1、ICS 03.060A11 JR中 华 人 民 共 和 国 金 融 行 业 标 准JR/T 0191 2020证 券 期 货 业 软 件 测 试 指 南 软 件 安 全 测 试 Guide for securities and futures industry software testSoftware security testing 2020-07- 10 发 布 2020- 07 -10 实 施中 国 证 券 监 督 管 理 委 员 会 发 布 JR/T 0191 2020 I 目 次前 言 .II1 范 围 .12 规 范 性 引 用 文 件 .13 术 语 和 定 义 .14 软 件
2、 安 全 测 试 内 容 及 流 程 .25 软 件 安 全 测 试 技 术 .36 软 件 安 全 测 试 基 本 测 试 方 法 .77 移 动 应 用 安 全 测 试 特 定 测 试 方 法 .13附 录 A（ 资 料 性 附 录 ） 软 件 安 全 测 试 模 板 .16 A.1.软 件 安 全 测 试 方 案 .16A.2.软 件 安 全 测 试 用 例 .17A.3.软 件 安 全 测 试 报 告 .17 JR/T 01912020 II 前 言本 标 准 按 照 GB/T1.1 2009给 出 的 规 则 起 草 。本 标 准 由 全 国 金 融 标 准 化 技 术 委 员 会
3、证 券 分 技 术 委 员 会 （ SAC/TC180/SC4） 提 出 。本 标 准 由 全 国 金 融 标 准 化 技 术 委 员 会 (SAT/TC180)归 口 。本 标 准 起 草 单 位 ： 中 国 证 券 监 督 管 理 委 员 会 信 息 中 心 、 大 连 商 品 交 易 所 、 证 券 期 货 业 信 息 技 术 测 试中 心 （ 大 连 ） 、 中 证 信 息 技 术 服 务 有 限 责 任 公 司 、 上 海 证 券 交 易 所 、 深 圳 证 券 交 易 所 、 上 海 期 货 交 易 所 、中 国 金 融 期 货 交 易 所 、 国 泰 君 安 证 券 股 份 有
4、限 公 司 、 恒 生 电 子 股 份 有 限 公 司 、 北 京 梆 梆 安 全 科 技 有 限 公司 。 本 标 准 主 要 起 草 人 ： 姚 前 、 刘 铁 斌 、 周 云 晖 、 许 强 、 李 向 东 、 俞 枫 、 刘 军 、 孙 瑞 超 、 刘 进 、 丁 新 杰 、董 琳 、 肖 昱 、 高 心 远 、 高 锋 远 、 李 婷 婷 、 沙 明 、 谢 冉 、 林 林 、 陈 冬 严 、 杨 硕 、 刘 舒 骐 。 JR/T 0191 2020 1 证 券 期 货 业 软 件 测 试 指 南 软 件 安 全 测 试1 范 围本 标 准 给 出 了 证 券 期 货 行 业 信 息
5、 系 统 建 设 过 程 中 的 软 件 安 全 测 试 目 标 及 流 程 、 软 件 安 全 测 试 技 术 、软 件 安 全 测 试 基 本 测 试 方 法 及 移 动 应 用 安 全 测 试 特 定 测 试 方 法 。本 标 准 适 用 于 指 导 证 券 期 货 行 业 市 场 核 心 机 构 （ 以 下 简 称 核 心 机 构 ） 、 证 券 期 货 基 金 经 营 机 构 （ 以下 简 称 经 营 机 构 ） 以 及 证 券 期 货 信 息 技 术 服 务 机 构 （ 以 下 简 称 服 务 机 构 ） 实 施 证 券 期 货 业 计 算 机 软 件 和外 部 信 息 系 统 的
6、 安 全 测 试 。注 1： 核 心 机 构 ， 如 证 券 期 货 交 易 所 、 证 券 登 记 结 算 机 构 、 期 货 市 场 监 控 中 心 等 ； 注 2： 经 营 机 构 ， 如 证 券 公 司 、 期 货 公 司 、 基 金 公 司 等 ；注 3： 服 务 机 构 为 软 件 开 发 商 、 信 息 商 、 服 务 商 。2 规 范 性 引 用 文 件下 列 文 件 对 于 本 文 件 的 应 用 是 必 不 可 少 的 。 凡 是 注 日 期 的 引 用 文 件 ， 仅 所 注 日 期 的 版 本 适 用 于 本 文件 。 凡 是 不 注 日 期 的 引 用 文 件 ， 其
