等级保护测评应用安全.docx
- 文档编号:10682808
- 上传时间:2023-02-22
- 格式:DOCX
- 页数:26
- 大小:21.12KB
等级保护测评应用安全.docx
《等级保护测评应用安全.docx》由会员分享,可在线阅读,更多相关《等级保护测评应用安全.docx(26页珍藏版)》请在冰豆网上搜索。
等级保护测评应用安全
应用系统安全测评指导书
1.应用系统安全测评
序号
测评指标
测评项
检测方法
预期结果
备注说明
1
身份鉴别
身份标识唯一性
访谈:
功能是否满足、检查设计文档、口令安全要求、功能验证、系统扫描
用户名不存在共用
身份标识和鉴别
访谈:
专门的登陆控制模块进行身份鉴别手工检查:
1.查看登陆控制模块
2.验证登陆控制模块功能是否正确。
1.认证方式应该为混合认证方式
2.本身操作系统用户也必须输入密码才能登陆。
身份鉴别信息不易被冒用
访谈:
1.是否有专门的模块或选项,是否有相关参数需要配置
2.功能验证。
口令的长度、复杂度、更
新周期等做了相关要求
组合身份鉴别技术
访谈
1.功能是否满足,实际验证。
采用了其他身份鉴别方式,并能现场演示。
登录失败处理功能
访谈:
1.登录失败处理的功能(如结束会话、限制非法登陆次数,当连接超时,自动退出等),查看是否启用配置。
2.应根据应用系统使用的登录失败处理方式,采用如下测试方法之一或全部进行测试:
a.以错误的用户名或密码登录系统查看系统的反应
b.以超过系统规定的非法登录次数登陆系统查看系统的反应
c.当登陆系统连接超时查看系统的反应。
数据库采用了失败鉴别和超时设置。
序号
测评指标
测评项
检测方法
预期结果
备注说明
2
访问控制
功能开启
访谈:
1.是否有访问控制功能,访问控制策略是什么,访问控制的粒度是否达到文件、数据库表;
2.验证;
3.依据和不依据安全策略分别对客体进行访问,测试是否成功。
启用访问控制功能
覆盖范围:
主体、客体、操作
访谈:
控制策略是否满足
不同角色的权限定义清
晰
授权的主体
访谈:
1.是否有访问控制策略配置功能,以该授权主体身份登录系统,进行验证
2.以不具有修改访问控制策略权限的用户登录系统,试图修改访问控制策略,查看是否成功
3.系统是否有默认用户,是否限制了默认用户的访问权限
4.测试应用系统是对默认账户合法/非法操作进行限制。
不同角色的权限定义清
晰
特权用户权限分离
访谈:
1.功能是否满足,系统是否有配置,并测试。
特权用户对应于不同的管理员。
最小授权原则,且相互制约
访谈:
1.最小授权、相互制约
2.用户职责分配的权限是否与其职责相符
3.不同账户的权限是否分离并形成制约关系
4.测试越权访问,能否成功。
每个登陆用户的权限未超出该管理员的职责范围。
限制默认用户访问权限
访谈:
1.功能是否满足,系统是否有配置,并测试。
默认用户无访问权限
重要主体设置敏感标记
访谈:
1.功能是否满足并验证。
设置敏感标记
序号
测评指标
测评项
检测方法
预期结果
备注说明
控制对有敏感标记的资源操作
访谈:
1.系统管理员是否依据安全策略对目标系统进行了正确的配置2.进行验证。
符合权限分配要求
3
安全审计
覆盖范围:
每一个用户
访谈:
1.询问安全审计员,审记策略是什么;
2.检查应用系统的审记策略,查看审记策略是否覆盖到每个用户,是否对系统异常等事件进行审计
3.确认审计功能是否全面、详细。
1.审计功能已开启,且每个注册的“审核级别”为“全部”;2.审计功能的日志记录功能正常;3.如有第三方措施增强审计功能,进行记录。
审计记录:
重要用户行为、系统资源的异常使用和重要系统命令的使用
访谈:
1.功能是否满足,系统是否有配置,并测试。
安全事件记录:
日期和时间、类型、主体标识、客体标识、事件的结果等
访谈
1.以审计员身份登录系统,检查审计记录内容是否包括事件发生的日期、时间、发起者信息、事件类型、事件相关描述信息、事件的结果等内容。
