網(wǎng)絡(luò)安全漏洞評(píng)估精品(七篇)

序論：寫作是一種深度的自我表達(dá)。它要求我們深入探索自己的思想和情感，挖掘那些隱藏在內(nèi)心深處的真相，好投稿為您帶來了七篇網(wǎng)絡(luò)安全漏洞評(píng)估范文，愿它們成為您寫作過程中的靈感催化劑，助力您的創(chuàng)作。

篇(1)

關(guān)鍵詞： 計(jì)算機(jī)網(wǎng)絡(luò)；安全漏洞檢測；攻擊圖構(gòu)建；計(jì)算機(jī)技術(shù)

中圖分類號(hào)：TP393 文獻(xiàn)標(biāo)識(shí)碼：A 文章編號(hào)：1006-4311（2014）05-0189-02

0 引言

當(dāng)今計(jì)算機(jī)網(wǎng)絡(luò)已經(jīng)完全普及，幾乎在每個(gè)角落，人們都能夠享受到網(wǎng)絡(luò)所帶來的便利，但也因其安全問題產(chǎn)生困擾。特別是在我國，計(jì)算機(jī)的主流操作系統(tǒng)并不能進(jìn)行安全檢測驗(yàn)證，所使用的計(jì)算機(jī)網(wǎng)絡(luò)通信協(xié)議也幾乎全是國外開發(fā)的產(chǎn)品，可靠性得不到很好的保證，安全漏洞隱患問題非常突出。因此，進(jìn)行計(jì)算機(jī)網(wǎng)絡(luò)安全漏洞的檢測，是當(dāng)今保護(hù)人們的計(jì)算機(jī)信息安全的主要途徑。

1 計(jì)算機(jī)網(wǎng)絡(luò)安全漏洞檢測的主要方法

1.1 配置文件的安全漏洞檢測方法 配置文件太復(fù)雜，或采取了缺省值，是造成系統(tǒng)存在漏洞的主要原因。系統(tǒng)的運(yùn)行環(huán)境不安全，有絕大部分的原因都是配置文件所造成的。進(jìn)行配置文件的檢測，可以讀取系統(tǒng)配置信息，并解釋配置信息可能帶來的系統(tǒng)漏洞現(xiàn)象，讓用戶在系統(tǒng)發(fā)生配置錯(cuò)誤，導(dǎo)致系統(tǒng)出錯(cuò)或者影響了系統(tǒng)的性能表現(xiàn)時(shí)，能夠及時(shí)發(fā)現(xiàn)漏洞和降低系統(tǒng)安全性的一些錯(cuò)誤配置并加以糾正。

1.2 文件內(nèi)容以及保護(hù)機(jī)制的安全漏洞檢測 系統(tǒng)中的命令文件以及系統(tǒng)工具是整個(gè)系統(tǒng)正常運(yùn)行的關(guān)鍵，同樣也是許多木馬最容易入侵的地方。當(dāng)木馬入侵了命令文件之后，會(huì)對(duì)文件內(nèi)容進(jìn)行篡改，從而影響了整個(gè)系統(tǒng)的正常運(yùn)行。通常為了防止木馬對(duì)系統(tǒng)中命令文件的篡改，需要對(duì)文件保護(hù)機(jī)制中薄弱的地方進(jìn)行檢測，對(duì)保護(hù)機(jī)制中存在的漏洞進(jìn)行及時(shí)的處理，保證擁有權(quán)限的用戶才能夠更改命令文件的內(nèi)容。比如對(duì)命令文件進(jìn)行訪問控制設(shè)置方面的檢測，就是進(jìn)行文件內(nèi)容以及保護(hù)機(jī)制的安全漏洞檢測最為基礎(chǔ)的一步。

1.3 錯(cuò)誤修正檢測方法 當(dāng)操作系統(tǒng)發(fā)生錯(cuò)誤時(shí)，一些擅闖系統(tǒng)權(quán)限的外界攻擊就會(huì)乘虛而入，造成嚴(yán)重的計(jì)算機(jī)信息安全問題。在一般情況下，用戶可以通過安裝修正錯(cuò)誤的補(bǔ)丁程序來達(dá)到防止攻擊的目的，但很多用戶通常并不會(huì)在第一時(shí)間安裝補(bǔ)丁程序，就使得外界攻擊侵入系統(tǒng)。而通過錯(cuò)誤修正檢測，則可以較好地解決系統(tǒng)中因發(fā)生錯(cuò)誤而存在的漏洞問題。進(jìn)行錯(cuò)誤修正檢測，可以直接通過計(jì)算機(jī)檢驗(yàn)程序來自動(dòng)完成，檢測效率非常高。通常錯(cuò)誤修正檢測可以分為兩種類型，一種稱之為主動(dòng)型檢測，找出系統(tǒng)中存在的錯(cuò)誤，并對(duì)系統(tǒng)漏洞做出一定的應(yīng)對(duì)措施；另一種稱之為被動(dòng)型檢測，這種檢測主要發(fā)生在安裝糾錯(cuò)補(bǔ)丁程序時(shí)，作為判斷補(bǔ)丁程序是否安裝到位的一項(xiàng)依據(jù)。

1.4 差別檢測方法 差別檢測在系統(tǒng)中具有非常重要的作用，但也具有非常鮮明的特點(diǎn)。和其他檢測方法不同，差別檢測是一種被動(dòng)型的檢測方法，對(duì)系統(tǒng)中的命令文件與工具起著監(jiān)控保護(hù)的作用。這種檢測方法一方面不能對(duì)外界攻擊進(jìn)行阻止，另一方面也不能對(duì)已經(jīng)被修改的程序進(jìn)行修正，但卻能夠非常準(zhǔn)確地反映出程序是否發(fā)生了改變，對(duì)于判斷系統(tǒng)是否受到攻擊非常有效。為了增加檢測的準(zhǔn)確度，可以將差別檢測相關(guān)的文件通過存放在脫離網(wǎng)絡(luò)的硬盤中，或者對(duì)其進(jìn)行加密處理，代表性的文件包括校驗(yàn)方法與結(jié)果等。

另外，在當(dāng)今的計(jì)算機(jī)系統(tǒng)中，漏洞掃描技術(shù)得到了較為廣泛的應(yīng)用。該技術(shù)通過對(duì)計(jì)算機(jī)中每一個(gè)部分的掃描，來達(dá)到及時(shí)發(fā)現(xiàn)漏洞，并修補(bǔ)漏洞的目的。目前進(jìn)行漏洞掃描主要包括了兩種類型，一類是以計(jì)算機(jī)主機(jī)為基礎(chǔ)進(jìn)行掃描，另一類是以計(jì)算機(jī)網(wǎng)絡(luò)為基礎(chǔ)進(jìn)行掃描，用戶可以根據(jù)自身的需求以及計(jì)算機(jī)使用的實(shí)際情況來選擇不同的漏洞掃描方式。

2 攻擊圖構(gòu)建的分析

攻擊圖的構(gòu)建主要為了根據(jù)攻擊圖進(jìn)行分析，判斷目標(biāo)網(wǎng)絡(luò)所面臨的主要安全問題，從而分析計(jì)算網(wǎng)絡(luò)中存在的主要安全漏洞，并對(duì)網(wǎng)絡(luò)的安全采取一定的彌補(bǔ)措施。目前的攻擊圖種類非常多樣，不同類型攻擊圖所具有的分析攻擊行為的能力也有所不同。比如在一次對(duì)計(jì)算機(jī)網(wǎng)絡(luò)的攻擊行為中，可將攻擊行為用具體的邏輯攻擊圖表示出來。邏輯攻擊圖包括了推導(dǎo)規(guī)則、推導(dǎo)事實(shí)、以及原始事實(shí)三個(gè)類型的節(jié)點(diǎn)。由原始事實(shí)，經(jīng)過推導(dǎo)規(guī)則，可以產(chǎn)生推導(dǎo)事實(shí)，由產(chǎn)生的推導(dǎo)事實(shí)，經(jīng)過推導(dǎo)規(guī)則，又可以產(chǎn)生新的推導(dǎo)規(guī)則，并進(jìn)而產(chǎn)生一系列的連鎖改變。具體的攻擊行為可以表示為如圖1所示的圖形。

在圖1中，空心圓代表推導(dǎo)事實(shí)的節(jié)點(diǎn)，實(shí)心圓代表原始事實(shí)的節(jié)點(diǎn)，方框表示推導(dǎo)規(guī)則的節(jié)點(diǎn)。在整個(gè)邏輯攻擊圖中，推導(dǎo)規(guī)則其實(shí)也就是原子攻擊工具。該圖能夠非常具體地表示出各個(gè)原子攻擊之間的依賴關(guān)系，但卻不是非常直觀明了，不便于對(duì)攻擊行為進(jìn)行形象的理解。因此，業(yè)界又研發(fā)了狀態(tài)攻擊圖、屬性攻擊圖、滲透依賴攻擊圖、屬性依賴攻擊圖、聚合攻擊圖等多個(gè)不同的攻擊圖。其中，最具代表性的是聚合攻擊圖（如圖2所示）。這種攻擊圖構(gòu)建方法的核心思想是提出多個(gè)聚合規(guī)則，對(duì)攻擊圖用不同的粒度進(jìn)行抽象的聚合與展示。

通過構(gòu)建攻擊圖，一方面可以對(duì)網(wǎng)絡(luò)安全的定量評(píng)估提供依據(jù)，另一方面，也可以應(yīng)用于網(wǎng)絡(luò)安全問題的優(yōu)化措施中，使網(wǎng)絡(luò)系統(tǒng)的抗攻擊能力得到改善。另外，構(gòu)建攻擊圖還可以對(duì)網(wǎng)絡(luò)入侵進(jìn)行及時(shí)的預(yù)警，避免系統(tǒng)受到嚴(yán)重的篡改。

3 結(jié)束語

安全漏洞檢測是防范計(jì)算機(jī)網(wǎng)絡(luò)風(fēng)險(xiǎn)的一項(xiàng)有效策略。目前除了一般的計(jì)算網(wǎng)絡(luò)安全漏洞檢測方法之外，構(gòu)建網(wǎng)絡(luò)攻擊圖對(duì)于分析網(wǎng)絡(luò)漏洞也具有非常重要的意義，網(wǎng)絡(luò)攻擊圖能夠更加清晰地表現(xiàn)復(fù)雜的攻擊行為。另外，人們在充分享受著計(jì)算機(jī)網(wǎng)絡(luò)所帶來的便利的同時(shí)，也應(yīng)該注意進(jìn)行網(wǎng)絡(luò)安全的保護(hù)，才能夠使自身的利益不受到侵犯。

參考文獻(xiàn)：

[1]吳金宇.網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估關(guān)鍵技術(shù)研究[D].北京郵電大學(xué)，2013.

