提供网络周边安全性评估的方法、设备和程序存储装置 【技术领域】
本发明与网络安全性有关，具体地说，与提供网络周边安全性评估的方法有关。
背景技术
计算机安全和网络安全目前对于防止受到别人攻击来说是十分重要的，特别是在计算机和网络连接到因特网或其他不可信网络上时。这些攻击可以呈现为计算机病毒、蠕虫、拒绝服务、不适当的访问数据等。曾有一个标准的安全模型，称为CIA，即保密性、完整性和可用性模型。这三位一体的模型是评估敏感信息地风险和确立安全策略的公认模型。
保密性是指敏感信息必须只有对一组预定的个人才是可得到的。未经许可传输信息和使用信息应得到制止。例如，信息的保密性保证未经许可的个人得不到客户的个人或财务信息、恶意地用于诸如身份窃取或信用欺诈之类。
完整性是指信息不应该以使它成为不完全甚至错误的方式更改。未经许可的用户修改或破坏敏感信息应得到制止。
可用性是指信息对许可的用户在任何需要时都应是可访问的。可用性是信息能以所商定的频率及时得到的保证。这通常是用百分比来度量的，在网络服务提供商和他们的企业客户的服务水平协议(SLA)内正式协定。
传统上，因特网安全性所关注的是建立一个不让未经许可的人员进入的周边。调制解调器的信息安全性需要注意到使商务得以进行和创建一个可以让客户、供应商和伙伴访问的周边。有一些用于安全性评估的软件工具、用于防护的硬件工具(防火墙)和咨询服务(人工检验)。这些工具对于发现技术上的易损性(vulnerability)是有用的。
得到广泛采纳的以上所讨论的CIA三位一体的模型是安全环境的基本构架。有一些工具按照三位一体的CIA分别提供网络安全性，然而，这些工具通常各只为一种需要专用，例如分析安全性策略、执行对体系结构的评审、对一个系统的一些组成部分的评审、执行对系统易损性的分析或执行对应用的评审。具体地说，业已开发了一些人工体系结构评审过程，提供对安全性基础设施、应用综合、系统和网络基础设施和整系统安全性的高层分析。然而，这样的途径通常注意的是具体的网络组件厂商的产品和兼容设备而不是提供对体系结构安全性评审的广大构架。这种途径的一个例子是根据语音、视频和综合数据的Cisco体系结构(A VVID)设计和实现安全网络的Cisco系统的SAFE蓝图。此外，有一些工具有助于执行易损性评审。这种提供易损性评审的工具的例子就少数几个有名的来说包括Nessus、因特网安全性系统(ISS)的安全性产品、网络安全性评估(NSA)、Retina@。
还有一些工具提供组件评审、应用评审和策略评审。提供组件评审的工具的例子包括Symantec的ESM和Tivoli的JAC。提供应用评审的工具的例子包括一些还可能涉及使用嗅线路的协议分析器的基于研究的组件。协议分析器的例子是ethereal和tcpdump。策略评审包括分析和得出公司安全性策略。这种构架的例子包括公司专有的构架和各种政府出版物，诸如国家标准和技术学会(NIST)的“防火墙和防火墙策略指南”(“Guidelines onFirewalls and Firewall Policy”)、NIST的“互连信息系统技术的安全性指南”(“Security Guide for Interconnecting Information SystemsTechnology”)之类。如所提到的那样，这些评审工具中有一些是专有性的，而有一些是公开性的。此外，有各种商讨称为“纵深防御”的公开方法，这是一种创建安全网络和周边的方式。
于是可见有必要开发一种提供全面的网络周边安全性评估的方法。
【发明内容】
为了克服上述现有技术中的缺点和克服在读了和理解了本说明书后清楚的缺点，本发明揭示了一种提供全面网络周边安全性评估的方法。
本发明通过提供一种可以包括网络体系结构评审、组件评审、应用评审、策略评审和易损性评审这些组成部分的网络周边安全性评估解决了上述问题。
一种按照本发明的原理设计的方法包括下列步骤：评审网络周边体系结构的安全性，评审将数据传送过网络周边的数据处理设备的安全性；评审将数据传送过网络周边的应用的安全性；以及评审网络周边内的应用或数据处理设备对所述周边外的计算机或用户的攻击的易损性。
在作为本发明一部分的所附权利要求书中具体指出了表征本发明的这些和其他一些优点和特征。然而，为了更好地了解本发明和用本发明可以得到的优点和能达到的目的，下面将结合作为本发明一部分的例示按照本发明设计的设备的一些具体例子的附图进行说明。
