網(wǎng)絡(luò)安全-網(wǎng)絡(luò)攻擊手段分析與對策(編輯修改稿)
2025-02-12 16:58 本頁面
【文章內(nèi)容簡介】 ，真的可以在 UDA中 “ 使用 ” 嗎？ － 那是否是違背產(chǎn)權(quán)的呢？ － 或者是違背專利權(quán)呢？ 國內(nèi)和國際的關(guān)注點 有嗎？ 長遠的影響 質(zhì)量下降 ? 范圍廣大的 VDA組織會使得軟件的質(zhì)量下降是否是可能的呢？ ? 生產(chǎn)者是否期望其他的人來發(fā)現(xiàn)攻擊呢？ － 免費的？ － 在契約下？ 無意識的副作用 賣方操作 ? 是否賣方會故意的逼迫 VDA社團，免費的為他們發(fā)現(xiàn)他們的攻擊呢？ ? 是否 “ 少量 ” 的賣主甚至能夠發(fā)現(xiàn)他們自己的攻擊呢？ － 他們支付得起嗎？ ?時間對市場可能會是生或死的問題 － 甚至他們是否具有這個技術(shù)呢？ 道德規(guī)范 過剩的賣主 ? 對于一個特定的目標，如果它已經(jīng)在為一個賣主評估時，又出現(xiàn)了另一個賣主要評估這個目標，那么該怎么辦呢？ － 如果他們中的一個，或者是兩個都是不公開的進行的，又該怎 么辦呢？ ? 對于一個特定的目標，如果它已經(jīng)在為一個賣主不公開的評估完成了，又出現(xiàn)了另一個賣主要評估這個目標，那么該怎么辦呢？ － 先前的結(jié)果是否可以被重新使用呢？ － 先前的評估的不公開性必須得到保護嗎？ ?是否較低的評估價錢就揭示了，已經(jīng)不公開的進行過這樣的評估了呢？ 軟件工程問題 我們不知道 VDA詞典 每個人以自己的方式來定義基本的術(shù)語 所以我也是以自己的方式來定義基本的術(shù) 語的 主要的術(shù)語 (1) 所有者 ? 一個或者是多個人 [擁有 ]這個系統(tǒng)。他們?yōu)榘踩呗缘脑O(shè)置負責，其中安全策略管理系統(tǒng)的行為。并不必須得是 [用戶 ]。 對手 ? 一個或者是多個人可以攻擊系統(tǒng)，并且很樂意被 [看到 ]他們正在攻擊系統(tǒng)。 攻擊 ? 對手的每一個 [動作 ]都試圖開發(fā)系統(tǒng)的缺陷。 主要的術(shù)語（ 2） 缺陷 ? 對于現(xiàn)在的 系統(tǒng) ，必須糾正某些工程 [錯誤 ]防止它被開發(fā)出來。 安全策略 ? 這些策略用來管理什么樣的 代理商 ，可以在什么 [目標 ]上，用什么 [資格 ]，進行什么 [操作 ]。 攻擊 ? 系統(tǒng) 里的，可以被 敵手 開發(fā)出來，從而違反 系統(tǒng)的安全策略 的 缺陷 。 主要的術(shù)語（ 3） 入侵 ? 一個成功的 攻擊 ，它的結(jié)果是危機到 系統(tǒng) 的安全，常常是 [完整性 ]， [隱私性 ]，或者是 [ 可用性 ]的損失。 系統(tǒng) ? 一個技術(shù)單元是由功能性機構(gòu)組成的。 通道 ? 系統(tǒng) 和它的外部世界進行通訊的任何一個通道，或者是它眾多的 功能機構(gòu) 之間相互通訊的任何一個通道。一個和安全相關(guān)的 通道 可以和一個或者是多個 安全邊界 交叉 主要的術(shù)語（ 4） 協(xié)議 ? 這些規(guī)則用來管理在通道中傳輸?shù)臄?shù)據(jù)的形式和 說明 安全范圍 ? 安全策略和權(quán)限設(shè)置。改變其中任何一個都會建立一個安全邊界。 安全邊界 ? 從任何一個機器指令的觀點來看，就是暫時的最近的聯(lián)合，過去和將來，轉(zhuǎn)變?yōu)槠渌陌踩秶? 主要的術(shù)語（ 5） 權(quán)限 ? 在某些 〔 目標 〕 上進行某些 〔 操作 〕 的權(quán)利。 權(quán)限設(shè)置 ? 