◆王 蕊

（国家软件产品质量监督检验中心 江苏 210012）

网络系统安全分析与检验检测

◆王 蕊

（国家软件产品质量监督检验中心 江苏 210012）

本文从第三方检验检测机构的角度，分析整理网络系统安全问题，并介绍相关检测思路、检测技术或所需检测设备等，通过不断的研究与实践，规范网络安全的检验检测工作。

系统安全；检验检测

1 网络系统安全简介

1.1 概述

计算机网络安全是指利用管理控制和技术措施，保证在一个网络环境里，信息数据的机密性、完整性及可使用性受到保护。从广义来说，凡是涉及到网络上信息的保密性、完整性、可用性、不可否认性和可控性的相关技术和理论都是网络安全的研究领域。

要确保计算机网络的安全，必须依靠先进的技术、严格的管理和配套的法律。OSI安全体系结构中定义了鉴别、访问控制、数据机密性、数据完整性和抗抵赖五种网络安全服务，以及加密机制、数字签名机制、访问控制机制、数据完整性机制、鉴别交换机制、通信业务流填充机制、路由控制、公证机制八种基本的安全机制。

1.2 计算机网络威胁

1.2.1 计算机网络中可能受到威胁的实体

（1）各类计算机（服务器、工作站等）；

（2）网络通信设备（路由器、交换机、集线器、调制解调器、加密机等）；

（3）存放数据的媒体（磁带、磁盘、光盘等）；

（4）传输线路、供配电系统；

（5）防雷系统和抗电磁干扰系统等。

1.2.2 网络系统遇到安全威胁的主要表现

（1）主机或服务器受到非法入侵者的攻击；

（2）网络中的敏感数据可能泄露或被修改；

（3）从内网向公网传送的信息可能被他人窃听或篡改。

1.2.3 典型的网络安全威胁

典型的网络安全威胁如表1所示。

表1 典型的网络安全威胁

拒绝服务攻击攻击者使系统响应减慢甚至瘫痪，阻止合法用户获得服务。行为否认 通讯实体否认已经发生的行为。旁路控制 攻击者发掘系统的缺陷或安全脆弱性。电磁/射频截获攻击者从电子或机电设备所发出的无线射频或其它电磁辐射中提取信息。恶意程序威胁计算机病毒严重破坏程序和数据、使网络的效率和作用大大降低、使许多功能无法正常使用、导致计算机系统瘫痪人员疏忽 授权的人为了利益或由于粗心将信息泄露给未授权人。

1.2.4 计算机网络安全目标

在经过安全检验检测后，网络应达到如下的安全目标：

（1）保密性

保密性指网络中的保密信息只能供经过允许的人员，以经过允许的方式使用，信息不泄露给非授权用户、实体或过程，或供其利用。

（2）完整性

指网络中的信息安全、精确与有效，不因种种不安全因素而改变信息原有的内容、形式与流向。确保信息在存储或传输过程中不被修改、不被破坏和丢失。

（3）可用性

指网络资源在需要时即可使用，不因系统故障或误操作等使资源丢失或妨碍对资源的使用，是被授权实体按需求访问的特性。

（4）不可否认性

不可否认性安全服务提供了向第三方证明该实体确实参与了通信的能力。

（5）可控性

指对信息的传播及内容具有控制能力，保证信息和信息系统的授权认证和监控管理，确保某个实体（人或系统）身份的真实性，也可以确保执法者对社会的执法管理行为。

2 网络安全防护系统的测试内容

基本网络安全防护系统有物理安全、防火墙、入侵检测、漏洞扫描、安全审计、Web信息防篡改等基础安全技术，以保障应用系统的安全。在实际工作当中，针对不同的安全技术，需要关注的检验检测内容如下：

