網(wǎng)絡(luò)安全-網(wǎng)絡(luò)攻擊手段分析與對策(編輯修改稿)
2025-02-12 16:58 本頁面
【文章內(nèi)容簡介】 ，真的可以在 UDA中 “ 使用 ” 嗎？ － 那是否是違背產(chǎn)權(quán)的呢？ － 或者是違背專利權(quán)呢？ 國內(nèi)和國際的關(guān)注點(diǎn) 有嗎？ 長遠(yuǎn)的影響 質(zhì)量下降 ? 范圍廣大的 VDA組織會(huì)使得軟件的質(zhì)量下降是否是可能的呢？ ? 生產(chǎn)者是否期望其他的人來發(fā)現(xiàn)攻擊呢？ － 免費(fèi)的？ － 在契約下？ 無意識(shí)的副作用 賣方操作 ? 是否賣方會(huì)故意的逼迫 VDA社團(tuán)，免費(fèi)的為他們發(fā)現(xiàn)他們的攻擊呢？ ? 是否 “ 少量 ” 的賣主甚至能夠發(fā)現(xiàn)他們自己的攻擊呢？ － 他們支付得起嗎？ ?時(shí)間對市場可能會(huì)是生或死的問題 － 甚至他們是否具有這個(gè)技術(shù)呢？ 道德規(guī)范 過剩的賣主 ? 對于一個(gè)特定的目標(biāo)，如果它已經(jīng)在為一個(gè)賣主評估時(shí)，又出現(xiàn)了另一個(gè)賣主要評估這個(gè)目標(biāo)，那么該怎么辦呢？ － 如果他們中的一個(gè)，或者是兩個(gè)都是不公開的進(jìn)行的，又該怎 么辦呢？ ? 對于一個(gè)特定的目標(biāo)，如果它已經(jīng)在為一個(gè)賣主不公開的評估完成了，又出現(xiàn)了另一個(gè)賣主要評估這個(gè)目標(biāo)，那么該怎么辦呢？ － 先前的結(jié)果是否可以被重新使用呢？ － 先前的評估的不公開性必須得到保護(hù)嗎？ ?是否較低的評估價(jià)錢就揭示了，已經(jīng)不公開的進(jìn)行過這樣的評估了呢？ 軟件工程問題 我們不知道 VDA詞典 每個(gè)人以自己的方式來定義基本的術(shù)語 所以我也是以自己的方式來定義基本的術(shù) 語的 主要的術(shù)語 (1) 所有者 ? 一個(gè)或者是多個(gè)人 [擁有 ]這個(gè)系統(tǒng)。他們?yōu)榘踩呗缘脑O(shè)置負(fù)責(zé)，其中安全策略管理系統(tǒng)的行為。并不必須得是 [用戶 ]。 對手 ? 一個(gè)或者是多個(gè)人可以攻擊系統(tǒng)，并且很樂意被 [看到 ]他們正在攻擊系統(tǒng)。 攻擊 ? 對手的每一個(gè) [動(dòng)作 ]都試圖開發(fā)系統(tǒng)的缺陷。 主要的術(shù)語（ 2） 缺陷 ? 對于現(xiàn)在的 系統(tǒng) ，必須糾正某些工程 [錯(cuò)誤 ]防止它被開發(fā)出來。 安全策略 ? 這些策略用來管理什么樣的 代理商 ，可以在什么 [目標(biāo) ]上，用什么 [資格 ]，進(jìn)行什么 [操作 ]。 攻擊 ? 系統(tǒng) 里的，可以被 敵手 開發(fā)出來，從而違反 系統(tǒng)的安全策略 的 缺陷 。 主要的術(shù)語（ 3） 入侵 ? 一個(gè)成功的 攻擊 ，它的結(jié)果是危機(jī)到 系統(tǒng) 的安全，常常是 [完整性 ]， [隱私性 ]，或者是 [ 可用性 ]的損失。 系統(tǒng) ? 一個(gè)技術(shù)單元是由功能性機(jī)構(gòu)組成的。 通道 ? 系統(tǒng) 和它的外部世界進(jìn)行通訊的任何一個(gè)通道，或者是它眾多的 功能機(jī)構(gòu) 之間相互通訊的任何一個(gè)通道。一個(gè)和安全相關(guān)的 通道 可以和一個(gè)或者是多個(gè) 安全邊界 交叉 主要的術(shù)語（ 4） 協(xié)議 ? 這些規(guī)則用來管理在通道中傳輸?shù)臄?shù)據(jù)的形式和 說明 安全范圍 ? 安全策略和權(quán)限設(shè)置。改變其中任何一個(gè)都會(huì)建立一個(gè)安全邊界。 安全邊界 ? 從任何一個(gè)機(jī)器指令的觀點(diǎn)來看，就是暫時(shí)的最近的聯(lián)合，過去和將來，轉(zhuǎn)變?yōu)槠渌陌踩秶? 主要的術(shù)語（ 5） 權(quán)限 ? 在某些 〔 目標(biāo) 〕 上進(jìn)行某些 〔 操作 〕 的權(quán)利。 