Web服务安全风险评估研究.pdf
《Web服务安全风险评估研究.pdf》由会员分享,可在线阅读,更多相关《Web服务安全风险评估研究.pdf(72页珍藏版)》请在得力文库 - 分享文档赚钱的网站上搜索。
1、太原理工大学硕士学位论文Web服务安全风险评估研究姓名:庞建京申请学位级别:硕士专业:计算机软件与理论指导教师:彭新光20090501太原理工大学硕士学位论文-I-Web服务安全风险评估研究 摘 要 Web服务是近年提出的一种新的面向Web的分布应用开发与集成框架,它基于面向服务的体系结构,采用Internet通信协议和XML编码传输消息,具有系统平台无关、开发语言无关、松散耦合以及可伸缩等优点,具有极大的发展与应用潜力。尽管Web服务有许多优点,但安全性比较差是其主要缺点,安全性问题已经逐渐引起人们的重视。然而单靠技术不可能从根本上解决Web服务的安全问题,Web服务安全更应从系统工程的角度
2、来看待。而在系统工程中,风险评估占有重要地位,它是Web服务安全的基础和前提,因此,对Web服务进行安全风险评估是十分必要的。本文分析了web服务的安全技术和web服务安全规范,在详细研究信息安全风险评估相关理论和技术的基础上,对Web服务安全风险评估进行了有益的探索,设计并实现了一个可信的Web服务安全风险评估系统。该评估系统主要从资产评估、脆弱性评估、威胁性评估三个模块展开,用户通过进行资产识别完成资产评估模块;通过完成问卷调查来实现威胁性评估模块;脆弱性评估模块则通过用户在Nessus Client设置扫描规则,由系统调用Nessus Server对目标主机进行扫描,然后将扫描结果进行分
3、析后放入数据库。最后评估系统根据各个模块评估结果算出最后的风险值,并给出建议和改进措施。最后本文介绍了实验的环境、过程和结果分析。实验结果表明,Web服务安全风险评估系统给出了目标系统的风险等级,实现了预期的设计目标。应用该工具进行风险评估较好地满足了风险评估工具发展的新要求,为用户下一步的Web服务安全风险管理工作提供了科学的有力支持。关键词:Web服务,Web服务安全,风险评估,Nessus 太原理工大学硕士学位论文-III-WEB SERVICES SECURITY RISK ASSESSMENT ABSTRACT Web service raised in recent years i
4、s a new integrated frame for the distribution,application and exploitation of the web.Orienting to its service system,web service adopts the Internet communication protocols and XML code transmission message,with the advantages of system platform independent,exploitation langrage independent,loosed
5、coupling and extensibility,etc.It has a great potential for development and application in future.Although there are many advantages in web service,its low security still came to be the main disadvantage,which has aroused peoples attention day and day.However,by technology alone,the security problem
6、 can not be solved from the root;much more,it should be treated as a problem of system project,in which risk assessment is of high importance.As the foundation and premise of web service security,it is essential to perform security risk assessment on web service.In this paper,a useful research on th
7、e security risk assessment of web service was done and a reliable web service security assessment system was realized,basing on a careful study of related theory and technology and a precise analysis of the security technology and criterion of web service.This assessment system has three modules,nam
8、ely,the asset evaluation module,the vulnerability evaluation module and the threaten evaluation module.Asset evaluation is done by user through asset recognition;threaten evaluation is achieved by questionnaire;vulnerability evaluation is performed in such a way that firstly,the user sets scanning f
