信息安全技術-09漏洞檢測技術

信息安全技術第5講

安全檢測技術5.1入侵檢測技術與網絡入侵檢測系統產品5.2漏洞檢測技術和微軟系統漏洞檢測工具MBSA第5講

安全檢測技術5.2漏洞檢測技術

和微軟系統漏洞檢測工具MBSA第5講

安全檢測技術就網絡信息系統的安全而言，僅有事后追查或實時報警功能是不夠的，還需要具備系統安全漏洞檢測能力的事先檢查型安全工具。系統漏洞檢測又稱漏洞掃描，就是對網絡信息系統進行檢查，主動發現其中可被攻擊者利用的漏洞。不管攻擊者是從外部還是從內部攻擊某一網絡系統，一般都會利用該系統已知的漏洞。因此，漏洞掃描技術應該用在攻擊者入侵和攻擊網絡系統之前。第5講

安全檢測技術1.入侵攻擊可利用的系統漏洞類型入侵者常常從收集、發現和利用信息系統的漏洞來發起對系統的攻擊。不同的應用，甚至同一系統不同的版本，其系統漏洞都不盡相同，大致上可以分為3類網絡傳輸和協議的漏洞系統的漏洞管理的漏洞第5講

安全檢測技術(1)網絡傳輸和協議的漏洞攻擊者一般利用網絡傳輸時對協議的信任以及網絡傳輸過程本身所存在的漏洞進入系統，例如，IP欺騙和信息腐蝕就是利用網絡傳輸時對IP和DNS協議的信任；而網絡嗅探器則利用了網絡信息明文傳送的弱點。第5講

安全檢測技術另外，攻擊者還可利用協議的特性進行攻擊，例如，對TCP序列號的攻擊等。攻擊者還可以設法避開認證過程，或通過假冒(如源地址)而混過認證過程。例如，有的認證功能是通過主機地址來做認證的，一個用戶通過認證，則這個機器上的所有用戶就都通過了認證。此外，DNS、WHOIS、FINGER等服務也會泄露出許多對攻擊者有用的信息，例如，用戶地址、電話號碼等。第5講

安全檢測技術(2)系統的漏洞攻擊者可以利用服務進程的BUG和配置錯誤進行攻擊，任何提供服務的主機都有可能存在這樣的漏洞，它們常被攻擊者用來獲取對系統的訪問權。由于軟件的BUG不可避免，這就為攻擊者提供了各種機會。另外，軟件實現者為自己留下的后門(和陷門)，也為攻擊者提供了機會。第5講

安全檢測技術系統內部的程序也存在許多BUG，因此，存在著入侵者利用程序中的BUG來獲取特權用戶權限的可能。竊取系統中的口令是最簡單和直截了當的攻擊方法，因而對系統口令文件的保護方式也在不斷的改進。口令文件從明文(隱藏口令文件)改進成密文，又改進成使用陰影(Shadow)的方式。第5講

安全檢測技術攻擊者竊取口令的方法可以是：竊取口令文件并做字典攻擊。從信道截獲并做進一步分析。利用特洛伊木馬竊取。采用其他方式進行竊取。第5講

安全檢測技術(3)管理的漏洞攻擊者可以利用各種方式從系統管理員和用戶那里誘騙或套取可用于非法進入系統的信息，包括口令、用戶名等。第5講

安全檢測技術通過對入侵攻擊過程進行分析，可以將系統的安全漏洞劃分為以下5類：可使遠程攻擊者獲得系統一般訪問權限。可使遠程攻擊者獲得系統管理權限。遠程攻擊者可使系統拒絕合法用戶的服務請求。可使一般用戶獲得系統管理權限。一般用戶可使系統拒絕其他合法用戶的服務請求。第5講

安全檢測技術根據安全漏洞所在程序的類型，以上5類安全漏洞又可以劃分為兩類：前3種安全漏洞主要存在于系統的網絡服務程序中，包括TELNET，FTP等用戶服務，也包括HTTP，Sendmail等共用網絡服務；后兩種安全漏洞主要存在于一些系統服務程序及其配置文件中，尤其是以Root身份運行的服務程序。第5講

安全檢測技術從系統本身的層次結構看，系統的安全漏洞可以分為以下4類：安全機制本身存在的安全漏洞。系統服務協議中存在的安全漏洞，按層次可細分為物理層、數據鏈路層、IP與ICMP層、TCP層、應用服務層。系統、服務管理與配置的安全漏洞。安全算法、系統協議與服務實現中存在的安全問題等第5講

安全檢測技術針對攻擊者利用網絡各個層次上的安全漏洞破壞網絡的安全性，系統安全必須進行全方位多層次的安全防衛，才能使系統安全的風險最小。第5講

安全檢測技術2.漏洞檢測技術分類通常采用兩種策略，即被動式和主動式策略。被動式策略是基于主機的檢測，對系統中不合適的設置、脆弱的口令以及其他同安全策略相抵觸的對象進行檢查；主動式策略是基于網絡的檢測，通過執行一些腳本文件對系統進行攻擊，并記錄它的反應，從而發現其中的漏洞。漏洞檢測的結果實際上是對系統安全性能的一個評估，因此成為安全方案的一個重要組成部分。第5講