【附图说明】
现在来看附图，其中类似的标号都表示相应的部分：
图1例示了按照本发明的一个实施例设计的网络体系结构100；
图2例示了按照本发明的一个实施例设计的执行网络周边安全性评估的流程图；
图3示出了按照本发明的一个实施例设计的提供网络周边安全性评估的典型系统；
图4为按照本发明的一个实施例设计的执行网络周边安全性评审的过程的流程图；
图5例示了按照本发明的一个实施例设计的策略评审过程的一个例子；
图6例示了按照本发明的一个实施例设计的体系结构评审过程的流程图；
图7例示了按照本发明的一个实施例设计的组件评审过程的流程图；
图8例示了按照本发明的一个实施例设计的易损性评审过程的流程图；
图9例示了按照本发明的一个实施例设计的应用评审过程的流程图；
图10例示了按照本发明的一个实施例设计的可以用于上述周边安全性过程的评审过程的流程图；以及
图11例示了按照本发明的一个实施例设计的提供网络周边安全性评估的方法的流程图。
【具体实施方式】
在以下对实施例的说明中，参考了作为这些实施例一部分的附图，在这些附图中例示性地示出了可以实施本发明的具体实施例。可以理解，可以采用其他的实施方式，因为在不背离本发明的专利保护范围的情况下可以作出结构上的各种改变。
本发明提供了一种提供全面网络周边安全性评估的方法。检验网络周边安全性的这些组成部分是对网络周边安全性进行评审的中枢。由于提供了一种加入了多个网络安全性科目的检验网络周边安全性的方法，就可以开发出一种更为安全的防止对计算机和网络设备攻击的企业体系结构。
图1例示了按照本发明的一个实施例设计的网络体系结构100。如图所示，远端源102配置成接到网络104上。还有多个设备106，接到另一个网络108上。设备106可以包括任何类型数据处理设备，包括(但不局限于)数据存储服务器、应用服务器、大型机、PBX或任何其他类型的网络节点。在所给出的网络体系结构100的环境中，第一网络104和第二网络108各可以采取任何形式，包括(但不局限于)局域网(LAN)、虚拟局域网(VLAN)、诸如因特网之类的广域网(WAN)等。数据处理设备106也可以包括台式计算机、膝上型计算机、手持式计算机、Web服务器、商业事务服务器、打印机或任何其他类型的硬件/软件。使用中，远端源102通过诸如防火墙、过滤路由器、虚拟专用网络(VPN)之类的网络控制设备110访问设备106。
网络控制设备110用来将VLAN 108和设备106与通过所接的因特网104的访问隔离。网络控制设备110的作用是允许VLAN 108和设备106接到因特网104上从而访问因特网104，而使它们不容易受到来自因特网104的恶意访问的影响。如果成功，网络控制设备110允许VLAN 108和设备106与因特网104通信和交易，而使它们不容易受到因特网104上的攻击或未经许可的查询。
网络控制设备110也可以使用一个应用网关或者说代理系统。这种系统根据应用或计算平台的操作系统(OS)进行操作，监视接收进入的各个连接请求的“端口”。一个端口是一个包含在一个分组的开销内的用数字标明的元件。端口号码表明了与分组关联的业务的属性。在OS或监视应用在一个特定端口上接收到一个请求时，就开放这个端口的连接。然后，启动一个管理该连接的程序，网络控制设备110启动一个验证连接请求的网关应用或代理。
网络控制设备110通常只根据地址/端口/协议信息限制访问。此外，网络控制设备110可以对通信进行验证，但只是为了保证请求遵从已知的标准(例如HTTP/1.x)。不幸的是，网络控制设备110通常并不为安全性检验通信的内容。
管理终端140提供按照本发明的一个实施例设计的对网关的网络周边安全性评估。管理终端140可以接到网关142上。网关142使数据可以在不同的网络150、154之间(包括通过一个诸如因特网112之类的中间网络152)流动。管理终端140标识系统内的各个网关，规定它们的能力。一旦规定了这些网关，就可由管理终端140通过执行可以包括对策略、体系结构、组件、易损性和应用的评审的分析执行按照本发明的一个实施例设计的网络周边安全性评估。管理终端140于是作出保证网络周边组件106、108、110、142安全的建议。
