軟件系統(tǒng)安全測(cè)試管理規(guī)范

1、心中圄電喘1 / CHINA TELECOM軟件系統(tǒng)平安測(cè)試治理標(biāo)準(zhǔn)上海理想信息產(chǎn)業(yè)集團(tuán)2021年3月22日版本歷史版本提案人批準(zhǔn)人日期描述1.0甘XX2021.6.16初建【目錄】1 概述5.1.1 編寫(xiě)目的5.1.2 適用范圍5.1.3 角色定義5.1.4 參考資料5.2 工程背景6.3 軟件系統(tǒng)平安測(cè)試流程7.4 測(cè)試準(zhǔn)備9.4.1 測(cè)試準(zhǔn)備9.4.1.1 測(cè)試對(duì)象9.4.1.2 測(cè)試范圍9.4.1.3 工作權(quán)責(zé)9.4.2 測(cè)試方案1.04.2.1 測(cè)試準(zhǔn)備1.04.2.2 測(cè)試分析1.14.2.3 制作測(cè)試用例124.2.4 實(shí)施測(cè)試方法134.2.5 回歸測(cè)試方法144.3 測(cè)試方案

2、1.44.4 實(shí)施測(cè)試1.54.5 回歸測(cè)試1.51.54.6 測(cè)試總結(jié)1概述1.1 編寫(xiě)目的建立和完善-系統(tǒng)平安測(cè)試治理制度.標(biāo)準(zhǔn)軟件系統(tǒng)平安測(cè)試各環(huán)節(jié)的要求、標(biāo)準(zhǔn)各崗位人員的工作責(zé)任、明確軟件系統(tǒng)平安測(cè)試實(shí)施過(guò)程中的治理行為及文 檔要求.以標(biāo)準(zhǔn)化的文檔指導(dǎo)軟件系統(tǒng)平安測(cè)試工作,提升治理效率、降低工程風(fēng)險(xiǎn)1.2 適用范圍本標(biāo)準(zhǔn)適用于智能信息化系統(tǒng)建設(shè)工程軟件平安測(cè)試治理過(guò)程.1.3 角色定義角色簡(jiǎn)稱角色定義備注總集PM總集方負(fù)責(zé)業(yè)務(wù)系統(tǒng)的工程經(jīng)理信息中央PM信息中央負(fù)責(zé)業(yè)務(wù)系統(tǒng)的工程經(jīng)理信息中央主任信息中央負(fù)責(zé)人J商接口人軟件廠商負(fù)責(zé)學(xué)校的負(fù)責(zé)人平安測(cè)試人員平安測(cè)試團(tuán)隊(duì)成員1.4 參考資料參

3、考文件備注2工程背景校園內(nèi)信息化軟件眾多,這些軟件不光承載著學(xué)校核心業(yè)務(wù),同時(shí)還生成、處理、存儲(chǔ)著學(xué)校的核心敏感信息：賬戶、隱私、科研、薪資等,一旦軟件的安 全性缺乏,將可能造成業(yè)務(wù)中斷、數(shù)據(jù)泄露等問(wèn)題的出現(xiàn).希望通過(guò)標(biāo)準(zhǔn)軟件系統(tǒng)平安測(cè)試治理,改善和提升學(xué)校軟件平安測(cè)試水準(zhǔn),將學(xué)校軟件系統(tǒng)可能發(fā)生的風(fēng)險(xiǎn)限制在可以接受的范圍內(nèi),提升系統(tǒng)的平安性能.3軟件系統(tǒng)平安測(cè)試流程軟件系統(tǒng)平安測(cè)試流程分為6個(gè)階段：1測(cè)試準(zhǔn)備：確定測(cè)試對(duì)象、測(cè)試范圍、測(cè)試相關(guān)人員權(quán)責(zé)；2測(cè)試方案：按要求整理撰寫(xiě)?平安測(cè)試方案?,并完成方案審批；3測(cè)試方案：測(cè)試方案通過(guò)后,協(xié)調(diào)確認(rèn)各相關(guān)人員時(shí)間,形成測(cè)試方案;4實(shí)施測(cè)試：按方

