專利名稱：提供網(wǎng)絡(luò)周邊安全性評(píng)估的方法、設(shè)備和程序存儲(chǔ)裝置的制作方法
技術(shù)領(lǐng)域：
本發(fā)明與網(wǎng)絡(luò)安全性有關(guān)，具體地說(shuō)，與提供網(wǎng)絡(luò)周邊安全性評(píng)估的方法有關(guān)。
背景技術(shù)：
計(jì)算機(jī)安全和網(wǎng)絡(luò)安全目前對(duì)于防止受到別人攻擊來(lái)說(shuō)是十分重要的，特別是在計(jì)算機(jī)和網(wǎng)絡(luò)連接到因特網(wǎng)或其他不可信網(wǎng)絡(luò)上時(shí)。這些攻擊可以呈現(xiàn)為計(jì)算機(jī)病毒、蠕蟲、拒絕服務(wù)、不適當(dāng)?shù)脑L問(wèn)數(shù)據(jù)等。曾有一個(gè)標(biāo)準(zhǔn)的安全模型，稱為CIA，即保密性、完整性和可用性模型。這三位一體的模型是評(píng)估敏感信息的風(fēng)險(xiǎn)和確立安全策略的公認(rèn)模型。
保密性是指敏感信息必須只有對(duì)一組預(yù)定的個(gè)人才是可得到的。未經(jīng)許可傳輸信息和使用信息應(yīng)得到制止。例如，信息的保密性保證未經(jīng)許可的個(gè)人得不到客戶的個(gè)人或財(cái)務(wù)信息、惡意地用于諸如身份竊取或信用欺詐之類。
完整性是指信息不應(yīng)該以使它成為不完全甚至錯(cuò)誤的方式更改。未經(jīng)許可的用戶修改或破壞敏感信息應(yīng)得到制止。
可用性是指信息對(duì)許可的用戶在任何需要時(shí)都應(yīng)是可訪問(wèn)的?？捎眯允切畔⒛芤运潭ǖ念l率及時(shí)得到的保證。這通常是用百分比來(lái)度量的，在網(wǎng)絡(luò)服務(wù)提供商和他們的企業(yè)客戶的服務(wù)水平協(xié)議(SLA)內(nèi)正式協(xié)定。
傳統(tǒng)上，因特網(wǎng)安全性所關(guān)注的是建立一個(gè)不讓未經(jīng)許可的人員進(jìn)入的周邊。調(diào)制解調(diào)器的信息安全性需要注意到使商務(wù)得以進(jìn)行和創(chuàng)建一個(gè)可以讓客戶、供應(yīng)商和伙伴訪問(wèn)的周邊。有一些用于安全性評(píng)估的軟件工具、用于防護(hù)的硬件工具(防火墻)和咨詢服務(wù)(人工檢驗(yàn))。這些工具對(duì)于發(fā)現(xiàn)技術(shù)上的易損性(vulnerability)是有用的。
得到廣泛采納的以上所討論的CIA三位一體的模型是安全環(huán)境的基本構(gòu)架。有一些工具按照三位一體的CIA分別提供網(wǎng)絡(luò)安全性，然而，這些工具通常各只為一種需要專用，例如分析安全性策略、執(zhí)行對(duì)體系結(jié)構(gòu)的評(píng)審、對(duì)一個(gè)系統(tǒng)的一些組成部分的評(píng)審、執(zhí)行對(duì)系統(tǒng)易損性的分析或執(zhí)行對(duì)應(yīng)用的評(píng)審。具體地說(shuō)，業(yè)已開(kāi)發(fā)了一些人工體系結(jié)構(gòu)評(píng)審過(guò)程，提供對(duì)安全性基礎(chǔ)設(shè)施、應(yīng)用綜合、系統(tǒng)和網(wǎng)絡(luò)基礎(chǔ)設(shè)施和整系統(tǒng)安全性的高層分析。然而，這樣的途徑通常注意的是具體的網(wǎng)絡(luò)組件廠商的產(chǎn)品和兼容設(shè)備而不是提供對(duì)體系結(jié)構(gòu)安全性評(píng)審的廣大構(gòu)架。這種途徑的一個(gè)例子是根據(jù)語(yǔ)音、視頻和綜合數(shù)據(jù)的Cisco體系結(jié)構(gòu)(A VVID)設(shè)計(jì)和實(shí)現(xiàn)安全網(wǎng)絡(luò)的Cisco系統(tǒng)的SAFE藍(lán)圖。此外，有一些工具有助于執(zhí)行易損性評(píng)審。這種提供易損性評(píng)審的工具的例子就少數(shù)幾個(gè)有名的來(lái)說(shuō)包括Nessus、因特網(wǎng)安全性系統(tǒng)(ISS)的安全性產(chǎn)品、網(wǎng)絡(luò)安全性評(píng)估(NSA)、Retina@。