權(quán)限設(shè)置 ? 對某一權(quán)限進(jìn)行的設(shè)置。 功能性機(jī)構(gòu) ? 機(jī)器指令的暫時(shí)性鄰接設(shè)置在一個(gè)單獨(dú)的安全范圍內(nèi)執(zhí)行。 代理商 ? 功能性機(jī)構(gòu)是被證明了的為人而工作的。同一個(gè)調(diào)頻可以被多個(gè)代理商多次進(jìn)行并行動(dòng)作。 VDA 語義網(wǎng) Adversary：對手 Owner：所有者 Privilege：權(quán)限 Attack：攻擊 System：系統(tǒng) Defect：缺陷 Channel：通道 Protocol：協(xié)議 Agent：代理商 Privilege Set:權(quán)限設(shè)置 Security Boundary：安全邊界 Security Domain：安全范圍 Security Policy：安全策略 Functional Mechanism:功能性機(jī)構(gòu) 新類型（ 1） 可靠的 VDA需要一個(gè)新的 “ 基礎(chǔ) ” 我們需要把我們所知道的所有的有關(guān)攻擊的東西進(jìn)行再編 制，從而支持軟件工程 觀點(diǎn) ? 攻擊分析的中心的觀念就是 “ 攻擊 ” ? 軟件工程的中心的觀念必須是 “ 缺陷 ” － 缺陷是攻擊的工程個(gè)性的某種類型 － 缺陷是攻擊到工程的發(fā)射 這樣，在 VDA所有的事情都必須涉及到 “ 缺陷 ” 的修正 新類型（ 2） 我們已經(jīng)（浪費(fèi)我們的時(shí)間？）建造了（建造失 ?。浚?“ 攻擊分類法？ ” 現(xiàn)在 VDA需要的是 “ 缺陷類型 ” ? 如果我們可以學(xué)到如何建造它們 我們正在試圖通過設(shè)計(jì)一個(gè)所有涉及到工程缺陷 的全面的類型 “ 族 ” 來完成之一任務(wù)。 使用有效的 XML進(jìn)行描述 ? 包括系譜相關(guān)的 DTD ? 將會(huì)在這本 “ 書 ” 中論證 新類型（ 3） 美國電腦緊急應(yīng)變團(tuán)隊(duì)（ CERT） VDA類型族，包括以下 這些類型（迄今為止）： ? 缺陷 ? 缺陷－屬性 ? 缺陷－指示器 ? 發(fā)現(xiàn)－技術(shù) ? 通道 ? 工程－習(xí)慣用語 ? 工程－樣式 ? 攻擊（外部的與 CVE相關(guān)） ? 設(shè)計(jì) － 原則（或者是設(shè)計(jì)－妨礙） 缺陷 它描述每一個(gè)缺陷 與攻擊相比，它具有很大的詳細(xì)水平 ? 一些缺陷可能會(huì)產(chǎn)生相同的攻擊 它有 13個(gè)外在的屬性 它有 1個(gè)內(nèi)在的屬性 ? 它是一個(gè)真正的 “ 缺陷－屬性 ” 的無序設(shè)置 ? 它一起描述了缺陷的精確的本質(zhì) ? 它是作為一個(gè)大的邏輯與（ AND）的 － ORS是不允許的 － ORS是單獨(dú)的缺陷 缺陷－屬性 缺陷屬性的例子： ? － store（存儲(chǔ)） － （ stack）堆棧－列－目標(biāo) － 多單元－列－操作 － 未經(jīng)檢查的－操作 － 輸入－來源 － 對手－輸入 － 清晰的－范圍 邏輯與（ AND） ? 它用于根據(jù)缺陷分類法動(dòng)態(tài)的計(jì)算類似處 缺陷－指示器 缺陷指示器的例子： ? － 分割－錯(cuò)誤 － 總線－故障 － 變量－錯(cuò)誤 － 不穩(wěn)定的－行為 － 無限的－循環(huán) 邏輯或（ OR） ? 這樣，就不能被用作固有的屬性了 發(fā)現(xiàn)－技術(shù) 缺陷發(fā)現(xiàn)技術(shù)的例子 ? － － － － － － 通道 通道的例子 ? 命令行 ? 環(huán)境 ? 繼承的進(jìn)程關(guān)聯(lián) － 文件 /目錄創(chuàng)建 默認(rèn)通道控制 － 信號(hào)設(shè)置 － 程序優(yōu)先權(quán) － 資源限制 － 鑒定證書 － 當(dāng)前工作目錄 － 打開文件描述符 － 系統(tǒng)調(diào)用結(jié)果 － 插槽
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1