信息系統(tǒng)安全風(fēng)險(xiǎn)評估培訓(xùn)材料(編輯修改稿)
2025-02-14 09:23 本頁面
【文章內(nèi)容簡介】 ? 判斷威脅出現(xiàn)頻率，需要結(jié)合以下三個(gè)方面： 威脅賦值 資產(chǎn)識別 脆弱性識別 威脅識別 已有安全措施的確認(rèn) 風(fēng)險(xiǎn)分析 風(fēng)險(xiǎn)評估準(zhǔn)備 實(shí)施風(fēng)險(xiǎn)管理 風(fēng)險(xiǎn)評估流程 脆弱性識別 ?主要任務(wù) 查找脆弱性 脆弱性嚴(yán)重程度賦值（簡稱脆弱性賦值） ?訪談 ?現(xiàn)場勘察 ?漏洞掃描 ?滲透測試 ?人工審計(jì) 文檔檢查 控制臺審計(jì) ?以前的審計(jì)和評估結(jié)果 ?… 脆弱性識別相關(guān)方法 脆弱性識別方法 訪談 ? 訪談可以采取現(xiàn)場訪談的方式，也可以采取調(diào)查問卷的方式，通常是兩種方式的結(jié)合 ? 通過一套審計(jì)問題列表問答的形式對企業(yè)信息資產(chǎn)所有人和管理人員進(jìn)行訪談 信息安全現(xiàn)狀總體評估0246810信息安全管理組織信息安全風(fēng)險(xiǎn)管理信息安全管理制度信息安全審計(jì)監(jiān)督人員信息安全控制第三方訪問安全控制系統(tǒng)建設(shè)安全控制系統(tǒng)運(yùn)維安全控制物理和環(huán)境安全控制網(wǎng)絡(luò)安全控制操作系統(tǒng) 、 數(shù)據(jù)庫與基礎(chǔ)信息系統(tǒng)安全控制應(yīng)用系統(tǒng)安全控制桌面系統(tǒng)安全控制脆弱性識別方法 漏洞掃描 ?多種掃描工具優(yōu)化組合 ?掃描內(nèi)容 ?服務(wù)與端口開放情況 ?枚舉帳號 /組 ?檢測弱口令 ?各種系統(tǒng)、服務(wù)和協(xié)議漏洞 ?…… 脆弱性識別方法 滲透測試 ? 什么是滲透測試 ?模擬黑客對 網(wǎng)絡(luò)中的核心服務(wù)器及重要的網(wǎng)絡(luò)設(shè)備，包括服務(wù)器、網(wǎng)絡(luò)設(shè)備、防火墻等進(jìn)行 非破壞性質(zhì)的攻擊行為 ，以發(fā)現(xiàn)系統(tǒng)深層次的漏洞，并將整個(gè)過程與細(xì)節(jié)報(bào)告給用戶。 ? 滲透測試的必要性 ?工具掃描存在一定的誤報(bào)率和漏報(bào)率，并且不能發(fā)現(xiàn)高層次、復(fù)雜、并且相互關(guān)聯(lián)的安全問題； ?滲透測試可以發(fā)現(xiàn)邏輯性更強(qiáng)、更深層次的弱點(diǎn)，同時(shí)滲透測試可以對漏洞掃描結(jié)果進(jìn)行驗(yàn)證； ? 滲透測試難點(diǎn) ?對測試者的專業(yè)技能要求很高。 滲透測試內(nèi)容 ?信息泄露：對外服務(wù)是否暴露了可能被黑客利用的敏感信息 ?業(yè)務(wù)邏輯測試：系統(tǒng)是否在業(yè)務(wù)邏輯設(shè)計(jì)上存在被黑客利用的漏洞 ?認(rèn)證測試：系統(tǒng)是否存在弱口令、繞過身份認(rèn)證、瀏覽器緩存管理等漏洞 ?會話管理測試：系統(tǒng)是否存在會話劫持、 CSRF等漏洞 ?拒絕服務(wù)測試：系統(tǒng)是否易受 DDOS攻擊 ?Web服務(wù)測試： SQL注入、跨站腳本 … ?AJAX測試 … 滲透測試一般方法 ?遠(yuǎn)程溢出攻擊測試 ?口令破解 ?Web腳本及應(yīng)用測試（ SQL注入、 XSS等） ?本地權(quán)限提升測試 ?網(wǎng)絡(luò)嗅探監(jiān)聽 ?其它（社會工程學(xué)等） …… 滲透測試分類 ?黑盒測試 ?（” zeroknowledge testing”）滲透者完全處于對系統(tǒng)一無所知的狀態(tài)。通常，這種類型的測試，最初的信息獲取來自 DNS、 Web、 Email及各種公開對外的服務(wù)器。 ?白盒測試 ?測試者可以通過正常渠道向被測單位取得各種資料，包括網(wǎng)絡(luò)拓?fù)?、員工資料甚至網(wǎng)站或其他程序的代碼片段，也能與單位其他員工進(jìn)行面對面的溝通這類的測試目的是模擬企業(yè)內(nèi)部雇員的越權(quán)操作 滲透測試一般流程 ? 計(jì)劃與準(zhǔn)備 ?測試計(jì)劃 ?測試準(zhǔn)備
試題試卷相關(guān)推薦
鄂ICP備17016276號-1