安全测试实施方案及用例_测试用例报告模板资源

项目XX安全测试实施方案及用例公司XX年月日2020224数据库漏洞扫描测试测试内容

6.221序号检查类别检查内容描述1数据库漏洞通过数据库漏洞扫描工具检查数据库脆弱性测试实施

6.222•使用绿盟极光数据库漏洞扫描工具对主机进行系统漏洞扫描•对扫描结果进行手动验证，确保漏洞的准确性应用系统安全性测试

6.3WEB安全合规性测试

6.

3.1测试内容

631.1应用安全测试将通过访谈、检查和测试的方式评测信息系统的应用安全保障情况在内容上，应用安全层面测试实施过程涉及个测试单元，具体如下表9序号检查类别检查内容描述检查该系统是否提供专用的登录控制模块对用户进行身份标识和鉴别，模块是否按照安全方案进行开发查看系统设计文档，检查系统是否提供了身份标识唯一性检查功能，并进行测试查看系统设计文档，检查该系统是否有保证用户身份鉴1身份鉴别别信息复杂度控制功能的模块（如口令长度、复杂性和定期修改等）查看系统设计文档，检查该系统是否具有登录失败处理功能的模块（如结束会话，限制非法登录次数，当登录连接超时自动退出等）查看系统设计文档，查看系统是否使用凭据，而不是仅通过认证序号检查类别检查内容描述检查身份鉴别信息以及登录失败处理功能模块是否可以由系统管理员进行配置相关参数，并且默认参数能够满足安全方案定义的策略进行相关测试，检查上述功能模块是否有效检查系统设计文档，查看该系统是否提供访问控制功能，访问控制策略是什么？访问控制的粒度是否达到文件、数据库表检查系统设计文档，查看该系统的控制策略是否覆盖到与信息安全直接相关的主体、客体及它们之间的操作2访问控制检查系统设计文档，查看系统是否设计为由授权主体配置访问控制策略，并严格限制默认或初始帐户的访问权限检查系统设计文档，查看该系统内置的角色是否只拥有完成本角色承担任务所需的最小权限，角色间是否形成相互制约关系；进行相关测试，验证上述功能是否有效检查系统设计文档，查看系统是否有安全审计功能检查系统设计文档，查看应用系统的审计策略，查看审计策略是否覆盖到每个用户，是否对系统异常等事件进行审计检查系统设计文档，查看应用系统审计模块的实现方式，是否能够被中断、停止或者绕过检查系统设计文档，查看应用系统审计记录是否能够被删除、修改或覆盖3安全审计检查系统设计文档，查看查看审计记录内容是否包括事件发生的日期、时间、发起者信息、事件类型、事件相关描述信息、事件的结果等内容检查系统设计文档，查看系统是否为授权用户浏览和分析审计数据提供专门的审计工具，辅助用户对审计记录进行分类、排序、查询、统计和分析等操作检查系统设计文档，查看系统是否提供审计报表生成功能进行相关测试与检查，检验上述功能是否有效检查系统设计文档，查看系统是否提供专用的管理界面检查系统设计文档，查看系统是否为管理界面提供严格4配置管理的认证控制，是否使用双因子认证，是否拒绝直接输入管理界面URL的方式打开管理界面检查系统设计文档，查看系统是否提供限制远程管理的登录IP范围的功能序号检查类别检查内容描述检查系统设计文档，查看系统是否提供配置存储区保护的功能进行相关测试与检查，验证上述功能是否有效检查系统设计文档，查看系统是否有采用校验码技术保5通信完整性证通信双方通信过程中数据的完整性的功能，是如何判断的检查系统设计文档，查看系统是否提供基于密码技术进行通信会话初始化验证的功能检查系统设计文档，查看系统是否提供对通信过程中的鉴别信息进行加密的功能检查系统设计文档，查看系统使用的加密技术是否为国家密码管理局认可的，符合系统要求的检查系统设计文档，查看密钥长度是否满足系统要求，至6通信保密性少为128位，并采取措施保护密钥检查系统设计文档，应用程序自身是否实施加密，以防止恶意用户反汇编，内存分析等方法攻击系统，查找密钥检查系统设计文档，查看密钥的循环周期是否足够长，避免密钥的重复使用进行相关测试，验证相关内容是否加密检查系统设计文档，查看系统是否提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的数据格式或长度符合系统设定要求检查系统设计文档，查看系统是否提供防止攻击者进行命令或恶意数据注入的功能检查系统设计文档，查看系统是否提供当数据在单独的信任边界间传递时进行数据验证的功能检查系统设计文档，查看系统是否提供对数据库中的数7软件容错据进行验证的功能检查系统设计文档，查看系统是否设计了完善的异常处理模块，保证应用程序在处理异常数据时不会崩溃，能够继续提供服务检查系统设计文档，应能够防止异常传播回客户端检查系统设计文档，系统应当使用不含可利用信息的一般错误消息进行相关测试，验证相关功能是否有效检查系统设计文档，查看应用系统是否提供了连接超时限制等属性，保证当应用系统的通信双方中的一方在一8资源控制段时间内未作任何响应，另一方应能够自动结束会话检查系统设计文档，查看系统同时最多支持多少个并序号检查类别检查内容描述发会话连接，检查系统是否提供了限制最大并发连接数功能检查系统设计文档，查看系统是否提供对单个帐户的多重并发会话进行限制的功能，以保护不受会话劫持检查系统设计文档，查看系统是否能够保证会话cookie的生成过程可信检查系统设计文档，查看系统是否对会话存储区进行应用程序身份验证进行相关测试，验证相关功能是否有效测试实施