4、案實(shí)施軟件平安測(cè)試工作,輸出?軟件平安測(cè)試報(bào)告?5回歸測(cè)試：?jiǎn)栴}修復(fù),回歸測(cè)試循環(huán)進(jìn)行,直到?jīng)]有新的問(wèn)題出現(xiàn)；6測(cè)試總結(jié)：測(cè)試過(guò)程總結(jié),輸出文檔評(píng)審,相關(guān)文檔歸檔.其整體流程見(jiàn)流程圖下列圖：4測(cè)試準(zhǔn)備4.1 測(cè)試準(zhǔn)備明確本次平安測(cè)試的軟件系統(tǒng)及其測(cè)試范圍,并對(duì)涉及各方權(quán)責(zé)做出說(shuō)明4.1.1 測(cè)試對(duì)象軟件系統(tǒng)名稱,軟件廠商信息、軟件開(kāi)發(fā)語(yǔ)言等系統(tǒng)信息開(kāi)發(fā)商：體系結(jié)構(gòu)：編程諦言：操作系統(tǒng)：WEB效勞器：數(shù)據(jù)庫(kù)：4.1.2測(cè)試范圍軟件內(nèi)部程序、軟件外部接口、數(shù)據(jù)庫(kù)、網(wǎng)絡(luò)效勞器環(huán)境等4.1.3工作權(quán)責(zé)序號(hào)涉及各方權(quán)責(zé)說(shuō)明1平安測(cè)試團(tuán)隊(duì)1、 組織討論、編寫(xiě)平安測(cè)試方案并通過(guò)評(píng)審2、 測(cè)試人員分工安排3、

5、 搭建平安測(cè)試環(huán)境4、 平安測(cè)試實(shí)施2圖信1、參與討論并確認(rèn)測(cè)試方不2、進(jìn)行程序開(kāi)發(fā)或修改等集成相關(guān)的實(shí)施工作3總集1、協(xié)調(diào)平安測(cè)試團(tuán)隊(duì)2、審核平安測(cè)試團(tuán)隊(duì)制定的平安測(cè)試方案3、其他協(xié)調(diào)配合工作4系統(tǒng)J商1、 提供測(cè)試軟件的相關(guān)信息2、 其他協(xié)調(diào)配合工作4.2 測(cè)試方案平安測(cè)試團(tuán)隊(duì)根據(jù)軟件構(gòu)成、軟件環(huán)境以及圖信平安需求編制? X軟件系統(tǒng)平安測(cè)試方案?；此方案要求圖信PM、總集PM均審核通過(guò)；假設(shè)審核未通過(guò),由平安測(cè)試團(tuán)隊(duì)根據(jù)反應(yīng)建議,針對(duì)未通過(guò)的業(yè)務(wù)內(nèi)容進(jìn)行修改或重新調(diào)研,完成后進(jìn)行再提交審核.軟件系統(tǒng)平安測(cè)試方案至少要覆蓋以下內(nèi)容：1測(cè)試準(zhǔn)備對(duì)象、范圍、分工2測(cè)試分析系統(tǒng)分析、威脅分析3制作

6、測(cè)試用例4實(shí)施測(cè)試方法5回歸測(cè)試方法4.2.1 測(cè)試準(zhǔn)備明確本次平安測(cè)試的軟件系統(tǒng)及其測(cè)試范圍,并對(duì)涉及各方權(quán)責(zé)做出說(shuō)明4.2.2 測(cè)試分析測(cè)試分析主要是熟悉被測(cè)系統(tǒng),通過(guò)系統(tǒng)的外部環(huán)境分析、物理架構(gòu)分析和 邏輯架構(gòu)分析,了解系統(tǒng)特性,便于后續(xù)的威脅分析以及對(duì)應(yīng)的用例編寫(xiě).4.2.2.1 系統(tǒng)分析系統(tǒng)分析包含外部環(huán)境分析、物理架構(gòu)分析和邏輯架構(gòu)分析的劃分.1外部環(huán)境分析對(duì)系統(tǒng)所在的外部環(huán)境,如操作系統(tǒng)、效勞器、網(wǎng)絡(luò)等進(jìn)行分析效勞器平安防護(hù)系統(tǒng)補(bǔ)丁、漏洞、木馬、外掛、開(kāi)放端口效勞器用戶及其權(quán)限治理,密碼更新機(jī)制效勞器備份機(jī)制2物理架構(gòu)分析根據(jù)系統(tǒng)物理架構(gòu)分析其使用的組件,如底層使用何種數(shù)據(jù)庫(kù),限