篇(2)

根據(jù)國內(nèi)一些網(wǎng)絡(luò)安全研究機(jī)構(gòu)的資料，國內(nèi)大部分的ISP、ICP、IT 公司、政府、教育和科研機(jī)構(gòu)等都沒有精力對(duì)網(wǎng)絡(luò)安全進(jìn)行必要的人力和物力投入；很多重要站點(diǎn)的管理員都是Internet 的新手，一些操作系統(tǒng)如UNIX，在那些有經(jīng)驗(yàn)的系統(tǒng)管理員的配置下尚且有缺陷，在這些新手的操作中更是漏洞百出。很多服務(wù)器至少有三種以上的漏洞可以使入侵者獲取系統(tǒng)的最高控制權(quán)。

為了使廣大用戶對(duì)自己的網(wǎng)絡(luò)系統(tǒng)安全現(xiàn)狀有一個(gè)清醒的認(rèn)識(shí)，同時(shí)提高對(duì)信息安全概念的了解和認(rèn)識(shí)，強(qiáng)化網(wǎng)絡(luò)系統(tǒng)安全性能，首創(chuàng)網(wǎng)絡(luò)近日向用戶推出免費(fèi)安全掃描服務(wù)活動(dòng)。

評(píng)估主機(jī)范圍

Capitalnet技術(shù)支持中心在開展此次活動(dòng)之前得到了客戶的書面授權(quán)。活動(dòng)中，根據(jù)客戶提供的IP地址，并按照客戶指定的時(shí)間，對(duì)包括網(wǎng)絡(luò)設(shè)備和應(yīng)用服務(wù)器等在內(nèi)的主機(jī)系統(tǒng)進(jìn)行安全評(píng)估。

評(píng)估時(shí)間和方式

此次活動(dòng)持續(xù)兩個(gè)月時(shí)間，由7月1日開始，到8月31日結(jié)束。在活動(dòng)期間，首創(chuàng)網(wǎng)絡(luò)技術(shù)支持中心安全產(chǎn)品組的專家們在與用戶達(dá)成共識(shí)的前提下，利用專業(yè)的安全評(píng)估工具，對(duì)客戶網(wǎng)絡(luò)信息系統(tǒng)中的重點(diǎn)環(huán)節(jié)進(jìn)行了全方位的安全掃描，并根據(jù)掃描結(jié)果產(chǎn)生了安全評(píng)估報(bào)告，提交給客戶。客戶可以根據(jù)這一安全評(píng)估報(bào)告充分了解自己信息系統(tǒng)的安全情況，進(jìn)而采取相應(yīng)的安全應(yīng)對(duì)措施，從而提高網(wǎng)絡(luò)系統(tǒng)安全性。

評(píng)估單位分布

此次評(píng)估活動(dòng)共收到IP地址93個(gè)，分別來自不同行業(yè)的34家單位。這些單位分別屬于多種行業(yè)部門。

評(píng)估主機(jī)分類

93個(gè)IP地址基本代表93臺(tái)主機(jī)，分別為各個(gè)單位提供不同的信息化應(yīng)用。如：WEB、Datebase、Mail等常見應(yīng)用和防火墻等特殊應(yīng)用。

評(píng)估漏洞分布

在93臺(tái)主機(jī)提供的各種信息應(yīng)用中，都存在這樣或那樣的漏洞，此次評(píng)估都漏洞的風(fēng)險(xiǎn)分為三種：高風(fēng)險(xiǎn)漏洞、中風(fēng)險(xiǎn)漏洞、低風(fēng)險(xiǎn)漏洞。

參照標(biāo)準(zhǔn)為：

  高風(fēng)險(xiǎn)漏洞代表該漏洞可以使攻擊者可以得到該主機(jī)的最高權(quán)限或中斷網(wǎng)絡(luò)服務(wù)；

  中風(fēng)險(xiǎn)漏洞代表該漏洞可以獲取主機(jī)信息，有助于攻擊者進(jìn)一步攻擊，或存在潛在致命漏洞；

  低風(fēng)險(xiǎn)漏洞代表該漏洞會(huì)間接影響系統(tǒng)服務(wù)的正常運(yùn)行。

評(píng)估漏洞類型

本次掃描活動(dòng)主要采用了三星信息安全公司的安全評(píng)估工具SecuiScan，但為了真實(shí)反映客戶的漏洞存在情況，也結(jié)合了其它著名的安全評(píng)估工具，為俄羅斯著名安全評(píng)估軟件Shadow Security Scanner和著名的自由軟件Nessus。在工具評(píng)估后，根據(jù)提供的分析報(bào)告來人工檢查證實(shí)漏洞的真實(shí)性，并在不破壞客戶主機(jī)正常運(yùn)行的情況下得出令客戶信服的評(píng)估結(jié)果。

評(píng)估發(fā)現(xiàn)，很多存在漏洞的主機(jī)都是一些常見的配置錯(cuò)誤和已經(jīng)公布的漏洞，而且針對(duì)這些漏洞的攻擊工具很容易被惡意的攻擊者獲取。這些漏洞分布如下圖：

評(píng)估漏洞說明

1.   弱口令攻擊：不少網(wǎng)站的管理員賬號(hào)密碼、ftp 賬號(hào)密碼、Sql 賬號(hào)密碼等都使用很簡單的或是很容易猜測到的字母或數(shù)字，利用現(xiàn)有的家用PIII 機(jī)器配合編寫恰當(dāng)?shù)钠平廛浖阋栽诙虝r(shí)間內(nèi)輕松破解，一旦口令被破解，網(wǎng)站就意味著被攻破。

2.    Unicode 編碼漏洞攻擊：對(duì)于Windows NT4.0 和Windows 2000 來說都存在有該漏洞，利用該漏洞遠(yuǎn)程用戶可以在服務(wù)器上以匿名賬號(hào)來執(zhí)行程序或命令，從而輕易就可達(dá)到遍歷硬盤、刪除文件、更換主頁和提升權(quán)限等目的，實(shí)施方法簡單，僅僅擁有一個(gè)瀏覽器就可實(shí)施。

3.    ASP 源碼泄漏和MS SQL Server 攻擊：通過向web 服務(wù)器請求精心構(gòu)造的特殊的url 就可以看到不應(yīng)該看到的asp 程序的全部或部分源代碼，進(jìn)而取得諸如MS SQL Server 的管理員sa 的密碼，再利用存儲(chǔ)過程xp_cmdshell 就可遠(yuǎn)程以SYSTEM 賬號(hào)在服務(wù)器上任意執(zhí)行程序或命令，事實(shí)上，MS SQL Server 默認(rèn)安裝的管理員sa 的密碼為空，并且大多數(shù)系統(tǒng)管理員的確沒有重新設(shè)定為新的復(fù)雜密碼，這直接就留下了嚴(yán)重的安全隱患。

4.    IIS 緩沖溢出攻擊：對(duì)于IIS4.0 和IIS5.0 來說都存在有嚴(yán)重的緩沖溢出漏洞，利用該漏洞遠(yuǎn)程用戶可以以具有管理員權(quán)限的SYSTEM 賬號(hào)在服務(wù)器上任意執(zhí)行程序或命令，極具危險(xiǎn)性。實(shí)施較為復(fù)雜，但是可以獲得這種攻擊的傻瓜攻擊軟件。這種攻擊主要存在于Windows NT 和2000 系統(tǒng)中。

5.    BIND 緩沖溢出攻擊：在最新版本的Bind 以前的版本中都存在有嚴(yán)重的緩沖溢出漏洞，可以導(dǎo)致遠(yuǎn)程用戶直接以root 權(quán)限在服務(wù)器上執(zhí)行程序或命令，極具危險(xiǎn)性。但由于操作和實(shí)施較為復(fù)雜，一般也為黑客高手所用。這種攻擊主要存在于Linux、BSDI 和Solaris 等系統(tǒng)中。

6.    其他攻擊手法：還有利用Send- mail、Local Printer、CGI、Virus、Trojan、DOS、DDOS 等漏洞攻擊的手段，但在這次評(píng)估活動(dòng)中表現(xiàn)的不是非常明顯。

整體安全評(píng)估報(bào)告

主機(jī)系統(tǒng)的安全評(píng)估主要在于分析主機(jī)系統(tǒng)存在的安全弱點(diǎn)和確定可能存在的威脅和風(fēng)險(xiǎn)，并且針對(duì)這些弱點(diǎn)、威脅和風(fēng)險(xiǎn)提出解決方案。

主機(jī)存在安全弱點(diǎn)

安全弱點(diǎn)和信息資產(chǎn)緊密相連，它可能被威脅利用、引起資產(chǎn)損失或傷害。但是，安全弱點(diǎn)本身不會(huì)造成損失，它只是一種條件或環(huán)境、可能導(dǎo)致被威脅利用而造成資產(chǎn)損失。安全弱點(diǎn)的出現(xiàn)有各種原因，例如可能是軟件開發(fā)過程中的質(zhì)量問題，也可能是系統(tǒng)管理員配置方面的，也可能是管理方面的。但是，它們的共同特性就是給攻擊者提供了對(duì)主機(jī)系統(tǒng)或者其他信息系統(tǒng)進(jìn)行攻擊的機(jī)會(huì)。

經(jīng)過對(duì)這些主機(jī)系統(tǒng)和防火墻的掃描記錄分析，我們發(fā)現(xiàn)目前該網(wǎng)絡(luò)中的主機(jī)系統(tǒng)主要弱點(diǎn)集中在以下幾個(gè)方面：

1 ．系統(tǒng)自身存在的弱點(diǎn)

對(duì)于商業(yè)UNIX 系統(tǒng)的補(bǔ)丁更新不及時(shí)，沒有安全配置過，系統(tǒng)還是運(yùn)行在默認(rèn)的安裝狀態(tài)非常危險(xiǎn)。對(duì)NT/2000 的服務(wù)器系統(tǒng)，雖然補(bǔ)丁更新的比及時(shí)，但是配置上存在很大安全隱患，用戶的密碼口令的強(qiáng)度非常低很多還在使用默認(rèn)的弱口令，網(wǎng)絡(luò)攻擊者可以非常輕易的接管整個(gè)服務(wù)器。另外存在IPC＄這樣的匿名共享會(huì)泄露很多服務(wù)器的敏感信息。

2 ．系統(tǒng)管理存在的弱點(diǎn)

在系統(tǒng)管理上缺乏統(tǒng)一的管理策略，比如缺乏對(duì)用戶輪廓文件（Profile ）的支持。在系統(tǒng)中存在空口令的Guest 組的用戶，這些用戶有的是系統(tǒng)默認(rèn)的Guest用戶，有的是IIS 和SQL 服務(wù)器的默認(rèn)安裝用戶。這些用戶有些是被系統(tǒng)禁用的，如Guest ，有些則沒有，沒有被禁用的這些賬號(hào)可能被利用進(jìn)入系統(tǒng)。

3 ．?dāng)?shù)據(jù)庫系統(tǒng)的弱點(diǎn)

數(shù)據(jù)庫系統(tǒng)的用戶權(quán)限和執(zhí)行外部系統(tǒng)指令是該系統(tǒng)最大的安全弱點(diǎn)，由于未對(duì)數(shù)據(jù)庫做明顯的安全措施，望進(jìn)一步對(duì)數(shù)據(jù)庫做最新的升級(jí)補(bǔ)丁。

4 ．來自周邊機(jī)器的威脅

手工測試發(fā)現(xiàn)部分周邊機(jī)器明顯存在嚴(yán)重安全漏洞，來自周邊機(jī)器的安全弱點(diǎn)（比如可能使用同樣的密碼等等）可能是影響網(wǎng)絡(luò)的最大威脅。

主機(jī)存在的威脅和風(fēng)險(xiǎn)

安全威脅是一種對(duì)系統(tǒng)、組織及其資產(chǎn)構(gòu)成潛在破壞能力的可能性因素或者事件。產(chǎn)生安全威脅的主要因素可以分為人為因素和環(huán)境因素。人為因素包括有意的和無意的因素。環(huán)境因素包括自然界的不可抗力因素和其它物理因素。威脅可能源于對(duì)企業(yè)信息直接或間接的攻擊，例如非授權(quán)的泄露、篡改、刪除等，在機(jī)密性、完整性或可用性等方面造成損害。威脅也可能源于偶發(fā)的、或蓄意的事件。一般來說，威脅總是要利用企業(yè)網(wǎng)絡(luò)中的系統(tǒng)、應(yīng)用或服務(wù)的弱點(diǎn)才可能成功地對(duì)資產(chǎn)造成傷害。因此威脅分析是圍繞信息系統(tǒng)的可用性、保密性、完整性、可控性、可審查性、抗抵賴性進(jìn)行的。

安全風(fēng)險(xiǎn)則是一種可能性，是指某個(gè)威脅利用弱點(diǎn)引起某項(xiàng)信息資產(chǎn)或一組信息資產(chǎn)的損害，從而直接地或間接地引起企業(yè)或機(jī)構(gòu)的損害的可能性。

在這次評(píng)估中，主機(jī)系統(tǒng)存在的威脅和及其產(chǎn)生的安全風(fēng)險(xiǎn)主要有以下幾個(gè)方面：

1.  針對(duì)主機(jī)的攻擊威脅

包括針對(duì)Windows NT 系統(tǒng)及其開放的系統(tǒng)服務(wù)的安全弱點(diǎn)攻擊威脅，攻擊者可能由此獲取系統(tǒng)的信息資源或者對(duì)系統(tǒng)信息進(jìn)行破壞。

