信息系统已知漏洞分析与总结

1、精选优质文档-倾情为你奉上精选优质文档-倾情为你奉上专心-专注-专业专心-专注-专业精选优质文档-倾情为你奉上专心-专注-专业信息系统已知漏洞分析与总结信息系统是指为了某些明确的目的而建立的，由人员、设备、程序和数据集合构成的统一整体。信息系统的主要功能是提供信息，以支持一个组织机构的运行、管理和决策。信息系统可分为数据处理系统EDP、管理信息系统MIS、决策支持系统DSS。 MIS是利用数据库技术实现各级管理者的管理业务，在计算机上进行各种事务处理工作。DSS则为各级管理者提供辅助决策的能力。数据处理系统EDP:用计算机代替繁杂的手工事务处理工作，其目的是提高数据处理的准确性、及时性，节约人

2、力、提高工作效率 (如会计核算软件) 管理信息系统MIS：是一个由人、计算机等组成的能进行信息的收集、传递、储存、加工、维护和使用的系统。(某企业管理信息系统由技术管理子系统、人事管理子系统 )决策支持系统DSS：决策支持系统的本质是将多个广义模型有机组合起来，对数据库中的数据进行处理而形成决策模型。 信息系统安全漏洞是各种安全威胁的主要根源之一，安全漏洞的大量出现和加速增长使网络安全总体形势趋于严峻，深入分析和研究安全漏洞对保障计算机系统与网络安全具有重要意义。本文围绕着安全漏洞信息系统展开，研究分析了安全漏洞领域的一些主要问题。(1) 研究了安全漏洞关键技术，详细分析了漏洞分类法，对网上公

3、开的漏洞数据库资源进行综述和评价，在此基础上设计了防范中心漏洞数据库结构CNNVD，定义了安全漏洞的属性特征，并负责漏洞数据库的升级和管理。(2) 提出了一种完善的安全漏洞收集模型，通过引入漏洞自动收集思想，有效的解决了漏洞数据库信息更新不及时，以及漏洞收集效率低等问题。重点介绍了漏洞自动收集系统的结构框架和功能模块，并给出了系统的具体实现。(3) 研究了漏洞描述语言OVAL和漏洞评估系统的现状与发展，旨在研究标准化的漏洞描述方法，实现漏洞描述、检测过程和评估的标准化。开发了一种基于OVAL的新型漏洞评估系统OVAS，以防范中心漏洞数据库CNNVD作为数据中心。OVAS缩短了漏洞评估时间，提高

4、了检测精度。(4) 为了提高安全产品的互操作性，国际上制定了很多安全漏洞相关标准和计划。详细分析了这些标准的内容和相互关系，总结了国际漏洞标准制定方案，并探讨了国内应该制定哪些漏洞标准以及制定流程。漏洞的概述漏洞是在硬件、软件、协议的具体实现或系统安全策略上存在的缺陷，从而可以使攻击者能够在未授权的情况下访问或破坏系统。具体举例来说，比如在Intel Pentium芯片中存在的逻辑错误，在Sendmail早期版本中的编程错误，在NFS协议中认证方式上的弱点，在Unix系统管理员设置匿名Ftp服务时配置不当的问题都可能被攻击者使用，威胁到系统的安全。因而这些都可以认为是系统中存在的安全漏洞。漏洞

5、是指一个系统存在的弱点或缺陷，系统对特定威胁攻击或危险事件的敏感性，或进行攻击的威胁作用的可能性。漏洞可能来自应用软件或操作系统设计时的缺陷或编码时产生的错误，也可能来自业务在交互处理过程中的设计缺陷或逻辑流程上的不合理之处。这些缺陷、错误或不合理之处可能被有意或无意地利用，从而对一个组织的资产或运行造成不利影响，如信息系统被攻击或控制，重要资料被窃取，用户数据被篡改，系统被作为入侵其他主机系统的跳板。从目前发现的漏洞来看，应用软件中的漏洞远远多于操作系统中的漏洞，特别是WEB应用系统中的漏洞更是占信息系统漏洞中的绝大多数。漏洞发现是攻击者与防护者双方对抗的关键，防护者如果不能早于攻击者发现可

