20、信息安全评估：法律原则与工具指南

信息安全评估：法律原则与工具指南

1. 信息安全的法律考量

信息安全领域不仅涉及技术手段，还与众多法律原则和法规密切相关。在当今数字化时代，各种信息安全威胁层出不穷，包括网络恐怖主义、数据泄露、恶意攻击等，这些都促使政府和企业制定相应的法律和政策来保障信息安全。

1.1 网络恐怖主义与信息安全威胁

网络恐怖主义对美国的威胁被认为在迅速扩大。恐怖组织对开发基本黑客工具表现出明显兴趣，FBI 预测他们可能会自行开发或雇佣黑客，以配合大规模物理攻击进行网络攻击。然而，恐怖组织对美国发动灾难性网络攻击的观点并非被普遍接受，有观点认为这种威胁在短期内可能被高估。但对于信息安全专业人员及其客户来说，鉴于对手的能力、意图和机会，以及美国政府应对网络攻击的政策，应假定存在此类攻击的可能性。

除了网络恐怖主义，还有许多已知的信息安全威胁，如勒索者、身份窃贼、企图收集和出售金融及其他有价值个人信息的团伙、恶意黑客等，这些都促使人们加强信息系统的安全防护。

1.2 相关法律和法规

众多联邦和州法律及法规与信息安全专业人员及其客户的工作相关。以下是一些重要的法律和法规：
- 数据保护相关法律 ：如《公平信用报告法》（15 U.S.C. §§ 6801 等），规定了数据处理和保护的相关要求；《健康保险流通与责任法案》（HIPAA），对电子受保护健康信息（EPHI）的安全有明确规定，除特定类别外，所有 PHI 都需要“适当的安全措施”。
- 行业合规法律 ：《萨班斯 - 奥克斯利法案》（SOX）要求公司建立内部控制和财务报告的准确性；《联邦信息安全管理法案》（FISMA）旨在提高联邦政府信息系统的安全性。
- 其他相关法律 ：包括《儿童在线隐私保护法》、国家标准与技术研究院发布的信息安全标准、总统决策指令 63 和国土安全总统指令 7 等。此外，各州的法律，如《统一商法典》和《统一金融交易法》的相关规定，也对特定经济部门和交易类型的信息安全有要求。

1.3 法律责任与授权问题

在信息安全评估和测试过程中，确保获得所有可能受影响的信息和系统（内部和外部）的完整授权至关重要。这不仅关系到顾问和客户的法律权益，还涉及到责任的明确划分。对于可能对外部系统造成的损害，应通过赔偿、合同中的责任声明、与第三方的书面协议和保险等方式来处理。

2. 信息安全评估工具

信息安全评估需要使用各种工具来检测和评估系统的安全性。以下是按基线活动分类的一些常见信息安全工具：

2.1 端口扫描工具

工具名称	开发者	平台/操作系统	商业或免费软件	URL	特点
Nmap (v.3.81)	Fyodor (Insecure.org)	UNIX、Linux、FreeBSD 等多种系统	免费软件（GPL）	www.insecure.org/nmap/	适用于多种基线活动，能提供大量信息，解决了 Windows XP SP2 的一些限制
ScanLine (v.1.01)	McAfee (formerly FoundStone)	Microsoft Windows	免费软件	www.foundstone.com/resources/proddesc/scanline.htm	替代 Fscan，可高度并行扫描，功能更强
Scanrand (part of paketto v.2.0p3)	Dan Kaminsky	Linux、FreeBSD、MinGW 等	免费软件	www.doxpara.com	编译需要 Libnet (v1.0.2) 和 libpcap
SuperScan (v.4.0)	McAfee (formerly FoundStone)	Microsoft Windows	免费软件	www.foundstone.com/resources/proddesc/superscan4.htm	提供更多功能，但速度可能不如 v3.0
MingSweeper (v.1.0alpha5, build 130)	HooBie	Microsoft Windows NT/2000/XP	免费软件	www.hoobie.net/mingsweeper/index.html	用于网络侦察，可进行多种扫描和识别