還有一些工具提供組件評(píng)審、應(yīng)用評(píng)審和策略評(píng)審。提供組件評(píng)審的工具的例子包括Symantec的ESM和Tivoli的JAC。提供應(yīng)用評(píng)審的工具的例子包括一些還可能涉及使用嗅線路的協(xié)議分析器的基于研究的組件。協(xié)議分析器的例子是ethereal和tcpdump。策略評(píng)審包括分析和得出公司安全性策略。這種構(gòu)架的例子包括公司專有的構(gòu)架和各種政府出版物，諸如國(guó)家標(biāo)準(zhǔn)和技術(shù)學(xué)會(huì)(NIST)的“防火墻和防火墻策略指南”(“Guidelines onFirewalls and Firewall Policy”)、NIST的“互連信息系統(tǒng)技術(shù)的安全性指南”(“Security Guide for Interconnecting Information SystemsTechnology”)之類。如所提到的那樣，這些評(píng)審工具中有一些是專有性的，而有一些是公開(kāi)性的。此外，有各種商討稱為“縱深防御”的公開(kāi)方法，這是一種創(chuàng)建安全網(wǎng)絡(luò)和周邊的方式。
于是可見(jiàn)有必要開(kāi)發(fā)一種提供全面的網(wǎng)絡(luò)周邊安全性評(píng)估的方法。
發(fā)明內(nèi)容
為了克服上述現(xiàn)有技術(shù)中的缺點(diǎn)和克服在讀了和理解了本說(shuō)明書后清楚的缺點(diǎn)，本發(fā)明揭示了一種提供全面網(wǎng)絡(luò)周邊安全性評(píng)估的方法。
本發(fā)明通過(guò)提供一種可以包括網(wǎng)絡(luò)體系結(jié)構(gòu)評(píng)審、組件評(píng)審、應(yīng)用評(píng)審、策略評(píng)審和易損性評(píng)審這些組成部分的網(wǎng)絡(luò)周邊安全性評(píng)估解決了上述問(wèn)題。
一種按照本發(fā)明的原理設(shè)計(jì)的方法包括下列步驟評(píng)審網(wǎng)絡(luò)周邊體系結(jié)構(gòu)的安全性，評(píng)審將數(shù)據(jù)傳送過(guò)網(wǎng)絡(luò)周邊的數(shù)據(jù)處理設(shè)備的安全性；評(píng)審將數(shù)據(jù)傳送過(guò)網(wǎng)絡(luò)周邊的應(yīng)用的安全性；以及評(píng)審網(wǎng)絡(luò)周邊內(nèi)的應(yīng)用或數(shù)據(jù)處理設(shè)備對(duì)所述周邊外的計(jì)算機(jī)或用戶的攻擊的易損性。
在作為本發(fā)明一部分的所附權(quán)利要求書中具體指出了表征本發(fā)明的這些和其他一些優(yōu)點(diǎn)和特征。然而，為了更好地了解本發(fā)明和用本發(fā)明可以得到的優(yōu)點(diǎn)和能達(dá)到的目的，下面將結(jié)合作為本發(fā)明一部分的例示按照本發(fā)明設(shè)計(jì)的設(shè)備的一些具體例子的附圖進(jìn)行說(shuō)明。
現(xiàn)在來(lái)看附圖，其中類似的標(biāo)號(hào)都表示相應(yīng)的部分圖1例示了按照本發(fā)明的一個(gè)實(shí)施例設(shè)計(jì)的網(wǎng)絡(luò)體系結(jié)構(gòu)100；圖2例示了按照本發(fā)明的一個(gè)實(shí)施例設(shè)計(jì)的執(zhí)行網(wǎng)絡(luò)周邊安全性評(píng)估的流程圖；圖3示出了按照本發(fā)明的一個(gè)實(shí)施例設(shè)計(jì)的提供網(wǎng)絡(luò)周邊安全性評(píng)估的典型系統(tǒng)；圖4為按照本發(fā)明的一個(gè)實(shí)施例設(shè)計(jì)的執(zhí)行網(wǎng)絡(luò)周邊安全性評(píng)審的過(guò)程的流程圖；圖5例示了按照本發(fā)明的一個(gè)實(shí)施例設(shè)計(jì)的策略評(píng)審過(guò)程的一個(gè)例子；圖6例示了按照本發(fā)明的一個(gè)實(shí)施例設(shè)計(jì)的體系結(jié)構(gòu)評(píng)審過(guò)程的流程圖；圖7例示了按照本發(fā)明的一個(gè)實(shí)施例設(shè)計(jì)的組件評(píng)審過(guò)程的流程圖；圖8例示了按照本發(fā)明的一個(gè)實(shí)施例設(shè)計(jì)的易損性評(píng)審過(guò)程的流程圖；
圖9例示了按照本發(fā)明的一個(gè)實(shí)施例設(shè)計(jì)的應(yīng)用評(píng)審過(guò)程的流程圖；圖10例示了按照本發(fā)明的一個(gè)實(shí)施例設(shè)計(jì)的可以用于上述周邊安全性過(guò)程的評(píng)審過(guò)程的流程圖；以及圖11例示了按照本發(fā)明的一個(gè)實(shí)施例設(shè)計(jì)的提供網(wǎng)絡(luò)周邊安全性評(píng)估的方法的流程圖。
