安全性測試總結(jié)課件

系統(tǒng)的安全性測試質(zhì)量管理部二○○七年六月

系統(tǒng)的安全性測試質(zhì)量管理部1安全性測試的目的安全性（security）測試。它是指在測試軟件系統(tǒng)中危險防止和危險處理設(shè)施進(jìn)行的測試，以驗證其是否有效。安全性測試的目的安全性（security）測試。它是指在測試2安全性測試應(yīng)包括下面的工作：a.全面檢驗軟件在軟件需求規(guī)格說明中規(guī)定的防止危險狀態(tài)措施的有效性和在每一個危險狀態(tài)下的反應(yīng)；b.對軟件設(shè)計中用于提高安全性的結(jié)構(gòu)、算法、容錯、冗余、中斷處理等方案，進(jìn)行針對性測試；c.在異常條件下測試軟件，以表明不會因可能的單個或多個輸入錯誤而導(dǎo)致不安全狀態(tài)。d.用錯誤的安全性關(guān)鍵操作進(jìn)行測試，以驗證系統(tǒng)對這些操作錯誤的反應(yīng)；e.對安全性關(guān)鍵的軟件單元和軟件部件，要單獨進(jìn)行加強(qiáng)的測試，以確認(rèn)其滿足安全性需求。安全性測試應(yīng)包括下面的工作：a.全面檢驗軟件在軟件需求規(guī)格說3安全性測試方法1.功能驗證功能驗證是采用軟件測試當(dāng)中的黑盒測試方法,對涉及安全的軟件功能,如：用戶管理模塊，權(quán)限管理，加密系統(tǒng)，認(rèn)證系統(tǒng)等進(jìn)行測試，主要驗證上述功能是否有效。2.漏洞掃描安全漏洞掃描主要是借助于特定的漏洞掃描器完成的。通過使用漏洞掃描器，系統(tǒng)管理員能夠發(fā)現(xiàn)系統(tǒng)存在的安全漏洞，從而在系統(tǒng)安全中及時修補(bǔ)漏洞的措施。一般漏洞掃描分為兩種類型:主機(jī)漏洞掃描器是指在系統(tǒng)本地運行檢測系統(tǒng)漏洞的程序。網(wǎng)絡(luò)漏洞掃描器是指基于網(wǎng)絡(luò)遠(yuǎn)程檢測目標(biāo)網(wǎng)絡(luò)和主機(jī)系統(tǒng)漏洞的程序。3.模擬攻擊對于安全測試來說，模擬攻擊測試是一組特殊的極端的測試方法，我們以模擬攻擊來驗證軟件系統(tǒng)的安全防護(hù)能力。安全性測試方法1.功能驗證4系統(tǒng)安全測試的內(nèi)容1.應(yīng)用程序安全測試2.操作系統(tǒng)安全測試3.數(shù)據(jù)庫安全測試4.IIS服務(wù)器安全測試5.網(wǎng)絡(luò)環(huán)境安全測試系統(tǒng)安全測試的內(nèi)容1.應(yīng)用程序安全測試5第一部分應(yīng)用程序安全測試

第一部分6應(yīng)用程序的安全性：

包括對數(shù)據(jù)或業(yè)務(wù)功能的訪問，在預(yù)期的安全性情況下，操作者只能訪問應(yīng)用程序的特定功能、有限的數(shù)據(jù)。其測試是核實操作者只能訪問其所屬用戶類型已被授權(quán)訪問的那些功能或數(shù)據(jù)。測試時，確定有不同權(quán)限的用戶類型，創(chuàng)建各用戶類型并用各用戶類型所特有的事務(wù)來核實其權(quán)限，最后修改用戶類型并為相同的用戶重新運行測試。

應(yīng)用程序的安全性：7應(yīng)用程序的安全性問題:功能驗證1.有效的密碼是否接受，無效的密碼是否拒絕。2.系統(tǒng)對于無效用戶或密碼登陸是否有提示。3.用戶是否會自動超時退出，超時的時間是否合理。4.各級用戶權(quán)限劃分是否合理。模擬攻擊1.系統(tǒng)是否允許極端或不正常的登陸方式訪問。（如不通過登入頁面，直接輸入URL,看其是否能夠進(jìn)入）應(yīng)用程序的安全性問題:8第二部分系統(tǒng)安全測試