6、被利用的漏洞，攻击者就有可能利用漏洞发起攻击。越早发现并修复漏洞，信息安全事件发生的可能性就越小。专业漏洞扫描系统是一种发现漏洞的重要手段，它能自动发现远程服务器端口分配，判断所提供服务，并检测远程或本地主机安全弱点的系统。发现漏洞后，还要进一步通过自动或手动的漏洞验证来检验漏洞扫描结果的准确性。信息系统的运行维护人员应定期进行漏洞扫描，及时发现并快速修复漏洞。漏洞会影响到很大范围的软硬件设备，包括作系统本身及其支撑软件，网络客户和服务器软件，网络路由器和安全防火墙等。换而言之，在这些不同的软硬件设备中都可能存在不同的安全漏洞问题。在不同种类的软、硬件设备，同种设备的不同版本之间，由不同设备构

7、成的不同系统之间，以及同种系统在不同的设置条件下，都会存在各自不同的安全漏洞问题。漏洞问题是与时间紧密相关的。一个系统从发布的那一天起，随着用户的深入使用，系统中存在的漏洞会被不断暴露出来，这些早先被发现的漏洞也会不断被系统供应商发布的补丁软件修补，或在以后发布的新版系统中得以纠正。而在新版系统纠正了旧版本中具有漏洞的同时，也会引入一些新的漏洞和错误。因而随着时间的推移，旧的漏洞会不断消失，新的漏洞会不断出现。漏洞问题也会长期存在。因而脱离具体的时间和具体的系统环境来讨论漏洞问题是毫无意义的。只能针对目标系统的作系统版本、其上运行的软件版本以及服务运行设置等实际环境来具体谈论其中可能存在的漏洞

8、及其可行的解决办法。同时应该看到，对漏洞问题的研究必须要跟踪当前最新的计算机系统及其安全问题的最新发展动态。这一点如同对计算机病毒发展问题的研究相似。如果在工作中不能保持对新技术的跟踪，就没有谈论系统安全漏洞问题的发言权，即使是以前所作的工作也会逐渐失去价值。系统安全漏洞是在系统具体实现和具体使用中产生的错误，但并不是系统中存在的错误都是安全漏洞。只有能威胁到系统安全的错误才是漏洞。许多错误在通常情况下并不会对系统安全造成危害，只有被人在某些条件下故意使用时才会影响系统安全。漏洞虽然可能最初就存在于系统当中，但一个漏洞并不是自己出现的，必须要有人发现。在实际使用中，用户会发现系统中存在错误，而

9、入侵者会有意利用其中的某些错误并使其成为威胁系统安全的工具，这时人们会认识到这个错误是一个系统安全漏洞。系统供应商会尽快发布针对这个漏洞的补丁程序，纠正这个错误。这就是系统安全漏洞从被发现到被纠正的一般过程。系统攻击者往往是安全漏洞的发现者和使用者，要对于一个系统进行攻击，如果不能发现和使用系统中存在的安全漏洞是不可能成功的。对于安全级别较高的系统尤其如此。系统安全漏洞与系统攻击活动之间有紧密的关系。因而不该脱离系统攻击活动来谈论安全漏洞问题。了解常见的系统攻击方法，对于有针对性的理解系统漏洞问题，以及找到相应的补救方法是十分必要的。（一）漏洞的分类和生命周期(二) 漏洞研究的主体随着信息化的

10、进步和互联网的飞速发展,由于漏洞自身的特殊性,多种不同的主体根据不同的需求参与到有关漏洞的研究、分析工作中,包括:政府机构、国际组织、大学/科研机构、信息技术公司、信息安全公司和黑客组织等,它们在漏洞研究中从不同的角度分析漏洞,起到了不同的作用。对于政府机构而言,他们主要关心的问题有信息系统中存在哪些漏洞,漏洞给信息系统带来的安全风险有多大,如何有效地处理漏洞,避免安全风险的增加,如何建立一套系统化、制度化、程序化的工作流程来处理漏洞等内容。对于国际组织,他们大多在安全事件接报和统计、安全漏洞收集和整理、安全建议和培训和系统安全提升办法等方面投入更多精力。大学和科研机构研究重点在:漏洞的分类方

