信息安全性測(cè)試的目的在于發(fā)現(xiàn)、評(píng)估并修復(fù)系統(tǒng)中的安全漏洞，確保信息資產(chǎn)得到妥善保護(hù)。
信息安全性測(cè)試結(jié)果示例：
測(cè)試需求項(xiàng) | 測(cè)試需求點(diǎn) | 用例編號(hào) | 測(cè)試內(nèi)容 | 備注 |
保密性 | 訪問(wèn)控制 | IS-001 | 軟件產(chǎn)品具有對(duì)系統(tǒng)正常訪問(wèn)的控制能力，用戶(hù)權(quán)限應(yīng)遵循“最小權(quán)限原則”。 | 需改配置 |
身份鑒別 | IS-002 | 系統(tǒng)進(jìn)行用戶(hù)身份鑒別，并在每次用戶(hù)登錄系統(tǒng)時(shí)進(jìn)行鑒別。 | ||
鑒別信息 | IS-003 | 軟件鑒別信息為不可見(jiàn)，不可復(fù)制，且具有相應(yīng)的抗攻擊能力，并在存儲(chǔ)或傳輸時(shí)用加密方法/具有相同安全強(qiáng)度的其他方法進(jìn)行安全保護(hù)。 | ||
傳輸加密 | IS-004 | 數(shù)據(jù)在傳輸過(guò)程中不被竊聽(tīng)，對(duì)整個(gè)通信過(guò)程中的整個(gè)報(bào)文或會(huì)話過(guò)程進(jìn)行加密。 | 無(wú) | |
用戶(hù)權(quán)限 | IS-005 | 明確區(qū)分系統(tǒng)中不同用戶(hù)權(quán)限，系統(tǒng)不會(huì)因用戶(hù)的權(quán)限的改變?cè)斐苫靵y。 | ||
鑒別失敗處理 | IS-006 | 測(cè)試系統(tǒng)是否對(duì)不成功的鑒別嘗試的值（包括嘗試次數(shù)和時(shí)間的閥值）進(jìn)行預(yù)先定義，并明確規(guī)定達(dá)到該值時(shí)是否采取了具有規(guī)范性和安全性的措施來(lái)實(shí)現(xiàn)鑒別失敗的處理。 | ||
認(rèn)證繞過(guò) | IS-007 | 軟件應(yīng)能防止對(duì)程序和數(shù)據(jù)的未授權(quán)訪問(wèn)。 | 需改造配置 | |
完整性 | 異常事件處理 | IS-008 | 模擬非法入侵攻擊事件的條件下，驗(yàn)證軟件產(chǎn)品是否有控制和處理能力。 | 無(wú) |
非授權(quán)篡改 | IS-009 | 驗(yàn)證軟件產(chǎn)品對(duì)非授權(quán)人創(chuàng)建、刪除或修改信息是否有控制處理能力。 | 無(wú) | |
完整性審計(jì) | IS-010 | 軟件應(yīng)能識(shí)別出對(duì)結(jié)構(gòu)數(shù)據(jù)庫(kù)或文件完整性產(chǎn)生損害的事件，且能阻止該事件，并通報(bào)給授權(quán)者。 | 無(wú) | |
抗抵賴(lài)性 | 數(shù)據(jù)發(fā)送憑證 | IS-011 | 測(cè)試軟件具有在請(qǐng)求的情況下為數(shù)據(jù)原發(fā)者提供數(shù)據(jù)原發(fā)證據(jù)的功能。 | |
IS-012 | 測(cè)試軟件是否具有在請(qǐng)求的情況下為數(shù)據(jù)接收者提供數(shù)據(jù)接收證據(jù)的功能。 | |||
數(shù)字證書(shū) | IS-013 | 軟件使用數(shù)字證書(shū)等方式保證用戶(hù)的身份認(rèn)證，在收到請(qǐng)求的情況下為數(shù)據(jù)原發(fā)者或接受者提供數(shù)據(jù)原發(fā)和接收的證據(jù)。 | 無(wú) | |
