網(wǎng)絡系統(tǒng)安全分析與檢驗檢測

◆王 蕊

（國家軟件產品質量監(jiān)督檢驗中心 江蘇 210012）

網(wǎng)絡系統(tǒng)安全分析與檢驗檢測

◆王 蕊

（國家軟件產品質量監(jiān)督檢驗中心 江蘇 210012）

本文從第三方檢驗檢測機構的角度，分析整理網(wǎng)絡系統(tǒng)安全問題，并介紹相關檢測思路、檢測技術或所需檢測設備等，通過不斷的研究與實踐，規(guī)范網(wǎng)絡安全的檢驗檢測工作。

系統(tǒng)安全；檢驗檢測

1 網(wǎng)絡系統(tǒng)安全簡介

1.1 概述

計算機網(wǎng)絡安全是指利用管理控制和技術措施，保證在一個網(wǎng)絡環(huán)境里，信息數(shù)據(jù)的機密性、完整性及可使用性受到保護。從廣義來說，凡是涉及到網(wǎng)絡上信息的保密性、完整性、可用性、不可否認性和可控性的相關技術和理論都是網(wǎng)絡安全的研究領域。

要確保計算機網(wǎng)絡的安全，必須依靠先進的技術、嚴格的管理和配套的法律。OSI安全體系結構中定義了鑒別、訪問控制、數(shù)據(jù)機密性、數(shù)據(jù)完整性和抗抵賴五種網(wǎng)絡安全服務，以及加密機制、數(shù)字簽名機制、訪問控制機制、數(shù)據(jù)完整性機制、鑒別交換機制、通信業(yè)務流填充機制、路由控制、公證機制八種基本的安全機制。

1.2 計算機網(wǎng)絡威脅

1.2.1 計算機網(wǎng)絡中可能受到威脅的實體

（1）各類計算機（服務器、工作站等）；

（2）網(wǎng)絡通信設備（路由器、交換機、集線器、調制解調器、加密機等）；

（3）存放數(shù)據(jù)的媒體（磁帶、磁盤、光盤等）；

（4）傳輸線路、供配電系統(tǒng)；

（5）防雷系統(tǒng)和抗電磁干擾系統(tǒng)等。

1.2.2 網(wǎng)絡系統(tǒng)遇到安全威脅的主要表現(xiàn)

（1）主機或服務器受到非法入侵者的攻擊；

（2）網(wǎng)絡中的敏感數(shù)據(jù)可能泄露或被修改；

（3）從內網(wǎng)向公網(wǎng)傳送的信息可能被他人竊聽或篡改。

1.2.3 典型的網(wǎng)絡安全威脅

典型的網(wǎng)絡安全威脅如表1所示。

表1 典型的網(wǎng)絡安全威脅

拒絕服務攻擊攻擊者使系統(tǒng)響應減慢甚至癱瘓，阻止合法用戶獲得服務。行為否認 通訊實體否認已經發(fā)生的行為。旁路控制 攻擊者發(fā)掘系統(tǒng)的缺陷或安全脆弱性。電磁/射頻截獲攻擊者從電子或機電設備所發(fā)出的無線射頻或其它電磁輻射中提取信息。惡意程序威脅計算機病毒嚴重破壞程序和數(shù)據(jù)、使網(wǎng)絡的效率和作用大大降低、使許多功能無法正常使用、導致計算機系統(tǒng)癱瘓人員疏忽 授權的人為了利益或由于粗心將信息泄露給未授權人。

1.2.4 計算機網(wǎng)絡安全目標

在經過安全檢驗檢測后，網(wǎng)絡應達到如下的安全目標：

（1）保密性

保密性指網(wǎng)絡中的保密信息只能供經過允許的人員，以經過允許的方式使用，信息不泄露給非授權用戶、實體或過程，或供其利用。

（2）完整性

指網(wǎng)絡中的信息安全、精確與有效，不因種種不安全因素而改變信息原有的內容、形式與流向。確保信息在存儲或傳輸過程中不被修改、不被破壞和丟失。

（3）可用性

指網(wǎng)絡資源在需要時即可使用，不因系統(tǒng)故障或誤操作等使資源丟失或妨礙對資源的使用，是被授權實體按需求訪問的特性。

（4）不可否認性

不可否認性安全服務提供了向第三方證明該實體確實參與了通信的能力。

（5）可控性

指對信息的傳播及內容具有控制能力，保證信息和信息系統(tǒng)的授權認證和監(jiān)控管理，確保某個實體（人或系統(tǒng)）身份的真實性，也可以確保執(zhí)法者對社會的執(zhí)法管理行為。

