如果要作深層掃瞄時是否需要取得網域權限

在資安管理中，以正確的身份做出正確的行為是非常重要的。國際電訊聯盟通訊標準部門 ITU-T（The International Telecommunication Union Telecommunication Standardization Sector，）X.800 OSI安全架構中，定義了「安全攻擊」「安全機制」「安全服務」，就應用面來說，不論是一般個人主機、服務伺服器及網路三層式分散架構部屬，只要是資訊傳遞技術下的實現，大多跳脫不了權限政策管制。

一般來說在未取得權限時，就像是小偷嘗試沒鑰匙情況下嘗試以多種方式進入屋內行竊，無法進入則會在窗邊門邊進行窺探。當您有權限時則像安全保全員在屋主出門時，拿鑰匙進入屋內，確保所有房間，裝潢，廚房衛浴電器設施，與檢查所有電路，水管是否有任何引起火災，水災或耗電量..等等引發災害的危險。

透過網路型弱點評估系統下權限的取得與否，就像是官兵與強盜的遊戲，取決於您在資安評估時您想扮演怎樣的角色。以不同的資安角度實現事件偵測（Event Detection）與安全稽核追蹤（Security Audit Trail）。

在無權限狀況下：
將是以「一般安全機制」（Pervasive Security Mechanisms）模擬駭客攻擊方式與思維，在權限不足的情況下進行分散式入侵偵測（Distributed Intrusion Detection）對網路節點下，所有主機進行模擬陌生惡意滲透掃瞄入侵（intrusion）嘗試取得權限以NetBIOS、IPC＄、更改帳號密碼…等等方式嘗試得到受測主機認證（Get Authentication）並取得存取控制權（Access Control Power）與環境弱點進行弱點攻擊測試，本檢測結果適合進行定期建立偵測事件（Event Detection）與安全稽核追蹤（Security Audit Trail）。

在取得權限狀況下：
將是以「特定安全機制」（Specific Security Mechanisms）作深層掃瞄，當有權限（Has Authentication）執行掃瞄時，因為取得完整存取控制（complete Access Control）自然更容易取得更多受測端網路系統環境弱點，在管理者權限、使用者權限、系統權限下、建立偵測事件（Event Detection）與安全稽核追蹤（Security Audit Trail）。

正因攻擊手法不斷的翻新，所以建立完整的資安權限概念是非常重要的，不使用的是Microsoft / Unix like /Mac 任何作業系統與服務，只要與權限有關的弱點（Vulnerability），都將可能輕易讓有心人士潛入，進行無聲革命(Take Over Power)。

但是，您只要定時執行弱點評估(Secure Scanner），規劃→準備→進行→比較→分析→決定→修補→複檢，發現與修正相關弱點避免資訊外洩、取得受害者權限、取得使用者權限、取得系統權限、提升權限、阻斷風險、忽略安全保護、其他…，事先發現與預防，才能確保事業體的資安安全性與延續性。下圖為網路弱點評估系統檢測結果產生報表示範：

本文作者: 林政男(Jason Lin)
ISO/IEC 27001 Lead Auditor

  DragonSoft Security Associates, Inc.
  18552 MacArthur Blvd. #105, Irvine, CA 92657. USA.
  台灣總部：新竹市光復路一段 607 巷 30 號 5F   Tel: 03-563-0989 Fax: 03-579-7758
  台北業務處：中和市中山路二段 351 號 9 F   Tel: 02-8221-5408 Fax: 02-8221-5476