安全认证和评估

第20章 安全认证和评估20.1风险管理图20-1风险评估方法20.2安全成熟度模型1. 安全计划表20-1安全成熟度能力级别安全成熟度能力级别说明无效力（50%）总的安全体系结构没冇遵从企业安全策略、法规，以及最佳经营 实际需要改进（65%）安全体系结构中无效力的应少于35%合适(85%)企业的安全计划、部署、配世和过程控制使安全体系结构能满足 总的目标极好（趙过100%）安全休系结构趙过了总的目标及需求2. 技术和配置3. 运行过程20.3威胁威胁源1. 人为差错和设计缺陷2. 内部人员3. 临时员工4. 自然灾害和环境危害5. 黑客和其他入侵者6. 病毒和其他恶意软件威胁情况与对策1. 社会工程（系统管理过程）2. 电子窃听3. 软件缺陷4. 信任转移（主机之间的信任关系）5. 数据驱动攻击（恶意软件）6. 拒绝服务7. DNS欺骗&源路由9.内部威胁20.4安全评估方法安全评估过程安全成熟度计划I人工检査(2)廉洞测试安全评估安全体系结构 发现监控和报答(4)过用处理(5)凤险分析 经营业务影响分析(7)图20-2安全评估阶段网络安全评估表20-2端口扫描技术端口扫描技术描述原型TCP/IP连接打开一个连接观察感兴趣的端口并监听（在攻击的主机上不需专门的特 权九 假如平台、防火墻或IDS正在监控该分组，则易于检测端口的扫描TCP SYN（半开）这个类取的扫描不是完全的TCP三次握手（SYN输出，Ack返回，Rst输 出）。在大多数悄况监控不会捕捉它，但為婆根据管理特权来控制低 层联网数据TCP FIN, Xmas 或 Null （偷袭）扫描TCP协议文本（RFC 793）规定关闭的端口必须对reset（RST分组响应。 利用该特性能在无检测悄况检测哪些端口是开启或关闭的。Microsoft 的联网栈不响应RST分组，这是另一种来识别网络匕平台类型的方法TCP FTP代理（反弹攻 击）扫描这种技术町利用一个FTP服务器到代理（转发请求）的联接进人组织。 换句话说能使用位于防火墙后的一个FTP扫描在防火墙内的地址TCP ACR 和 Windows 扫描这个技术用于某些操作系统联网核心TCP窗口大小报告的异常UDP未处理ICMP瑞口 不可达扫描很多UDP服务（例如SNMP.NFS.TFTP和DNS）运行在平台上。这个 方法是对冃标机的毎个端口发送一个0字节的UDP分组。假如返回一 个不可达ICMP端口，那么该端口是关闭的，否则假定端口是开启的续表端口扫描技术描述直接RPC扫描这个技术用于所有打开的TCP/UDP端口，并用Sun RPC程序NULL命 令将其扩散。假如RPC运行在任何端口，那么程序及版本号将发送到攻 击的机器由TCP/IP远程用户信息 服务程序实现远程OS 标识内联网堆栈标识主机操作系统及版本平台安全评估应用安全评估20.5安全评估准则1. 可信计算机系统评估准则2. 信息技术安全评估准则3. 通用安全评估准则4. 计算机信息系统安全保护等级划分准则可信计算机系统评估准则1. D级2. C1级，自主安全保护级3. C2级，受控存取保护级4. B1级，标记安全保护级5. B2级，结构化保护级6. B3级，安全域级7. A1级，验证设计级计算机信息系统安全保护等级划分准则1 概述第五级：访何验证保护级笫四级:结构化保护级第2级:安全标记保沪级第二级:系统审计保护级第处用八自上保护级图203各等级安全保护能力示总图2. 技术功能说明通用安全评估准则1 概述希里滥川或破坏图204CC中的安全概念与相互关系TOE物理环境嬰求保护的诗产Torn 的安全环境素材(PP/ST)1111假设威胁组织的実全的何题111-女全标安全冃标cc耍求类安全口标素材(PP/ST)功能要求保障要求J.JOE建立环境要求安全要求素材(PP/ST)IOE槪箜规范安全规范素材(PP/ST)图20-5保护轮廓与安全目标的关系图20-6评估的概念与相互关系图20-7使用评估结果2. 安全功能要求与安全保证要求20.6本章小结习题1. 什么是风险管理？简述风险评估的方法。2. 安全成熟度模型的作用是什么？应从哪些方面来分析？3. 弄淸楚威胁的来源是减少威胁得逞可能性的关键，哪些是主要的威胁源？4. 什么是防止电子窃听的保护措施？5. 什么是导致不安全的最常见的软件缺陷？6. 简述从安全成熟度模型3个方而的安全评估阶段。7. 简述网络安全评估的过程和方法。&可信计算机系统评估准则的适用范围是什么？9. il算机信息系统安全保护等级划分准则是一个强制性的国家标准，制圮该标准的主要目 的是什么？安全等级是如何划分的？10. 通用安全评估准则CC是一个国际标准，CC由哪几部分组成？其主要内容是什么？参考文献1. Eric Maiwald. Network Security. McGraw Hill, 20012. Christopher M.King, Curtis E.Dalton & T.Ertem Osmanoglu. Security Architecture. cGrawHill, 20013. William Stallings. Network Security Essentials: Applications and Standards. Prentice Hill 20004. 20015. Douglas E. Comer. Internetworking with TCP/IP Vol I. Prentice HilL 20006. Informalioii Assurance Technical Framework (IATF) Document 3.0. IATF Fonim Webmaster, 20007. 信息处理系统开放系统互连基本参考模型一一第二部分：安全体系结构(GB仃9387.2 1995)(等同于 ISO74982)8. il-M机信息系统安全保护等级划分准则(GB178591999).国家质量技术监督局发布， 19999. Bruce Schneier. Digital Security in a Networked World. John Wiley & Sons, Inc., 200010. D. Brent Chapman, Elizabeth D. Zwicky. Building Internet Firewalls. OReilly & Associates, Inc., 199511 Marcus Goncalves .Firewalls: A Complete Guide. 