2.  針對(duì)數(shù)據(jù)庫的攻擊威脅

包括在對(duì)數(shù)據(jù)庫系統(tǒng)的攻擊行為，包括非法獲取、篡改、刪除數(shù)據(jù)庫信息資源和進(jìn)行其他形式的服務(wù)攻擊。

3.   管理不當(dāng)所引起的安全威脅

包括由于用戶管理策略不當(dāng)使得攻擊者可能獲取某一級(jí)別的用戶的訪問權(quán)限，并由此提升用戶權(quán)限，造成用戶權(quán)限的濫用和信息資源的泄漏、損毀等；由于采用遠(yuǎn)程管理而引發(fā)的威脅；缺乏足夠的安全審計(jì)致使對(duì)安全事件不敏感，無法發(fā)現(xiàn)攻擊行為等。

4.  配置不當(dāng)所引起的安全威脅

包括在主機(jī)系統(tǒng)上開放了未做安全防范的服務(wù)如IPC＄共享所造成的安全威脅等。

網(wǎng)絡(luò)安全建議

建議把提供網(wǎng)絡(luò)服務(wù)的程序升級(jí)到最新版本，關(guān)注網(wǎng)絡(luò)安全通告，或由首創(chuàng)為客戶提供全面、周到、專業(yè)的網(wǎng)絡(luò)安全服務(wù)。

總  結(jié)

此次活動(dòng)歷時(shí)兩個(gè)月時(shí)間，為34家客戶的93臺(tái)主機(jī)提供了全面的安全掃描服務(wù)，并將最終的掃描結(jié)果提供給了客戶。

通過此次活動(dòng)，我們發(fā)現(xiàn)所有的客戶主機(jī)都或多或少存在著各種風(fēng)險(xiǎn)度的安全漏洞，安全現(xiàn)狀不容樂觀。其實(shí)在這些客戶所暴露出來的漏洞中，絕大多數(shù)都是已經(jīng)有了解決辦法的，只要做一些簡單的升級(jí)或安裝補(bǔ)丁就可以解決。另外，我們還發(fā)現(xiàn)，有的客戶使用了一些安全產(chǎn)品，但卻由于使用不當(dāng)，反而引入了更多的安全漏洞。另外，客戶的信息系統(tǒng)普遍也缺乏良好合理的安全規(guī)劃和管理，從而使得其自身的系統(tǒng)對(duì)外呈現(xiàn)了很多本不應(yīng)該出現(xiàn)的漏洞，給外界入侵提供了便利的條件。

我們認(rèn)為出現(xiàn)這樣的問題主要有這樣一些原因：

客戶普遍還缺乏安全意識(shí)，不知道自己其實(shí)面臨很大的危險(xiǎn)；專業(yè)知識(shí)不夠，不知如何解決安全問題；對(duì)安全產(chǎn)品的選擇、使用和設(shè)置不當(dāng)；沒有合理的安全管理策略和機(jī)制。

針對(duì)這樣一些原因，有些相對(duì)容易解決，有些則要困難一些。在首創(chuàng)網(wǎng)絡(luò)通過自身的努力，在信息安全領(lǐng)域里不斷追求更高的技術(shù)水準(zhǔn)和服務(wù)水準(zhǔn)，力爭在競爭日益激烈的今天，面對(duì)不斷復(fù)雜的信息安全形勢，從容面對(duì)，為客戶提供更加完美的產(chǎn)品和服務(wù)。

（本報(bào)告由首創(chuàng)網(wǎng)絡(luò)提供，內(nèi)容有刪節(jié)）

“首創(chuàng)網(wǎng)絡(luò)安全調(diào)查”帶來的啟示

本刊記者   曹  玫

近日，首創(chuàng)網(wǎng)絡(luò)針對(duì)我國企

業(yè)網(wǎng)絡(luò)安全現(xiàn)狀，對(duì)來自

34個(gè)不同行業(yè)用戶的93臺(tái)主機(jī)的網(wǎng)絡(luò)信息系統(tǒng)進(jìn)行了抽樣調(diào)查，結(jié)果是100%的用戶的主機(jī)都存在不同程度的安全問題。這個(gè)數(shù)字不能不讓我們吃驚，網(wǎng)絡(luò)現(xiàn)狀讓人擔(dān)擾。

隨著企業(yè)信息化、電子政務(wù)的進(jìn)一步推進(jìn)，對(duì)網(wǎng)絡(luò)安全的要求與過去已不可同日而語。但信息化在我國剛剛起步，企業(yè)對(duì)網(wǎng)絡(luò)安全的意識(shí)和認(rèn)知尚待培育。

本刊記者就首創(chuàng)的網(wǎng)絡(luò)安全評(píng)估活動(dòng)采訪了中國國家信息安全測評(píng)認(rèn)證中心計(jì)算機(jī)測評(píng)中心常務(wù)副主任翁正軍女士，她認(rèn)為：“首創(chuàng)這次的評(píng)估活動(dòng)值得肯定。這類的網(wǎng)絡(luò)安全評(píng)估如果經(jīng)常性的進(jìn)行，對(duì)用戶了解自身的安全風(fēng)險(xiǎn)非常有益”

另外，翁女士還提醒道：“針對(duì)網(wǎng)絡(luò)和系統(tǒng)的脆弱性評(píng)估，有可能對(duì)被測系統(tǒng)造成損害。當(dāng)然，不一定是測試本身的問題，而是被測系統(tǒng)太脆弱。但是不管怎么樣，都要讓用戶事先知道風(fēng)險(xiǎn)的存在，并且通過恰當(dāng)?shù)陌才疟M力回避這些風(fēng)險(xiǎn)”。

安全意識(shí)   攜手培育

網(wǎng)絡(luò)安全是“三分技術(shù)，七分管理”，從首創(chuàng)的報(bào)告中可以看出，造成網(wǎng)絡(luò)漏洞的原因基本上是管理的忽視和疏漏。

已認(rèn)識(shí)到IT系統(tǒng)重要性的大型企業(yè)和跨國企業(yè)，雖有一些機(jī)房和系統(tǒng)的不很細(xì)化的管理制度，但大部分也只限于書面文字的約束而已，沒有強(qiáng)有力的監(jiān)督實(shí)施手段和相應(yīng)的管理人員；大部分的中小企業(yè)甚至沒有把網(wǎng)絡(luò)安全提升到管理的層面，還只是停留在購買一些低端的安全設(shè)備上，當(dāng)然對(duì)于國內(nèi)的中小企業(yè)采取何種安全模式仍是專家和安全服務(wù)提供商們爭論的熱點(diǎn)問題。

管理問題追溯其根源，還是企業(yè)的意識(shí)問題，安全意識(shí)的加強(qiáng)和培育是需要政府或行業(yè)主管單位、安全廠商和用戶自身共同努力來實(shí)現(xiàn)的。

如政府和行業(yè)主管要加大政策和法令的宣傳力度，改變政策和相關(guān)標(biāo)準(zhǔn)滯后的現(xiàn)狀，一方面，用戶有相關(guān)的政策和標(biāo)準(zhǔn)來衡量網(wǎng)絡(luò)安全廠商提供給他們的產(chǎn)品和服務(wù)是否符合國家標(biāo)準(zhǔn)，做到有據(jù)可依。另一方面，安全廠商有了相關(guān)條例和行業(yè)標(biāo)準(zhǔn)，在為用戶構(gòu)建網(wǎng)絡(luò)平臺(tái)和生產(chǎn)安全產(chǎn)品時(shí)，把各種安全隱患降減到最小程度，做到了有法必依。

安全廠商在培育用戶的安全意識(shí)方面，毫無疑問，充當(dāng)著主力軍的角色，目前，我國的網(wǎng)絡(luò)安全意識(shí)尚處于萌芽階段，因此對(duì)用戶意識(shí)的培育應(yīng)屬于安全廠商市場戰(zhàn)略和規(guī)劃的一部分，只有大家共同把這塊蛋糕做大，網(wǎng)絡(luò)安全廣闊的市場才會(huì)在短時(shí)間內(nèi)形成規(guī)模。 

從用戶自身的角度來講，“船到江心才補(bǔ)漏”是需要付出不可估量的代價(jià)的，網(wǎng)絡(luò)數(shù)據(jù)的迅速增長，單靠一些低端的安全設(shè)備已遠(yuǎn)遠(yuǎn)難以維護(hù)系統(tǒng)和網(wǎng)絡(luò)安全。總的來說，要改善和加強(qiáng)管理力度,必須提高企業(yè)的安全意識(shí).

網(wǎng)絡(luò)測試   謹(jǐn)慎評(píng)估 

做安全測試，一定要做非常細(xì)化的風(fēng)險(xiǎn)評(píng)估策略，首先要確定企業(yè)哪些資源需要保護(hù)，并根據(jù)保護(hù)成本與如果事件發(fā)生前不采取行動(dòng)需付出的代價(jià)之間的平衡制定評(píng)估方案，檢測后要確定企業(yè)具體環(huán)境下到底存在哪些安全漏洞和安全隱患，一旦這些漏洞被黑客利用會(huì)造成哪些風(fēng)險(xiǎn)和破壞。

最后綜合對(duì)各種風(fēng)險(xiǎn)因素的評(píng)價(jià)，明確網(wǎng)絡(luò)系統(tǒng)的安全現(xiàn)狀，確定網(wǎng)絡(luò)系統(tǒng)中安全的最薄弱環(huán)節(jié)，從而改進(jìn)網(wǎng)絡(luò)的安全性能。所以檢測之前與之后的評(píng)估是非常重要的。全面的網(wǎng)絡(luò)系統(tǒng)的漏洞評(píng)估應(yīng)該包括對(duì)網(wǎng)絡(luò)的漏洞評(píng)估、對(duì)系統(tǒng)主機(jī)的漏洞評(píng)估以及對(duì)數(shù)據(jù)庫系統(tǒng)的漏洞評(píng)估三個(gè)方面。首創(chuàng)的安全評(píng)估屬于對(duì)系統(tǒng)主機(jī)的漏洞的評(píng)估，測試的安全風(fēng)險(xiǎn)相對(duì)要小一些。

測試不是目的，制定相應(yīng)的安全策略并徹底解決用戶存在的安全問題，才是我們的愿望。

首創(chuàng)的安全測試為我們敲醒了警鐘，加強(qiáng)安全意識(shí)已成為企業(yè)高層迫切需要正確對(duì)待的問題。

企業(yè)信息安全意識(shí)有待覺醒

本刊記者   陳  慧

為了解客戶的安全現(xiàn)狀，并

提高客戶的安全意識(shí)，首

創(chuàng)網(wǎng)絡(luò)在7月1日到8月31日為期兩個(gè)月的時(shí)間內(nèi)為34家客戶的93臺(tái)主機(jī)提供了免費(fèi)遠(yuǎn)程安全掃描服務(wù)。提交的報(bào)告結(jié)果表明，這些客戶所有的業(yè)務(wù)部門都或多或少存在著安全漏洞，其中高風(fēng)險(xiǎn)漏洞占42%，中風(fēng)險(xiǎn)漏洞占28%，低風(fēng)險(xiǎn)漏洞達(dá)30%。可見這些客戶的信息安全現(xiàn)狀令人堪憂。

面對(duì)安全漏洞，

視而不見還是立即行動(dòng)

“此次掃描主要是針對(duì)黑客的攻擊行為，”首創(chuàng)網(wǎng)絡(luò)安全產(chǎn)品經(jīng)理鐘博向記者介紹說，“我們選擇這種遠(yuǎn)程的網(wǎng)絡(luò)掃描的服務(wù)活動(dòng)比較容易開展，類似于黑客攻擊的第一個(gè)階段，還未涉及到內(nèi)部攻擊。”在發(fā)現(xiàn)客戶漏洞之后，首創(chuàng)還可以針對(duì)客戶的要求為其提供相應(yīng)的修補(bǔ)、加固和優(yōu)化服務(wù)、專門的培訓(xùn)和分析，以及遠(yuǎn)程管理和緊急響應(yīng)等多種全方位的安全服務(wù)。