图2例示了按照本发明的一个实施例设计的执行网络周边安全性评估的流程图200。在图2中，公司安全性策略210和工业标准检查程序212用来执行策略评审220。策略评审220标识过程文档形成的任何缺点以及不遵从任何所坚持的策略或标准之处。评审参数搜集起来提供给其他评审过程(222)。执行网络体系结构评审过程230，以确定网络连接是怎样创建的和标识用来试图在以后的测试计划期间绕过环境的安全性控制的专用测试232。执行组件评审过程240，以分析与每个网络连接关联的组件，确定这些组件是否遵从公司的策略或工业标准检查程序。执行易损性测试250，以核实可得到的只有许可的服务和施加的是最近的补丁。进行一些测试，评估与黑客控制点(即防火墙)关联的困难，标识与系统有关的其他暴露点，以及核实可得到的只有许可的服务和施加的是最近的补丁。执行应用评审260，标识所有的必要数据流和分析数据传送的验证、加密和协议细节。周边安全性评估过程220、230、240、250、260提供产生涉及与网络周边关联的安全性的最终报告270的数据。
图3示出了按照本发明的一个实施例设计的可以用来执行网络周边安全性评估的典型系统300。图3的系统300包括存储器320和处理器310。系统300通过网络接口330接到网络312上。该系统使用一个诸如Microsoft的WindowsXP、Windows2000、Windows NT或Windows9x操作系统(OS)、IBM的OS/2操作系统、MAC的OS@、UNIX@操作系统或Linux操作系统。可以看到，一个优选实施例也可以在所提到的这些之外的平台和操作系统上实现。一些实施例可以用JAVATM、C和/或C++语言或者其他编程语言以面向对象的程序设计方法编写。面向对象的程序设计(OOP)已经越来越多的用于开发复杂的应用。
图4为按照本发明的一个实施例设计的执行对网关的安全性评审的过程的流程图400。熟悉该技术领域的人员可以认识到，本发明并不局限于图4所示的周边安全性评估过程的这种次序。
按照如图4所例示的本发明的一个实施例，执行网络安全性评审。网络安全性评审可以包括网络体系结构评审。网络体系结构评审通过对环境执行设计评审而执行，以了解网络连接是怎样创建的(410)。将网络体系结构和设计与公司标准和工业最佳实践标准检查程序相比较。评审对环境访问进行授权和控制所用的工具和技术。标识试图在测试计划期间绕过环境的安全性控制所用的专用测试。测试网络网关设计，检验它是否能限制访问要经特别许可的IT资源。
网络安全性评审可以包括组件评审过程430。通过检查与每个网络连接关联的组件执行组件评审过程。组件的例子有服务器、大型机、VPN设备和防火墙。应对每个组件按公司标准或工业标准检查程序进行安全性配置评审。控制点是控制对业务的访问的专用组件。控制点例如可以是防火墙或VPN。组件评审过程对控制点进行规则分析和组件配置评审。控制点的一个例子是防火墙或VPN设备。对包括业务往来/数据传送的系统进行评审，以保证它们遵从适当的公司标准或工业标准检查程序(如果得不到公司标准的话)。组件评审过程也保证系统具有网络免遭试探和攻击的保护措施。
网络安全性评审也可以包括应用评审450。可以执行从对所用的信息流的基本评审、对验证和鉴权方法的中等评审到增强的易损性评审的应用评审。网络连接总是具有一些提供服务的应用。这些应用可以是众所周知的，诸如SSH之类，也可以是专有的。提供验证和权限的应用应尽可能安全地紧缩。应用评审过程根据环境和用户要求的属性而改变。应用评审包括标识所有的必要数据流和对数据传送的验证、加密和协议细节的分析。这个评审应检验应用使用的验证和鉴权的方法、与这个应用关联的是什么电信流、数据驻留在哪里和怎样传送它(清除、加密方法和标准)。
网络安全性评审还可以包括易损性评审470。通过对每个系统上的端口进行扫描和运行穿透性测试执行易损性测试。易损性测试470包括对网关和非网关系统进行端口扫描和核实只有许可的服务是可得到的而且所施加的是最近的补丁。此外，进行穿透性测试，以评估与黑客控制点(即，防火墙)关联的困难和标识与系统有关的任何其他暴露点。用端口扫描测试控制点，以核实可得到的只有许可的服务和施加的是最近的补丁。用端口扫描(扫描包括众所周知的服务和后门)测试所有的系统，以核实只有许可的服务是可得到的和所施加的是最近的补丁。还由合乎规格的黑客队对控制点进行测试，以确定与系统有关的暴露点。这是部分自动化和部分人工的对所有的TCP和UDP端口的全面扫描。