7、 最 新 版 本 （ 包 括 所 有 的 修 改 单 ） 适 用 于 本 文 件 。GB/T 20271-2006 信 息 安 全 技 术 信 息 系 统 通 用 安 全 技 术 要 求GB/T 25069-2010 信 息 安 全 技 术 术 语JR/T 0060-2010 证 券 期 货 业 信 息 系 统 安 全 等 级 保 护 基 本 要 求 （ 试 行 ）JR/T 0067-2011 证 券 期 货 业 信 息 系 统 安 全 等 级 保 护 测 评 要 求 （ 试 行 ）JR/T 0146-2016（ 所 有 部 分 ） 证 券 期 货 业 信 息 系 统 审 计 指 南JR/T
8、0175-2019 证 券 期 货 业 软 件 测 试 规 范 3 术 语 和 定 义GB/T 25069-2010界 定 的 以 及 下 列 术 语 和 定 义 适 用 于 本 文 件 。3.1 软 件 安 全 测 试 software security testing在 信 息 系 统 软 件 产 品 的 生 命 周 期 中 ， 对 软 件 产 品 进 行 检 验 ， 以 验 证 软 件 产 品 符 合 安 全 需 求 和 软 件 产品 质 量 标 准 的 过 程 。3.2 渗 透 测 试 penetration testing以 未 经 授 权 的 动 作 绕 过 某 一 系 统 的 安
9、 全 机 制 的 方 式 ， 检 查 数 据 处 理 系 统 的 安 全 功 能 ， 以 发 现 信 息 系统 安 全 问 题 的 手 段 。 GB/T 25069-2010， 定 义 2.3.873.3 模 糊 测 试 fuzz testing通 过 向 目 标 系 统 提 供 非 预 期 的 输 入 并 监 视 异 常 结 果 来 发 现 软 件 漏 洞 的 技 术 。 JR/T 01912020 2 3.4 敏 感 信 息 sensitive information一 旦 遭 到 泄 露 或 修 改 ， 会 对 标 识 的 信 息 主 体 造 成 影 响 的 信 息 。注 ： 证 券 期
10、 货 行 业 敏 感 信 息 包 括 客 户 姓 名 、 客 户 详 细 地 址 、 客 户 联 系 电 话 、 客 户 证 件 号 码 、 客 户 开 户 行 及 账 号 、 会员 交 易 情 况 、 会 员 持 仓 数 量 、 会 员 可 用 资 金 等 。3.5 移 动 互 联 网 应 用 程 序 mobile internet application通 过 预 装 、 下 载 等 方 式 获 取 并 运 行 在 移 动 智 能 终 端 上 、 向 用 户 提 供 信 息 服 务 的 应 用 软 件 。4 软 件 安 全 测 试 内 容 及 流 程4.1 测 试 内 容 软 件 安 全
11、测 试 的 内 容 包 括 ：a) 确 定 软 件 的 安 全 特 性 实 现 与 预 期 设 计 一 致 ；b) 检 测 软 件 中 潜 在 的 漏 洞 和 风 险 ；c) 检 验 软 件 产 品 在 受 到 恶 意 攻 击 的 情 形 下 ， 依 然 能 够 继 续 正 确 运 行 并 确 保 软 件 被 在 授 权 范 围 内 合法 使 用 的 能 力 ；4.2 测 试 流 程4.2.1 系 统 分 析评 估 被 测 系 统 ， 分 别 从 物 理 架 构 及 逻 辑 架 构 的 角 度 分 析 系 统 使 用 的 组 件 、 网 络 拓 扑 、 系 统 配 置 与 安全 防 御 措 施
