网络安全评估活动报告与解析

《网络安全评估活动报告与解析》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

　　网络安全评估活动报告与解析|第1活动背景根据国内一些网络安全研究机构的资料，国内大部分的ISP、ICP、IT公司、政府、教育和科研机构等都没有精力对网络安全进行必要的人力和物力投入；很多重要站点的管理员都是Inter的新手，一些操作系统如UNIX，在那些有经验的系统管理员的配置下尚且有缺陷，在这些新手的操作中更是漏洞百出。很多服务器至少有三种以上的漏洞可以使入侵者获取系统的最高控制权。为了使广大用户对自己的网络系统安全现状有一个清醒的认识，同时提高对信息安全概念的了解和认识，强化网络系统安全性能，首创网络近日向用户推出安全扫描服务活动。评估主机范围Capital技术支持中心在开展此次活动之前得到了客户的书面授权。活动中，根据客户提供的IP地址，并按照客户指定的时间，对包括网络设备和应用服务器等在内的主机系统进行安全评估。评估时间和方式此次活动持续两个月时间，由7月1日开始，到8月31日结束。在活动期间，首创网络技术支持中心安全产品组的专家们在与用户达成共识的前提下，利用专业的安全评估工具，对客户网络信息系统中的重点环节进行了全方位的安全扫描，并根据扫描结果产生了安全评估报告，提交给客户。客户可以根据这一安全评估报告充分了解自己信息系统的安全情况，进而采取相应的安全应对措施，从而提高网络系统安全性。评估单位分布此次评估活动共收到IP地址93个，分别来自不同行业的34家单位。这些单位分别属于多种行业部门。评估主机分类93个IP地址基本代表93台主机，分别为各个单位提供不同的信息化应用。如：ail等常见应用和防火墙等特殊应用。评估漏洞分布在93台主机提供的各种信息应用中，都存在这样或那样的漏洞，此次评估都漏洞的风险分为三种：高风险漏洞、中风险漏洞、低风险漏洞。参照标准为：●高风险漏洞代表该漏洞可以使攻击者可以得到该主机的最高权限或中断网络服务；●中风险漏洞代表该漏洞可以获取主机信息，有助于攻击者进一步攻击，或存在潜在致命漏洞； ●低风险漏洞代表该漏洞会间接影响系统服务的正常运行。评估漏洞类型本次扫描活动主要采用了三星信息安全公司的安全评估工具SecuiScan，但为了真实反映客户的漏洞存在情况，也结合了其它著名的安全评估工具，为俄罗斯著名安全评估软件Shadodshell就可远程以SYSTEM账号在服务器上任意执行程序或命令，事实上，MSSQLServer默认安装的管理员sa的密码为空，并且大多数系统管理员的确没有重新设定为新的复杂密码，这直接就留下了严重的安全隐患。4.IIS缓冲溢出攻击：对于IIS4.0和IIS5.0来说都存在有严重的缓冲溢出漏洞，利用该漏洞远程用户可以以具有管理员权限的SYSTEM账号在服务器上任意执行程序或命令，极具危险性。实施较为复杂，但是可以获得这种攻击的傻瓜攻击软件。这种攻击主要存在于Windoail、LocalPrinter、CGI、Virus、Trojan、DOS、DDOS等漏洞攻击的手段，但在这次评估活动中表现的不是非常明显。整体安全评估报告主机系统的安全评估主要在于分析主机系统存在的安全弱点和确定可能存在的威胁和风险，并且针对这些弱点、威胁和风险提出解决方案。主机存在安全弱点安全弱点和信息资产紧密相连，它可能被威胁利用、引起资产损失或伤害。但是，安全弱点本身不会造成损失，它只是一种条件或环境、可能导致被威胁利用而造成资产损失。