1、 信息安全风险评估工具 信息安全风险评估工具是信息安全风险评估的辅助手段，是保证风险评估结果可信度的一个重要因素。信息安全风险评估工具的使用不但在一定程度上解决了手动评估的局限性，最主要的是它能够将专家知识进行集中，使专家的经验知识被广泛的应用。 本章主要介绍风险评估与管理工具、系统基础平台风险评估工具、风险评估辅助工具、信息安全风险评估工具的发展方向和最新成果。 1风险评估与管理工具风险评估与管理工具 风险评估与管理工具根据信息所面临的威胁的不同分布进 行全面考虑，主要从安全管理方面入手，评估信息资产所面临 的威胁。 风险评估与管理工具主要分为3类： 1基于信息安全标准的风险评估与管理工具
2、2基于知识的风险评估与管理工具 3基于模型的风险评估与管理工具 1.1 MBSA 1.1.1 MBSA简介 操作系统是各种信息系统的核心，它自身的安全是影响整个信息系统安全的核心因素。作为 Microsoft 战略技术保护计划（Strategic Technology Protection Program）的一部分，并为了 直接满足用户对于可识别安全方面的常见配置错误的简便方法的需求，Microsoft 开发了 Microsoft 基准安全分析器MBSA（Microsoft Baseline Security Analyzer），可对Windows系列操作系统进行基线风险评估。 MBSA可以对
3、本机或者网络上Windows NT/2000/XP的系统进行安全性检测，还可以检测其它的一些微软产品，如SQL7.0/2000、5.01以上版本的Internet Explorer、IIS4.0/5.0/5.1和Office2000/XP，是否缺少安全更新，并及时通过推荐的安全更新进行修补。 1.1.2 MBSA风险评估过程 MBSA在运行的时候需要有网络连接，运行后的界面如图6-1所示，点击“Scan a computer”，然后在右边窗口填写要检查的主机名或IP地址，定义安全报告名，设置选项定制本次检查要检测的内容，之后按下“Start Scan”，开始进行检测。图6-1 MBSA的开始界
4、面 检测完成后，安全报告会立刻显示出来，如图6-2所示，表示一般性警告，表示严重警告，表示不存在漏洞。对于每一项扫描出漏洞的结果，基本上都提供了三个链接，其中“What was scanned”显示了在这一步中扫描了哪些具体的操作；“Result Details”显示了扫描的详细结果；“How to correct this”显示了建议用户进行的操作，以便能够更好地解决这个问题。 图6-2 安全报告 从扫描结果可以看出，MBSA对扫描的软件全部进行了可靠的安全评估。微软的MBSA是免费工具，下载地址：microsoft/china/technet/security/tools/mbsahome
5、.mspx。 1.2 COBRA 1.2.1 COBRA简介 COBRA（Consultive,Objective and Bi-Functional Risk Analysis）是英国的C&A系统安全公司（C&A Systems Security Ltd）推出的一套风险分析工具软件，主要依据ISO 17799进行风险评估。COBRA 1版本于1991年推出，用于风险管理评估。随着COBRA的发展，目前的产品不仅仅具有风险管理功能，还可以用于评估是否符合BS7799标准、是否符合组织自身制定的安全策略。COBRA系列工具包括风险咨询工具、ISO17799/BS7799咨询工具、策略一致性分析工
6、具、数据安全性咨询工具。 COBRA是一个基于知识的定性风险评估工具，由3部分组成：问卷构建器、风险测量器、结果生成器。 最后针对每类风险形成文字评估报告、风险等级（得分），所指出的风险自动与给系统造成的影响相联系。其工作机理如图6-3所示。图6-3 COBRA定性风险分析方法1.2.2 COBRA风险评估过程COBRA风险 评估过程主要包括3个步骤: 1.问题表构建 2.风险评估 3.报告生成 C&A公司在网站security-risk-analysis/cobdown.htm中提供了COBRA的免费试用版，但需要注册。 1.3 CRAMM 1.3 CRAMM 1.3.1 CRAMM 1.3