12、 等 信 息 ：a) 物 理 架 构 ： 根 据 系 统 所 使 用 的 组 件 梳 理 得 到 物 理 架 构 ， 包 括 数 据 库 、 控 制 组 件 、 前 端 库 以 及 通信 协 议 等 ， 进 而 了 解 系 统 的 结 构 ； b) 逻 辑 架 构 ： 根 据 系 统 的 业 务 逻 辑 梳 理 得 到 逻 辑 架 构 ， 进 而 了 解 系 统 内 部 的 数 据 流 。4.2.2 威 胁 分 析根 据 系 统 分 析 的 结 果 ， 选 择 合 适 的 威 胁 模 型 ， 分 析 系 统 面 临 的 主 要 安 全 威 胁 。 风 险 分 析 应 符 合 GB/T20271
13、-2006。 如 常 见 的 基 于 数 据 流 的 威 胁 分 析 模 型 STRIDE， 它 包 含 六 个 维 度 （ 假 冒 、 篡 改 、 否 认 、 信 息泄 露 、 拒 绝 服 务 和 提 升 权 限 ） 的 威 胁 ， 通 常 结 合 使 用 数 据 流 关 系 图 (DFD)来 辅 助 STRIDE分 析 ， 将 系 统 分解 成 部 件 ， 并 证 明 每 个 部 件 都 不 易 受 相 关 威 胁 攻 击 。系 统 分 析 及 威 胁 分 析 完 成 后 ， 应 产 出 安 全 测 试 方 案 ， 方 案 内 容 包 括 系 统 分 析 阶 段 的 物 理 架 构 、 逻
14、 辑架 构 ， 以 及 威 胁 分 析 阶 段 的 数 据 流 关 系 图 、 制 定 的 技 术 方 案 、 实 施 方 案 等 ， 报 告 格 式 可 参 照 模 板 输 出 （ 参见 附 录 A的 图 A.1） 。4.2.3 制 定 测 试 用 例根 据 威 胁 分 析 的 结 果 编 写 测 试 用 例 ， 针 对 分 解 的 每 一 个 数 据 流 图 ， 对 每 一 个 数 据 流 图 元 素 ， 映 射 对 应 的 威 胁 ， 编 写 测 试 用 例 ， 用 例 可 参 照 模 板 输 出 （ 参 见 附 录 A的 图 A.2） 。4.2.4 测 试 执 行 JR/T 0191
15、2020 3 测 试 执 行 包 括 自 动 化 的 工 具 执 行 以 及 手 动 执 行 两 种 方 式 ， 在 此 过 程 中 需 要 用 到 各 种 自 动 化 或 手 动 测试 工 具 。 对 于 每 一 个 用 例 的 测 试 过 程 ， 需 要 有 对 应 的 操 作 截 图 ， 如 果 能 够 获 得 应 用 程 序 源 代 码 ， 可 以 进行 源 码 方 向 的 安 全 审 计 。4.2.5 报 告 输 出软 件 安 全 测 试 流 程 各 阶 段 的 输 出 文 档 ， 包 括 如 下 基 本 内 容 （ 见 表 1 所 示 ） ， 可 根 据 实 际 需 要 适 当 裁
16、剪 ， 具 体 模 板 参 照 附 录 A。 表 1 报 告 的 基 本 内 容阶 段 输 出 文 档 报 告 的 基 本 内 容系 统 分 析 、威 胁 分 析 安 全 测 试 方 案 包 括 系 统 分 析 阶 段 的 物 理 架 构 、 逻 辑 架 构 等 ， 威 胁 分 析 阶 段 的 数 据 流 关 系 图 ， 以 及制 定 的 技 术 方 案 、 实 施 方 案 等 。 制 定 测 试 用 例 安 全 测 试 用 例 包 括 测 试 用 例 标 识 、 用 例 名 称 、 前 提 条 件 、 测 试 目 的 、 测 试 步 骤 、 期 望 结 果 、 实 际结 果 、 不 通 过
17、原 因 、 执 行 日 期 等 。报 告 输 出 安 全 测 试 报 告 包 括 测 试 范 围 、 测 试 环 境 （ 测 试 版 本 、 软 /硬 件 环 境 清 单 、 测 试 周 期 等 ） 、 测 试 结 论（ 多 角 度 、 多 维 度 展 现 系 统 的 整 体 安 全 状 况 ） 、 测 试 执 行 描 述 （ 人 员 、 测 试 方 法 等 ） 、测 试 结 果 汇 总 与 缺 陷 分 析 以 及 改 善 建 议 等 。5 软 件 安 全 测 试 技 术5.1 安 全 功 能 检 查通 过 人 工 检 查 、 审 核 的 方 式 对 软 件 开 发 过 程 中 涉 及 的 安
