论文部分内容阅读
摘 要：随着计算机和网络技术的迅速发展，尤其是互联网的快速发展，人们对网络的依赖性打到了前所未有的成都，网络安全越来越重要，最近几年，网络安全面临严峻的考验，如何维持网络安全越来越重要，网络安全评估是保证网络安全的一个重要环节。
关键词：网络安全；网络安全评估；漏洞
一、网络安全概述
说道网络安全就离不开漏洞，熟悉黑客技术是很重要的，但是能理解黑客所实施的威胁与造成的风险联系在一起，这些知识才最有价值。
二、漏洞概述
很多人把漏洞看成是有恶意的人能够使用的软件或者硬件的缺陷，但是最近几年，漏洞的定义发展为有恶意的人能够利用的软硬件的缺陷及配置错误补丁管理和安全管理等常常互相竞争的学科，都已经从单一学科发展为同一个信息技术方面的问题，就是如今的漏洞管理。
三、漏洞造成的风险
不管漏洞是如何公开的，该漏洞都对一个组织造成了风险，漏洞带来的风险大小取决于几个因素：厂商对风险的评级；一个组织中受影响系统的数量；一个组织中受影响系统的危险程度；组织中受影响系统的暴露程度。
一个组织可以用多种方法来计算奉献，在更高的层次上，一种更合理的计算方式是使用下面的公式：
Risk=Vulnerability*Attacks*Threat*Exposure
V用来度量漏洞的问题，A度量攻击和危险，T度量潜在的危险，E对恶组织受攻击的脆弱程度的评估。
四、漏洞评估
漏洞评估是帮助企业人士，安全专家及黑客在网络应用和系统中确定安全责任的安全实践。
（1）信息收集。信息收集和发现是个人或小组确定评估的范围而执行的步骤。信息收集分为两个部分：非侵犯性的活动和半侵犯性的活动，活动反映了对目标信息的公开收集。通过对一个IP地址的查询，可以得到以下信息：该公司地理位置；该公司联系信息；该公司使用的IP地址范围；负责该域的DNS服务器地址。
（2）列举。用来判断目标系统运行系统运行的操作系统和位于目标上的应用程序的过程。端口列举在漏洞评估中扮演了很关键的角色，因为他确保讲漏洞对应到各自的应用程序。
（3）检测。检测用来确定一个系统或应用程序是否受到攻击。这一步不是确定漏洞是否存在，漏洞是否存在有渗透测试来完成，檢测只是报告漏洞出现的可能性。首先需要一个漏洞评估工具，之后将该系统的反馈进行比较，如果漏洞评估工具收到了一个认为是坏的反馈，那么这台机器就是易受攻击。
（4）漏洞评估小结。补丁管理，配置管理及安全管理已经演变成漏洞管理中的一种功能，补丁管理和配置管理技术传统上支持与安全无关的内容，但是现在主要用来监测和修复安全问题。
在现在的环境中，由于利用了安全，补丁和配置技术相混合的漏洞评估方法，使得能用最佳的效率获得最大的利益。
五、漏洞评估工具
漏洞评估工具能够为代表一个漏洞的特定条件进行系统探测，漏洞评估工具的工作就是识别这些缺陷和配置错误。
漏洞评估工具特征：低的误报率；零漏报率；一个完整的监测数据库；带有证书的检测；无证书的检测；对网络流量的影响小；最小的系统影响；直观的和可定制的报告引擎；可定制的检测；企业的可伸缩性。
使用漏洞评估工具：识别网络上的主机；把主机分组；创建一个审计策略；执行扫描；分析报告；在必要的地方做出修复。
六、漏洞评估
漏洞评估时要对自己的网络系统了解，不能漏掉任何一台，确保每台机器有以下数据：IP地址；MAC地址；操作系统；操作系统的补丁级别；服务；安全的软件。漏洞评估是一个旅程，而不是一个目的地。
七、漏洞管理
漏洞管理定义为企业由于各种漏洞而存在着风险，不论这些漏洞是与软件还是硬件相关，漏洞管理就是一个管理风险的整个过程。
漏洞管理计划同认为计划一样，除非是书面的，得到适当的支持，并且有效的被传达，富哦则可能不会实现。必须写明计划的目的，目标和成功的标准。为了帮助计划执行下去，必须得到领导的认可和支持。不然会阻碍漏洞管理的策略过程和实践的执行效率。
漏洞管理计划的步骤：第一步，获得组织对风险的容忍性和贪婪性的理解；第二步，定义可接受的风险和时间表，在时间表中更高的风险等级将被修复；第三步，建立资产和漏洞分类方法。了解哪些资产对业务是重要的，并且提出一个漏洞分类系统将提高漏洞管理计划的执行效率；第四步，分配角色和责任。确定并写明资产所有者，保管者及负责者的实体；第五步，开发一种度量计划成功的方法。如果不能度量该计划，那么就不能表明这个组织运行在一个可接受的风险等级中。
漏洞管理的几个阶段：