7、.1 CRAMM简介简介 CRAMM（CCTA Risk Analysis and Management Method）是由英国政府的中央计算机与电信局(Central Computer and Telecommunications Agency，CCTA)于1985 年开发的一种定量风险分析工具，同时支持定性分析。 CRAMM 是一种可以评估信息系统风险并确定恰当对策的结构化方法，适用于各种类型的信息系统和网络，也可以在信息系统生命周期的各个阶段使用。 CRAMM包括全面的风险评估工具，并且完全遵循BS 7799规范，包括依靠资产的建模、商业影响评估、识别和评估威胁和弱点、评估风险等级、识别
8、需求和基于风险评估调整控制等。 1.3.2 CRAMM风险评估过程 CRAMM的安全模型数据库基于著名的“资产/威胁/弱点”模 型，评估过程主要包括三个阶段。 1定义研究范围和边界，识别和评价资产 2评估风险，即对威胁和弱点进行评估 3选择和推荐适当的对策 1.4 ASSET ASSET（Automated Security Self-Evaluation Tool）是美国国家标准技术协会NIST以NIST SP800-26（信息系统安全性自我评估向导）为标准制定的，用于安全风险自我评估的软件工具。 根据NIST安全性自我评估向导，将安全级别分为五级：一般、策略、实施、测试、检验。 ASSET
9、采用典型的基于知识的分析方法，利用问卷方式来评估系统安全现状与NIST SP 800-26 指南之间的差距。 ASSET是一个免费工具，可以从NIST网站下载，网址是：csrc.nist.gov/asset。 1.5 RiskWatch 1.5 RiskWatch 1.5.1 RiskWatch简介 美国RiskWatch公司综合各类相关标准，开发了风险分析自动化软件系统，进行风险评估和风险管理，共包括五类产品，分别针对信息系统安全、物理安全、HIPAA标准、RW17799标准、港口和海运安全，分别分析信息系统安全风险、物理安全危险、以HIPAA为标准存在的安全风险、以RW17799为标准存在
10、的安全风险、港口和海运存在的安全风险。 RiskWatch工具具有以下特点：友好的用户界面；预先定义的风险分析模板，给用户提供高效、省时的风险分析和脆弱性评估；数据关联功能；经过证明的风险分析模型。 1.5.2 RiskWatch风险评估 1RiskWatch关于风险定义 风险=资产损失威胁脆弱性防护措施 即：当组织有价值的资产受到某种形式威胁，形成系统脆弱性，并造成一定损失时，称系统出现风险。 2风险分析应该达到两个目标 确定目标系统/设备当前状态下面临的风险； 确定并推荐减少风险的防护控制措施，并证明这些措施是有效的。 3RiskWatch9.0通过使用因素关联功能和计算风险来达到上述风险
11、分析目标 1.6 1.6 其它风险评估与管理工具其它风险评估与管理工具 1.6.1 RA/SYS1.6.1 RA/SYS RA/SYS（Risk Analysis System）是一个定量的自动化风险分析系统，包括50多个有关脆弱性和资产以及60多个有关威胁的交互文件，用于威胁和脆弱性的计算，用于成本效益、投资效益、损失的综合评估，产生威胁等级和威胁频率。 1.6.2 RISK 1.6.2 RISK RISK是由美国Palisade公司推出的风险分析工具，并不针对信息安全风险评估，主要用于商业风险分析。RISK利用蒙特卡洛模拟法进行定量的风险评估，允许在建立模型时应用各种概率分布函数，对所有可
12、能及其发生概率做出评估。RISK加载到Excel上，为Excel增添了高级模型和风险分析功能，详情可以参见Palisade公司的网页palisade。 1.6.3 BDSS 1.6.3 BDSSBDSS（Bayesian Decision Support System）是一个定量/定性相结合的风险分析工具，通过程序收集资产评估数据，依据系统提供的数据库，确定系统存在的潜在风险。BDSS使用灵活，除了提供定量的分析评估报告之外，还可以提供定性的、有关弱点及其防护措施的建议。 1.6.4 CC 1.6.4 CC CC评估工具有美国NIAP发布，CC评估系统依据CC标准进行评估，评估被测信息系统达到
13、CC标准的程度，共由两部分组成：CC PKB（CC知识库）和CC ToolBox（CC评估工具集）。 CC PKB是进行CC评估的支持数据库，基于Access构建。 CC ToolBox是进行CC评估的主要工具，主要采用页面调查形式，用户通过依次填充每个页面的调查项来完成评估，最后生成关于评估所进行的详细调查结果和最终评估报告。 1.6.5 1.6.5 CORA CORACORA（Cost-of-Risk AnalysisCost-of-Risk Analysis）是由国际安全技术公）是由国际安全技术公司（司（International Security Technology, Inc.Int
