Windows Xp安全基线评估技术研究

论文摘要

2005年2月,美国国家安全局NSA和美国国家标准与技术研究所NIST联合发布了XCCDF(eXtensible Configuration Checklist Description Format,可扩展的配置检查清单描述格式)规范,用于为安全检查清单、安全基准和其它安全配置指南建立一个通用平台,该规范有利于资源的重用,具有良好的可扩展性。本文旨在设计一个符合XCCDF规范的Windows XP操作系统安全评估体系,对Windows XP操作系统的漏洞、配置状况、补丁版本进行检查,并采用问卷调查方式获取系统的管理漏洞信息,然后使用安全度量模型进行综合评估,最后生成系统安全评估结果报告。本文首先提出的研究背景、操作系统安全评估的目的及其深远意义;然后分析了国内外信息系统安全评估发展现状(包括:信息系统安全评估标准、风险分析方法及可用的评估工具以)及当前存在的问题等,并研究了XCCDF与OVAL(Open Vulnerability and Assessment Language,开放的脆弱性评估语言)规范的背景和现状;接着提出并实现了一种基于XCCDF规范的Windows XP操作系统安全评估体系,给出了评估体系的评估思想、总体框架、功能模块划分情况及总体调用流程等:然后给出了系统运行界面,对比分析了不同评估体系的性能指标,还比较了不同配置主机在该评估体系下的评估结果:最后,总结了该评估体系的优缺点以及下一步的工作。

论文目录

• 目录
• 图表目录
• 摘要
• ABSTRACT
• 第一章 序论
• 1.1 选题的背景和意义
• 1.2 研究现状和存在的问题
• 1.3 本文的主要工作
• 1.4 本文的组织
• 第二章 通用操作系统安全基线评估技术相关研究背景
• 2.1 国外信息安全风险评估标准综述
• 2.1.1 SP800-53
• 2.2 我国安全评估标准综述
• 2.2.1 我国已发布信息安全标准列表
• 2.2.2 侧重于对系统和产品的技术指标方面的标准
• 2.2.3 侧重于安全管理方面的标准
• 2.3 风险分析方法
• 2.3.1 故障树分析法（FTA）
• 2.3.2 事件树分析法（ETA）
• 2.3.3 危害及可操作性研究（HAZOP）
• 2.3.4 群决策（Group Decision）
• 2.3.5 层次分析法（AHP）
• 2.3.6 聚类分析法（Clustering Analysis）
• 2.4 相关评估工具
• 2.4.1 Asset-1
• 2.4.2 COBRA
• 2.4.3 RiskWatch
• 2.4.4 XACTA Web C&A
• 2.4.5 MBSA
• 2.4.6 工具小结
• 2.5 相关技术规范介绍
• 2.5.1 XCCDF介绍
• 2.5.2 XCCDF规范的格式
• 2.5.3 Windows XP配置的XCCDF描述文档
• 2.5.4 OVAL介绍
• 2.5.5 Windows XP配置的OVAL描述文档
• 2.5.6 XCCDF和OVAL的研究现状
• 2.6 本章小结
• 第三章 基于XCCDF的WINDOWS XP安全评估体系设计
• 3.1 评估体系的评估思想
• 3.2 安全评估体系的整体框架
• 3.3 系统运行流程图
• 第四章 基于XCCDF的WINDOWS XP安全评估体系实现
• 4.1 管理控制模块
• 4.1.1 模块内部流程图
• 4.1.2 实现类
• 4.2 XCCDF解析模块
• 4.2.1 模块内部流程图
• 4.2.2 接口数据结构
• 4.2.3 实现类
• 4.3 OVAL解析模块
• 4.3.1 模块内部流程图
• 4.3.2 实现类
• 4.4 调查问卷模块
• 4.4.1 调查问卷格式
• 4.4.2 接口数据结构
• 4.4.3 实现类
• 4.5 项目检查模块
• 4.5.1 实现类
• 4.6 安全度量模块
• 4.6.1 打分思路
• 4.6.2 内部流程图及实现函数
• 4.6.3 配置权重文件
• 4.6.4 配置权重文件的生成过程
• 4.7 本章小结
• 第五章 评估性能对比与评估实例
• 5.1 系统界面
• 5.2 系统评估性能对比
• 5.3 评估实例
• 5.4 本章小结
• 第六章 总结与展望
• 参考文献
• 致谢