日志審計(jì) | IS-014 | 測(cè)試軟件具備完整且無(wú)法篡改的審計(jì)記錄，確保用戶(hù)操作可經(jīng)過(guò)審計(jì)及追蹤。系統(tǒng)操作日志/審計(jì)、異常日志、告警日志，審計(jì)/日志的完整性、保密性。 | ||
IS-015 | 驗(yàn)證審計(jì)日志的管理，日志不能被任何人修改和刪除，能夠形成完整的證據(jù)鏈。 | |||
可核查性 | 進(jìn)程關(guān)聯(lián) | IS-016 | 測(cè)試系統(tǒng)將用戶(hù)進(jìn)程與所有者用戶(hù)相關(guān)聯(lián)，使用戶(hù)進(jìn)程行為可以追溯到進(jìn)程所有者用戶(hù) | 無(wú) |
系統(tǒng)審計(jì) | IS-017 | 測(cè)試系統(tǒng)或軟件的審計(jì)模塊，檢查模塊是否具有完善的安全審計(jì)功能?？疾靻⒂冒踩珜徲?jì)功能后，覆蓋用戶(hù)的多少和安全事件的程度，覆蓋到每個(gè)用戶(hù)活動(dòng)，日志記錄內(nèi)容至少應(yīng)包括事件日期、事件、發(fā)起者信息、類(lèi)型、描述和結(jié)果等 | 無(wú) | |
賬戶(hù)管理 | IS-018 | 包括賬戶(hù)唯一性、登錄機(jī)制、密碼管理策略 | ||
會(huì)話管理 | IS-019 | 設(shè)計(jì)登錄成功使用新的會(huì)話；設(shè)計(jì)會(huì)話數(shù)據(jù)的存儲(chǔ)安全；設(shè)計(jì)會(huì)話數(shù)據(jù)的傳輸安全；設(shè)計(jì)會(huì)話的安全終止；設(shè)計(jì)合理的會(huì)話存活時(shí)間；設(shè)計(jì)避免跨站請(qǐng)求偽造 | 無(wú) | |
真實(shí)性 | 用戶(hù)信息 | IS-020 | 驗(yàn)證軟件是否具有當(dāng)前使用系統(tǒng)的用戶(hù)列表和配置表 | 無(wú) |
訪問(wèn)登錄記錄 | IS-021 | 驗(yàn)證軟件在系統(tǒng)的訪問(wèn)歷史數(shù)據(jù)庫(kù)中記錄的訪問(wèn)登錄記錄是否完整 | ||
日志記錄 | IS-022 | 檢查軟件是否具有用戶(hù)使用系統(tǒng)的歷史日志及日志管理功能 | ||
IS-023 | 在模擬攻擊事件的入侵的情況下,驗(yàn)證軟件的日志內(nèi)容是否有相關(guān)記錄。 | 無(wú) | ||
IS-024 | 檢查軟件中的"用戶(hù)訪問(wèn)系統(tǒng)和數(shù)據(jù)"的記錄內(nèi)是否包括防止病毒的"病毒檢測(cè)記錄"。 | 無(wú) | ||
依從性 | 依從性 | IS-025 | 產(chǎn)品或系統(tǒng)遵循與信息安全性相關(guān)的標(biāo)準(zhǔn)、約定或法規(guī)以及類(lèi)似規(guī)定的程度。 | |
漏洞掃描 | 漏洞掃描 | IS-026 | 針對(duì)HTTP響應(yīng)分割、SQL注入、SSI注入、URL復(fù)位向?yàn)E用、XML實(shí)體擴(kuò)展、XML屬性放大、XML外部實(shí)體、XPath注入、不安全索引、操作系統(tǒng)命令、傳輸層保護(hù)不足、惡意內(nèi)容測(cè)試、服務(wù)器配置錯(cuò)誤、格式字符串、功能濫用、緩沖區(qū)溢出、會(huì)話定置、會(huì)話期限不足、拒絕服務(wù)、可預(yù)測(cè)資源位置、空字節(jié)注入、跨網(wǎng)站腳本編制、跨網(wǎng)站請(qǐng)求偽造、路徑遍歷、蠻力、目錄索引、內(nèi)容電子欺騙、憑證/會(huì)話預(yù)測(cè)、權(quán)限不足、認(rèn)證不充分、信息泄露、遠(yuǎn)程文件包含等掃描項(xiàng)。 | |