具體實(shí)施例方式
在以下對(duì)實(shí)施例的說(shuō)明中，參考了作為這些實(shí)施例一部分的附圖，在這些附圖中例示性地示出了可以實(shí)施本發(fā)明的具體實(shí)施例?？梢岳斫?，可以采用其他的實(shí)施方式，因?yàn)樵诓槐畴x本發(fā)明的專利保護(hù)范圍的情況下可以作出結(jié)構(gòu)上的各種改變。
本發(fā)明提供了一種提供全面網(wǎng)絡(luò)周邊安全性評(píng)估的方法。檢驗(yàn)網(wǎng)絡(luò)周邊安全性的這些組成部分是對(duì)網(wǎng)絡(luò)周邊安全性進(jìn)行評(píng)審的中樞。由于提供了一種加入了多個(gè)網(wǎng)絡(luò)安全性科目的檢驗(yàn)網(wǎng)絡(luò)周邊安全性的方法，就可以開(kāi)發(fā)出一種更為安全的防止對(duì)計(jì)算機(jī)和網(wǎng)絡(luò)設(shè)備攻擊的企業(yè)體系結(jié)構(gòu)。
圖1例示了按照本發(fā)明的一個(gè)實(shí)施例設(shè)計(jì)的網(wǎng)絡(luò)體系結(jié)構(gòu)100。如圖所示，遠(yuǎn)端源102配置成接到網(wǎng)絡(luò)104上。還有多個(gè)設(shè)備106，接到另一個(gè)網(wǎng)絡(luò)108上。設(shè)備106可以包括任何類型數(shù)據(jù)處理設(shè)備，包括(但不局限于)數(shù)據(jù)存儲(chǔ)服務(wù)器、應(yīng)用服務(wù)器、大型機(jī)、PBX或任何其他類型的網(wǎng)絡(luò)節(jié)點(diǎn)。在所給出的網(wǎng)絡(luò)體系結(jié)構(gòu)100的環(huán)境中，第一網(wǎng)絡(luò)104和第二網(wǎng)絡(luò)108各可以采取任何形式，包括(但不局限于)局域網(wǎng)(LAN)、虛擬局域網(wǎng)(VLAN)、諸如因特網(wǎng)之類的廣域網(wǎng)(WAN)等。數(shù)據(jù)處理設(shè)備106也可以包括臺(tái)式計(jì)算機(jī)、膝上型計(jì)算機(jī)、手持式計(jì)算機(jī)、Web服務(wù)器、商業(yè)事務(wù)服務(wù)器、打印機(jī)或任何其他類型的硬件/軟件。使用中，遠(yuǎn)端源102通過(guò)諸如防火墻、過(guò)濾路由器、虛擬專用網(wǎng)絡(luò)(VPN)之類的網(wǎng)絡(luò)控制設(shè)備110訪問(wèn)設(shè)備106。
網(wǎng)絡(luò)控制設(shè)備110用來(lái)將VLAN 108和設(shè)備106與通過(guò)所接的因特網(wǎng)104的訪問(wèn)隔離。網(wǎng)絡(luò)控制設(shè)備110的作用是允許VLAN 108和設(shè)備106接到因特網(wǎng)104上從而訪問(wèn)因特網(wǎng)104，而使它們不容易受到來(lái)自因特網(wǎng)104的惡意訪問(wèn)的影響。如果成功，網(wǎng)絡(luò)控制設(shè)備110允許VLAN 108和設(shè)備106與因特網(wǎng)104通信和交易，而使它們不容易受到因特網(wǎng)104上的攻擊或未經(jīng)許可的查詢。
網(wǎng)絡(luò)控制設(shè)備110也可以使用一個(gè)應(yīng)用網(wǎng)關(guān)或者說(shuō)代理系統(tǒng)。這種系統(tǒng)根據(jù)應(yīng)用或計(jì)算平臺(tái)的操作系統(tǒng)(OS)進(jìn)行操作，監(jiān)視接收進(jìn)入的各個(gè)連接請(qǐng)求的“端口”。一個(gè)端口是一個(gè)包含在一個(gè)分組的開(kāi)銷內(nèi)的用數(shù)字標(biāo)明的元件。端口號(hào)碼表明了與分組關(guān)聯(lián)的業(yè)務(wù)的屬性。在OS或監(jiān)視應(yīng)用在一個(gè)特定端口上接收到一個(gè)請(qǐng)求時(shí)，就開(kāi)放這個(gè)端口的連接。然后，啟動(dòng)一個(gè)管理該連接的程序，網(wǎng)絡(luò)控制設(shè)備110啟動(dòng)一個(gè)驗(yàn)證連接請(qǐng)求的網(wǎng)關(guān)應(yīng)用或代理。
