|
风险评估应用技术和工具初探(2) 四、选择风险评估工具的原则
风险评估工具的设计目的是测试一个主机或应用在攻击面前的坚固程度，一些厂商宣称它们的产品能够检测数十甚至30000多种不同的安全缺陷。不管怎样，任何Windows平台的风险评估工具应该能够分析出数百种不同的攻击行为特征。虽然检测每一种平台已知漏洞——如由Microsoft、MITRE的CVE（Common Vulnerabilities and EXPosures）和CERT/CC（CERT Coordination Center）检测出来的漏洞——有其存在的必要，但优秀的风险评估工具还必须能够更深入一步，找出可能预示着配置不完善的缺陷之处，例如找出是否存在空白的密码、配置不当的权限、开放面太广的网络共享资源，或被错误启用的Guest帐户。一些风险评估工具允许定制攻击脚本，例如对入侵测试过程进行优化，或者是避免误报。
为提高实用性，风险分析工具不仅应该能够报告和总结特定系统上找到的安全弱点，还应该能够帮助管理员修补漏洞。一些风险评估工具报告系统存在开放的共享资源，却没有说明共享资源的名称或为何它们被认为是开放的——开放的共享资源是某个共享目录还是共享打印机？是共享资源没有设置密码，还是没有及时安装微软的补丁？较好的工具提供了指向厂商Web网站的连接，并在Web上提供漏洞的详细说明、风险程度、纠正措施等，有些工具甚至还提供了能够自动修补网络上安全漏洞的脚本。
选择一个风险评估工具就像选择一个企业级病毒扫描工具一样。市场上不乏优秀的厂商，但一定要坚持在付款购买前试用一番，因为在一个环境下表现出色的工具换了环境后不一定仍会有出色的表现。下面是几则选择风险评估工具时应当考虑的原则。
■ 根据实际环境和企业的需求选择
搞清楚风险评估工具的运行平台和作用平台。正如前面提到的，对于一个纯Windows环境，应当选择一个在Windows上运行、擅长分析Windows的工具。例如，Nessus是一个广受欢迎的免费风险评估工具，它能够检测超过140种的Windows漏洞，但它虽然有一个Windows的客户端，却需要一个UNIX或Linux主机来运行服务器部分的软件。
现在看到的许多Windows风险评估工具似乎跟不上时间的脚步，它们最擅长以及注重的是测试Windows NT而非Windows XP和Win 2K，所以选购时一定要留意它是否能够识别最新的操作系统以及检测新操作系统特有的安全问题（例如Universal Plug and Play，445端口的NetBIOS通信，组策略等）。另外，必须注意大多数风险评估工具只能分析TCP/IP协议，对于Novell或Macintosh网络，如果运行了TCP/IP之外的协议则必须考虑可能存在的问题。
■ 风险评估工具应当能够精确地映射网络、应用以及进行攻击测试
怎样了解一个工具的实际功效？最有效的办法是搜索Web，查看媒体的评论，要求厂商提供其他客户的使用情况说明。正式购买之前最好测试一下工具的性能。大多数厂商都提供限制了功能的试用版本，通常是限制IP地址的范围。
■ 不仅要注意风险评估工具为目标平台提供的攻击脚本数量，而且要留意它们的更新速度
纯粹的数量有时不能说明问题，因为有些厂商可能把许多相关的漏洞看成一个，有的厂商则把它们算作多个漏洞。一些较为优秀的风险评估工具，如CVE，把每一种测试都链接到了一个标准的漏洞案例ID。留意风险评估工具的更新频率，看看它是自动更新还是需要手工执行更新，还有，新的安全威胁发现之后它要多长的时间才能推出相应的更新？
■ 报告数量的多少，内容翔实程度，是否允许导出报表
只能内部使用的扫描结果报表也许能够满足最初的需要，但如果经常对系统进行风险评估，最好能够将生成的报表导出到外部数据库，以便执行对比和分析。大多数风险评估工具不能将两次扫描结果关联对比，但这个功能对于许多管理员向CEO证明自己的工作业绩却是非常重要的。
■ 是否支持不同级别的入侵测试以避免系统挂起
所有风险评估工具都有这样的警告：入侵测试过程可能产生DoS攻击，或者导致被测试的系统挂起。通常，在高访问量期间对担负关键任务的系统不应该运行风险评估工具，风险评估工具本身可能带来问题，引起服务中断或系统被锁死。大多数高质量的风险评估工具允许执行侵害程度较小的入侵测试，避免造成系统运行中断。
■ 是否需要在线服务？
有些风险评估工具以在线服务的形式提供。这种形式的优点是不占用硬件资源，可以从任何地方运行和获取报表，自动执行更新，一般而言总拥有成本也较低。缺点是服务的运行速度一般较慢，不象客户端产品那样容易定制。最后还有一点是，如果采用在线服务，则扫描出来的网络漏洞清单还将落入第三方的手中。
综上所述，为了测试和保障网络的高度安全，进行风险评估是非常重要的。风险评估工具能够分析网络，找出正在运行的主机，尝试入侵找到的系统和应用软件。附表列出了当前市场上最主要的产品。找到了支持你所用平台的工具之后，你可以安装一台测试机器，故意打开几个漏洞，试验一下该工具是否能够找出这些漏洞来。没有一种风险评估工具是十全十美的，你所能做的是根据企业的网络环境、投资预算、功能、扫描精度、报告信息等，选择一种最合适的。 五、附录：厂商和工具
| 
