金融行业三级信息系统应用安全测评指导书.docx

密级：机密信息安全等级保护测评指导书应用安全测评指导书XXX 限公司2022.05保密申明本安全方案包含了来自 XXX 牢靠、权威的信息，此信息仅供XXX 的信息安全等级保护测评工程使用，承受本指导书即表示同意对其内容保密，并且未经XXX 书面恳求和书面认可，不得向外界复制，泄露或散布此方案。假设你不是有意承受者，请留意对本方案内容的任何形式的泄露、复制或散布都是被制止的。掌握点等保要求要求项应供给专用的登录掌握模块对登录用户进展身份标识和鉴别。a身 份 鉴别测评方法序号123软件名称1) 询问系统治理员，该系统是否供给专用的登录掌握模块对登录的用户进展身份标识和鉴别， 承受何种方式对用户进展身份标识和鉴别？2) 检查应用系统，身份标识和鉴别的方式是否与治理员答复的全都。3) 以某注册用户身份登录系统，查看登录是否成功；以非法用户身份登录系统，查看登录是否成功。测评结果符合状况等保要求b测评方法应对同一用户的关键操作承受两种或两种以上组合的鉴别技术实现用户身份鉴别；如使用磁卡、IC 卡、动态密码卡、动态口令设备、手机短信动态密码、指纹识别等方式加强鉴别。1） 询问系统治理员，该系统是否承受了两个及两个以上身份鉴别技术的组合来进展身份鉴别2） 假设是，查看身份鉴别技术是什么？是否与答复全都序号软件名称测评结果123符合状况等保要求测评方法c序号1软件名称应供给用户身份标识唯一和鉴别信息简单度检查功能，保证应用系统中不存在重复用户身份标识，身份鉴别信息不易被冒用。1) 询问系统治理员，该系统的用户身份标识是否唯一。实行了什么措施防止身份鉴别信息被冒用。2) 检查总体规划/设计文档，查看其是否有系统实行了唯一标识的说明。查看其身份鉴别信息是否具有不易被冒用的特点。3) 询问系统治理员，该系统是否有特地的设置保证用户身份鉴别信息不易被冒用，假设应用系统承受口令进展身份鉴别，则查看是否有选项或设置强制要求口令长度、简单度、定期修改等。4) 假设应用系统式以用户名来保证用户身份标识的唯一性，则以已有的用户名重注册，测试系统是否制止该操作。5) 扫描应用系统，测试其鉴别信息简单度检查功能，检查系统是否不允许存在弱口令、空口令等。测评结果符合状况23等保要求应供给登录失败处理功能，可实行完毕会话、限制非法登录次数和自动退出等措施。测评方法序号软件名称d1) 询问系统治理员，该系统是否具有登录失败处理的功能如完毕会话、限制非法登录次数， 当登录连接超时，自动退出等，是如何进展处理的?2) 假设有登录失败处理设置选项或模块，查看系统是否设置或选中了该功能。测评结果符合状况123等保要求e测评方法应启用身份鉴别、用户身份标识唯一性检查、用户身份鉴别信息简单度检查以及登录失败处理功能，并依据安全策略配置相关参数。1) 询问系统治理员，该系统的身份鉴别、身份标识唯一性检查、鉴别信息简单度检查以及登录失败处理功能是否有特地的模块或选项，是否有相关参数需要配置。2) 假设有参数需要配置，则查看实际配置状况，是否已经启用上述功能。序号软件名称测评结果符合状况123等保要求应用软件应能在指定的闲置时间间隔到期后，自动锁定客户端的使用。(F3)测评方法检测应用软件客户端在指定闲置时间到期后是否自动锁定。序号f1软件名称测评结果符合状况23g等保要求对于系统自动安排或者预设的强度较弱的初始密码，系统应强制用户首次登录时修改初始密码。(F3)测评方法应测评系统初始密码是否在首次登录时被要求强制修改。序号软件名称测评结果123等保要求修改密码时，不允许设定的密码与旧密码一样。(F3)符合状况测评方法h序号12软件名称1) 询问系统治理员，该系统是否供给访问掌握功能，访问掌握策略是什么？访问掌握的粒度是否到达文件、数据库表？2) 检查应用系统的访问掌握功能和策略配置是否与治理员答复的全都。