AF_方案模板_安全体检_深信服信息安全体检实施方案.docVIP

XX信息安全体检实施方案

文档日期:201X-12-11

文档版本:1.0

深信服科技股份有限公司

201X年X月X日

目录

TOC\o1-3\h\z\u1概述 2

1.1安全体检简介 2

1.2实施目标 2

1.3安全体检原则 3

2安全体检实施流程 3

2.1实施方案制定、客户授权许可 3

2.2信息搜集分析 4

2.3漏洞寻找与确认分析 4

2.4报告输出阶段 4

3安全体检涉及的技术【部分】 5

3.1信息搜集阶段 5

3.1.1域名信息搜集 5

3.1.2IP信息搜集 5

3.1.3端口信息搜集 6

3.1.4网站目录结构信息搜集 6

3.1.5漏洞信息搜集 7

3.1.6网络流量镜像搜集 7

3.2漏洞寻找阶段 8

3.2.1检查SQL注入漏洞 8

3.2.2检查XSS跨站脚本漏洞 9

3.2.3检查文件上传漏洞 10

3.2.4检查网站信息泄露 10

3.3漏洞验证阶段 11

3.3.1SQL注入漏洞验证 11

3.3.2XSS漏洞验证 11

3.3.3系统溢出漏洞验证 12

4风险规避措施 12

4.1安全体检时间与策略 12

4.1.1时间选择 12

4.1.2攻击策略集选择 12

4.1.3保守策略选择 12

4.2系统备份与恢复 13

4.2.1系统备份 13

4.2.2系统恢复 13

4.3系统监测 13

1概述

1.1安全体检简介

众所周知，信息安全具有动态性、相对性等特征，任何网络任何系统都可能存在安全隐患，所有的安全事件大部分都是由于这些安全隐患被攻击者利用而导致的，因此对于组织单位来说，如何提前发现和防范这些安全隐患成为能否减少安全事件的最关键因素。

深信服安全体检服务可以帮助组织单位发现自身的业务安全威胁和隐患，并根据发现的信息安全威胁和隐患，为客户提供专业的信息安全解决方案。

深信服安全体检服务有别于传统的信息安全服务，首先由下一代防火墙旁路部署进行实时的攻击行为与漏洞关联分析，再通过专业的安全工程师进行深度的漏洞扫描和定向渗透，最终形成综合分析报告，为组织单位提供更加全面、专业的安全体检服务。

1.2实施目标

本次旁路攻击流量分析主要针对数据中心区域、内网办公区域进行安全流量分析。

本次漏洞安全扫描对象

序号

扫描对象

访问方式

1

Web服务器

2

BBS服务器

3

邮件服务器

核心业务定向渗透对象

序号

定向渗透对象

访问方式

1

OA办公自动化系统

http://10.X.X.X:8080

2

ERP服务器

http://10.X.X.X/ERP

3

供应链系统

http://10.X.X.X/Login.jspx

1.3安全体检原则

标准性原则：安全体检实施依据深信服科技安全体检流程进行。

规范性原则：安全体检的过程以及过程中涉及到的文档具有很好的规范性，以便于项目的跟踪和控制。

可控性原则：在安全体检项目实施过程中，按照标准的项目管理方法（SSE-CMM/IATF）对人员、组织、项目进行风险控制管理，以保证安全体检在实施过程中的可控性。

最小影响原则：本次安全体检遵循先预约确认、发送授权后方进行安全体检等工作。

必威体育官网网址性原则：本项目已与XX公司签订相关的必威体育官网网址协议，以承诺对XX公司内部信息的必威体育官网网址。

2安全体检实施流程

2.1实施方案制定、客户授权许可

合法性即客户授权委托，并同意实施方案是进行安全体检的必要条件。安全体检首先必须将实施方法、实施时间、实施人员、实施工具等具体的实施方案提交给客户，并得到客户的相应委托和授权。

应该做到客户对安全体检细节和风险的知晓，所有过程在可控的情况下展开。

2.2信息搜集分析

信息搜集是每一步安全体检的前提，通过信息搜集可以有针对性的制定模拟检查计划，提高安全体检测试的成功率，同时可以有效的降低攻击测试队系统正常运行造成的不利影响。

信息搜集的方法包括PINGsweep、DNSsweep、操作系统指纹识别、应用判别、账号扫描、配置核查等。信息收集常用以下工具：

序号

漏扫名称

扫描领域

备注

1

深信服安全漏扫

端口、弱口令、WEB安全

商业版

2

Netsparker

Web应用弱点扫描器

自由软件

3

Nessus

综合漏扫扫描器

自由软件

4

Metasploit

漏洞综合利用框架

自由软件

5

WebVulnerabilityScanner

Web应用弱点扫描器

自由软件

2.3漏洞寻找与确认分析

通过初步的信息收集分析，存在以下可能性，一种是目标系统存在重大的安全弱点，测试可以直接控制目标系统；另一种是目标系统没有远程重大安全弱点，需要不断的信息收集分