代碼審計(jì) | 代碼審計(jì) | IS-027 | 通過(guò)靜態(tài)代碼分析來(lái)檢查代碼中的潛在問(wèn)題，如漏洞、錯(cuò)誤、代碼需要重構(gòu)的代碼區(qū)域等。檢查代碼是否符合特定的編碼規(guī)范和標(biāo)準(zhǔn)，例如是否遵循了特定的命名約定、注釋規(guī)則、代碼布局等。 | |
滲透測(cè)試 | 滲透測(cè)試 | IS-028 | 主要涉及越權(quán)訪問(wèn)、明文傳輸、SQL注入、XSS跨站腳本、文件上傳、后臺(tái)地址泄露、命令執(zhí)行、目錄遍歷、會(huì)話重放、CSRF跨站請(qǐng)求偽造、任意文件下載漏洞、設(shè)計(jì)缺陷/邏輯錯(cuò)誤、XML實(shí)體注入、開(kāi)放高危端口和無(wú)關(guān)端口、登錄功能驗(yàn)證碼、不安全的Cookie、SSL漏洞、SSRF漏洞、默認(rèn)口令口令、其它漏洞類(lèi)型。 |
一、信息安全性測(cè)試的重要性
信息安全性測(cè)試的重要性不言而喻。首先，它可以幫助企業(yè)和組織發(fā)現(xiàn)潛在的安全風(fēng)險(xiǎn)，避免數(shù)據(jù)泄露、系統(tǒng)癱瘓等嚴(yán)重后果。其次，通過(guò)信息安全性測(cè)試，可以提高系統(tǒng)的可靠性和穩(wěn)定性，保證業(yè)務(wù)正常運(yùn)行。此外，信息安全性測(cè)試還可以為企業(yè)的合規(guī)性提供有力保障，避免因違反相關(guān)法律法規(guī)而引發(fā)的法律風(fēng)險(xiǎn)。
二、信息安全性測(cè)試的方法與流程
信息安全性測(cè)試的方法多種多樣，包括滲透測(cè)試、漏洞掃描、安全風(fēng)險(xiǎn)評(píng)估等。滲透測(cè)試是通過(guò)模擬黑客攻擊來(lái)發(fā)現(xiàn)系統(tǒng)中的安全漏洞；漏洞掃描則利用自動(dòng)化工具對(duì)系統(tǒng)進(jìn)行全面檢查，發(fā)現(xiàn)潛在的安全隱患；安全風(fēng)險(xiǎn)評(píng)估則是對(duì)系統(tǒng)的安全性進(jìn)行量化評(píng)估，為改進(jìn)提供依據(jù)。
信息安全性測(cè)試的流程通常包括以下幾個(gè)步驟：明確測(cè)試目標(biāo)、制定測(cè)試計(jì)劃、執(zhí)行測(cè)試、分析測(cè)試結(jié)果、編寫(xiě)測(cè)試報(bào)告和制定改進(jìn)措施。在每個(gè)步驟中，都需要充分利用專(zhuān)業(yè)的測(cè)試工具和技術(shù)，確保測(cè)試的準(zhǔn)確性和有效性。
三、信息安全性測(cè)試的挑戰(zhàn)與應(yīng)對(duì)策略
在信息安全性測(cè)試過(guò)程中，企業(yè)和組織面臨著諸多挑戰(zhàn)。首先，隨著技術(shù)的不斷進(jìn)步，黑客的攻擊手段也日益狡猾和復(fù)雜，這使得信息安全性測(cè)試的難度不斷增大。其次，信息安全性測(cè)試需要投入大量的人力、物力和財(cái)力，這對(duì)于一些中小型企業(yè)來(lái)說(shuō)可能是一個(gè)不小的負(fù)擔(dān)。
為了應(yīng)對(duì)這些挑戰(zhàn)，企業(yè)和組織需要采取一系列策略。首先，加強(qiáng)技術(shù)研發(fā)，提高信息安全性測(cè)試的技術(shù)水平。其次，建立完善的信息安全體系，確保信息安全性測(cè)試能夠覆蓋到所有關(guān)鍵領(lǐng)域。此外，加強(qiáng)與國(guó)際合作，共同應(yīng)對(duì)全球范圍內(nèi)的信息安全威脅也是一個(gè)有效的途徑。
