網絡系統安全分析與檢驗檢測

◆王 蕊

（國家軟件產品質量監督檢驗中心 江蘇 210012）

網絡系統安全分析與檢驗檢測

◆王 蕊

（國家軟件產品質量監督檢驗中心 江蘇 210012）

本文從第三方檢驗檢測機構的角度，分析整理網絡系統安全問題，并介紹相關檢測思路、檢測技術或所需檢測設備等，通過不斷的研究與實踐，規范網絡安全的檢驗檢測工作。

系統安全；檢驗檢測

1 網絡系統安全簡介

1.1 概述

計算機網絡安全是指利用管理控制和技術措施，保證在一個網絡環境里，信息數據的機密性、完整性及可使用性受到保護。從廣義來說，凡是涉及到網絡上信息的保密性、完整性、可用性、不可否認性和可控性的相關技術和理論都是網絡安全的研究領域。

要確保計算機網絡的安全，必須依靠先進的技術、嚴格的管理和配套的法律。OSI安全體系結構中定義了鑒別、訪問控制、數據機密性、數據完整性和抗抵賴五種網絡安全服務，以及加密機制、數字簽名機制、訪問控制機制、數據完整性機制、鑒別交換機制、通信業務流填充機制、路由控制、公證機制八種基本的安全機制。

1.2 計算機網絡威脅

1.2.1 計算機網絡中可能受到威脅的實體

（1）各類計算機（服務器、工作站等）；

（2）網絡通信設備（路由器、交換機、集線器、調制解調器、加密機等）；

（3）存放數據的媒體（磁帶、磁盤、光盤等）；

（4）傳輸線路、供配電系統；

（5）防雷系統和抗電磁干擾系統等。

1.2.2 網絡系統遇到安全威脅的主要表現

（1）主機或服務器受到非法入侵者的攻擊；

（2）網絡中的敏感數據可能泄露或被修改；

（3）從內網向公網傳送的信息可能被他人竊聽或篡改。

1.2.3 典型的網絡安全威脅

典型的網絡安全威脅如表1所示。

表1 典型的網絡安全威脅

拒絕服務攻擊攻擊者使系統響應減慢甚至癱瘓，阻止合法用戶獲得服務。行為否認 通訊實體否認已經發生的行為。旁路控制 攻擊者發掘系統的缺陷或安全脆弱性。電磁/射頻截獲攻擊者從電子或機電設備所發出的無線射頻或其它電磁輻射中提取信息。惡意程序威脅計算機病毒嚴重破壞程序和數據、使網絡的效率和作用大大降低、使許多功能無法正常使用、導致計算機系統癱瘓人員疏忽 授權的人為了利益或由于粗心將信息泄露給未授權人。

1.2.4 計算機網絡安全目標

在經過安全檢驗檢測后，網絡應達到如下的安全目標：

（1）保密性

保密性指網絡中的保密信息只能供經過允許的人員，以經過允許的方式使用，信息不泄露給非授權用戶、實體或過程，或供其利用。

（2）完整性

指網絡中的信息安全、精確與有效，不因種種不安全因素而改變信息原有的內容、形式與流向。確保信息在存儲或傳輸過程中不被修改、不被破壞和丟失。

（3）可用性

指網絡資源在需要時即可使用，不因系統故障或誤操作等使資源丟失或妨礙對資源的使用，是被授權實體按需求訪問的特性。

（4）不可否認性

不可否認性安全服務提供了向第三方證明該實體確實參與了通信的能力。

（5）可控性

指對信息的傳播及內容具有控制能力，保證信息和信息系統的授權認證和監控管理，確保某個實體（人或系統）身份的真實性，也可以確保執法者對社會的執法管理行為。

2 網絡安全防護系統的測試內容

基本網絡安全防護系統有物理安全、防火墻、入侵檢測、漏洞掃描、安全審計、Web信息防篡改等基礎安全技術，以保障應用系統的安全。在實際工作當中，針對不同的安全技術，需要關注的檢驗檢測內容如下：