3) 以某一用户身份登录系统，依据安全策略对客体进展访问，测试是否成功。该用户不依据安全策略对客体进展访问，测试是否成功。测评结果符合状况3等保要求应供给访问掌握功能，依据安全策略掌握用户对文件、数据库表等客体的访问。测评方法1) 询问系统治理员，该系统是否供给访问掌握功能，访问掌握策略是什么？访问掌握的粒度是否到达文件、数据库表？2) 检查应用系统的访问掌握功能和策略配置是否与治理员答复的全都。3) 以某一用户身份登录系统，依据安全策略对客体进展访问，测试是否成功。该用户不依据安全策略对客体进展访问，测试是否成功。访 问 掌握a） 序号123软件名称测评结果符合状况等保要求b测评方法访问掌握的掩盖范围应包括与资源访问相关的主体、客体及它们之间的操作。1) 访谈系统治理员，询问系统访问掌握策略是否掩盖到与信息安全直接相关的主体、客体及它们之间的操作？2) 检查应用系统的访问掌握策略是否掩盖到与信息安全直接相关的全部主体、客体及它们之间的操作。序号软件名称测评结果符合状况123等保要求应由授权主体配置访问掌握策略，并严格限制默认帐户的访问权限。测评方法c序号1软件名称1) 询问系统治理员，该系统是否有由授权主体配置访问掌握策略的功能。2) 假设系统有由授权主体配置访问掌握策略的功能，则以该授权主体用户登录系统，查看某特定用户的权限。以该用户身份登录系统，进展在权限范围内和权限范围外的一些操作，查看是否成功。3) 以该授权主体用户登录系统，修改上述特定用户的权限。以该用户身份登录系统，查看该用户的权限是否与刚修改正的权限保持全都，验证用户权限治理功能是否有效。4) 询问系统治理员，该系统是否有默认用户，假设有，是否限制了默认用户的访问权限。5) 假设有默认帐户，以默认帐户默认密码登录系统，并进展合法及非法操作，测试系统是否对默认帐户访问权限进展了限制。测评结果符合状况23等保要求应授予不同帐户为完成各自担当任务所需的最小权限，并在它们之间形成相互制约的关系。测评方法1) 访谈系统治理员，询问系统全部帐户是否只拥有完成自己担当任务所需的最小权限，相互之间是否形成相互制约关系。2) 以拥有其他权限的用户身份登录，查看其权限是否受到限制序号软件名称d测评结果符合状况123等保要求e测评方法序号软件名称应有生产系统关键账户与权限的关系表。(F3)检查是否建立账户权限关系表，是否明确说明账户类别以及其具有的权限范围。测评结果符合状况123等保要求测评方法宜具有对重要信息资源设置敏感标记的功能。检查目标系统，查看系统是否具有对重要信息资源设置敏感标记的功能？假设有，则验证该功能是否有效。序号软件名称f123测评结果符合状况等保要求g测评方法宜依据安全策略严格掌握用户对有敏感标记重要信息资源的操作。检查目标系统，假设具有对重要信息资源设置敏感标记的功能，则查看系统是否依据安全策略掌握用户对有敏感标记重要信息资源的操作。序号软件名称测评结果符合状况123等保要求应供给掩盖到每个用户的安全审计功能，对应用系统重要安全大事进展审计。安 全 审a计测评方法序号12软件名称1) 访谈安全审计员，询问是否有安全审计功能，对大事进展审计的选择要求和策略是什么。2) 检查应用系统的审计策略审计记录，查看审计策略或记录是否掩盖到每个用户。都对哪些安全大事进展审计。3) 屡次以任意用户身份登录系统，进展一些操作，包括重要的安全相关操作或大事如用户标识与鉴别、自主访问掌握的全部操作记录如用系统治理员身份转变用户权限，增加或删除用户，用户的行为如删除数据、屡次登录失败等。4) 用审计人员的身份登录系统，查看系统对上述用户的重要操作或大事是否进展审计。测评结果符合状况3等保要求应保证无法单独中断审计进程，不供给删除、修改或掩盖审计记录的功能。测评方法b） 序号123软件名称1) 访谈安全审计员，询问应用系统对审计日志的处理方式有哪些。2) 以一般用户身份试图删除、修改或掩盖自身的审计记录，查看能否成功。