安全技術(shù)規(guī)范

通用通用通用通用安全設(shè)計(jì)規(guī)范（參考）應(yīng)不信任、不依賴(lài)客戶(hù)端的安全控制措施，無(wú)論客戶(hù)端采取何種措施，服務(wù)器側(cè)都必須對(duì)用戶(hù)提交的數(shù)據(jù)進(jìn)行合法性檢測(cè)登錄入口應(yīng)具有防止暴力猜解及撞庫(kù)猜解（利用已泄漏的密碼字典進(jìn)行嘗試）的措施,超過(guò)設(shè)定失敗次數(shù)需要啟用鎖定或CAPTCHA圖片隨機(jī)碼用戶(hù)口令的主保護(hù)措施使用SHA256/SHA512/SHA-3或更高強(qiáng)度的散列算法，不使用MD5或SHA—1交易/支付過(guò)程應(yīng)形成完整的證據(jù)鏈,待交易數(shù)據(jù)應(yīng)經(jīng)過(guò)發(fā)起方數(shù)字簽名

設(shè)計(jì)上支持SOD（SeperationofDuty權(quán)限分離），操作系統(tǒng)管理員、應(yīng)用管理員、數(shù)據(jù)庫(kù)管理員可以由不同的人員擔(dān)任軟件發(fā)布前應(yīng)經(jīng)過(guò)數(shù)字簽名客戶(hù)端啟動(dòng)時(shí)應(yīng)對(duì)軟件包所含的全部可執(zhí)行文件、庫(kù)、配置文件進(jìn)行完整性校驗(yàn)，防止篡改或替換客戶(hù)端安全開(kāi)發(fā)規(guī)范（參考）登錄入口應(yīng)具有防止暴力猜解及撞庫(kù)猜解（利用已泄漏的密碼字典進(jìn)行嘗試）的措施，超過(guò)設(shè)定失敗次數(shù)需要啟用鎖定或CAPTCHA圖片隨機(jī)碼應(yīng)不信任、不依賴(lài)客戶(hù)端的安全控制措施，無(wú)論客戶(hù)端采取何種措施,服務(wù)器側(cè)都必須對(duì)用戶(hù)提交的數(shù)據(jù)進(jìn)行合法性檢測(cè)SQL語(yǔ)句應(yīng)使用預(yù)編譯和綁定變量的機(jī)制以實(shí)現(xiàn)SQL指令和參數(shù)的分離，不要拼對(duì)需要輸出到用戶(hù)瀏覽器的任何由用戶(hù)創(chuàng)造的內(nèi)容，應(yīng)在輸出到瀏覽器之前或持久化存儲(chǔ)之前進(jìn)行轉(zhuǎn)義（至少對(duì)＜＞轉(zhuǎn)義為&It;>）以防止跨站攻擊腳本（XSS）針對(duì)交易或特權(quán)操作，應(yīng)防止跨站請(qǐng)求偽造，應(yīng)在框架層面為每個(gè)Form啟用隱藏屬性的CSRFToken,或者使用圖片CAPTCHA由用戶(hù)手工輸入，或者使用支付口令等措施，修改密碼須輸入原密碼，以防止跨站請(qǐng)求偽造（CSRF）應(yīng)限定用戶(hù)上傳的附件類(lèi)型，并對(duì)用戶(hù)提交的圖片/資源進(jìn)行二次渲染（或添加水印/格式轉(zhuǎn)換等）以破壞其原有結(jié)構(gòu)，防止引入有害文件（網(wǎng)頁(yè)木馬等）不使用路徑或文件名作參數(shù)以防止目錄遍歷，不接受/不信任/不展示未經(jīng)驗(yàn)證的外部圖片或資源鏈接

用戶(hù)口令的主保護(hù)措施使用SHA256/SHA512/SHA-3或更高強(qiáng)度的散列算法，不使用MD5或SHA—1對(duì)敏感信息紀(jì)錄做適當(dāng)隱藏（如以星號(hào)代替部分信息），不發(fā)送/不展示完整的敏感信息，數(shù)據(jù)庫(kù)應(yīng)對(duì)敏感信息的部分字段進(jìn)行加密，確保泄露之后不能構(gòu)成完整的信息紀(jì)錄通用如條件滿(mǎn)足，建議使用代碼審計(jì)工具對(duì)代碼進(jìn)行掃描，無(wú)高危缺陷視為通過(guò)通用軟件開(kāi)發(fā)工具均為直接從官方站點(diǎn)下載的正版軟件，而不是從第三方站點(diǎn)所獲取的客戶(hù)端客戶(hù)端軟件所包含的開(kāi)源組件均為安全穩(wěn)定版本，并直接從官方站點(diǎn)下載，而不是從第三方站點(diǎn)獲取