網(wǎng)絡(luò)控制設(shè)備110通常只根據(jù)地址/端口/協(xié)議信息限制訪問(wèn)。此外，網(wǎng)絡(luò)控制設(shè)備110可以對(duì)通信進(jìn)行驗(yàn)證，但只是為了保證請(qǐng)求遵從已知的標(biāo)準(zhǔn)(例如HTTP/1.x)。不幸的是，網(wǎng)絡(luò)控制設(shè)備110通常并不為安全性檢驗(yàn)通信的內(nèi)容。
管理終端140提供按照本發(fā)明的一個(gè)實(shí)施例設(shè)計(jì)的對(duì)網(wǎng)關(guān)的網(wǎng)絡(luò)周邊安全性評(píng)估。管理終端140可以接到網(wǎng)關(guān)142上。網(wǎng)關(guān)142使數(shù)據(jù)可以在不同的網(wǎng)絡(luò)150、154之間(包括通過(guò)一個(gè)諸如因特網(wǎng)112之類的中間網(wǎng)絡(luò)152)流動(dòng)。管理終端140標(biāo)識(shí)系統(tǒng)內(nèi)的各個(gè)網(wǎng)關(guān)，規(guī)定它們的能力。一旦規(guī)定了這些網(wǎng)關(guān)，就可由管理終端140通過(guò)執(zhí)行可以包括對(duì)策略、體系結(jié)構(gòu)、組件、易損性和應(yīng)用的評(píng)審的分析執(zhí)行按照本發(fā)明的一個(gè)實(shí)施例設(shè)計(jì)的網(wǎng)絡(luò)周邊安全性評(píng)估。管理終端140于是作出保證網(wǎng)絡(luò)周邊組件106、108、110、142安全的建議。
圖2例示了按照本發(fā)明的一個(gè)實(shí)施例設(shè)計(jì)的執(zhí)行網(wǎng)絡(luò)周邊安全性評(píng)估的流程圖200。在圖2中，公司安全性策略210和工業(yè)標(biāo)準(zhǔn)檢查程序212用來(lái)執(zhí)行策略評(píng)審220。策略評(píng)審220標(biāo)識(shí)過(guò)程文檔形成的任何缺點(diǎn)以及不遵從任何所堅(jiān)持的策略或標(biāo)準(zhǔn)之處。評(píng)審參數(shù)搜集起來(lái)提供給其他評(píng)審過(guò)程(222)。執(zhí)行網(wǎng)絡(luò)體系結(jié)構(gòu)評(píng)審過(guò)程230，以確定網(wǎng)絡(luò)連接是怎樣創(chuàng)建的和標(biāo)識(shí)用來(lái)試圖在以后的測(cè)試計(jì)劃期間繞過(guò)環(huán)境的安全性控制的專用測(cè)試232。執(zhí)行組件評(píng)審過(guò)程240，以分析與每個(gè)網(wǎng)絡(luò)連接關(guān)聯(lián)的組件，確定這些組件是否遵從公司的策略或工業(yè)標(biāo)準(zhǔn)檢查程序。執(zhí)行易損性測(cè)試250，以核實(shí)可得到的只有許可的服務(wù)和施加的是最近的補(bǔ)丁。進(jìn)行一些測(cè)試，評(píng)估與黑客控制點(diǎn)(即防火墻)關(guān)聯(lián)的困難，標(biāo)識(shí)與系統(tǒng)有關(guān)的其他暴露點(diǎn)，以及核實(shí)可得到的只有許可的服務(wù)和施加的是最近的補(bǔ)丁。執(zhí)行應(yīng)用評(píng)審260，標(biāo)識(shí)所有的必要數(shù)據(jù)流和分析數(shù)據(jù)傳送的驗(yàn)證、加密和協(xié)議細(xì)節(jié)。周邊安全性評(píng)估過(guò)程220、230、240、250、260提供產(chǎn)生涉及與網(wǎng)絡(luò)周邊關(guān)聯(lián)的安全性的最終報(bào)告270的數(shù)據(jù)。
圖3示出了按照本發(fā)明的一個(gè)實(shí)施例設(shè)計(jì)的可以用來(lái)執(zhí)行網(wǎng)絡(luò)周邊安全性評(píng)估的典型系統(tǒng)300。圖3的系統(tǒng)300包括存儲(chǔ)器320和處理器310。系統(tǒng)300通過(guò)網(wǎng)絡(luò)接口330接到網(wǎng)絡(luò)312上。該系統(tǒng)使用一個(gè)諸如Microsoft的WindowsXP、Windows2000、Windows NT或Windows9x操作系統(tǒng)(OS)、IBM的OS/2操作系統(tǒng)、MAC的OS@、UNIX@操作系統(tǒng)或Linux操作系統(tǒng)?？梢钥吹?，一個(gè)優(yōu)選實(shí)施例也可以在所提到的這些之外的平臺(tái)和操作系統(tǒng)上實(shí)現(xiàn)。一些實(shí)施例可以用JAVATM、C和/或C++語(yǔ)言或者其他編程語(yǔ)言以面向?qū)ο蟮某绦蛟O(shè)計(jì)方法編寫。面向?qū)ο蟮某绦蛟O(shè)計(jì)(OOP)已經(jīng)越來(lái)越多的用于開(kāi)發(fā)復(fù)雜的應(yīng)用。
