信息系统安全风险评估培训材料技术分析.ppt

风险评估相关概念 渗透测试一般流程 计划与准备 测试计划 测试准备 侦查分析阶段 信息收集 目标判别 漏洞查找 攻击阶段 获取权限 权限提升 … … 渗透测试一般方法 远程溢出攻击测试 口令破解 Web脚本及应用测试（SQL注入、XSS等） 本地权限提升测试 网络嗅探监听 其它（社会工程学等） …… 渗透测试分类 黑盒测试 （”zero-knowledge testing”）渗透者完全处于对系统一无所知的状态。通常，这种类型的测试，最初的信息获取来自DNS、Web、Email及各种公开对外的服务器。 白盒测试 测试者可以通过正常渠道向被测单位取得各种资料，包括网络拓扑、员工资料甚至网站或其他程序的代码片段，也能与单位其他员工进行面对面的沟通这类的测试目的是模拟企业内部雇员的越权操作 脆弱性识别方法-人工审计 采用人工审计方式可以对漏洞扫描的结果进行验证和分析，也可以检查某些无法利用工具扫描的内容 人工审计内容 网络安全 网络拓扑结构 子网划分 网络边界 审计日志 网络流量与拥塞控制 网络设备的安全配置 ……. 主机安全 审计日志 自主访问控制功能 强制访问控制功能 目录与文件权限 口令设置 登陆设置 资源使用设置 进程与端口关联 ……. 人工审计内容（续） 专用业务/应用系统安全 通讯安全性 本地文件存储安全性 登陆过程安全性