2.2 SNMP 扫描工具

工具名称	开发者	平台/操作系统	商业或免费软件	URL	特点
SolarWinds Network Management Toolset	SolarWinds.net Network Management	Microsoft Windows	商业软件	www.solarwinds.net/Toolsets.htm	功能丰富，可用于网络管理和故障排除
Snscan (v.1.05)	McAfee (formerly FoundStone)	Microsoft Windows	免费软件	www.foundstone.com/resources/proddesc/snscan.htm	基本的 SNMP 扫描工具，功能有限
GetIF (v.2.3.1)	Philippe Simonet	Microsoft Windows	免费软件	www.wtcs.org/snmp4tpc/getif.htm	方便易用的免费 SNMP 工具
Braa (v.0.8)	Mateusz “mteg” Golicz	Linux、FreeBSD、OpenBSD	免费软件	http://s-tech.elsat.net.pl/braa/	可同时处理多个查询，扫描效率高

2.3 枚举和横幅抓取工具

工具名称	开发者	平台/操作系统	商业或免费软件	URL	特点
Winfingerprint (v.0.6.2)	Vacuum	Microsoft Windows	免费软件	http://winfingerprint.sourceforge.net	可进行多种类型的扫描，TCP SYN 扫描需安装 WinPcap
NBTScan (v.1.5.1)	Alla Bezroutchko (Inetcat.org)	多种操作系统	免费软件	www.inetcat.org/software/nbtscan.html	易于使用的 NetBIOS 扫描仪
Xprobe2 (v.0.2.2)	Fyodor Yarochkin 和 Ofir Arkin	Linux 等多种系统	免费软件	http://sys-security.com/index.php?page=xprobe	采用模糊指纹匹配等技术进行远程 OS 指纹识别
hping2 (v.2.0.0 - rc3)	Salvatore Sanfilippo 等	Linux 等多种系统	免费软件	www.hping.org	支持多种协议，有 traceroute 模式
Netcat (*NIX: v1.10, Windows: v1.11)	Hobbit	多种操作系统	免费软件	www.vulnwatch.org/netcat/	功能强大，被称为“TCP/IP 的瑞士军刀”

2.4 无线枚举工具

工具名称	开发者	平台/操作系统	商业或免费软件	URL	特点
Kismet	Kismetwireless.net	Linux 等多种系统，对 Windows 支持有限	免费软件	www.kismetwireless.net/	被动无线网络检测器、协议分析器和入侵检测系统
Netstumbler	Marius Milner	Microsoft Windows 等	免费软件（非开源）	www.stumbler.net	流行的 Windows 无线网络检测器，使用主动探测
Airsnort	Snax	Linux、Microsoft Windows	免费软件	http://airsnort.shmoo.com/	用于恢复无线加密密钥，需收集一定数量的加密数据包
AiroPeek NX	WildPackets	Microsoft Windows XP (SP1)、2000 (SP3)	商业软件	www.wildpackets.com/products/airopeek/airopeek_nx/overview	专业的无线网络分析仪，提供多种诊断工具

2.5 漏洞扫描工具

工具名称	开发者	平台/操作系统	商业或免费软件	URL	特点
Nessus (v.2.2.4)	Renaud Deraison	多种系统	免费软件	www.nessus.org	流行的开源漏洞扫描器，有最新的漏洞数据库和脚本功能
NeWT (v.2.1)	Tenable	Microsoft Windows	商业软件	www.tenablesecurity.com	基于 Nessus 的 Windows 版本，功能相同
Retina (v5.2.12)	eEye	Microsoft Windows	商业软件	www.eeye.com/html/products/retina/	优秀的漏洞扫描器，有出色的漏洞数据库和灵活的报告功能
SAINT (v.5.8.4)	Saint Corporation	UNIX 等多种系统	商业软件	www.saintcorporation.com/saint/	支持多种合规标准，报告功能良好
VLAD the Scanner (v.0.9.2)	BindView	Linux 等多种系统	免费软件	www.bindview.com/Services/RAZOR/Utilities/Unix_Linux/vlad.cfm	测试 SANS 前 10 大漏洞，需要多个 Perl 模块
LANGuard Network Security Scanner (v6.0)	GFi	Microsoft Windows	商业软件	www.gfi.com/lannetscan/	主要用于 Windows 漏洞扫描，也可进行补丁管理
Typhoon III	NGS Software	Microsoft Windows NT/2000/XP	商业软件	www.nextgenss.com/typhon.htm	高速扫描器，可进行应用层检查

2.6 主机评估工具

工具名称	开发者	平台/操作系统	商业或免费软件	URL	特点
CIS Benchmark Tools/Scripts	Center for Internet Security (CIS)	多种操作系统和应用程序	非商业免费使用	www.cisecurity.org/benchmarks/	根据广泛接受的安全基准和最佳实践配置评估系统或应用程序
Microsoft Security Baseline Analyzer (v.1.2.1)	Microsoft	Microsoft Windows 2000、XP 和 2003	免费软件	www.microsoft.com/technet/security/tools/mbsahome.mspx	帮助确定评估机器的安全状态，并提供修复建议
HFNetChk / HFNetChkPro (v.5.0)	Shavlik	Microsoft Windows 2000、XP 和 2003	商业软件（有演示版）	www.shavlik.com/hf.aspx	可检查漏洞、缺失的补丁和安全更新，并提供远程缓解方法

