Web服務(wù)安全風(fēng)險(xiǎn)評(píng)估研究.pdf

1、Web服務(wù)是近年提出的一種新的面向Web的分布應(yīng)用開發(fā)與集成框架，它基于面向服務(wù)的體系結(jié)構(gòu)，采用Internet通信協(xié)議和XML編碼傳輸消息，具有系統(tǒng)平臺(tái)無(wú)關(guān)、開發(fā)語(yǔ)言無(wú)關(guān)、松散耦合以及可伸縮等優(yōu)點(diǎn)，具有極大的發(fā)展與應(yīng)用潛力。盡管Web服務(wù)有許多優(yōu)點(diǎn)，但安全性比較差是其主要缺點(diǎn)，安全性問(wèn)題已經(jīng)逐漸引起人們的重視。然而單靠技術(shù)不可能從根本上解決Web服務(wù)的安全問(wèn)題，Web服務(wù)安全更應(yīng)從系統(tǒng)工程的角度來(lái)看待。而在系統(tǒng)工程中，風(fēng)險(xiǎn)評(píng)估占有重要

2、地位，它是Web服務(wù)安全的基礎(chǔ)和前提，因此，對(duì)Web服務(wù)進(jìn)行安全風(fēng)險(xiǎn)評(píng)估是十分必要的。
　　 本文分析了web服務(wù)的安全技術(shù)和web服務(wù)安全規(guī)范，在詳細(xì)研究信息安全風(fēng)險(xiǎn)評(píng)估相關(guān)理論和技術(shù)的基礎(chǔ)上，對(duì)Web服務(wù)安全風(fēng)險(xiǎn)評(píng)估進(jìn)行了有益的探索，設(shè)計(jì)并實(shí)現(xiàn)了一個(gè)可信的Web服務(wù)安全風(fēng)險(xiǎn)評(píng)估系統(tǒng)。該評(píng)估系統(tǒng)主要從資產(chǎn)評(píng)估、脆弱性評(píng)估、威脅性評(píng)估三個(gè)模塊展開，用戶通過(guò)進(jìn)行資產(chǎn)識(shí)別完成資產(chǎn)評(píng)估模塊；通過(guò)完成問(wèn)卷調(diào)查來(lái)實(shí)現(xiàn)威脅性評(píng)估模塊；脆弱性

3、評(píng)估模塊則通過(guò)用戶在Nessus Client設(shè)置掃描規(guī)則，由系統(tǒng)調(diào)用Nessus Server對(duì)目標(biāo)主機(jī)進(jìn)行掃描，然后將掃描結(jié)果進(jìn)行分析后放入數(shù)據(jù)庫(kù)。最后評(píng)估系統(tǒng)根據(jù)各個(gè)模塊評(píng)估結(jié)果算出最后的風(fēng)險(xiǎn)值，并給出建議和改進(jìn)措施。
　　 最后本文介紹了實(shí)驗(yàn)的環(huán)境、過(guò)程和結(jié)果分析。實(shí)驗(yàn)結(jié)果表明，Web服務(wù)安全風(fēng)險(xiǎn)評(píng)估系統(tǒng)給出了目標(biāo)系統(tǒng)的風(fēng)險(xiǎn)等級(jí)，實(shí)現(xiàn)了預(yù)期的設(shè)計(jì)目標(biāo)。應(yīng)用該工具進(jìn)行風(fēng)險(xiǎn)評(píng)估較好地滿足了風(fēng)險(xiǎn)評(píng)估工具發(fā)展的新要求，為用戶下一