具有审计记录
审计报表
访谈:
1.检查应用系统是否提供专门的审计工具
2.应用系统审计报表功能
具有审计报表
特定事件,实时报警
访谈:
1.功能是否满足,系统是否有配置,并测试。
具有报警功能
审计记录保护
访谈:
1.询问应用系统审计方式,测试审计功能健壮性
2.验证审计功能
3.审计记录恢复功能。
4
剩余信息保护
彻底清除用户鉴别信息
访谈:
措施是否具备
彻底清除系统敏感信息
访谈:
1.措施是否具备,并测试
序号
测评指标
测评项
检测方法
预期结果
备注说明
5
通信完整性
采用校验码技术
访谈
1.可通过Hash函数(如MD5、SHA和MAC)对完整性进行校验,但不能使用CRC。
2.功能是否满足,查看设计文档,设计测试用例并测试。
具有完整性校验
6
通信保密性
自动结束会话
访谈
1.询问系统管理员,了解通信保密性方面采取的措施。
2.可通过抓包工具(如Snifferpro)获取通信双方的内容,查看系统是否对通信双方的内容进行了加密。
设置通信保密性
会话初始化验证
整个报文、会话过程加密
密码算法合规
访谈
1.功能是否满足,查看设计文档。
符合规定
7
抗抵赖
数据原发证据
访谈
采取抗抵赖措施
数据接收证据
1.询问系统管理员,了解抗抵赖方面采取的措施,如数字签名;
2.可通过查看文档或源代码等方法来验证措施是否落实。
8
软件容错
对数据进行有效性检验
访谈
1.功能是否满足,并测试
测试功能符合要求
“回退”功能
访谈
1.功能是否满足,查看设计文档。
状态监测能力
访谈
1.功能是否满足,查看设计文档和记录
自动保护能力
访谈功能是否满足
9
资源控制
单个用户多重并发会话
访谈
1.功能是否满足,系统是否有配置,并测试。
测试功能符合要求
最大并发会话连接数
访谈
1.功能是否满足,系统是否有配置,并测试。
一个时间段内可能的并发会话
连接数
访谈
1.功能是否满足,系统是否有配置,并测试。
序号
测评指标
测评项
检测方法
预期结果
备注说明
操作超时锁定和鉴别失败锁定,
解锁或终止方式
访谈
1.功能是否满足,系统是否有配置,并测试。
同一用户账号同一时间内并发
登录
访谈
1.功能是否满足,系统是否有配置,并测试。
资源限额
访谈
1.功能是否满足,系统是否有配置,并测试。
多种方式限制终端登录
访谈
1.功能是否满足,系统是否有配置,并测试。
10
数据完整性
传输过程完整性检测并恢复
访谈
1.功能是否满足,系统是否有配置,并测试。
测试功能符合要求
存储过程完整性检测并恢复
访谈
1.功能是否满足,系统是否有配置,并测试。
11
数据保密性
数据传输加密
访谈
1.功能是否满足,系统是否有配置,设计文档如何说明,并测试。
测试功能符合要求
数据存储加密
访谈
1.功能是否满足,系统是否有配置,并测试。
12
备份恢复
本地数据备份、恢复
访谈
1.完全数据备份至少每天一次,备份介质场外存放;2.是否有策略,是否满足要求;3.查看文档和配置。
备份任务完成情况符合
备份策略
异地数据备份
访谈
1.是否有策略,是否满足要求;
2.查看文档和配置。
2.IIS应用安全测评
序号
测评指标
测评项
检测方法
预期结果
备注说明
1
身份鉴别
身份标识和鉴别
手工检查:
IIS本身提供了身份验证机制,在站点属性-目录安全性(分为匿名访问和验证,验证分为基本验证和与系统集成验证方法)。
根据客户需求,若无匿名访问情况则取消匿名访问。
根据站点验证的需求,选用了合适的验证方式;匿名访问应使用较低权限的windows账号。
2
访问控制
覆盖范围:
主体、客体、操作
手工检查:
应保证只有系统管理员可以对网站文件进行读写操作,查看网站目录的权限。
网站目录的访问权限,应被严格设定。
粒度:
主体为用户级客体为文件、数据库表级
手工检查:
查看文件系统是否使用NTFS,以便进行更细致的安全控制。