對某一權(quán)限進行的設(shè)置。 功能性機構(gòu) ? 機器指令的暫時性鄰接設(shè)置在一個單獨的安全范圍內(nèi)執(zhí)行。 代理商 ? 功能性機構(gòu)是被證明了的為人而工作的。同一個調(diào)頻可以被多個代理商多次進行并行動作。 VDA 語義網(wǎng) Adversary：對手 Owner：所有者 Privilege：權(quán)限 Attack：攻擊 System：系統(tǒng) Defect：缺陷 Channel：通道 Protocol：協(xié)議 Agent：代理商 Privilege Set:權(quán)限設(shè)置 Security Boundary：安全邊界 Security Domain：安全范圍 Security Policy：安全策略 Functional Mechanism:功能性機構(gòu) 新類型（ 1） 可靠的 VDA需要一個新的 “ 基礎(chǔ) ” 我們需要把我們所知道的所有的有關(guān)攻擊的東西進行再編 制，從而支持軟件工程 觀點 ? 攻擊分析的中心的觀念就是 “ 攻擊 ” ? 軟件工程的中心的觀念必須是 “ 缺陷 ” － 缺陷是攻擊的工程個性的某種類型 － 缺陷是攻擊到工程的發(fā)射 這樣，在 VDA所有的事情都必須涉及到 “ 缺陷 ” 的修正 新類型（ 2） 我們已經(jīng)（浪費我們的時間？）建造了（建造失 ?。浚?“ 攻擊分類法？ ” 現(xiàn)在 VDA需要的是 “ 缺陷類型 ” ? 如果我們可以學到如何建造它們 我們正在試圖通過設(shè)計一個所有涉及到工程缺陷 的全面的類型 “ 族 ” 來完成之一任務(wù)。 使用有效的 XML進行描述 ? 包括系譜相關(guān)的 DTD ? 將會在這本 “ 書 ” 中論證 新類型（ 3） 美國電腦緊急應(yīng)變團隊（ CERT） VDA類型族，包括以下 這些類型（迄今為止）： ? 缺陷 ? 缺陷－屬性 ? 缺陷－指示器 ? 發(fā)現(xiàn)－技術(shù) ? 通道 ? 工程－習慣用語 ? 工程－樣式 ? 攻擊（外部的與 CVE相關(guān)） ? 設(shè)計 － 原則（或者是設(shè)計－妨礙） 缺陷 它描述每一個缺陷 與攻擊相比，它具有很大的詳細水平 ? 一些缺陷可能會產(chǎn)生相同的攻擊 它有 13個外在的屬性 它有 1個內(nèi)在的屬性 ? 它是一個真正的 “ 缺陷－屬性 ” 的無序設(shè)置 ? 它一起描述了缺陷的精確的本質(zhì) ? 它是作為一個大的邏輯與（ AND）的 － ORS是不允許的 － ORS是單獨的缺陷 缺陷－屬性 缺陷屬性的例子： ? － store（存儲） － （ stack）堆棧－列－目標 － 多單元－列－操作 － 未經(jīng)檢查的－操作 － 輸入－來源 － 對手－輸入 － 清晰的－范圍 邏輯與（ AND） ? 它用于根據(jù)缺陷分類法動態(tài)的計算類似處 缺陷－指示器 缺陷指示器的例子： ? － 分割－錯誤 － 總線－故障 － 變量－錯誤 － 不穩(wěn)定的－行為 － 無限的－循環(huán) 邏輯或（ OR） ? 這樣，就不能被用作固有的屬性了 發(fā)現(xiàn)－技術(shù) 缺陷發(fā)現(xiàn)技術(shù)的例子 ? － － － － － － 通道 通道的例子 ? 命令行 ? 環(huán)境 ? 繼承的進程關(guān)聯(lián) － 文件 /目錄創(chuàng)建 默認通道控制 － 信號設(shè)置 － 程序優(yōu)先權(quán) － 資源限制 － 鑒定證書 － 當前工作目錄 － 打開文件描述符 － 系統(tǒng)調(diào)用結(jié)果 － 插槽
教學課件相關(guān)推薦
鄂ICP備17016276號-1