2.1 物理安全

物理安全是整個計算機網絡系統安全的前提，是保護計算機網絡設備、設施以及其它媒體免遭地震、水災、火災等環境事故、人為操作失誤或各種計算機犯罪行為導致的破壞的過程。

物理安全主要考慮的問題是環境、場地和設備的安全及物理訪問控制和應急處置計劃等。物理安全在整個計算機網絡信息系統安全中占有重要地位。它主要包括以下幾個檢測方面：

機房環境安全(防火，防盜，防雷，接地，防塵，防靜電，防震)；

通信線路安全(防竊聽，防施工)；

設備安全 (電磁干擾，電源保護，物理損壞，意外事故等)；

電源安全(電源穩定性，不間斷電源，備用電源）；

物理安全措施主要包括：安全制度、數據備份、輻射防護、屏幕口令保護、隱藏銷毀、狀態檢測、報警確認、應急恢復、加強機房管理、運行管理、安全組織和人事管理等手段。

物理安全是相對的，在設計物理安全方案時，要綜合考慮需要保護的硬件、軟件及其信息價值，從而采用適當的物理保護措施。

2.2 防火墻安全檢測

2.2.1 防火墻安全檢測點

防火墻的安全性，主要有如下幾個測試點：

（1）是否支持交換和路由兩種工作模式。

（2）是否支持對HTTP、FTP、SMTP等服務類型的訪問控制。

（3）是否考慮到防火墻的冗余設計。

（4）是否支持對日志的統計分析功能，日志是否可以存儲在本地和網絡數據庫上。

（5）對防火墻本身或受保護網段的非法攻擊，是否提供多種告警方式以及多種級別的告警。

（6）防火墻規則分析。

（7）防火墻漏洞掃描。

2.2.2 防火墻安全測試工具

用于防火墻分析和審計的商業工具有：

（1）AlgoSec公司的Firewall Analyzer。

（2）RedSeal公司的Security Risk Manager。

（3）Skybox公司的Firewall Compliance Auditor。

其中，AlgoSec公司的 Firewall Analyzer(AFA)可以自動探測防火墻策略中的安全漏洞。可以完成更改管理、風險管理、自動審核和策略優化等功能。它可以發現未用的規則、重復規則、禁用規則和失效的規則。AFA可以備份防火墻策略，然后進行離線分析，因此它不會影響防火墻的性能。AFA支持的防火墻廠商包括思科、Checkpoint和Juniper等業界知名廠商。

另外，開源的安全工具Nessus，也可以用來判斷防火墻是否存在已知的安全漏洞。

2.3 入侵檢測系統IDS

2.3.1 入侵檢測原理

入侵檢測系統就是執行入侵檢測任務的硬件或軟件產品。

入侵檢測系統原理如下圖1所示，入侵檢測是用于檢測任何損害或企圖損害系統的保密性、完整性或可用性的一種網絡安全技術。它通過監視受保護系統的狀態和活動，采用誤用檢測（Misuse Detection）或異常檢測（Anomaly Detection）的方式，發現非授權的或惡意的系統及網絡行為，為防范入侵行為提供有效的手段。

圖1 入侵檢測系統原理

從系統構成上看，入侵檢測系統包括事件提取、入侵分析、入侵響應和遠程管理四大部分，能結合安全知識庫、數據存儲等功能模塊，提供更為完善的安全檢測及數據分析功能，如下圖2所示：

圖2 入侵檢測系統構成

2.3.2 入侵檢測系統檢測點

入侵檢測系統有如下幾個測試點：

（1）能否在檢測到入侵事件時，自動執行切斷服務、記錄入侵過程、郵件報警等動作。

（2）是否支持攻擊特征信息的集中式發布和攻擊取證信息的分布式上載。

（3）能否提供多種方式對監視引擎和檢測特征的定期更新服務。

（4）內置的網絡能否使用狀況監控工具和網絡監聽工具。

2.4 漏洞掃描

漏洞掃描是一種基于網絡遠程來檢測目標網絡或本地主機安全性薄弱點的技術，可以被用來模擬攻擊實驗和安全審計，是一種主動的防范措施，可以有效避免黑客攻擊行為。

2.5 網絡漏洞掃描系統技術要求

（1）應具備對操作系統（Windows、Unix、Linux等）、數據庫（Oracle、MS-Sql、MySql等）、網絡設備（路由器等）、安全設備（防火墻等）、特定應用程序等多種系統進行漏洞掃描評估的能力。

（2）漏洞掃描系統應采用軟件形式，以便于在不同的場合中靈活使用。

（3）應能夠自動檢測目標對象的操作系統并提供精確的端口掃描功能，掃描漏洞數量應在1300個以上。

（4）漏洞掃描應能夠實時顯示掃描過程進行狀態、被掃描對象信息、漏洞信息，便于管理員了解掃描進展情況。

（5）支持直觀的圖形化中文界面，以方便掃描操作和對結果的評估。

（6）支持對每次掃描結果進行保存，以便對歷史掃描記錄進行調用。

（7）應支持預約掃描功能，可以在計劃的時間按照定義的策略自動執行掃描任務。

（8）應具備靈活的用戶自定義安全策略功能。提供不同策略模板供用戶使用，并支持細力度的掃描策略編輯功能，用戶可定義掃描范圍、掃描端口、服務類型等。

（9）支持DoS攻擊測試、提供字典（暴力遠程破解）攻擊等功能。

（10）應具備高速掃描能力，并發掃描多個系統，同時并發掃描200臺以上目標系統。

（11）進行掃描時，應對網絡性能和被掃描對象主機性能不會產生明顯影響。

（12）應提供用戶管理功能，只有通過身份認證的用戶才可以使用漏洞掃描系統，防止漏洞掃描器的盜用和濫用，保證自身的安全；

（13）應能夠將掃描結果自動通知管理員（例如電子郵件方式）。掃描結果以壓縮文件形式并設置口令的形式發送，以保護內部機密信息。

（14）應提供豐富的Crystal格式統計分析報表（10種或10種以上），包括基于主機的報表、基于漏洞危險度的報表、基于服務的報表、漏洞及解決方案、漏洞趨勢報告、匯總報表等，以直觀、清晰的方式呈現漏洞分布，幫助管理員從多種角度進行分析。