网络安全性评审还可以包括网络策略评审490。可以执行策略评审，以标识过程文档形成的任何缺点以及不遵从任何所坚持的策略或标准之处。在搜集到公司策略后，完成对过程文档形成和/或过去性能度量的评审。如果没有提供公司策略，评审将就工业最佳实践标准检查程序形成记录缺点的文档。
图5例示了按照本发明的一个实施例设计的策略评审过程490的一个例子。在图5中，提供一个策略(510)，然后对照标准检查程序予以评审。定义一些其他评审要予以测量的参数(514)。参数定义后，提供一些建议和结论(520)，产生一个形成记录一些相对标准检查程序的缺点的文件的报告(522)。搜集评审参数(530)，提供给其他评审过程(540)。
图6例示了按照本发明的一个实施例设计的体系结构评审过程410的流程图；首先得到体系结构图(610)，对体系结构的不同的单元进行评审(620)。将评审参数630提供给评审过程640，产生用于其他安全性周边评审过程660的测试情况650和/或体系结构评审报告670。
图7例示了按照本发明的一个实施例设计的组件评审过程430的流程图；在图7中，首先得到一个组件清单(710)。将这些组件分为控制点或非控制点(720)。用于控制点722，得出组件的访问控制表(730)。组件评审过程评审用于规则分析和组件配置的控制点。得到配置(740)。将组件清单710与来自体系结构评审的测试情况750一起用于执行测试情况(760)。将配置740与来自测试情况760的结果和策略评审提供的评审参数770搜集在一起进行评审(780)，产生组件评审报告(790)。
图8例示了按照本发明的一个实施例设计的易损性评审过程470的流程图。将从设备扫描(810)和从体系结构评审过程的测试情况(812)得到的数据用于设定绕过安全性的攻击(820)。如果攻击不成功(822)，就产生一个易损性评审报告870，表明攻击不成功。如果攻击成功824，用从策略评审过程830得到的评审参数执行对系统的评审(840)。产生易损性评审报告(870)，表明攻击奏效。
图9例示了按照本发明的一个实施例设计的应用评审过程450的流程图。在图9中，用从体系结构评审的测试情况910得到的数据得出一个所需数据流清单(920)。搜集每个所需数据流的协议分析器输出(930)，研究验证、加密和协议细节(940)。所得结果与策略评审得到的评审参数950一起用于应用评审960。然后，产生应用评审报告(970)。
图10例示了按照本发明的一个实施例设计的可以用于上述周边安全性过程的评审过程1000的流程图。在图10中，将从策略评审过程得到的评审参数1010和数据输入1012用于分析，产生周边安全性结论(1020)。根据分析1020，结论可以包括确定系统是否安全(1030)、系统是否遵从策略(1040)和/或系统是否遵从标准检查程序(1050)。
图11例示了按照本发明的一个实施例设计的提供网络周边安全性评估的方法的流程图1100。首先执行对网络周边体系结构的安全性评审(1110)。这包括至少确定包括网络的入口和出口的网络周边。评审将数据传送过网络周边的数据处理设备的安全性(1120)。对所述周边内的数据处理设备的安全性的评审可以包括对所述周边外的请求访问所述周边内的应用的计算机或用户进行验证或鉴权的设备。这种数据处理设备可以包括Web服务器、电子邮件服务器、FTP服务器、数据存储服务器、应用服务器、业务往来服务器、大型机、PBX、台式计算机、膝上型计算机、手持式计算机、无线设备、打印机或任何其他类型的网络节点。还执行对将数据传送过所述周边的应用的安全性的评审(1130)。网络周边安全性评估还包括对所述周边内的应用或数据处理设备对所述周边外的计算机或用户的攻击的易损性的评审(1140)。每个以上评审都可以通过与拥有或控制网络的企业的安全策略比较来执行。
以上对本发明的典型实施例的说明用来例示和说明本发明。这并不是穷举性的或者要将本发明限制在所揭示的精确形式。根据以上所述的情况许多修改和变动都是可行的。本发明的专利保护范围不是由以上详细说明而是由所附权利要求书给出。