安全评估报告模板v01.docVIP

xxx 安全评估报告 文档时间：2012/12/xx 目 录 安全评估方案简介 本次安全评估的对象为学校行政职能部门对外提供网络服务的所有主机（除去使用教育网段以外IP的部门产业处和成教、网络教育学院）。评估过程主要分为以下几个步骤： 扫描工具扫描人工安全检查渗透测试安全策略评估扫描工具扫描 Web应用程序层面 渗透测试步骤 渗透测试流程 渗透测试流程图如下： 　　由于网站是内部开放，故流程图中某些步骤并未进行。 信息收集阶段 对所要测试的应用系统进行漏洞扫描，对扫描结果进行分析并发现潜在的安全风险。 信息分析阶段 分析扫描结果，对一些敏感信息进行整合，对网络拓扑情况进行分析，对所开放的服务进行排查，发现系统存在的安全漏洞，分析网络结构对可利用主机进行渗透，进一步提升权限，以达到控制网络目的。 模拟测试阶段 综合以上的信息收集和分析结果后，对所测试的应用系统开始进行模拟攻击，以下是针对该应用系统的攻击测试方式。 Nmap强行突破扫描、口令猜解 通过互联，发现XXXXXXX部分敏感信息。 Web服务器应用程序分析 通过对应用层程序辅助测试工具以及手工测试，在应用系统上，发现有网站配置原因导致的目录过滤不严网站及服务器敏感信息泄漏等现象。详情请见风险描述。 测试结果记录 出现问题测试工具、参数、结果、原始记录及简要分析过程。 系统层面渗透测试： Web应用程序层面渗透测试： 压力测试和负载测试 （需要经过申请，测试有可能会导致服务停止） 安全策略评估 漏洞总结和建议 通过对应用系统的渗透测试发现，该目标主机存在高风险的信息泄漏漏洞和一些系统环境配置方面的纰漏，恶意攻击者能够利用此漏洞控制当前应用系统，并能够进行添加，修改，删除等恶意操作。 建议： 对于系统层上的安全apache tomcat 浏览任意web目录漏洞，建议对目录列表进行禁止设置； 对于wamp的探针index1.php进行删除； 对于系统后台地址建议进行更复杂的设置； 建议加强管理员的口令以及设置安全问题信息； 建议使用网站系统自带的data目录隐藏功能，提高网站安全性； Apache,mysql,php版本偏低，建议升级； 关闭服务器不必要的端口和服务，使服务器在最小安全化下运行； 西南科技大学网络应急响应小组（SNERT） 2012年12月x日 附件： 西南科技大学xxxx安全评估报告 指导老师： 测评人员名单： 姓名 学院 班级 分工 兹此 证明 西南科技大学网络应急响应小组（SNERT） 2012年12月xx日 附测评人员行为准则： 为保证测试过程的规范、安全、高效、可靠，每一个参与测试的人员均应遵守以下规则： （1）在我们的测试方案中，对测试行为、测试时间、测试地点均进行了约束，参测人员必须严格此方案执行。严禁任何人擅自尝试测试方案中未规定的危险操作。 （2）对测试过程必须进行详细记录，便于日后查验。 （3）测试中，任何人发现的任何漏洞都必须上报并记录，严禁发现漏洞后隐瞒，严禁利用测试中发现的漏洞进行非法活动或谋取私利。 （4）所有参测人员必须严谨、细致地进行测试，并尽全力避免引起网络阻塞或服务器死机等严重问题。 SNERT 安全评估报告 - 1 -