啟動(dòng)時(shí)應(yīng)對(duì)軟件包所含的全部可執(zhí)行文件、庫(kù)、配置文件進(jìn)行完整性校驗(yàn)，防止篡改或替換客戶(hù)端客戶(hù)端與服務(wù)器建立會(huì)話(huà)前應(yīng)首先驗(yàn)證服務(wù)器證書(shū)的合法性，防止用戶(hù)流量被劫持客戶(hù)端?所有接受外部輸入的參數(shù)，應(yīng)執(zhí)行邊界檢查，以防止緩沖區(qū)溢出I—客戶(hù)端安全測(cè)試規(guī)范（參考）測(cè)試用例應(yīng)包含每個(gè)HTTP參數(shù)的SQL注入測(cè)試通用測(cè)試用例應(yīng)包含每個(gè)HTTP參數(shù)的XSS測(cè)試通用

測(cè)試用例應(yīng)包含檢測(cè)到文件包含(FileInclusion,使用HTTP參數(shù)傳遞文件路徑或文件名)直接判定為不通過(guò)通用如Web應(yīng)用提供上傳功能，測(cè)試用例應(yīng)包含上傳網(wǎng)頁(yè)木馬的測(cè)試測(cè)試用例應(yīng)包含檢測(cè)可能導(dǎo)致信息泄露的冗余備份文件，包括zip/tar/tar.gz等通用如條件滿(mǎn)足，建議使用漏洞掃描工具(如WebCruiserWebVulnerabilityScanner等)對(duì)測(cè)試環(huán)境進(jìn)行掃描客戶(hù)端啟動(dòng)時(shí)應(yīng)對(duì)軟件包所含的全部可執(zhí)行文件、庫(kù)、配置文件進(jìn)行完整性校驗(yàn)，防止篡改或替換客戶(hù)端

客戶(hù)端與服務(wù)器建立會(huì)話(huà)前應(yīng)首先驗(yàn)證服務(wù)器證書(shū)的合法性,防止用戶(hù)流量被劫持I—客戶(hù)端安全部署規(guī)范（參考）應(yīng)配置Web服務(wù)器（Apache/Nginx等）以靜態(tài)方式展示用戶(hù)上傳的圖片資源，禁止應(yīng)用服務(wù)器（PHP/JSP/CGI等）動(dòng)態(tài)展示用戶(hù)上傳的資源禁止為后臺(tái)服務(wù)器（數(shù)據(jù)庫(kù)等）配置互聯(lián)網(wǎng)IP地址，僅使用局域網(wǎng)地址通用禁止數(shù)據(jù)庫(kù)端口直接向互聯(lián)網(wǎng)開(kāi)放通用應(yīng)關(guān)閉不需要的服務(wù)/端口通用配置網(wǎng)站HTTPS證書(shū)或其它加密傳輸措施通用檢查各中間件（Web服務(wù)器軟件、框架、數(shù)據(jù)庫(kù)等）版本，確認(rèn)是安全/穩(wěn)定版本

如已建立內(nèi)部運(yùn)維通道，禁止后臺(tái)管理入口、運(yùn)維及遠(yuǎn)程控制端口向互聯(lián)網(wǎng)開(kāi)放

通用禁止在應(yīng)用中配置使用數(shù)據(jù)庫(kù)超級(jí)賬號(hào)，應(yīng)為應(yīng)用配置專(zhuān)用賬號(hào)并授予合理的權(quán)限通用回收修改操作系統(tǒng)賬號(hào)、數(shù)據(jù)庫(kù)賬號(hào)，以及其它外部集成賬號(hào)口令通用確認(rèn)沒(méi)有使用空口令、弱口令、通用口令（多處重復(fù)使用同一個(gè)口令）