系統安全性測試

系統的安全測試

1.      安全測試，什麼是安全測試。安全性測試（Security test）它是指：在測試軟件系統中對程序的危險防止和危險處理進行的測試，以驗證其是否有效。

2.      安全性測試咱們要作哪些工做呢？

   a.全面檢驗軟件在軟件需求規格說明中規定的防止危險狀態措施的有效性和在每個危險狀態下的處理反應狀況；

b.對軟件設計中用於提升安全性的邏輯結構、處理方案，進行鍼對性測試；

c.在異常條件下測試軟件，以代表不會因可能的單個或多個輸入錯誤而致使不安全狀態

d.用錯誤的安全性關鍵操做進行測試，以驗證系統對這些操做錯誤的反應；

e.對安全性關鍵的軟件單元功能模塊要單獨進行增強的測試以確認其知足安全性需求。

3. 安全性測試方法

   1.功能驗證

        功能驗證是採用軟件測試當中的黑盒測試方法,對涉及安全的

        軟件功能,如：用戶管理模塊，權限管理，加密系統，認證系

        統等進行測試，主要驗證上述功能是否有效。

   2.漏洞掃描

        安全漏洞掃描主要是藉助於特定的漏洞掃描器完成的。經過使

        用漏洞掃描器，系統管理員可以發現系統存在的安全漏洞，

        從而在系統安全中及時修補漏洞的措施。通常漏洞掃描分爲

        兩種類型：主機漏洞掃描器是指在系統本地運行檢測系統漏

        洞的程序。網絡漏洞掃描器是指基於網絡遠程檢測目標網絡

        和主機系統漏洞的程序。

   3.模擬攻擊

        對於安全測試來講，模擬攻擊測試是一組特殊的極端的測試方

        法，咱們以模擬攻擊來驗證軟件系統的安全防禦能力。

 

 

剛纔咱們主要講了兩個內容：1.系統安全測試要咱們作的哪些工做。

                         2.系統安全測試的方法。

下面咱們切入主題講系統的安全測試，都要測試哪些東西

1.      系統安全測試的內容：它主要包括

1.應用程序安全測試

2.操做系統安全測試

3.數據庫安全測試

4.IIS服務器安全測試

5.網絡環境安全測試

固然在這裏我主要講的是我作過的項目系統中須要測試的內容，對不一樣的系統安全性測試的內容也不同，這個須要結合項目自己的狀況和用戶使用環境來肯定測試的內容。

 

第一部分

應用程序的安全性：

　　　包括對數據或業務功能的訪問，在預期的安全性狀況下，操做者只能訪問應用程序的特定功能、有限的數據。其測試是覈實操做者只能訪問其所屬用戶類型已被受權訪問的那些功能或數據。測試時，肯定有不一樣權限的用戶類型，建立各用戶類型並用各用戶類型所特有的事務來覈實其權限，最後修改用戶類型併爲相同的用戶從新運行測試。

 

應用程序的安全性問題:

我主要是結合咱們剛纔講的安全性測試方法中，對於不一樣的安全性測試策略列舉了不一樣的問題，固然我列的不全，在這裏我主要是告訴你們一個測試的思路，由於對於不一樣的安全性問題你們有或許有不一樣的見解，因此我只列舉了部分問題給你們參考。

功能驗證

   1.有效的密碼是否接受，無效的密碼是否拒絕。

   2.系統對於無效用戶或密碼登錄是否有提示。

   3.用戶是否會自動超時退出，超時的時間是否合理。

4.各級用戶權限劃分是否合理。

漏洞掃描

       無

模擬攻擊

   1.系統是否容許極端或不正常的登錄方式訪問。（如

      拷貝軟件系統中的某個功能點的url地址，而後直接

      經過IE訪問看是否成功）

第二部分

系統安全性：

注意（這裏的系統指的是操做系統也就是應用程序所運行的操做系統）               

系統安全測試：

　可確保只有具有系統訪問權限的用戶才能訪問應用程序，並且只能經過相應的網關來訪問，包括對系統的登陸或遠程訪問。其測試是覈實只有具有系統和應用程序訪問權限的操做者才能訪問系統和應用程序。

 

操做系統安全測試

l      賬號和口令

l      網絡與服務

l      文件系統

l      日誌審覈

l      其它安全設置

 

