軟件系統(tǒng)安全測試管理方案規(guī)范標(biāo)準(zhǔn)

軟件系統(tǒng)安全測試管理方案規(guī)范標(biāo)準(zhǔn)軟件系統(tǒng)安全測試管理方案規(guī)范標(biāo)準(zhǔn)15/15軟件系統(tǒng)安全測試管理方案規(guī)范標(biāo)準(zhǔn)軟件系統(tǒng)安全測試管理規(guī)范上海理想信息產(chǎn)業(yè)（公司）有限公司2020年5月18日版本歷史版本提案人1.0甘XX

贊同人

日期

描述初建【目錄】1歸納51.1編寫目的51.2適用范圍51.3角色定義51.4參照資料52項目背景63軟件系統(tǒng)安全測試流程74測試準(zhǔn)備94.1測試準(zhǔn)備9測試對象9測試范圍9工作權(quán)責(zé)94.2測試方案10測試準(zhǔn)備10測試解析11制作測試用例13推行測試方法14回歸測試方法144.3測試計劃144.4推行測試154.5回歸測試154.6測試總結(jié)15歸納1.1編寫目的建立和完滿-系統(tǒng)安全測試管理制度。規(guī)范軟件系統(tǒng)安全測試各環(huán)節(jié)的要求、規(guī)范各崗位人員的工作職責(zé)、明確軟件系統(tǒng)安全測試推行過程中的管理行為及文檔要求。以規(guī)范化的文檔指導(dǎo)軟件系統(tǒng)安全測試工作，提升管理效率、降低項目風(fēng)險。1.2適用范圍本規(guī)范適用于智能信息化系統(tǒng)建設(shè)項目軟件安全測試管理過程。1.3角色定義角色簡稱角色定義備注總集PM總集方負(fù)責(zé)業(yè)務(wù)系統(tǒng)的項目經(jīng)理信息中心PM信息中心負(fù)責(zé)業(yè)務(wù)系統(tǒng)的項目經(jīng)理信息中心主任信息中心負(fù)責(zé)人廠商接口人軟件廠商負(fù)責(zé)學(xué)校的負(fù)責(zé)人安全測試人員安全測試團(tuán)隊成員1.4參照資料參照文件備注項目背景校園內(nèi)信息化軟件眾多，這些軟件不只承載著學(xué)校核心業(yè)務(wù)，同時還生成、辦理、儲藏著學(xué)校的核心敏感信息：賬戶、隱私、科研、薪資等，一旦軟件的安全性不足，將可能造成業(yè)務(wù)中斷、數(shù)據(jù)泄露等問題的出現(xiàn)。希望經(jīng)過規(guī)范軟件系統(tǒng)安全測試管理，改進(jìn)和提升學(xué)校軟件安全測試水平，將學(xué)校軟件系統(tǒng)可能發(fā)生的風(fēng)險控制在可以接受的范圍內(nèi)，提升系統(tǒng)的安全性能。軟件系統(tǒng)安全測試流程軟件系統(tǒng)安全測試流程分為6個階段：1）測試準(zhǔn)備：確定測試對象、測試范圍、測試相關(guān)人員權(quán)責(zé)；2）測試方案：按要求整理撰寫《安全測試方案》，并完成方案審批；3）測試計劃：測試方案通過后，協(xié)調(diào)確認(rèn)各相關(guān)人員時間，形成測試計劃；4）推行測試：按計劃推行軟件安全測試工作，輸出《軟件安全測試報告》；5）回歸測試：問題修復(fù)，回歸測試循環(huán)進(jìn)行，直到?jīng)]有新的問題出現(xiàn)；6）測試總結(jié)：測試過程總結(jié)，輸出文檔評審，相關(guān)文檔歸檔。其整體流程見流程圖（以下圖）：軟件安全測試流程圖信PM開始提出安全測試需求經(jīng)過審察方案經(jīng)過