2.7 网络设备分析工具

工具名称	开发者	平台/操作系统	商业或免费软件	URL	特点
Firewalk (v5.0)	Mike Schiffman	多种系统	免费软件	www.packetfactory.net/firewalk/	用于测试防火墙和其他 IP 转发设备，确定允许通过的第 4 层协议
RAT (Router Audit Tool)	CIS (Center for Internet Security)	Microsoft Windows、UNIX、Linux	非商业免费使用	www.cisecurity.org/rat/	下载设备配置并与基准设置进行比较，提供检查规则和修复命令

2.8 密码合规性测试工具

工具名称	开发者	平台/操作系统	商业或免费软件	URL	特点
Brutus (v.AET2)	HooBie	Microsoft Windows	免费软件	www.hoobie.net/brutus/	远程密码破解工具，仍在开发中
L0phtCrack (v.5.0)	Symantec (formerly @Stake)	Microsoft Windows	商业软件	www.atstake.com/lc/	知名的密码强度测试工具，带有预计算密码哈希表
OPHCrack (v.2.0)	Philippe Oechslin	Microsoft Windows、Linux	免费软件	http://ophcrack.sourceforge.net/	使用预计算哈希表加速密码破解过程，可通过多种方式获取密码哈希
John the Ripper (v.1.6)	Openwall Project	多种操作系统	免费软件	www.openwall.com/john/	快速密码破解器，可测试多种类型的密码哈希

2.9 应用程序特定扫描工具

工具名称	开发者	平台/操作系统	商业或免费软件	URL	特点
WebInspect	SPI Dynamics	Microsoft Windows 2000/XP/2003	商业软件	www.spidynamics.com/products/webinspect/	识别 Web 应用层漏洞，有行业最大的 Web 应用程序漏洞数据库
AppDetective	Application Security Inc.	Microsoft Windows 2000/XP/2003	商业软件	www.appsecinc.com/products/appdetective/	用于数据库应用程序的网络漏洞扫描器，可评估三个主要应用层
Wikto (v.1.6)	SensePost	Microsoft Windows	免费软件	www.sensepost.com/research/wikto/	对 Web 服务器进行全面测试，包含大量潜在危险文件和脚本检查
Achilles	Robert Cardona of Systegra	Microsoft Windows	免费软件	www.mavensecurity.com/achilles	通用的 Web 应用程序安全评估工具，可拦截、记录和修改 Web 流量
IKE - Scan (v.1.7)	NTA Monitor Limited	多种操作系统	免费软件	www.nta - monitor.com/ike - scan/	扫描 IP 地址查找 VPN 服务器，记录响应并匹配指纹
k0ld (v.1.9)	FX	需要 OpenLDAP 库	免费软件	www.phenoelit.de/kold/	对 LDAP 服务器进行字典攻击，可查询用户和尝试破解密码
SPIKE Proxy (v.1.4.8)	Immunity	Linux、Microsoft Windows	免费软件	www.immunitysec.com/resources - freesoftware.shtml	查找 Web 应用程序的应用层漏洞，基于 Python 可定制

2.10 网络协议分析工具

工具名称	开发者	平台/操作系统	商业或免费软件	URL	特点
Ethereal (v.0.10.11)	Gerald Combs 和 Ethereal 开发社区	多种操作系统	免费软件	http://ethereal.com/	流行的开源网络协议分析器，可解析 680 多种协议
Ettercap (v.NG - 0.7.3)	Alberto Ornaghi 和 Marco Valleri	多种操作系统	免费软件	http://ettercap.sourceforge.net/	用于局域网中间人攻击，支持协议解析和内容过滤
Sniffer (v.4.7.5)	Network General	Microsoft Windows NT、2000、XP	商业软件	www.networkgeneral.com	知名的商业网络协议分析器，有多种产品类型
EtherPeek NX (v.3.0.1)	WildPackets	Microsoft Windows 2000、XP	商业软件	www.wildpackets.com/products/etherpeek/etherpeek_nx/overview	实时提供专家诊断和帧解码，界面易于导航
Snoop	Sun Microsystems	SunOS、Solaris	免费软件（随操作系统提供）	N/A	用于 Solaris 系统的网络分析工具，捕获并显示数据包内容
Tcpdump (v.3.8.3)	原 Lawrence Berkeley National Lab (LBNL)，现由 Tcpdump.org 维护	多种操作系统	免费软件	www.tcpdump.org	灵活易用的网络故障排除工具，可打印数据包头部信息

