校园网de渗透、评估及加固方案de设计.pdfVIP

一 使用DREAD模型来协助计算危险，考虑五个 计算给定威胁的值，根据其值来计算危险程度。总分 因素，即潜在损失(如果缺陷被利用，损失有多大)、 12～15的威胁评价为高度危险，8～1l的威胁评价 重现性(重复产生攻击的难度有多大)、可利用性 (发 为中度危险，5～7的威胁评价为低度危险。威胁评 起攻击的难度有多大)、受影响的用户(用近似的百 价表如表一所示。 分数表示，有多少用户受到影响)，匹配以上的问题， 表一 威胁评价表 评价 高 (3) 中 (2) 低 (1) 攻击青可以暗中 破坏安全系统，获 D 潜在的损失 取完全信任 的授 }I漏敏感信息 泄漏价值不商的信息 权，以管理员的身 份运行程序，上传 内 。 攻击每次 叫以重 攻击每次可 以重现 ， R 重现性 现 ，而且不需要时 但只在 个时问问隔 攻 R难蘑现，即使很了解安 间问隔 和 种特定的竞争条 全漏洞。 。 件下 能进行。 编稗新手在短时 熟练编程人员町以进 这类攻击需要非常老练的人员 E 可利用性 间内就 以进行 行这类攻击 ，然后重 能进行，并对每次攻击都有 这类攻击。 复进干jj塞些步骤 。 深入 的了解。 A 受影响的用 所有的用户，默认 些‘用户，非默认 极少的用户，特点不明确，影 rh 配置，主要客户 配置 响匿名用户 廊用程序中很少使用 公开解释攻击的 部分的缺陷 ， 只有少 D 信息 。町以在最常 锩洪不明 ，用户不I=I_f能引起 日r发现性 用功能中找到的 量的用户 口j能遇到。 潜在的损失 缺陷，非常明显。 判断是否足恶意使用 需要花费 些心机。 根据渗透该高校网站的内容，D (潜在的损失) 符合中风险情况，较为熟悉的编程人员可实现跨站 符合高风险情况，攻击者可以暗中破坏安全系统，获 脚本攻击，评定为2分；A(受影响的用户)符合高风 取完全信任的授权，以管理员的身份运行程序、上传 险情况 ，所有的用户都受到影响，评定为3分；D(可 内容，评定为 3分；R(重现性)符合中风险情况，系 发现性)符合中风险情况，应用程序中很少使用部分 统管理可以根据文件产生时间和管理员账户或者登 的缺陷，只有少量的用户可能遇到，评定为2分。综 陆时间来做相应的调整，评定为2分；E(可利用性) 合五个因素，该站点评定分数为 12分 ，威胁评价为 】】4 高度危险。 员用户访 问该网站除80端 口外的端 口，限制主机 4校园网的安全加固方案