网路环境下之系统安全评估

《网路环境下之系统安全评估》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、網路環境下之系統安全評估SystemSecurityEvaluationforComputerNetworks指導教授：陳年興博士研究生：林秉忠報告大綱研究背景研究動機與目的研究方法系統安全漏洞分類方式網路安全檢查方法案例探討結論與建議研究貢獻後續研究方向研究背景網路及網站安全之重要性網際網路發達對電腦網路安全造成的衝擊電子商務造成網站入侵更加有利可圖政府電子化後使得網路安全與國家安全關係更加密切電腦網路安全已經成為大家都必須正視的課題研究動機與目的解答網路系統管理者的三大問題如何判別系統是否有漏洞，以及系統有哪些漏洞？如何藉由收集到的系統漏洞資料評估網路系

2、統的安全狀況？了解目前網路安全的弱點後，如何改善網路系統安全的現況？幫助網路系統管理者了解並改善現況研究方法研究範圍與假設系統安全漏洞的分類網路安全檢查方法依照所提出的檢查方法及分類方式進行個案調查系統安全漏洞分類方式系統安全漏洞分類方式(續)網路安全檢查檢查方法共有六大步驟InterNIC資訊之收集DNS資訊之收集網路組態之探索網際網路服務之探索網路服務安全檢測實地訪談，並提出結論及建議網路安全檢查檢查方法網路資訊收集InterNIC資訊收集DNS資訊收集選擇測試對象網路組態的探索網路服務的探索服務網路安全檢測結論與建議路由的追蹤SNMP資訊的收集個案探討

3、個案探討中包括了三個不同環境之網路ClassC網路為Internet構成之基本元件，探討網路上單一Network應該注意之事項ClassB為數個元件之所構成，探討點與點之間的互動關係全國網站檢查探討國內網路安全的大致狀況個案探討–高雄某機構由於其業務處理與人民財產攸關之資料，所以特別注重網路安全為一ClassC網路，以Windows環境為要工作平台其環境與一般中小企業相當類似個案探討–高雄某機構重大問題DNS可以任意進行ZoneTransfer，並且沒有設定備援之DNSRouter上之SNMP採用預設密碼，並且沒有設定存取控制(AccessControlLi

4、st)採用之IIS4.0伺服器有重大缺陷，使得入侵者可能獲得Web管理者權限個案探討–高雄某機構建議事項更動Firewall設定，將對外服務放置於DMZ修改Router上之SNMP密碼，並設定存取控制修正IIS伺服器上之系統缺失建議管理員注意最新之系統安全訊息個案探討–中山大學為一ClassB網路，以Unix環境為主要工作平台其環境較類似於一大型企業個案探討–中山大學重大問題DNS可以任意進行ZoneTransfer系統管理者未注重安全，對於系統安全補漏之新訊息並未採用系統管理員未審視系統紀錄各子網路並未架設防火牆或者限制存取資源系統設定不正確絕大部分通訊(

5、telnet/ftp等)仍採用明碼方式傳送個案探討–中山大學建議事項各單位建置防火牆以控制不當存取建議管理員關閉不必要之系統服務建議管理員定期審視系統紀錄檔各單位採用加密方式傳送資料建議管理員注意最新之系統安全訊息個案探討–全國Web網站針對全國的Web網站進行安全檢查擁有跨平台的特性可以觀察到我國對網路安全的重視情形個案探討–全國Web網站重大問題大部分的Web伺服器使用MicrosoftIIS系列產品，有嚴重之安全問題就伺服器端而言，存活率不到五成有許多的伺服器上存在有問題的CGI程式，大部分問題出在系統內定的CGI上絕大部分的問題來源，不論就伺服器端或

6、是CGI程式看來，都出現在使用IIS系列產品的伺服器上個案探討–全國Web網站建議事項更新Web伺服器之版本移除系統內定之CGI程式建議管理員注意最新之系統安全訊息政府應加強企業對網路安全之重視結論與建議對於網路上各個不同角色的個體建議採取以下措施以維護資訊安全個人用戶備份個人重要資料及檔案安裝掃毒軟體對於機密性資料運用加密軟體進行加密，或是存在無Internet連線之電腦之上注意檔案權限之設定，以免遭人竊取網路通訊採加密方式進行，如SSH/SSLtelnet/ptelnet等攸關個人之重要資料，如身分證字號、姓名、住址、電話、信用卡號等，盡量不要在網路上傳

7、送結論與建議(續)系統管理者採用各種系統安全稽核工具，例如Tripwire、COPS、TIGER等參考系統安全設定相關文獻，並關閉不必要之網路服務定期檢視系統紀錄檔定期進行系統備份建立網路安全重大事件聯絡之管道注意各網路系統安全研究相關機構發表之訊息結論與建議(續)政府機關及企業加強系統稽核及員工安全控管採用網路安全加強機制，如防火牆、入侵偵測系統、網路安全掃描程式等機密資料離線儲存，或運用加密技術進行加密進行網路安全之風險分析，並採取適當之因應措施結論與建議(續)ISP業者提供網路使用者加密通訊之機制加強對網路基礎建設相關設施之保護促成保護消費者隱私及個人

8、相關資料相關機制之建立建立網路危機及入侵事件因應機制