网络渗透技术在安全防护中的应用

应用系统如果在安全防护方面做不到有效控制，进行系统性的检测、验证，极可能发生信息安全事件。本文阐述了安全威胁产生的根源，并针对企业网络内部的信息安全技术防护现状及安全 胁形势的发展进行了分析，通过渗透测试内部网络上的应用，提供发现问题、解决问题的可靠依据，论述攻击型的安全思想，以攻击者的思维、手段测试网络的安全威胁，实行有针对性的措施，提高企业网络的整体安全性。

 网络信息安全的现状

一、信息安全的形势与安全弊端分析

代码安全是信息系统安全的基础，但多数应用程序，特别是企业内部建立的各种应用系统，在论证、编程及上线使用之前，并没有对程序的安全性进行分析、测试。受现代分层思想的影响，每个分层工作的人看待整个系统都是片面的，从功能实现的角度来看，并不是严重的问题。但从安全的角度上来讲，这是非常致命的。安全从来没有片面、单一的安全，任何一点的漏洞都可以造成整个系统的崩溃，安全问题必须有能力从全面、整体上去看待问题。

二、信息安全管理的防护措施与技术现状

目前一般是采用防火墙防范出口安全，服务器与单机采用防毒软件、安全策略以及给系统打补丁的方式进行防护。而实际上，停止服务、关闭端口，降低攻击面，限制访问IP等方法， 只是规避、隐藏安全风险，并没有从根本上解决问题。系统能否被攻击者侵入，有什么漏洞，是否存在可被利用的隐患，没有可靠的依据。 因此，需要进行攻击型的安全测试，使用攻击的手段，发现系统内的漏洞和隐患，试验安全措施是否安全有效，找到系统的安全弱点，从安全漏洞发现者，攻击者的角度去测试系统，尝试挫败安全防御机制，证明安全问题的存在及危害性，而非破坏。

运用渗透测试技术提高企业网信息安全

一、渗透测试的意义及实施的必要性

渗透测试是指从一个攻击者的角度来检查和审核一个网络系统的安全性的过程。对目标网络、系统、主机、应用的安全性作深入的探测，发现系统最脆弱的环节，以便采取必要的防范措施。

二、渗透测试的工作流程与技术实现

1、信息收集

信息的收集可以采用主动扫描、网络搜索、网络封包分析及社会工程学等方式进行，网络的基础信息例如 IP、网段、域名、端口等都非常容易获得。一些网络服务的使用，如Telnet、web网站登录口令等，在使用明文传输的过程中，可以通过ARP欺骗等方式截获重要信息，还有自建的Ftp，上面通常会存贮很多内部文件，对网络攻击会提供很多便利，甚至是决定性的作用。

2、漏洞的扫描与发现

（1）通用漏洞检测

目前我单位使用B/S架构的Nessus， 用于发现通用漏洞，如微软MS-系列漏洞、oracle漏洞。可以通过发送恶意的请求从而获取系统权限。国产的X-Scan进行弱口令的检测，使用开源的Metasploit提供的通用漏洞攻击框架， 可以进行实际的入侵工作。在实际的应用中，如果没有在边界上进行良好的访问控制，则缓冲区溢出漏洞有着极其严重的威胁，会轻易被恶意用户利用获得服务器的最高权限。

（2）Web应用漏洞检测

对于这种类型的漏洞可以使用Web应用安全测试工具进行检测。我们采用N_stalker与 IBMsecurity AppScan两种工具进行黑盒测试。根据起始页爬取可见页面，测试管理后台；获得页面之后利用SQL进行站点注入及跨站脚本攻击测试；还要对cookie管理、会话周期等常见的 web安全漏洞进行检测。溯雪等基于表单的暴力破解可以很好的进行弱口令扫描。另外SQL注入测试工具Pangolin，能够自动化的进行注入漏洞的检测，是目前国内使用率最高的SQL注入测试软件。

（3）软件与代码安全

应用软件的自身的安全问题是我们以往忽视的领域，据统计75%的攻击发生在应用层，92%的漏洞属于应用层而非网络层。因此，需要我们关注软件开发的整个流程，将安全检测与监测融入需求分析、设计、编码、测试等各个阶段。

结语

信息安全的管理与保障，渗透测试只是起点而不是终点，是发现安全问题、解决安全问题的过程，需要打破片面的只追求功能实现的思维方式，从全局的角度，重新审视自己完成的工作，是否能够达到安全上的要求。

渗透测试仅仅进行预攻击阶段的工作，并不对系统本身造 成危害，但在实际的扫描过程中，还是有部分系统因为漏洞探测而导致了服务停止或系统当机，可见这些系统有多脆弱。扫描工具只是一种提高发现漏洞效率的手段，并不能解决一切， 如果忽视业务逻辑层面的漏洞，如权限设置问题，是扫描器发现不了的。因此需要在前期做好详尽的安全防护规划，实施过 程中根据不断出现的情况及时调整安全策略和访问控制手段。否则会因设备或业务的不当应用，引发出新的安全漏洞。