6.

3.L2•安全配置核查与人工验证由测试人员分别针对选定的应用系统的安全保护能力提出测试要求，配合人员通过展示具体配置参数或实际操作/演练（如用户登陆）等方法来提供测试证据,并由测试人员记录•文档查阅与分析测试人员根据安全配置核查、人工验证和系统扫描的测试结果，针对部分不确定项目查阅相关文档，获取补充证据•结果确认测试人员向配合人员提交应用系统安全测试的初步结果记录测试双方对初步结果进一步分析和修订后，认可形成应用系统安全测试结果记录输入合法性测试

6.

3.2WEB测试内容序号检查类别检查内容描述1WEB输入合法性验证查看运维数据分析平台应用系统是否能够对用户输入数据进行合法性检测2不适当的异常处理程序发生异常时给出较为详细的内部错误信息，容易暴露应该显示的执行细吊3非正常访问用于需要验证用户身份以及权限的页面4浏览器验证方式认证和会话数据不应该作为的一部分来发送，应该使用GETPOSTo测试实施

6.322输入合法性验证•Web开启产品管理功能

1.HTTP在运维机上通过以管理员身份登录运维数据分析平台应用系统

2.HTTP逐个检查每个输入点，确认它们的相应的输入规则和边界，对需要用户输入数据地方的输入

3.相应数据进行检测，检测项包括■数据类型（字符串，整型，实数，等）■允许的字符集■最小和最大的长度■是否允许空输入■参数是否是必须的■重复是否允许■数值范围•不适当的异常处理开启产品管理功能

1.HTTP在运维机上通过以管理员身份登录运维数据分析平台应用系统

2.HTTP逐个检查每个输入点，输入异常字符

3.•非正常访问开启产品管理功能

1.HTTP在运维机上通过以管理员身份登录运维数据分析平台应用系统

2.HTTP随机访问一个页面，复制该页面的地址，关闭该页面以后，查看是否可以直接进入该复制

3.url好的地址•浏览器验证方式开启产品管理功能

1.HTTP在运维机上通过以管理员身份登录运维数据分析平台应用系统，并且使用进

2.HTTP wireshark行抓包查看报文验证登录会话提交的数据是否使用传输

3.POST漏洞扫描测试633WEB测试内容序号检查类别检查内容描述1WEB漏洞扫描测试通过web漏洞扫描工具测试运维数据分析平台的脆弱性测试实施•在产品上开启管理服务，HTTP•使用漏洞扫描对运维数据分析平台应用系统进行漏洞扫描webray/APPSCAN web•对扫描结果进行手动验证，确保漏洞的准确性系统安全检测

6.4Linux测试内容

6.