9、ormula in the Nessus Client;secondly the system calls the Nessus Server to scan the target main frame and to analysis the scanning result before putting it into the database;finally,the evaluation system will work out the final risk value based on the evaluation value of each module,太原理工大学硕士学位论文-IV-
10、and give the user improvement advices.Finally the environment,process and result analysis of this experiment is introduced in this paper.The result indicates that this security risk evaluation system has provided the risk grades of the target system and has achieved the expected goal.Using this tool
11、 in risk evaluation can preferably meet the requirement for the development of risk evaluation tools,and will provide the user with a scientific and strong support to his next work of web service security risk administration.With the maturity of Web services technology and the proliferation of the e
12、ntire network,Web services security issues have drawn increasing attention.The technology can not fundamentally solve the problem of the security of Web services alone.Web services security should be treated from the perspective of project,and risk assessment occupies an important position in this p
13、roject,which is the foundation and precondition of Web services security.Therefore,Web services security risk assessment study is very necessary.KEY WORDS:web services,web services security,risk assessment,Nessus 太原理工大学硕士学位论文-1-第一章 引言 1.1 课题背景 1.1.1 Web服务安全现状 目前,Web服务安全采用的是已有的Internet 和WWW的一些安全策略,例如
14、数字签名(digital signature)、XML加密(encryption)技术和标准、访问控制(access control)技术等,然而这些都是静态的措施,并且其本身和Web服务之间就存在技术上的鸿沟。因此,Web服务的安全问题没有得到根本的解决。Web服务是动态变化的,并且不同应用背景的服务所需要的安全措施可能完全不同。现有的一些安全技术只在一定程度上解决了特定系统的安全问题,在Web服务的集成中并不能发挥令人满意的作用 1。目前Web服务中采用的安全技术主要有以下几种:(1)在客户端建立用户信任机制,执行服务时将相应的认证信息导入服务器;(2)在SOAP消息头中加入针对特定应用的
15、安全标识(token),则可从中提取认证、信任消息;(3)在某个特定的应用领域内,对服务提供者的内部敏感数据进行加密,当其收到服务请求后直接在加了密的数据上进行相应的计算和处理,计算结果解密后返回给服务请求者;(4)从服务请求者的角度看,请求者需要提交必要的输入数据。考虑到客户信息的安全性,客户将需要提交的服务请求信息进行分块,每次仅提交一个输入数据块,返回的结果对应于该请求,经过多次服务请求,在结果返回之后,由服务请求者进行各次服务执行结果的集成,从一定程度上保证了客户信息的安全。综上,Web服务安全架构的策略对Web服务系统的设计有较高的要求,并且,Web服务的执行面临着Web服务基本模块
16、与安全模块间的通信、安全模块中的服务信息随Web服务的一致更新等问题,适用于较大规模的Web服务应用,具有高可靠性,但通用性较差;服务加密的方法则侧重对服务本身的管理,可以利用或改进现有的数据加密算法,这种方法可应用到各种Web服务系统中,具有较好的适用性和较低的复杂度,但其可靠性较差1。1.1.2 国内外研究现状 针对Web服务的安全需求,国内外一些标准化组织公司和社会团体都在进行各自的太原理工大学硕士学位论文-2-研究。W3C(The World Wide Web Consortium)已经制定了一系列的安全规范和标准用于确保信息传递的安全性。其中最重要的有XML加密规范和XML签名规范,
17、前者定义了一种方法用来加密和解密XML文档的全部内容或者部分内容,后者实现了对文档特定部分的摘要和数字签名。另外W3C的另一个工作组还制定了一个密钥管理规范,用于让用户获取加密密钥信息(例如机密密钥证书等)并允许用户进行密钥管理,例如密钥的注册撤销等等。另一个致力于研究和制定安全规范的团体是结构化信息标准化促进组织OASIS(Organization for the Advancement of Structured Information Standards)。该组织制定SAML语言(Secutity Assertion Markup Language),为交换身份信息提供了一个框架。另一个
