第3章 网络攻击与安全评估.ppt

第3章 网络攻击与安全评估 3.1 网络攻击的概念及分类 3.2 计算机及网络的漏洞分析 3.3 网络脆弱性的评估技术 3.4 信息系统安全风险的概念与评估 3.5 网络与信息安全的风险管理 3.1 网络攻击的概念及分类 3.1.1网络攻击的基本概念 3.1.2 网络攻击的分类 3.1.1网络攻击的基本概念 网络攻击是指网络用户未经授权的访问尝试或者使用尝试，其攻击目标主要是破坏网络信息的保密性、网络信息的完整性、网络服务的可用性、网络信息的非否认性(抗抵赖)和网络运行的可控性。 3.1.2 网络攻击的分类 网络安全研究的一个关键问题是对网络攻击的认识，对网络攻击进行分类是网络安全研究的一个重要方面。 1.矩阵分类法 2.基于攻击手段的分类 3.基于攻击过程的分类 4.基于攻击目的的分类 5.基于多维属性的分类法 1.矩阵分类法 2.基于攻击手段的分类 网络攻击手段可以从理论和技术两个层面来区分，一是理论攻击，二是技术攻击。 所谓理论攻击，就是密码学意义上的攻击，只专注于攻击概念或攻击过程、算法，而不考虑具体的技术实现;技术攻击与特定的网络协议、操作系统及应用程序相关，存在明显可操作的攻击步骤，攻击者可借用一定的分析手段和攻击工具来达到特定的攻击目的. 3.基于攻击过程的分类 Stallings定义了以下四种网络攻击类型:中断(interruption)、窃听(Interception)、篡改 (Modification)、伪造(Fabrication)。 4.基于攻击目的的分类 对网络攻击也可以按攻击的目的分为拒绝服务、信息利用、信息收集和假消息攻击等几种。 5.基于多维属性的分类法 Edward将基于过程的分类法的内涵扩展为更广的攻击过程或攻击操作序列，如图3-2。 3.2 计算机及网络的漏洞分析 网络系统中弱点和漏洞的存在是网络攻击成功的必要条件之一。由于网络系统规模越来越大，系统复杂性逐渐上升，系统内部存在弱点、漏洞几乎不可避免。 3.2.1 漏洞的基本概念及分类 1. 漏洞的基本概念 漏洞是在硬件、软件、协议的具体实现或系统安全策略上存在的缺陷，它使得攻击者在未被授权的情况下访问或者攻击某个系统成为可能。 2. 漏洞的分类 随着计算机软硬件系统的日益扩大，系统的复杂性也越来越高，这导致没有人能完全细致地了解整个系统。漏洞的具体成因可能有许多种：工程师设计时考虑不周、程序员编码时不够严谨、企业为了追求效益而故意从简等。 表3-2 漏洞的分类 3.2.2 网络漏洞 网络漏洞的描述性定义：存在于计算机网络系统中的、可能对系统中的组成和数据造成损害的一切因素。 3.2.3 漏洞分级 国际上承认的一些标准有：微软标准、Oracle标准、法国安全组织的FrSIRT标准、美国计算机紧急响应小组标准US-CERT (United States Computer Emergency Readiness Team)、国家计算机漏洞库NVD (National Vulnerability Database)、中国“国家漏洞库”(Chinas National Vulnerability Database)等 接下来简要介绍其中4种： 1. 微软标准（Microsoft Vulnerability Severity Rating Standards） 2. Oracle标准（Vulnerability Security Ratings of Oracle） 3. FrSIRT标准（FrSIRT Vulnerability Severity Ratings Standard） 4. 美国计算机安全紧急响应小组标准(US-CERT) 1. 微软标准（Microsoft Vulnerability Severity Rating Standards） 危急--无需用户激活的网络蠕虫传播的漏洞； 高--漏洞的利用会危及到用户数据的机密性，完整性和有效性； 中--开发利用该漏洞比较困难，漏洞的利用受限于默认配置，验证等因素； 低--漏洞的利用非常困难，或者漏洞的影响非常小。 2. Oracle标准（Vulnerability Security Ratings of Oracle） 高--利用该漏洞基本不需要攻击者掌握专业知识。需立刻对受影响的产品应用补丁； 中--利用该漏洞需要攻击者掌握一些专业知识。对受影响产品应用补丁的顺序在高级别之后； 低--利用该漏洞需要攻击者具备相当的专业知识。对受影响产品应用补丁的顺序在中级别之后。 3. FrSIRT标准（FrSIRT Vulnerability Severity Ratings Standard） 严重--可远程利用的漏洞，可导致系统崩溃（不需要用户交互）； 高-