安全認(rèn)證和評估

1、第20章 安全認(rèn)證和評估20.1風(fēng)險管理圖20-1風(fēng)險評估方法20.2安全成熟度模型1. 安全計劃表20-1安全成熟度能力級別安全成熟度能力級別說明無效力（50%）總的安全體系結(jié)構(gòu)沒冇遵從企業(yè)安全策略、法規(guī)，以及最佳經(jīng)營 實際需要改進(jìn)（65%）安全體系結(jié)構(gòu)中無效力的應(yīng)少于35%合適(85%)企業(yè)的安全計劃、部署、配世和過程控制使安全體系結(jié)構(gòu)能滿足 總的目標(biāo)極好（趙過100%）安全休系結(jié)構(gòu)趙過了總的目標(biāo)及需求2. 技術(shù)和配置3. 運(yùn)行過程20.3威脅威脅源1. 人為差錯和設(shè)計缺陷2. 內(nèi)部人員3. 臨時員工4. 自然災(zāi)害和環(huán)境危害5. 黑客和其他入侵者6. 病毒和其他惡意軟件威脅情況與對策1.

2、社會工程（系統(tǒng)管理過程）2. 電子竊聽3. 軟件缺陷4. 信任轉(zhuǎn)移（主機(jī)之間的信任關(guān)系）5. 數(shù)據(jù)驅(qū)動攻擊（惡意軟件）6. 拒絕服務(wù)7. DNS欺騙&源路由9.內(nèi)部威脅20.4安全評估方法安全評估過程安全成熟度計劃I人工檢査(2)廉洞測試安全評估安全體系結(jié)構(gòu) 發(fā)現(xiàn)監(jiān)控和報答(4)過用處理(5)鳳險分析 經(jīng)營業(yè)務(wù)影響分析(7)圖20-2安全評估階段網(wǎng)絡(luò)安全評估表20-2端口掃描技術(shù)端口掃描技術(shù)描述原型TCP/IP連接打開一個連接觀察感興趣的端口并監(jiān)聽（在攻擊的主機(jī)上不需專門的特 權(quán)九 假如平臺、防火墻或IDS正在監(jiān)控該分組，則易于檢測端口的掃描TCP SYN（半開）這個類取的掃描不是完全

3、的TCP三次握手（SYN輸出，Ack返回，Rst輸 出）。在大多數(shù)悄況監(jiān)控不會捕捉它，但為婆根據(jù)管理特權(quán)來控制低 層聯(lián)網(wǎng)數(shù)據(jù)TCP FIN, Xmas 或 Null （偷襲）掃描TCP協(xié)議文本（RFC 793）規(guī)定關(guān)閉的端口必須對reset（RST分組響應(yīng)。 利用該特性能在無檢測悄況檢測哪些端口是開啟或關(guān)閉的。Microsoft 的聯(lián)網(wǎng)棧不響應(yīng)RST分組，這是另一種來識別網(wǎng)絡(luò)匕平臺類型的方法TCP FTP代理（反彈攻 擊）掃描這種技術(shù)町利用一個FTP服務(wù)器到代理（轉(zhuǎn)發(fā)請求）的聯(lián)接進(jìn)人組織。 換句話說能使用位于防火墻后的一個FTP掃描在防火墻內(nèi)的地址TCP ACR 和 Windows 掃描這個技