18、 全 策 略 、 进 度 、 技 术 决 策 （ 如 开 发 模 型 等 ）进 行 安 全 功 能 检 查 。检 查 内 容 包 括 文 档 、 代 码 安 全 策 略 、 安 全 要 求 、 架 构 安 全 性 等 ， 检 查 的 形 式 包 括 人 工 文 件 分 析 、 访 谈 等 。 安 全 性 测 试 的 相 关 要 求 见 JR/T 0175-2019。5.2 代 码 安 全 测 试通 过 对 软 件 源 代 码 进 行 安 全 扫 描 和 审 计 ， 定 位 漏 洞 代 码 所 在 位 置 。测 试 内 容 分 为 静 态 检 测 与 动 态 检 测 ， 覆 盖 范 围 广 、
19、测 试 效 率 高 。 静 态 检 测 基 于 权 威 软 件 安 全 规 范 ，如 开 放 式 Web应 用 程 序 安 全 项 目 （ OWASP） 、 公 共 漏 洞 和 暴 露 （ CWE） 、 支 付 卡 行 业 数 据 安 全 标 准 （ PCIDSS）等 ， 可 以 发 现 如 变 量 未 初 始 化 、 数 组 越 界 、 缓 冲 区 溢 出 、 浮 点 数 比 较 、 除 零 等 严 重 代 码 编 写 错 误 ， 以 及其 它 代 码 规 范 问 题 。 动 态 检 测 是 指 运 行 被 测 程 序 ， 检 测 内 存 溢 出 、 资 源 泄 露 、 进 程 线 程 异
20、常 等 在 代 码 执行 时 才 会 发 现 的 安 全 问 题 。5.3 漏 洞 扫 描通 过 自 动 化 扫 描 方 式 ， 检 测 系 统 和 应 用 中 存 在 的 安 全 漏 洞 。测 试 内 容 为 基 于 漏 洞 数 据 库 或 特 征 库 ， 通 过 自 动 化 工 具 扫 描 、 探 测 等 方 法 对 目 标 系 统 的 安 全 情 况 进 行 检 测 ， 发 现 可 利 用 漏 洞 的 一 种 安 全 测 试 技 术 。 它 能 够 定 位 漏 洞 准 确 位 置 ， 覆 盖 范 围 广 。 但 由 于 自 动 化工 具 在 很 多 情 况 下 只 是 提 示 一 种 漏
21、 洞 存 在 的 可 能 ， 因 此 需 要 对 结 果 进 行 人 工 的 分 析 判 断 。5.4 渗 透 测 试以 攻 击 者 视 角 进 行 的 黑 盒 测 试 ， 从 而 获 得 对 应 用 系 统 安 全 的 主 观 评 价 。测 试 内 容 为 以 未 经 授 权 的 动 作 ， 主 要 指 模 拟 黑 客 的 各 种 攻 击 方 法 ， 绕 过 某 一 系 统 的 安 全 机 制 ， 对 主 JR/T 01912020 4 机 或 网 络 进 行 攻 击 测 试 ， 以 检 查 系 统 的 安 全 功 能 ， 发 现 安 全 问 题 或 风 险 ， 或 者 用 于 重 现 某
22、一 攻 击 场 景 。该 项 测 试 的 测 试 结 果 通 常 真 实 有 效 且 较 为 严 重 。5.5 模 糊 测 试以 向 目 标 系 统 提 供 非 预 期 输 入 的 方 式 ， 提 高 应 用 程 序 的 健 壮 性 及 抵 御 意 外 输 入 时 的 安 全 性 。测 试 内 容 主 要 是 向 被 测 系 统 提 供 非 预 期 的 输 入 ， 并 监 视 系 统 的 异 常 表 现 或 故 障 。 它 充 分 利 用 机 器 的能 力 通 过 自 动 化 或 半 自 动 化 的 方 式 执 行 ， 具 有 原 理 简 单 ， 易 于 开 发 适 合 自 身 系 统 的 模