1、确定。最关键的一步是确定，检查，跟踪网络上的所有信息资产，包括以下内容：为资产建立一个清单列表；确定并写明资源所有者；建立一个更新资产管理系统的流程；每年至少验证一次清单确保正确性；确保每一笔资产分类都被记录。
2、评估。建立被评估资产的清单后，现在可以吧注意力转移到评估企业资产漏洞上，作为评估的一部分，必须分类确定每个被发现漏洞的危险等级，按低中高分类，将有助于以后开展修复工作。
3、修复。修复石管理计划的关键部分。在修复阶段，要制定针对在环境中被发现的漏洞的修复策略。这个过程体现了技术，方法，策略和训练的结合，因为漏洞影响整个组织。所以可能影响整个部门。
4、报告。为了能证明所付出努力的成都，漏洞管理报告能提供这种证明，他能帮助你和整个组织交流漏洞管理的重要性，如果没有这样的报告，那么评估该组织的安全姿态和相关风险等级将非常困难。
5、改进。计划不管刚开始还是已经制定完，都可能有改进。作为改进和加强漏洞管理计划的一部分，应该回顾以前各个阶段的宝贵数据，并且寻求机会更改组追的安全策略，实践或者规程以提高计划执行效率，重要的是降低组织风险。
6、监控。这一阶段包括查明你的组织资产中可使用的漏洞。为了更有效监控工作更积极。安全人员应该通过安全顾问和漏洞信息源来跟踪漏洞。
八、漏洞管理工具
漏洞管理工具包括资产管理，漏洞评估，配置管理，补丁管理，修复，报告和监控，他们能够在一起很好的工作，并且能和第三方的技术产品很好地结合。
漏洞管理工具的评估包含以下方面：资产管理；覆盖范围；漏洞数据聚合；第三方漏洞参考；优化；修复策略执行；修复；修复组管理；补丁管理。
九、漏洞和配置管理
打补丁是为了开启新功能，减少发现的漏洞或者降低安全风险，解决稳定性问题。一个补丁很可能影响另一个补丁主次功能的运行。漏洞管理架构中最关键部分就是补丁管理计划的建立，包括系统分类，烯烃清单和补丁管理跟踪系统，这都与变更控制，测试和部署机制能够互操作。
1.补丁管理框架包括：系统清单，系统分类，系统基线，通告，减轻风险，策略，优先级排序，补丁研究与测试，补丁分发与部署，日志与报告。
2.系统清单：系统名称和物理位置，操作系统和应用程序，现有的补丁等级，系统所有者与联系信息，正在运行的服务与开放端口，其他临近系统，开放共享，处理器类型，网络信息。
3.系统分类的重要性使分配风险权重更容易，不同风险与不用系统类型有关，基于系统角色有助于确定和分配优先级。（作者单位：齐齐哈尔工程学院）
关键词：网络安全；网络安全评估；漏洞
一、网络安全概述
说道网络安全就离不开漏洞，熟悉黑客技术是很重要的，但是能理解黑客所实施的威胁与造成的风险联系在一起，这些知识才最有价值。
二、漏洞概述
很多人把漏洞看成是有恶意的人能够使用的软件或者硬件的缺陷，但是最近几年，漏洞的定义发展为有恶意的人能够利用的软硬件的缺陷及配置错误补丁管理和安全管理等常常互相竞争的学科，都已经从单一学科发展为同一个信息技术方面的问题，就是如今的漏洞管理。
三、漏洞造成的风险
不管漏洞是如何公开的，该漏洞都对一个组织造成了风险，漏洞带来的风险大小取决于几个因素：厂商对风险的评级；一个组织中受影响系统的数量；一个组织中受影响系统的危险程度；组织中受影响系统的暴露程度。
一个组织可以用多种方法来计算奉献，在更高的层次上，一种更合理的计算方式是使用下面的公式：
Risk=Vulnerability*Attacks*Threat*Exposure
V用来度量漏洞的问题，A度量攻击和危险，T度量潜在的危险，E对恶组织受攻击的脆弱程度的评估。
四、漏洞评估
漏洞评估是帮助企业人士，安全专家及黑客在网络应用和系统中确定安全责任的安全实践。
（1）信息收集。信息收集和发现是个人或小组确定评估的范围而执行的步骤。信息收集分为两个部分：非侵犯性的活动和半侵犯性的活动，活动反映了对目标信息的公开收集。通过对一个IP地址的查询，可以得到以下信息：该公司地理位置；该公司联系信息；该公司使用的IP地址范围；负责该域的DNS服务器地址。
（2）列举。用来判断目标系统运行系统运行的操作系统和位于目标上的应用程序的过程。端口列举在漏洞评估中扮演了很关键的角色，因为他确保讲漏洞对应到各自的应用程序。
（3）检测。检测用来确定一个系统或应用程序是否受到攻击。这一步不是确定漏洞是否存在，漏洞是否存在有渗透测试来完成，檢测只是报告漏洞出现的可能性。首先需要一个漏洞评估工具，之后将该系统的反馈进行比较，如果漏洞评估工具收到了一个认为是坏的反馈，那么这台机器就是易受攻击。