200012. William R. Cheswick, Steven M. Bellovin. Firewalls and Internet Security, 200013. The Twenty Most Critical Internet Security Vulnerabilities ()14. Casey Wilson Peter Doak. Creating and Implementing Virtual Private Networks. The Coriolis Group, 199915. Naganand Doraswamy, Dan Harkins IPScc: The New Security Standard for the Internet. Intranets and Virtual Private Networks. Prentice HalL 199916. Bnise Schneier. Applied Cryptography: Protocols, Algorithms and Source Code in C, Second Edition, John Wiley and Sons, 199517. Steve Burnett and Stephen Paine. RSA Securityr s Official Guide to Cryptography. Osborne McGraw Hill, 200118. Stuart McClure, Joel Scambray, George kurtz. Hacking Exposed: Nertwork Security Secrets& Solutions. McGraw Hill, 200119. Matt Bishop. Vulnerabilities Analysis, 199920. Rick Tims Social Engineering: Policies and Education a Must, February 16, 200121. Dan Farmer Wietse Venema. Improving the Security of Your Site by Breaking into it, 199322. Ofir Arkin. Network Scanning Techniques, Nov., 199923. Matt Bishop, David Bailey. A Critical Analysis of Vulnerability Taxonomies, 199624. Dennis Longley and Michael Shain. The Data & Computer Dictionary of Standards, Concepts and Terms, 199025. 薛静锋.UNIX主机安全漏洞分析及漏洞扫描器的设计与实现,200226. Rebecca Bace An Introduction to Intrusion Detection and Assessment27. Mike Fiskyx, George Varghesey Fast Content Based Packet Handling for Intrusion Detection. UCSD Technical Report CS2001 0670, May, 200128. Mark Crosbie. Automated Intnision and Misuse Detection: A Guide to Understanding the Technology and Evaluating Your Needs29. Martin Roesch. Snort Users Manual. 10th August, 200130. Michael Mullins. Implementing a Network Intnision Detection System, 16 May, 200231. 胡道元.Intranet网络技术及应用.北京：淸华大学出版社，199832. David Harley, Robert Slade, Urs E.Cattiker. Viruses Revealed. McGraw Hill, 200133. 200234. 闵京华.电子政务中的应用安全平台.信息安全与通信保密，2002第9期(总21期), 第41页35. ISO/IEC 17799: 2000 Information Technology Code of Practice for Information Security Management36. BS7799 2: 1999 Information Security Management Specification for Information Security Management Systems37. 信息系统安全技术国家标准汇编.北京：中国标准出版社，200038. Neal Kiawet乙 Imroduction to Network Security. Charles River Media, 200739. Information Systems Security Certification Consortium ertified Information Systems Security Professional, 200640. ISO/IEC FDIS 18028 2:2005 Information technology Security techniques IT Network security Part 2: Network security architecture41.42.43. ISO/IEC FDIS 18028 1:2006 Infonnation technology Security techniques IT Network security Part 1: Network security management44. ISO/IEC 17799:2005 Information technology Security techniques Code of practice for information security management45. ISO/IEC 27001: 2005 Information technology Security techniques Information security management systems Requirements