1、附件 1 I C S 3 5 . 2 4 0 . 4 0 C C S A 1 1 JR 中 华 人 民 共 和 国 金 融 行 业 标 准 J R / T 0 2 1 3 2 0 2 1 金 融 网 络 安 全 W e b 应 用 服 务 安 全 测 试 通 用 规 范 F i n a n c i a l c y b e r s e c u r i t y G e n e r a l s p e c i f i c a t i o n f o r s e c u r i t y t e s t i n g o f W e b a p p l i c a t i o n s e r v i c
2、e s 2 0 2 1 - 0 2 - 1 0 发 布 2 0 2 1 - 0 2 - 1 0 实 施 中 国 人 民 银 行 发 布J R / T 0 2 1 3 2 0 2 1 I 目 次 前 言 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
3、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . I I 引 言 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
4、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . I I I 1 范 围 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
5、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1 2 规 范 性 引 用 文 件 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
6、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1 3 术 语 、 定 义 和 缩 略 语 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
7、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1 4 原 则 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
8、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3 5 技 术 要 求 . . . . . . . . . . . . . . . . . . . . . . . . . . . .
9、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4 6 管 理 要 求 . . . . . . . . . . . . . . . . .
10、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1 7 附 录 A （ 资 料 性 ） 安 全 测 试
11、 报 告 样 例 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1 9 附 录 B （ 资 料 性 ） 漏 洞 报 告 样 例 . . . . . . . . . . . . . . . . . . . .
12、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2 0 参 考 文 献 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
13、 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2 1J R / T 0 2 1 3 2 0 2 1 I I 前 言 本 文 件 按 照 G B / T 1 . 1 2 0 2 0 标 准 化 工 作
