網(wǎng)絡(luò)安全評估

前言

我已經(jīng)以多種方式公開從事有關(guān)計算機和軟件漏洞方面的工作十多年了。在非公開場合，我似乎一生都在參與計算機及其他相關(guān)方面的工作。我通過Lopht組織發(fā)表了一些早期的建議。有些報告被送往了政府部門，有些攻擊和防御工具發(fā)布出來，從LOPhtCrack到Anti-Snff，再到SLINT，還有一些個人和工作專用工具。保護備受關(guān)注的各種網(wǎng)絡(luò)，無論是大型的還是小型的網(wǎng)絡(luò)，都是平常事，受命侵入防御堅固的網(wǎng)絡(luò)更是平常。但是只關(guān)注這些事情的本身并不能得到什么信息。通過不斷對更全面情況的理解（也就是說，所有變化的部分如何從技術(shù)層面一直到項目經(jīng)理和公司態(tài)度都能夠相互聯(lián)系）可以制定出實際的目標。不管攻擊者還是防御者，都會遇到這個問題。發(fā)現(xiàn)漏洞是很有趣的事情，多半是因為所要尋找的是鮮為人知的東西。過去，人們并不總是想把如何發(fā)現(xiàn)安全漏洞的信息隱藏起來，而是因為漏洞搜查還是一個新興領(lǐng)域?，F(xiàn)在，有大量的網(wǎng)絡(luò)和出版文檔可以用來處理一般的和特殊的安全漏洞。但是從更加廣闊的角度來看，這種資料真正地能告訴讀者什么，并且如何與讀者在現(xiàn)實世界的情況聯(lián)系起來？這種資料如何能讓負責(zé)一個公司小組或者是整個公司的人來做好他們的工作？讓一個攻擊者搜尋漏洞有什么風(fēng)險呢？很多情況下，攻擊者可以獲得要進攻的軟件或者操作系統(tǒng)的一份拷貝，然后在自己的測試環(huán)境中進行測試，這樣搜尋漏洞的風(fēng)險很小。這種情形也經(jīng)常發(fā)生。然而，現(xiàn)實的世界畢竟與實驗室環(huán)境不同。對于攻擊者而言，復(fù)制一個特定的環(huán)境可能是不可行的，因為這太過于復(fù)雜且需要精心策劃?？赡苣繕谁h(huán)境是完全未知的。在這些情況下，人們樂于探索和實驗不屬于他們的實用系統(tǒng)時有何種風(fēng)險呢？除了搜尋實用外部系統(tǒng)中未知漏洞存在的風(fēng)險，試圖利用這些漏洞還有什么風(fēng)險嗎？是一個系統(tǒng)崩潰還是引起攻擊者注意？網(wǎng)絡(luò)是否變得過于擁擠，不僅阻止合法用戶使用，而且也阻止攻擊者使用網(wǎng)上的服務(wù)和資源？在一個真實的環(huán)境中，有多少種破解的機會留給攻擊者？組織提供的服務(wù)和系統(tǒng)是否在任何時候，任何地方都是可用的？在進行維護和回滾的時期，有可變的機會窗口嗎？這個機會窗口會受到軟件升級和版本更新的限制嗎？成本同樣會影響機會成分。有些舉措可能在財政上是不允許的，如果其他一些舉措以開發(fā)、交付和使用的時間段作為成本標尺，則可能太昂貴了。何種動機驅(qū)使攻擊者對你的環(huán)境感興趣呢？對有些人而言，可能是機會主義的想法；然而對其他人而言，他們都有明確的目標?？赡苡腥耸苊谝粋€國家、競爭對手或者基于某種特定的信念?；蛘哂行┤司褪菬o聊，這對你來說就不走運了。這種特殊的對手模型技術(shù)也稱之為ROM（風(fēng)險、機會及動機）模型，是非常強大的。它開始考慮對手目標更多的組成部分，并對應(yīng)到現(xiàn)有真實世界的環(huán)境中決定用來防范或取證的重要地點和各種措施。這個模型有一個好處是在沒有考慮環(huán)境、對手目標，以及沒有對模型存在的問題和環(huán)境進行鑒定的情況下，就不必考慮一個漏洞，并且也不用考慮可能受命攻擊或者防御的網(wǎng)絡(luò)和系統(tǒng)里存在的問題進行處理。

內(nèi)容概要

隨著計算機和網(wǎng)絡(luò)技術(shù)的迅速發(fā)展，人們對網(wǎng)絡(luò)的依賴性達到了前所未有的程度，網(wǎng)絡(luò)安全也面臨著越來越嚴峻的考驗。如何保障網(wǎng)絡(luò)安全就顯得非常重要，而網(wǎng)絡(luò)安全評估是保證網(wǎng)絡(luò)安全的重要環(huán)節(jié)。本書從漏洞評估、漏洞評估工具、漏洞評估步驟和漏洞管理等方面介紹了網(wǎng)絡(luò)安全評估。通過本書的學(xué)習(xí)，一方面可以使讀者了解網(wǎng)絡(luò)安全評估的一些基本概念、基本原理，另一方面，更重要的是可以指導(dǎo)讀者一步步地完成整個評估過程。此外，詳細介紹了網(wǎng)絡(luò)安全評估中各種常用的開源工具和商業(yè)工具及其特點．有助于讀者能夠快速地找到合適的評估工具。