（4）漏洞评估小结。补丁管理，配置管理及安全管理已经演变成漏洞管理中的一种功能，补丁管理和配置管理技术传统上支持与安全无关的内容，但是现在主要用来监测和修复安全问题。
在现在的环境中，由于利用了安全，补丁和配置技术相混合的漏洞评估方法，使得能用最佳的效率获得最大的利益。
五、漏洞评估工具
漏洞评估工具能够为代表一个漏洞的特定条件进行系统探测，漏洞评估工具的工作就是识别这些缺陷和配置错误。
漏洞评估工具特征：低的误报率；零漏报率；一个完整的监测数据库；带有证书的检测；无证书的检测；对网络流量的影响小；最小的系统影响；直观的和可定制的报告引擎；可定制的检测；企业的可伸缩性。
使用漏洞评估工具：识别网络上的主机；把主机分组；创建一个审计策略；执行扫描；分析报告；在必要的地方做出修复。
六、漏洞评估
漏洞评估时要对自己的网络系统了解，不能漏掉任何一台，确保每台机器有以下数据：IP地址；MAC地址；操作系统；操作系统的补丁级别；服务；安全的软件。漏洞评估是一个旅程，而不是一个目的地。
七、漏洞管理
漏洞管理定义为企业由于各种漏洞而存在着风险，不论这些漏洞是与软件还是硬件相关，漏洞管理就是一个管理风险的整个过程。
漏洞管理计划同认为计划一样，除非是书面的，得到适当的支持，并且有效的被传达，富哦则可能不会实现。必须写明计划的目的，目标和成功的标准。为了帮助计划执行下去，必须得到领导的认可和支持。不然会阻碍漏洞管理的策略过程和实践的执行效率。
漏洞管理计划的步骤：第一步，获得组织对风险的容忍性和贪婪性的理解；第二步，定义可接受的风险和时间表，在时间表中更高的风险等级将被修复；第三步，建立资产和漏洞分类方法。了解哪些资产对业务是重要的，并且提出一个漏洞分类系统将提高漏洞管理计划的执行效率；第四步，分配角色和责任。确定并写明资产所有者，保管者及负责者的实体；第五步，开发一种度量计划成功的方法。如果不能度量该计划，那么就不能表明这个组织运行在一个可接受的风险等级中。
漏洞管理的几个阶段：
1、确定。最关键的一步是确定，检查，跟踪网络上的所有信息资产，包括以下内容：为资产建立一个清单列表；确定并写明资源所有者；建立一个更新资产管理系统的流程；每年至少验证一次清单确保正确性；确保每一笔资产分类都被记录。
2、评估。建立被评估资产的清单后，现在可以吧注意力转移到评估企业资产漏洞上，作为评估的一部分，必须分类确定每个被发现漏洞的危险等级，按低中高分类，将有助于以后开展修复工作。
3、修复。修复石管理计划的关键部分。在修复阶段，要制定针对在环境中被发现的漏洞的修复策略。这个过程体现了技术，方法，策略和训练的结合，因为漏洞影响整个组织。所以可能影响整个部门。
4、报告。为了能证明所付出努力的成都，漏洞管理报告能提供这种证明，他能帮助你和整个组织交流漏洞管理的重要性，如果没有这样的报告，那么评估该组织的安全姿态和相关风险等级将非常困难。
5、改进。计划不管刚开始还是已经制定完，都可能有改进。作为改进和加强漏洞管理计划的一部分，应该回顾以前各个阶段的宝贵数据，并且寻求机会更改组追的安全策略，实践或者规程以提高计划执行效率，重要的是降低组织风险。
6、监控。这一阶段包括查明你的组织资产中可使用的漏洞。为了更有效监控工作更积极。安全人员应该通过安全顾问和漏洞信息源来跟踪漏洞。
八、漏洞管理工具
漏洞管理工具包括资产管理，漏洞评估，配置管理，补丁管理，修复，报告和监控，他们能够在一起很好的工作，并且能和第三方的技术产品很好地结合。
漏洞管理工具的评估包含以下方面：资产管理；覆盖范围；漏洞数据聚合；第三方漏洞参考；优化；修复策略执行；修复；修复组管理；补丁管理。
九、漏洞和配置管理
打补丁是为了开启新功能，减少发现的漏洞或者降低安全风险，解决稳定性问题。一个补丁很可能影响另一个补丁主次功能的运行。漏洞管理架构中最关键部分就是补丁管理计划的建立，包括系统分类，烯烃清单和补丁管理跟踪系统，这都与变更控制，测试和部署机制能够互操作。
1.补丁管理框架包括：系统清单，系统分类，系统基线，通告，减轻风险，策略，优先级排序，补丁研究与测试，补丁分发与部署，日志与报告。
2.系统清单：系统名称和物理位置，操作系统和应用程序，现有的补丁等级，系统所有者与联系信息，正在运行的服务与开放端口，其他临近系统，开放共享，处理器类型，网络信息。
3.系统分类的重要性使分配风险权重更容易，不同风险与不用系统类型有关，基于系统角色有助于确定和分配优先级。（作者单位：齐齐哈尔工程学院）