信息系统脆弱性评估报告.docVIP

密 级： 内部 文档编号：2007002-010 项目编号：2007002 XX市地税局信息系统 脆弱性评估报告  目 录 1 概述 3 2 风险值分布 4 2.1 主机资产 4 2.1.1 工具评估分析布情况 4 2.1.2 人工评估 39 2.1.3 渗透测试 64 2.1.4 管理评估 67 2.1.5 主机资产最终风险值 68 2.2 网络资产 69 2.2.1 工具评估 69 2.2.2 人工评估 70 2.2.3 管理评估 72 2.2.4 网络设备最终风险值 72 2.3 安全资产 73 2.3.1 管理评估 73 2.3.2 安全资产最终风险值 73 2.4 存储资产 74 2.4.1 管理评估 74 2.4.2 存储资产最终风险值 75 2.5 数据资产 75 2.5.1 工具评估 75 2.5.2 管理评估 76 2.5.3 数据资产最终风险值 77 2.6 保障资产 77 2.6.1 管理评估 77 2.6.2 保障资产最终风险值 78 2.7 线路资产 78 2.7.1 管理评估 78 2.7.2 线路资产最终风险值 79 概述 根据《XX省人民政府信息化工作办公室关于印发信息安全风险评估试点工作实施方案的通知》文件精神，XX省信息安全测评中心承担了XX市地税局“征管信息系统”的风险评估工作。我中心以建立符合我省情况的风险评估方法、积累风险评估工作经验、培养队伍、协助XX市地税局更深入地了解其信息系统安全现状为目标，通过文档分析、现场访谈、问卷调查、技术评估等方法，对XX市地税局“征管信息系统”进行了全面的信息安全风险评估。 脆弱性是资产本身存在的，如果没有被相应的威胁利用，单纯的脆弱性本身不会对资产造成损害。而且如果系统足够强健，严重的威胁也不会导致安全事件发生，并造成损失。即，威胁总是要利用资产的脆弱性才可能造成危害。 资产的脆弱性具有隐蔽性，有些脆弱性只有在一定条件和环境下才能显现，这是脆弱性识别中最为困难的部分。不正确的、起不到应有作用的或没有正确实施安全措施本身就可能是一个。针对每一项需要保护的资产威胁利用的，并对脆弱性的严重程度进行评估。脆弱性时的数据应来自于资产的者使用者相关业务领域软硬件方面的专业人员。脆弱性所采用的方法主要：问卷调查、工具、查、文档查、渗透测试等。 风险值分布 根据国家风险评估估计，把信息资产分为硬件资产、软件资产、数据资产、文档资产、人员资产。 结合资产相关性，我们风险的分布划分成： 主机资产（主机+系统软件+应用软件） 网络资产（网络设备） 安全资产（安全设备+安全软件） 存储资产 数据资产 保障资产 主机资产 工具评估分析布情况 XX.20.225.18 漏洞名称 风险级别 漏洞概要5 相关端口 备注 Microsoft Windows 2000 WebDAV远程缓冲区溢出漏洞 4 Microsoft Windows 2000 WebDAV远程缓冲区溢出 80 误报 CodeRed 4 红色代码X版本检测 80 误报 http服务支持TRACE方法 3 http TRACE XSS 攻击 80 应用IIS .IDA ISAPI筛选器 3 测试 IIS .ida ISAPI 过虑器。 80 检测WebDAV是否开启 3 检查是否安装了WebDAV。 80 路由跟踪测试 1 traceroute 0 HTTP服务器类型和版本 1 服务器类型和版本 80 Microsoft .NET 句柄枚举 1 检测.NET framework的版本。 80 WEB服务器目录扫描 1 目录扫描器 80 风险级别 漏洞个数 5 0 4 0 3 3 2 0 1 4 XX.20.225.1 漏洞名称 风险级别 漏洞概要5 相关端口 备注 rpc.walld 格式串 4 Checks the presence of a RPC service核对RPC服务器的运行 32771 误报 CDE ToolTalk数据库服务器rpc.ttdbserverd远程格式串溢出漏洞 4 Checks the presence of a RPC service检查RPC 服务是否存在。 32769 Sendmail prescan头处理远程溢出漏洞 4 检测Sendmail版本5 25 Sendmail DNS Map TXT 记录溢出 4 检测Sendmial的版本号 25 Sendmail -bt选项 4 检测版本号 25 误报 Sendmail 远程头缓冲溢出 4 检查版本 25 cmsd服务检