SCAP Common Vulnerabilities and Exposures Common Configuration Enumeration

SCAP 標準簡介 (續) – 由六個”標準”所組成 • 通用弱點和漏洞 – Common Vulnerabilities and Exposures • 通用配置設定列舉 – Common Configuration Enumeration • 通用平台列舉 – Common Platform Enumeration • 可擴展設定配置清單描述格式 – Extensible Configuration Checklist Description Format • 開放性”漏洞和評估”描述語言 – Open Vulnerability and Assessment Language • 通用弱點評估系統 – Common Vulnerability Scoring System 網路安全 5 -28

整合資訊科技與資訊安全 (藉由SCAP標準) 弱點管理 Vulnerability Management CVE OVAL CVSS SCAP XCCDF CCE 設定管理 Configuration Management CPE 資產管理 Asset Management Integrating IT and IT Security Through SCAP 資料來源：http: //nvd. nist. gov/scap/docs/ISAPSecurity. Solutions-2007. ppt 網路安全 5 -29

評分項目 Metrics Group (續) 評估項目 存取方式 (Access Vector) 存取複雜度 (Access Complexity) 驗證程度 (Authentication) 機密性要素 (Confidentiality Impact) 完整性要素 (Integrity Impact) 可用性要素 (Availability Impact) 基本評估項目(Base Metric Formula) 評估要素 本地端(Local) 鄰近網路(Adjacent Network) (AV) 遠端網路(Network) 複雜度高(High) 複雜度中(Medium) (AC) 複雜度低(Low) 需取得多個驗證（Multiple） 需取得單個驗證（Single） (Au) 不需驗證（None） 無(None) 部分(Partial) (C) 全部(Complete) 無(None) 部分(Partial) (I) 全部(Complete) 無(None) 部分(Partial) (A) 全部(Complete) 網路安全 (L) (A) (N) (H) (M) (L) (M) (S) (N) (P) (C) 配分 0. 395 1. 646 1. 000 0. 35 0. 61 0. 71 0. 450 0. 560 0. 704 0. 000 0. 275 0. 660 5 -37

評分項目 Metrics Group (續) 時間週期評估項目(Temporal Metric) 評估項目 評估要素 未有(Unproven) 概念驗證(Proof of Concept) 可利用性 (E) (Exploitability) 功能性模組(Functional) 高(High) 官方修補程式(Official Fix) 臨時性修補程式(Temporary Fix) 矯正措施 (RL) (Remediation Level) 弱點減緩措施(Workaround) 沒有任何修補程式發布(Unavailable) 未確認(Unconfirmed) 弱點回報機制的可信度 未證實(Uncorroborated) (RC) (Report Confidence) 已證實(Confirmed) 網路安全 (U) (POC) (F) (H) (OF) (TF) (W) (UC) (UR) (C) 配分 0. 85 0. 90 0. 95 1. 00 0. 87 0. 90 0. 95 1. 00 5 -38

評分項目 Metrics Group (續) 環境評估項目(Environmental Metric) 評估項目 評估要素 無(None) 低(Low) 間接或潛在的損失 中低(Low-Medium) (CDP) (Collateral Damage Potential) 中高(Medium-High) 高(High) 無(None) 受弱點影響的目標系統分散程 低(Low) 度 (TD) 中(Medium) (Target Distribution) 高(High) 低(Low) 要求機密性要素 中(Medium) (CR) (Confidentiality Requirements) 高(High) 低(Low) 要求完整性要素 中(Medium) (IR) (Integrity Requirements) 高(High) 低(Low) 要求可用性要素 中(Medium) (AR) (Availability Requirements) 高(High) 網路安全 (N) (LM) (MH) (N) (L) (M) (H) 配分 0. 00 0. 10 0. 30 0. 40 0. 50 0. 00 0. 25 0. 75 1. 00 0. 5 1. 5 0. 0 0. 5 1. 5 5 -39

CVSS Example NIST美國國家標準技術研究院-弱點特徵資料庫 http: //nvd. nist. gov/cvss. cfm? calculator 網路安全 5 -40

Microsoft - MBSA掃描 具 • 全名為Microsoft Baseline Security Analyzer – Microsoft 為系統管理員、安全性稽核人員及IT專業 人員免費提供的最新版安全性與弱點評估掃描 具 – 與 Windows Vista及Windows Server 2008 相容，並 支援 64 位元 Microsoft安全 具 資料來源：http: //technet. microsoft. com/zh-tw/security/cc 184924. aspx 網路安全 5 -44

Nessus架構 • Nessus由兩部份組成 – Server是真正執行攻擊測試的部份 – Client則是前端介面以作為收集測試結果之用 – Server與Client亦可安裝於同台主機 Command Nessus client Command Hosts 1 進行Scan Nessus server Nessus client Hosts 2 Hosts 3 Hosts 4 網路安全 5 -48