在首創(chuàng)網(wǎng)絡(luò)掃描過程中發(fā)現(xiàn)的網(wǎng)絡(luò)安全漏洞主要涉及到底層的操作系統(tǒng)平臺(tái)和應(yīng)用系統(tǒng)兩個(gè)方面。漏洞可能是操作系統(tǒng)帶來的，比如采用Windows操作系統(tǒng)平臺(tái)的企業(yè)漏洞特別多；也有可能是應(yīng)用系統(tǒng)本身的問題，比如數(shù)據(jù)庫、Web系統(tǒng)和ERP應(yīng)用軟件等等。在應(yīng)用系統(tǒng)方面，數(shù)據(jù)庫的漏洞比較多，其中又以SQL Server數(shù)據(jù)庫的漏洞為甚。對(duì)于操作系統(tǒng)的漏洞，大多可通過從網(wǎng)上下載補(bǔ)丁程序的方法加以解決，有些客戶沒有下載補(bǔ)丁程序，因而容易被攻擊。也有客戶把用戶訪問口令設(shè)成了空的，也容易被攻擊。這些漏洞本都很容易避免，之所以出現(xiàn)，主要因?yàn)閼?yīng)用和管理人員本身安全意識(shí)淡薄所導(dǎo)致。

被掃描的首創(chuàng)網(wǎng)絡(luò)的IDC和專線客戶，都是經(jīng)常使用IT設(shè)備和網(wǎng)絡(luò)應(yīng)用的，其中，本身業(yè)務(wù)系統(tǒng)與安全結(jié)合不是很緊密的客戶比較容易產(chǎn)生安全漏洞，比如媒體的網(wǎng)站、制造業(yè)企業(yè)的網(wǎng)站等。在首創(chuàng)網(wǎng)絡(luò)的整個(gè)掃描服務(wù)期間中就出現(xiàn)過這樣的情況。一家傳媒機(jī)構(gòu)的網(wǎng)站被黑客攻擊，其主頁被篡改了。客戶要求首創(chuàng)對(duì)其遭到攻擊的主機(jī)進(jìn)行掃描，了解其被攻擊的原因。通過掃描，發(fā)現(xiàn)主要原因在于這個(gè)傳媒機(jī)構(gòu)把操作系統(tǒng)裝好之后，采取了默認(rèn)配置，并沒有做安全性增強(qiáng)方面的考慮和設(shè)置，其主機(jī)上的漏洞都是一些很常見也很容易彌補(bǔ)的。此外，制造業(yè)企業(yè)涉及到CRM和ERP這樣的系統(tǒng)。總部與分支機(jī)構(gòu)之間經(jīng)常有大量機(jī)密的數(shù)據(jù)需要交互，對(duì)于這樣的企業(yè)，如果不做好全面的安全規(guī)劃并采取相應(yīng)的安全手段，也容易對(duì)外暴露很多安全漏洞。

面對(duì)送過來的掃描結(jié)果和漏洞分析，客戶的反應(yīng)五花八門：有的客戶一接到掃描的結(jié)果，發(fā)現(xiàn)自己的網(wǎng)絡(luò)安全存在這么多的問題，非常著急，立刻要求首創(chuàng)為其提供相應(yīng)的解決方案；有的客戶要求首創(chuàng)幫助把漏洞堵上；也有客戶說，賣我們一個(gè)防火墻吧；還有客戶沒有反應(yīng)，好像在忙著理順自己的網(wǎng)絡(luò)，無暇顧及安全問題。

安全防范，投入多少并采取哪些手段

有兩個(gè)問題需要企業(yè)考慮清楚，一是企業(yè)要保護(hù)的信息到底值得投入多少；二是采取什么手段。網(wǎng)絡(luò)時(shí)代，企業(yè)要連接到互聯(lián)網(wǎng)上與外部溝通。任何企業(yè)無論大小，總是有些信息是不希望被外界知道的，每一個(gè)企業(yè)都有必要采取一定的手段保護(hù)自己的信息，防止被別人竊取、篡改或者破壞。那么企業(yè)值得投入多少人力、物力和財(cái)力保護(hù)信息安全？

篇(3)

1.1企業(yè)網(wǎng)絡(luò)環(huán)境的基本構(gòu)架

企業(yè)網(wǎng)絡(luò)環(huán)境依其功能性的不同，可以分成兩個(gè)部分：辦公區(qū)域的工作站和各類數(shù)據(jù)、WEB、管理系統(tǒng)構(gòu)成的服務(wù)器集群。其中部分工作站與服務(wù)器集群分布在不同地域，形成“公司總部-分公司-區(qū)域代表處”的整體網(wǎng)絡(luò)構(gòu)架。目前企業(yè)的服務(wù)器端更新計(jì)算機(jī)安全性修補(bǔ)的程序是每一臺(tái)服務(wù)器均安裝WindowsUpdate，通過互聯(lián)網(wǎng)自動(dòng)取得最新的安全性修補(bǔ)程序，保持服務(wù)器端安全漏洞都能得到及時(shí)的修補(bǔ)；工作站端則由工程師通過網(wǎng)絡(luò)取得最新安全性修補(bǔ)程序后，通過總控分發(fā)的形式逐一手動(dòng)執(zhí)行安裝。

1.2目前公司網(wǎng)絡(luò)安全管理的缺憾與不足

(1)無法快速地確定公司網(wǎng)絡(luò)上哪些主機(jī)具有安全性弱點(diǎn)。目前在系統(tǒng)安全漏洞方面，一般是網(wǎng)絡(luò)安全工程師在獲得網(wǎng)絡(luò)安全性公告時(shí)才掃描整個(gè)環(huán)境是否存在相關(guān)安全漏洞并更新計(jì)算機(jī)系統(tǒng)，事實(shí)證明，對(duì)于環(huán)境來說，是非常耗時(shí)并難以及時(shí)實(shí)現(xiàn)的，在理想狀態(tài)下，應(yīng)該發(fā)展并實(shí)行一套機(jī)制來自動(dòng)收集并分析在弱點(diǎn)掃描過程中所產(chǎn)生的安全信息報(bào)告，并針對(duì)安全性警訊作出回應(yīng)，以有效維護(hù)工作中最基本的網(wǎng)絡(luò)安全。

(2)沒有足夠的時(shí)間可以安裝或部署安全性修補(bǔ)程序。依目前架構(gòu)，每一臺(tái)服務(wù)器均自行通過互聯(lián)網(wǎng)自動(dòng)取得最新的修補(bǔ)程序，若遇上網(wǎng)絡(luò)頻寬使用率較高時(shí)便會(huì)發(fā)生安全性修補(bǔ)程序更新失敗的問題(經(jīng)實(shí)際評(píng)估失敗率約為15%)。另外，由于工作站總數(shù)量多達(dá)上千甚至達(dá)到萬臺(tái)，在系統(tǒng)漏洞更新需要一定的周期才能實(shí)現(xiàn)，工作過程中可能會(huì)發(fā)生安全性修補(bǔ)程式尚未更新完成前就已經(jīng)遭受攻擊的問題。

(3)有些系統(tǒng)無法自動(dòng)安裝安全性修補(bǔ)程序。某些獨(dú)立計(jì)算機(jī)或不受控制的非網(wǎng)絡(luò)成員計(jì)算機(jī)，由于不受系統(tǒng)管理員的維護(hù)控制，難以通過系統(tǒng)整體控制的形式完成安全性修補(bǔ)程序及相關(guān)工作。

(4)有些系統(tǒng)無法自動(dòng)安裝安全性修補(bǔ)程序。訪客、行動(dòng)和遠(yuǎn)端使用者，如同辦公區(qū)中一般的客戶端一樣，這對(duì)于企業(yè)來說，這些客戶端也是潛在的攻擊來源，需另行處理。

2企業(yè)網(wǎng)絡(luò)系統(tǒng)安全修補(bǔ)程序的管理需求

(1)當(dāng)采用新的硬件或軟件而造成環(huán)境的變更時(shí)，通常會(huì)執(zhí)行設(shè)定，設(shè)定活動(dòng)是支援順利且有效的安全性修補(bǔ)程序管理所必需的。包括：①取得庫存及建立環(huán)境的基準(zhǔn)線：工作基準(zhǔn)線包含的是讓生產(chǎn)環(huán)境中不同類型電腦都能安全運(yùn)作的所有必要軟件。②訂閱安全性警訊及啟動(dòng)網(wǎng)絡(luò)安全監(jiān)測系統(tǒng)：網(wǎng)絡(luò)安全監(jiān)測系統(tǒng)會(huì)自動(dòng)識(shí)別新的產(chǎn)品缺點(diǎn)、對(duì)其新系統(tǒng)環(huán)境進(jìn)行更新修補(bǔ)。③建立安全性報(bào)告以協(xié)助識(shí)別問題：識(shí)別環(huán)境中的病毒或入侵，指出需要盡速解決的進(jìn)行中的各類攻擊。④設(shè)定及維護(hù)修補(bǔ)程序管理基礎(chǔ)架構(gòu)：無論是任何大小的組織，都應(yīng)利用自動(dòng)化工具，讓系統(tǒng)管理員得知可用的更新，并部分掌控安全性修補(bǔ)程序的安裝情況。

(2)以每天或每周為執(zhí)行基礎(chǔ)，定期檢閱網(wǎng)站、安全性通知以及安全性報(bào)告，以識(shí)別新的軟件更新及安全性問題，并判定更新與環(huán)境中問題的關(guān)聯(lián)性。①識(shí)別：判定環(huán)境是否需要修補(bǔ)程序，以及其來源是否有效。②關(guān)聯(lián)性：判定修補(bǔ)程序?qū)τ诮M織的信息技術(shù)基礎(chǔ)架構(gòu)環(huán)境是否有意義。③隔離觀察：在一個(gè)或多個(gè)修補(bǔ)程序中查出可能會(huì)影響組織IT基礎(chǔ)架構(gòu)的病毒或其他惡意程序碼時(shí)，隔離任何與修補(bǔ)程序相關(guān)的檔案。

(3)識(shí)別環(huán)境中新安全性弱點(diǎn)，并擬定發(fā)行安全性修補(bǔ)程序或相關(guān)的對(duì)策，包括：①變更管理，將變更分類及排定優(yōu)先級(jí)，以及取得對(duì)生產(chǎn)環(huán)境進(jìn)行變更之核準(zhǔn)的程序。②檢閱變更，因?yàn)樨?fù)面的商業(yè)影響或其他影響質(zhì)量的原因而需要時(shí)，此步驟可以包括復(fù)原受損信息或數(shù)據(jù)。

(4)對(duì)組織環(huán)境中一些分散的系統(tǒng)管理層級(jí)。例如，多個(gè)擁有系統(tǒng)管理權(quán)限的群組或是在本身計(jì)算機(jī)上擁有系統(tǒng)管理權(quán)限的一般使用者。設(shè)置規(guī)范的系統(tǒng)管理員賬戶標(biāo)準(zhǔn)，例如，重新命名或停用賬戶以及設(shè)立虛擬賬戶等。

(5)定義安全性修補(bǔ)程序的強(qiáng)制方式以及相關(guān)的時(shí)間表。若系統(tǒng)漏洞或缺點(diǎn)仍無法在要求的時(shí)間之內(nèi)成功解決，需采用更強(qiáng)烈的策略，例如：在違規(guī)者的組織中呈報(bào)這個(gè)問題、停用存取此計(jì)算機(jī)的主賬戶、在網(wǎng)絡(luò)里移除此計(jì)算機(jī)的網(wǎng)絡(luò)實(shí)體連線，或是重新設(shè)定網(wǎng)絡(luò)硬件等方式，以防止個(gè)別計(jì)算機(jī)系統(tǒng)的漏洞的擴(kuò)散而引發(fā)系統(tǒng)整體的網(wǎng)絡(luò)安全問題。

3企業(yè)網(wǎng)絡(luò)系統(tǒng)安全性修補(bǔ)程序的架構(gòu)設(shè)計(jì)

3.1工作站端計(jì)算機(jī)安全性修補(bǔ)程序系統(tǒng)架構(gòu)