作者簡介

Steve Manzuik，目前在Juniper網(wǎng)絡(luò)公司任高級安全研究主管。他在信息技術(shù)和安全行業(yè)有超過14年的經(jīng)驗，尤其側(cè)重于操作系統(tǒng)和網(wǎng)絡(luò)設(shè)備。在加入Juniper網(wǎng)絡(luò)公司之前，Steve在eEye Digital Security公司任研究經(jīng)理。2001年，他成立了EntrenchTechnologies公司，并任技術(shù)領(lǐng)導(dǎo)。在Entrench之前，Steve在Ernst & Young公司的Security ＆ Technology Solutions Practice部門任經(jīng)理，他是Canadian Penetration Testing Practice部門的solution line leader。在加入Ernst & Young之前，他是世界性組織“白帽黑客”的安全分析師，并在BindView RAZOR Team任安全研究員。 
    Steve是“Hack Proofing Your Network”（Syngress出版社出版，1928994709）第二版的合著者。此外，他在Defcon，Black Hat，Pacsec和CERT等世界性會議上多次演講，并且他的文章在許多行業(yè)出版物上（包括CNET，CNN，InfoSecuritv Maga—zinc，Linux Security Magazine，Windows IT Pro，以及Windows Magazine）被引用。

書籍目錄

主要作者合著者編者譯者序序言第1章  漏洞窗口  引言  什么是漏洞？  理解漏洞造成的風(fēng)險  小結(jié)  快速解決方案  常見問題第2章  漏洞評估101  引言  什么是漏洞評估？    第一步：信息收集/發(fā)現(xiàn)    第二步：列舉    第三步：檢測  查找漏洞  利用安全技術(shù)檢測漏洞    解釋通過安全技術(shù)收集的漏洞評估數(shù)據(jù)    通過修復(fù)技術(shù)存取漏洞    從修復(fù)知識庫中提取漏洞評估數(shù)據(jù)    利用配置工具評估漏洞  查找漏洞的重要性    看一些具體的數(shù)字  小結(jié)  快速解決方案  常見問題第3章  漏洞評估工具  引言  一個好的漏洞評估工具的特征  使用漏洞評估工具    第一步：識別網(wǎng)絡(luò)上的主機    第二步：把主機分組    第三步：創(chuàng)建一個審計策略    第四步：執(zhí)行掃描    第五步：分析報告    第六步：在必要的地方做出修復(fù)  小結(jié)  快速解決方案  常見問題第4章  漏洞評估：第一步  引言  認識你的網(wǎng)絡(luò)  對資產(chǎn)分類  我認為這是一個漏洞評估章節(jié)  小結(jié)  快速解決方案  常見問題第5章  漏洞評估：第二步  引言  一個有效的掃描計劃  掃描你的網(wǎng)絡(luò)  何時掃描  小結(jié)  快速解決方案  常見問題第6章  更進一步  引言  滲透測試類型  場景：一次內(nèi)部網(wǎng)絡(luò)攻擊    客戶端網(wǎng)絡(luò)    第一步：信息收集    第二步：測定漏洞  滲透測試    第三步：攻擊和滲透  漏洞評估vs滲透測試    決定實施漏洞評估還是滲透測試的提示  內(nèi)部vs外部  小結(jié)  快速解決方案  常見問題第7章  漏洞管理第8章  漏洞管理工具第9章  漏洞和配置管理第10章  遵守管理法規(guī)第11章  融會貫通附錄A  信息安全評價的法律案例附錄B  信息安全基線活動工具

章節(jié)摘錄

插圖：第1章 漏洞窗口引言本書不是典型的介紹信息技術(shù)（Information Technology，IT）安全的書。雖然本書作者具有專業(yè)技術(shù)背景，而且也寫過一些很暢銷的書，如Syngress出版的“Hack Proofing Your Network”，但是本書還是主要將漏洞管理的技術(shù)融人到業(yè)務(wù)管理中。盡管熟悉最新的黑客技術(shù)是很重要的，但是只有當(dāng)能夠把黑客所實施的威脅與對組織所造成的風(fēng)險聯(lián)系在一起時，這些知識才是有價值的，本書將介紹做這件事情的工具。本章主要介紹漏洞及其重要性，我們還將討論一個被稱作“漏洞窗口”（Windows of Vulnerabilities）的概念，以及如何確定一個已知的漏洞對環(huán)境造成的風(fēng)險。什么是漏洞？那么，什么是漏洞呢？在過去，很多人把漏洞看作是有惡意的人能夠利用的軟件或硬件的缺陷。然而，在近幾年中，漏洞的定義發(fā)展成為有惡意的人能夠利用的軟硬件的缺陷及配置錯誤（misconfiguration）。補丁管理、配置管理和安全管理等常常相互競爭的學(xué)科，都已從單一的學(xué)科發(fā)展成為同一個信息技術(shù)（IT）方面的問題，那就是今天的漏洞管理。

編輯推薦

《網(wǎng)絡(luò)安全評估:從漏洞到補丁》為21世紀信息安全大系叢書之一，由科學(xué)出版社出版。

圖書封面

圖書標簽Tags

無

評論、評分、閱讀與下載

---

    網(wǎng)絡(luò)安全評估 PDF格式下載

---