标签：网络安全 错误 软考 扫描 技术 漏洞 备考 安全漏洞
第13章 网络安全漏洞防护技术原理与应用
网络安全漏洞概述
网络安全漏洞概念
• 又称为脆弱性，简称漏洞，致使网络信息系统安全策略相冲突的缺陷
• 根据漏洞补丁情况：分为普通漏洞和0day漏洞
网络安全漏洞危害
• 敏感信息泄露、权限提升、非授权访问、身份假冒、拒绝服务等
国家信息安全漏洞库（CNNVD）、国家信息安全漏洞共享平台(CNVD)
网络安全漏洞分类与管理
网络安全漏洞来源
o 非技术性安全漏洞：主要涉及管理组织结构、管理制度、管理流程、人员管理
网络安全责任主体不明确
网络安全策略不完备
网络安全操作技能不足
网络安全监督缺失
网络安全特权控制不完备
• 技术性安全漏洞：主要涉及网络结构、通信协议、设备、软件产品、系统配置、应用系统
设计错误
输入验证错误
缓冲区溢出
意外情况处置错误
访问验证错误
配置错误
竞争条件
环境错误
网络安全漏洞分类分级
国际上认可CVE漏洞分类和CVSS漏洞分级标准
CVE ID其格式由年份数字和其他数字组成
CVSS是一个通用漏洞计分系统
• 国内有CNNVD、CNVD
CNNVD漏洞分类框架
• CNVD漏洞分类
• 11种漏洞类型：输入验证错误、访问验证错误、意外情况处理错误数目、边界条件错误数目、配置错误、竞争条件、环境错误、设计错误、缓冲区错误、其他错误、未知错误
• 漏洞分级：高、种、低
• OWASP TOP10漏洞分类
• OWASP组织发布了有关Web应用程序的前十种安全漏洞
网络安全漏洞发布
• 发布形式：网站、电子邮件以及安全论坛
• 发布内容：漏洞编号、发布日期、安全危害级别、漏洞名称、漏洞影响平台、漏洞解决建议等
示例：
网络安全漏洞获取
• CERT：世界上第一个计算机安全应急响应组织
• Security Focus Vulnerability Database:漏洞信息库
• CNNVD：国家信息安全漏洞库
• CNVD：国家信息安全漏洞共享平台
• 厂商漏洞信息
网络安全漏洞管理过程
• 网络信息系统资产确认：资产确认
• 网络安全漏洞信息采集：资产收集
• 网络安全漏洞评估：安全评估
• 网络安全漏洞消除和控制：漏洞修复
• 网络安全漏洞变化跟踪：持续更新资产并监控已修复漏洞
网络安全漏洞扫描技术与应用
主机漏洞扫描技术
o 不需要建立网络连接就可进行扫描
o 原理：通过检查本地系统中关键性文件的内容及安全属性，来发现漏洞
o 常见扫描器：COPS，Tiger（UNIX），MBSA（Windows，Microsoft Baseline Security Analyzer，简称MBSA，中文是微软基准安全分析器）
网络漏洞扫描技术
o 原理：与待扫描的目标机建立网络连接后，发送特定网络请求进行漏洞检查
o 常见扫描器：Nmap，Nessus，X-scan
专用漏洞扫描器
o Web漏洞扫描技术
o 数据库漏洞扫描技术
网络安全漏洞扫描应用
o 常用于网络信息系统安全检查和风险评估
网络安全漏洞处置技术与应用
网络安全漏洞发现技术
o 文本搜索、词法分析、范围检查、状态机检查、错误注入、模糊测试、动态污点分析、形式化验证等
网络安全漏洞修补技术
o 系统的、周而复始的工作
网络安全漏洞利用防范技术
o 地址空间随机化技术（ASLR）
o 数据执行阻止
o SEHOP
o 堆栈保护
o 虚拟补丁
网络安全漏洞防护主要技术指标与产品
网络安全漏洞扫描器
o 产品技术原理：
利用已公开的漏洞信息及特征，通过程序对目标系统进行自动化分析，确认目标系统是否存在相应的安全漏洞。
• 技术指标：
漏洞扫描主机数量：有无IP或域名限制
漏洞扫描并发数
漏洞扫描速度
漏洞检测能力：误报率
数据库漏洞检查功能：对不同数据库的支持程度
Web应用漏洞检查功能
口令检查功能
标准兼容性
部署环境难易程度
网络安全漏洞服务平台
• 产品： 漏洞盒子，补天
网络安全漏洞防护网关
• 产品原理：通过从网络流量中提取和识别漏洞利用特征模式
• 技术指标：
阻断安全漏洞攻击的种类与数量
阻断安全漏洞攻击的准确率
阻断安全漏洞攻击的性能
支持网络带宽的能力
标签：网络安全,错误,软考,扫描,技术,漏洞,备考,安全漏洞 来源： https://www.cnblogs.com/devdog/p/15554396.html
本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享； 2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关； 3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关； 4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除； 5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。