网站的主机应启用NTFS文件系统。
最小授权原则,且相互
制约
手工检查:
IIS应该以非管理员的账号运行,并授予该账号最小权限。
IIS应以非管理员正好运行。
3
安全审计
覆盖范围:
每一个用户
手工检查:
检查“网站”-“启用日志记录”确认日志功能打开。
日志功能应开启。
安全事件记录:
日期和时间、类型、主体标识、客体标识、事件的结果等
手工检查:
1.查看网站日志文件的内容,确认是否包含措施要求的内容。
2.“网站”-“启用日志记录”-“属性”-“高级”查看日志记录的字段。
日志记录包含测评要求的字段。
审计报表
访谈:
询问系统管理员,IIS的日志是否定期进行专门的分析和审计,如果有,查看报表的内容。
管理员定期查看IIS的日志,并有检查报告。
特定事件,实时报警
访谈:
访谈系统管理员,目前是否对特定事件指定实时报警方式,如声音、EMAIL、短信等,并查看对应措施。
应具有实时监控和报警手段,且可以演示。
序号
测评指标
测评项
检测方法
预期结果
备注说明
审计记录保护
访谈:
询问系统管理员,IIS的日志是否定期进行备份,以防止日志被覆盖、修改或删除等。
IIS的日志应定期备份,以备以后的日志查询。
4
通信保密性
整个报文、会话过程加
密
手工检查:
对于有保密要求的系统,在浏览器地址栏输入https:
//服务器ip来确认是否启用了ssl加密功能。
根据需要,决定是否开启ssl功能。
密码算法合规
访谈:
询问系统管理员目前IIS使用的是哪种加密强度的算法,应抛弃使用SSLv2和加密强度较低的算法。
应使用高强度的加密算法。
5
软件容错
状态监测能力
访谈:
访谈系统管理员,是否对系统错误页面进行了自定义;手工检查:
“自定义错误”,确认是否有自定义错误页面的配置。
如果有必要,应对该错误页面进行自定义。
6
资源控制
最大并发会话连接数
手工检查:
检查“性能”-“带宽限制”和“网络连接”,确认是否对带宽和连接数进行了控制。
应对带宽和连接数进行一定限制,以保证网站性能。
一个时间段内可能的并
发会话连接数
访谈:
询问系统管理员,是否采用防火墙等设备对一个时间段内可能的并发会话数进行限制。
应采用网络设备进行该限制。
多种方式限制终端登录
访谈:
访谈系统化管理员,是否有必要对访问的IP地址进行限制;手工检查:
“目录安全性”-“IP地址和域名限制”,查看对客户端的IP地址是否进行限制。
可采用IP、域名等方式对终端访问进行一定的限制。
7
备份恢复
本地数据备份、恢复
访谈:
询问系统管理员,配置文件和网站文件是否有备份策略查看备份文件。
应对配置文件和网站文件进行定期备份,并检查备份文件的有效性。
3.Apache应用安全测评
序号
测评指标
测评项
检测方法
预期结果
备注说明
1
身份鉴别
身份标识和鉴别
手工检查:
执行命令#cat/etc/passwd,运行apache的账户应该禁止登录。
apache的运行账户禁止登陆。
2
访问控制
覆盖范围:
主体、客体、操作
手工检查:
应保证只有系统管理员可以对网站文件进行读写操作,执行命令#ls-l对
apache安装目录和网站目录的权限进行检查。
apache的安装目录权限设置严格。
授权的主体
手工检查:
使用命令ls-l/usr/local/apache/bin来检查httpd和apachectl文件的权限,建议权限为700,即只允许root用户访问。
apache的重要文件只允许root访问。
最小授权原则,且相互制约
手工检查:
查看apache的运行是否使用单独的系统账号,不能和系统管理账号如root等共用。
没有使用root运行apache,账号没有混用。
3
安全审计
覆盖范围:
每一个用户
访谈:
访谈系统管理员,是否打开了日志记录功能,并进行查看。
日志功能打开。
审计记录:
重要用户行为、系统资源的异常使用和重要系统命令的使用