2.1 物理安全

物理安全是整个计算机网络系统安全的前提，是保护计算机网络设备、设施以及其它媒体免遭地震、水灾、火灾等环境事故、人为操作失误或各种计算机犯罪行为导致的破坏的过程。

物理安全主要考虑的问题是环境、场地和设备的安全及物理访问控制和应急处置计划等。物理安全在整个计算机网络信息系统安全中占有重要地位。它主要包括以下几个检测方面：

机房环境安全(防火，防盗，防雷，接地，防尘，防静电，防震)；

通信线路安全(防窃听，防施工)；

设备安全 (电磁干扰，电源保护，物理损坏，意外事故等)；

电源安全(电源稳定性，不间断电源，备用电源）；

物理安全措施主要包括：安全制度、数据备份、辐射防护、屏幕口令保护、隐藏销毁、状态检测、报警确认、应急恢复、加强机房管理、运行管理、安全组织和人事管理等手段。

物理安全是相对的，在设计物理安全方案时，要综合考虑需要保护的硬件、软件及其信息价值，从而采用适当的物理保护措施。

2.2 防火墙安全检测

2.2.1 防火墙安全检测点

防火墙的安全性，主要有如下几个测试点：

（1）是否支持交换和路由两种工作模式。

（2）是否支持对HTTP、FTP、SMTP等服务类型的访问控制。

（3）是否考虑到防火墙的冗余设计。

（4）是否支持对日志的统计分析功能，日志是否可以存储在本地和网络数据库上。

（5）对防火墙本身或受保护网段的非法攻击，是否提供多种告警方式以及多种级别的告警。

（6）防火墙规则分析。

（7）防火墙漏洞扫描。

2.2.2 防火墙安全测试工具

用于防火墙分析和审计的商业工具有：

（1）AlgoSec公司的Firewall Analyzer。

（2）RedSeal公司的Security Risk Manager。

（3）Skybox公司的Firewall Compliance Auditor。

其中，AlgoSec公司的 Firewall Analyzer(AFA)可以自动探测防火墙策略中的安全漏洞。可以完成更改管理、风险管理、自动审核和策略优化等功能。它可以发现未用的规则、重复规则、禁用规则和失效的规则。AFA可以备份防火墙策略，然后进行离线分析，因此它不会影响防火墙的性能。AFA支持的防火墙厂商包括思科、Checkpoint和Juniper等业界知名厂商。

另外，开源的安全工具Nessus，也可以用来判断防火墙是否存在已知的安全漏洞。

2.3 入侵检测系统IDS

2.3.1 入侵检测原理

入侵检测系统就是执行入侵检测任务的硬件或软件产品。

入侵检测系统原理如下图1所示，入侵检测是用于检测任何损害或企图损害系统的保密性、完整性或可用性的一种网络安全技术。它通过监视受保护系统的状态和活动，采用误用检测（Misuse Detection）或异常检测（Anomaly Detection）的方式，发现非授权的或恶意的系统及网络行为，为防范入侵行为提供有效的手段。

图1 入侵检测系统原理

从系统构成上看，入侵检测系统包括事件提取、入侵分析、入侵响应和远程管理四大部分，能结合安全知识库、数据存储等功能模块，提供更为完善的安全检测及数据分析功能，如下图2所示：

图2 入侵检测系统构成

2.3.2 入侵检测系统检测点

入侵检测系统有如下几个测试点：

（1）能否在检测到入侵事件时，自动执行切断服务、记录入侵过程、邮件报警等动作。

（2）是否支持攻击特征信息的集中式发布和攻击取证信息的分布式上载。

（3）能否提供多种方式对监视引擎和检测特征的定期更新服务。

（4）内置的网络能否使用状况监控工具和网络监听工具。

2.4 漏洞扫描

漏洞扫描是一种基于网络远程来检测目标网络或本地主机安全性薄弱点的技术，可以被用来模拟攻击实验和安全审计，是一种主动的防范措施，可以有效避免黑客攻击行为。

2.5 网络漏洞扫描系统技术要求

（1）应具备对操作系统（Windows、Unix、Linux等）、数据库（Oracle、MS-Sql、MySql等）、网络设备（路由器等）、安全设备（防火墙等）、特定应用程序等多种系统进行漏洞扫描评估的能力。

（2）漏洞扫描系统应采用软件形式，以便于在不同的场合中灵活使用。

（3）应能够自动检测目标对象的操作系统并提供精确的端口扫描功能，扫描漏洞数量应在1300个以上。

（4）漏洞扫描应能够实时显示扫描过程进行状态、被扫描对象信息、漏洞信息，便于管理员了解扫描进展情况。

（5）支持直观的图形化中文界面，以方便扫描操作和对结果的评估。

（6）支持对每次扫描结果进行保存，以便对历史扫描记录进行调用。

（7）应支持预约扫描功能，可以在计划的时间按照定义的策略自动执行扫描任务。

（8）应具备灵活的用户自定义安全策略功能。提供不同策略模板供用户使用，并支持细力度的扫描策略编辑功能，用户可定义扫描范围、扫描端口、服务类型等。

（9）支持DoS攻击测试、提供字典（暴力远程破解）攻击等功能。

（10）应具备高速扫描能力，并发扫描多个系统，同时并发扫描200台以上目标系统。

（11）进行扫描时，应对网络性能和被扫描对象主机性能不会产生明显影响。

（12）应提供用户管理功能，只有通过身份认证的用户才可以使用漏洞扫描系统，防止漏洞扫描器的盗用和滥用，保证自身的安全；

（13）应能够将扫描结果自动通知管理员（例如电子邮件方式）。扫描结果以压缩文件形式并设置口令的形式发送，以保护内部机密信息。

（14）应提供丰富的Crystal格式统计分析报表（10种或10种以上），包括基于主机的报表、基于漏洞危险度的报表、基于服务的报表、漏洞及解决方案、漏洞趋势报告、汇总报表等，以直观、清晰的方式呈现漏洞分布，帮助管理员从多种角度进行分析。