14、ernational Security Technology, Inc.）开发的一）开发的一种风险管理决策支持系统，它采用典型的定量分析方法，可种风险管理决策支持系统，它采用典型的定量分析方法，可以方便地采集、组织、分析并存储风险数据，为组织的风险以方便地采集、组织、分析并存储风险数据，为组织的风险管理决策支持提供准确的依据。网址是：管理决策支持提供准确的依据。网址是：ist-usaist-usa 1.6.6 MSAT MSATMSAT（Microsoft Security Accessment ToolMicrosoft Security Accessment Tool）是微）是微软的一个风
15、险评估工具，与软的一个风险评估工具，与MBSAMBSA直接扫描和评估系统不同，直接扫描和评估系统不同，M MSATSAT通过填写的详细的问卷以及相关信息，处理问卷反馈，评通过填写的详细的问卷以及相关信息，处理问卷反馈，评估组织在诸如基础结构、应用程序、操作和人员等领域中的估组织在诸如基础结构、应用程序、操作和人员等领域中的安全实践，然后提出相应的安全风险管理措施和意见。安全实践，然后提出相应的安全风险管理措施和意见。 MSAT MSAT是免费工具，可以从微软网站下载，但需要注册。下是免费工具，可以从微软网站下载，但需要注册。下载地址：载地址：microsoft/china/security/m
16、sat/default.aspmicrosoft/china/security/msat/default.asp。 1.6.7 RiskPAC RiskPAC是CSCJ公司开发的，对组织进行风险评估、业务影响分析的一个定量和定性风险评估工具。RiskPAC的风险评估过程是：确定风险评估范围、确定对分析评估结果进行反应的人员，选择问卷调查表，进行调查评估分析。RiskPAC将风险分为几个级别，根据不同风险级别问题的构建和回答，完成风险评估。1.7 常用风险评估与管理工具对比常用风险评估与管理工具对比情况如表6-1所示:表6-1 常用风险评估与管理工具对比 2 2 系统基础平台风险评估工具系统基础
17、平台风险评估工具 系统基础平台风险评估工具包括脆弱性扫描工具和渗透测试工具。脆弱性评估工具也称为安全扫描、漏洞扫描器，评估网络或主机系统的安全性并且报告系统的脆弱点。这些工具能够扫描网络、服务器、防火墙、路由器和应用程序，发现其中的漏洞。渗透测试工具是根据漏洞扫描工具提供的漏洞，进行模拟黑客测试，判断这些漏洞是否能够被他人利用。渗透测试的目的是检测已发现的漏洞是否真正会给系统或网络环境带来威胁。通常在风险评估的脆弱性识别阶段将脆弱性扫描工具和渗透测试工具一起使用，确定系统漏洞。 2.1 脆弱性扫描工具 2.1.1 脆弱性扫描概述 脆弱性也称为漏洞(Vulnerability)，是系统或保护机制
18、内的弱点或错误，它们使信息暴露在攻击或破坏之下，如：软件包的缺陷，未受保护的系统端口，或没有上锁的门等。已验证、归档和公布的漏洞称为公开漏洞。漏洞的种类有很多，主要包括：硬件漏洞、软件漏洞和网络漏洞。 脆弱性扫描的基本原理是采用模拟黑客攻击的方式对目标可能存在的脆弱性进行逐项检测，可以对工作站、服务器、交换机、数据库等各种对象进行脆弱性检测。按照扫描过程来分，扫描技术又可以分为四大类：Ping扫描技术、端口扫描技术、操作系统探测扫描技术、习惯性以及已知脆弱性的扫描技术。 2.1.2 脆弱性扫描工具分类 目前对脆弱性扫描工具的研发主要分为以下几种类型： 1 1基于网络的扫描器：在网络中运行，能够
19、检测如防火墙错误配置或连接到网络上的易受攻击的网络服务器的关键漏洞。 2基于主机的扫描器：发现主机的操作系统、特殊服务和配置的细节，发现潜在的用户行为风险，如密码强度不够，也可实施对文件系统的检查。 3 3分布式网络扫描器：由远程扫描代理、对这些代理的即插即用更新机制、中心管理点三部分构成，用于企业级网络的脆弱性评估，分布和位于不同的位置、城市甚至不同的国家。 4数据库脆弱性扫描器：对数据库的授权、认证和完整性进行详细的分析，也可以识别数据库系统中潜在的脆弱性。 2.2 流光（Fluxay）脆弱性扫描工具 Fluxay并不是单纯的系统脆弱性扫描工具，而且是一个功能强大的渗透测试工具。其工作原理