14、导 则 第 1 部 分 ： 标 准 化 文 件 的 结 构 和 起 草 规 则 的 规 定 起 草 。 请 注 意 本 文 件 的 某 些 内 容 可 能 涉 及 专 利 。 本 文 件 的 发 布 机 构 不 承 担 识 别 专 利 的 责 任 。 本 文 件 由 中 国 人 民 银 行 提 出 。 本 文 件 由 全 国 金 融 标 准 化 技 术 委 员 会 （ S A C / T C 1 8 0 ） 归 口 。 本 文 件 起 草 单 位 ： 中 国 人 民 银 行 科 技 司 、 公 安 部 第 一 研 究 所 、 中 国 金 融 电 子 化 公 司 、 北 京 长 亭 未 来 科
15、技 有 限 公 司 、 中 国 银 联 股 份 有 限 公 司 、 农 信 银 资 金 清 算 中 心 有 限 责 任 公 司 、 中 国 工 商 银 行 股 份 有 限 公 司 、 中 国 农 业 银 行 股 份 有 限 公 司 、 中 国 银 行 股 份 有 限 公 司 、 中 国 建 设 银 行 股 份 有 限 公 司 、 交 通 银 行 股 份 有 限 公 司 、 广 发 银 行 股 份 有 限 公 司 、 招 商 银 行 股 份 有 限 公 司 、 兴 业 银 行 股 份 有 限 公 司 、 华 夏 银 行 股 份 有 限 公 司 、 渤 海 银 行 股 份 有 限 公 司 、 中
16、国 光 大 银 行 股 份 有 限 公 司 、 中 国 民 生 银 行 股 份 有 限 公 司 、 平 安 银 行 股 份 有 限 公 司 、 中 信 银 行 股 份 有 限 公 司 、 上 海 浦 东 发 展 银 行 股 份 有 限 公 司 、 晋 商 银 行 股 份 有 限 公 司 、 四 川 新 网 银 行 股 份 有 限 公 司 、 江 苏 银 行 股 份 有 限 公 司 、 重 庆 银 行 股 份 有 限 公 司 、 盛 京 银 行 股 份 有 限 公 司 、 广 东 华 兴 银 行 股 份 有 限 公 司 、 广 东 省 农 村 信 用 社 联 合 社 、 长 春 农 村 商 业
17、银 行 股 份 有 限 公 司 、 中 国 人 民 财 产 保 险 股 份 有 限 公 司 、 中 国 平 安 保 险 （ 集 团 ） 股 份 有 限 公 司 、 新 华 人 寿 保 险 股 份 有 限 公 司 、 阳 光 保 险 集 团 股 份 有 限 公 司 、 幸 福 人 寿 保 险 股 份 有 限 公 司 、 华 泰 人 寿 保 险 股 份 有 限 公 司 、 天 安 人 寿 保 险 股 份 有 限 公 司 、 大 童 保 险 销 售 服 务 有 限 公 司 、 国 信 证 券 股 份 有 限 公 司 、 华 泰 证 券 股 份 有 限 公 司 、 中 国 银 行 保 险 信 息 技
18、术 管 理 有 限 公 司 、 杭 州 安 恒 信 息 技 术 股 份 有 限 公 司 、 北 京 神 州 绿 盟 科 技 有 限 公 司 、 奇 安 信 科 技 集 团 股 份 有 限 公 司 、 北 京 奇 虎 科 技 有 限 公 司 、 深 信 服 科 技 股 份 有 限 公 司 、 北 京 百 度 网 讯 科 技 有 限 公 司 、 北 京 启 明 星 辰 信 息 安 全 技 术 有 限 公 司 、 亚 信 科 技 （ 成 都 ） 有 限 公 司 、 北 京 中 金 安 服 科 技 有 限 公 司 、 上 海 艾 芒 信 息 科 技 有 限 公 司 。 本 文 件 主 要 起 草 人
19、： 李 伟 、 陈 立 吾 、 沈 筱 彦 、 车 珍 、 昝 新 、 夏 磊 、 王 涛 、 胡 光 俊 、 唐 辉 、 马 男 、 王 陶 然 、 尹 振 玺 、 曹 岳 、 张 耀 峰 、 李 海 威 、 侯 漫 丽 、 曾 立 环 、 张 晏 、 陈 芳 、 李 强 、 宋 歌 、 张 鹏 飞 、 杨 坤 、 雷 涛 、 李 燕 、 李 钢 、 代 留 虎 、 金 建 新 、 刘 远 欢 、 李 吉 慧 、 张 念 东 、 赵 乔 伟 、 何 启 翱 、 郭 斌 、 徐 鹏 志 、 肖 飞 、 姚 仁 毅 、 冯 悦 扬 、 宋 克 亚 、 尉 洪 敏 、 王 福 舟 、 李 乐 天