（15）報表中對漏洞的描述，應自動分類漏洞的危險級別，并對所有發現的漏洞逐個解釋。漏洞信息應包括漏洞的詳細說明、補救方法、補丁文件的獲取方式、建議的配置策略、以及國際安全組織關于該漏洞的說明或連接。

（16）掃描報告應具有靈活的導出功能，支持HTML， Word，Excel， RTF， PDF ， TXT等文件格式，以滿足不同角色的人員的需要。

（17）應提供掃描模塊和漏洞庫周期性的自動升級功能，同時提供升級工具以支持按需即時升級，保證最新的安全問題能被及時發現和修補。

（18）應采用國際先進的網絡漏洞掃描系統，漏洞庫應與國際標準CVE、Bugtraq兼容，具有國內和國外成功應用案例的產品。

（19）應取得公安部安全產品銷售許可。

2.6 網絡安全審計

2.6.1 概述

網絡安全審計從審計級別上可分為3種類型：系統級審計、應用級審計和用戶級審計。

是按照一定的安全策略，利用記錄、系統活動和用戶活動等信息，檢查、審查和檢驗操作事件的環境及活動，從而發現系統漏洞、入侵行為或改善系統性能的過程。也是審查評估系統安全風險并采取相應措施的一個過程。在不至于混淆情況下，簡稱為安全審計，實際是記錄與審查用戶操作計算機及網絡系統活動的過程，是提高系統安全性的重要舉措。系統活動包括操作系統活動和應用程序進程的活動。用戶活動包括用戶在操作系統和應用程序中的活動，如用戶所使用的資源、使用時間、執行的操作等。安全審計對系統記錄和行為進行獨立的審查和估計，其主要作用和目的包括5個方面：

（1）對可能存在的潛在攻擊者起到威懾和警示作用，核心是風險評估。

（2）測試系統的控制情況，及時進行調整，保證與安全策略和操作規程協調一致。

（3）對已出現的破壞事件，做出評估并提供有效的災難恢復和追究責任的依據。

（4）對系統控制、安全策略與規程中的變更進行評價和反饋，以便修訂決策和部署。

（5）協助系統管理員及時發現網絡系統入侵或潛在的系統漏洞及隱患。

2.6.2 安全審計檢測點

（1）能否進行系統數據收集，統一存儲，集中進行安全審計。

（2）是否支持基于PKI的應用審計。

（3）是否支持基于XML的審計數據采集協議。

（4）是否提供靈活的自定義審計規則。

2.7 Web信息防篡改系統

2.7.1 概述

隨著 Web 應用越來越廣泛，Web 安全威脅日益凸顯。黑客利用網站操作系統的漏洞和 Web 服務程序的 SQL 注入漏洞等得到 Web服務器的控制權限，輕則篡改網頁內容，重則竊取重要內部數據，更為嚴重的則是在網頁中植入惡意代碼，使得網站訪問者受到侵害。這也使得越來越多的用戶關注應用層的安全問題，對 Web 應用安全的關注度也逐漸升溫。

2.7.2 Web防篡改系統檢測點

Web防篡改系統檢測點如下：

（1）是否支持多種操作系統。

（2）是否具有集成發布與監控功能，使系統能夠區分合法更新與非法篡改，并可以防止非法篡改和破壞。

（3）是否可以實時發布和備份。

（4）是否具備自動監控、自動恢復、自動報警的能力。

（5）是否提供日志管理、掃描策略管理和更新管理。

2.7.3 Web安全檢測工具

除了常用的 HP WebInspect和綠盟的遠程安全評估系統RSAS外，還有如下幾個實用且免費的Web安全測試工具：

N-Stalker Web：應用程序安全2012免費版本能夠為您的Web應用程序清除該環境中大量常見的漏洞，包括跨站腳本（XSS）、SQL 注入（SQL injection）、緩存溢出（Buffer Overflow）、參數篡改 （Parameter Tampering）等等。

Netsparker Community Edition：一款 SQL 注入掃描工具，是Netsparker的社區免費版本，提供了基本的漏洞檢測功能。使用友好，靈活。

Websecurify：是一款開源的跨平臺網站安全檢查工具，能夠幫助你精確的檢測 Web 應用程序安全問題。

Wapiti：Web 應用程序漏洞檢查工具。它具有“暗箱操作”掃描，即它不關心 Web 應用程序的源代碼，但它會掃描網頁的部署，尋找使其能夠注入數據的腳本和格式。

[1]楊初長.計算機網絡安全及其防范策略研究[J].科技資訊，2012.