20、是：首先，获得计算机系统在网络服务、版本信息、Web应用等相关信息，采用模拟攻击的方法，对目标主机系统进行攻击性的安全漏洞扫描，如弱口令测试等。如果模拟攻击成功，则视为系统脆弱性存在。其次，也可以根据系统事先定义的系统安全漏洞库对可能存在的脆弱性进行逐项检测，按照规则匹配的原则将扫描结果与安全漏洞库进行比对，如果满足匹配条件，则视为脆弱性存在。最后，根据检测结果向系统管理员提供安全性分析报告，作为系统和网络安全整体水平的评估依据。图6-4 流光工具启动界面 启动流光工具后可以看到它的主界面，如图6-4所示: 单击“文件”菜单下的“高级扫描向导”选项，将会有如图6-5所示的界面。其中，“起始地址
21、”和“结束地址”填写本地IP，“目标系统”可以选择ALL/Windows/Linux/UNIX，“检测项目”选择对目标主机的哪些服务进行漏洞扫描。图6-5 高级扫描向导设置 单击“下一步”按钮，出现如图6-6所示的窗口。 图6-6 端口设定 通过此窗口可以对扫描主机的端口进行设置，其中自定端口扫描范A围为065535。选择“标准端口扫描”，并单击“下一步”按钮，将会弹出尝试获取POP3的版本信息和用户密码的对话框，获取FTP的版本号、尝试匿名登录和尝试猜解用户的对话框，选择这三项后单击“下一步”按钮，将弹出询问获取SMTP的版本号、EXPN/VRFY扫描的对话框，获得IMAP版本信息、尝试猜解
22、用户账号的对话框，以及获取系统版本（TELNET）、SunOS Login远程溢出和WWW版本信息的（CGI）对话框。选择这些项后单击“下一步”。 CGI Rules显示的是扫描Web漏洞的信息，可按照事先定义的CGI漏洞列表选择不同的漏洞对目标主机进行扫描。其中，默认规则有2448条，如图6-7所示。 单击“下一步”按钮，出现在对MS SQL 2000数据库漏洞、SA密码解密和版本信息进行扫描的对话框，如图6-8所示。 图6-7 漏洞扫描设置 单击SQL对话框的“下一步”按钮，出现对话框，如图6-9所示，对计算机系统的IPC漏洞进行扫描，查看是否有空连接、共享资源，获得用户列表并猜解用户密码
23、。图6-8 MS SQL数据库漏洞扫描设置 图6-9 IPC漏洞扫描设置 选择需要进行扫描的选项，如果不选择最后一项，则此软件将对所有用户的密码进行猜解，否则只对管理员用户组的用户密码进行猜解。单击“下一步”按钮，弹出如图6-10所示的对话框。 图6-10 IIS漏洞扫描设置 在这个对话框中，将设置对IIS漏洞的扫描选项，包括Unicode编码漏洞、FrontPage扩展、尝试获取SAM文件和尝试获取PcAnyWhere密码文件。单击“下一步”按钮，弹出设置MISC的对话框，其中包括：BIND版本扫描、猜解MySQL密码和SSH版本扫描。单击对话框中的“下一步”按钮，弹出PLUGINS对话框，
24、如图6-11所示。 图6-11 插件漏洞扫描设置 流光软件提供了对11个插件的漏洞扫描，可根据需要进行选择。单击“下一步”按钮，弹出如图6-12所示的对话框，在这个对话框中，通过“猜解用户名字典”尝试暴力猜解，用于除了 IPC之外的项目。单击“完成”按钮，弹出“选择流光主机”对话框，如图6-13所示，可设置扫描引擎。 图6-12 猜解字典设置 图6-13 选择流光主机 选择默认的本地主机作为扫描引擎，可以设置扫描速度。速度越快就越容易单击“开始”按钮进行扫描。 经过一段时间后会在探测结果窗口中将出现扫描的结果，类似于图6-14所示。 图6-14 扫描结果 我们可以看到，示例的扫描结束后屏幕弹出
25、检测结果框，共检测到14条结果。同时，流光还会生成扫描报告，以网页的形式保存在预设目录之下。示例的扫描结果显示主机127.0.0.1有7个端口开放并提供服务。在扫描报告当中我们还可以看到主机的端口，SMTP的版本信息和是否支持VRFY；还可以看到扫描成功的CGI漏洞和MISC信息。 按照前面提出的步骤扫描主机，查看扫描结果，了解各种系统漏洞和可能造成的危害。下载相应的系统补丁，修补系统漏洞，从而构造一个相对安全的操作系统。在安装完补丁后，重新使用流光来扫描系统漏洞，检查系统漏洞是否已经修补。 2.3 Nessus脆弱性扫描工具 Nessus是一个功能强大的远程安全扫描器。它不仅免费而且更新极快