20、、 金 驰 、 王 飞 、 高 滢 、 刘 云 、 邓 振 江 、 姚 俊 先 、 边 继 宗 、 邵 安 、 崔 勤 、 倪 春 娟 、 常 明 政 、 于 惊 涛 、 丁 明 明 、 顾 方 方 、 罗 英 凯 、 时 建 军 、 王 心 玉 、 杨 韶 宁 、 刘 奕 明 、 张 建 、 刘 安 蒙 、 李 继 斌 、 张 庆 华 、 罗 逸 枫 、 周 扬 、 白 智 勇 、 秦 磊 、 李 翌 雯 、 刘 占 明 、 龚 杰 、 江 超 、 李 一 萌 、 李 昱 希 、 张 鸿 宇 、 杨 国 栋 、 黄 剑 刚 、 王 晓 刚 、 梁 露 、 侯 峻 、 朱 毅 、 江 旺 、
21、郭 显 杰 、 马 东 辰 、 张 帆 、 殷 昊 南 、 王 勇 、 张 中 华 、 叶 猛 、 毛 敏 其 、 邓 园 园 、 杜 悦 艺 、 马 永 生 、 李 蕊 。J R / T 0 2 1 3 2 0 2 1 I I I 引 言 W e b 应 用 服 务 是 金 融 信 息 系 统 的 重 要 组 成 部 分 ， 是 金 融 机 构 网 络 安 全 的 重 要 保 护 对 象 。 本 文 件 是 在 收 集 分 析 、 评 估 检 查 所 发 现 的 金 融 信 息 系 统 W e b 应 用 服 务 安 全 问 题 的 基 础 上 ， 针 对 性 提 出 的 安 全 测 试 通
22、 用 要 求 ， 内 容 涉 及 金 融 信 息 系 统 W e b 应 用 服 务 安 全 测 试 的 原 则 、 方 法 和 过 程 三 个 方 面 。 本 文 件 旨 在 规 范 和 强 化 现 有 金 融 信 息 系 统 W e b 应 用 服 务 安 全 测 试 内 容 和 方 法 。 本 文 件 既 可 作 为 各 金 融 机 构 进 行 W e b 应 用 服 务 安 全 测 试 的 参 考 标 准 ， 也 可 以 作 为 行 业 主 管 部 门 、 专 业 测 试 机 构 进 行 检 查 、 检 测 的 参 考 依 据 ， 用 以 指 导 测 试 人 员 对 金 融 信 息 系
23、 统 W e b 应 用 服 务 进 行 安 全 测 试 。J R / T 0 2 1 3 2 0 2 1 1 金 融 网 络 安 全 W e b 应 用 服 务 安 全 测 试 通 用 规 范 1 范 围 本 文 件 规 定 了 金 融 信 息 系 统 W e b 应 用 服 务 安 全 测 试 的 通 用 规 范 。 本 文 件 适 用 于 指 导 金 融 机 构 进 行 W e b 应 用 服 务 的 安 全 测 试 与 评 估 工 作 。 2 规 范 性 引 用 文 件 下 列 文 件 中 的 内 容 通 过 文 中 的 规 范 性 引 用 而 构 成 本 文 件 必 不 可 少 的
24、条 款 。 其 中 ， 注 日 期 的 引 用 文 件 ， 仅 该 日 期 对 应 的 版 本 适 用 于 本 文 件 ； 不 注 日 期 的 引 用 文 件 ， 其 最 新 版 本 ( 包 括 所 有 的 修 改 单 ) 适 用 于 本 文 件 。 G B / T 2 0 9 8 4 2 0 0 7 信 息 安 全 技 术 信 息 安 全 风 险 评 估 规 范 G B / T 2 5 0 6 9 2 0 1 0 信 息 安 全 技 术 术 语 G B / T 3 1 5 0 9 2 0 1 5 信 息 安 全 技 术 信 息 安 全 风 险 评 估 实 施 指 南 J R / T 0 0
25、7 2 2 0 2 0 金 融 行 业 网 络 安 全 等 级 保 护 测 评 指 南 J R / T 0 1 6 8 2 0 2 0 网 上 银 行 系 统 信 息 安 全 通 用 规 范 3 术 语 、 定 义 和 缩 略 语 3 . 1 术 语 和 定 义 G B / T 2 5 0 6 9 2 0 1 0 界 定 的 术 语 和 定 义 以 及 下 列 术 语 和 定 义 适 用 于 本 文 件 。 3 . 1 . 1 金 融 信 息 系 统 f i n a n c i a l i n f o r m a t i o n s y s t e m 金 融 行 业 相 关 的 应 用 、
26、服 务 、 信 息 技 术 资 产 或 其 他 信 息 处 理 组 件 。 来 源 ： G B / T 2 9 2 4 6 2 0 1 7 ， 2 . 3 9 3 . 1 . 2 网 上 银 行 i n t e r n e t b a n k i n g 商 业 银 行 等 银 行 业 金 融 机 构 通 过 互 联 网 、 移 动 通 信 网 络 、 其 他 开 放 性 公 众 网 络 或 专 用 网 络 基 础 设 施 向 其 客 户 提 供 的 网 上 金 融 服 务 。 来 源 ： J R / T 0 1 6 8 2 0 2 0 ， 3 . 1 3 . 1 . 3 W e b 应 用