安全弱点的出现有各种原因，例如可能是软件开发过程中的质量问题，也可能是系统管理员配置方面的，也可能是管理方面的。但是，它们的共同特性就是给攻击者提供了对主机系统或者其他信息系统进行攻击的机会。经过对这些主机系统和防火墙的扫描记录分析，我们发现目前该网络中的主机系统主要弱点集中在以下几个方面：1．系统自身存在的弱点对于商业UNIX系统的补丁更新不及时，没有安全配置过，系统还是运行在默认的安装状态非常危险。对NT/2000的服务器系统，虽然补丁更新的比及时，但是配置上存在很大安全隐患，用户的密码口令的强度非常低很多还在使用默认的弱口令，网络攻击者可以非常轻易的接管整个服务器。另外存在IPC$这样的匿名共享会泄露很多服务器的敏感信息。2．系统管理存在的弱点 在系统管理上缺乏统一的管理策略，比如缺乏对用户轮廓文件（Profile）的支持。在系统中存在空口令的Guest组的用户，这些用户有的是系统默认的Guest用户，有的是IIS和SQL服务器的默认安装用户。这些用户有些是被系统禁用的，如Guest，有些则没有，没有被禁用的这些账号可能被利用进入系统。3．数据库系统的弱点数据库系统的用户权限和执行外部系统指令是该系统最大的安全弱点，由于未对数据库做明显的安全措施，望进一步对数据库做最新的升级补丁。4．来自周边机器的威胁手工测试发现部分周边机器明显存在严重安全漏洞，来自周边机器的安全弱点（比如可能使用同样的密码等等）可能是影响网络的最大威胁。主机存在的威胁和风险安全威胁是一种对系统、组织及其资产构成潜在破坏能力的可能性因素或者事件。产生安全威胁的主要因素可以分为人为因素和环境因素。人为因素包括有意的和无意的因素。环境因素包括自然界的不可抗力因素和其它物理因素。威胁可能源于对企业信息直接或间接的攻击，例如非授权的泄露、篡改、删除等，在机密性、完整性或可用性等方面造成损害。威胁也可能源于偶发的、或蓄意的事件。一般来说，威胁总是要利用企业网络中的系统、应用或服务的弱点才可能成功地对资产造成伤害。因此威胁分析是围绕信息系统的可用性、保密性、完整性、可控性、可审查性、抗抵赖性进行的。安全风险则是一种可能性，是指某个威胁利用弱点引起某项信息资产或一组信息资产的损害，从而直接地或间接地引起企业或机构的损害的可能性。在这次评估中，主机系统存在的威胁和及其产生的安全风险主要有以下几个方面：1.针对主机的攻击威胁包括针对Windo和ERP这样的系统。总部与分支机构之间经常有大量机密的数据需要交互，对于这样的企业，如果不做好全面的安全规划并采取相应的安全手段，也容易对外暴露很多安全漏洞。面对送过来的扫描结果和漏洞分析，客户的反应五花八门：有的客户一接到扫描的结果，发现自己的网络安全存在这么多的问题，非常着急，立刻要求首创为其提供相应的解决方案；有的客户要求首创帮助把漏洞堵上；也有客户说，卖我们一个防火墙吧；还有客户没有反应，好像在忙着理顺自己的网络，无暇顾及安全问题。安全防范，投入多少并采取哪些手段 有两个问题需要企业考虑清楚，一是企业要保护的信息到底值得投入多少；二是采取什么手段。网络时代，企业要连接到互联网上与外部沟通。任何企业无论大小，总是有些信息是不希望被外界知道的，每一个企业都有必要采取一定的手段保护自己的信息，防止被别人窃取、篡改或者破坏。那么企业值得投入多少人力、物力和财力保护信息安全？信息的价值其实不太好量化。钟博认为，那些有关产品生产的科研数据，如果被竞争对手掌握，很快抢占市场，可能造成经济利益的巨大损失，那么可以说这些信息非常有价值；还有企业的人事信息和财务信息，一般来说也是需要保密的；也有一些信息可能被别人看到也没有太大问题。