信息安全性測(cè)試方法：
總體方向 | 信息安全性測(cè)試是通過(guò)人工手動(dòng)檢查方式進(jìn)行系統(tǒng)安全檢查，并對(duì)安全檢查結(jié)果進(jìn)行記錄，通過(guò)安全性分析，以使用戶(hù)、其他產(chǎn)品或系統(tǒng)具有與其授權(quán)類(lèi)型和授權(quán)級(jí)別一致的數(shù)據(jù)訪問(wèn)度。 |
評(píng)測(cè)關(guān)注 | ? 保密性：產(chǎn)品或系統(tǒng)確保數(shù)據(jù)只有在被授權(quán)時(shí)才能被訪問(wèn)的程度。 ? 完整性：系統(tǒng)、產(chǎn)品或組件防止未授權(quán)訪問(wèn)、篡改計(jì)算機(jī)程序或數(shù)據(jù)的程度。 ? 抗抵賴(lài)性：活動(dòng)或事件發(fā)生后可以被證實(shí)且不可被否認(rèn)的程度。 ? 可核查性：實(shí)體的活動(dòng)可以被唯一地追溯到該實(shí)體的程度。 ? 真實(shí)性：對(duì)象或資源的身份標(biāo)識(shí)能夠被證實(shí)符合其聲明的程度。 ? 依從性：產(chǎn)品或系統(tǒng)遵循與信息安全性相關(guān)的標(biāo)準(zhǔn)、約定或法規(guī)以及類(lèi)似規(guī)定的程度。 |
評(píng)測(cè)方法 | 安全檢查：通過(guò)檢查清單的方式進(jìn)行測(cè)試的方法。針對(duì)系統(tǒng)的身份鑒別、安全標(biāo)記、訪問(wèn)控制、可信路徑、安全審計(jì)、剩余信息保護(hù)、入侵防范、惡意代碼防范、資源控制，設(shè)定相應(yīng)的安全檢查列表對(duì)此類(lèi)系統(tǒng)進(jìn)行相關(guān)的配置檢查。 手工測(cè)試，通過(guò)安全輔助工具，手工的對(duì)系統(tǒng)安全進(jìn)行測(cè)試的方法。比如通過(guò)協(xié)議分析工具檢測(cè)系統(tǒng)通信過(guò)程中是否采用了加密信息，加密方式是否符合系統(tǒng)的要求等。 安全漏洞掃描：在用戶(hù)提供的測(cè)試環(huán)境下，以安全漏洞掃描的方式，檢查軟件程序?qū)τ谥付ǖ陌踩L(fēng)險(xiǎn)的防護(hù)能力。 |
評(píng)測(cè)步驟 | 1. 明確系統(tǒng)信息安全性需求，并量化信息安全性需求指針。 2. 設(shè)計(jì)信息安全性測(cè)試用例。 3. 執(zhí)行信息安全性測(cè)試，記錄測(cè)試結(jié)果。 4. 依據(jù)需求比對(duì)并評(píng)價(jià)系統(tǒng)信息安全性。 5. 通過(guò)信息安全性分析，提交安全性風(fēng)險(xiǎn)。 |
四、信息安全性測(cè)試的未來(lái)展望
隨著云計(jì)算、大數(shù)據(jù)、人工智能等技術(shù)的快速發(fā)展，信息安全性測(cè)試將面臨更多的機(jī)遇和挑戰(zhàn)。未來(lái)，信息安全性測(cè)試將更加注重智能化、自動(dòng)化和協(xié)同化。智能化測(cè)試將利用人工智能和機(jī)器學(xué)習(xí)等技術(shù)，提高測(cè)試的準(zhǔn)確性和效率；自動(dòng)化測(cè)試則通過(guò)自動(dòng)化工具和平臺(tái)，降低測(cè)試成本，提高測(cè)試效率；協(xié)同化測(cè)試則強(qiáng)調(diào)跨部門(mén)、跨領(lǐng)域的合作，共同應(yīng)對(duì)復(fù)雜多變的信息安全威脅。