7、制層使 用何種組件,表示層使用何種前端庫(kù)等,組件之間使用那些通信協(xié)議等,了 解系統(tǒng)特性.數(shù)據(jù)存儲(chǔ)層：如 MySQL、Oracle、Redis、Bigtable 等；限制層：如 spring、Struts2、Tomcat、Weblogic 等;表示層：如 ExtJS、Bootstrap 等；通信協(xié)議：如AMQP等3邏輯架構(gòu)分析根據(jù)系統(tǒng)的業(yè)務(wù)邏輯劃分業(yè)務(wù),再根據(jù)各業(yè)務(wù)數(shù)據(jù)流從身份驗(yàn)證、加密、 輸入校驗(yàn)、敏感數(shù)據(jù)、配置治理、授權(quán)、異常治理、會(huì)話治理、參數(shù)操作、 審核和日志記錄、部署和根底結(jié)構(gòu)等方面入手分析 .4.2.2.2威脅分析系統(tǒng)分析后需要進(jìn)行的就是威脅分析,根據(jù)系統(tǒng)分析的結(jié)果,選擇適宜的威脅模

8、型,分析系統(tǒng)面臨的主要平安威脅.常用的威脅模型STRIDE,是基于數(shù)據(jù)流的一種威脅分析模型,它包含六個(gè)STRIDE維度威脅:依根 臼ELftVHtlon of Privil看腮界枳限可用& mida Z = 沈 V爵葉機(jī)南,“T |l! IJI 1|? J- LJ威脅模型STRIDE 一般應(yīng)用在二層數(shù)據(jù)流圖上,在外界操作與系統(tǒng)內(nèi)部模塊之間、系統(tǒng)模塊與外界存儲(chǔ)之間需要畫(huà)立信任邊界.數(shù)據(jù)流圖元素和STRIDE 的對(duì)應(yīng)關(guān)系如下:It去艱愉隹星卡蜜1中典1例料核Ml444事Tf序程X44交互方%信任叁界對(duì)于每一種威脅,其對(duì)應(yīng)的消減方式如下表:庭脅類里法核機(jī)制消*起旨認(rèn)證口令認(rèn)證,雙囚裁認(rèn)證.3

9、8TSS京段需整忤加密.hash,混"？薦名括JQ非祗制性眼窘強(qiáng)認(rèn)證、品全臣計(jì)、數(shù)字將宅信息涉毒機(jī)副1加密、防網(wǎng)校制拒曲醫(yī)舞可用慢記司掙制、過(guò)濡、配額,陪枳以位提升塞權(quán)詁問(wèn)圉虬構(gòu)權(quán)星L 權(quán)限度理4.2.3制作測(cè)試用例系統(tǒng)分析和威脅分析后就需要根據(jù)分析結(jié)果編寫(xiě)測(cè)試用例.外界環(huán)境和物理架構(gòu)這邊,主要是針對(duì)系統(tǒng)或組件特點(diǎn),羅列用例內(nèi)容；邏輯架構(gòu)這邊是測(cè)試用例重點(diǎn),分析軟件系統(tǒng)數(shù)據(jù)流圖,針對(duì)分解的每一個(gè)二層數(shù)據(jù)流圖,對(duì)每一個(gè)數(shù)據(jù)流圖元素,映射對(duì)應(yīng)的威脅,編寫(xiě)測(cè)試用例,用例 必須根據(jù)模板輸出.測(cè)試用例具體內(nèi)容 包括：用例名稱：測(cè)試用例必須具有唯一可區(qū)分的名稱；用例執(zhí)行步驟：用例的詳細(xì)執(zhí)行步驟,