11、法、漏洞的描述和利用方法、漏洞带来安全风险的分析。信息技术公司则分析漏洞的产生原因,避免漏洞的出现和对漏洞开发补丁。信息安全公司从事漏洞的检测方法和漏洞的解决方案。黑客组织的主要兴趣在未知漏洞的发现和漏洞的利用程序开发。(三) 漏洞研究的客体信息系统的构成是复杂的,从不同的角度来看,漏洞存在于不同的部分,例如从信息系统构成的纵向层次来看有部件、组件、产品、子系统、网络等,从信息系统的横向组成部分来看有操作系统、数据库、应用软件、路由器、交换机、智能终端等。根据美国国家漏洞库披露的数据显示,目前仅在软件产品中就存在29000个漏洞,涉及到14000个信息产品,而目前每天以20个漏洞左右数量增加。

12、目前各大软件公司、国际组织、安全公司等都公布有数量不同的漏洞信息。(四) 漏洞研究的行为与内容从漏洞的个体来看,每一个漏洞的出现、被发现、公布等状态都是由相关的主体来操作的,这就必然使得漏洞个体研究或者管理存在一系列的行为过程和研究内容,主要包括:1制造：漏洞是被有意或者无意地制造出来的,对于大多数情况来讲,漏洞是在无意中产生的,但是有些条件下,并不排除被有意产生。在此阶段,主要研究漏洞产生的特定环境、条件和原因,分析不同漏洞的来源、平台、时间、分布位置等多种因素,发现漏洞产生的场景模式和规律,找到其中可重用的模式,为漏洞相关研究环节提供研究基础。2发现：漏洞作为客观对象存在于信息产品之中,被

13、不断地挖掘出来。针对未知漏洞存在而又不为人所知的情况,在此阶段研究者主要研究利用各种方法、技术、理论来发现未知漏洞并且分析由于模块化设计、代码重用等方式带来的漏洞在不同位置出现的关联性和依赖性。所使用的方法主要有:基于静态分析的漏洞发现技术、基于动态分析的漏洞发现技术等:信息系统安全漏洞研究静态、动态分析相结合的漏洞发现技术。3验证：在公布的漏洞中,由于信息来源的不确定性,需要对公布的漏洞进行仔细的分析,以确定漏洞是否存在,相关信息是否准确,并对其相关特征进行深入分析。在此阶段,主要研究漏洞触发条件和利用规则的分析和描述、漏洞攻击模拟与验证。4评估：分析漏洞的危害性、利用方法和危害等级等,对漏

14、洞可能对信息系统造成的安全危害进行分析。并且通过分析漏洞利用和攻击的条件、境、可能等特点,研究信息系统中利用漏洞危害系统安全的风险传播模型。5检测：在役系统中存在大量的、已公布的漏洞,研究如何标示漏洞的特征,以便进行有效的检查,主要研究漏洞检测特征的知识表达,主要手段有基于主机的漏洞检测和基于网络的漏洞检测。6公布：讨论漏洞相关信息的搜集、发布、管理、统计、分析等,以形成有效的信息发布机制和相关知识框架,以便有策略或分类别地发布漏洞信息,并发布相应的安全建议。7消除：针对信息系统中存在的漏洞,研究如何有效地消除以及避免其危害的方法和途径,例如软件公司通过开发针对漏洞的补丁或软件升级,并且分析一