试图删除、修改其他人的审计记录，查看能否成功。3) 假设审计记录能够导入，则导出审计记录并进展修改后导入系统，查看能否掩盖以前的审计记录。测评结果符合状况等保要求c） 测评方法序号软件名称审计记录的内容至少应包括大事的日期、时间、发起者信息、类型、描述和结果等， 并定期备份审计记录，保存时间不少于半年。以审计员身份登录系统，检查审计记录内容是否包括大事发生的日期、时间、发起者信息、大事类型、大事相关描述信息、大事的结果等。测评结果符合状况123等保要求测评方法序号软件名称d应供给对审计记录数据进展统计、查询、分析及生成审计报表的功能。1) 检查应用系统，查看其是否为授权用户扫瞄和分析审计数据供给特地的审计工具如对审计记录进展分类、排序、查询、统计、分析和组合查询等。2) 检查应用系统是否能够生成审计报表。测评结果符合状况123等保要求e测评方法对于从互联网客户端登陆的应用系统，应在每次用户登录时供给用户上一次成功登录的日期、时间、方法、位置等信息，以便用户准时觉察可能的问题。(F3)检查客户端登录时是否可以供给户上一次成功登录的日期、时间、方法、位置、错误登录等信息。序号软件名称测评结果123符合状况等保要求测评方法应保证用户鉴别信息所在的存储空间被释放或再安排给其他用户前得到完全去除，无论这些信息是存放在硬盘上还是在内存中。访谈系统治理员，询问系统是否实行措施保证对存储介质中的剩余信息进展删除，实行什么具体措施。序号a剩 余 信1息保护23软件名称测评结果符合状况b等保要求应保证系统内的文件、名目和数据库记录等资源所在的存储空间被释放或重安排给其他用户前得到完全去除。测评方法假设鉴别信息存放在文件中，则用另一个用户登录查看能否读取用户信息。假设用户的鉴别信息存放在数据库中，则通过用户界面或其他方式能否猎取系统鉴别信息。序号123等保要求软件名称测评结果应承受密码技术保证通信过程中关键数据的完整性。符合状况通 信 完a测评方法1) 询问安全治理员应用系统是否有数据在传输过程中进展完整性保证的操作，具体实行什么措施。2) 应检查设计/验收文档，查看其是否有通信完整性的说明，假设有则查看是否承受校验码技术保证通信完整性。整性序号12软件名称测评结果符合状况3等保要求测评方法序号软件名称a在通信双方建立连接之前，应用系统应利用密码技术进展会话初始化验证。1) 询问安全治理员系统在通信双方建立连接之前承受什么技术进展会话初始化验证。2) 应检查设计/验收文档，查看其是否有通信保密性的说明，假设有则查看是否有利用密码技术进展通信会话初始化验证的说明。测评结果符合状况1通 信 保2密性3等保要求b测评方法对于通过互联网对外供给效劳的系统，在通信过程中的整个报文或会话过程，应通过专用的通信协议或加密的方式保证通信过程的机密性进展加密。对于通过互联网对外供给效劳的系统， 在通信过程中的整个报文或会话过程，应通过专用的通信协议或加密的方式保证通信过程的机密性进展加密。1) 询问安全治理员应用系统的敏感信息字段在通信过程中是否实行保密措施，具体实行什么措施。2) 应检查设计/验收文档，查看其是否有通信保密性的说明，假设有则查看是否有对通信过程中的敏感信息字段进展加密的说明。序号软件名称设备作用测评结果符合状况123等保要求测评方法应具有在恳求的状况下为数据原发者或接收者供给数据原发证据的功能， 原发证据包括应用系统操作与治理记录，至少应包括操作时间、操作人员及操作类型、操作内容等记录，交易系统还应能够具体记录用户合规交易数据，如业务流水号、账户名、IP 地址、交易指令等信息以供审计，并能够追溯到用户。1) 访谈安全员，询问系统是否具有抗抵赖的措施，具体措施有哪些。2) 测试应用系统，通过双方进展通信，查看系统是否供给在恳求的状况下为数据原发者供给数据原发证据的功能。