基于滲透測試的信息安全測評方法研究與應(yīng)用.pdf

1、隨著信息價值的不斷提高、網(wǎng)絡(luò)的使用日益廣泛,信息產(chǎn)品受到的安全威脅日益加大,信息安全在當(dāng)前這個信息社會中扮演著關(guān)鍵的角色。由此衍生的另一個領(lǐng)域一一信息安全測評也隨著信息安全這一行業(yè)的壯大慢慢浮出水面,成為信息技術(shù)領(lǐng)域中的一個新興課題。
　　 目前我國這方面的研究工作主要集中在組織架構(gòu)和業(yè)務(wù)體系的建立上,相應(yīng)的標(biāo)準(zhǔn)體系和技術(shù)體系還處于研究階段,而且信息系統(tǒng)安全檢測和評估過程的大部分工作還是由手動完成,導(dǎo)致工作量大、周期長,因此,很

2、有必要進(jìn)一步研發(fā)符合相關(guān)安全標(biāo)準(zhǔn)的自動化程度高的測評工具,以簡化信息系統(tǒng)安全評估的工作量。
　　 本文針對國內(nèi)信息系統(tǒng)安全測評領(lǐng)域的發(fā)展現(xiàn)狀,在總結(jié)了以往測評自動化系統(tǒng)和融合了之前總結(jié)的滲透測試?yán)碚摵图夹g(shù)的基礎(chǔ)上,提出了一種改進(jìn)的信息安全自動化測評框架。掃描局域網(wǎng)內(nèi)的存活主機,對目標(biāo)主機進(jìn)行操作系統(tǒng)探測。根據(jù)操作系統(tǒng)的類型和版本,選擇相應(yīng)的規(guī)則對其進(jìn)行測評。測評方法包括基于Telnet/SSH的數(shù)據(jù)采集、編寫模擬攻擊插件對漏洞進(jìn)