26、。安全扫描器的功能是对指定网络进行安全检查，找出该网络是否存在有导致对手攻击的安全漏洞。 启动Nessus的安装文件，出现图6-15。按照提示进行安装，安装结束后将在目标目录处出现两个快捷方式，如图6-16所示。双击“Nessus Client”图标，进入扫描界面，如图6-17所示。图6-15 安装Nessus界面图6-16 Nessus安装结果图6-17 Nusess的启动界面 单击“Connect”按钮，选择本地主机，进行连接。连接成功后，“Connect”按钮变成了“Disconnect”。单击界面左侧按钮，向扫描工具添加编辑目标，在这里以本地主机为例，如图6-18所示。保存后回到主界面
27、。单击界面右侧的添加一项新的扫描任务，如图6-19所示。图6-18 扫描目标的设置图6-19 对新扫描任务的设置 在这个界面当中可以设置本次扫描任务的名称，设置扫描端口的范围，漏洞的选择以及关于扫描网络方面的设置等。添加完成后，单击“Scan Now”开始进行扫描。扫描结果如图6-20所示。 图6-20 扫描结果 单击左侧的各个条目，可以查看具体的说明。扫描的结果还可以通过点击“Export”按钮导出成HTML文件。在此网页中可以查看详细的扫描结果，它将列出扫描结果的ID号，这些在nessus.org网页中均有详细的说明。根据说明有无风险来进行修复。 扫描结束后，可以将本次任务保存下来。点击扫
28、描界面下的“Disconnet”按钮，退出了此次连接。如有需要再次进行连接即可。 Nessus的优点在于：它采用了基于多种安全漏洞的扫描，避免了扫描不完整的情况；它是一个免费工具，比起商业的安全扫描工具如ISS具有价格优势；它的扩展性强、容易使用、功能强大，可以扫描出多种安全漏洞。 2.4 2.4 极光远程安全评估系统 2.4.12.4.1 概述 绿盟科技自主研发了极光(AURORA)远程安全评估系统，产品针对各类操作系统、网络产品、数据库产品等的安全漏洞进行分析。该产品为嵌入式安全专用硬件扫描系统，基于浏览器的远程使用、分级用户管理、强大的地址本、完善的日志、分布式部署能力，构筑企业级安全评
29、估应用。 2.4.2 2.4.2 系统架构系统架构极光系统架构如图6-21所示。极光使用Web管理方式，让用户使用浏览器通过SSL加密通道和系统Web界面模块交互，方便用户管理。图6-21 极光系统整体架构图 极光专用安全系统平台是具有很高的安全性和稳定性。包括如下主要功能模块: 1 .扫描核心模 扫描核心模块是系统最重要的模块之一，它负责完成目标的探测评估工作，包括判定主机存活状态、操作系统识别、规则解析匹配等。 2. 漏洞知识库漏洞知识库包含漏洞相关信息，是系统运行的基础，扫描调度模块和Web管理模块都依赖它进行工作。 3. 扫描结果库扫描结果库包含了扫描任务的结果信息，是扫描结果报告生成
30、的基础，也是查询和分析结果的数据来源。 4. 汇总数据汇总数据是综合分析、趋势分析和报表合并的统计信息的数据来源，是任务合并、分布式数据汇总之后的结果。5. Web界面模块 Web界面模块负责和用户进行交互，配合用户的请求完成管理工作。Web管理模块包含多个子模块共同完成用户的请求，其主要子模块有： 任务管理子模块 报表子模块 任务报表辅助管理子模块 地址本管理子模块 用户和权限系统子模块 系统日志和审计策略子模块 常用工具子模块 系统配置子模块 6数据同步模块 主要实现分布式部署中的任务分发、策略分发等功能；完成扫描结果数据向上级AURORA系统的数据上传，在数据上传中使用SSL加密传输通道
31、，保证了数据的保密性；汇总的数据可以进行集中统一的分析。 7 7升级模块 极光有网络自动升级和用户手动升级的策略，系统的各个模块都可以通过升级模块进行升级。 2.4.3 系统应用环境 1平坦式部署 小型网络中，数据相对集中，网络拓扑结构也相对简单，可采用平坦式部署方式，如图6-22所示。 图6-22 极光的平坦式部署模式2分布式部署大型网络中多台极光系统共同工作时，极光的分布部署支持能力可以使得各系统间的数据能共享并汇总。网络中使用分布式部署结构如图6-23所示。图6-23 极光的分布式部署模式2.5 天镜脆弱性扫描与管理系统2.5.1 概述 启明星辰自主研发了天镜脆弱性扫描与管理系统。它的任
