系統(tǒng)的安全性測試

系統(tǒng)的安全性測試1、安全性測試安全性測試（Securitytest）它是指：在測試軟件系統(tǒng)中對程序的危險防止和危險處理進行的測試，以驗證其是否有效。2、安全性測試我們要做哪些工作呢？a.全面檢驗軟件在軟件需求規(guī)格說明中規(guī)定的防止危險狀態(tài)措施的有效性和在每一個危險狀態(tài)下的處理反應情況；b.對軟件設計中用于提高安全性的邏輯結構、處理方案，進行針對性測試；c.在異常條件下測試軟件，以表明不會因可能的單個或多個輸入錯誤而導致不安全狀態(tài)d.用錯誤的安全性關鍵操作進行測試，以驗證系統(tǒng)對這些操作錯誤的反應；e.對安全性關鍵的軟件單元功能模塊要單獨進行加強的測試以確認其滿足安全性需求。3、安全性測試方法1）功能驗證功能驗證是采用軟件測試當中的黑盒測試方法，對涉及安全的軟件功能，如：用戶管理模塊，權限管理，加密系統(tǒng)，認證系統(tǒng)等進行測試，主要驗證上述功能是否有效。2）毛病掃描安全漏洞掃描主要是借助于特定的漏洞掃描器完成的。通過使用漏洞掃描器，系統(tǒng)管理員能夠發(fā)現系統(tǒng)存在的安全漏洞，從而在系統(tǒng)安全中及時修補漏洞的措施。一般漏洞掃描分為兩種類型：主機漏洞掃描器是指在系統(tǒng)本地運行檢測系統(tǒng)漏洞的程序。網絡漏洞掃描器是指基于網絡遠程檢測目標網絡和主機系統(tǒng)漏洞的程序。3）模擬攻擊對于安全測試來說，模擬攻擊測試是一組特殊的極端的測試方法，我們以模擬攻擊來驗證軟件系統(tǒng)的安全防護能力。系統(tǒng)安全測試的內容，它主要包括：（1）應用程序安全測試（2）操作系統(tǒng)安全測試（3）數據庫安全測試（4）IIS服務器安全測試（5）網絡環(huán)境安全測試當然在這里我主要講的是我做過的項目系統(tǒng)中需要測試的內容，對不同的系統(tǒng)安全性測試的內容也不一樣，這個需要結合項目本身的情況和用戶使用環(huán)境來確定測試的內容。第一部分應用程序的安全性：包括對數據或業(yè)務功用的訪問，在預期的安全脾氣況下，操作者只能訪問應用程序的特定功用、有限的數據。其測試是核實操作者只能訪問其所屬用戶類型已被受權訪問的那些功用或數據。測試時，確定有不同權限的用戶類型，建立各用戶類型并用各用戶類型所獨有的事務來核實其權限，末了修改用戶類型并為相同的用戶重新運轉測試。應用程序的安全性問題：以上的安全性測試方法中，對于不同的安全性測試策略列舉了不同的問題，當然我列的不全，在這里我主要是告訴大家一個測試的思路，因為對于不同的安全性問題大家有或許有不同的看法，所以我只列舉了部分問題給大家參考。功能驗證1.有效的密碼是否承受，無效的密碼是否拒絕。2.系統(tǒng)對于無效用戶或密碼登陸是否有提示。3.用戶是否會自動超時退出，超時的時間是否合理。4.各級用戶權限劃分是否合理。毛病掃描無模擬攻擊1.系統(tǒng)是否允許極端或不正常的登陸方式訪問。（如拷貝軟件系統(tǒng)中的某個功能點的url地址，然后直接通過IE訪問看是否成功）第二部分系統(tǒng)安全性：注意（這里的系統(tǒng)指的是操作系統(tǒng)也就是應用程序所運行的操作系統(tǒng)）系統(tǒng)安全測試：可確保只有具備系統(tǒng)訪問權限的用戶才能訪問應用程序，而且只能通過相應的網關來訪問，包括對系統(tǒng)的登錄或遠程訪問。其測試是核實只有具備系統(tǒng)和應用程序訪問權限的操作者才能訪問系統(tǒng)和應用程序。操作系統(tǒng)安全測試1、帳號和口令2、網絡與服務3、文件系統(tǒng)4、日志審核5、其它安全設置帳號和口令1.