15、旦漏洞被利用带来攻击时,如何有效地和其他安全措施联动,防止更大的危害产生。（五）漏洞分析漏洞分析是风险评估里面的六大环节的一个最重要的环节，我们在这给大家简要的回顾一下六大环节里面最重要的漏洞分析，这还包括对对象的描述和威胁的分析，以及后面影响分析，同时分析出有效性分析，以及综合的评估。漏洞分析无疑是整个风险评估里面重中之重，现在的风险评估我们是从三个方面来进行的，包括技术风险，业务风险和国家 安全的影响中的分析。在威胁分析里面看到不仅来自人的因素，也来自自然的因素，今天是一个特别的日子，像地震之类的自然灾害也是一类威胁。还有就是人的， 人的威胁有一些个人的行为，还有敌对组织的行为，甚至于敌对

16、国家的行为。我们对国家层面的威胁在重要信息系统里面必须特别关注，实际上大家很多来自媒体以 及研究机构，我也看到很多信息安全老专家。为什么在这和大家交流国家重要信息系统的话题，实际上国家重要信息系统离不开机构，他们要进行运行维护，我们应 该更多的在平时的保证业务连续性，对信息安全的认识层次能够更提高一个层次，对他的影响分析有的是涉及到社会稳定甚至于影响到民生。对于安全分析平时做技术方案的时候有可能关注的不够，实际上看到在这张图上面有底向上的过程就是威胁源和威胁能力不 断增大的过程，还有普通个人以及敌对的活动，甚至于国家资助的国家能力，这的出现的可能性和出现威胁之间的关系。我们看到从2000年开始

17、是完全递增的关 系，这种威胁看到了敌对势力的藏独势力，台独势力，邪教组织，以及去年新疆发生的7.5事件。我们看一个很典型的敌对势力法轮功，他们开发队伍很专 业，开发能力也很强，他们的经费通过所谓非政府组织的资助也是很有保障的，另外他的能力无论是破网能力，我们在国家边境口岸上面，在信息系统和互联网边境 口岸上监控、审查有一些通过加密手段进行破网，他们自己的安全防范能力都是非常强的。风险评估的第二个环节，就是漏洞分析，也是我说的最重要的环节。我们要对漏洞看看产生的根源，以及能分析它的发生机 理，危害的程度。在漏洞分析这一块，这个难度和技术的要求都是非常高的，这必须提供理论化的系统化的方法论，还有一

18、些专用的工具，专用的技术。我们深深的 感到经过这多年的信息安全的实践，我们感到确实需要有一个国家级的产品和系统资源的界定。如果没有这些风险评估，只是做表面文章，做一个简单的漏洞扫描得 到一个结果，就不会发现深层次安全威胁和隐患。如果有后面的支撑，有风险漏洞分析的重要基础，我们更多的在现场测试，也就是对漏洞的分析验证。就像医院检 查的一样，就是一个临床检查的问题。下面是来自中国国家信息安全漏洞库的2012年5月的安全漏洞的情况：可见在信息系统领域，安全漏洞是无处不在，无所不在的。信息系统具体分类及其漏洞问题（一）数据处理系统数据处理系统，有时候又称为电子数据处理系统，是指运用计算机处理信息而构成

19、的系统。其主要功能是将输入的数据信息进行加工、整理，计算各种分析指标，变为易于被人们所接受的信息形式，并将处理后的信息进行有序贮存，随时通过外部设备输给信息使用者。 世纪年代计算机应用范围扩展到非数值计算的电子数据处理（）领域。数据处理是对数据的采集、存储、检索、加工、变换和传输。数据处理的基本目的是从大量的、杂乱无章的、难以理解的数据中抽取并计算出对于某些特定的人们来说有意义、有价值的数据。以电子计算机作为工具进行的数据处理称为电子数据处理。电子数据处理的特点是：使用范围小，主要应用在商业、仓库管理等部门，通常是单项数据处理任务的专用计算机程序，它面向低层次的管理事务信息处理和辅助服务工作。