4.1序号检查类别检查内容描述1cat/etc/passwd账户检查grep:0:/etc/passwd#检查是否产生了新用户，和UID、GID是0的用户Is-1/etc/passwd#查看文件修改日期awk-F:$3==0{print$1}/etc/passwd#查看是否存在特权用户awk-F:length$2==0{print$1}/etc/shadow#查看是否存在空口令帐户2检查系统守护定位导致高流量的进程，然后通过它的行为，分析是否是黑客挂的马进程iftop-nP查看流量情况如先用iptraf-ng查下,如果UDP包发的很多,基本都被人装了后门top（ps-ef）#查看进程Isof-c可疑进程名#查看关联文件，发现对外的tcp连接查看文件路径并查看文件创建时间where is可疑进程名Is-al可疑进程名ps-aux（注意UID是0的）Isof-p pid（察看该进程所打开端口和文件）cat/etc/inetd.conf grep-v#（检查守护进程）检查隐藏进程ps-ef awk{print}sort-n uniq1Is/pore sort-n uniq2diff123检查网络连接和监听端口netstat-an netstat-rn ifeonfig-a4last查看正常情况下登录到本机的所有用户的历史记录5find/-name core-exec Is-1{}\;检查系统中的core文件6查看系统、文件find-type f-mtime-5#查找最近5天内更改的文件异常find/-uid0-perm-4000-printfind/-size+10000k-printfind/-name〃.〃-print・・find/-name”.-printfind/-name〃〃-print・find/-name〃〃-print#注意SUID文件，可疑大于10M和空格文件find/-name core-exec Is-1{};#（检查系统中的core文件）检查系统文件完整性md5sum-b文件名md5sum-t文件名7检查系统文件完整性rpm-qf/bin/ls rpm-qf/bin/login md5sum-b文件名md5sum-t文件名8后门账户检查后门扫描cat/etc/passwdgrep:0:/etc/passwd#检查是否产生了新用户，和UID、GID是0的用户Is-1/etc/passwd#查看文件修改日期awk-F:$3==0{print$1}/etc/passwd#查看是否存在特权用户awk-F:length$2==0{print$1}/etc/shadow#查看是否存在空口令帐户后门检查cat/etc/crontabIs/var/spool/cron/cat/etc/rc.d/rc.localIs/etc/rc.dIs/etc/rc

3.d测试实施

6.

4.2•安全配置核查与人工验证由测试人员针对操作系统的安全保护能力提出测试要求，配合人员通过展示具体配置参数或实际操作/演练（如用户登陆）等方法来提供测试证据，并由测试人员记录•文档查阅与分析测试人员根据安全配置核查、人工验证和主机扫描的测试结果，针对部分不确定项目查阅相关文档，获取补充证据•结果确认测试人员向配合人员提交主机安全测试的初步结果记录测试双方对初步结果进一步分析和修订后，认可形成主机安全测试结果记录数据安全

6.5测试内容

6.

5.1数据安全测试将通过访谈和检查的方式评测信息系统的数据安全保障情况本次测试重点检查系统的数据在采集、传输、处理和存储过程中的安全在内容上，数据安全层面测试实施过程涉及个工作单元，具体如下表:9序号检查类别检查内容描述1业务数据完整性应对重要业务数据在传输和存储时采取必要的完整性保证措施2业务数据保密性应对重要业务数据在传输和存储时米取加密措施，且加密方案是国家密码管理局认可的3配置数据文件重要设备的配置文件应统一管理、离线存放4敏感文档管理制应有专人保管敏感文档，并建立敏感文档管理制度度5传输敏感文档敏感文档不得通过互联网传输，内部传输时应使用专用介质6存储介质的存放应有介质的归档和查询记录，并对存档介质的目录清单定安全期盘点对介质进行分类和标识管理8介质维修对需要送出维修或销毁的介质，应首先清除介质中的敏感数据9数据异地备份重要业务数据应异地备份10数据存储检验存放在介质库中的介质应定期进行完整性和可用性检查，确认其数据或软件没有受到损坏或丢失测试实施

7.

6.

6.

6.

6.

6.

6.

6.

6.

6.

4.

6.

6.

6.

5.218测试系统概述1系统简介

1.1系统架构图

1.2测试目的2测试范3测试环境4测试对象

1.1对象名称地址操作系统主要用途IP测试地点

4.2测试时间

5.32020年3月测试人员

6.4按实际定测试工具

7.5本次测试中，工具测试将使用下表所列的软件工具工具名称用途Nmap端口扫描器绿盟极光漏洞扫描软件网络/操作系统/数据库弱点扫描工具NESSUS/Nexpose网络/操作系统弱点扫描工具Appscan WEB安全漏洞扫描工具（B/S架构前端漏洞扫描）Webray WEB安全漏洞扫描工具（B/S架构前端漏洞扫描）测试准备

8.6•被测单位应提供一个测试区确保可以与测试对象进行通信，并确保测试区与测试对象之间无安全设备，例如防火墙，等WAF,IPS•提供登录测试对象的账号及密码用于安全合规性测试，包括登录操作系统，数据库及运维数据分析平台登录的账号信息WEB•提供相应的设计文档和配置文档供查阅及分析，包括运维数据分析平台设计文档，运维数据分析平台帮助文档数据库及操作系统的安全配置文档等测试拓扑

9.7引用标准及参考资料5标准号标准名称《信息技术安全技术信息技术安全性评估准则》GB/T18336-2001《信息安全技术信息系统通用安全技术要求》GB17859-1999《计算机信息系统安全保护等级划分准则》GB/T20271-2006《信息安全技术信息系统安全管理要求》GB/T20269-2006系统安全测试6本次系统入网安全测试主要包括安全合规性测试和安全漏洞扫描测试两个部分；•合规性测试合规性测试主要包括主机、数据库、应用系统等合规性测试，主要通过检查主机，数据库，应用系统配置项是否符合安全合规性要求•漏洞扫描漏洞扫描包括系统漏洞扫描，数据库漏洞扫描，应用系统通过漏洞扫描WEB检测分析目标系统的脆弱性所在主机安全性测试

6.1安全合规性测试

6.