27、服 务 W e b a p p l i c a t i o n s e r v i c e 基 于 W e b 服 务 器 软 件 ， 为 用 户 提 供 应 用 服 务 的 网 站 、 程 序 、 应 用 或 接 口 的 应 用 服 务 部 分 。 注：W e b 应用服务 包括服务端应用程序及组件、W e b 服务器、中间件和A P I 接口等。 来 源 ： G B / T 3 2 9 1 7 2 0 1 6 ， 3 . 1 . 3 ， 有 修 改 J R / T 0 2 1 3 2 0 2 1 2 3 . 1 . 4 W e b 应 用 服 务 安 全 测 试 W e b a p p l
28、 i c a t i o n s e r v i c e s e c u r i t y t e s t i n g 通 过 自 动 化 漏 洞 扫 描 和 人 工 测 试 等 手 段 ， 对 W e b 服 务 器 及 W e b 应 用 服 务 进 行 安 全 漏 洞 发 现 及 安 全 功 能 有 效 性 验 证 的 安 全 性 测 试 。 3 . 1 . 5 漏 洞 扫 描 v u l n e r a b i l i t y s c a n n i n g 基 于 漏 洞 数 据 库 ， 通 过 扫 描 等 手 段 对 指 定 的 远 程 或 者 本 地 计 算 机 系 统 的 安 全
29、 脆 弱 性 进 行 检 测 ， 并 尝 试 发 现 可 利 用 漏 洞 的 一 种 安 全 测 试 行 为 。 3 . 1 . 6 重 要 W e b 应 用 i m p o r t a n t W e b a p p l i c a t i o n 包 括 面 向 互 联 网 开 放 服 务 的 W e b 应 用 ， 面 向 客 户 涉 及 账 务 处 理 且 对 实 时 性 要 求 较 高 的 业 务 处 理 类 W e b 应 用 ， 渠 道 类 W e b 应 用 和 涉 及 客 户 风 险 管 理 等 业 务 的 W e b 应 用 。 3 . 1 . 7 测 试 方 t e s
30、 t e r 实 施 安 全 测 试 的 团 队 或 个 人 ， 由 金 融 机 构 内 部 人 员 及 外 部 测 试 服 务 机 构 人 员 组 成 。 3 . 1 . 8 热 门 高 危 漏 洞 p o p u l a r h i g h - r i s k v u l n e r a b i l i t y 在 安 全 测 试 实 施 时 间 点 近 两 年 内 流 行 的 ， 针 对 特 定 应 用 及 组 件 的 高 风 险 漏 洞 。 注：包括但不限于C V S S 高评分的远程漏洞、C N V D 高危漏洞和社区流行的高风险漏洞等。 3 . 1 . 9 侵 入 式 测 试 i
31、n v a s i v e t e s t i n g 基 于 对 数 据 及 程 序 代 码 进 行 侵 入 性 改 写 的 安 全 测 试 。 3 . 1 . 1 0 资 产 测 绘 a s s e t m a p p i n g 对 网 络 资 产 相 关 信 息 进 行 持 续 盘 点 并 具 象 展 示 。 3 . 1 . 1 1 线 性 预 测 l i n e a r p r e d i c t i o n 基 于 一 个 线 性 方 程 对 抽 样 值 序 列 的 预 测 。 3 . 1 . 1 2 运 行 类 测 试 工 具 r u n - t y p e t e s t i
32、n g t o o l 需 要 在 被 测 目 标 中 以 一 定 权 限 运 行 的 测 试 工 具 。 注：包括W e b s h e l l 、反向连接类工具、提权类工具、文件扫描类工具等。 3 . 2 缩 略 语J R / T 0 2 1 3 2 0 2 1 3 下 列 缩 略 语 适 用 于 本 文 件 。 A P I ： 应 用 程 序 接 口 （ A p p l i c a t i o n P r o g r a m m i n g I n t e r f a c e ） A S P ： 动 态 服 务 器 页 面 （ A c t i v e S e r v e r P a g
