1 / 72

安全审核、评估和风险分析

安全审核、评估和风险分析. 时间安排. Day 1 安全审计 扫描阶段审计 渗透阶段审计 Day 2 控制阶段审计 入侵检测 审计和日志分析 分析事件结果. Lesson 1: 安全审计. 目标. 描述一个安全审计人员的主要任务 安全审核要点 评估网络风险要素 描述安全评估过程 规划一个评估. 评估人员. 作为一个安全管理人员 作为一个黑客. 个体. 像黑客一样思考. 像管理者一样思考. 风险评估操作. 检测书面策略书 分析、分类和分级资源 目标是什么 站在反面严肃地思考 可能发生了什么 考虑商业问题

vinnie
Download Presentation

安全审核、评估和风险分析

An Image/Link below is provided (as is) to download presentation Download Policy: Content on the Website is provided to you AS IS for your information and personal use and may not be sold / licensed / shared on other websites without getting consent from its author. Content is provided to you AS IS for your information and personal use only. Download presentation by click this link. While downloading, if for some reason you are not able to download a presentation, the publisher may have deleted the file from their server. During download, if you can't get a presentation, the file might be deleted by the publisher.

E N D

Presentation Transcript

  1. 安全审核、评估和风险分析

  2. 时间安排 • Day 1 • 安全审计 • 扫描阶段审计 • 渗透阶段审计 • Day 2 • 控制阶段审计 • 入侵检测 • 审计和日志分析 • 分析事件结果

  3. Lesson 1:安全审计

  4. 目标 • 描述一个安全审计人员的主要任务 • 安全审核要点 • 评估网络风险要素 • 描述安全评估过程 • 规划一个评估

  5. 评估人员 • 作为一个安全管理人员 • 作为一个黑客 个体 像黑客一样思考 像管理者一样思考

  6. 风险评估操作 • 检测书面策略书 • 分析、分类和分级资源 • 目标是什么 • 站在反面严肃地思考 • 可能发生了什么 • 考虑商业问题 • 评估和利用已存在的系统 • 使用已存在的管理和控制结构 • 网络级安全结构 • 主机级安全结构

  7. 风险评估阶段 • 侦查阶段 • 渗透阶段 • 密码 • 加密 • 控制列表 • 控制阶段

  8. 总结 • 什么是审计 • 如何审计 • 像一个黑客一样去思考

  9. Lesson 2:侦察阶段

  10. 目标 • 描述侦察的过程 • 描述特殊的侦察方法 • 安装和配置网络级的和主机级的侦察工具 • 实现主机扫描 • 企业级系统安全综合扫描

  11. 侦察 • 安全评估和黑客攻击的第一步 • 一般使用perl ,C,C++ 或 java来编写工具 • 主机和网络级扫描 • 获得信息（信息提取技术） • Linux 平台 命令 • Windows 平台 ping-pro

  12. 安全扫描 • Whois • whois noyas • whois noyas.com • Nslookup • nslookup www.noyas.com • nslookup [interactive mode] • Host command • Host –l –v noyas.com • Host –t mx noyas.com

  13. whois 查询 • [root@redhat-6 /root]# whois noyas.com • [whois.internic.net] • Domain Name: NOYAS.COM • Registrar: NETWORK SOLUTIONS, INC. • Whois Server: whois.networksolutions.com • Referral URL: www.networksolutions.com • Name Server: NS2.WEBTENT.NET • Name Server: NS1.WEBTENT.NET • Updated Date: 07-dec-2000 • >>> Last update of whois database: Tue, 8 May 2001 11:00:12 EDT <<<

  14. host 命令的使用 • [root@redhat-6 /root]# host -l -v test.com • rcode = 0 (Success), ancount=2 • Found 1 addresses for CQ.testCOM • Found 1 addresses for NS1.test.com • Trying 61.128.193.25 • test.Com 3600 IN NS CQ.test.Com • test.Com 3600 IN NS NS1.test.Com • test.Com 3600 IN A 210.77.xxx.xxx • smtp.test.Com 3600 IN A 210.77. xxx.xxx • www1.test.Com 3600 IN A 61.128. xxx.xxx • freemail.test.Com 3600 IN A 210.77. xxx.xxx • wangji.test.Com 3600 IN A 202.98.xxx.xxx

  15. 安全扫描 • Traceroute (tracert) • Traceroute www.sina.com.cn • Ping scanning • WS_Ping ProPack • Rhino9 Pinger • Share scans • WS_Ping ProPack • RedButton

  16. 安全扫描 • Port scans • Port scanner • Ping ProPack • Nmap • SATAN Stack fingerprinting (NMAP) • Icmp error Message • TOS (type of service) • TCP/IP optinons • SYN flood resistance • TCP initial window

  17. 安全扫描 • 默认配置和升级版本的扫描 • 使用telnet尝试 • 使用SNMP尝试 • TCP/IP 服务 • 附加的TCP/IP服务 • 简单的TCP/IP服务

  18. 网络侦察工具 • WS_Ping ProPack • Pinger • Port scanner • Nmap • SATAN

  19. 企业级侦察工具 • Notice • Scanner and subnetting • Protocol and operating system support • Scan Levels • Reporting • Axent NetRecon • Network Associates CyberCop Scanner • WebTrends Security Analyzer • ISS Internet Scanner and Security Scanner