（15）报表中对漏洞的描述，应自动分类漏洞的危险级别，并对所有发现的漏洞逐个解释。漏洞信息应包括漏洞的详细说明、补救方法、补丁文件的获取方式、建议的配置策略、以及国际安全组织关于该漏洞的说明或连接。

（16）扫描报告应具有灵活的导出功能，支持HTML， Word，Excel， RTF， PDF ， TXT等文件格式，以满足不同角色的人员的需要。

（17）应提供扫描模块和漏洞库周期性的自动升级功能，同时提供升级工具以支持按需即时升级，保证最新的安全问题能被及时发现和修补。

（18）应采用国际先进的网络漏洞扫描系统，漏洞库应与国际标准CVE、Bugtraq兼容，具有国内和国外成功应用案例的产品。

（19）应取得公安部安全产品销售许可。

2.6 网络安全审计

2.6.1 概述

网络安全审计从审计级别上可分为3种类型：系统级审计、应用级审计和用户级审计。

是按照一定的安全策略，利用记录、系统活动和用户活动等信息，检查、审查和检验操作事件的环境及活动，从而发现系统漏洞、入侵行为或改善系统性能的过程。也是审查评估系统安全风险并采取相应措施的一个过程。在不至于混淆情况下，简称为安全审计，实际是记录与审查用户操作计算机及网络系统活动的过程，是提高系统安全性的重要举措。系统活动包括操作系统活动和应用程序进程的活动。用户活动包括用户在操作系统和应用程序中的活动，如用户所使用的资源、使用时间、执行的操作等。安全审计对系统记录和行为进行独立的审查和估计，其主要作用和目的包括5个方面：

（1）对可能存在的潜在攻击者起到威慑和警示作用，核心是风险评估。

（2）测试系统的控制情况，及时进行调整，保证与安全策略和操作规程协调一致。

（3）对已出现的破坏事件，做出评估并提供有效的灾难恢复和追究责任的依据。

（4）对系统控制、安全策略与规程中的变更进行评价和反馈，以便修订决策和部署。

（5）协助系统管理员及时发现网络系统入侵或潜在的系统漏洞及隐患。

2.6.2 安全审计检测点

（1）能否进行系统数据收集，统一存储，集中进行安全审计。

（2）是否支持基于PKI的应用审计。

（3）是否支持基于XML的审计数据采集协议。

（4）是否提供灵活的自定义审计规则。

2.7 Web信息防篡改系统

2.7.1 概述

随着 Web 应用越来越广泛，Web 安全威胁日益凸显。黑客利用网站操作系统的漏洞和 Web 服务程序的 SQL 注入漏洞等得到 Web服务器的控制权限，轻则篡改网页内容，重则窃取重要内部数据，更为严重的则是在网页中植入恶意代码，使得网站访问者受到侵害。这也使得越来越多的用户关注应用层的安全问题，对 Web 应用安全的关注度也逐渐升温。

2.7.2 Web防篡改系统检测点

Web防篡改系统检测点如下：

（1）是否支持多种操作系统。

（2）是否具有集成发布与监控功能，使系统能够区分合法更新与非法篡改，并可以防止非法篡改和破坏。

（3）是否可以实时发布和备份。

（4）是否具备自动监控、自动恢复、自动报警的能力。

（5）是否提供日志管理、扫描策略管理和更新管理。

2.7.3 Web安全检测工具

除了常用的 HP WebInspect和绿盟的远程安全评估系统RSAS外，还有如下几个实用且免费的Web安全测试工具：

N-Stalker Web：应用程序安全2012免费版本能够为您的Web应用程序清除该环境中大量常见的漏洞，包括跨站脚本（XSS）、SQL 注入（SQL injection）、缓存溢出（Buffer Overflow）、参数篡改 （Parameter Tampering）等等。

Netsparker Community Edition：一款 SQL 注入扫描工具，是Netsparker的社区免费版本，提供了基本的漏洞检测功能。使用友好，灵活。

Websecurify：是一款开源的跨平台网站安全检查工具，能够帮助你精确的检测 Web 应用程序安全问题。

Wapiti：Web 应用程序漏洞检查工具。它具有“暗箱操作”扫描，即它不关心 Web 应用程序的源代码，但它会扫描网页的部署，寻找使其能够注入数据的脚本和格式。

[1]杨初长.计算机网络安全及其防范策略研究[J].科技资讯，2012.