33、e s ） C O R S ： 跨 域 资 源 共 享 （ C r o s s O r i g i n R e s o u r c e S h a r i n g ） C N V D ： 国 家 信 息 安 全 漏 洞 共 享 平 台 （ C h i n a N a t i o n a l V u l n e r a b i l i t y D a t a b a s e ） C R L F ： 注 入 回 车 换 行 符 （ C a r r i a g e R e t u r n L i n e F e e d ） C S R F ： 跨 站 请 求 伪 造 （ C r o s s S i
34、t e R e q u e s t F o r g e r y ） C S P ： 内 容 安 全 策 略 （ C o n t e n t S e c u r i t y P o l i c y ） C S S ： 层 叠 样 式 表 （ C a s c a d i n g S t y l e S h e e t s ） C V S S ： 通 用 漏 洞 评 分 系 统 （ C o m m o n V u l n e r a b i l i t y S c o r i n g S y s t e m ） H T M L ： 超 文 本 标 记 语 言 （ H y p e r T e x t
35、M a r k u p L a n g u a g e ） H T T P ： 超 文 本 传 输 协 议 （ H y p e r T e x t T r a n s f e r P r o t o c o l ） H T T P S ： 超 文 本 传 输 安 全 协 议 （ H y p e r T e x t T r a n s f e r P r o t o c o l S e c u r e ） I M A P ： 交 互 邮 件 访 问 协 议 （ I n t e r a c t i v e M a i l A c c e s s P r o t o c o l ） J S O N
36、： J a v a s c r i p t 对 象 表 示 法 （ J a v a s c r i p t O b j e c t N o t a t i o n ） J S O N P ： J S O N 跨 域 访 问 （ J S O N w i t h P a d d i n g ） L D A P ： 轻 型 目 录 访 问 协 议 （ L i g h t w e i g h t D i r e c t o r y A c c e s s P r o t o c o l ） O R M ： 对 象 关 系 映 射 （ O b j e c t R e l a t i o n a l M
37、a p p i n g ） O W A S P ： 开 放 式 W e b 应 用 程 序 安 全 项 目 （ O p e n W e b A p p l i c a t i o n S e c u r i t y P r o j e c t ） S M T P ： 简 单 邮 件 传 输 协 议 （ S i m p l e M a i l T r a n s f e r P r o t o c o l ） S Q L ： 结 构 化 查 询 语 言 （ S t r u c t u r e d Q u e r y L a n g u a g e ） S S I ： 服 务 器 包 含 （ S
38、e r v e r S i d e I n c l u d e s ） S S L ： 安 全 套 接 层 （ S e c u r e S o c k e t s L a y e r ） S S R F ： 服 务 端 请 求 伪 造 （ S e r v e r S i d e R e q u e s t F o r g e r y ） T L S ： 安 全 传 输 层 协 议 （ T r a n s p o r t L a y e r S e c u r i t y ） U R L ： 统 一 资 源 定 位 符 （ U n i v e r s a l R e s o u r c e L
