信息基础安全及管理 2

1信息安全风险评估

信息安全系信息安全管理

2主要内容实验目的1实验原理2实验步骤3注意事项及思考4

3一、实验目的1掌握利用SecAnalyst对本地主机运行状态评估2掌握利用MBSA对本地状态综合评估3掌握利用X-scan模拟外部攻击对主机扫描4掌握利用MSAT对安全环境进行风险评估5掌握风险评估的方法和步骤4主要内容实验目的1实验原理2实验步骤3注意事项及思考4

5

了解网络的漏洞和缺陷，不同的系统和服务有不同的漏洞。

为什么需要进行网络扫描？网络扫描的基本原理通过向目标系统发送数据包(网络协议特定字段填充了特定数值)，然后查看其响应，获取有用信息。网络扫描分被动式扫描和主动式扫描两类。二、实验原理----网络扫描6被动式扫描—端口扫描开放扫描半开放扫描会产生大量的审计数据，容易被对方发现，但其可靠性高。不会产生审计数据，不容易被对方发现，其可靠性一般。7TCP报文格式被动式扫描—端口扫描8开放扫描—TCPConnect扫描实现原理：通过调用socket函数connect()连接到目标计算机上，完成一次完整的三次握手过程。如果端口处于侦听状态，connect()成功返回。否则，这个端口不可用，即没有提供服务。优点：稳定可靠，不需要特殊的权限。缺点：扫描方式不隐蔽，服务器日志会记录下大量密集的连接和错误记录，并容易被防火墙发现和屏蔽。9半开放扫描技术—TCPSYN扫描实现原理：扫描器向目标主机端口发送SYN包。如果应答是RST包，说明端口是关闭的；如果应答中包含SYN和ACK包，说明目标端口处于监听状态，再传送一个RST包给目标机从而停止建立连接。优点：隐蔽性好。缺点：可靠性一般。主动式扫描—漏洞扫描漏洞扫描，就是主动检测远程或本地主机的脆弱点的过程。利用一系列的脚本模拟对系统进行攻击，然后对结果进行分析。针对已知的网络漏洞进行检验。（1）特定服务的漏洞WEB服务数据库服务FTP服务Mail服务（2）网络及管理设备漏洞路由器、交换机SNMP设备漏洞扫描（3）信息泄漏漏洞用户信息共享信息（4）人为管理漏洞弱口令错误配置漏洞扫描（1）SecAnalyst运行状态评估通过SecAnalyst可以扫描出系统基于进程和文件的安全隐患,如自启动、IE安全设置、非系统自带驱动等。（2）MBSA综合评估微软开发的基准安全分析器MBSA(MicrosoftBaselineSecurityAnalyzer)，是基于Windows系统的综合扫描工具。可以对本机或者网络上Windows系统进行安全性检测，还可以检测其他一些微软产品。13扫描工具（3）X-scan攻击扫描评估采用多线程方式对指定IP地址段(或单机)进行安全漏洞检测，支持插件功能。扫描内容包括：远程服务类型、操作系统类型及版本，各种弱口令漏洞、后门、应用服务漏洞、网络设备漏洞、拒绝服务漏洞等二十几个大类。14扫描工具（4）MSAT安全评估微软安全风险评估工具(MSAT)是一种免费工具，是为了帮助组织来评估当前环境存在的弱点。与MBSA直接扫描和评估系统不同，MSAT通过填写详细的问卷以及相关信息，处理问卷反馈，评估组织在诸如基础结构、应用程序、操作和人员等领域中的安全实践，并提出风险管理措施和意见。15扫描工具16主要内容实验目的1实验原理2实验步骤3注意事项及思考4

17SecAnalyst(1)查看扫描内容点击“插件”标签，查看本地运行状态。

18SecAnalyst(2)扫描系统点击“扫描”----“开始分析”,开始对系统扫描。19SecAnalyst举例说明：#T0SecAnalyst分析报告版本:0,4,0,47#操作系统:MicrosoftWindowsXPProfessionalServicePack3#系统目录:C:\WINDOWS\system32#浏览器:InternetEXPlorer6.0.2900.5512#生成时间:2013-5-413:58:46//以上报告基本信息#O4警告自启动:[hkey_local_machine\software\microsoft\Windows\currentversion\run\ISUSPM]-"c:\programfiles\commonfiles\installshield\updateservice\isuspm.exe"–scheduler//以上自启动隐患提示20SecAnalyst#D0低风险驱动:C:\WINDOWS\system32\Drivers\VMparport.sys//以上系统驱动文件隐患提示#O2警告BHO:{889D2FEB-5411-4565-8998-1DD2C5261283}-D:\ProgramFiles\Thunder.v89.NoAD-Ayu\ComDlls\xunleiBHO_Now.dll//以上BHO隐患提示#P0危险进程:c:\Windows\system32\nvsvc32.exe//以上系统进程隐患提示您的电脑整体安全风险为高(117分)，可能已经被破坏，请尽快处理!//以上为关于系统的基本运行状态的风险评级21MBSA(1)启动扫描启动MBSA，并对1台主机进行扫描。

