网络安全评估

轩辕十四

产生评估原因

    在现在的互联网社会，在针对信息基础设施和应用程序的渗透测试进行过绩效管理之后，越来越认识到技术测试和提供信息安全保障的重要性。

    这是一种纯粹的技术评估方法学，他会让人们对现今的公共网络所面临的威胁、所存在的漏洞及漏洞披露方式有一个更为深刻的理解。在系统安全领域，所进行的数以万计的渗透测试的目的是“识别被测系统的技术漏洞，以便纠正这些漏洞或者降低由这些漏洞所带来的风险”。对于为什么要进行渗透测试而言，这是一个清晰、简明但也是错误的理由。
    大多数情况下漏洞及其披露缘于系统管理不善、没有及时打补丁、弱口令策略、不完善的存取控制机制，等等。因此，进行渗透测试的主要原因和目的应该是识别和纠正系统管理过程的失效，正是这种失效导致了系统漏洞的出现，并在渗透测试的过程中被披露出来。最常见的系统管理过程失效包括：
* 系统软件配置的失效
* 应用程序软件配置的失效
* 软件维护的失效
* 用户管理和系统管理的失效

一个全面的风险分析包括：物理层安全风险分析链路层安全风险分析网络层（包含传输层）安全风险分析操作系统安全风险分析应用层安全风险分析管理的安全风险分析典型的黑客攻击手段
目前的网络系统问题包括：系统开放了不必要的服务口令弱软件的版本本身的漏洞Web服务器的配置问题文件共享不合适-netbios、netwareNT服务器的配置问题防火墙的配置与路由器的访问控制表的配置问题信息泄露-Telnet旗标、Finger、SNMP、SMTP信任关系-rlogin、rsh、rexec检测类似BO、NetBus等特洛伊木马远程访问不安全
网络系统风险分析的方式：问卷调查访谈文档审查黑盒测试操作系统的漏洞检查和分析网络服务的安全漏洞和隐患的检查和分析抗攻击测试综合审计报告其中最要的就是利用漏洞扫描系统对网络系统进行扫描分析。
扫描分析功能主要包括：弱点漏洞检测运行服务检测用户信息检测口令安全性检测文件系统安全性检测