成都精正檢測(cè)技術(shù)有限公司，全國(guó)服務(wù)的權(quán)威第三方軟件測(cè)試機(jī)構(gòu)，具備CMA、CNAS雙重認(rèn)證資質(zhì)。2019年應(yīng)國(guó)家行業(yè)發(fā)展要求成立，專(zhuān)注于軟件測(cè)試服務(wù)，技術(shù)人員擁有多年豐富測(cè)試經(jīng)驗(yàn)，團(tuán)隊(duì)秉承科學(xué)、公正、專(zhuān)業(yè)的服務(wù)理念，以先進(jìn)效率的測(cè)試平臺(tái)及工具，服務(wù)于政企研院校等機(jī)構(gòu)，出具的軟件測(cè)試報(bào)告公正權(quán)威具備法律效力，提供確認(rèn)測(cè)試、鑒定測(cè)試、驗(yàn)收測(cè)試、滲透測(cè)試、漏洞掃描、代碼審計(jì)、駐場(chǎng)測(cè)試、技術(shù)指導(dǎo)、電網(wǎng)信息系統(tǒng)驗(yàn)收測(cè)試、單元測(cè)試、集成測(cè)試、登記測(cè)試等服務(wù)領(lǐng)域及其他專(zhuān)業(yè)技術(shù)服務(wù)（包含功能性、性能效率、兼容性、易用性、可靠性、信息安全性、可維護(hù)性、可移植性、有效性、滿意度、抗風(fēng)險(xiǎn)性、周境覆蓋、正確性、用戶(hù)文檔集等質(zhì)量特性測(cè)試）等服務(wù)。為軟件行業(yè)保駕護(hù)航！ (點(diǎn)擊咨詢(xún)測(cè)試報(bào)價(jià)）
-
駐場(chǎng)測(cè)試駐場(chǎng)測(cè)試指根據(jù)客戶(hù)企業(yè)用人需求，將專(zhuān)業(yè)人員派遣到客戶(hù)現(xiàn)場(chǎng)辦公的一種服務(wù)方式。人員具有很好的專(zhuān)業(yè)性和適應(yīng)力，更有豐富的項(xiàng)目經(jīng)驗(yàn)，可以為公司提供最專(zhuān)業(yè)最合適的服務(wù)，提升企業(yè)核心競(jìng)爭(zhēng)力，降低企業(yè)用人成本支出，減少企業(yè)正式員工的雇傭風(fēng)險(xiǎn)，應(yīng)企業(yè)的需求，可提供企業(yè)中不同類(lèi)型、不同層次的用人需求，提供測(cè)試工程師人才外包服務(wù)，實(shí)現(xiàn)資源共享、協(xié)同開(kāi)發(fā)、人才整合，企業(yè)用人不養(yǎng)人。2024-03-12 -
確認(rèn)測(cè)試確認(rèn)測(cè)試（Validation Testing）是對(duì)已經(jīng)通過(guò)組合測(cè)試并存在于系統(tǒng)目標(biāo)設(shè)備介質(zhì)上的軟件進(jìn)行的測(cè)試。這種測(cè)試的主要目的是驗(yàn)證軟件是否滿足“軟件需求說(shuō)明書(shū)”中規(guī)定的全部功能和性能要求，以及驗(yàn)證軟件的有效性。確認(rèn)測(cè)試通常是由一個(gè)獨(dú)立的組織按照“確認(rèn)測(cè)試計(jì)劃”進(jìn)行，測(cè)試工作需要從用戶(hù)的角度出發(fā)。2024-03-12 -
集成測(cè)試軟件集成測(cè)試是指在軟件開(kāi)發(fā)過(guò)程中，將各個(gè)模塊、組件或系統(tǒng)組件集成在一起，通過(guò)測(cè)試來(lái)評(píng)估它們是否能夠協(xié)同工作，以滿足設(shè)計(jì)要求的過(guò)程。這一過(guò)程旨在發(fā)現(xiàn)集成過(guò)程中可能出現(xiàn)的問(wèn)題，如接口錯(cuò)誤、數(shù)據(jù)傳遞錯(cuò)誤等，以確保整個(gè)系統(tǒng)的穩(wěn)定性和可靠性。2024-03-12