网络系统安全评价及高危漏洞-广东基础教育信息资源中心.ppt

网络系统安全评估及高危漏洞 广东省中小学信息网络管理员安全技术培训班 Dec 2005 许伯桐（博士） Email: burton.xu@ 提纲 安全态势 近年网络安全态势 任何组织都会遭受到的攻击 每年发现的漏洞数量飞速上升 发起攻击越来越容易、攻击能力越来越强 黑客职业化 攻击方式的转变 不为人知的威胁 zero-day 任何组织都会遭受攻击 每年发现的漏洞数量飞速上升 每年发现的漏洞数量飞速上升 2004年CVE全年收集漏洞信息1707条 到2005年到5月6日就已经达到1470条 发起攻击越来越容易、攻击能力越来越强 黑客的职业化之路 不再是小孩的游戏，而是与 ￥ 挂钩 职业入侵者受网络商人或商业间谍雇佣 不在网上公开身份，不为人知，但确实存在！ 攻击水平通常很高，精通多种技术 攻击者对自己提出了更高的要求，不再满足于普通的技巧而转向底层研究 面临严峻的安全形势 SQL Injection等攻击方式对使用者要求较低 缓冲区溢出、格式串攻击已公开流传多年，越来越多的人掌握这些技巧 少部分人掌握自行挖掘漏洞的能力，并且这个数量在增加 漏洞挖掘流程专业化，工具自动化 “看不见的风险”厂商为了声誉不完全公开产品的安全缺陷：漏洞私有，不为人知 网络安全事件造成巨大损失 在FBI/CSI的一次抽样调查结果：被调查的企业2004年度由于网络安全事件直接造成的损失就达到1.4亿美元