總集PM協(xié)調(diào)測試團(tuán)隊審察方案協(xié)調(diào)相關(guān)人員時間

安全測試團(tuán)隊廠商負(fù)責(zé)人文檔供應(yīng)安全測試環(huán)境信息編撰軟件軟件安全安全測試測試方案方案不經(jīng)過不經(jīng)過擬定安全軟件安全測試計劃測試計劃推行測試軟件安全測試報告修復(fù)問題或漏洞回歸測試測試總結(jié)軟件安全測試總結(jié)結(jié)束段階測試準(zhǔn)備4.1測試準(zhǔn)備明確本次安全測試的軟件系統(tǒng)及其測試范圍，并對涉及各方權(quán)責(zé)做出說明4.1.1測試對象軟件系統(tǒng)名稱，軟件廠商信息、軟件開發(fā)語言等系統(tǒng)信息開發(fā)商：系統(tǒng)結(jié)構(gòu)：編程語言：操作系統(tǒng)：WEB服務(wù)器：數(shù)據(jù)庫：4.1.2測試范圍軟件內(nèi)部程序、軟件外面接口、數(shù)據(jù)庫、網(wǎng)絡(luò)服務(wù)器環(huán)境等4.1.3工作權(quán)責(zé)序號涉及各方權(quán)責(zé)說明1、組織談?wù)?、編寫安全測試方案并經(jīng)過評審1安全測試團(tuán)隊2、測試人員分工安排3、搭建安全測試環(huán)境4、安全測試推行2圖信1、參加談?wù)摬⒋_認(rèn)測試方案2、進(jìn)行程序開發(fā)或更正等集成相關(guān)的推行工作1、協(xié)調(diào)安全測試團(tuán)隊3總集2、審察安全測試團(tuán)隊擬定的安全測試方案3、其他協(xié)分派合工作4系統(tǒng)廠商1、供應(yīng)測試軟件的相關(guān)信息2、其他協(xié)分派合工作4.2測試方案安全測試團(tuán)隊依照軟件構(gòu)成、軟件環(huán)境以及圖信安全需求編制《X軟件系統(tǒng)安全測試方案》；此方案要求圖信PM、總集PM均審察經(jīng)過；若審察未經(jīng)過，由安全測試團(tuán)隊依照反響建議，針對未經(jīng)過的業(yè)務(wù)內(nèi)容進(jìn)行更正或重新調(diào)研，完成后進(jìn)行再提交審察。軟件系統(tǒng)安全測試方案最少要覆蓋以下內(nèi)容：1）測試準(zhǔn)備（對象、范圍、分工）2）測試解析（系統(tǒng)解析、威脅解析）3）制作測試用例4）推行測試方法5）回歸測試方法4.2.1測試準(zhǔn)備明確本次安全測試的軟件系統(tǒng)及其測試范圍，并對涉及各方權(quán)責(zé)做出說明4.2.2測試解析測試解析主若是熟悉被測系統(tǒng)，經(jīng)過系統(tǒng)的外面環(huán)境解析、物理架構(gòu)解析和邏輯架構(gòu)解析，認(rèn)識系統(tǒng)特點，便于后續(xù)的威脅解析以及對應(yīng)的用例編寫。系統(tǒng)解析系統(tǒng)解析包括外面環(huán)境解析、物理架構(gòu)解析和邏輯架構(gòu)解析的劃分。1）外面環(huán)境解析對系統(tǒng)所在的外面環(huán)境，如操作系統(tǒng)、服務(wù)器、網(wǎng)絡(luò)等進(jìn)行解析服務(wù)器安全防范（系統(tǒng)補(bǔ)丁、漏洞、木馬、外掛、開放端口）服務(wù)器用戶及其權(quán)限管理，密碼更新體系服務(wù)器備份體系2）物理架構(gòu)解析依照系統(tǒng)物理架構(gòu)解析其使用的組件，如基層使用何種數(shù)據(jù)庫，控制層使用何種組件，表示層使用何種前端庫等，組件之間使用那些通信協(xié)議等，認(rèn)識系統(tǒng)特點。數(shù)據(jù)儲藏層：如MySQL、Oracle、Redis、Bigtable等；控制層：如spring、Struts2、Tomcat、Weblogic等；表示層：如ExtJS、Bootstrap等；通信協(xié)議：如AMQP等3）邏輯架構(gòu)解析依照系統(tǒng)的業(yè)務(wù)邏輯劃分業(yè)務(wù)，再依照各業(yè)務(wù)數(shù)據(jù)流從身份考據(jù)、加密、輸入校驗、敏感數(shù)據(jù)、配置管理、授權(quán)、異常管理、會話管理、參數(shù)操作、審察和日志記錄、部署和基礎(chǔ)結(jié)構(gòu)等方面下手解析。