3. 信息安全评估流程

信息安全评估是一个复杂的过程，需要综合考虑多个方面。以下是一个简化的信息安全评估流程 mermaid 流程图：

graph LR
    A[确定评估范围] --> B[收集信息]
    B --> C[漏洞扫描]
    C --> D[主机评估]
    D --> E[网络设备分析]
    E --> F[密码合规性测试]
    F --> G[应用程序特定扫描]
    G --> H[网络协议分析]
    H --> I[结果分析与报告]
    I --> J[制定安全策略和建议]

3.1 确定评估范围

明确需要评估的信息和系统，包括内部和外部系统，以及可能受影响的所有类型的数据。

3.2 收集信息

使用各种工具和技术收集目标系统的相关信息，如端口扫描、枚举和横幅抓取等，了解系统的基本情况和开放的服务。

3.3 漏洞扫描

利用漏洞扫描工具检测系统中存在的安全漏洞，如 Nessus、Retina 等，及时发现潜在的风险。

3.4 主机评估

对主机系统进行评估，检查其安全配置是否符合最佳实践，使用 CIS 基准工具、Microsoft 安全基线分析器等工具进行评估。

3.5 网络设备分析

分析网络设备的配置和安全性，确保其能够有效保护网络免受攻击。使用 Firewalk 和 RAT 等工具进行分析。

3.6 密码合规性测试

测试系统中的密码是否符合安全要求，使用 Brutus、L0phtCrack 等工具进行密码强度测试。

3.7 应用程序特定扫描

针对特定的应用程序进行扫描，检测其是否存在漏洞，如 Web 应用程序的 SQL 注入和跨站脚本攻击等。使用 WebInspect、AppDetective 等工具进行扫描。

3.8 网络协议分析

分析网络协议的运行情况，检查是否存在异常流量和攻击行为。使用 Ethereal、Ettercap 等工具进行分析。

3.9 结果分析与报告

对评估过程中发现的问题进行分析，确定其严重程度和影响范围，并生成详细的报告。

3.10 制定安全策略和建议

根据评估结果，制定相应的安全策略和建议，采取措施修复漏洞，提高系统的安全性。

4. 总结

信息安全评估是保障信息系统安全的重要手段，需要综合运用法律、技术和管理等多方面的措施。了解相关的法律原则和法规，选择合适的信息安全工具，遵循科学的评估流程，能够帮助企业和组织有效应对各种信息安全威胁，保护重要信息资产的安全。在实际工作中，信息安全专业人员应不断学习和更新知识，关注最新的安全技术和趋势，以适应不断变化的安全环境。

5. 信息安全评估中的注意事项

5.1 隐私与合规问题

在进行信息安全评估时，隐私问题是一个不可忽视的重要方面。例如，无线枚举工具可能会涉及到隐私问题以及潜在的“服务盗窃”风险。在使用这些工具时，必须确保遵守相关法律法规和道德准则，避免侵犯他人的隐私。

同时，不同的行业和业务可能受到不同法规的约束。如金融行业可能需要遵循《萨班斯 - 奥克斯利法案》（SOX），医疗行业则要遵守《健康保险流通与责任法案》（HIPAA）。信息安全专业人员需要了解并确保评估过程符合这些法规要求，避免因违规而带来的法律风险。

5.2 工具的适用性与局限性

每种信息安全工具都有其特定的适用场景和局限性。例如，Nmap 虽然功能强大，但在 Windows XP SP2 系统中可能会遇到一些问题，不过在 3.55 及更高版本中得到了修复。而一些工具可能只适用于特定的操作系统或平台，如 ScanLine 仅适用于 Microsoft Windows 平台。

在选择工具时，需要根据评估的具体需求和目标系统的特点来进行选择。同时，要认识到工具并不是万能的，不能仅仅依赖工具来发现所有的安全问题，还需要结合人工分析和专业知识。

5.3 授权与责任划分

在进行信息安全评估和测试之前，必须确保获得所有可能受影响的信息和系统的完整授权。这包括内部系统和外部系统，以及与第三方的合作。明确责任划分是非常重要的，对于可能对外部系统造成的损害，应通过多种方式来处理，如赔偿、合同中的责任声明、与第三方的书面协议和保险等。

