如果要作深层扫瞄时是否需要取得网域权限

在资安管理中，以正确的身份做出正确的行为是非常重要的。国际电讯联盟通讯标准部门 ITU-T（The International Telecommunication Union Telecommunication Standardization Sector，）X.800 OSI安全架构中，定义了「安全攻击」「安全机制」「安全服务」，就应用面来说，不论是一般个人主机、服务伺服器及网路三层式分散架构部属，只要是资讯传递技术下的实现，大多跳脱不了权限政策管制。

一般来说在未取得权限时，就像是小偷尝试没钥匙情况下尝试以多种方式进入屋内行窃，无法进入则会在窗边门边进行窥探。当您有权限时则像安全保全员在屋主出门时，拿钥匙进入屋内，确保所有房间，装潢，厨房卫浴电器设施，与检查所有电路，水管是否有任何引起火灾，水灾或耗电量..等等引发灾害的危险。

透过网路型弱点评估系统下权限的取得与否，就像是官兵与强盗的游戏，取决於您在资安评估时您想扮演怎样的角色。以不同的资安角度实现事件侦测（Event Detection）与安全稽核追踪（Security Audit Trail）。

在无权限状况下∶
将是以「一般安全机制」（Pervasive Security Mechanisms）模拟骇客攻击方式与思维，在权限不足的情况下进行分散式入侵侦测（Distributed Intrusion Detection）对网路节点下，所有主机进行模拟陌生恶意渗透扫瞄入侵（intrusion）尝试取得权限以NetBIOS、IPC＄、更改帐号密码┅等等方式尝试得到受测主机认证（Get Authentication）并取得存取控制权（Access Control Power）与环境弱点进行弱点攻击测试，本检测结果适合进行定期建立侦测事件（Event Detection）与安全稽核追踪（Security Audit Trail）。

在取得权限状况下∶
将是以「特定安全机制」（Specific Security Mechanisms）作深层扫瞄，当有权限（Has Authentication）执行扫瞄时，因为取得完整存取控制（complete Access Control）自然更容易取得更多受测端网路系统环境弱点，在管理者权限、使用者权限、系统权限下、建立侦测事件（Event Detection）与安全稽核追踪（Security Audit Trail）。

正因攻击手法不断的翻新，所以建立完整的资安权限概念是非常重要的，不使用的是Microsoft / Unix like /Mac 任何作业系统与服务，只要与权限有关的弱点（Vulnerability），都将可能轻易让有心人士潜入，进行无声革命(Take Over Power)。

但是，您只要定时执行弱点评估(Secure Scanner），规划→准备→进行→比较→分析→决定→修补→复检，发现与修正相关弱点避免资讯外　、取得受害者权限、取得使用者权限、取得系统权限、提升权限、阻断风险、忽略安全保护、其他┅，事先发现与预防，才能确保事业体的资安安全性与延续性。下图为网路弱点评估系统检测结果产生报表示范∶

本文作者: 林政男(Jason Lin)
ISO/IEC 27001 Lead Auditor