第十三章 网络安全漏洞防护技术原理与应用

网络安全漏洞概述

• 网络安全漏洞概念
  • 又称为脆弱性，简称漏洞，致使网络信息系统安全策略相冲突的缺陷
  • 根据漏洞补丁情况：分为普通漏洞和0day漏洞
• 网络安全漏洞危害
  • 敏感信息泄露、权限提升、非授权访问、身份假冒、拒绝服务等
• 国家信息安全漏洞库（CNNVD）、国家信息安全漏洞共享平台(CNVD)

网络安全漏洞分类与管理

• 网络安全漏洞来源

  • 非技术性安全漏洞：主要涉及管理组织结构、管理制度、管理流程、人员管理
    • 网络安全责任主体不明确
    • 网络安全策略不完备
    • 网络安全操作技能不足
    • 网络安全监督缺失
    • 网络安全特权控制不完备
  • 技术性安全漏洞：主要涉及网络结构、通信协议、设备、软件产品、系统配置、应用系统
    • 设计错误
    • 输入验证错误
    • 缓冲区溢出
    • 意外情况处置错误
    • 访问验证错误
    • 配置错误
    • 竞争条件
    • 环境错误

• 网络安全漏洞分类分级

  • 国际上认可CVE漏洞分类和CVSS漏洞分级标准

    • CVE ID其格式由年份数字和其他数字组成

    • CVSS是一个通用漏洞计分系统

      

  • 国内有CNNVD、CNVD

    • CNNVD漏洞分类框架

      

    • CNVD漏洞分类

      • 11种漏洞类型：输入验证错误、访问验证错误、意外情况处理错误数目、边界条件错误数目、配置错误、竞争条件、环境错误、设计错误、缓冲区错误、其他错误、未知错误
      • 漏洞分级：高、种、低

  • OWASP TOP10漏洞分类

    • OWASP组织发布了有关Web应用程序的前十种安全漏洞

• 网络安全漏洞发布

  • 发布形式：网站、电子邮件以及安全论坛
  • 发布内容：漏洞编号、发布日期、安全危害级别、漏洞名称、漏洞影响平台、漏洞解决建议等
  • 示例：

• 网络安全漏洞获取

  • CERT：世界上第一个计算机安全应急响应组织
  • Security Focus Vulnerability Database:漏洞信息库
  • CNNVD：国家信息安全漏洞库
  • CNVD：国家信息安全漏洞共享平台
  • 厂商漏洞信息

• 网络安全漏洞管理过程

  • 网络信息系统资产确认：资产确认
  • 网络安全漏洞信息采集：资产收集
  • 网络安全漏洞评估：安全评估
  • 网络安全漏洞消除和控制：漏洞修复
  • 网络安全漏洞变化跟踪：持续更新资产并监控已修复漏洞

网络安全漏洞扫描技术与应用

• 主机漏洞扫描技术
  • 不需要建立网络连接就可进行扫描
  • 原理：通过检查本地系统中关键性文件的内容及安全属性，来发现漏洞
  • 常见扫描器：COPS，Tiger（UNIX），MBSA（Windows）
• 网络漏洞扫描技术
  • 原理：与待扫描的目标机建立网络连接后，发送特定网络请求进行漏洞检查
  • 常见扫描器：Nmap，Nessus，X-scan
• 专用漏洞扫描器
  • Web漏洞扫描技术
  • 数据库漏洞扫描技术
• 网络安全漏洞扫描应用
  • 常用于网络信息系统安全检查和风险评估

网络安全漏洞处置技术与应用

• 网络安全漏洞发现技术

  • 文本搜索、词法分析、范围检查、状态机检查、错误注入、模糊测试、动态污点分析、形式化验证等

• 网络安全漏洞修补技术

  • 系统的、周而复始的工作

  

• 网络安全漏洞利用防范技术

  • 地址空间随机化技术（ASLR）
  • 数据执行阻止
  • SEHOP
  • 堆栈保护
  • 虚拟补丁

网络安全漏洞防护主要技术指标与产品

• 网络安全漏洞扫描器
  • 产品技术原理：
    • 利用已公开的漏洞信息及特征，通过程序对目标系统进行自动化分析，确认目标系统是否存在相应的安全漏洞。
  • 技术指标：
    • 漏洞扫描主机数量：有无IP或域名限制
    • 漏洞扫描并发数
    • 漏洞扫描速度
    • 漏洞检测能力：误报率
    • 数据库漏洞检查功能：对不同数据库的支持程度
    • Web应用漏洞检查功能
    • 口令检查功能
    • 标准兼容性
    • 部署环境难易程度
• 网络安全漏洞服务平台
  • 产品： 漏洞盒子，补天
• 网络安全漏洞防护网关
  • 产品原理：通过从网络流量中提取和识别漏洞利用特征模式
  • 技术指标：
    • 阻断安全漏洞攻击的种类与数量
    • 阻断安全漏洞攻击的准确率
    • 阻断安全漏洞攻击的性能
    • 支持网络带宽的能力