23、 糊 测 试 工 具 的 特 点 。模 糊 测 试 根 据 实 际 场 景 可 选 择 是 否 使 用 工 具 ， 使 用 工 具 时 包 含 以 下 过 程 ：a) 测 试 工 具 通 过 随 机 或 是 半 随 机 的 方 式 生 成 大 量 变 异 数 据 ；b) 测 试 工 具 将 生 成 的 变 异 数 据 通 过 输 入 方 式 发 送 给 被 测 系 统 ；c) 测 试 工 具 检 测 并 监 控 被 测 系 统 的 状 态 （ 如 是 否 能 够 响 应 ， 响 应 是 否 正 确 等 ） ；d) 测 试 工 具 根 据 被 测 系 统 的 状 态 判 断 是 否 存 在 潜
24、在 的 安 全 漏 洞 ， 并 记 录 异 常 日 志 。 5.6 软 件 安 全 测 试 技 术 选 择软 件 测 试 人 员 可 以 根 据 不 同 的 机 构 、 部 署 环 境 和 系 统 类 别 ， 选 择 与 之 相 应 的 软 件 安 全 测 试 技 术 ， 见表 2 表 8。 机 构 的 划 分 遵 循 JR/T 0146-2016（ 所 有 部 分 ） 。表 2 行 业 软 件 安 全 测 试 技 术 对 应 表 -证 券 交 易 所部 署 环 境 系 统 类 别 系 统 举 例 安 全 功能 检 查 代 码 安全 测 试 漏 洞扫 描 渗 透测 试 模 糊测 试 面 向 专
25、 网 交 易 系 统 核 心 交 易 行 情 系 统 、 竞 价 撮 合 平 台 、综 合 业 务 平 台 、 衍 生 品 交 易 平 台 、国 际 互 联 互 通 平 台 等 业 务 系 统 业 务 管 理 系 统 、 期 权 风 控 系 统 、 实时 监 察 系 统 、 大 数 据 平 台 、 市 场 服务 资 料 库 等 办 公 系 统 办 公 自 动 化 （ OA） 系 统 、 企 业 资 源计 划 （ ERP） 系 统 、 在 线 培 训 系 统 、人 力 资 源 （ HR） 系 统 等 面 向 互 联 网 互 联 网 服 务 系 统 交 易 所 网 站 、 网 下 IPO、 交 易
26、 参 与 人业 务 管 理 系 统 、 基 金 业 务 系 统 、 基金 会 员 、 费 用 收 付 、 统 一 用 户 登 录 、结 算 管 理 系 统 （ BMS） 、 债 券 业 务 、债 券 招 标 发 行 、 债 券 监 管 、 债 券 申报 、 金 融 云 等 注 ： “ ” 为 必 选 项 JR/T 0191 2020 5 表 3 行 业 软 件 安 全 测 试 技 术 对 应 表 -期 货 交 易 所部 署 环 境 系 统 类 别 系 统 举 例 安 全 功能 检 查 代 码 安全 测 试 漏 洞扫 描 渗 透测 试 模 糊测 试面 向 专 网 交 易 系 统 核 心 交 易
27、系 统 业 务 系 统 结 算 系 统 、 业 务 管 理 系 统 、 会员 服 务 系 统 、 监 察 实 时 系 统 、监 察 预 警 系 统 、 资 金 风 险 评 估系 统 、 期 权 参 数 管 理 系 统 、 数据 查 询 系 统 等 办 公 系 统 办 公 自 动 化 （ OA） 系 统 、 在 线培 训 系 统 等 面 向 互 联 网 互 联 网 服 务 系 统 交 易 所 网 站 、 电 子 仓 单 系 统 、场 外 市 场 、 移 动 应 用 程 序 等 注 ： “ ” 为 必 选 项 表 4 行 业 软 件 安 全 测 试 技 术 对 应 表 -证 券 登 记 结 算 机
28、 构部 署 环 境 系 统 类 别 系 统 举 例 安 全 功能 检 查 代 码 安全 测 试 漏 洞扫 描 渗 透测 试 模 糊测 试 面 向 专 网 交 易 系 统 -业 务 系 统 证 券 登 记 结 算 系 统 、 统 一 账 户平 台 和 基 金 TA系 统 办 公 系 统 办 公 自 动 化 （ OA） 系 统 、 企 业资 源 计 划 （ ERP） 系 统 等 面 向 互 联 网 互 联 网 服 务 系 统 官 方 网 站 、 互 联 网 在 线 业 务 平台 等 注 ： “ ” 为 必 选 项 表 5 行 业 软 件 安 全 测 试 技 术 对 应 表 -其 他 核 心 机 构