抗抵赖a序号软件名称测评结果123符合状况等保要求测评方法应具有在恳求的状况下为数据原发者或接收者供给数据接收证据的功能， 承受证据应用系统操作与治理记录至少应包括应用系统操作与治理记录，至少应包括操作时间、操作人员及操作类 型、操作内容等记录，交易系统还应能够具体记录用户合规交易数据，如业务流水号、账户名、IP 地址、交易指令等信息以供审计，并能够追溯到用户。1) 访谈安全员，询问系统是否具有抗抵赖的措施，具体措施有哪些。2) 测试应用系统，通过双方进展通信，查看系统是否供给在恳求的状况下为数据接收者供给数据原发证据的功能。b） 序号123软件名称测评结果符合状况软 件 容a错等保要求测评方法序号1软件名称应供给数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的数据格式或长度符合系统设定要求。1) 访谈治理员，询问是否有保证软件具有容错力量的措施，具体实行哪些措施。2) 在应用终端输入不同如数据格式或长度等符合、不符合软件设定的要求的数据，包括登录标识与鉴别数据、其他操作数据等，查看系统的反响。测评结果符合状况23等保要求测评方法序号软件名称b123应供给自动保护功能，当故障发生时自动保护当前全部状态，保证系统能够进展恢复。询问治理员应用系统是否发生过故障，故障发生时是否能够连续供给一局部功能保证明施必要的措施。测评结果符合状况等保要求c） 测评方法序号软件名称应能够有效屏蔽系统技术错误信息，不将系统产生的错误信息直接反响给客户。(F3) 检查是否能够有效屏蔽系统技术错误信息，不将系统产生的错误信息直接反响给客户。测评结果符合状况123等保要求测评方法对于有会话或短连接的应用系统，当应用系统的通信双方中的一方在一段时间内未作任何响应， 另一方应能够自动完毕会话。1) 询问业务系统是否有资源掌握的措施，具体措施有哪些。2) 登录应用系统效劳器，查看应用系统属性是否设置了连接超时限制。a资 源 掌握b序号123等保要求测评方法软件名称测评结果应能够对系统的最大并发会话连接数进展限制。1) 询问治理员应用系统同时最多支持多少个并发会话连接？是否有限制？2) 登录应用系统效劳器，查看系统是否设置了参数限制最大并发会话连接数。符合状况序号123等保要求测评方法软件名称测评结果对于有会话的应用系统，应能够对单个帐户的多重并发会话进展限制。1) 询问治理员单个帐户同时可以发起多少个并发会话，是否有限制？2) 登录应用系统效劳器，查看系统是否对单个帐户的多重并发会话进展限制。3) 以超过单个帐户规定的并发会话连接数连接系统，测试能否成功。符合状况序号软件名称c测评结果符合状况123d） 等保要求应能够对一个时间段内可能的并发会话连接数进展限制。测评方法1) 询问治理员是否对一个时间段内可能的会话连接数进展限制。2) 检查应用系统是否有对一段时间内可能的并发会话连接数进展限制。3) 在一个时间段内以超过设定的并发会话连接数连接系统，测试能否连接成功。序号123等保要求软件名称测评结果宜能够对系统占用的资源设定限额，超出限额时给出提示信息；符合状况测评方法1) 访谈治理员，询问应用系统是否对访问用户或恳求进程占用的资源安排最大和最小限额2) 检查应用系统，是否对一个访问用户或一个恳求进程占用的资源安排最大限额和最小限额e） 序号12软件名称测评结果符合状况3等保要求测评方法序号软件名称f123应能够对系统效劳水平降低到预先规定的最小值进展检测和报警。检查应用系统，查看是否有效劳水平最小值的设定当系统的效劳水平降低到预先设定的最小值时，系统是否报警。测评结果符合状况等保要求测评方法g序号1软件名称应供给效劳优先级设定功能，并在安装后依据安全策略设定访问帐户或恳求进程的优先级，依据优先级安排系统资源。访谈治理员，询问应用系统是否能依据安全策略设定主体的效劳优先级，依据优先级安排系统资源，保证优先级低的主体处理力量不会影响到优先级高的主体的处理力量。测评结果符合状况23