圖4為按照本發(fā)明的一個(gè)實(shí)施例設(shè)計(jì)的執(zhí)行對(duì)網(wǎng)關(guān)的安全性評(píng)審的過(guò)程的流程圖400。熟悉該技術(shù)領(lǐng)域的人員可以認(rèn)識(shí)到，本發(fā)明并不局限于圖4所示的周邊安全性評(píng)估過(guò)程的這種次序。
按照如圖4所例示的本發(fā)明的一個(gè)實(shí)施例，執(zhí)行網(wǎng)絡(luò)安全性評(píng)審。網(wǎng)絡(luò)安全性評(píng)審可以包括網(wǎng)絡(luò)體系結(jié)構(gòu)評(píng)審。網(wǎng)絡(luò)體系結(jié)構(gòu)評(píng)審?fù)ㄟ^(guò)對(duì)環(huán)境執(zhí)行設(shè)計(jì)評(píng)審而執(zhí)行，以了解網(wǎng)絡(luò)連接是怎樣創(chuàng)建的(410)。將網(wǎng)絡(luò)體系結(jié)構(gòu)和設(shè)計(jì)與公司標(biāo)準(zhǔn)和工業(yè)最佳實(shí)踐標(biāo)準(zhǔn)檢查程序相比較。評(píng)審對(duì)環(huán)境訪問(wèn)進(jìn)行授權(quán)和控制所用的工具和技術(shù)。標(biāo)識(shí)試圖在測(cè)試計(jì)劃期間繞過(guò)環(huán)境的安全性控制所用的專用測(cè)試。測(cè)試網(wǎng)絡(luò)網(wǎng)關(guān)設(shè)計(jì)，檢驗(yàn)它是否能限制訪問(wèn)要經(jīng)特別許可的IT資源。
網(wǎng)絡(luò)安全性評(píng)審可以包括組件評(píng)審過(guò)程430。通過(guò)檢查與每個(gè)網(wǎng)絡(luò)連接關(guān)聯(lián)的組件執(zhí)行組件評(píng)審過(guò)程。組件的例子有服務(wù)器、大型機(jī)、VPN設(shè)備和防火墻。應(yīng)對(duì)每個(gè)組件按公司標(biāo)準(zhǔn)或工業(yè)標(biāo)準(zhǔn)檢查程序進(jìn)行安全性配置評(píng)審。控制點(diǎn)是控制對(duì)業(yè)務(wù)的訪問(wèn)的專用組件。控制點(diǎn)例如可以是防火墻或VPN。組件評(píng)審過(guò)程對(duì)控制點(diǎn)進(jìn)行規(guī)則分析和組件配置評(píng)審?？刂泣c(diǎn)的一個(gè)例子是防火墻或VPN設(shè)備。對(duì)包括業(yè)務(wù)往來(lái)/數(shù)據(jù)傳送的系統(tǒng)進(jìn)行評(píng)審，以保證它們遵從適當(dāng)?shù)墓緲?biāo)準(zhǔn)或工業(yè)標(biāo)準(zhǔn)檢查程序(如果得不到公司標(biāo)準(zhǔn)的話)。組件評(píng)審過(guò)程也保證系統(tǒng)具有網(wǎng)絡(luò)免遭試探和攻擊的保護(hù)措施。
網(wǎng)絡(luò)安全性評(píng)審也可以包括應(yīng)用評(píng)審450?？梢詧?zhí)行從對(duì)所用的信息流的基本評(píng)審、對(duì)驗(yàn)證和鑒權(quán)方法的中等評(píng)審到增強(qiáng)的易損性評(píng)審的應(yīng)用評(píng)審。網(wǎng)絡(luò)連接總是具有一些提供服務(wù)的應(yīng)用。這些應(yīng)用可以是眾所周知的，諸如SSH之類，也可以是專有的。提供驗(yàn)證和權(quán)限的應(yīng)用應(yīng)盡可能安全地緊縮。應(yīng)用評(píng)審過(guò)程根據(jù)環(huán)境和用戶要求的屬性而改變。應(yīng)用評(píng)審包括標(biāo)識(shí)所有的必要數(shù)據(jù)流和對(duì)數(shù)據(jù)傳送的驗(yàn)證、加密和協(xié)議細(xì)節(jié)的分析。這個(gè)評(píng)審應(yīng)檢驗(yàn)應(yīng)用使用的驗(yàn)證和鑒權(quán)的方法、與這個(gè)應(yīng)用關(guān)聯(lián)的是什么電信流、數(shù)據(jù)駐留在哪里和怎樣傳送它(清除、加密方法和標(biāo)準(zhǔn))。