32、务是用实践性的方法扫描分析网络系统，检查系统中存在的弱点和漏洞并生成相应的报告，适时提出修补方法和应实施的安全策略，从而达到增强网络安全性的目的。2.5.2 系统构成1产品组成 天镜分布式产品组成包含以下几个部分： 管理控制中心 综合显示中心 日志分析报表 扫描引擎软件 扫描对象授权 数据库2 2产品部署产品部署 方案一：单机式部署图6-24 天镜单机式部署 方案二：分布式部署图6-25 天镜单机式部署 方案三：多级式部署图6-26 天镜多级式部署 3 3系统配置系统配置硬件环境： 本系统运行在硬件环境为X86架构的台式机或笔记本电脑。 CPU：不低于Pentium IV 2.2G。 内存：不
33、低于512M。 硬盘：不低于50M剩余空间，建议200M以上剩余空间。 网卡：至少一块100Mbps以太网卡。软件环境： 操作系统：中文版Windows 2000 SP4以上。 浏览器：IE5.0以上版本。2.5.3 系统功能1管理功能 分布管理、集中分析图6-27 天镜管理控制台 多级管理 对于拥有不同地域、大规模网络的用户，各个地域的网络安全管理员管理着本地域的网络安全状况，其上层的安全管理员可以上传检测结果、下达检测策略、统一管理、统一分析、统一升级；实现大规模网络环境下的全局风险控制、降低管理成本。2策略管理 扫描计划定制图6-28 天镜扫描计划制定 系统使用授权限制 系统提供了硬件强
34、制授权管理，以确保系统的使用安全、防止非法使用。 3自定义显示功能 自定义分类结构显示 显示自定义窗口 重点关注自定义 4扫描功能 端口服务智能识别 可识别的扫描对象 扫描漏洞分类 数据库扫描 Web扫描5报告功能6安全信息手册图6-29 安全信息手册示例7用户管理与审计 系统分用户、分权限使用与管理； 支持双因素身份认证：口令、身份卡配合使用； 用户、管理员的操作审计。 2.5.4 扫描技术特色1渐进式扫描 根据被扫描主机的操作系统和主机应用等信息智能确定进一步的扫描流程。2授权扫描 系统支持用户提供被扫描主机的权限信息，以获取更深入、更全面的漏洞信息。3系统稳定性高 扫描过程实时正确处理各
35、种以外情况：如网卡故障、资源耗尽等。4扫描系统资源占用少、速度快、误报低、漏报低、稳定性高。2.6 渗透测试工具2.6.1渗透测试概述 渗透测试（Penetration Test）最简单直接的解释就是：完全站在攻击者角度对目标系统进行的安全性测试过程，也就是完全模拟黑客可能使用的攻击技术和漏洞发现技术，对目标系统的安全做深入的探测，发现系统最脆弱的环节。渗透测试能够直观地让管理人员知道自己网络所面临的问题，了解当前系统的安全性，了解攻击者可能利用的途径，以便对危害性严重的漏洞及时修补，以免后患。 2.6.2 渗透测试分类渗透测试一般分为黑盒测试、白盒测试和隐秘测试。1. 1. 黑盒测试黑盒测试
36、 黑盒测试意味着测试人员是在对目标系统一无所知的状态下进行测试工作，目标系统对测试人员来说就像一个“黑盒子”。除了知道目标的基本范围之外，所有的信息都依赖测试人员自行发掘。而目标系统上往往会开启监控机制对渗透过程进行记录，以供测试结束后分析。也就是说虽然黑盒测试的范围比较自由和宽泛，但是仍需要遵循一定的规则和限制。2. 白盒测试 与黑盒测试不同，白盒测试开始之前测试人员就已经从目标公司获得了足够的初始信息，例如网络地址段、使用的网络协议、拓扑图、应用列表等等。相对来说，白盒测试更多的被应用于审核内部信息管理机制，测试人员可以利用掌握的资料进行内部探查，甚至与企业的员工进行交互。对于发现现有管理
37、机制漏洞以及检验社交工程攻击可能性来说，白盒测试具有非凡的意义。3. 隐秘测试 隐秘测试类似一种增强的黑盒测试，对于受测机构来说该测试处于保密状态，可以将其想象为特定管理部分雇佣了外部团队来进行内部调查。除了不开启特定措施对测试过程进行监控和记录之外，测试工作的进行也不对员工进行通知，甚至不向信息安全管理部门进行说明。这种测试完全的模拟了真实的攻击，可以综合的考察组织信息安全工作的运转情况，对信息安全工作人员在安全事件响应和处理方面的成效很有帮助。2.7 Metasploit渗透工具2.7.1 工具简述 Metasploit是一款开源的安全漏洞检测工具。由于Metasploit是免费的工具，因
38、此安全工作人员常用Metasploit工具来检测系统的安全性。Metasploit Framework (MSF)是2019 年以开放源代码方式发布、可自由获取的开发框架，这个环境为渗透测试、shellcode 编写和漏洞研究提供了一个可靠的平台。它集成了各平台上常见的溢出漏洞和流行的shellcode，并且不断更新，最新版本的MSF 包含了180多种当前流行的操作系统和应用软件的exploit，以及100多 个shellcode。作为安全工具，它在安全检测中起到不容忽视的作用，并为漏洞自动化探测和及时检测系统漏洞提供有力的保障。2.7.2 Metasploit 3 Metasploit 3的