企業(yè)工作站端計(jì)算機(jī)安全修補(bǔ)程序的系統(tǒng)架構(gòu)，該架構(gòu)分為三個(gè)系統(tǒng)：安全測試系統(tǒng)、安全修補(bǔ)程序更新系統(tǒng)、系統(tǒng)安全漏洞自動(dòng)偵測系統(tǒng)。第一個(gè)系統(tǒng)是安全測試系統(tǒng)，管理者使用此系統(tǒng)來驗(yàn)證互聯(lián)網(wǎng)所取得的安全性修補(bǔ)程序，完成系統(tǒng)安全性測試分析與管理；第二個(gè)系統(tǒng)是安全性修補(bǔ)程序更新系統(tǒng)，管理者將經(jīng)過驗(yàn)證的安全性修補(bǔ)程序利用此系統(tǒng)完成工作站端的程序部署；第三個(gè)系統(tǒng)安全漏洞自動(dòng)偵測系統(tǒng)，對(duì)于系統(tǒng)網(wǎng)絡(luò)安全漏洞進(jìn)行偵測管理，對(duì)不受管理或是非標(biāo)準(zhǔn)網(wǎng)域的計(jì)算機(jī)，利用此系統(tǒng)移除此工作站的網(wǎng)絡(luò)連線。企業(yè)工作站端計(jì)算機(jī)安全修補(bǔ)程序的運(yùn)作過程包括：

(1)訂閱安全性警訊及其他安全漏洞更新庫，系統(tǒng)安全漏洞自動(dòng)偵測系統(tǒng)會(huì)識(shí)別新的產(chǎn)品缺點(diǎn)、過去的重要的系統(tǒng)更新，以及已被其他人發(fā)現(xiàn)的新病毒。

(2)根據(jù)安全需要，將存在安全隱患的計(jì)算機(jī)隔離于生產(chǎn)環(huán)境網(wǎng)絡(luò)之外，以便確保這些計(jì)算機(jī)不會(huì)對(duì)組織的IT基礎(chǔ)架構(gòu)造成負(fù)面的影響。

3.2服務(wù)器端計(jì)算機(jī)安全性修補(bǔ)程序系統(tǒng)架構(gòu)

企業(yè)服務(wù)器端計(jì)算機(jī)安全修補(bǔ)程序的系統(tǒng)架構(gòu)如圖3所示。該架構(gòu)分為兩個(gè)系統(tǒng)：安全管理系統(tǒng)、安全性修補(bǔ)程序更新系統(tǒng)。第一個(gè)系統(tǒng)安全管理系統(tǒng)，管理者使用此系統(tǒng)來實(shí)現(xiàn)企業(yè)服務(wù)器集群的安全管理與整體的安全防護(hù)；第二個(gè)系統(tǒng)是安全性修補(bǔ)程序更新系統(tǒng)，管理者將經(jīng)過驗(yàn)證的安全性修補(bǔ)程序利用此系統(tǒng)完成服務(wù)器端的程序部署。服務(wù)器端更新計(jì)算機(jī)安全性修補(bǔ)程序系統(tǒng)架構(gòu)圖如圖3所示，服務(wù)器端計(jì)算機(jī)安全修補(bǔ)程序的運(yùn)作過程包括：

(1)訂閱網(wǎng)絡(luò)服務(wù)器的安全性警訊及安全漏洞更新庫，借助安全性修補(bǔ)程序更新系統(tǒng)，完成服務(wù)器端系統(tǒng)的即時(shí)更新。

(2)根據(jù)安全需要，將存在安全隱患的服務(wù)器或工作機(jī)隔離于服務(wù)器集群的環(huán)境網(wǎng)絡(luò)之外，以便確保具有網(wǎng)絡(luò)安全隱患的服務(wù)器或工作機(jī)不會(huì)對(duì)組織的服務(wù)器集群架構(gòu)造成威脅。

(3)信息中心人員在隔離環(huán)境下確認(rèn)所有修補(bǔ)程序完成，并完成病毒檢測無問題后，隔離解除，由安全管理系統(tǒng)完成個(gè)別服務(wù)器的手動(dòng)程序部署，并負(fù)責(zé)服務(wù)器管理者的進(jìn)一步偵測追蹤管理。

4結(jié)束語

篇(4)

關(guān)鍵詞:Web;網(wǎng)絡(luò)安全;安全防護(hù)

中圖分類號(hào):F49文獻(xiàn)標(biāo)識(shí)碼:A

隨著Internet的發(fā)展,Web應(yīng)用滲透到了人們生活中的各個(gè)角落。如今,Web業(yè)務(wù)平臺(tái)已經(jīng)在電子商務(wù)、企業(yè)信息化中得到廣泛應(yīng)用,很多企業(yè)都將應(yīng)用架設(shè)在Web平臺(tái)上,Web業(yè)務(wù)的迅速發(fā)展也引起了黑客們的強(qiáng)烈關(guān)注,他們將注意力從以往對(duì)傳統(tǒng)網(wǎng)絡(luò)服務(wù)器的攻擊逐步轉(zhuǎn)移到了對(duì)Web業(yè)務(wù)的攻擊上。針對(duì)Web網(wǎng)站的攻擊呈現(xiàn)規(guī)模化、隱蔽化趨勢。Web威脅所具備的滲透性和利益驅(qū)動(dòng)性,已經(jīng)成為當(dāng)前網(wǎng)絡(luò)中增長最快的風(fēng)險(xiǎn)因素。網(wǎng)絡(luò)罪犯已經(jīng)逐漸將Web作為從事惡意活動(dòng)的新途徑,Web安全威脅已經(jīng)成為對(duì)企業(yè)來說最為猛烈的攻擊之一。

Web攻擊的最終目標(biāo)是企業(yè)數(shù)據(jù)和獲取商業(yè)利益。對(duì)付Web威脅,傳統(tǒng)的防護(hù)模式已不能夠有效化解越來越多的Web攻擊者將合法網(wǎng)站做目標(biāo)。盡管大多Web2.0網(wǎng)站自身都會(huì)采取防掛馬、防注入等保護(hù)措施,但研究結(jié)果顯示:社區(qū)驅(qū)動(dòng)型安全工具在保護(hù)Web用戶避開不良內(nèi)容以及安全風(fēng)險(xiǎn)方面是無效的。面對(duì)來勢洶洶的新型Web威脅,傳統(tǒng)安全措施無法跟上Web內(nèi)容不斷變化的步伐。一方面惡意軟件也可能出現(xiàn)在聲譽(yù)良好、受到大家信任的網(wǎng)站上,就像出現(xiàn)在其他網(wǎng)站惡意上一樣容易;另一方面網(wǎng)絡(luò)應(yīng)用程序越來越多,傳統(tǒng)的防護(hù)模式已經(jīng)力不從心,即便是如今已經(jīng)運(yùn)用的非常成熟的“病毒特征碼查殺”技術(shù),隨著病毒爆發(fā)的生命周期越來越短,其傳統(tǒng)的安全系統(tǒng)防御模型更是滯后于病毒的傳播,用戶只能處于預(yù)防威脅-檢測威脅-處理威脅-策略執(zhí)行的循環(huán)之中。即使利用市場上現(xiàn)有最快速的反病毒系統(tǒng)和服務(wù)機(jī)制,企業(yè)仍然不能防范最新的威脅,因?yàn)榉?wù)方往往無法及早和完整地介入整個(gè)新病毒事件。

Web安全問題基本解決方案:

1、確定Web安全目標(biāo)。根據(jù)網(wǎng)站所處的環(huán)境、網(wǎng)站本身的目標(biāo)和風(fēng)險(xiǎn)程度等因素來確定Web安全目標(biāo)。如,Web服務(wù)器是在Intranet中使用還是面向Internet, Web網(wǎng)站是否代表整個(gè)企業(yè)或組織?它是否用作電子商務(wù)或電子政務(wù)?

2、實(shí)施整體安全方案。由于Web安全涉及的因素較多,必須從整體安全的角度來解決Web安全問題,實(shí)現(xiàn)物理級(jí)、系統(tǒng)級(jí)、網(wǎng)絡(luò)級(jí)和應(yīng)用級(jí)的安全。一般從以下幾方面實(shí)施:第一,提高操作系統(tǒng)的安全性,確保服務(wù)器本身的安全;第二,部署防火墻阻止外部非法訪問和入侵;第三,控制內(nèi)部非法訪問和入侵;第四,Web服務(wù)器本身的安全配置;第五,Web應(yīng)用程序和腳本編程安全;第六,后端數(shù)據(jù)庫的安全;第七,Web通信安全;第八,保護(hù)數(shù)據(jù)和應(yīng)用的其他安全措施;第九,Web安全測試和評(píng)估。

為綜合檢測Web安全,需要使用漏洞掃描和風(fēng)險(xiǎn)評(píng)估工具定期對(duì)Web服務(wù)器進(jìn)行掃描和測試,及時(shí)發(fā)現(xiàn)和解決安全問題。就目前情形來看,安全漏洞集合是導(dǎo)致Web服務(wù)器遭受攻擊的主要因素,因此應(yīng)在攻擊者發(fā)動(dòng)攻擊之前,及早發(fā)現(xiàn)網(wǎng)絡(luò)上可能存在的安全漏洞并加以彌補(bǔ)。

安全掃描和評(píng)估簡介:

1、安全掃描是對(duì)計(jì)算機(jī)系統(tǒng)或者其他網(wǎng)絡(luò)設(shè)備進(jìn)行與安全相關(guān)的檢測,以找出安全隱患和可能被黑客利用的漏洞。安全掃描軟件是把雙刃劍,黑客利用它入侵系統(tǒng),而系統(tǒng)管理員掌握它以后又可以有效地防范黑客入侵。安全掃描只是簡單將檢測結(jié)果羅列出來,直接提供給測試者,而不對(duì)信息進(jìn)行任何分析處理。安全評(píng)估除了具備最基本的安全掃描功能外,還能夠?qū)呙杞Y(jié)果進(jìn)行說明,給出建議,對(duì)系統(tǒng)總體安全狀況作總體評(píng)價(jià),同時(shí)以多種方式生成包括文字圖表等內(nèi)容的評(píng)估報(bào)表。

2、掃描工具。從安全掃描范圍來看,此類工具可分為兩大類:專項(xiàng)掃描工具和綜合掃描評(píng)估工具。專項(xiàng)掃描工具有專門端口掃描工具、針對(duì)特定應(yīng)用和服務(wù)的掃描工具(如掃描Web服務(wù)器及CGI安全漏洞的Stealth等、針對(duì)SQL Server的SqlExec)。綜合掃描評(píng)估工具的掃描內(nèi)容非常廣泛,掃描結(jié)果報(bào)告翔實(shí),并給出相應(yīng)的解決辦法,非常適合管理員的系統(tǒng)評(píng)估測試。綜合掃描評(píng)估工具一般都是商用軟件。從安全評(píng)估技術(shù)來看,此類工具可分為兩大類:一類是基于網(wǎng)絡(luò)的掃描工具,如ISS公司的Internet Scanner、AXENT公司的NetRecon等,通過網(wǎng)絡(luò)遠(yuǎn)程探測其他主機(jī)的安全風(fēng)險(xiǎn)漏洞,還可通過模擬攻擊測試系統(tǒng)的防護(hù)能力;另一類是基于主機(jī)的掃描工具,如ISS公司的System Scannet,AXENT公司的ESM,用于測試服務(wù)器本身的安全漏洞,一般需要在所測試的主機(jī)上安裝相應(yīng)的軟件且實(shí)施起來不方便。對(duì)于Web服務(wù)器的安全測試評(píng)估來說,可以納入整個(gè)企業(yè)網(wǎng)絡(luò)的整體安全評(píng)估,也可以獨(dú)立地進(jìn)行安全評(píng)估。由于Web安全所涉及的范圍較廣,除了Web服務(wù)器本身安全外,還有所在系統(tǒng)的安全,在選擇測試評(píng)估軟件時(shí),應(yīng)考慮測試內(nèi)容的全面性。