網(wǎng)絡(luò)安全性評(píng)審還可以包括易損性評(píng)審470。通過(guò)對(duì)每個(gè)系統(tǒng)上的端口進(jìn)行掃描和運(yùn)行穿透性測(cè)試執(zhí)行易損性測(cè)試。易損性測(cè)試470包括對(duì)網(wǎng)關(guān)和非網(wǎng)關(guān)系統(tǒng)進(jìn)行端口掃描和核實(shí)只有許可的服務(wù)是可得到的而且所施加的是最近的補(bǔ)丁。此外，進(jìn)行穿透性測(cè)試，以評(píng)估與黑客控制點(diǎn)(即，防火墻)關(guān)聯(lián)的困難和標(biāo)識(shí)與系統(tǒng)有關(guān)的任何其他暴露點(diǎn)。用端口掃描測(cè)試控制點(diǎn)，以核實(shí)可得到的只有許可的服務(wù)和施加的是最近的補(bǔ)丁。用端口掃描(掃描包括眾所周知的服務(wù)和后門)測(cè)試所有的系統(tǒng)，以核實(shí)只有許可的服務(wù)是可得到的和所施加的是最近的補(bǔ)丁。還由合乎規(guī)格的黑客隊(duì)對(duì)控制點(diǎn)進(jìn)行測(cè)試，以確定與系統(tǒng)有關(guān)的暴露點(diǎn)。這是部分自動(dòng)化和部分人工的對(duì)所有的TCP和UDP端口的全面掃描。
網(wǎng)絡(luò)安全性評(píng)審還可以包括網(wǎng)絡(luò)策略評(píng)審490。可以執(zhí)行策略評(píng)審，以標(biāo)識(shí)過(guò)程文檔形成的任何缺點(diǎn)以及不遵從任何所堅(jiān)持的策略或標(biāo)準(zhǔn)之處。在搜集到公司策略后，完成對(duì)過(guò)程文檔形成和/或過(guò)去性能度量的評(píng)審。如果沒(méi)有提供公司策略，評(píng)審將就工業(yè)最佳實(shí)踐標(biāo)準(zhǔn)檢查程序形成記錄缺點(diǎn)的文檔。
圖5例示了按照本發(fā)明的一個(gè)實(shí)施例設(shè)計(jì)的策略評(píng)審過(guò)程490的一個(gè)例子。在圖5中，提供一個(gè)策略(510)，然后對(duì)照標(biāo)準(zhǔn)檢查程序予以評(píng)審。定義一些其他評(píng)審要予以測(cè)量的參數(shù)(514)。參數(shù)定義后，提供一些建議和結(jié)論(520)，產(chǎn)生一個(gè)形成記錄一些相對(duì)標(biāo)準(zhǔn)檢查程序的缺點(diǎn)的文件的報(bào)告(522)。搜集評(píng)審參數(shù)(530)，提供給其他評(píng)審過(guò)程(540)。
圖6例示了按照本發(fā)明的一個(gè)實(shí)施例設(shè)計(jì)的體系結(jié)構(gòu)評(píng)審過(guò)程410的流程圖；首先得到體系結(jié)構(gòu)圖(610)，對(duì)體系結(jié)構(gòu)的不同的單元進(jìn)行評(píng)審(620)。將評(píng)審參數(shù)630提供給評(píng)審過(guò)程640，產(chǎn)生用于其他安全性周邊評(píng)審過(guò)程660的測(cè)試情況650和/或體系結(jié)構(gòu)評(píng)審報(bào)告670。
圖7例示了按照本發(fā)明的一個(gè)實(shí)施例設(shè)計(jì)的組件評(píng)審過(guò)程430的流程圖；在圖7中，首先得到一個(gè)組件清單(710)。將這些組件分為控制點(diǎn)或非控制點(diǎn)(720)。用于控制點(diǎn)722，得出組件的訪問(wèn)控制表(730)。組件評(píng)審過(guò)程評(píng)審用于規(guī)則分析和組件配置的控制點(diǎn)。得到配置(740)。將組件清單710與來(lái)自體系結(jié)構(gòu)評(píng)審的測(cè)試情況750一起用于執(zhí)行測(cè)試情況(760)。將配置740與來(lái)自測(cè)試情況760的結(jié)果和策略評(píng)審提供的評(píng)審參數(shù)770搜集在一起進(jìn)行評(píng)審(780)，產(chǎn)生組件評(píng)審報(bào)告(790)。