1.1测试内容操作系统安全测试将通过访谈、检查和测试的方式评测信息系统的主机系统安全保障情况在内容上，主机系统安全层面测试实施过程涉及个工作单元，具体如下表6序号检查类别检查内容描述1身份标识为操作系统用户建立身份标识2身份鉴别登陆系统是否需要密码使用单用户模式时也需要密码验证用户口令复杂度要求，查看/etc/pam.d/system-auth文件参数用户口令期限以及长度限制，查看/etc/login.defs的参数配置登陆失败一定次数后自动锁定，查看/etc/pam.d/system-auth酉己置参数检测root用户只能在控制台登陆telnet禁用ssh版本是否为ssh2查看已开放应用账户权限是否和操作系统权限套用是否存在可利用非法账户检查带setuid和setgid位文件禁止用户挂载移动设备分区不能安装在未鉴别设备上移动媒体接入配置关键账号密码文件权限最小限制默认账户口令、权限不存在无用账户以及过期账号3安全审计限制root用户无法直接登陆如存在adm账户，则查看是否存在loginlog记录文件是否设置安全项审计历史记录日志计划，存储方式、期限、大小等日志分析用户行为日志审计内容4入侵防范查看内核版本号是否存在更新检查TCP Wrappers和防火墙配置telnet服务ftp服务shell/rlogin/rsh/rcp月艮务IMAP服务POP服务umask服务sendmail月艮务GUI登陆X字体服务SMB服务NFS服务NIS服务打印后台服务web服务进程snmp进程DNS服务SQL服务Webmin服务Squid高速缓存进程.rhosts.exrc文件检查5资源控制hosts,allow以及hosts,deny设置允许访问的ip范围使用iptables限制登录以及登录范围登陆连接超时时间设置对用户使用操作系统资源的情况进行合理的限制测试实施•安全配置核查与人工验证由测试人员针对操作系统的安全保护能力提出测试要求，配合人员通过展示具体配置参数或实际操作/演练（如用户登陆）等方法来提供测试证据，并由测试人员记录•文档查阅与分析测试人员根据安全配置核查、人工验证和主机扫描的测试结果，针对部分不确定项目查阅相关文档，获取补充证据•结果确认测试人员向配合人员提交主机安全测试的初步结果记录测试双方对初步结主机漏洞扫描测试测试内容

6.121序号检查类别检查内容描述1系统服务最小化通过NMAP扫描确定操作系统服务是否最小化2系统漏洞通过漏洞扫描工具检查操作系统脆弱性测试实施

6.122•使用对运维数据分析平台应用系统进行系统端口服务扫描NMAP•分析扫描结果确定不必要的系统服务端口NMAP•使用绿盟极光系统漏洞扫描工具对主机进行系统漏洞扫描/NESSUS•对扫描结果进行手动验证，确保漏洞的准确性数据库安全性测试

6.2安全合规性测试测试内容62L1数据库安全测试将通过访谈、检查和测试的方式评测信息系统的主机系统安全保障情况在内容上，主机系统安全层面测试实施过程涉及个工作单元，具体如下表6序号检查类别检查内容描述1身份标识为数据库用户建立身份标识2身份鉴别登陆系统是否需要密码使用单用户模式时也需要密码验证用户口令复杂度要求用户口令期限以及长度限制登陆失败一定次数后自动锁定，是否存在可利用非法账户禁止用户挂载移动设备关键账号密码文件权限最小限制默认账户口令、权限不存在无用账户以及过期账号是否设置安全项审计历史记录安全审计日志计划，存储方式、期限、大小等日志分析用户行为日志审计内容3资源控制数据库是否设置允许访问的ip范围登陆连接超时时间设置对用户使用操作系统资源的情况进行合理的限制测试实施

621.2•安全配置核查与人工验证由测试人员针对操作系统的安全保护能力提出测试要求，配合人员通过展示具体配置参数或实际操作/演练（如用户登陆）等方法来提供测试证据，并由测试人员记录•文档查阅与分析测试人员根据安全配置核查、人工验证和主机扫描的测试结果，针对部分不确定项目查阅相关文档，获取补充证据•结果确认测试人员向配合人员提交主机安全测试的初步结果记录测试双方对初步结。