信息的价值是可以分级别的，针对信息的价值企业考虑是否投入相应的人力、物力和财力来做相应的保护。一般来说，在一个企业的网络的建设中，在信息安全方面需要15%～20%的投入，对于不同的行业，比例会有所不同，有的企业可能会更高，这主要取决于企业需要保护的信息价值有多大。在确定需要多少投入进行信息安全建设之外，还要考虑如何来保护和合理地分摊投入。主要有安全管理，安全技术和产品这两个方面。企业一方面要与提供安全产品或者解决方案的厂商共同制定一个合理的安全管理制度，另一方面，要很好地利用安全产品，让它在企业安全防范中发挥作用。安全管理就是制定安全策略，安全管理制度。比如员工上机制度，机房管理制度等等，不同的企业具体情况不同，需要网络安全厂商或者解决方案提供商同客户共同协商制定。如果客户对此不太了解，就需要安全厂商先提出方案，然后由客户认可之后在企业内执行。而对于安全技术和产品来说，很多企业认为，购买了一个防火墙、防病毒的产品，把它们加入到信息系统里面，就认为万事大吉了。但实际上，很可能由于管理方面的不当，不能够起到很好的保护的作用。安全事件的产生源，分为内部和外部的两种，如果是内部人员有意要破坏信息，可能要比来自外部的更轻车熟路。首先要准确地区分什么是内部和外部。一个公司内外隔离的点，一般是企业内部网络与互联网的接入点，在这个点上可以做防火墙等设置。在整个企业实体的内部，还要做一些具体的划分，核心的部分要作为内部的内部，即使是内部员工也不可以随便访问。在内部解决安全问题常见的手段就是入侵检测，防止入侵行为出现。有重要的数据存储的部分，需要数据完整性的保护，需要防病毒、身份认证和审计等等安全手段。找准隔离和保护的点在哪里，这样才知道相应的安全设备和手段应该用在什么地方。安全意识淡薄、无序竞争的现状有待改进 2001年，安全产品的市场份额已经达到40亿，2002年将会继续增长，安全市场成为整个IT业的一个亮点。国内的安全厂商也很多，但是存在无序竞争和恶性降价的情况。在安全产品竞争中，有些地方存在地方保护主义。在产品与服务的意识上，中外企业也有差别。首创网络是一家网络安全解决方案提供商，在为客户服务的过程中，钟博觉得外资客户更看重安全服务，比如安全扫描，入侵检测数据的报告，以及出现某种问题的分析，甚至提出租用安全服务提供商的设备，而国内企业比较重视安全产品的拥有。目前，整个安全市场的发育不是很平衡，大多数客户认识到的安全产品只有防火墙和防病毒产品。实际上，信息安全领域还有很多其它产品：比如身份认证、保密产品、VPN（虚拟私有网）、关键行业使用的防电磁泄露、信息隐藏（数字水印）、政府部门需求比较多的物理隔离等等。在首创网络的这次安全评估报告总结中，我们可以看到，企业普遍缺乏安全意识，不知道自己其实面临很大的危险，专业知识不够，对安全产品的选择、使用和设置不当，没有合理的安全管理策略和机制。如何提高企业的安全意识呢？钟博认为必须要让企业有切身的面临危机的感受。通过首创网络的这次扫描活动，让客户意识到，他的网络中肯定是存在这样那样的漏洞，并且有具体的描述，这样多多少少都会引起客户注意。这其实也是首创网络在积极地提醒市场的一种行为。企业在考虑信息安全问题的时候，如果信息系统正在建设的过程之中，这时需要把相关安全问题考虑进去。如果信息系统已经建好了，只是做安全增强的工作，这时可能就比较困难，可能需要对整个系统的参数配置做一些修改，客户有时会为了避免麻烦而放弃安全方面的考虑。对于信息系统已经建好的企业，最好是能够及时地意识自己的安全问题，尽量做一些相关的调整.