對(duì)于中小企業(yè)的Web服務(wù)器,出于成本方面的考慮,可選擇一些免費(fèi)的、具有綜合測試能力的工具軟件,如X-Scan。對(duì)于基于微軟產(chǎn)品的Web服務(wù)器來說,可選擇微軟公司提供的MBSA(Microsoft Baseline Security Analyzer,可譯為微軟基準(zhǔn)安全分析器),該工具可以評(píng)估特定微軟產(chǎn)品中的任何漏洞和弱點(diǎn),而且是免費(fèi)的。

3、安全評(píng)估評(píng)價(jià)標(biāo)準(zhǔn)。在實(shí)現(xiàn)了對(duì)Web服務(wù)器的安全掃描后,便可根據(jù)掃描結(jié)果,對(duì)服務(wù)器的安全性能進(jìn)行評(píng)估,給出服務(wù)器的安全狀況。下面給出一個(gè)大致的評(píng)價(jià)標(biāo)準(zhǔn)。需要特別注意的是:評(píng)價(jià)標(biāo)準(zhǔn)應(yīng)該根據(jù)應(yīng)用系統(tǒng)、應(yīng)用背景的不同而有相應(yīng)的改變,并不存在絕對(duì)的評(píng)估標(biāo)準(zhǔn)。

A級(jí):掃描結(jié)果顯示沒有漏洞。雖然這并不表明沒有漏洞,因?yàn)橛性S多漏洞是尚未發(fā)現(xiàn)的,但我們只能針對(duì)已知的漏洞進(jìn)行測試。

B級(jí):具有一些泄漏服務(wù)器版本信息之類的不是很重要的漏洞,或者提供容易造成被攻擊的服務(wù),如允許匿名登錄,這種服務(wù)可能會(huì)造成許多其他漏洞。

C級(jí):具有危害級(jí)別較小的一些漏洞,如可以驗(yàn)證某賬號(hào)的存在,可以造成列出一些頁面目錄、文件目錄等,不會(huì)造成嚴(yán)重后果的漏洞。

D級(jí):具有一般危害程度的漏洞,如拒絕服務(wù)漏洞,造成服務(wù)器不能正常工作,可以讓黑客獲得重要文件的訪問權(quán)的漏洞等。

E級(jí):具有嚴(yán)重危害程度的漏洞,如存在緩沖區(qū)溢出漏洞、存在木馬后門、存在可以讓黑客獲得根用戶權(quán)限或根用戶的shell漏洞以及根目錄被設(shè)置為一般用戶可寫等一些后果非常嚴(yán)重的漏洞。通過安全評(píng)估后,用戶則可以根據(jù)情況采取措施,包括給系統(tǒng)打補(bǔ)丁(從技術(shù)網(wǎng)站上下載)、關(guān)閉不需要的應(yīng)用服務(wù)等來對(duì)系統(tǒng)進(jìn)行加固。可以看出,漏洞掃描、安全評(píng)估、采取措施是一個(gè)循環(huán)迭代、前后相繼的流程,用戶可以在使用中多加揣摩,從而保證網(wǎng)絡(luò)系統(tǒng)的安全。

(作者單位:1.重慶大學(xué)軟件工程學(xué)院;2.東莞市公安局清溪分局)

主要參考文獻(xiàn):

篇(5)

關(guān)鍵詞：計(jì)算機(jī)；網(wǎng)絡(luò)；信息；安全；漏洞掃描

中圖分類號(hào)：G718 文獻(xiàn)標(biāo)識(shí)碼：B 文章編號(hào)：1672-1578（2017）04-0012-01

1.網(wǎng)絡(luò)安全簡述

網(wǎng)絡(luò)安全并沒有一個(gè)固定的范圍和固定的定義。隨著觀察角度的變化，對(duì)網(wǎng)絡(luò)安全的定義也不盡相同。例如，從網(wǎng)絡(luò)用戶個(gè)人或者單位來說。他們想要擁有的網(wǎng)絡(luò)安全，必然是個(gè)人隱私信息的安全、單位商業(yè)信息受到保護(hù)，避免因他人運(yùn)用竊聽、篡改等手段，泄露信息，或者造成商業(yè)危害。從網(wǎng)絡(luò)運(yùn)用以及管理者的角度來看，他們理解的網(wǎng)絡(luò)安全必然是希望在對(duì)本地網(wǎng)絡(luò)信息進(jìn)行訪問、讀寫時(shí)，受到相應(yīng)的保護(hù)。防止出現(xiàn)病毒入侵、拒絕服務(wù)或者網(wǎng)絡(luò)資源非法控制等威脅。從本質(zhì)上來講，網(wǎng)絡(luò)安全屬于網(wǎng)絡(luò)上的信息安全范圍。指的是通過多網(wǎng)絡(luò)系統(tǒng)的強(qiáng)化管理，以及對(duì)硬件、軟件中的數(shù)據(jù)保護(hù)，防止其因有意的，或無意的破壞而出現(xiàn)信息泄露等狀況。保障系統(tǒng)連續(xù)可靠的運(yùn)作，以及提供源源不斷的網(wǎng)絡(luò)服務(wù)。從宏觀上來看，凡是有關(guān)網(wǎng)絡(luò)上信息的隱私、完整、可用、真實(shí)等相關(guān)的技術(shù)研究，以及網(wǎng)絡(luò)安全管理全部屬于網(wǎng)絡(luò)安全需要研究的對(duì)象。網(wǎng)絡(luò)安全不僅僅是網(wǎng)絡(luò)使用硬件或軟件上的問題，也是信息管理上的問題。在二者的互相補(bǔ)充下，才能實(shí)現(xiàn)完善的信息保護(hù)。在硬件和軟件方面，主要側(cè)重點(diǎn)是防止外在非法行為對(duì)網(wǎng)絡(luò)的攻擊。對(duì)于管理上來講，主要的側(cè)重點(diǎn)在于對(duì)網(wǎng)絡(luò)管理人員的管理。對(duì)于網(wǎng)絡(luò)安全的基本要求主要有以下一個(gè)方面：

1.1 可靠性。可靠性的定義就是網(wǎng)絡(luò)信息系統(tǒng)能夠在目前具有的條件下，以及相應(yīng)的時(shí)間范圍之內(nèi)，保持預(yù)先想要其達(dá)到的功能性特征。可靠性是對(duì)于網(wǎng)絡(luò)系統(tǒng)安全的最基本的要求，如果連可靠性都保障不了，難么一切的網(wǎng)絡(luò)活動(dòng)將無從談起。

1.2 可用性。可用性就是W絡(luò)經(jīng)過設(shè)置之后，網(wǎng)絡(luò)信息可以被所授權(quán)實(shí)體進(jìn)行訪問并按照需求使用的特性。即在經(jīng)過許可之后，網(wǎng)絡(luò)信息服務(wù)在需要的時(shí)候，就會(huì)給予授權(quán)用戶或?qū)嶓w進(jìn)行使用的特性；或者是網(wǎng)絡(luò)在受到部分的損壞及需要降級(jí)使用的時(shí)候，依舊為授權(quán)用戶提供最有效服務(wù)的特性。可用性就是網(wǎng)絡(luò)信息系統(tǒng)面向所有用戶的而最安全性能。網(wǎng)絡(luò)信息進(jìn)系統(tǒng)最基礎(chǔ)的功能就是向用戶提供他們所需的服務(wù)，然而用戶的需求是隨機(jī)的、多方面的、甚至還會(huì)有時(shí)間和速度的要求。與此同時(shí)，可用性就會(huì)對(duì)系統(tǒng)的正常使用時(shí)間與整個(gè)工作時(shí)間的之比來進(jìn)行度量。

1.3 保密性。對(duì)保密性的定義就是保障網(wǎng)絡(luò)信息能夠不受外界非法行為的影響，導(dǎo)致出現(xiàn)信息泄露、信息篡改等。保密性是建立在可靠性以及可用性的基礎(chǔ)之上的，是網(wǎng)絡(luò)安全保障的重點(diǎn)對(duì)象。

1.4 完整性。完整性就是網(wǎng)絡(luò)信息在沒有經(jīng)過授權(quán)之前不能對(duì)其進(jìn)行任何改變的特性。也就是說，網(wǎng)絡(luò)信息在儲(chǔ)存或傳輸?shù)倪^程中保持其完整，不會(huì)偶然的失誤或蓄意地刪除、修改、偽造、插入等破壞的特性。完整性是網(wǎng)絡(luò)中面向信息的安全模式，無論經(jīng)歷怎樣的阻撓和破壞，它要求必須保持信息的原版，換句話說，就是信息的正確生產(chǎn)及安全準(zhǔn)確的存蓄和傳輸。

2.計(jì)算機(jī)網(wǎng)絡(luò)安全中的漏洞掃描技術(shù)分析

由于網(wǎng)絡(luò)會(huì)給人們帶來較多的不安全問題，導(dǎo)致計(jì)算機(jī)網(wǎng)絡(luò)的使用者必須要運(yùn)用相應(yīng)的安全保護(hù)措施，來實(shí)現(xiàn)個(gè)人或者單位的信息安全。在許多網(wǎng)絡(luò)安全研究者的共同努力下，推出的網(wǎng)絡(luò)安全保護(hù)技術(shù)能夠從不同的角度切實(shí)保障網(wǎng)絡(luò)信息的可靠性、可用性、保密性、完整性等。對(duì)安全技術(shù)進(jìn)行分析，主要有：漏洞技術(shù)掃描、訪問控制技術(shù)、防火墻技術(shù)等。這些事比較常規(guī)的，對(duì)于一些稍微特殊的，在此就不一一列舉。以下主要分析的就是漏洞掃描技術(shù)。安全漏洞是計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)當(dāng)中的缺陷，它會(huì)導(dǎo)致外界非法授權(quán)者為獲取信息利用其進(jìn)行不正當(dāng)?shù)脑L問。

2.1 D級(jí)漏洞。D級(jí)漏洞允許遠(yuǎn)程用戶獲取該計(jì)算機(jī)當(dāng)中的某些信息，例如該計(jì)算機(jī)是否處于運(yùn)行狀態(tài)，該計(jì)算機(jī)的操作系統(tǒng)類別等。例如，可以向一臺(tái)計(jì)算機(jī)的目標(biāo)端口發(fā)送SYN分組，假如收到的是一個(gè)來自目標(biāo)端口的SYN/ACK分組，那么我們可以確定此臺(tái)計(jì)算機(jī)正處于被監(jiān)聽的狀態(tài)。從具體實(shí)踐來講，D級(jí)漏洞在其余漏洞當(dāng)中，是對(duì)計(jì)算機(jī)危害最小的。但是它會(huì)為非法侵入者采取下一項(xiàng)行動(dòng)奠定基礎(chǔ)。

2.2 C級(jí)漏洞。C級(jí)漏洞外在表現(xiàn)為允許拒絕服務(wù)。拒絕服務(wù)攻擊是一類個(gè)人或者多人運(yùn)用ntIemct當(dāng)中的某些特性，拒絕向其他的用戶提供合法訪問服務(wù)。這種漏洞最終導(dǎo)致的結(jié)果就是，受到攻擊的計(jì)算機(jī)反映速度減慢，從而導(dǎo)致合法授權(quán)者無法連接目標(biāo)計(jì)算機(jī)。

2.3 B級(jí)漏洞。B級(jí)漏洞是允許本地用戶獲取非授權(quán)的訪問。此種漏洞常常在多種平臺(tái)應(yīng)用程序當(dāng)中出現(xiàn)。

2.4 A級(jí)漏洞A級(jí)漏洞主要是允許用戶未經(jīng)授權(quán)訪問。這屬于這幾種漏洞當(dāng)中危害最大的一種。許多情況下產(chǎn)生的A級(jí)漏洞，都是由于系統(tǒng)管理出現(xiàn)問題，或者系統(tǒng)內(nèi)部參數(shù)設(shè)置錯(cuò)誤導(dǎo)致的。

3.結(jié)語

總而言之，漏洞掃描技術(shù)就是在解決網(wǎng)絡(luò)安全問題的一門比較新穎的技術(shù)。通過市場調(diào)研，防火墻技術(shù)就是當(dāng)病毒入侵時(shí)的被動(dòng)防御，入侵檢測技術(shù)也是一門被動(dòng)的檢測，然而，漏洞掃描技術(shù)則是在沒有別的病毒入侵之前就主動(dòng)進(jìn)行有關(guān)安全方面的全面檢測技術(shù)。所以，從網(wǎng)絡(luò)全面安全的角度出發(fā)，主動(dòng)進(jìn)行安全檢測，防范于未然的漏洞檢測越來越受人們的青睞。

參考文獻(xiàn)：

[1] 朱健華.淺析信息化建設(shè)中的安全漏洞掃描技術(shù)[J].中國科技投資，2012（27）.