29、部 署 环 境 系 统 类 别 系 统 举 例 安 全 功能 检 查 代 码 安全 测 试 漏 洞扫 描 渗 透测 试 模 糊测 试 面 向 专 网 交 易 系 统 -业 务 系 统 证 联 网 业 务 管 理 平 台 、 中 央 信 息 监管 平 台 、 期 货 市 场 统 一 开 户 系 统 、基 金 报 送 系 统 、 基 金 校 验 系 统 、 基金 数 据 管 理 系 统 等 JR/T 01912020 6 表 5 行 业 软 件 安 全 测 试 技 术 对 应 表 -其 他 核 心 机 构 （ 续 ）部 署 环 境 系 统 类 别 系 统 举 例 安 全 功能 检 查 代 码 安全
30、 测 试 漏 洞扫 描 渗 透测 试 模 糊测 试面 向 专 网 办 公 系 统 办 公 自 动 化 （ OA） 系 统 、 期 货 保 证金 监 控 系 统 、 投 资 者 查 询 服 务 系统 、 期 货 市 场 运 行 监 测 监 控 系 统 等 面 向 互 联 网 互 联 网 服 务 系统 官 方 网 站 、 统 一 信 息 披 露 平 台 、 基金 报 送 系 统 、 基 金 信 息 披 露 系 统 、标 准 网 电 子 化 平 台 、 期 货 互 联 网 开户 云 平 台 、 指 数 系 统 等 注 ： “ ” 为 必 选 项 表 6 行 业 软 件 安 全 测 试 技 术 对 应
31、 表 -证 券 公 司部 署 环 境 系 统 类 别 系 统 举 例 安 全 功能 检 查 代 码 安全 测 试 漏 洞扫 描 渗 透测 试 模 糊测 试面 向 专 网 交 易 系 统 柜 台 交 易 系 统 、 集 中 交 易 系 统 、主 经 纪 商 （ PB） 业 务 系 统 、 极速 交 易 系 统 、 公 司 及 营 业 部 结算 系 统 等 面 向 专 网 业 务 系 统 经 纪 业 务 运 营 平 台 、 统 一 账 户平 台 、 内 存 风 控 系 统 、 呼 叫 中心 平 台 、 投 资 者 服 务 平 台 、 专业 投 资 者 服 务 平 台 、 登 记 托 管系 统 等
32、办 公 系 统 办 公 自 动 化 （ OA） 系 统 、 客 户关 系 管 理 （ CRM） 系 统 等 面 向 互 联 网 互 联 网 服 务 系 统 公 司 网 站 、 网 上 交 易 客 户 端 、手 机 证 券 客 户 端 等 注 ： “ ” 为 必 选 项 表 7 行 业 软 件 安 全 测 试 技 术 对 应 表 -基 金 管 理 公 司 部 署 环 境 系 统 类 别 系 统 举 例 安 全 功能 检 查 代 码 安全 测 试 漏 洞扫 描 渗 透测 试 模 糊测 试面 向 专 网 交 易 系 统 O32 投 资 交 易 平 台 、 场 外 交 易平 台 等 业 务 系 统 T
33、A系 统 、 估 值 核 算 系 统 、 资 金清 算 系 统 等 JR/T 0191 2020 7 表 7 行 业 软 件 安 全 测 试 技 术 对 应 表 -基 金 管 理 公 司 （ 续 ）部 署 环 境 系 统 类 别 系 统 举 例 安 全 功能 检 查 代 码 安全 测 试 漏 洞扫 描 渗 透测 试 模 糊测 试面 向 专 网 办 公 系 统 办 公 自 动 化 （ OA） 系 统 、 客 户关 系 管 理 （ CRM） 系 统 、 营 销 服务 一 体 化 平 台 等 面 向 互 联 网 互 联 网 服 务 系 统 公 司 网 站 、 订 单 系 统 、 移 动 应用 程 序