18、著名的标准是XACML(OASIS Access Control MarkupLanguage),为执行特定操作制定了一个权限集合。WS-I(Web Service Interaction Interoperability Organization),是由微软IBM、VeriSign等Web服务投资公司创立,该组织于2002年4月推出了一个Web服务安全白皮书WS-Security。WS-Security描述了为解决Web服务环境中的安全性问题而提议的策略规范,提供了消息完整性和机密性功能。该架构定义了添加到Web服务中所必需的基本元素,并且提供了把安全性令牌关联到SOAP消息的方法。WS-S
19、ecurity为正在提议过程中的Web服务安全性模型打下了基础。随着时间的推移,除安全性以外,这个组织还将引入其它规范来解决安全性策略信任隐私权和授权。IBM Microsoft和VeriSign已经提议把WS-Security作为一种解决Web服务安全性缺陷的方法。国内对Web服务的安全性研究还处于研究和学习阶段,研究的成果主要是在安全标准的应用方面3。1.1.3 风险评估现状 风险评估(Risk Assessment)是指针对确立的风险管理对象所面临的风险进行识别、分析和评价,即根据风险管理对象的实际环境对它的脆弱性、威胁性进行识别,从而确认其安全风险及其大小2。风险评估最早应用于处于相对
20、独立且严密控制环境下的大型计算机和数据中心。随着个人计算机逐步替代终端系统,以及国际互联网的发展和普及,计算机安全问题日益增加。传统的硬件解决之道,如安装防火墙或自动审计日志对高级管理者来说存在判断困难的问题,并且某些配置并不能有效防止信息泄漏和安全事故的发生。科学、合理的太原理工大学硕士学位论文-3-风险评估为信息安全提供了一种比较根本、有效的解决途径。风险评估是一项费时、费力的工作,需要专业人员和专业知识的支持。为使风险评估能在各行各业中广泛开展,风险评估工具成为不可或缺的技术支持手段。风险评估工具不仅把技术人员从繁杂的资产统计、风险评估过程中解脱出来,还可以完成一些人力无法完成的工作,如
21、网络或主机中漏洞的搜寻、定位,在历史数据积累和专家知识提炼等方面具有巨大优势,可以极大减轻技术人员的负担,为各种形式的风险评估提供了有力支持。目前,许多组织根据安全管理指南和标准开发了风险评估工具,为风险评估工作的开展提供了便利条件,但风险评估工具的完善还需要很长一段时间。综观目前各风险评估工具的状况,还存在不少问题,如工具运用的结果如何能够比较准确地反映客观实质、如何有效度量、如何综合和协调工具的使用等。我国在风险评估工具的开发方面尚处于萌芽阶段,必须大力加强风险评估基础理论的研究力度,积极开发具有自主知识产权的风险评估工具5。1.1.4 风险评估发展趋势 纵观风险评估的发展历程,我们认为,
22、未来在风险评估方面需着重在以下方面展开工作:(1)风险评估制度与体系的建立与完善。通过以上对国内外风险评估分析可以看到,在宏观上,风险评估需要一定的依据与规范模式。(2)风险评估方法与技术手段的研究。风险评估的实施离不开具体的评估方法与技术手段的支持,正确、合理的方法和技术手段的设计与选择是风险评估准确性与合理性的基础保证。同时,评估过程离不开一定的技术和手段,为了准确、迅速地开展信息安全评估工作,需要开发高效、实用的评估工具。(3)风险评估与风险管理的针对性研究。风险评估的目的是为了进行风险的管理和控制,因此,对于评估结果进行管理决策是安全保障的重要内容。根据风险评估结果并采用折中原则建立安
23、全管理体系是风险评估研究工作的最终目的。太原理工大学硕士学位论文-4-1.2 课题的提出 本课题的研究目的就是用风险评估这个新兴的方法学、基础理论和技术来促进互联网上最主要的应用之一Web服务的安全问题的解决,它有着重要理论意义和实践意义。(1)对Web服务进行安全风险评估是风险评估的应用和扩展。风险评估的理论与方法在其他领域已逐渐发展成一套比较完整的手段和工具,但在信息安全领域,由于其特殊性,仍存在许多困扰管理者和研究人员的问题。我国信息系统的风险评估还处于起步阶段,因此需要从不同的方面和角度来完善风险评估。此课题的研究,可以从Web服务角度来进一步探索和完善风险评估的理论和工作。(2)对W
24、eb服务进行安全风险评估可以科学、高效地解决Web服务不断涌现的安全问题。目前Web服务安全中有很多问题是传统的网络安全技术和安全产品无法解决的,通过对Web服务进行安全风险评估,可以了解Web服务目前与未来的风险所在,从而寻求到一个最佳平衡点,增强Web服务安全可信度。此课题的研究,运用风险评估的方法可以更好地解决Web服务安全问题。1.3 研究内容 风险评估现已被越来越多的人接受,认为这是一种实现和保证安全的有效且有价值的管理办法。从目前趋势来看,安全风险评估及其分析工具的开发研究将越来越多地从定性向定量转变。本文针对Web服务研究Web服务安全风险评估系统,主要研究工作如下:(1)研究建
25、立内容丰富的风险评估信息库,包括资产及资产影响库、脆弱点库,威胁性调查问卷库,涵盖多类风险要素属性。(2)研究Web服务安全风险评估总体方案,提出针对Web服务安全风险评估特点的风险评估流程和风险评估算法。(3)研究Web服务安全技术和Web服务安全规范,形成科学合理的调查问卷,通过问卷调查法对Web服务风险要素属性进行赋值,实现定性与定量两种方法的统一。(4)研究漏洞扫描工具Nessus,并对扫描结果进行进一步的分析和模糊处理,客观反映系统的安全状态。(5)根据研究方案编程,设计实现Web服务安全风险评估系统,并实验测试Web服务安全风险评估系统的可行性。太原理工大学硕士学位论文-5-1.4
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- Web 服务 安全 风险 评估 研究
限制150内