[2] 趙燕.漏洞掃描技術(shù)淺析[J].內(nèi)蒙古水利，2011（03）.

篇(6)

關(guān)鍵詞： 地市級(jí)； 門戶網(wǎng)站； 網(wǎng)絡(luò)安全； 保障對(duì)策

中圖分類號(hào)：TP393 文獻(xiàn)標(biāo)志碼：A 文章編號(hào)：1006-8228（2017）02-31-03

0 引言

在政府部門信息化建設(shè)的初期，由于建設(shè)經(jīng)驗(yàn)不足，存在重建設(shè)、輕安全的問題，致使部分黨政機(jī)關(guān)重點(diǎn)門戶網(wǎng)站缺乏必要的安全防護(hù)措施，同時(shí)，網(wǎng)絡(luò)安全制度不健全、落實(shí)不到位、網(wǎng)絡(luò)安全意識(shí)薄弱等問題層出不窮。

1 研究背景與目的

據(jù)國內(nèi)某網(wǎng)絡(luò)信息安全龍頭企業(yè)統(tǒng)計(jì)：2015年全年，該公司網(wǎng)站安全檢測平臺(tái)共掃描各類網(wǎng)站231.2萬個(gè)，其中，存在安全漏洞的網(wǎng)站為101.5萬個(gè)，占掃描網(wǎng)站總數(shù)的43.9%。其中存在高危安全漏洞的網(wǎng)站共有30.8萬個(gè)，占掃描網(wǎng)站總數(shù)的13.0%，與2014年的對(duì)比如圖1所示。

又據(jù)國內(nèi)某網(wǎng)絡(luò)安全防護(hù)領(lǐng)先企業(yè)統(tǒng)計(jì)，2015年，共檢測發(fā)現(xiàn)我國境內(nèi)網(wǎng)站被黑事件33，929，213次，相比2014年的28，898.261次，增長456.44%。

由上述數(shù)據(jù)可見我國網(wǎng)絡(luò)安全現(xiàn)狀不容樂觀。目前國內(nèi)各信息安全機(jī)構(gòu)對(duì)國家和省級(jí)層面的網(wǎng)站安全檢查研究較多，但地市級(jí)的重點(diǎn)門戶網(wǎng)站安全報(bào)告較為稀少，通過本次研究旨在實(shí)現(xiàn)以下三個(gè)目的。

⑴ 通過掃描，檢測當(dāng)前地市級(jí)重點(diǎn)門戶網(wǎng)站的健康概況，查找問題網(wǎng)站清單，發(fā)現(xiàn)面臨的主要網(wǎng)絡(luò)漏洞風(fēng)險(xiǎn)。

⑵ 根據(jù)緊急、高危、中危等風(fēng)險(xiǎn)等級(jí)，對(duì)重點(diǎn)網(wǎng)站進(jìn)行風(fēng)險(xiǎn)評(píng)估，摸清當(dāng)前地市級(jí)重點(diǎn)門戶網(wǎng)站現(xiàn)狀。

⑶ 總結(jié)研究數(shù)據(jù)，分析主要問題，提出符合地市級(jí)網(wǎng)絡(luò)信息安全管理水平，較為普適的保障對(duì)策。

2 研究的對(duì)象及方法

2.1 研究對(duì)象

本次研究對(duì)象為浙江省某地級(jí)市105家重點(diǎn)門戶網(wǎng)站。其中市政府及區(qū)縣政府門戶網(wǎng)站13家，市經(jīng)信委及縣（市、區(qū)）經(jīng)信局門戶網(wǎng)站6家，結(jié)尾的市直黨政機(jī)關(guān)網(wǎng)站56家，直屬機(jī)構(gòu)事業(yè)單位門戶網(wǎng)站30家，基本覆蓋改地級(jí)市網(wǎng)站類關(guān)鍵信息基礎(chǔ)設(shè)施。

2.2 研究實(shí)施過程

⑴ 2016年6月至9月上旬對(duì)該地級(jí)市市直部門、下轄區(qū)縣等單位共105個(gè)網(wǎng)站系統(tǒng)進(jìn)行安全性檢測，檢測內(nèi)容覆蓋網(wǎng)站掛馬、SQL注入、跨站腳本、表單繞過等高風(fēng)險(xiǎn)漏洞情況。

⑵ 2016年9月中下旬，對(duì)檢測的情況進(jìn)行整理、匯總、歸納、分析，多維度評(píng)估事件及漏洞風(fēng)險(xiǎn)等級(jí)，綜合評(píng)定網(wǎng)站的安全現(xiàn)狀。

⑶ 2016年10月，對(duì)網(wǎng)站出現(xiàn)的問題進(jìn)行研究，給出解決對(duì)策。

⑷ 2016年11月，對(duì)本次研究的過程和結(jié)果進(jìn)行終結(jié)，認(rèn)真分析問題，識(shí)別主要隱患，評(píng)價(jià)整改效果，提出下一步工作建議及保障對(duì)策。

3 研究結(jié)果

3.1 總體概況

檢測結(jié)果顯示，12家網(wǎng)站存在緊急及以下風(fēng)險(xiǎn)，5家網(wǎng)站存在高危及以下風(fēng)險(xiǎn)，11家網(wǎng)站存在中危及以下風(fēng)險(xiǎn)，77家網(wǎng)站處于低風(fēng)險(xiǎn)或較為安全的狀態(tài)，具體分布如圖2所示。

3.2 緊急風(fēng)險(xiǎn)漏洞情況

緊急風(fēng)險(xiǎn)漏洞為可以直接被利用的漏洞，且利用難度較低。被攻擊之后可能對(duì)網(wǎng)站或服務(wù)器的正常運(yùn)行造成嚴(yán)重影響，或?qū)τ脩糌?cái)產(chǎn)及個(gè)人信息造成重大損失，是網(wǎng)站安全防護(hù)的重中之重，此次檢測研究發(fā)現(xiàn)，主要存在緊急風(fēng)險(xiǎn)漏洞有以下。

⑴ SQL注入：SQL注入攻擊（SQL Injection），簡稱注入攻擊、SQL注入，被廣泛用于非法獲取網(wǎng)站控制權(quán)，是發(fā)生在應(yīng)用程序的數(shù)據(jù)庫層上的安全漏洞。

⑵ 跨站腳本：跨站腳本攻擊（Cross-site scripting，通常簡稱為XSS）發(fā)生在客戶端，可被用于進(jìn)行竊取隱私、釣魚欺騙、偷取密碼、傳播惡意代碼等攻擊行為。

檢測結(jié)果中緊急風(fēng)險(xiǎn)漏洞的分布如圖3所示。

從網(wǎng)站類型上看，緊急風(fēng)險(xiǎn)漏洞的分布情況如圖4所示。

區(qū)縣政府門戶網(wǎng)站中，有4家存在緊急風(fēng)險(xiǎn)，占31%。市直黨政機(jī)關(guān)門戶網(wǎng)站中，有4家存在o急風(fēng)險(xiǎn)，占7%。直屬機(jī)構(gòu)及事業(yè)單位門戶網(wǎng)站中，有3家存在緊急風(fēng)險(xiǎn)，占10%。經(jīng)信系統(tǒng)門戶網(wǎng)站中，有1家存在緊急風(fēng)險(xiǎn)，占16%。

由此可知，區(qū)縣政府門戶網(wǎng)站面臨較大風(fēng)險(xiǎn)，其次是直屬機(jī)構(gòu)及事業(yè)單位的門戶網(wǎng)站。

3.3 問題解決對(duì)策

⑴ 加強(qiáng)網(wǎng)站對(duì)SQL注入和跨站腳本等主要風(fēng)險(xiǎn)的防范；

⑵ 加強(qiáng)對(duì)網(wǎng)站安全風(fēng)險(xiǎn)的監(jiān)控和持續(xù)防護(hù)；

⑶ 加強(qiáng)對(duì)存在緊急風(fēng)險(xiǎn)漏洞網(wǎng)站的檢查力度。

4 研究建議

根據(jù)此次研究結(jié)果并結(jié)合地級(jí)市普遍存在的實(shí)際情況，對(duì)下一步網(wǎng)絡(luò)信息安全保障工作提出以下幾點(diǎn)建議，以供參考：

⑴ 加強(qiáng)網(wǎng)絡(luò)信息安全相關(guān)人員專業(yè)技術(shù)培訓(xùn)。當(dāng)前安全相關(guān)崗位人員專業(yè)技術(shù)水平還比較欠缺，網(wǎng)絡(luò)安全工作基本上處于完全依賴開發(fā)單位和安全服務(wù)單位的狀態(tài)。應(yīng)組織專門的網(wǎng)絡(luò)信息安全基本技能培訓(xùn)，進(jìn)一步提高網(wǎng)絡(luò)安全工作人員的專業(yè)水平和責(zé)任擔(dān)當(dāng)意識(shí)。

⑵ 進(jìn)一步加強(qiáng)重點(diǎn)門戶網(wǎng)站的應(yīng)急管理體系建設(shè)。研究建立全市重點(diǎn)門戶網(wǎng)站的的應(yīng)急響應(yīng)標(biāo)準(zhǔn)，須要求各單位落實(shí)責(zé)任制，明確應(yīng)急響應(yīng)的各個(gè)環(huán)節(jié)，根據(jù)事件的分級(jí)要求，保證網(wǎng)絡(luò)安全事件發(fā)生時(shí)的應(yīng)急和處置能力。

⑶ 依托云計(jì)算、云防護(hù)等先進(jìn)技術(shù)，加快政府網(wǎng)站集群建設(shè)。依托云技術(shù)、云防護(hù)技術(shù)的網(wǎng)站群模式能有效強(qiáng)化資源整合，規(guī)范建設(shè)運(yùn)維標(biāo)準(zhǔn)，明顯提高安全短板，鞏固提升整體的安全防護(hù)能力。

⑷ 加快相關(guān)管理制度和規(guī)范的制定。目前保障網(wǎng)站安全的應(yīng)對(duì)措施主要是靠技術(shù)手段，需要從政府層面對(duì)網(wǎng)站進(jìn)行統(tǒng)一監(jiān)管并制定一系列規(guī)范的數(shù)據(jù)管理?xiàng)l例，加強(qiáng)個(gè)人隱私保護(hù)、知識(shí)產(chǎn)權(quán)保護(hù)等方面的規(guī)范制度建設(shè)，明確處罰措施。

⑸ 集全市之智，組建專業(yè)可靠的專家智庫。嘗試在地市范圍內(nèi)征集信息安全專家，不拘一格，通過考核選拔，成立網(wǎng)絡(luò)信息安全工作組或者專家智庫，負(fù)責(zé)對(duì)重點(diǎn)門戶網(wǎng)站安全狀況進(jìn)行風(fēng)險(xiǎn)評(píng)估，指導(dǎo)監(jiān)督網(wǎng)絡(luò)安全審查工作，對(duì)安全態(tài)勢進(jìn)行感知和預(yù)判，為主管單位提供智力支撐。

⑹ 強(qiáng)化重點(diǎn)信息化項(xiàng)目系統(tǒng)生命周期的管理。對(duì)于涉及關(guān)鍵領(lǐng)域的大型信息化建設(shè)項(xiàng)目，可從立項(xiàng)設(shè)計(jì)、建設(shè)實(shí)施，到部署運(yùn)維、升級(jí)變更等各個(gè)階段引入并實(shí)施相應(yīng)級(jí)別的安全管理和技術(shù)檢測，落實(shí)等級(jí)保護(hù)，加強(qiáng)關(guān)鍵信息基礎(chǔ)設(shè)施的網(wǎng)絡(luò)信息安全。

5 結(jié)束語

安全是相對(duì)的，不是絕對(duì)的，隨著電子政務(wù)的快速發(fā)展，政府門戶網(wǎng)站的網(wǎng)絡(luò)信息安全任重道遠(yuǎn)。文本中的案例和建議僅提供參考，下一步，信息系統(tǒng)審計(jì)、態(tài)勢感知平臺(tái)等新技術(shù)的應(yīng)用將給主管部門帶來更廣闊的治理思路。

參考文獻(xiàn)（References）：

[1] 工業(yè)和信息化部電子科學(xué)技術(shù)研究所浙江省信息安全行業(yè)

協(xié)會(huì).政府部門如何做好網(wǎng)絡(luò)信息安全檢查工作[J].中國信息化，2014.23：107-112

[2] 知道創(chuàng)宇有限公司.2015年中國互聯(lián)網(wǎng)網(wǎng)站安全報(bào)告.http：

//.cn/zxzx/xhdt/listinfo-31793，2016.4.3.