20、因为只能孤立地处理数据而不能与其他工作进行信息交换和资源共享，也无法对一个企业或一个机关的信息进行整体分析和系统设计，使整个工作缺乏协调一致。1、EDP系统的复杂性（1）技术复杂性EDP系统可按其技术复杂性和在某一组织内的使用范围来确定。过去，技术复杂性是体积大小的同义词。尽管大系统通常更为复杂，但还有许多复杂的小系统。（2）使用范围EDP在某一系统中的使用范围也与复杂性相关。一般说，由电脑执行的会计功能越多，系统就越须复杂。、使系统复杂化的原因之一是电算化业务数量的增加。例如，在一个公司中，销售和收款可能已经电算化，而工薪系统却还没有。复杂性也随某一特定循环中电算化的功能数量的增加而增加。在

21、一个部分电算化系统中，EDP可能从编制帐单开始，包括现金收入处理，现金收入记录和销售日记帐，应收帐款明细帐的记录。而在一个全部电算化的系统中，顾客订货可能是从电话中获知的，操作人员在接收订货时输入键盘终端，此后的每一处理过程均由电脑进行。2、EDP控制在计算机系统中，不可能像手工系统中将记录功能分开掌握。在手工系统中，可以让一个人在相关的帐簿中记录同样的数据。但在大多数EDP系统中，有关日记帐、明细帐和总帐的记录功能都是由计算机同时执行的。在EDP内要求实行职责分离，以减少误差和违纪情况的出现。几个需要分离的数据处理责任人是系统分析人员；程序设计人员；计算机操作人员；资料管理人员；数据控制小组

22、。（二）管理信息系统管理信息系统（ManagementInformationSystems简称MIS.是一个不断发展的新型学科，MIS的定义随着计算机技术和通讯技术的进步也在不断更新，在现阶段普遍认为管理信息系统MIS是由人和计算机设备或其他信息处理手段组成并用于管理信息的系统。 管理信息由信息的采集、信息的传递、信息的储存、信息的加工、信息的维护和信息的使用五个方面组成。完善的管理信息系统MIS具有以下四个标准：确定的信息需求、信息的可采集与可加工、可以通过程序为管理人员提供信息、可以对信息进行管理。1985年，管理信息系统的创始人，明尼苏达大学的管理学教授GordonB.Davis给了管理

23、信息系统一个较完整的定义，即“管理信息系统是一个利用计算机软硬件资源，手工作业，分析、计划、控制和决策模型以及数据库人机系统。它能提供信息支持企业或组织的运行管理和决策功能。”这个定义全面地说明了管理信息系统的目标、功能和组成，而且反映了管理信息系统在当时达到的水平。 管理信息系统起初应用于最基础的工作，如打印报表、计算工资、人事管理等，进而发展到企业财务管理、库存管理等单项业务管理，这属于数据处理(EDP，ElectronicDateProcessing)系统。当建立了企业数据库，有了计算机网络从而达到数据共享后，从系统观点出发，实施全局规划和设计系统信息时，就达到管理信息系统的阶段。随着计

24、算机技术的进步和人们对系统的需求进一步提高，人们更加强调管理信息系统能否支持企业高层领导的决策这一功能，更侧重于企业外部信息的收集、综合数据库、模型库、方法库和其他人工智能根据能否直接面向决策者，这是决策支持系统(DSS，DecisionSupportSystem)的任务。我国20世纪70年代末有少数企业开始MIS的局部应用，目前，我国已经相当普及，其应用范围几乎覆盖了各个行业及各个部门，具有广泛的发展前途。确切地说，管理信息系统是一个人机系统，机器包含计算机硬件及软件(软件包括业务信息系统、知识工作系统、决策和经理支持系统)，各种办公机械及通信设备；人员包括高层决策人员，中层职能人员和基层业

25、务人员，由这些人和机器组成一个和谐的配合默契的人机系统。 所以，有人说管理信息系统是一个技术系统，有人说管理信息系统是个社会系统，根据我们上面所说道理，我们说管理信息系统主要是个社会系统，然后是一个社会和技术综合的系统。系统设计者应当很好的分析把什么工作交给计算机做比较合适，什么工作交给人做比较合适，人和机器如何联系，从而充分发挥人和机器各自的特长。我们说管理信息系统是一个一体化系统或集成系统，这就是说管理信息系统进行企业的信息管理是从总体出发，全面考虑，保证各种职能部门共享数据，减少数据的冗余度，保证数据的兼容性和一致性。严格地说只有信息的集中统一，信息才能成为企业的资源。管理信息系统是为组

