信息系統(tǒng)安全風險評估培訓材料(編輯修改稿)
2025-03-16 17:03 本頁面
【文章內容簡介】 的審計和評估結果 ?… 脆弱性識別相關方法 脆弱性識別方法 訪談 ? 訪談可以采取現(xiàn)場訪談的方式，也可以采取調查問卷的方式，通常是兩種方式的結合 ? 通過一套審計問題列表問答的形式對企業(yè)信息資產所有人和管理人員進行訪談 信息安全現(xiàn)狀總體評估0246810信息安全管理組織信息安全風險管理信息安全管理制度信息安全審計監(jiān)督人員信息安全控制第三方訪問安全控制系統(tǒng)建設安全控制系統(tǒng)運維安全控制物理和環(huán)境安全控制網絡安全控制操作系統(tǒng) 、 數(shù)據(jù)庫與基礎信息系統(tǒng)安全控制應用系統(tǒng)安全控制桌面系統(tǒng)安全控制脆弱性識別方法 漏洞掃描 ?多種掃描工具優(yōu)化組合 ?掃描內容 ?服務與端口開放情況 ?枚舉帳號 /組 ?檢測弱口令 ?各種系統(tǒng)、服務和協(xié)議漏洞 ?…… 脆弱性識別方法 滲透測試 ? 什么是滲透測試 ?模擬黑客對 網絡中的核心服務器及重要的網絡設備，包括服務器、網絡設備、防火墻等進行 非破壞性質的攻擊行為 ，以發(fā)現(xiàn)系統(tǒng)深層次的漏洞，并將整個過程與細節(jié)報告給用戶。 ? 滲透測試的必要性 ?工具掃描存在一定的誤報率和漏報率，并且不能發(fā)現(xiàn)高層次、復雜、并且相互關聯(lián)的安全問題； ?滲透測試可以發(fā)現(xiàn)邏輯性更強、更深層次的弱點，同時滲透測試可以對漏洞掃描結果進行驗證； ? 滲透測試難點 ?對測試者的專業(yè)技能要求很高。 滲透測試內容 ?信息泄露：對外服務是否暴露了可能被黑客利用的敏感信息 ?業(yè)務邏輯測試：系統(tǒng)是否在業(yè)務邏輯設計上存在被黑客利用的漏洞 ?認證測試：系統(tǒng)是否存在弱口令、繞過身份認證、瀏覽器緩存管理等漏洞 ?會話管理測試：系統(tǒng)是否存在會話劫持、 CSRF等漏洞 ?拒絕服務測試：系統(tǒng)是否易受 DDOS攻擊 ?Web服務測試： SQL注入、跨站腳本 … ?AJAX測試 … 滲透測試一般方法 ?遠程溢出攻擊測試 ?口令破解 ?Web腳本及應用測試（ SQL注入、 XSS等） ?本地權限提升測試 ?網絡嗅探監(jiān)聽 ?其它（社會工程學等） …… 滲透測試分類 ?黑盒測試 ?（” zeroknowledge testing”）滲透者完全處于對系統(tǒng)一無所知的狀態(tài)。通常，這種類型的測試，最初的信息獲取來自 DNS、 Web、 Email及各種公開對外的服務器。 ?白盒測試 ?測試者可以通過正常渠道向被測單位取得各種資料，包括網絡拓撲、員工資料甚至網站或其他程序的代碼片段，也能與單位其他員工進行面對面的溝通這類的測試目的是模擬企業(yè)內部雇員的越權操作 滲透測試一般流程 ? 計劃與準備 ?測試計劃 ?測試準備 ? 偵查分析階段 ?信息收集 ?目標判別 ?漏洞查找 ? 攻擊階段 ?獲取權限 ?權限提升 ? … ? … 脆弱性識別方法 人工審計 ? 采用人工審計方式可以對漏洞掃描的結果進行驗證和分析，也可以檢查某些無法利用工具掃描的內容 ? 人工審計內容
黨政相關相關推薦
鄂ICP備17016276號-1