2 網(wǎng)絡安全防護系統(tǒng)的測試內容

基本網(wǎng)絡安全防護系統(tǒng)有物理安全、防火墻、入侵檢測、漏洞掃描、安全審計、Web信息防篡改等基礎安全技術，以保障應用系統(tǒng)的安全。在實際工作當中，針對不同的安全技術，需要關注的檢驗檢測內容如下：

2.1 物理安全

物理安全是整個計算機網(wǎng)絡系統(tǒng)安全的前提，是保護計算機網(wǎng)絡設備、設施以及其它媒體免遭地震、水災、火災等環(huán)境事故、人為操作失誤或各種計算機犯罪行為導致的破壞的過程。

物理安全主要考慮的問題是環(huán)境、場地和設備的安全及物理訪問控制和應急處置計劃等。物理安全在整個計算機網(wǎng)絡信息系統(tǒng)安全中占有重要地位。它主要包括以下幾個檢測方面：

機房環(huán)境安全(防火，防盜，防雷，接地，防塵，防靜電，防震)；

通信線路安全(防竊聽，防施工)；

設備安全 (電磁干擾，電源保護，物理損壞，意外事故等)；

電源安全(電源穩(wěn)定性，不間斷電源，備用電源）；

物理安全措施主要包括：安全制度、數(shù)據(jù)備份、輻射防護、屏幕口令保護、隱藏銷毀、狀態(tài)檢測、報警確認、應急恢復、加強機房管理、運行管理、安全組織和人事管理等手段。

物理安全是相對的，在設計物理安全方案時，要綜合考慮需要保護的硬件、軟件及其信息價值，從而采用適當?shù)奈锢肀Ｗo措施。

2.2 防火墻安全檢測

2.2.1 防火墻安全檢測點

防火墻的安全性，主要有如下幾個測試點：

（1）是否支持交換和路由兩種工作模式。

（2）是否支持對HTTP、FTP、SMTP等服務類型的訪問控制。

（3）是否考慮到防火墻的冗余設計。

（4）是否支持對日志的統(tǒng)計分析功能，日志是否可以存儲在本地和網(wǎng)絡數(shù)據(jù)庫上。

（5）對防火墻本身或受保護網(wǎng)段的非法攻擊，是否提供多種告警方式以及多種級別的告警。

（6）防火墻規(guī)則分析。

（7）防火墻漏洞掃描。

2.2.2 防火墻安全測試工具

用于防火墻分析和審計的商業(yè)工具有：

（1）AlgoSec公司的Firewall Analyzer。

（2）RedSeal公司的Security Risk Manager。

（3）Skybox公司的Firewall Compliance Auditor。

其中，AlgoSec公司的 Firewall Analyzer(AFA)可以自動探測防火墻策略中的安全漏洞。可以完成更改管理、風險管理、自動審核和策略優(yōu)化等功能。它可以發(fā)現(xiàn)未用的規(guī)則、重復規(guī)則、禁用規(guī)則和失效的規(guī)則。AFA可以備份防火墻策略，然后進行離線分析，因此它不會影響防火墻的性能。AFA支持的防火墻廠商包括思科、Checkpoint和Juniper等業(yè)界知名廠商。

另外，開源的安全工具Nessus，也可以用來判斷防火墻是否存在已知的安全漏洞。

2.3 入侵檢測系統(tǒng)IDS

2.3.1 入侵檢測原理

入侵檢測系統(tǒng)就是執(zhí)行入侵檢測任務的硬件或軟件產品。

入侵檢測系統(tǒng)原理如下圖1所示，入侵檢測是用于檢測任何損害或企圖損害系統(tǒng)的保密性、完整性或可用性的一種網(wǎng)絡安全技術。它通過監(jiān)視受保護系統(tǒng)的狀態(tài)和活動，采用誤用檢測（Misuse Detection）或異常檢測（Anomaly Detection）的方式，發(fā)現(xiàn)非授權的或惡意的系統(tǒng)及網(wǎng)絡行為，為防范入侵行為提供有效的手段。

圖1 入侵檢測系統(tǒng)原理

從系統(tǒng)構成上看，入侵檢測系統(tǒng)包括事件提取、入侵分析、入侵響應和遠程管理四大部分，能結合安全知識庫、數(shù)據(jù)存儲等功能模塊，提供更為完善的安全檢測及數(shù)據(jù)分析功能，如下圖2所示：