39、使用方法一的使用方法一 安装完Metasploit程序后，启动程序菜单如图6-30所示，程序中包含Metasploit的相关文档、常用的一些小工具（Netcat、Putty、VNCViewer、WinVI）、CMD Shell、Metasploit 3的主程序、NASM Shell、在线升级程序、RUBY Shell等内容。下面是使用Metasploit进行相关渗透工作的步骤。图6-30 启动程序菜单 1.安装完Metasploit程序，运行Metasploit 3，启动Web窗口界面，如图6-31所示。界面中会出现Exploits、Auxiliaries、Payloads、Console、S
40、essions、About等图标栏。图6-31 Metasploit 3窗口界面一2.点击Exploits图标，系统列出所有的Exploits，如图6-32所示。图6-32 Metasploit 3窗口界面二 3. 针对目的主机的信息查找相关漏洞利用程序，比如查找Windows XP系统的相关漏洞利用程序，如图6-33所示。图6-33 Metasploit 3窗口界面三 4. 利用对主机扫描发现的漏洞信息，找到相关的漏洞利用程序，比如“Microsoft RPC DCOM Interface Overflow”的漏洞利用程序，如图6-34所示，选择目的操作系统的种类。图6-34 Metaspl
41、oit 3窗口界面四 5. 选择特定的ShellCode程序，系统攻击成功后，会执行相关的ShellCode的指令内容。比如选择绑定cmd Shell的操作，如图6-35所示。图6-35 Metasploit 3窗口界面五 6. 输入目的主机的IP地址，比如192.168.1.8，然后执行“Launch Exploit”按钮，如图6-36所示。图6-36 Metasploit 3窗口界面六 7. 渗透攻击成功后，系统返回cmd shell信息，获取主机系统权限，可以做任何的操作了。 2.7.3 Metasploit 3的使用方法二 除了使用web窗口模式来工作外，还可以使用MSF的命令模式，以
42、Console平台来工作。点击主窗口中的Console图标，如图6-37所示。图6-37 Metasploit 3命令窗口一 1.输入Help命令，可以看到很多的操作命令，如图6-38所示。常用的命令也就是show、info、use、set等几个命令。 “show”:显示规定类型的一种模块或所有模块，比如:exploit/payload等。 “info”:显示一种或更多模块的信息。 “use”:选择模块的名字。 “set”:设置变量 。图6-38 Metasploit 3命令窗口二 2.通过输入“show exploits”指令查看有哪些可用的Exploit程序，如图6-39所示。图6-39
43、Metasploit 3命令窗口三 3.输入“show payloads”指令，查看有哪些可以加载的ShellCode信息，如图6-40所示。图6-40 Metasploit 3命令窗口四 4输入“info exploit/windows/dcerpc/ms03_026_dcom”指令，了解MS03_026_dcom利用程序的相关信息内容，如图6-41所示。图6-41 Metasploit 3命令窗口五根据了解的MS03_026_dcom的相关信息，使用漏洞利用程序。输入：use exploit/windows/dcerpc/ms03_026_dcom查看利用程序需要设置的相关内容。输入：sh
44、ow options设置攻击目的主机的IP地址。输入：set RHOST 10.0.0.31设置加载的ShellCode程序。输入：set PAYLOAD generic/shell_bind_tcp执行利用程序。输入：exploit系统攻击成功，并获取远程主机的权限。Metasploit会不定期更新可利用的漏洞程序，可以通过OnlineUpdate来进行升级。2.8 Immunity CANVAS渗透测试工具2.8.1 工具简述 Canvas是Aitels ImmunitySec出品的一款安全漏洞检测工具。它包含150个以上的漏洞利用。对于渗透测试人员来说，Canvas是比较专业的安全漏洞利
