第十三章 网络安全漏洞防护原理（笔记）

1. 网络安全漏洞概念

• 网络安全漏洞又称脆弱性，简称为漏洞
• 漏洞一般是致使网络安全信息系统安全策略想冲突的缺陷，这种缺陷又称为安全隐患
• 安全漏洞主要影响有机密性受损、完整性破坏、可用性降低、抗抵赖性缺失、可控性下降、真实性不保等。
• 根据漏洞的补丁状况可以分为普通漏洞和零日漏洞
• 攻击者成功的关键在于早发现和利用目标的安全漏洞

• • 解决漏洞的问题：漏洞检测、漏洞修补、漏洞防御

2. 网络安全漏洞的分类与管理

2.1. 网络安全漏洞的来源

• 主要来自2个方面，一是非技术性安全漏洞，二是技术性安全漏洞

• • 非技术性漏洞：管理组织架构、制度管理、管理流程、人员管理等
  • 技术性漏洞：网络架构、通讯协议、设备、软件产品、系统配置、应用系统等

2.2. 网络安全漏洞分类

• CVE漏洞分类、CVESS漏洞分类、我国的信息安全漏洞分类以及OWSP漏洞分类
• CVE漏洞分类：由美国的MITRE公司建设和维护的安全漏洞字典，CVE条目包含标识数字、安全漏洞简要描述，其中目标是便于共享漏洞数据。
• CVESS：由基于量度计分、时序量度计分、环境度量计分组成。
• 国家信息安全漏洞库(CNNVD)：配置错误、代码问题、资源管理错误、数字错误、信息泄露、竞争条件、输入验证、缓冲区错误、格式化字符串、跨站脚本、路径遍历、后置链接、SQL注入、代码注入、命令注入、操作系统命令注入、安全特征码问题、授权问题、信任管理、加密问题、未充分验证数据的可靠性、跨站请求伪造、权限许可和访问控制、访问控制错误和资料不足等
• 国家信息安全漏洞共享平台(CNVD)：输入验证错误、访问验证错误、意外情况处理错误数目、边界条件错误数目、配置错误、竞争条件、环境错误、设计错误、缓冲区错误、其他错误、未知错误。
• OWASP TOP 10漏洞分类：owasp组织发布有关WEB应用程序前10种安全漏洞。

3. 网络安全漏洞扫描技术

• 网络安全漏洞扫描是一种用于检测系统中漏洞的技术是具有漏洞扫描功能的软件或设备，简称漏洞扫描器。
• 漏洞扫描器一般包含，用户界面、扫描引擎、漏洞扫描分析结果、漏洞信息及配置参数等
• 漏扫主要分为三种：主机漏洞扫描器、网络漏洞扫描器、专用漏洞扫描器

• • 主机扫描器：不需要通过网络就可以进行扫描，只能进行单机检测如“杀毒软件”
  • 网络扫描器：通过与目标建立起网络连接后，发送特定的请求进行漏洞检查，由于没有目标系统的本地访问权限，只能获取有限的目标信息，检查能力仅限于web、ftp、telnet、ssh、pop3、smtp、snmp
  • 专用扫描器：针对特定系统的安全漏洞检查工具，如数据库漏扫、网络设备漏扫、工控漏扫

4. 网络安全漏洞发现技术

• 安全漏洞的发现目前主要的依据：人工安全分析、工具自动化检测以及人工智能辅助分析
• 漏洞的发现技术主要有：文本搜索、词法分析、范围检查、状态机检查、错误注入、模糊模式、动态污点分析、形式化验证等。
• 漏洞的修补技术：现状分析、补丁跟踪、补丁验证、补丁安装、应急处理和补丁检查。

5. 网络安全漏洞防范技术

1. 地址控制随机化技术：是通过对程序加载到内存的地址进行随机化处理，使得攻击者不能事先确定程序的返回值，从而降低攻击成功的概率
2. 数据执行阻止：操作系统通过对特定的内存区域标注为非执行，使得代码不能够在指定的内存区域运行
3. SEHOP：防止攻击者利用SEH重写
4. 堆栈保护：通过设置堆栈完整性标记以检测函数调用返回地址是否被篡改从而阻止攻击者利用缓冲区漏洞
5. 虚拟补丁：虚拟补丁通过入侵阻断、web防火墙等相关技术实现给目标系统程序“打补丁”使得黑客无法利用漏洞