26、织中层管理监督和控制业务活动,有效分配资源提供所需信息的计算机应用系统.它主要利用TPS采集的数据来生成管理计划和控制业务活动所需的系统.它是一门新兴的，其主要任务是最大限度的利用现代计算机及网络通讯技术加强企业的信息管理，通过对企业拥有的人力、物力、财力、设备、技术等资源的调查了解，建立正确的数据，加工处理并编制成各种信息资料及时提供给管理人员，以便进行正确的决策，不断提高企业的管理水平和经济效益。目前，企业的计算机网络已成为企业进行技术改造及提高企业管理水平的重要手段。（三）决策支持系统决策支持系统（DSS）是支持解决半结构化或非结构化问题的计算机系统。基本的决策支持系统由数据部件，模型部

27、件和对话部件三部分组成。智能决策支持系统在此基础上添加了知识部件。信息产业是近年来蓬勃发展的新兴产业，它对国民经济的发展产生了深远的影响并将占据越来越重要的地位，对信息产业正确的测度将成为管理与决策最有力的依据。我们充分发挥决策支持系统定量和定性相结合的优势，建立吉林省信息产业辅助测度DSS完成信息产业测度。本系统建立在一套完整的信息产业测度指标体系和测度模型基础上，针对传统模型管理中存在的缺陷，应用面向对象模型管理方法实现模型表达和管理，通过模型运行完成对信息产业定量测度。利用现有的数据库管理系统和完善的数据库查询语言，来构造实用决策支持系统中的知识库，将评价知识以数据库的形式予以表示，评价

28、算法则采用专家系统的推理机方法，最终实现对定量模型运行结果的定性评价。决策支持系统（）的概念于世纪年代由美国麻省理工学院的和首次提出，世纪年代中期引入我国。在短短的几年里，各国学者对的理论研究与开发应用进行了大量卓有成效的工作。目前， 已成为系统工程与计算机应用领域中的重要研究课题。决策支持系统是由三个部件组成的，即人机交互及问题处理系统（综合部件）、模型库系统（模型部件）、数据库系统（数据部件）。决策支持系统（）实质上是在管理信息系统和运筹学的基础上发展起来的。它是支持解决半结构化或非结构化问题的计算机系统。基本的决策支持系统由数据部件，模型部件和对话部件三部分组成。智能决策支持系统在此基础

29、上添加了知识部件。信息产业是近年来蓬勃发展起来的新兴产业，它对国民经济的发展产生了深远的影响并将占据越来越重要的地位，对信息产业正确的测度将成为宏观管理与决策最有力的依据。我们充分发挥决策支持系统定量和定性相结合的优势，建立吉林省信息产业辅助测度完成信息产业测度。本系统建立在一套完整的信息产业测度指标体系和测度模型基础上，针对传统模型管理中存在的缺陷，应用面向对象模型管理方法实现模型表达和管理，通过模型运行完成对信息产业定量测度。利用现有的数据库管理系统和完善的数据库查询语言，来构造实用决策支持系统中的知识库，将评价知识以数据库的形式予以表示，评价算法则采用专家系统的推理机方法，最终实现对定量模型运行结果的定性评价。本文从理论到实践对以数据库管理系统为基础开发实用的决策支持系统做了有益的探讨和尝试。决策的进程一般分为4个步骤：(1)发现问题并形成决策目标，包括建立决策模型、拟定方案和确定效果度量，这是决策活动的起点；(2)用概率定量地描述每个方案所产生的各种结局的可能性；(3)决策人员对各种结局进行定量评价，一般用效用值来定量表示。效用值是有关决策人员根据个人才能、经验、风格以及所处环境条件等因素，对各种结局的价值所作的定量估计；(4)综合分析各方面信息，以最后决定方案的取舍，有时还要对方案作灵敏度分析，研究原始数据发生变