45、用工具。Canvas 也常被用于对IDS和IPS的检测能力的测试。2.8.2 支持的平台 Canvas工具支持的安装平台有Windows、Linux、MacOSX、其它Python环境（例如：移动手机、商业Unixs）。有些平台下只能通过命令行的操作方式，有些可以通过GUI界面来操作使用。Canvas工具在兼容性设计比较好，可以使用其它团队研发的漏洞利用工具，例如使用Gleg, Ltds VulnDisco 、 the Argeniss Ultimate0day 漏洞利用包。2.8.3 升级升级 Canvas目前已经使用超过150个的漏洞利用。Immunity公司会仔细选择漏洞，从优先级比较高
46、的漏洞，比如远程执行、认证绕过或者主流软件中新发现的漏洞，每个月会从中挑选出4个漏洞利用做为Canvas的更新升级。2.8.4 使用方法使用方法第一步：安装GTK immunitysec/downloads/canvasinstall/gtk-win32-devel-2.8.18-rc1.exe第二步：安装python immunitysec/downloads/canvasinstall/pthon-24.3.msi第三步：安装pyGTK immunitysec/downloads/canvasinstall/pygtk-2.8.5-1.win32-py2.4.exe第四步：安装PyGair
47、o immunitysec/downloads/canvasinstall/pycairo-1.0.2-1.win32-py2.4.exe第五步：解压Imunity.canvas.6.23.june.2019.rar，运行canvas.bat启动CANVAS的GUI界面，如图6-42所示。图6-42 Immunity CANVAS工具界面 6.3 风险评估辅助工具 信息安全风险评估辅助工具在风险评估过程中不可缺少，主要用于评估中所需要的数据和资料，帮助测试者完成现状分析和趋势分析。如入侵检测系统，帮助检测各种攻击试探和误操作，它可以作为一个警报器，提醒管理员发生的安全状况。同时安全审计工具、安
48、全漏洞库、知识库都是风险评估不可或缺的支持手段。 3.1 3.1 调查问卷调查问卷 风险评估者通过问卷形式对组织信息安全的各个方面进行调查，问卷解答可以进行手工分析，也可以输入自动化评估工具进行分析，从问卷调查中，评估者能够了解到组织的关键业务、关键资产、主要威胁、管理上的缺陷、采用的控制措施和安全策略的执行情况。3.2 检查列表 检查列表通常是基于特定标准或基线建立的，对特定系统进行审查的项目条款，通过检查列表，可以快速定位系统目前的安全状况与基线要求之间的差距。3.3 人员访谈 风险评估者通过与组织内关键人员的访谈，可以了解到组织的安全意识、业务操作、管理程序等重要信息。 3.4 3.4
49、入侵检测工具 入侵检测工具通过对计算机网络或计算机系统中的若干关键点收集信息并对其进行分析，从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象。它的主要功能包括：检测并分析用户和系统的活动、识别已知的攻击行为、统计分析异常行为等。在风险评估中，入侵检测系统可以作为异常行为的收集工具，为风险评估提供可能存在的威胁信息。风险评估过程中也可以利用一段时间内入侵检测系统发现的入侵行为，进行风险预测。3.5 安全审计工具 安全审计工具用于记录网络安全行为，分析系统或网络安全现状，包括系统配置、服务检查、操作情况正确与否等内容。它的审计记录可以作为风险评估中的安全现状数据，并可用于判断被评估对象威
50、胁信息的来源。3.6 拓扑发现工具 自动完成对网络硬件设备的识别、发现功能，勾画网络的拓扑结构。 3.7 其它 评估指标库、知识库、漏洞库、算法库、模型库 科学的信息安全风险评估需要大量的实践数据和经验数据的支持，历史数据和技术数据的积累是保证信息安全风险评估科学性和预见性的基础。根据各种评估过程中需要的数据和知识，可以将存储和管理评估支持数据或资料的工具分为：评估指标库、知识库、漏洞库、算法库、模型库等。4 信息安全风险评估工具的发展方向和最新成果 随着人们对信息安全风险评估重要性的认识，信息安全风险评估工具也慢慢得到广泛的应用，同时也对信息安全风险评估工具的发展提出新的要求. 1 1信息安