Open. VAS架構 資料來源：Open. VAS, http: //www. openvas. org/software. html 網路安全

Open. VAS: Greenbone Security Assistant 網路安全 5 -53

Open. VAS: Greenbone Security Desktop 網路安全 5 -54

Formasa. Auditor 操作介面 網路安全 5 -57

Nessus架構 Hosts 1 Nessus server Nessus client 網路安全 5 -64

實作環境介紹 • 以Testbed建立一實驗，相關拓樸及設定如下圖 Host 001 OS：WINXP-SP 2 IP： 10. 1. 2. 3 Nclient OS：WINXP-SP 2 IP： 10. 1. 1. 2 IP 1 IP 2 Nserver OS：WINXP-SP 2 IP 1： 10. 1. 1. 3 IP 2： 10. 1. 2. 2 軟體安裝：Nessus 網路安全 5 -65

弱點掃描 具 - Nessus • 版本 – Nessus 4. 4. 0 • 支援作業平台 – Microsoft Windows、Linux、Mac OS X及Free. BSD – Client Only : IOS 4. x 、 Android • 下載位址 – http: //www. tenable. com/products/nessusdownload-agreement 網路安全 5 -68

具下載安裝 - Nessus server & client Download頁面 • 選擇 – Windows XP, 2003, Vista, 2008 & 7 (32 bits)確定後選擇 – Nessus-4. 4. 1 -i 386. msi – http: //downloads. ness us. org/nessus 3 dl. php? f ile=Nessus-4. 4. 1 i 386. msi&licence_acc ept=yes&t=0 cc 6 eea 31 3 ebbbbf 350 cd 5283 af 7 3560 網路安全 5 -70

具下載安裝 - Nessus server & client 安裝 • 選擇 – I accept the terms in the license agreement • 再選擇 – Next 網路安全 5 -72

Nessus server & client - 取得授權碼 • 至http: //www. nessus. org/products/nessusplugins/obtain-an-activation-code • 選擇 • Using Nessus at Home? 網路安全 5 -76

Nessus server & client - 取得授權碼 (續) • 輸入 – First Name – Last Name – Email Address • 選擇 – Register 網路安全 5 -78

Nessus server 操作 - 啟動Nessus Server Manager，輸入授權碼下載 Plugins • Nessus server management – 點選「開始」→「所有程式」→「Tenable Network Security」→「Nessus Server Manager 」 – 啟動Nessus Server Manager之後需要進行註冊的動 作，使用者將註冊後取得之授權碼填入，同時會下 載取得Home Plugin Feeds 網路安全 5 -80

Nessus server 操作 - 啟動Nessus Server Manager，輸入授權碼下載Plugins (續) 系統下載最新的Plugin 網路安全 5 -81

Nessus client 操作 - 啟動Nessus client • 點選「開始」→「所有程式」→「Tenable Network Security」→「Nessus Client」 (https: //localhost: 8834/) • 點選Continue to this website，後輸入帳號密碼登入。 網路安全 5 -86

Nessus client 操作 - 啟動Nessus client • 進入操作介面： – – Reports Scans Policies Users 網路安全 5 -87

環境配置圖 host 001 OS：WINXP-SP 0 IP： 10. 0. 1. 2 軟體安裝：App. Serv Nserver OS：FC 6 -STD or WINXP-SP 2 IP： 10. 0. 1. 1 軟體安裝：Nessus host 002 OS：WINXP-SP 3 -CH-pc 3000 IP： 10. 0. 1. 3 App. Serv下載處： http: //www. appservnetwork. com 網路安全 5 -110

參考資料 • JP Vendor Status Notes (JVN). CVSS V 2. 0 Calculator. Retrieved Auguet 1, 2009, from the World Wide Web: http: //jvnrss. ise. chuo-u. ac. jp/jtg/cvss/en/CVSSv 2. html • Microsoft Tech. Net, http: //technet. microsoft. com • MITRE CCE, http: //cce. mitre. org/ • MITRE CVE, http: //cve. mitre. org/ • National Institute of Standards and Technology(2007). Standardizing and Automating Security Operations. Retrieved July 25, 2009, from the World http: //nvd. nist. gov/scap/docs/ISAP-Security. Solutions-2007. ppt • National Vulnerability Database, http: //nvd. nist. gov/ • Nessus, http: //www. nessus. org/ 網路安全 5 -111

參考資料 (續) • New version of Common Vulnerability Scoring System released. Retrieved June 12, 2009, from the World http: //www. first. org/cvss/index. html • NIST NVD SCAP, http: //nvd. nist. gov/scap. cfm • Tenable Security Network. (September 3, 2009). Nessus 4 Installation Guide (Version 7). Retrieved June 15, from the World Wide Web: http: //www. nessus. org/documentation/nessus_4. 0_installation_guide. pdf • Tenable Security Network. (July 24, 2009). Nessus. Client 4. 0 User Guide (Version 7). Retrieved June 15, from the World Wide Web: http: //www. nessus. org/documentation/Nessus. Client_4. 0_User_Guide. pdf • 弱點偵測軟體Nessus介紹(97年 8月22日)。中央研究院計算中心技術文 件。民 98年 6月22日，取自：http: //security. sinica. edu. tw/infosecweb/topicdetail. jsp? id=&f=7&t=545 • 蔡一郎、邱敏乘，弱點掃描與評分系統 網路安全