网络安全评估系统的研究综述.docVIP

网络安全评估系统的研究综述 作者： 指导老师： 摘要: 随着计算机网络技术的迅速发展，在共享网络信息的同时，不可避免存在着安全风险，网络安全问题己成为当前网络技术研究的重点。网络安全风险评估技术能够检测网络系统潜在的安全漏洞和脆弱性，评估网络系统的安全状况，是实现网络安全的重要技术之一。 本文研究了系统安全漏洞，讨论了网络安全风险评估方法，采用自下而上、先局部后整体的层次化评估方法来分析评估网络系统的安全态势。 关键词:网络安全；风险评估；安全漏洞；威胁评估；脆弱性 引言 当今社会信息化的步伐越来越快Internet得到迅速发展与此时我们面临的网络安全问题也日益严重。随着经济活动的融入，原本不平静的internet变得更加危险，各种病毒、木马、入侵等安全事件层出不穷。再加上现有数量巨大的黑客工具可以随意下载，这使得普通人也可能成为黑客，internet充满了陷阱和危险。不管是网络系统安全漏洞还是网络安全事件都在呈爆发式增长态势。面对如此严重危害计算机网络的各种威胁，必须采取有效措施来保证计算机网络的安全。但是现有的计算机网络在建立之初大都忽视了安全问题，即使有考虑，也仅把安全机制建立在物理安全机制上。随着网络互联程度的不断扩大，这种安全机制对于网络环境来说形同虚设。更令人遗憾的是目前大多数网络所采用的协议:TCP/IP协议存在先天的设计缺陷，对于在上面传输的信息毫无安全性可言，根本不能满足网络安全要求。 仅凭技术是不能从根本上解决安全问题的，更应该从系统工程的角度来看待网络安全问题，风险评估在这项工程中占有非常重要的地位[1]。 2 网络安全与风险评估概述 2.1网络安全概念 网络安全从其本质上来讲就是网络上的信息安全，是指网络系统的硬件、软件及其系统中的数据受到保护，不因偶然的或者恶意的因素而遭到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断[2]。从广义来说，凡是涉及到网络上信息的保密性、完整性、可用性、真实性、不可抵赖性和可控性的相关技术和理论都是网络安全所要研究的领域。网络安全涉及的内容既有技术方面的问题，也有管理方面的问题，两方面相互补充，缺一不可。技术方面主要侧重于防范外部非法用户的攻击，管理方面则侧重于内部人为因素的管理。 网络面临的威胁及对策 网络安全所面临的威胁大体可分为两种:一是对网络中信息的威胁;二是对网络中设备的威胁。影响计算机网络安全的因素很多，归结起来，针对网络安全的威胁主要有以下三种[3]: (1)人为的无意失误:如操作员安全配置不当造成的安全漏洞，用户安全意识不强，用户口令选择不慎，用户将自己的账号随意转借他人或与别人共享等情况，都会对网络安全构成威胁。 (2)人为的恶意攻击:这是计算机网络所面临的最大威胁，敌人的攻击和计算机犯罪就属于这一类。此类攻击又可以分为以下两种:一种是主动攻击，它以各种方式有选择地破坏信息的有效性和完整性;另一种是被动攻击，它是在不影响网络正常工作的情况下，进行截获、窃取、破译以获得重要机密信息。这两种攻击均可对计算机网络造成极大的危害，并导致机密数据的泄漏。 (3)网络软件的漏洞和“后门”:网络软件不可能是百分之百的无缺陷和无漏洞的，然而，这些漏洞和缺陷恰恰是黑客进行攻击的首选目标，导致黑客频频攻入网络内部的主要原因就是相应系统和应用软件本身的脆弱性和安全措施不完善。另外，软件的“后门”都是软件公司的设计编程人员为了方便而设置的，一般不为外人所知，可是一旦“后门”洞开，其造成的后果将不堪设想。 网络提供了方便、高效的信息传输与服务功能，但网络安全的脆弱性与复杂性，又对网络传输的信息构成了新的威胁。目前，我国信息安全防护与保障能力还处于发展阶段，众多信息化领域，实际上是未设防状态，存在着很多技术上或是人为的事故隐患。因此，推进网络信息安全防护、构筑“网络信息安全长城”已是刻不容缓的任务。那么，填补网络软、硬件自身的“漏洞”，避免网络“黑客”的肆意攻击，这就要求网络使用者必须采取相应的网络安全技术来堵塞安 全漏洞和提供安全的通信服务。如今，快速发展的网络安全技术能从不同角度来保证网络信息不受侵犯，解决网络安全的主要技术包括:数据加密技术、访问控制技术、防火墙技术、网络安全扫描技术、网络入侵检测技术、黑客诱骗技术、网络安全风险评估技术。其中网络安全风险评估技术将是本论文要研究的内容。 2.3风险评估定义 安全风险评估的主要内容是对资产识别、估价，脆弱性识别和评价，威胁识别和评价，安全措施确认，建立风险测量的方法及风险等级评价原则，确定风险大小与等级。风险评估是解决信息安全的首要问题，没有进行透彻的风险分析和评估而实施的安全策略就好像先建房屋后画图纸一样，会导致资金和人力资源的巨大消耗和浪费。 2.4风险评估中的脆弱性研究