4、術(shù)用于某些操作系統(tǒng)聯(lián)網(wǎng)核心TCP窗口大小報告的異常UDP未處理ICMP瑞口 不可達(dá)掃描很多UDP服務(wù)（例如SNMP.NFS.TFTP和DNS）運(yùn)行在平臺上。這個 方法是對冃標(biāo)機(jī)的毎個端口發(fā)送一個0字節(jié)的UDP分組。假如返回一 個不可達(dá)ICMP端口，那么該端口是關(guān)閉的，否則假定端口是開啟的續(xù)表端口掃描技術(shù)描述直接RPC掃描這個技術(shù)用于所有打開的TCP/UDP端口，并用Sun RPC程序NULL命 令將其擴(kuò)散。假如RPC運(yùn)行在任何端口，那么程序及版本號將發(fā)送到攻 擊的機(jī)器由TCP/IP遠(yuǎn)程用戶信息 服務(wù)程序?qū)崿F(xiàn)遠(yuǎn)程OS 標(biāo)識內(nèi)聯(lián)網(wǎng)堆棧標(biāo)識主機(jī)操作系統(tǒng)及版本平臺安全評估應(yīng)用安全評估20.5安全評估準(zhǔn)

5、則1. 可信計算機(jī)系統(tǒng)評估準(zhǔn)則2. 信息技術(shù)安全評估準(zhǔn)則3. 通用安全評估準(zhǔn)則4. 計算機(jī)信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則可信計算機(jī)系統(tǒng)評估準(zhǔn)則1. D級2. C1級，自主安全保護(hù)級3. C2級，受控存取保護(hù)級4. B1級，標(biāo)記安全保護(hù)級5. B2級，結(jié)構(gòu)化保護(hù)級6. B3級，安全域級7. A1級，驗證設(shè)計級計算機(jī)信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則1 概述第五級：訪何驗證保護(hù)級笫四級:結(jié)構(gòu)化保護(hù)級第2級:安全標(biāo)記保滬級第二級:系統(tǒng)審計保護(hù)級第處用八自上保護(hù)級圖203各等級安全保護(hù)能力示總圖2. 技術(shù)功能說明通用安全評估準(zhǔn)則1 概述希里濫川或破壞圖204CC中的安全概念與相互關(guān)系TOE物理環(huán)境嬰求保護(hù)的詩

6、產(chǎn)Torn 的安全環(huán)境素材(PP/ST)1111假設(shè)威脅組織的実全的何題111-女全標(biāo)安全冃標(biāo)cc耍求類安全口標(biāo)素材(PP/ST)功能要求保障要求J.JOE建立環(huán)境要求安全要求素材(PP/ST)IOE槪箜規(guī)范安全規(guī)范素材(PP/ST)圖20-5保護(hù)輪廓與安全目標(biāo)的關(guān)系圖20-6評估的概念與相互關(guān)系圖20-7使用評估結(jié)果2. 安全功能要求與安全保證要求20.6本章小結(jié)習(xí)題1. 什么是風(fēng)險管理？簡述風(fēng)險評估的方法。2. 安全成熟度模型的作用是什么？應(yīng)從哪些方面來分析？3. 弄淸楚威脅的來源是減少威脅得逞可能性的關(guān)鍵，哪些是主要的威脅源？4. 什么是防止電子竊聽的保護(hù)措施？5. 什么是導(dǎo)致不安全的最

7、常見的軟件缺陷？6. 簡述從安全成熟度模型3個方而的安全評估階段。7. 簡述網(wǎng)絡(luò)安全評估的過程和方法。&可信計算機(jī)系統(tǒng)評估準(zhǔn)則的適用范圍是什么？9. il算機(jī)信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則是一個強(qiáng)制性的國家標(biāo)準(zhǔn)，制圮該標(biāo)準(zhǔn)的主要目 的是什么？安全等級是如何劃分的？10. 通用安全評估準(zhǔn)則CC是一個國際標(biāo)準(zhǔn)，CC由哪幾部分組成？其主要內(nèi)容是什么？參考文獻(xiàn)1. Eric Maiwald. Network Security. McGraw Hill, 20012. Christopher M.King, Curtis E.Dalton & T.Ertem Osmanoglu. Secu

8、rity Architecture. cGrawHill, 20013. William Stallings. Network Security Essentials: Applications and Standards. Prentice Hill 20004. 20015. Douglas E. Comer. Internetworking with TCP/IP Vol I. Prentice HilL 20006. Informalioii Assurance Technical Framework (IATF) Document 3.0. IATF Fonim Webmaster,