圖2 入侵檢測系統(tǒng)構成

2.3.2 入侵檢測系統(tǒng)檢測點

入侵檢測系統(tǒng)有如下幾個測試點：

（1）能否在檢測到入侵事件時，自動執(zhí)行切斷服務、記錄入侵過程、郵件報警等動作。

（2）是否支持攻擊特征信息的集中式發(fā)布和攻擊取證信息的分布式上載。

（3）能否提供多種方式對監(jiān)視引擎和檢測特征的定期更新服務。

（4）內置的網(wǎng)絡能否使用狀況監(jiān)控工具和網(wǎng)絡監(jiān)聽工具。

2.4 漏洞掃描

漏洞掃描是一種基于網(wǎng)絡遠程來檢測目標網(wǎng)絡或本地主機安全性薄弱點的技術，可以被用來模擬攻擊實驗和安全審計，是一種主動的防范措施，可以有效避免黑客攻擊行為。

2.5 網(wǎng)絡漏洞掃描系統(tǒng)技術要求

（1）應具備對操作系統(tǒng)（Windows、Unix、Linux等）、數(shù)據(jù)庫（Oracle、MS-Sql、MySql等）、網(wǎng)絡設備（路由器等）、安全設備（防火墻等）、特定應用程序等多種系統(tǒng)進行漏洞掃描評估的能力。

（2）漏洞掃描系統(tǒng)應采用軟件形式，以便于在不同的場合中靈活使用。

（3）應能夠自動檢測目標對象的操作系統(tǒng)并提供精確的端口掃描功能，掃描漏洞數(shù)量應在1300個以上。

（4）漏洞掃描應能夠實時顯示掃描過程進行狀態(tài)、被掃描對象信息、漏洞信息，便于管理員了解掃描進展情況。

（5）支持直觀的圖形化中文界面，以方便掃描操作和對結果的評估。

（6）支持對每次掃描結果進行保存，以便對歷史掃描記錄進行調用。

（7）應支持預約掃描功能，可以在計劃的時間按照定義的策略自動執(zhí)行掃描任務。

（8）應具備靈活的用戶自定義安全策略功能。提供不同策略模板供用戶使用，并支持細力度的掃描策略編輯功能，用戶可定義掃描范圍、掃描端口、服務類型等。

（9）支持DoS攻擊測試、提供字典（暴力遠程破解）攻擊等功能。

（10）應具備高速掃描能力，并發(fā)掃描多個系統(tǒng)，同時并發(fā)掃描200臺以上目標系統(tǒng)。

（11）進行掃描時，應對網(wǎng)絡性能和被掃描對象主機性能不會產生明顯影響。

（12）應提供用戶管理功能，只有通過身份認證的用戶才可以使用漏洞掃描系統(tǒng)，防止漏洞掃描器的盜用和濫用，保證自身的安全；

（13）應能夠將掃描結果自動通知管理員（例如電子郵件方式）。掃描結果以壓縮文件形式并設置口令的形式發(fā)送，以保護內部機密信息。

（14）應提供豐富的Crystal格式統(tǒng)計分析報表（10種或10種以上），包括基于主機的報表、基于漏洞危險度的報表、基于服務的報表、漏洞及解決方案、漏洞趨勢報告、匯總報表等，以直觀、清晰的方式呈現(xiàn)漏洞分布，幫助管理員從多種角度進行分析。

（15）報表中對漏洞的描述，應自動分類漏洞的危險級別，并對所有發(fā)現(xiàn)的漏洞逐個解釋。漏洞信息應包括漏洞的詳細說明、補救方法、補丁文件的獲取方式、建議的配置策略、以及國際安全組織關于該漏洞的說明或連接。

