安全测试基准

一、基本说明

　　应用系统的安全主要有以下方面：

　　1）口令和认证：帐号、密码、认证方式等安全，避免出现认证绕过、认证失效、认证破解等问题

　　2）授权管理：从帐号授权的角度提出用户权限最小化策略，避免因权限过大造成的越权操作

　　3）访问控制：提出如何通过会话和链接进行访问控制，避免用户访问的泄露、会话劫持、拒绝服务攻击等

　　4）日志审计：通过安全的日志设置，保证操作不被抵赖，通过日志安全分析操作行为，发现安全问题

　　5）通信安全：进行通信加密和校验，防止包重放攻击和信息的泄露、篡改

　　6）软件容错：当应用程度出现错误和问题、遇到攻击的时候，应如何处理和显示，保证系统的安全性

　　7）数据保护：对存储的数据和关键信息进行加密处理、分权管理，避免被泄漏和篡改

二、口令和认证安全功能

　　1）帐号安全

　　1.1管理员只能通过系统后台修改、重置密码

　　1.2不允许客户端浏览器缓存用户名、密码等账户信息

　　1.3用户登录失败次数限制，失败多少次，给予提示，到了次数锁定登录权限

　　1.4限制改密码次数

　　1.5同一帐号禁止多方登录

　　2）密码安全

　　2.1软键盘子母数字随机排列

　　2.2禁止密码明文

　　2.3密码长度和复杂度要求，如8位，字母大小写

　　2.4改密码时不能和原密码相同

　　2.5登录和支付密码分开设置，且要不同

　　2.6密码需提供2种以或以上认证信息，如帐号密码+短信、人脸+短信等

　　3）证书安全

　　3.1密码保护证书私钥，防止证书私钥受到非授权访问

　　3.2会话中的证书应以加密的方式保存

三、授权管理

　　1）帐号授权要求

　　1.1系统帐号分级管理，通过授权方式分配不同帐号使用不同的系统功能

　　1.2对帐号的授权范围提供查询、修改等维护方式

　　1.3系统应使用同一授权功能组件进行授权控制

四、访问控制

　　1）会话安全

　　1.1禁止匿名登录访问

　　1.2会话超时机制

　　1.3需要有退出和注销终止当前会话

　　2）连接安全

　　2.1对单用户系统最大并发数连接进行限制

　　2.2对一个时间段内可能并发连接数进行限制

　　2.3防止未授权访问

五、日志审计

　　1）用户日志

　　1.1日志记录客户端的IP、主机名、详细时间、认证身份、操作类型和结果等

　　1.2记录用户发初请求内容、以及服务器响应的时间

　　2）后台日志

　　2.1记录系统错误日志

　　2.2系统错误日志和用户日志分开存放

　　3）日志保护

　　3.1日志需要加密处理，不许随意删除、篡改、覆盖

　　3.2日志敏感信息需要加密

　　3.3重要日志要部署专门的采集、备份、管理中心

　　4）系统间接口调用

　　4.1需要调用来源验证和权限控制

　　4.2敏感信息接口调用，需记录日志

六、通信安全

　　1）通信安全

　　1.1SSL协议版本大于3.0

　　1.2客户端到服务器SSL加密密钥长度不低于128位，RSA不低于1024位，ECC不低于160位

　　1.3防止交易报文的重放攻击

七、软件容错

　　1）防止SQL注入

　　1.1表单、参数有效的合法性判断非法字符过滤

　　1.2数据库使用参数化查询，严格定一数据库用户角色和权限

　　2）防止XSS攻击

　　2.1严格限制、判断客户端提交信息的数据类型、有效性

　　3）开源组件高危判断

　　3.1对开源组件的历史漏洞进行判断，严禁引入高危组件

　　4）防止信息泄漏

　　4.1上线前删除web下所有测试脚本和程序

　　4.2与程序无关的文件应隔离目录单独存储

　　5）其他

　　5.1数据上传、HTTPS、白名单等

八、数据保护

　　1）保密要求

　　1.1敏感信息、如姓名、身份证、手机号、地址等需要加密

　　1.2存储在数据库里面的敏感信息如密码等需要加密

　　1.3帐号密码的复杂性要求