39、o c a t o r ） V P N ： 虚 拟 专 用 网 络 （ V i r t u a l P r i v a t e N e t w o r k ） X M L ： 可 扩 展 标 记 语 言 （ E x t e n s i b l e M a r k u p L a n g u a g e ） X P a t h ： X M L 路 径 语 言 （ X M L P a t h L a n g u a g e ） X S S ： 跨 站 脚 本 （ C r o s s S i t e S c r i p t i n g ） 4 原 则 4 . 1 测 试 原 则 4 . 1 . 1
40、标 准 性 原 则 应 按 照 G B / T 3 1 5 0 9 2 0 1 5 和 J R / T 0 0 7 2 2 0 2 0 的 流 程 进 行 实 施 ， 包 括 实 施 阶 段 和 运 维 阶 段 的 测 试 工 作 。 4 . 1 . 2 全 面 性 原 则 在 规 定 的 测 试 范 围 内 ， 应 覆 盖 指 定 目 标 中 的 全 部 W e b 应 用 服 务 及 每 个 W e b 应 用 服 务 中 的 全 部 功 能 。 4 . 1 . 3 分 级 原 则J R / T 0 2 1 3 2 0 2 1 4 测 试 过 程 应 对 W e b 应 用 服 务 及 漏
41、 洞 进 行 分 级 管 理 ， 以 保 证 重 要 W e b 应 用 服 务 的 资 源 投 入 。 4 . 1 . 4 可 控 性 原 则 测 试 过 程 应 按 照 G B / T 3 1 5 0 9 2 0 1 5 中 的 项 目 管 理 方 法 对 过 程 、 人 员 、 工 具 等 进 行 控 制 ， 以 保 证 安 全 测 试 过 程 的 安 全 可 控 。 4 . 1 . 5 最 小 影 响 原 则 针 对 处 于 运 维 阶 段 的 W e b 应 用 服 务 ， 应 提 前 确 定 合 适 的 测 试 时 间 窗 口 ， 避 开 业 务 高 峰 期 ， 同 时 做 好 被
42、 测 试 目 标 应 用 服 务 的 应 急 预 案 。 4 . 1 . 6 保 密 性 原 则 未 经 金 融 机 构 允 许 ， 测 试 方 不 应 向 第 三 方 及 社 会 公 众 泄 露 与 安 全 测 试 目 标 相 关 的 一 切 信 息 ， 包 括 但 不 限 于 开 发 及 运 维 人 员 个 人 信 息 以 及 因 测 试 活 动 所 获 取 的 敏 感 信 息 ， 如 W e b 应 用 网 络 架 构 、 业 务 数 据 、 安 全 漏 洞 等 。 4 . 1 . 7 及 时 性 原 则 测 试 方 应 保 证 漏 洞 提 交 的 及 时 性 ， 检 测 出 漏 洞 与
43、 提 交 漏 洞 的 时 间 间 隔 不 应 超 出 规 定 时 间 ， 不 应 出 现 漏 洞 积 压 的 情 况 。 4 . 2 测 试 形 式 W e b 应 用 服 务 安 全 测 试 应 按 照 G B / T 2 0 9 8 4 2 0 0 7 ， 以 自 评 估 测 试 为 主 ， 自 评 估 测 试 和 检 查 测 试 相 互 结 合 ， 互 为 补 充 。 安 全 测 试 实 施 的 组 织 形 式 包 括 但 不 限 于 个 人 测 试 、 团 队 测 试 、 众 测 等 。 5 技 术 要 求 5 . 1 测 试 环 境 及 准 备 测 试 环 境 及 准 备 基 本 要
44、 求 ： a ) 金 融 机 构 应 针 对 金 融 交 易 类 应 用 提 供 与 生 产 环 境 相 似 的 仿 真 环 境 ， 以 便 进 行 部 分 可 能 影 响 数 据 完 整 性 及 业 务 稳 定 性 的 侵 入 式 测 试 。 测 试 方 在 生 产 环 境 中 应 避 免 使 用 可 能 导 致 数 据 完 整 性 及 业 务 稳 定 性 遭 受 破 坏 的 测 试 手 段 。 b ) 金 融 机 构 应 预 先 准 备 功 能 与 数 据 均 完 备 的 账 号 以 保 证 测 试 的 完 备 性 ， 若 完 成 测 试 涉 及 必 要 的 专 有 设 备 ， 如 控 件