10、每一步必須無(wú)歧義,具備可執(zhí)行性；用例使用的工具：用例執(zhí)行過(guò)程中使用的工具；用例的執(zhí)行條件：用例執(zhí)行必須具備的條件,如網(wǎng)絡(luò)可達(dá)、效勞必須運(yùn)行等；用例的輸入和輸出：用例執(zhí)行過(guò)程中涉及的輸入,以及對(duì)應(yīng)的輸出；用例的平安屬性：目前規(guī)定的平安屬性包括治理通道平安、XSS、注入攻擊、CSRF、身份認(rèn)證、會(huì)話平安、敏感數(shù)據(jù)保護(hù)、越權(quán)、中間件平安、配置安全這10個(gè)維度；用例執(zhí)行優(yōu)先級(jí)：用例執(zhí)行的優(yōu)先順序,在用例數(shù)量很多的情況下,應(yīng)根據(jù) 優(yōu)先級(jí)上下的順序執(zhí)行.一用舞名稱平安減過(guò)槎備備件需試工其看方點(diǎn)行與來(lái)至善攜 通過(guò),訐不毋各W1譽(yù)型通港空至三合爰更正假設(shè)a-受領(lǐng)母帶苒莊海海:查看酒曲馥莓版本,看戛色為呂正冷/

11、刃好:小3宮-不存'在心貳液點(diǎn)量,叁溺Jf總需4.2.4實(shí)施測(cè)試方法測(cè)試用例編寫(xiě)完就需要開(kāi)始用例的執(zhí)行,具體的測(cè)試包括自動(dòng)化的工具執(zhí)行以及手動(dòng)測(cè)試.自動(dòng)化的工具掃描包括：Nmap端口掃描、系統(tǒng)漏洞掃描、web平安掃描、協(xié)議平安掃描等；手動(dòng)測(cè)試包括：XSS、CSRF、SQL注入、XML注入、命令注入、橫向/縱向越權(quán)、會(huì)話平安等等；平安測(cè)試環(huán)境原那么上使用軟件系統(tǒng)測(cè)試環(huán)境,如必須在生產(chǎn)環(huán)境上進(jìn)行,實(shí)施測(cè)試方法中必須包含?失敗退回方案?,保護(hù)生產(chǎn)環(huán)境中的數(shù)據(jù)和應(yīng)用；對(duì)于每一個(gè)用例的測(cè)試過(guò)程,需要有對(duì)應(yīng)的操作截圖,測(cè)試執(zhí)行完成后需要輸出對(duì)應(yīng)的?平安測(cè)試報(bào)告?.4.2.5回歸測(cè)試方法?平安測(cè)試報(bào)

12、告?中需要給出每個(gè)平安問(wèn)題或漏洞的解決方案或建議.如果可能,解決方案應(yīng)當(dāng)詳細(xì)到源碼級(jí)別.回歸測(cè)試的目的為了預(yù)防問(wèn)題修復(fù)引入新的平安問(wèn)題,問(wèn)題修復(fù)&回歸測(cè)試是個(gè)循環(huán)的過(guò)程,測(cè)試沒(méi)有新的問(wèn)題時(shí)循環(huán)即終止.4.3 測(cè)試方案待?軟件平安測(cè)試方案?總集審核、圖信審核均通過(guò)后,由總集 PM協(xié)調(diào)確 認(rèn)涉及各方的測(cè)試時(shí)間及地點(diǎn)安排,最終形成?軟件平安測(cè)試方案?軟件平安測(cè)試方案?主要包含以下內(nèi)容：1測(cè)試對(duì)象2工作權(quán)責(zé)3具體測(cè)試分工及測(cè)試時(shí)間地點(diǎn)安排4附?軟件平安測(cè)試方案?4.4 實(shí)施測(cè)試平安實(shí)施團(tuán)隊(duì)根據(jù)?軟件平安測(cè)試方案?實(shí)施測(cè)試,涉及各方現(xiàn)場(chǎng)或遠(yuǎn)程配合測(cè)試工作；實(shí)施測(cè)試過(guò)程中,如多方存在問(wèn)題或爭(zhēng)議,由總集 PM協(xié)調(diào)處理；實(shí)施測(cè)試工作結(jié)束后,平安團(tuán)隊(duì)給出?軟