（16）掃描報告應具有靈活的導出功能，支持HTML， Word，Excel， RTF， PDF ， TXT等文件格式，以滿足不同角色的人員的需要。

（17）應提供掃描模塊和漏洞庫周期性的自動升級功能，同時提供升級工具以支持按需即時升級，保證最新的安全問題能被及時發(fā)現(xiàn)和修補。

（18）應采用國際先進的網(wǎng)絡漏洞掃描系統(tǒng)，漏洞庫應與國際標準CVE、Bugtraq兼容，具有國內和國外成功應用案例的產品。

（19）應取得公安部安全產品銷售許可。

2.6 網(wǎng)絡安全審計

2.6.1 概述

網(wǎng)絡安全審計從審計級別上可分為3種類型：系統(tǒng)級審計、應用級審計和用戶級審計。

是按照一定的安全策略，利用記錄、系統(tǒng)活動和用戶活動等信息，檢查、審查和檢驗操作事件的環(huán)境及活動，從而發(fā)現(xiàn)系統(tǒng)漏洞、入侵行為或改善系統(tǒng)性能的過程。也是審查評估系統(tǒng)安全風險并采取相應措施的一個過程。在不至于混淆情況下，簡稱為安全審計，實際是記錄與審查用戶操作計算機及網(wǎng)絡系統(tǒng)活動的過程，是提高系統(tǒng)安全性的重要舉措。系統(tǒng)活動包括操作系統(tǒng)活動和應用程序進程的活動。用戶活動包括用戶在操作系統(tǒng)和應用程序中的活動，如用戶所使用的資源、使用時間、執(zhí)行的操作等。安全審計對系統(tǒng)記錄和行為進行獨立的審查和估計，其主要作用和目的包括5個方面：

（1）對可能存在的潛在攻擊者起到威懾和警示作用，核心是風險評估。

（2）測試系統(tǒng)的控制情況，及時進行調整，保證與安全策略和操作規(guī)程協(xié)調一致。

（3）對已出現(xiàn)的破壞事件，做出評估并提供有效的災難恢復和追究責任的依據(jù)。

（4）對系統(tǒng)控制、安全策略與規(guī)程中的變更進行評價和反饋，以便修訂決策和部署。

（5）協(xié)助系統(tǒng)管理員及時發(fā)現(xiàn)網(wǎng)絡系統(tǒng)入侵或潛在的系統(tǒng)漏洞及隱患。

2.6.2 安全審計檢測點

（1）能否進行系統(tǒng)數(shù)據(jù)收集，統(tǒng)一存儲，集中進行安全審計。

（2）是否支持基于PKI的應用審計。

（3）是否支持基于XML的審計數(shù)據(jù)采集協(xié)議。

（4）是否提供靈活的自定義審計規(guī)則。

2.7 Web信息防篡改系統(tǒng)

2.7.1 概述

隨著 Web 應用越來越廣泛，Web 安全威脅日益凸顯。黑客利用網(wǎng)站操作系統(tǒng)的漏洞和 Web 服務程序的 SQL 注入漏洞等得到 Web服務器的控制權限，輕則篡改網(wǎng)頁內容，重則竊取重要內部數(shù)據(jù)，更為嚴重的則是在網(wǎng)頁中植入惡意代碼，使得網(wǎng)站訪問者受到侵害。這也使得越來越多的用戶關注應用層的安全問題，對 Web 應用安全的關注度也逐漸升溫。

2.7.2 Web防篡改系統(tǒng)檢測點

Web防篡改系統(tǒng)檢測點如下：

（1）是否支持多種操作系統(tǒng)。

（2）是否具有集成發(fā)布與監(jiān)控功能，使系統(tǒng)能夠區(qū)分合法更新與非法篡改，并可以防止非法篡改和破壞。

（3）是否可以實時發(fā)布和備份。

（4）是否具備自動監(jiān)控、自動恢復、自動報警的能力。

（5）是否提供日志管理、掃描策略管理和更新管理。

2.7.3 Web安全檢測工具

除了常用的 HP WebInspect和綠盟的遠程安全評估系統(tǒng)RSAS外，還有如下幾個實用且免費的Web安全測試工具：

N-Stalker Web：應用程序安全2012免費版本能夠為您的Web應用程序清除該環(huán)境中大量常見的漏洞，包括跨站腳本（XSS）、SQL 注入（SQL injection）、緩存溢出（Buffer Overflow）、參數(shù)篡改 （Parameter Tampering）等等。

Netsparker Community Edition：一款 SQL 注入掃描工具，是Netsparker的社區(qū)免費版本，提供了基本的漏洞檢測功能。使用友好，靈活。

Websecurify：是一款開源的跨平臺網(wǎng)站安全檢查工具，能夠幫助你精確的檢測 Web 應用程序安全問題。

Wapiti：Web 應用程序漏洞檢查工具。它具有“暗箱操作”掃描，即它不關心 Web 應用程序的源代碼，但它會掃描網(wǎng)頁的部署，尋找使其能夠注入數(shù)據(jù)的腳本和格式。

[1]楊初長.計算機網(wǎng)絡安全及其防范策略研究[J].科技資訊，2012.