网络安全评估

网络安全评估学习总结。

1、识别漏洞

• 主机需要加固
• 软件漏洞 0day web漏洞 资源耗尽 内存漏洞
• 加密漏洞 使用不安全的加密算法，或配置不合理、管理漏洞
• 网络架构漏洞 网络设计可能会暴露弱点
• 帐户漏洞 密码强度不达标 缺少多因素认证 不会过期密码 权限被授予超过需求权限
• 操作漏洞 未经培训的用户 缺乏对关键业务流程的规划 系统蔓延

2、找出漏洞 安全评估

• 安全评估技巧：审核基线 审核代码 确定攻击面 审核安全架构 审核安全设计
• 漏洞评估工具：漏洞扫描（系统，网络、应用）端口扫描 协议数据分析 指纹识别工具 网络枚举器 密码破解器 备份工具 蜜罐

3、评估漏洞的准则

• 考虑主机的操作系统的配置方式
• 不要依赖默认配置
• 创建能反应安全需求的自定义配置
• 考虑零日漏洞的影响
• 考虑不合理输入处理和内存管理这样的软件缺陷
• 思考使用过时的密码套件的影响
• 评估数字证书中的错误配置
• 评估加密密钥管理系统中的弱点
• 考虑网络架构中弱点的影响
• 思考错误配置帐户影响
• 确定需要培训的用户
• 确定缺乏有效规划的关键业务流程
• 思考系统延伸和未登记资产的影响