對主機或域上用戶強制進行口令復雜度。2.檢查系統(tǒng)是否使用默認管理員帳號。3.檢查在系統(tǒng)中是否存在可疑或與系統(tǒng)無關的帳號。4.檢查系統(tǒng)用戶是否有口令最短和口令長度要求。5.檢查系統(tǒng)用戶是否有密碼過期策略。6.網絡與服務：a.檢察主機開放的共享，關掉不必要的共享和系統(tǒng)默認的共享效勞。b.檢察主機歷程信息。（不允許系統(tǒng)中安裝有與應用效勞無關的應用程序）c.查看系統(tǒng)啟動的服務列表。d.檢察系統(tǒng)啟用的端標語。e.查看系統(tǒng)是否制定操作系統(tǒng)的備份恢復策略服務文件系統(tǒng)文件系統(tǒng)的安全主要是檢查主機磁盤分區(qū)類型和某些特定目錄的權限。注意：服務器應使用具有安全特性的NTFS格式，而不應該使用FAT或FAT32分區(qū)（上述描述的內容主要是針對windows操作系統(tǒng)）。日志審核日志的審核主要是檢查主機日志的審核情況。它主要包括：1.應用程序日志。（運行在操作系統(tǒng)上的程序產生的）2.安全日志。（用戶登錄系統(tǒng)的日志）3.系統(tǒng)日志。其它安全設置1、系統(tǒng)補丁漏洞。2、登陸系統(tǒng)操作的用戶的權限。3、病毒防治。4、系統(tǒng)日志是否有備份功能。5、數據的備份與恢復。6、系統(tǒng)上卸載與無關組件或應用程序。第三部分數據庫安全測試數據庫安全在管理和維護數據庫的過程中為了保障數據庫安全我們從以下幾方面限制數據庫訪問安全：1.限制能訪問XXX數據庫的客戶端，指定的IP才可以訪問，防止惡意的用戶登陸。2.即使有訪問Oracle數據庫的機會，帳戶的密碼使用強口令和其他登陸策略，惡意用戶也無法輕松進入。3.為每個登陸帳戶設置了合適的權限，執(zhí)行改動數據庫狀態(tài)的權限需求得到管理員的受權，確保了系統(tǒng)合法帳戶對數據庫的操作安全。解決辦法1.無關IP禁止訪問方法一：在XXX服務器的SQLNet.Ora文件中設置允許訪問的IP地址，或不允許訪問的IP地址；方法二：在XXX服務器上使用NetManager工具設置；2.用戶密碼為強口令鎖定不用的默認帳戶，如scott；更改使用的默認帳戶的口令，這些帳戶的密碼是公開的，安裝時自動建立，如帳戶system密碼manager為確保安全默認帳戶必須修改密碼；密碼使用強口令，即數字、特殊字符、字母組成的至少8未的密碼；設置密碼失效的策略文件profile，可在控制臺中設置。3.用戶付與適當的權限不要每個帳戶都設置DBA權限，把系統(tǒng)所有操作暴露給每個用戶；每個帳戶僅賦予它完成操作所需要的權限；不要輕易為帳戶賦予delete或deleteany權限，確保數據不會被誤刪除；數據庫安全（sqlserver）1、關閉服務器端的tcp/ip協(xié)議服務。2、數據庫用戶登錄方式選擇sqlserver身份認證。3、設置用戶訪問指定的數據庫。4、設置用戶對數據庫中的對象有指定的操作權限。5、查看數據是否有定期自動備份的操作。第四部分IIS效勞器安全測試1、IIS根蒂根基效勞組件安裝情況。（按照系統(tǒng)情況公道的安裝，削減安裝不必要的效勞控件）2、檢察IIS日志是否啟用，日志存儲途徑以及日志記實選項3、IIS主目錄路徑和目錄訪問權限的設置。（注意：1.目錄建議不要和系統(tǒng)盤符設置在同一途徑下，2.目錄訪問權限按照地點項目系統(tǒng)的實踐情況來設置，通常只啟用”讀取”權限，記實訪問和索引資料權限跟系統(tǒng)的安全無關都默認啟用，因為所用的internet用戶訪問的目錄就是IIS設定主目錄）4、默認文檔的啟用。5、