.x两者在操作使用两者在操作使用方面的区别并不明显，因此下面我们将以方面的区别并不明显，因此下面我们将以Nessus 2.x为对象来介绍。为对象来介绍。返回本章首页返回本章首页第七章第七章 网络安全检测与评估

50、技术网络安全检测与评估技术 4.Nessus安装安装 Nessus安装一般包括：服务端安装、服务安装一般包括：服务端安装、服务端配置、漏洞库插件升级、客户端安装等步骤。端配置、漏洞库插件升级、客户端安装等步骤。在安装之前，推荐先安装最新版本的在安装之前，推荐先安装最新版本的NMAP、Hydra、Nikto。Nessus 安装的时安装的时候会自动识别这些已安装的外部程序，并集成候会自动识别这些已安装的外部程序，并集成这些程序来增强这些程序来增强Nessus 的功能。的功能。服务器推荐在服务器推荐在Linux平台下安装，客户端平台下安装，客户端推荐使用推荐使用NessusWX。返回本章首页返回本章