安全檢測技術根據所采用的技術特點，漏洞檢測技術可分為以下5類：1)基于應用的檢測技術。采用被動、非破壞性的辦法來檢查應用軟件包的設置，發現安全漏洞。2)基于主機的檢測技術。采用被動、非破壞性的辦法對系統進行檢測，常涉及系統內核、文件的屬性、操作系統的補丁等問題。這種技術還包括口令解密，因此，這種技術可以非常準確地定位系統存在的問題，發現系統漏洞。其缺點是與平臺相關，升級復雜。第5講

安全檢測技術3)基于目標的檢測技術。采用被動、非破壞性的辦法檢查系統屬性和文件屬性，如數據庫、注冊號等。通過消息摘要算法，對系統屬性和文件屬性進行雜湊(Hash)函數運算。如果函數的輸入有一點變化，其輸出就會發生大的變化，這樣文件和數據流的細微變化都會被感知。這些算法實現是運行在一個閉環上，不斷地處理文件和系統目標屬性，然后產生校驗數，把這些校驗數同原來的校驗數相比較，一旦發現改變就通知管理員。第5講

安全檢測技術4)基于網絡的檢測技術。采用積極、非破壞性的辦法來檢驗系統是否有可能被攻擊而崩潰。它利用了一系列腳本對系統進行攻擊，然后對結果進行分析。網絡檢測技術常被用來進行穿透實驗和安全審計。這種技術可以發現系統平臺的一系列漏洞，也容易安裝。但是，它容易影響網絡的性能。5)綜合技術。它集中了以上4種技術的優點，極大地增強了漏洞識別的精度。第5講

安全檢測技術3.漏洞檢測的基本要點1)檢測分析的位置。在漏洞檢測中，第一步是數據采集，第二步是數據分析。在大型網絡中，通常采用控制臺和代理相結合的結構，這種結構特別適用于異構型網絡，檢測不同的平臺較容易。在不同威脅程度的環境下，可以有不同的檢測標準。第5講

安全檢測技術2)報告與安裝。漏洞檢測系統生成的報告是理解系統安全狀況的關鍵，它記錄了系統的安全特征，針對發現的漏洞提出需要采取的措施。整個漏洞檢測系統還應該提供友好的界面及靈活的配置特性。安全漏洞數據庫可以不斷更新補充。第5講

安全檢測技術3)檢測后的解決方案。如果發現了漏洞，一旦檢測完畢，那么系統應有多種反應機制。預警機制可以讓系統發送消息、電子郵件、傳呼、短信等來報告發現了漏洞。報表機制生成綜合的報表，列出所有的漏洞，管理員根據這些報告可以采取有針對性的補救措施。同入侵檢測系統一樣，漏洞檢測有許多管理功能，通過一系列的報表可讓系統管理員對這些結果做進一步的分析。第5講

安全檢測技術4)檢測系統本身的完整性。這里同樣有許多在設計、安裝、維護檢測系統時要考慮的安全問題。安全數據庫必須安全，否則就會成為黑客的工具，因此，加密就顯得特別重要。由于新的攻擊方法不斷出現，所以要給用戶提供一個更新系統的方法。更新的過程也必須進行加密，否則將產生新的危險。實際上，漏洞檢測系統本身就是一種攻擊，如果被黑客利用，那就會產生難以預料的后果，因此，必須采用保密措施。第5講

安全檢測技術4.微軟系統漏洞檢測工具MBSA為確保計算機系統的安全，除了安裝安全防護軟件(如：殺毒軟件、防火墻等)外，及時安裝漏洞補丁程序也是非常重要的。第5講

安全檢測技術例如對于Windows系統來說，幾乎每個星期都有新的漏洞被發現。這些漏洞常被計算機病毒和黑客們用來非法入侵計算機和進行破壞。雖然微軟會及時發布修補程序，但是發布時間是隨機的，而且這些漏洞會因Windows軟件版本的不同而發生變化；另一方面，盡管Windows的“附件”帶了一個自動更新程序，但它只是機械地把一大堆補丁程序統統安裝到系統中，安裝完成后你仍然不知道系統還存在著哪些漏洞。因此，完全修補所有漏洞成為每個Windows用戶的難題。第5講

安全檢測技術解決這個難題的簡單方法，就是利用特定的軟件，例如微軟的系統漏洞檢測工具MBSA(微軟基準安全分析器)對Windows系統進行掃描，檢查是否存在漏洞？哪些方面存在漏洞？以便及時修補第5講

安全檢測技術MBSA是一個免費軟件，它具有其他同類軟件無法比擬的優點：除了能檢查Windows的漏洞，還能檢測Office、IIS、