第二部分9系統(tǒng)安全測試：

可確保只有具備系統(tǒng)訪問權(quán)限的用戶才能訪問應(yīng)用程序，而且只能通過相應(yīng)的網(wǎng)關(guān)來訪問，包括對系統(tǒng)的登錄或遠(yuǎn)程訪問。其測試是核實只有具備系統(tǒng)和應(yīng)用程序訪問權(quán)限的操作者才能訪問系統(tǒng)和應(yīng)用程序。

系統(tǒng)安全測試：10操作系統(tǒng)安全測試帳號和口令網(wǎng)絡(luò)與服務(wù)文件系統(tǒng)日志審核其它安全設(shè)置操作系統(tǒng)安全測試11帳號和口令對主機(jī)或域上用戶強(qiáng)制進(jìn)行口令復(fù)雜度。檢查系統(tǒng)是否使用默認(rèn)管理員帳號。檢查在系統(tǒng)中是否存在可疑或與系統(tǒng)無關(guān)的帳號。檢查系統(tǒng)用戶是否有口令最短和口令長度要求。檢查系統(tǒng)用戶是否有密碼過期策略。帳號和口令對主機(jī)或域上用戶強(qiáng)制進(jìn)行口令復(fù)雜度。12網(wǎng)絡(luò)與服務(wù)查看主機(jī)開放的共享，關(guān)掉不必要的共享和系統(tǒng)默認(rèn)的共享服務(wù)。查看主機(jī)進(jìn)程信息。（不允許系統(tǒng)中安裝有與應(yīng)用服務(wù)無關(guān)的應(yīng)用程序）查看系統(tǒng)啟動的服務(wù)列表。查看系統(tǒng)啟用的端口號。查看系統(tǒng)是否制定操作系統(tǒng)的備份恢復(fù)策略服務(wù)。網(wǎng)絡(luò)與服務(wù)查看主機(jī)開放的共享，關(guān)掉不必要的共享和系統(tǒng)默認(rèn)的13文件系統(tǒng)

文件系統(tǒng)的安全主要是檢查主機(jī)磁盤分區(qū)類型和某些特定目錄的權(quán)限。

注意：服務(wù)器應(yīng)使用具有安全特性的NTFS格式，而不應(yīng)該使用FAT或FAT32分區(qū)（上述描述的內(nèi)容主要是針對windows操作系統(tǒng)）。文件系統(tǒng)14日志審核日志的審核主要是檢查主機(jī)日志的審核情況。它主要包括：1.應(yīng)用程序日志。2.安全日志。（用戶登錄系統(tǒng)的日志）3.系統(tǒng)日志。日志審核日志的審核主要是檢查主機(jī)日志的審核情況。15其它安全設(shè)置系統(tǒng)補(bǔ)丁漏洞。登陸系統(tǒng)操作的用戶的權(quán)限。病毒防治。系統(tǒng)日志是否有備份功能。數(shù)據(jù)的備份與恢復(fù)。系統(tǒng)上卸載與無關(guān)組件或應(yīng)用程序。其它安全設(shè)置系統(tǒng)補(bǔ)丁漏洞。16第三部分?jǐn)?shù)據(jù)庫安全測試