45、 、 证 书 和 U 盾 等 软 硬 件 设 备 ， 金 融 机 构 应 给 予 必 要 的 配 合 或 协 助 。 c ) 如 测 试 过 程 中 发 现 功 能 损 坏 及 数 据 缺 失 ， 测 试 方 应 对 缺 失 的 数 据 及 损 坏 的 功 能 进 行 详 细 记 录 ， 并 及 时 反 馈 给 系 统 开 发 人 员 进 行 功 能 及 数 据 补 足 。 d ) 通 过 仿 真 环 境 测 试 时 ， 金 融 机 构 应 提 供 安 全 的 测 试 接 入 方 式 ， 如 现 场 接 入 、 V P N 远 程 接 入 及 I P 白 名 单 等 方 式 ， 防 止 非 授
46、 权 人 员 对 仿 真 环 境 进 行 违 规 访 问 或 违 规 测 试 。 e ) 禁 止 测 试 方 向 任 何 未 经 授 权 的 第 三 方 泄 露 与 测 试 环 境 相 关 的 任 何 信 息 。 f ) 测 试 环 境 提 供 方 应 及 时 与 测 试 方 同 步 测 试 系 统 更 新 、 维 护 及 测 试 计 划 ， 以 保 证 测 试 环 境 稳 定 可 用 。 g ) 如 测 试 目 标 为 应 用 接 口 ， 测 试 环 境 提 供 方 应 向 测 试 方 提 供 足 以 用 来 构 造 并 完 成 接 口 请 求 的 说 明 文 档 或 脚 本 。 5 . 2
47、 测 试 工 具 及 准 备J R / T 0 2 1 3 2 0 2 1 5 测 试 工 具 及 准 备 基 本 要 求 ： a ) 测 试 方 应 使 用 不 存 在 法 律 风 险 或 合 规 风 险 的 工 具 进 行 测 试 。 b ) 测 试 方 应 使 用 获 得 网 络 安 全 主 管 部 门 或 行 业 主 管 部 门 认 可 的 漏 洞 扫 描 工 具 进 行 测 试 ， 同 时 提 供 测 试 工 具 清 单 ， 并 制 定 明 确 的 扫 描 策 略 和 扫 描 计 划 以 规 避 风 险 。 c ) 金 融 机 构 应 建 立 运 行 类 测 试 工 具 审 核 机
48、制 ， 对 测 试 方 所 提 供 的 运 行 类 测 试 工 具 的 运 行 安 全 、 版 本 、 组 成 以 及 来 源 渠 道 进 行 严 格 审 核 。 d ) 对 于 新 引 入 的 测 试 工 具 ， 应 建 立 严 格 的 审 批 及 测 试 机 制 ， 确 保 不 存 在 木 马 后 门 程 序 或 严 重 的 软 件 缺 陷 。 对 于 已 引 入 的 安 全 测 试 工 具 ， 应 重 点 关 注 测 试 工 具 本 身 的 安 全 性 ， 及 时 针 对 测 试 工 具 进 行 补 丁 修 复 和 版 本 升 级 。 e ) 对 于 完 成 当 次 安 全 测 试 后
49、不 再 使 用 的 运 行 类 测 试 工 具 应 在 测 试 完 成 前 彻 底 删 除 ， 防 止 运 行 类 测 试 工 具 本 身 引 入 安 全 隐 患 。 f ) 测 试 方 应 从 在 系 统 中 上 传 或 部 署 运 行 类 测 试 工 具 开 始 ， 到 通 知 测 试 环 境 提 供 方 并 彻 底 删 除 运 行 类 测 试 工 具 为 止 的 期 间 内 ， 通 过 书 面 记 录 或 全 程 录 屏 的 方 式 严 格 记 录 每 一 步 操 作 步 骤 。 针 对 测 试 过 程 的 具 体 记 录 方 式 应 以 测 试 相 关 方 的 协 商 意 愿 为 准
50、。 g ) 在 未 经 授 权 的 情 况 下 ， 严 禁 使 用 公 开 的 平 台 进 行 存 在 数 据 外 发 的 漏 洞 利 用 测 试 ， 如 采 用 公 开 的 平 台 测 试 远 程 命 令 执 行 、 X S S 和 S Q L 注 入 等 漏 洞 。 5 . 3 测 试 技 术 5 . 3 . 1 通 用 测 试 要 求 通 用 测 试 基 本 要 求 ： a ) 金 融 机 构 应 采 用 技 术 或 管 理 手 段 ， 确 保 面 向 安 全 测 试 所 开 放 的 功 能 集 合 完 全 覆 盖 生 产 系 统 面 向 最 终 用 户 所 开 放 的 功 能 集 合