  20. 社会工程 • 电话询问 • 欺骗性的电子邮件 • 解决方式 • 对用户进行教育

  21. 你能得到什么信息？ • 网络级信息 • 网络拓扑 • 路由器和交换机 • 防火墙的类型和大致规则 • 基于IP的网络服务 • 调制解调器空当（拨号轰炸）

  22. 你能得到什么信息？ • 主机级信息 • 活动的端口 • 数据库 • 服务器

  23. 你能得到什么信息？ • 研究 • 读目标系统的说明手册 • 发现默认和内置脆弱点 • . . . • 合法的vs. 非法的扫描工具

  24. 练习 • 使用 tracert or Pathping • 使用Ping Pro • 使用nmap • 使用 sniffer pro 和分析专家 • 使用网络级脆弱点扫描器 • NetRecon

  25. Lesson 3:审计服务器渗透阶段

  26. 目标 • 实别通用的控制评估目标 • 讨论渗透策略和方法 • 列出潜在的物理的、操作系统的、网络的渗透可能性 • 识别和了解特殊的brute-force、社会工程和拒绝服务攻击.

  27. 攻击痕迹和审计 • 常见的攻击 • 字典攻击 • 中间人攻击 • 会话劫持攻击 • 病毒 • 非法的服务 • 拒绝服务攻击

  28. 通用审计目标 • 路由器 • 许多路由器使用SNMP协议(SNMPv1) • 使用telnet进行远程配置 • 物理安全必须被考虑 • 带宽消耗攻击 • 数据库 • 是大多数的黑客想得到的资料 • 每一个数据库服务器都有自己的安全系统

  29. 通用审计目标 • Web 和 ftp服务器 • 用户在公网上传输未加密的信息 • 老版本的服务器存在关键的漏洞 • 很多服务以root身份运行，这样会导致执行任意代码的攻击发生 • Web 自身的代码漏洞

  30. 通用审计目标 • E-mail 服务器 • 黑客使用字典和蛮力攻击对付POIP服务器 • 老的服务像sendmail有严重的缓冲区溢出漏洞 • 邮件服务器允许中继数据，这样导致垃圾邮件攻击的发生

  31. 通用审计目标 • 名称服务器 • 非授权的区域文件传送 • DNS “中毒” • 拒绝服务攻击 • 其他的名称服务 • WINS (D.O.S) • SMB (man-in-the-middle+L0phtCrack) • NFS and NIS (man-in-the-middle)

  32. 审计 • 系统BUG • Trap Doors and Root Kits • Bug,back door,front door • 拒绝服务攻击 • 在Windows2000上最流行 • 缓冲区溢出 • 非法服务 ,特洛伊木马和网络蠕虫

  33. 渗透策略 • 物理入侵 • Win98,windows 2000 • Unix-linux,solaris… • Router… • 操作系统 • 默认系统设置 • 糟糕的密码策略 • Linux/Unix passwd • Windows passwd

  34. 渗透策略 • The NetBIOS Authentication Tools (NAT) • 糟糕的系统策略 • 评估文件系统弱点 • FAT • NTFS (folder and share) • NFS (world-mountable)

  35. 渗透策略 • IP 欺骗和会话劫持 • TCP/IP协议栈 • SYN泛洪 • Smurf 攻击 • Teardrop / Teardrop2 • 死亡PING • 系统性能消耗性攻击

  36. 练习 • 在Linux下的SYN 测试 • Smurf攻击 • 嗅探 ftp和 pop 密码

  37. 总结 • 常见的攻击目标 • 常见的攻击方式 • 可能导致攻击的薄弱之处 • 如何防范渗透攻击

  38. Lesson 4:控制阶段审计

  39. 目标 • 定义控制阶段 • 识别控制方法 • 控制过程和具体方法

  40. 控制阶段 • 获得root的访问权限 • 聚合信息 • 发掘新的安全漏洞 • 消除控制阶段的日志记录 • 传播控制到其它系统

  41. 控制阶段 • 获得root的访问权限 • 非法的服务 • 陷门 • 缓冲区溢出 • 获得信息 • 服务器上的数据

  42. 控制阶段 • 发掘新的漏洞 • Linux/Unix 文件系统 • 定位shadow文件 • John the ripper破解 • Windows files system • 定位 sam._文件 • L0phtcrack破解 • 重定向信息 • 创建新的访问点

  43. 控制阶段 • 搽除明显的控制阶段的痕迹 • Web服务器 • 防火墙 • SMTP,HTTP 和 FTP 服务器 • 数据库 • 系统日志 • 应用程序日志 • 安全日志 • 跳板攻击其它系统

  44. 控制方法 • 系统默认设置的控制 • 服务、进程和可加载模块的控制 • 非法服务和进程 • Netbus • Tcp 端口12345/12346 • BackOrifice and BackOrifice 2000 • Udp端口31337(server 端) • Udp端口1049(client 端)

  45. 审计控制阶段 • 使用扫描器 • 查看日志记录 • 其它安全工具

  46. 总结 • 进行控制的几个步骤 • 攻击者如何进行控制 • 如何审计

  47. Lesson 5:入侵检测

  48. 目标 • 定义入侵检测 • 区别入侵检测和安全扫描 • 入侵检测的基本原理和分类 • 实现入侵检测软件

  49. 什么是入侵检测？ • 一个在防火墙后实时监视网络的软件 • IDS不同与安全扫描 • 系统安全扫描针对与特殊的系统弱点配置 • IDS注重当前正在发生的网络数据

  50. IDS的功能 • 网络数据传输管理 • 实时监控 • 跟踪 • IDS 是非常必要的网络安全组件

More Related