圖8例示了按照本發(fā)明的一個(gè)實(shí)施例設(shè)計(jì)的易損性評(píng)審過(guò)程470的流程圖。將從設(shè)備掃描(810)和從體系結(jié)構(gòu)評(píng)審過(guò)程的測(cè)試情況(812)得到的數(shù)據(jù)用于設(shè)定繞過(guò)安全性的攻擊(820)。如果攻擊不成功(822)，就產(chǎn)生一個(gè)易損性評(píng)審報(bào)告870，表明攻擊不成功。如果攻擊成功824，用從策略評(píng)審過(guò)程830得到的評(píng)審參數(shù)執(zhí)行對(duì)系統(tǒng)的評(píng)審(840)。產(chǎn)生易損性評(píng)審報(bào)告(870)，表明攻擊奏效。
圖9例示了按照本發(fā)明的一個(gè)實(shí)施例設(shè)計(jì)的應(yīng)用評(píng)審過(guò)程450的流程圖。在圖9中，用從體系結(jié)構(gòu)評(píng)審的測(cè)試情況910得到的數(shù)據(jù)得出一個(gè)所需數(shù)據(jù)流清單(920)。搜集每個(gè)所需數(shù)據(jù)流的協(xié)議分析器輸出(930)，研究驗(yàn)證、加密和協(xié)議細(xì)節(jié)(940)。所得結(jié)果與策略評(píng)審得到的評(píng)審參數(shù)950一起用于應(yīng)用評(píng)審960。然后，產(chǎn)生應(yīng)用評(píng)審報(bào)告(970)。
圖10例示了按照本發(fā)明的一個(gè)實(shí)施例設(shè)計(jì)的可以用于上述周邊安全性過(guò)程的評(píng)審過(guò)程1000的流程圖。在圖10中，將從策略評(píng)審過(guò)程得到的評(píng)審參數(shù)1010和數(shù)據(jù)輸入1012用于分析，產(chǎn)生周邊安全性結(jié)論(1020)。根據(jù)分析1020，結(jié)論可以包括確定系統(tǒng)是否安全(1030)、系統(tǒng)是否遵從策略(1040)和/或系統(tǒng)是否遵從標(biāo)準(zhǔn)檢查程序(1050)。
圖11例示了按照本發(fā)明的一個(gè)實(shí)施例設(shè)計(jì)的提供網(wǎng)絡(luò)周邊安全性評(píng)估的方法的流程圖1100。首先執(zhí)行對(duì)網(wǎng)絡(luò)周邊體系結(jié)構(gòu)的安全性評(píng)審(1110)。這包括至少確定包括網(wǎng)絡(luò)的入口和出口的網(wǎng)絡(luò)周邊。評(píng)審將數(shù)據(jù)傳送過(guò)網(wǎng)絡(luò)周邊的數(shù)據(jù)處理設(shè)備的安全性(1120)。對(duì)所述周邊內(nèi)的數(shù)據(jù)處理設(shè)備的安全性的評(píng)審可以包括對(duì)所述周邊外的請(qǐng)求訪問(wèn)所述周邊內(nèi)的應(yīng)用的計(jì)算機(jī)或用戶進(jìn)行驗(yàn)證或鑒權(quán)的設(shè)備。這種數(shù)據(jù)處理設(shè)備可以包括Web服務(wù)器、電子郵件服務(wù)器、FTP服務(wù)器、數(shù)據(jù)存儲(chǔ)服務(wù)器、應(yīng)用服務(wù)器、業(yè)務(wù)往來(lái)服務(wù)器、大型機(jī)、PBX、臺(tái)式計(jì)算機(jī)、膝上型計(jì)算機(jī)、手持式計(jì)算機(jī)、無(wú)線設(shè)備、打印機(jī)或任何其他類型的網(wǎng)絡(luò)節(jié)點(diǎn)。還執(zhí)行對(duì)將數(shù)據(jù)傳送過(guò)所述周邊的應(yīng)用的安全性的評(píng)審(1130)。網(wǎng)絡(luò)周邊安全性評(píng)估還包括對(duì)所述周邊內(nèi)的應(yīng)用或數(shù)據(jù)處理設(shè)備對(duì)所述周邊外的計(jì)算機(jī)或用戶的攻擊的易損性的評(píng)審(1140)。每個(gè)以上評(píng)審都可以通過(guò)與擁有或控制網(wǎng)絡(luò)的企業(yè)的安全策略比較來(lái)執(zhí)行。
以上對(duì)本發(fā)明的典型實(shí)施例的說(shuō)明用來(lái)例示和說(shuō)明本發(fā)明。這并不是窮舉性的或者要將本發(fā)明限制在所揭示的精確形式。根據(jù)以上所述的情況許多修改和變動(dòng)都是可行的。本發(fā)明的專利保護(hù)范圍不是由以上詳細(xì)說(shuō)明而是由所附權(quán)利要求書給出。
權(quán)利要求