34、 等 注 ： “ ” 为 必 选 项 表 8 行 业 软 件 安 全 测 试 技 术 对 应 表 -期 货 公 司 部 署 环 境 系 统 类 别 系 统 举 例 安 全 功能 检 查 代 码 安全 测 试 漏 洞扫 描 渗 透测 试 模 糊测 试面 向 专 网 交 易 系 统 柜 台 交 易 系 统 （ 主 席 和 次 席 ） 、程 序 化 交 易 系 统 、 资 管 平 台 、核 心 交 易 结 算 系 统 等 业 务 系 统 风 控 系 统 、 监 控 系 统 等 面 向 专 网 办 公 系 统 办 公 自 动 化 （ OA） 系 统 、 客 户关 系 管 理 （ CRM） 系 统 等
35、面 向 互 联 网 互 联 网 服 务 系 统 公 司 网 站 、 交 易 客 户 端 、 资 管平 台 等 注 ： “ ” 为 必 选 项6 软 件 安 全 测 试 基 本 测 试 方 法6.1 身 份 认 证 安 全6.1.1 测 试 目 标应 用 程 序 在 授 予 访 问 权 限 之 前 进 行 了 身 份 验 证 、 对 数 据 访 问 进 行 限 制 并 且 认 证 信 息 不 会 被 绕 过 。6.1.2 测 试 内 容若 该 系 统 安 全 等 级 为 等 保 三 级 及 以 上 或 系 统 设 计 文 档 中 明 确 具 有 身 份 认 证 功 能 ， 其 应 用 安 全 应
36、 符 合JR/T 0060-2010和 JR/T 0067-2011， 检 测 内 容 包 括 ： a) 服 务 端 对 用 户 请 求 等 操 作 均 进 行 了 认 证 授 权 ， 认 证 的 方 式 包 括 采 用 静 态 密 码 、 动 态 口 令 、 USBkey等 ；b) 服 务 端 与 客 户 端 使 用 双 因 子 或 多 因 子 认 证 机 制 ；c) 服 务 端 具 备 登 录 异 常 处 理 机 制 ；d) 服 务 端 能 够 对 验 证 码 等 措 施 的 认 证 绕 过 进 行 防 范 ；e) 认 证 信 息 不 会 被 轻 易 破 解 和 篡 改 。 JR/T 01
37、912020 8 6.1.3 结 果 判 定若 完 全 符 合 6.1.2测 试 内 容 ， 则 判 定 应 用 程 序 符 合 本 项 测 试 需 求 ， 否 则 判 定 其 不 符 合 或 部 分 符 合 本项 测 试 需 求 。6.2 口 令 安 全6.2.1 测 试 目 标应 用 程 序 使 用 了 强 密 码 策 略 ， 对 用 户 登 录 有 错 误 次 数 限 制 ， 在 超 过 规 定 错 误 次 数 后 ， 对 用 户 进 行 锁定 或 冻 结 。6.2.2 测 试 内 容检 测 内 容 包 括 ：a) 服 务 端 能 够 对 口 令 复 杂 度 进 行 安 全 检 测 并
38、提 示 ； b) 密 码 输 入 框 不 以 明 文 形 式 显 示 密 码 ；c) 服 务 端 对 用 户 登 录 错 误 次 数 进 行 限 制 ；d) 服 务 端 口 令 找 回 功 能 的 密 码 找 回 凭 证 足 够 复 杂 、 不 可 猜 测 并 且 不 存 在 越 权 。e) 服 务 端 对 用 户 登 录 失 败 进 行 统 一 提 示 。6.2.3 结 果 判 定若 完 全 符 合 6.2.2测 试 内 容 ， 则 判 定 应 用 程 序 符 合 本 项 测 试 需 求 ， 否 则 判 定 其 不 符 合 或 部 分 符 合 本项 测 试 需 求 。6.3 访 问 权 限
39、安 全6.3.1 测 试 目 标应 用 程 序 对 用 户 权 限 进 行 了 配 置 ， 不 会 发 生 越 权 行 为 （ 包 括 横 向 越 权 和 纵 向 越 权 ） 。 6.3.2 测 试 内 容若 该 系 统 安 全 等 级 为 等 保 三 级 及 以 上 或 系 统 设 计 文 档 中 明 确 具 有 访 问 权 限 控 制 功 能 ， 检 测 内 容 包括 ： a) 服 务 端 具 备 权 限 配 置 功 能 ， 且 有 权 限 判 断 机 制 ；b) 服 务 端 对 敏 感 数 据 进 行 访 问 权 限 控 制 ；c) 服 务 端 对 每 个 请 求 URL进 行 鉴 权