[3] 奇虎360科技有限公司.2015年中國網(wǎng)站安全報(bào)告http：//

/1101061855.php？dtid=1101062368&did=1101536490，2016.6.1.

[4] Ross Anderso著.齊寧韓志文劉國萍譯.信息安全工程（第2

版）.清華大學(xué)出版社，2012.

篇(7)

關(guān)鍵詞：通訊網(wǎng)絡(luò)信息系統(tǒng);安全防護(hù)技術(shù)

3G通信技術(shù)和移動(dòng)網(wǎng)絡(luò)通信技術(shù)的廣泛應(yīng)用讓現(xiàn)在的人們充分體驗(yàn)到了高新技術(shù)提供的便利。通訊網(wǎng)絡(luò)信息系統(tǒng)作為一個(gè)開放性較高的的通信技術(shù)應(yīng)用平臺(tái)，對(duì)它的安全防護(hù)技術(shù)進(jìn)行研究和探討具有重要的現(xiàn)實(shí)意義和價(jià)值。

1.通訊網(wǎng)絡(luò)信息系統(tǒng)的常見安全威脅

第一，主動(dòng)捕獲用戶身份信息。惡意行為發(fā)動(dòng)者將自己進(jìn)行偽裝，而后以服務(wù)網(wǎng)絡(luò)的身份請求目標(biāo)用戶進(jìn)行身份驗(yàn)證，進(jìn)而獲取用戶的身份信息。第二，干擾正常服務(wù)。依照干擾等級(jí)的不同，可以分為：（1）物理等級(jí)干擾：即惡意行為發(fā)動(dòng)者利用物理手段或者相關(guān)技術(shù)干擾系統(tǒng)的無線鏈路，導(dǎo)致用戶的相關(guān)數(shù)據(jù)以及信令數(shù)據(jù)不能傳輸；（2）協(xié)議等級(jí)干擾：即惡意行為發(fā)動(dòng)者利用某種手段致使特定協(xié)議流程失敗，進(jìn)而起到干擾通信的非法目的；（3）偽裝網(wǎng)絡(luò)實(shí)體：即惡意行為發(fā)動(dòng)者把自己偽裝成為合法的網(wǎng)絡(luò)實(shí)體，迷惑用戶，并拒絕回答用戶的服務(wù)請求，進(jìn)而起到干擾通信的非法目的。第三，非法訪問。即惡意行為發(fā)動(dòng)者以“合法用戶”身份對(duì)網(wǎng)絡(luò)進(jìn)行非法訪問，或者直接進(jìn)行中間攻擊（潛入到用戶和網(wǎng)絡(luò)之間實(shí)施攻擊）。第四，數(shù)據(jù)竊取，惡意行為發(fā)動(dòng)者利用各種手段來竊取用戶信息來達(dá)到非法目的。常用的竊取手段主要有：竊聽用戶業(yè)務(wù)、竊聽信令和控制數(shù)據(jù)、以網(wǎng)絡(luò)實(shí)體的身份竊取用戶信息、分析用戶流量等等。第五，攻擊數(shù)據(jù)完整性。惡意行為發(fā)動(dòng)者利用特殊技術(shù)手段篡改（如修改、插入、刪除等）無線鏈路傳輸中的業(yè)務(wù)信息、信令、控制信息等。

2.通訊網(wǎng)絡(luò)信息系統(tǒng)的安全防護(hù)技術(shù)

2.1強(qiáng)化網(wǎng)絡(luò)漏洞的掃描和修補(bǔ)

與信息化程度不斷提升對(duì)應(yīng)的是，網(wǎng)絡(luò)安全事件（黑客、蠕蟲、木馬、病毒等）的發(fā)生率也是急劇升高。比較的常見的安全防護(hù)措施主要有防火墻、殺毒軟件、入侵檢測等技術(shù)已經(jīng)被廣泛應(yīng)用，其重要性也得到社會(huì)的認(rèn)可；但是根據(jù)Gartner Group公司（全球最具權(quán)威的IT研究與顧問咨詢公司）調(diào)查結(jié)果顯示，全面的漏洞管理過程能夠有效降低九成的成功入侵率，同時(shí)，絕大多數(shù)（接近99％）的入侵均是因?yàn)橄到y(tǒng)已知的安全漏洞或者配置錯(cuò)誤造成的。對(duì)于安全漏洞問題，應(yīng)該及時(shí)、全面、主動(dòng)地進(jìn)行評(píng)估，被動(dòng)防御策略不能夠有效地防治網(wǎng)絡(luò)問題。

安全掃描是預(yù)評(píng)估和系統(tǒng)安全分析，是提高系統(tǒng)安全有效的一項(xiàng)重要措施。通常可以利用安全漏洞掃描系統(tǒng)，自動(dòng)檢測遠(yuǎn)程或本地主機(jī)硬件、軟件、協(xié)議的具體實(shí)現(xiàn)或系統(tǒng)安全策略方面的安全缺陷。通訊網(wǎng)絡(luò)安全漏洞存在于三個(gè)主要領(lǐng)域：網(wǎng)絡(luò)可以提供非授權(quán)物理機(jī)器訪問網(wǎng)絡(luò)接口缺陷和安全漏洞、不兼容軟件與捆綁軟件的漏洞等。對(duì)于“物理漏洞”，以加強(qiáng)網(wǎng)絡(luò)管理人員的網(wǎng)絡(luò)控制或阻止；軟件漏洞可以下載各種相應(yīng)的補(bǔ)丁程序，以確保作業(yè)系統(tǒng)、內(nèi)部網(wǎng)絡(luò)和應(yīng)用服務(wù)器的安全性。

從底層技術(shù)來劃分，可以分為基于主機(jī)的掃描和基于網(wǎng)絡(luò)的掃描。第一，基于主機(jī)的漏洞掃描，通常在目標(biāo)系統(tǒng)上安裝了一個(gè)(Agent)或者是服務(wù)(Services)，以便能夠訪問所有的文件與進(jìn)程，這也使得基于主機(jī)的漏洞掃描器能夠掃描更多的漏洞。第二，基于網(wǎng)絡(luò)的漏洞掃描，可以將此看作為一種漏洞信息收集工具，根據(jù)不同漏洞的特性構(gòu)造網(wǎng)絡(luò)數(shù)據(jù)包，通過網(wǎng)絡(luò)來掃描遠(yuǎn)程計(jì)算機(jī)中，發(fā)給網(wǎng)絡(luò)中的一個(gè)或多個(gè)目標(biāo)，以判斷某個(gè)特定的漏洞是否存在。

2.2信息加密策略

信息加密的本質(zhì)就是利用各種加密算法對(duì)信息進(jìn)行加密處理，加密成本較低，合法用戶的解密操作也非常簡便，因此頗受廣大用戶的青睞。常用的網(wǎng)絡(luò)加密手段主要有節(jié)點(diǎn)加密、端點(diǎn)加密以及鏈路加密等。節(jié)點(diǎn)加密主要是指為了保證源節(jié)點(diǎn)與目的節(jié)點(diǎn)之間的傳輸鏈路安全，為兩點(diǎn)之間的傳輸鏈路提供加密保護(hù)。端點(diǎn)加密主要是為了保證源端用戶與目的端用戶之間的數(shù)據(jù)傳輸安全，為兩個(gè)終端之間提供數(shù)據(jù)加密保護(hù)。鏈路加密主要是指為了確保網(wǎng)絡(luò)節(jié)點(diǎn)之間鏈路信息的傳輸安全，為鏈路傳輸?shù)男畔⑦M(jìn)行加密處理。根據(jù)加密級(jí)別的不同可以自由選擇以上一種或者幾種組合的加密方法。

2.3限制系統(tǒng)功能

可通過來取一些措施來限制系統(tǒng)可提供的服務(wù)功能和用戶對(duì)系統(tǒng)的操作權(quán)限，以減少黑客利用這些服務(wù)功能和權(quán)限攻擊系統(tǒng)的可能性。例如，通過增加軟硬件，或者對(duì)系統(tǒng)進(jìn)行配置如增強(qiáng)日志、記賬等審計(jì)功能來保護(hù)系統(tǒng)的安全：限制用戶對(duì)一些資源的訪問權(quán)限，同時(shí)也要限制控制臺(tái)的登陸。可以通過使用網(wǎng)絡(luò)安全檢測儀發(fā)現(xiàn)那些隱藏著安全漏洞的網(wǎng)絡(luò)服務(wù)。或者采用數(shù)據(jù)加密的方式。加密指改變數(shù)據(jù)的表現(xiàn)形式。加密的目的是只讓特定的人能解讀密文，對(duì)一般人而言，其即使獲得了密文，也不解其義。因此，將數(shù)據(jù)加密后再傳送是進(jìn)行秘密通信的最有效的方法。

2.4入網(wǎng)測試

入網(wǎng)測試的主要內(nèi)容就是對(duì)入網(wǎng)的網(wǎng)絡(luò)設(shè)備以及相關(guān)安全產(chǎn)品進(jìn)行安全水準(zhǔn)、相關(guān)功能和設(shè)備性能進(jìn)行測試。此舉可以有效保證產(chǎn)品或者設(shè)備入網(wǎng)時(shí)不攜帶未知的的安全隱患，保證被測試產(chǎn)品在入網(wǎng)后具有可控性、可用性以及可監(jiān)督性；同時(shí)，嚴(yán)格測試系統(tǒng)的升級(jí)包和補(bǔ)丁包，避免因?yàn)樯?jí)給系統(tǒng)帶來更大的安全隱患。

2.5多通道技術(shù)

采用多通道技術(shù)就是為不同信息提供不同的傳輸通道，例如，專用通道A傳輸管理控制數(shù)據(jù)，專用通道B傳輸業(yè)務(wù)數(shù)據(jù)，通道之間不混用。多通道技術(shù)增加了惡意行為的攻擊對(duì)象，就像上例，惡意行為者必須同時(shí)攻擊A和B通道才可能獲得完整的信息，因此，信息的保密性相對(duì)較高，但是初期的投入成本較高。

2.6構(gòu)建信息網(wǎng)絡(luò)的應(yīng)急恢復(fù)系統(tǒng)

在通訊網(wǎng)絡(luò)信息安全方面必須始終奉行“安全第一，預(yù)防為主”的安全策略。建議成立專門機(jī)構(gòu)對(duì)通訊網(wǎng)絡(luò)信息系統(tǒng)的安全問題全權(quán)負(fù)責(zé)、統(tǒng)一指揮、分工管理，同時(shí)，嚴(yán)格監(jiān)控重要的通訊信息系統(tǒng)，做好應(yīng)急預(yù)案；建立專業(yè)化的應(yīng)急隊(duì)伍、整合應(yīng)急資源，確保信息的安全傳輸；出現(xiàn)問題后能夠及時(shí)有效處置，盡力降低損失；安全工作應(yīng)該突出重點(diǎn)，既注重預(yù)防處理，又重視發(fā)生問題后的實(shí)時(shí)處理能力。