1.一種檢驗(yàn)網(wǎng)絡(luò)周邊安全性的方法，所述方法包括下列步驟評(píng)審網(wǎng)絡(luò)周邊體系結(jié)構(gòu)的安全性；評(píng)審將數(shù)據(jù)傳送過(guò)網(wǎng)絡(luò)周邊的數(shù)據(jù)處理設(shè)備的安全性；評(píng)審將數(shù)據(jù)傳送過(guò)所述周邊的應(yīng)用的安全性；以及評(píng)審所述周邊內(nèi)的應(yīng)用或數(shù)據(jù)處理設(shè)備對(duì)所述周邊外的計(jì)算機(jī)或用戶的攻擊的易損性。
2.如在權(quán)利要求1中所提出的方法，所述方法還包括評(píng)審所述周邊內(nèi)驗(yàn)證所述周邊外請(qǐng)求訪問(wèn)所述周邊內(nèi)的應(yīng)用的計(jì)算機(jī)或用戶的數(shù)據(jù)處理設(shè)備的安全性的步驟。
3.如在權(quán)利要求1中所提出的方法，所述方法還包括評(píng)審所述周邊內(nèi)的對(duì)所述周邊外請(qǐng)求訪問(wèn)所述周邊內(nèi)的應(yīng)用的計(jì)算機(jī)或用戶進(jìn)行鑒權(quán)的數(shù)據(jù)處理設(shè)備的安全性的步驟。
4.如在權(quán)利要求1中所提出的方法，其中所述評(píng)審所述數(shù)據(jù)處理設(shè)備的安全性的步驟包括評(píng)審Web服務(wù)器、電子郵件服務(wù)器或FTP服務(wù)器的安全性的步驟。
5.如在權(quán)利要求1中所提出的方法，所述方法還包括評(píng)審所述周邊內(nèi)的向?qū)?shù)據(jù)傳送過(guò)所述網(wǎng)絡(luò)周邊的所述數(shù)據(jù)處理設(shè)備提供數(shù)據(jù)的服務(wù)器的安全性的步驟。
6.如在權(quán)利要求1中所提出的方法，其中每個(gè)所述評(píng)審都可以通過(guò)與擁有或控制網(wǎng)絡(luò)的企業(yè)的安全策略比較來(lái)執(zhí)行。
7.如在權(quán)利要求1中所提出的方法，所述方法還包括確定所述網(wǎng)絡(luò)周邊的步驟。
8.如在權(quán)利要求7中所提出的方法，其中所述網(wǎng)絡(luò)周邊包括所述網(wǎng)絡(luò)的入口和出口。
9.如在權(quán)利要求1中所提出的方法，其中所述網(wǎng)絡(luò)周邊包括所述網(wǎng)絡(luò)的入口和出口。
10.如在權(quán)利要求1中所提出的方法，其中所述評(píng)審網(wǎng)絡(luò)周邊體系結(jié)構(gòu)的安全性、評(píng)審將數(shù)據(jù)傳送過(guò)網(wǎng)絡(luò)周邊的數(shù)據(jù)處理設(shè)備的安全性和評(píng)審所述周邊內(nèi)的應(yīng)用或數(shù)據(jù)處理設(shè)備對(duì)所述周邊外的實(shí)體的攻擊的易損性的這些步驟各至少部分用一個(gè)相應(yīng)的程序工具執(zhí)行。
11.如在權(quán)利要求1中所提出的方法，其中所述評(píng)審所述數(shù)據(jù)處理設(shè)備的安全性的步驟包括評(píng)審所述周邊外的用戶要訪問(wèn)的數(shù)據(jù)處理設(shè)備的安全性的步驟。
全文摘要
本發(fā)明揭示了一種提供涉及一些周邊安全性評(píng)估科目的組合的網(wǎng)絡(luò)周邊安全性評(píng)估的方法。對(duì)網(wǎng)絡(luò)周邊體系結(jié)構(gòu)的安全性評(píng)審與對(duì)將數(shù)據(jù)傳送過(guò)網(wǎng)絡(luò)周邊的數(shù)據(jù)處理設(shè)備的安全性的評(píng)審、對(duì)將數(shù)據(jù)傳送過(guò)網(wǎng)絡(luò)周邊的應(yīng)用的安全性的評(píng)審和對(duì)網(wǎng)絡(luò)周邊內(nèi)的應(yīng)用或數(shù)據(jù)處理設(shè)備對(duì)網(wǎng)絡(luò)周邊外的計(jì)算機(jī)或用戶的攻擊的易損性的評(píng)審一起執(zhí)行。每個(gè)評(píng)審都可以通過(guò)與擁有或控制網(wǎng)絡(luò)的企業(yè)的安全策略比較來(lái)執(zhí)行。
文檔編號(hào)H04L29/06GK1638340SQ200410084060
公開(kāi)日2005年7月13日 申請(qǐng)日期2004年10月18日 優(yōu)先權(quán)日2003年12月22日
發(fā)明者W·C·邦恩, L·K·卡爾弗特, M·E·卡恩斯 申請(qǐng)人:國(guó)際商業(yè)機(jī)器公司