22MBSA(2)设置扫描选项，开始扫描选择需要扫描的选项，配置后点击“Startscan”。23MBSA(3)本地安全扫描报告①更新扫描

24MBSA(3)本地安全扫描报告②系统扫描25MBSA(3)本地安全扫描报告③系统组件扫描26MBSA(3)本地安全扫描报告④其它应用服务扫描27X-Scan(1)填写需要扫描的IP(依次扫描主机和虚拟机)。

28X-Scan(2)选择需要扫描的模块。29X-Scan(3)其它设置可以自己进行设置以适合不同的情况。(4)设置完成后点击开始扫描。请分别在“全局设置”--“其它设置”中分别尝试选择“跳过没有响应的主机”和“无条件扫描”，看结果有何不同。再分别尝试在“插件设置”—“端口相关设置”中用“TCP”连接和“SYN”连接后扫描出的漏洞有何不同。30MSAT(1)新建并编辑主机配置文件。31MSAT（2）新建针对主机的评估。（3）评估会根据以上几个部分进行安全评估，并最终生成报表文件。

按照如下步骤编写风险评估报告：识别并评价资产

识别并评估威胁

识别并评估脆弱性

分析可能性和影响

风险计算（相乘法）风险处理（现存风险判断、控制措施的选择）32形成风险评估报告资产、脆弱性和威胁识别资产编号资产名称安全属性赋值A2防火墙1

A4Web服务器

A5数据库

CIA1

2

5

3

4

5

3

4

4

CIA0.1

0.1

0.4

0.4

0.4

0.4

0.5

0.5

0.2

权值资产价值3451.识别资产2.对资产赋值3.计算资产价值资产识别与赋值黑客IntranetWeb服务器数据库缺少对输入的合法性判断入侵和破坏进一步攻击后台管理员资产编号A1A2A3威胁编号T1T2T3威胁类别漏洞利用泄密后门攻击资产名称防火墙1

Web服务器

数据库

脆弱性名称日志功能未启用

未对用户输入过滤信息未加密后台上传文件权限设置过高V1V2V3V4漏洞编号资产、脆弱性和威胁的识别防火墙查询数据库登陆管理员后台资产（资产价值）资产A1(3)威胁（威胁频率）威胁T1(2)风险值漏洞（严重程度）漏洞V1(3)可能性影响赋值54321几乎不可避免或可证实发生频率很高很有可能发生或可证实曾发生过可能会发生但未被证实发生过一般不发生几乎不发生描述威胁频率很高高低中等很低

，，可能性为(1)计算安全事件发生的可能性（L）风险计算—相乘法风险值:

R=可能性影响可能性:影响:风险值:

R=可能性影响可能性:

影响:赋值54321若被威胁利用，对资产造成完全损害若被威胁利用，对资产造成重大损害若被威胁利用，对资产造成一般损害若被威胁利用，对资产造成较小损害几乎没影响描述严重程度很高高低中等很低威胁（威胁频率）漏洞（严重程度）资产（资产价值）风险值资产A1(3)威胁T1(2)漏洞V1(3)可能性影响

，，可能性为(1)计算安全事件发生的可能性（L）风险计算—相乘法风险值:

R=可能性影响可能性:

影响:威胁（威胁频率）漏洞（严重程度）资产（资产价值）风险值资产A1(3)威胁T1(2)漏洞V1(3)可能性影响

，，可能性为(1)计算安全事件发生的可能性（L），，影响为(2)计算安全事件的影响（F）风险计算—相乘法赋值54321等级很高高低中等很低3安全属性破坏后导致非常严重的影响安全属性破坏后导致比较严重的影响安全属性破坏后导致中等严重的影响安全属性破坏后导致较低严重的影响影响很低，甚至可忽略描述风险值:

R=可能性影响可能性:

影响:

(3)计算风险值威胁（威胁频率）漏洞（严重程度）资产（资产价值）风险值风险等级资产A1(3)威胁T1(2)漏洞V1(3)可能性影响

，，可能性为(1)计算安全事件发生的可能性（L），，影响为(2)计算安全事件的影响（F）7238风险值1-5风险等级6-10111-1516-2021-252345风险计算—相乘法6-1023风险值:

R=可能性影响可能性:

影响:（四舍五入）39风险计算资产（资产价值）风险值风险等级可能性影响

威胁（威胁频率）

漏洞（严重程度）威胁T1（5）漏洞V2（4）4184威胁T2（4）漏洞V3（4）44164威胁T3（4）漏洞V4（4）4184Web服务器（4）数据库（5）是否可接受威胁T1（2）漏洞V1（3）372防火墙1（3）是否否否威胁T1（2）漏洞V1（3）372防火墙1（3）是威胁T1（5）漏洞V2（4）4184威胁T2（4）漏洞V3（4）44164威胁T3（4）漏洞V4（4）4184Web服务器（4）数据库（5）否否否风险接受等级划分表40选择风险控制措施选择风险控制措施资产名称威胁资产编号是否可接受A2Web服务器漏洞风险等级A3数据库否漏洞利用未对用户输入数据进行过滤4否后门攻击后台上传文件执行权限设置过高4泄密信息未加密否4漏洞利用后门攻击泄密未对用户输入数据进行过滤后台上传文件执行权限设