風(fēng)險評估 通過(guò)漏洞掃描（應用程序漏洞、操作系統漏洞、數據庫系統漏洞等）和全網(wǎng)掃描評估（進(jìn)行全網(wǎng)網(wǎng)絡(luò )設備、應用系統、服務(wù)器操作系統等掃描和評估），對客戶(hù)整體信息安全風(fēng)險進(jìn)行評估，發(fā)現系統的脆弱環(huán)節和弱點(diǎn)等安全問(wèn)題，為進(jìn)一步加固信息系統提供依據。 |
漏洞掃描工具 為了防止漏洞掃描工具出現誤報安全漏洞，我們采用專(zhuān)業(yè)安全掃描工具為主和其他掃描工具（IP探測類(lèi)、協(xié)議探測類(lèi)、應用探測類(lèi)）為輔的漏洞檢測方式，專(zhuān)業(yè)掃描工具選擇應用通過(guò)國家保密局、中國人民解放軍測評中心、公安部等部門(mén)的權威認證。并廣泛應用與金融、政府、軍隊、武警、公安等部門(mén)，具有很高的可用性和成熟度。 |
漏洞檢測內容 漏洞掃描檢測內容如下： |
| 應用程序漏洞：應用系統BUG漏洞、配置缺陷和高風(fēng)險端口等。例如：弱口令、物理路徑泄露、CGI源代碼泄 露、執行任意命令、緩沖區溢出、拒絕服務(wù)、SQL注入、條件競爭和跨站腳本執行漏洞等。 |
| 操作系統漏洞，操作系統BUG漏洞、配置缺陷和高風(fēng)險端口等。例如：弱口令、緩沖區溢出、特權升級、拒絕 服務(wù)攻擊等。 |
| 設備IOS漏洞，設備系統BUG漏洞、配置缺陷和高風(fēng)險端口等。例如：弱口令、內存泄漏漏洞、路由數據幀頭 缺陷、欺騙性的IP選項漏洞、拒絕服務(wù)工具等。 |
| 數據庫系統漏洞，數據庫系統BUG漏洞、配置缺陷等，例如：弱口令、SQL注入、用戶(hù)和組權限、不必要的數 據庫功能、失效的配置管理、緩沖區溢出、特權升級、拒絕服務(wù)攻擊、敏感數據未加密等。 |
漏洞掃描測試點(diǎn)部署示意圖如下： |
| 漏洞風(fēng)險評估方法 |
| 依照OWASP的方法論的指導思想，項目將根據實(shí)際情況制定一套安全風(fēng)險評定標準。項目中發(fā)現的所有漏洞 均依據該標準進(jìn)行評估和分析。 |
服務(wù)成果 《安全漏洞評估報告》、《安全漏洞解決方案》 |