手工检查:
1.使用命令查看apache的主配置文件
#cat/usr/local/apache/conf/httpd.conf
查看CustomLog、LogFormat、ErrorLog行的配置,确认是否包含了措施要求的内容。
apache的日志配置要求。
安全事件记录:
日期和时间、类型、主体标识、客体标识、事件的结果等
手工检查:
1.使用命令查看apache的日志文件
#cat/usr/local/apache/logs/access_log和#cat/usr/local/apache/logs/error_log,确认日志文件是否包含了措施要求的内容
apache的日志记录要求。
审计报表
访谈:
询问系统管理员,apache的日志是否定期进行专门的分析和审计,如果有,查看报表的内容。
日志定期生成报表,并查看。
特定事件,实时报警
访谈:
访谈系统管理员,目前是否对特定事件指定实时报警方式(如声音、EMAIL、短信等),并查看对应措施。
提供实时报警手段。
序号
测评指标
测评项
检测方法
预期结果
备注说明
审计记录保护
访谈:
询问系统管理员,apache的日志是否定期进行备份,以防止记录被覆盖、修改或删除等。
日志得到合理的保护。
4
剩余信息保护
彻底清除用户鉴别信息
访谈:
是否具备该措施
用户鉴别信息被彻底清除。
彻底清除系统敏感信息
访谈:
是否具备该措施
系统敏感信息被彻底清除。
5
通信保密性
整个报文、会话过程加密
手工检查:
对于有保密要求的系统,在浏览器地址栏输入https:
//服务器ip,来确认
是否启用了ssl加密功能。
启用web的加密功能。
密码算法合规
访谈:
询问系统管理员目前apache使用的是哪种加密强度的算法,应抛弃使用SSLv2和加密强度较低的算法。
使用符合加密强度要求的算法。
6
软件容错
状态监测能力
访谈:
访谈系统管理员是否对系统错误页面进行了自定义;手工检查:
执行命令#grepErrorDocument/usr/local/apache/httpd.conf,确认是否有自定义错误页面的配置。
存在自定义错误页面配置。
7
资源控制
最大并发会话连接数
手工检查:
查看/usr/local/apache/conf/httpd.conf文件中MaxKeepAliveRequests、MaxClients的配置,查看是否进行了访问限制。
实现最大并发会话数限制。
一个时间段内可能的并发会话
连接数
访谈:
询问系统管理员,是否采用防火墙等设备对一个时间段内可能的并发会话数进行限制。
存在配置。
操作超时锁定和鉴别失败锁
定,解锁或终止方式
手工检查:
查看/usr/local/apache/conf/httpd.conf文件中KeepAliveTimeout的配置,查看是否进行了访问超时限制。
进行访问超时设置。
序号
测评指标
测评项
检测方法
预期结果
备注说明
资源限额
手工检查:
查看/usr/local/apache/conf/httpd.conf文件中MaxRequestsPerChild的配置,查看是否进行了访问限制。
存在对apache使用系统资源的限制。
多种方式限制终端登录
访谈:
询问系统管理员,是否对网站资源按照用户身份、IP地址、时间段等进
行了相关限制,如果有,查看相关措施;
手工检查:
查看/usr/local/apache/conf/httpd.conf文件中
禁止通过web客户端对敏感信息进行访问。
8
备份恢复
本地数据备份、恢复
访谈:
询问系统管理员,配置文件和网站文件是否有备份策略,查看备份文件。
存在备份、恢复策略。
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 等级 保护 测评 应用 安全
![提示](https://static.bdocx.com/images/bang_tan.gif)