以下是一个关于授权与责任划分的简单列表：
1. 与客户签订详细的合同，明确评估的范围、责任和义务。
2. 与第三方系统的所有者或管理者签订书面协议，获得使用其系统进行测试的授权。
3. 购买足够的保险，以应对可能的意外损失。
4. 在合同中明确双方对于潜在损害的责任承担方式。

6. 信息安全工具的使用技巧

6.1 端口扫描工具的使用

以 Nmap 为例，它可以提供丰富的信息。在使用时，可以根据不同的需求选择不同的扫描选项。例如，使用 -sS 选项进行 TCP SYN 扫描，这种扫描方式速度快且隐蔽性高；使用 -sU 选项进行 UDP 扫描，可检测 UDP 端口的开放情况。

以下是一个简单的 Nmap 扫描命令示例：

nmap -sS -p 1-1000 target_ip

这个命令表示对目标 IP 地址的 1 - 1000 端口进行 TCP SYN 扫描。

6.2 漏洞扫描工具的使用

Nessus 是一款流行的开源漏洞扫描器，它具有强大的漏洞检测能力。在使用 Nessus 时，首先需要更新漏洞数据库，以确保能够检测到最新的安全漏洞。然后，可以根据评估的需求选择不同的扫描策略，如全面扫描、快速扫描等。

以下是一个简单的 Nessus 使用步骤：
1. 启动 Nessus 服务。
2. 登录 Nessus 管理界面。
3. 创建一个新的扫描任务，选择扫描目标和扫描策略。
4. 启动扫描任务，等待扫描结果。
5. 分析扫描结果，查看发现的漏洞信息。

6.3 网络协议分析工具的使用

Ethereal 是一款常用的网络协议分析器，它可以帮助我们深入了解网络流量的情况。在使用 Ethereal 时，可以设置过滤规则，只捕获和分析我们感兴趣的流量。例如，使用 tcp.port == 80 过滤规则，只捕获 TCP 端口 80 的流量，即 HTTP 流量。

以下是一个简单的 Ethereal 使用步骤：
1. 启动 Ethereal 程序。
2. 选择要捕获流量的网络接口。
3. 设置过滤规则。
4. 开始捕获流量。
5. 分析捕获到的流量，查看数据包的详细信息。

7. 信息安全评估的未来趋势

7.1 人工智能与机器学习的应用

随着人工智能和机器学习技术的不断发展，它们在信息安全评估中的应用也越来越广泛。这些技术可以帮助我们更快速、准确地检测和分析安全漏洞，预测潜在的安全威胁。例如，通过机器学习算法对大量的网络流量数据进行分析，识别异常行为模式，从而及时发现网络攻击。

7.2 云计算与物联网安全评估

随着云计算和物联网的普及，信息安全评估的范围也在不断扩大。云计算环境下的安全评估需要考虑云服务提供商的安全性、数据的存储和传输安全等问题。物联网设备的安全评估则需要关注设备的漏洞、通信协议的安全性等方面。

7.3 法规与标准的不断完善

为了应对日益复杂的信息安全威胁，各国政府和国际组织将不断完善相关的法规和标准。信息安全专业人员需要密切关注这些法规和标准的变化，确保评估过程符合最新的要求。

8. 结论

信息安全评估是保障信息系统安全的关键环节。在当今数字化时代，各种信息安全威胁层出不穷，我们需要综合运用法律、技术和管理等多方面的措施来应对这些威胁。

通过了解相关的法律原则和法规，我们可以确保评估过程的合法性和合规性。选择合适的信息安全工具，并掌握其使用技巧，可以提高评估的效率和准确性。遵循科学的评估流程，能够全面、系统地发现信息系统中存在的安全问题。

同时，我们也需要关注信息安全评估的未来趋势，不断学习和更新知识，以适应不断变化的安全环境。只有这样，我们才能有效地保护企业和组织的重要信息资产，确保信息系统的稳定运行。

以下是一个简单的信息安全评估总结表格：
| 方面 | 要点 |
| — | — |
| 法律考量 | 了解相关法律和法规，确保评估过程合法合规 |
| 工具选择 | 根据评估需求和目标系统特点选择合适的工具 |
| 评估流程 | 遵循科学的评估流程，全面发现安全问题 |
| 注意事项 | 关注隐私、合规、工具适用性和授权责任等问题 |
| 未来趋势 | 关注人工智能、云计算、物联网和法规标准的发展 |