應(yīng)用系統(tǒng)安全測試內(nèi)容及方法

應(yīng)用系統(tǒng)安全測試內(nèi)容及方法應(yīng)用系統(tǒng)安全測試內(nèi)容及方法應(yīng)用系統(tǒng)安全測試內(nèi)容及方法xxx公司應(yīng)用系統(tǒng)安全測試內(nèi)容及方法文件編號：文件日期：修訂次數(shù)：第1.0次更改批準審核制定方案設(shè)計，管理制度測試內(nèi)容測試要點測試方法應(yīng)用系統(tǒng)的用戶管理、權(quán)限管理應(yīng)充分利用操作系統(tǒng)和數(shù)據(jù)庫的安全性；應(yīng)用軟件運行時須有完整的日志記錄。日志記錄的完整性檢測系統(tǒng)運行時是否會記錄完整的日志。如進行詳單查詢，檢測系統(tǒng)是否會記錄相應(yīng)的操作員、操作時間、系統(tǒng)狀態(tài)、操作事項、IP地址等。不允許以明文方式保存用戶密碼或系統(tǒng)使用的各類密碼用戶密碼或系統(tǒng)使用的各類密碼的加密存儲檢查數(shù)據(jù)庫中的用戶密碼、操作員密碼等字段是否是以加密方式保存。為保證安全性，口令不允許以明碼的形式顯示在輸出設(shè)備上，應(yīng)能對口令進行如下限制：最小口令長度、強制修改口令的時間間隔、口令的唯一性、口令過期失效后允許入網(wǎng)的寬限次數(shù)。1．口令不允許以明碼顯示在輸出設(shè)備上。2．最小口令長度的限制。3．強制修改的時間間隔限制。4．口令的唯一性限制。5．口令過期失效后允許入網(wǎng)的寬限次數(shù)限制實際登錄系統(tǒng)，輸入相應(yīng)的口令，檢測口令是否是以加密形式顯示，同時檢測最小口令長度、強制修改口令的時間間隔、口令的唯一性、口令過期失效后允許入網(wǎng)的寬限次數(shù)。應(yīng)用系統(tǒng)應(yīng)支持操作失效時間的配置，當(dāng)操作員在所配置的時間內(nèi)沒有對界面進行任何操作則該應(yīng)用自動失效。1．支持操作失效時間的配置。2．支持當(dāng)操作員在所配置的時間內(nèi)沒有對界面進行任何操作則該應(yīng)用自動失效。檢測系統(tǒng)是否支持操作失效時間的配置，同時達到所配置的時間內(nèi)沒有對界面進行任何操作時，檢測系統(tǒng)是否會將用戶自動失效，需要重新登錄系統(tǒng)。應(yīng)用系統(tǒng)應(yīng)提供完善的審計功能，對系統(tǒng)關(guān)鍵數(shù)據(jù)的每一次增加、修改和刪除都能記錄相應(yīng)的修改時間、操作人和修改前的數(shù)據(jù)記錄。支持系統(tǒng)關(guān)鍵數(shù)據(jù)進行維護的記錄功能。檢測對系統(tǒng)關(guān)鍵數(shù)據(jù)進行增加、修改和刪除時，系統(tǒng)是否會記錄相應(yīng)的修改時間、操作人員和修改前的數(shù)據(jù)記錄。應(yīng)用程序的源代碼不允許放在運行主機上，應(yīng)另行存放，并具有版本控制能力。1．應(yīng)用程序的源代碼不允許放在運行主機上，應(yīng)另行存放。2．版本控制信息1．登錄主機審查應(yīng)用程序的源代碼存放位置。2．查看支撐系統(tǒng)版本控制管理辦法或相似文件，是否有相應(yīng)的版本管理規(guī)章制度；軟件升級、補丁植入流程管理是否合理。3．查看系統(tǒng)軟件版本記錄文件及軟件介質(zhì)與軟件操作手冊，是否有詳細的軟件版本號、軟件升級與補丁植入情況的記錄。各應(yīng)用軟件目錄設(shè)置及其訪問權(quán)限應(yīng)有相應(yīng)的規(guī)范，以保證系統(tǒng)的安全性和可維護性。各應(yīng)用軟件目錄設(shè)置及其訪問權(quán)限應(yīng)有相應(yīng)的規(guī)范。審查是否有各應(yīng)用軟件目錄設(shè)置及其訪問權(quán)限相應(yīng)的規(guī)范文件。接口程序連接登錄必須進行認證（根據(jù)用