40、， 而 非 仅 仅 通 过 客 户 端 的 菜 单 屏 蔽 或 者 按 钮 不 可 用 来 限 制 ；d) 用 户 认 证 采 用 多 因 子 认 证 方 式 ， 防 止 通 过 修 改 用 户 身 份 证 明 （ UID） 实 现 越 权 操 作 。6.3.3 结 果 判 定若 完 全 符 合 6.3.2测 试 内 容 ， 则 判 定 应 用 程 序 符 合 本 项 测 试 需 求 ， 否 则 判 定 其 不 符 合 或 部 分 符 合 本项 测 试 需 求 。6.4 会 话 管 理 安 全 6.4.1 测 试 目 标应 用 程 序 在 用 户 登 录 并 空 闲 一 定 时 间 后 ， 会
41、 对 用 户 会 话 进 行 检 测 ， 对 超 时 会 话 进 行 自 动 终 止 。 JR/T 0191 2020 9 6.4.2 测 试 内 容检 测 内 容 包 括 ：a) 已 对 会 话 信 息 进 行 安 全 加 密 ；b) 用 户 登 录 后 ， 身 份 信 息 不 再 由 客 户 端 提 交 ， 而 是 以 服 务 器 端 会 话 信 息 中 保 存 的 身 份 信 息 为 准 ；c) 应 用 程 序 提 供 注 销 登 录 功 能 ， 注 销 时 ， 会 话 信 息 随 之 清 除 ；d) 每 次 登 录 成 功 后 变 更 会 话 标 识 ；e) 对 用 户 的 操 作 进
42、 行 token 验 证 ， 防 止 跨 站 请 求 伪 造 （ CSRF） 的 操 作 。6.4.3 结 果 判 定若 完 全 符 合 6.4.2测 试 内 容 ， 则 判 定 应 用 程 序 符 合 本 项 测 试 需 求 ， 否 则 判 定 其 不 符 合 或 部 分 符 合 本项 测 试 需 求 。6.5 通 信 安 全 6.5.1 测 试 目 标应 用 程 序 在 处 理 通 信 过 程 中 使 用 了 安 全 的 通 信 协 议 ， 并 对 传 输 数 据 采 用 了 加 密 传 输 的 机 制 。6.5.2 测 试 内 容若 该 系 统 安 全 等 级 为 等 保 三 级 及 以
43、 上 或 系 统 设 计 文 档 中 明 确 具 有 通 信 安 全 要 求 ， 检 测 内 容 包 括 ：a) 应 用 程 序 在 进 行 通 信 时 采 用 了 安 全 通 信 协 议 ， 例 如 SSL/TLS、 IPSec 等 ；b) 应 用 程 序 在 进 行 通 信 时 对 通 信 数 据 进 行 加 密 保 护 ；c) 应 用 程 序 在 进 行 通 信 时 对 通 信 数 据 进 行 完 整 性 校 验 ；d) 应 用 程 序 对 通 信 数 字 证 书 进 行 安 全 性 校 验 。6.5.3 结 果 判 定若 完 全 符 合 6.5.2测 试 内 容 ， 则 判 定 应 用
44、 程 序 符 合 本 项 测 试 需 求 ， 否 则 判 定 其 不 符 合 或 部 分 符 合 本 项 测 试 需 求 。6.6 业 务 逻 辑 安 全6.6.1 测 试 目 标使 用 户 按 照 预 定 的 规 则 运 行 应 用 程 序 ， 保 护 业 务 系 统 免 受 业 务 安 全 威 胁 。6.6.2 测 试 内 容检 测 内 容 包 括 ：a) 应 用 程 序 业 务 数 据 不 可 被 篡 改 ；b) 应 用 程 序 业 务 逻 辑 工 作 流 不 可 被 打 破 ；c) 应 用 程 序 不 允 许 用 户 上 传 业 务 逻 辑 允 许 以 外 的 文 件 类 型 的 文 件 ；d) 应 用 程 序 业 务 接 口 调 用 足 够 安 全 。 6.6.3 结 果 判 定若 完 全 符 合 6.6.2测 试 内 容 ， 则