賬號和口令

一、 對主機或域上用戶強制進行口令複雜度。

二、 檢查系統是否使用默認管理員賬號。

三、 檢查在系統中是否存在可疑或與系統無關的賬號。

四、 檢查系統用戶是否有口令最短和口令長度要求。

五、 檢查系統用戶是否有密碼過時策略。

六、 

網絡與服務

一、 查看主機開放的共享，關掉沒必要要的共享和系統默認的共享服務。

二、 查看主機進程信息。（不容許系統中安裝有與應用服務無關的應用程序）

三、 查看系統啓動的服務列表。

四、 查看系統啓用的端口號。

五、 查看系統是否制定操做系統的備份恢復策略服務

文件系統

文件系統的安全主要是檢查主機磁盤分區類型和某些特定目錄的權限。

    注意：服務器應使用具備安全特性的NTFS格式，而不該該使用FAT或FAT32分區（上述描述的內容主要是針對windows操做系統）。

日誌審覈

日誌的審覈主要是檢查主機日誌的審覈狀況。

  它主要包括：

  1.應用程序日誌。（運行在操做系統上的程序產生的）

  2.安全日誌。（用戶登陸系統的日誌）

  3.系統日誌。

其它安全設置

一、 系統補丁漏洞。

二、 登錄系統操做的用戶的權限。

三、 病毒防治。

四、 系統日誌是否有備份功能。

五、 數據的備份與恢復。

六、 系統上卸載與無關組件或應用程序。

 

第三部分

數據庫安全測試

數據庫安全

在管理和維護數據庫的過程當中爲了保障數據庫安全咱們從如下幾方面限制數據庫訪問安全：

一、限制能訪問Oracle數據庫的客戶端，指定的IP才能夠訪問，防止惡意的用戶登錄。

二、即便有訪問Oracle數據庫的機會，賬戶的密碼使用強口令和其餘登錄策略，惡意用戶也沒法輕鬆進入。

三、爲每一個登錄賬戶設置了合適的權限，執行改變數據庫狀態的權限須要獲得管理員的受權，確保了系統合法賬戶對數據庫的操做安全。

 

解決辦法

 

1.無關IP禁止訪問

    方法一：在Oracle服務器的SQLNet.Ora文件中設置容許訪問的IP地址,或不容許訪問的IP地址；

    方法二：在Oracle服務器上使用NetManager工具設置；

2.用戶密碼爲強口令

    鎖定不用的默認賬戶，如scott；

    更改使用的默認賬戶的口令，這些賬戶的密碼是公開的，安裝時自動創建，如賬戶system密碼manager爲確保安全默認賬戶必須修改密碼；

    密碼使用強口令，即數字、特殊字符、字母組成的至少8未的密碼；

    設置密碼失效的策略文件profile，可在控制檯中設置。

3.用戶賦予適當的權限

     不要每一個賬戶都設置DBA權限，把系統全部操做暴露給每一個用戶；

     每一個賬戶僅賦予它完成操做所須要的權限；不要輕易爲賬戶賦予delete或delete any權限，確保數據不會被誤刪除；

 

數據庫安全（sql server）

一、關閉服務器端的tcp/ip協議服務。

二、數據庫用戶登陸方式選擇sql server身份認證。

三、設置用戶訪問指定的數據庫。

四、設置用戶對數據庫中的對象有指定的操做權限。

五、查看數據是否有按期自動備份的操做。

 

第四部分

IIS服務器安全測試

一、IIS基礎服務組件安裝狀況。（根據系統狀況合理的安裝，減小安裝沒必要要的服務控件）

二、查看IIS日誌是否啓用，日誌存儲路徑以及日誌記錄選項

三、IIS主目錄路徑和目錄訪問權限的設置。

  （注意:1.目錄建議不要和系統盤符設置在同一路徑下，

        2.目錄訪問權限根據所在項目系統的實際狀況來設置,一般只啓用」讀取」權限,記錄訪問和索引資料權限跟系統的安全無關都默認啓用,由於所用的internet用戶訪問的目錄就是IIS設定主目錄）

四、默認文檔的啓用。

五、訪問控制的身份驗證。

六、鏈接超時功能的設置（能夠根據項目的安全要求具體的可參考系統需求規格說明書來進行合理的設置）。

七、安全補丁的更新和安裝狀況

 

第五部分

網絡環境安全測試

主要檢測的是系統所在局域網內的網絡環境的的安全設置,根據狀況能夠忽略。

1.備份和升級狀況

2.訪問控制狀況

3.網絡服務狀況

4.路由協議狀況