采取四阶段方法进行网络风险评估

设备评测

使用发现阶段收集到的信息，你就可以分析可访问网络服务列表、互联网协议（IP）栈指纹和已知网络架构来确定网络基础设施中每台设备扮演的角色和信任关系。

扫描

对发现和设备评测阶段确定的每项网络服务进行测试，以检测脆弱性。脆弱性可以分成一类或几类，包括：

• 系统漏洞
• 未授权数据访问
• 信息泄露
• 命令执行
• 拒绝服务（DoS）

在一些情况下，可以使用下面的软件检测和利用与一项特定网络服务有关的安全风险。

• Nessus（http://nessus.org/）：它是一个一体化的弱点扫描工具包，其中包括一系列操作系统和网络服务的许多最新测试。
• Onesixtyone（http://www.phreedom.org/solar/onesixtyone/）：这是一个SNMP服务扫描器和基于单词列表的社区字符串测试实用程序。
• Nikto（http://www.cirt.net/nikto/）：这是一个Web服务器漏洞扫描工具。

确认

完成网络风险评估前三个阶段的工作后，最后就要努力利用或确认漏洞扫描阶段得到的所有结果。这个评估阶段应用的测试和技巧往往专门针对所探测到的漏洞。最后这个阶段，你将得到大量的结果。

总结

互联网是一个不受法律约束的地方：评估网络的潜在风险是向组织用户和客户提供网络服务责任的一部分。如果你在网络上找不到问题，就能保证其他人没有可以利用的漏洞。

责任编辑：德东

查看本文国际来源