威脅解析系統(tǒng)解析后需要進(jìn)行的就是威脅解析，依照系統(tǒng)解析的結(jié)果，選擇合適的威脅模型，解析系統(tǒng)面對的主要安全威脅。常用的威脅模型STRIDE，是基于數(shù)據(jù)流的一種威脅解析模型，它包括六個維度威脅：威脅模型STRIDE一般應(yīng)用在二層數(shù)據(jù)流圖上，在外界操作與系統(tǒng)內(nèi)部模塊之間、系統(tǒng)模塊與外界儲藏之間需要畫立相信界線。數(shù)據(jù)流圖元素和STRIDE的對應(yīng)關(guān)系以下：對于每一種威脅，其對應(yīng)的消減方式以下表：4.2.3制作測試用例系統(tǒng)解析和威脅解析后就需要依照解析結(jié)果編寫測試用例。外界環(huán)境和物理架構(gòu)這邊，主若是針對系統(tǒng)或組件特點，擺列用例內(nèi)容；邏輯架構(gòu)這邊是測試用例重點，解析軟件系統(tǒng)數(shù)據(jù)流圖，針對分解的每一個二層數(shù)據(jù)流圖，對每一個數(shù)據(jù)流圖元素，照射對應(yīng)的威脅，編寫測試用例，用例必定依照模板輸出。測試用例詳細(xì)內(nèi)容包括：用例名稱：測試用例必定擁有唯一可劃分的名稱；用例執(zhí)行步驟：用例的詳細(xì)執(zhí)行步驟，每一步必定無歧義，具備可執(zhí)行性；用例使用的工具：用例執(zhí)行過程中使用的工具；用例的執(zhí)行條件：用例執(zhí)行必定具備的條件，如網(wǎng)絡(luò)可達(dá)、服務(wù)必定運行等；用例的輸入和輸出：用例執(zhí)行過程中涉及的輸入，以及對應(yīng)的輸出；用例的安全屬性：目前規(guī)定的安全屬性包括管理通道安全、XSS、注入攻擊、CSRF、身份認(rèn)證、會話安全、敏感數(shù)據(jù)保護(hù)、越權(quán)、中間件安全、配置安全這10個維度；用例執(zhí)行優(yōu)先級：用例執(zhí)行的優(yōu)先序次，在用例數(shù)量很多的情況下，應(yīng)依照優(yōu)先級高低的序次執(zhí)行。4.2.4推行測試方法測試用例編寫完就需要開始用例的執(zhí)行，詳細(xì)的測試包括自動化的工具執(zhí)行以及手動測試。自動化的工具掃描包括：Nmap端口掃描、系統(tǒng)漏洞掃描、web安全掃描、協(xié)議安全掃描等；手動測試包括：XSS、CSRF、SQL注入、XML注入、命令注入、橫向/縱向越權(quán)、會話安全等等；安全測試環(huán)境原則上使用軟件系統(tǒng)測試環(huán)境，如必定在生產(chǎn)環(huán)境進(jìn)步行，實施測試方法中必定包括《失敗退回方案》，保護(hù)生產(chǎn)環(huán)境中的數(shù)據(jù)和應(yīng)用；對于每一個用例的測試過程，需要有對應(yīng)的操作截圖，測試執(zhí)行完成后需要輸出對應(yīng)的《安全測試報告》。4.2.5回歸測試方法《安全測試報告》中需要給出每個安全問題或漏洞的解決方案或建議。若是可能，解決方案應(yīng)當(dāng)詳細(xì)到源碼級別?；貧w測試的目的為了防范問題修復(fù)引入新的安全問題，問題修復(fù)&回歸測試是個循環(huán)的過程，測試沒有新的問題時循環(huán)即停止。4.3測試計劃待《軟件安全測試方案》總集審察、圖信審察均通過后，由總集PM協(xié)調(diào)確認(rèn)涉及各方的測試時間及地點安排，最后形成《軟件安全測試計劃》《軟件安全測試計劃》主要包括以下內(nèi)容：1）測試對象2）工作權(quán)責(zé)3）詳細(xì)測試分工及測試時間地點安排4）附《軟件安全測試方案》4.4推行測試安全推行團(tuán)隊依照《軟件安全測試計劃》推行測試，涉及各方現(xiàn)場或遠(yuǎn)程配合測試工作；推行測試過程中，如多方存在問題或爭議，由總集PM協(xié)調(diào)辦理；推行測試工作結(jié)束后，安全團(tuán)隊給出《軟件安全測試報告