第三部分17數(shù)據(jù)庫安全

在管理和維護(hù)數(shù)據(jù)庫的過程中為了保障數(shù)據(jù)庫安全我們從以下幾方面限制數(shù)據(jù)庫的訪問安全：1、限制能訪問Oracle數(shù)據(jù)庫的客戶端，指定的IP才可以訪問，防止惡意的用戶登陸。2、即使有訪問Oracle數(shù)據(jù)庫的機(jī)會，帳戶的密碼使用強(qiáng)口令和其他登陸策略，惡意用戶也無法輕松進(jìn)入。3、為每個登陸帳戶設(shè)置了合適的權(quán)限，執(zhí)行改變數(shù)據(jù)庫狀態(tài)的權(quán)限需要得到管理員的授權(quán)，確保了系統(tǒng)合法帳戶對數(shù)據(jù)庫的操作安全。數(shù)據(jù)庫安全在管理和維護(hù)數(shù)據(jù)庫的過程中為了保障數(shù)據(jù)庫安全181.無關(guān)IP禁止訪問方法一：在Oracle服務(wù)器的SQLNet.Ora文件中設(shè)置允許訪問的IP地址,或不允許訪問的IP地址；方法二：在Oracle服務(wù)器上使用NetManager工具設(shè)置；2.用戶密碼為強(qiáng)口令

鎖定不用的默認(rèn)帳戶，如scott；更改使用的默認(rèn)帳戶的口令，這些帳戶的密碼是公開的，安裝時自動建立，如帳戶system密碼manager為確保安全默認(rèn)帳戶必須修改密碼；密碼使用強(qiáng)口令，即數(shù)字、特殊字符、字母組成的至少8未的密碼；設(shè)置密碼失效的策略文件profile，可在控制臺中設(shè)置。3.用戶賦予適當(dāng)?shù)臋?quán)限

不要每個帳戶都設(shè)置DBA權(quán)限，把系統(tǒng)所有操作暴露給每個用戶；每個帳戶僅賦予它完成操作所需要的權(quán)限；不要輕易為帳戶賦予delete或deleteany權(quán)限，確保數(shù)據(jù)不會被誤刪除；數(shù)據(jù)庫安全1.無關(guān)IP禁止訪問數(shù)據(jù)庫安全19數(shù)據(jù)庫安全（sqlserver）1、關(guān)閉服務(wù)器端的tcp/ip協(xié)議服務(wù)。2、數(shù)據(jù)庫用戶登錄方式選擇sqlserver身份認(rèn)證。3、設(shè)置用戶訪問指定的數(shù)據(jù)庫。4、設(shè)置用戶對數(shù)據(jù)庫中的對象有指定的操作權(quán)限。5、查看數(shù)據(jù)是否有定期自動備份的操作。6、日志文件和數(shù)據(jù)文件存放的位置數(shù)據(jù)庫安全（sqlserver）1、關(guān)閉服務(wù)器端的tcp/20第四部分IIS服務(wù)器安全測試

第四部分21IIS安全測試1、IIS基礎(chǔ)服務(wù)組件安裝情況。（根據(jù)系統(tǒng)情況合理的安裝，減少安裝不必要的服務(wù)控件）2、查看IIS日志是否啟用，日志存儲路徑以及日志記錄選項3、IIS主目錄路徑和目錄訪問權(quán)限的設(shè)置。（注意:1.目錄建議不要和系統(tǒng)盤符設(shè)置在同一路徑下，2.目錄訪問權(quán)限根據(jù)所在項目系統(tǒng)的實際情況來設(shè)置,通常只啟用”讀取”權(quán)限,記錄訪問和索引資料權(quán)限跟系統(tǒng)的安全無關(guān)都默認(rèn)啟用,因為所用的internet用戶訪問的目錄就是IIS設(shè)定主目錄）4、默認(rèn)文檔的啟用。5、訪問控制的身份驗證。6、連接超時功能的設(shè)置（可以根據(jù)項目的安全要求具體的可參考系統(tǒng)需求規(guī)格說明書來進(jìn)行合理的設(shè)置）。7、安全補(bǔ)丁的更新和安裝情況IIS安全測試1、IIS基礎(chǔ)服務(wù)組件安裝情況。22第五部分網(wǎng)絡(luò)環(huán)境安全測試

第五部分23網(wǎng)絡(luò)環(huán)境安全測試

主要檢測的是系統(tǒng)所在的網(wǎng)絡(luò)環(huán)境安全設(shè)置,此測試可以根據(jù)項目本身的情況進(jìn)行，或者可以忽略。下面給幾點主要是是提醒大家在做網(wǎng)絡(luò)安全測試時需要注意的幾點。（緊供參考）