9、 20007. 信息處理系統(tǒng)開放系統(tǒng)互連基本參考模型一一第二部分：安全體系結(jié)構(gòu)(GB仃9387.2 1995)(等同于 ISO74982)8. il-M機(jī)信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則(GB178591999).國家質(zhì)量技術(shù)監(jiān)督局發(fā)布， 19999. Bruce Schneier. Digital Security in a Networked World. John Wiley & Sons, Inc., 200010. D. Brent Chapman, Elizabeth D. Zwicky. Building Internet Firewalls. O'Reilly &a

10、mp; Associates, Inc., 199511 Marcus Goncalves .Firewalls: A Complete Guide. 200012. William R. Cheswick, Steven M. Bellovin. Firewalls and Internet Security, 200013. The Twenty Most Critical Internet Security Vulnerabilities ()14. Casey Wilson» Peter Doak. Creating and Implementing Virtual Priv

11、ate Networks. The Coriolis Group, 199915. Naganand Doraswamy, Dan Harkins IPScc: The New Security Standard for the Internet. Intranets and Virtual Private Networks. Prentice HalL 199916. Bnise Schneier. Applied Cryptography: Protocols, Algorithms and Source Code in C, Second Edition, John Wiley and

12、Sons, 199517. Steve Burnett and Stephen Paine. RSA Securityr s Official Guide to Cryptography. Osborne McGraw Hill, 200118. Stuart McClure, Joel Scambray, George kurtz. Hacking Exposed: Nertwork Security Secrets& Solutions. McGraw Hill, 200119. Matt Bishop. Vulnerabilities Analysis, 199920. Rick

13、 Tims Social Engineering: Policies and Education a Must, February 16, 200121. Dan Farmer Wietse Venema. Improving the Security of Your Site by Breaking into it, 199322. Ofir Arkin. Network Scanning Techniques, Nov., 199923. Matt Bishop, David Bailey. A Critical Analysis of Vulnerability Taxonomies,

14、199624. Dennis Longley and Michael Shain. The Data & Computer Dictionary of Standards, Concepts and Terms, 199025. 薛靜鋒.UNIX主機(jī)安全漏洞分析及漏洞掃描器的設(shè)計與實現(xiàn),200226. Rebecca Bace An Introduction to Intrusion Detection and Assessment27. Mike Fiskyx, George Varghesey Fast Content Based Packet Handling for Intru

15、sion Detection. UCSD Technical Report CS2001 0670, May, 200128. Mark Crosbie. Automated Intnision and Misuse Detection: A Guide to Understanding the Technology and Evaluating Your Needs29. Martin Roesch. Snort Users Manual. 10th August, 200130. Michael Mullins. Implementing a Network Intnision Detec

16、tion System, 16 May, 200231. 胡道元.Intranet網(wǎng)絡(luò)技術(shù)及應(yīng)用.北京：淸華大學(xué)出版社，199832. David Harley, Robert Slade, Urs E.Cattiker. Viruses Revealed. McGraw Hill, 200133. 200234. 閔京華.電子政務(wù)中的應(yīng)用安全平臺.信息安全與通信保密，2002第9期(總21期), 第41頁35. ISO/IEC 17799: 2000 Information Technology Code of Practice for Information Security Manage

17、ment36. BS7799 2: 1999 Information Security Management Specification for Information Security Management Systems37. 信息系統(tǒng)安全技術(shù)國家標(biāo)準(zhǔn)匯編.北京：中國標(biāo)準(zhǔn)出版社，200038. Neal Kiawet乙 Imroduction to Network Security. Charles River Media, 200739. Information Systems Security Certification Consortium ertified Information Systems Security Professional, 200640. ISO/IEC FDIS 18028 2:2005 Information technology Security techniques IT Network security Part 2: Network security architecture41.42.43. ISO/IEC FDIS 18028 1:2006 Infonnation technology Security techniques IT Network