1、、骨ICS 35.110 M刊YD 中华人民共和国通信行业标准YD厅2588-2013移动互联网应用商店安全防护检测要求Security and protection test requirements for mobile internet application store 2013-07-22发布2013-10-01实施中华人民共和国工业和信息化部发布 ，、哈YD.厅2588-2013目次前言. . . . . . n 1 范围. 2 规范性引用文件.3 术语、定义和缩略语3.1 术语和定义. 3.2 缩略语. . 4应用商店安全防护检测概述. . . . . .3 5 应用商店安全等级
2、保护检测要求. . . . .3 5.1 第1级要求. 5.2 第2级要求. . . . . . . . .4 5.3第3.1级要求. . . . . . . . . . . . .11 5.4第3.2级要求. . . . . . 14 5.5第4级要求. . . . . . . . . .15 5.6第5级要求. . . . . . . . . .15 参考文献. . . . .16 YD.厅2588-2013品刚本标准是电信网和互联网安全防护体系系列标准之一.该系列标准预计结构及名称如下z1. 电信网和互联网安全防护管理指南2. 电信网和互联网安全等级保护实施指南3. 电信网和互联网安全风
3、险评估实施指南4. 电信网和互联网灾难备份及恢复实施指南5. 互联网安全防护要求6. 移动通信网安全防护要求7. 互联网安全防护要求8. 增值业务网一消息网安全防护要求9. 增值业务网一智能网安全防护要求10. 接入网安全防护要求11. 传送网安全防护要求12. IP承载网安全防护要求13. 倍令网安全防护要求14. 同步网安全防护要求15. 支撑网安全防护要求16. 非核心生产单元安全防护要求17. 电信网和互联网物理环境安全等级保护要求18. 电信网和互联网管理安全等级保护要求19. 固定网安全防护检测要求20. 移动通信网安全防护检测要求21. 互联网安全防护检测要求22. 增值业务网一
4、消息网安全防护检测要求23. 增值业务网一智能网安全防护检测要求24. 接入网安全防护检测要求25. 传送网安全防护检测要求26. IP承载网安全防护检测要求27. 信令网安全防护检测要求28. 同步网安全防护检测要求29. 支撑网安全防护检测要求30. 非核心生产单元安全防护检测要求31. 电信网和互联网物理环境安全防护检测要求32. 电信网和互联网管理安全检测要求H YD厅2588-201333. 域名系统安全防护要求司。34. 域名系统安全防护检测要求35. 网上营业厅安全防护要求36. 网上营业厅安全防护检测要求37. WAP网关系统安全防护要求38. WAP网关系统安全防护检测要求3
5、9. 电信网和互联网信息服务业务系统安全防护要求40. 电信网和互联网信息服务业务系统安全防护检测要求41. 增值业务网即时消息业务系统安全防护要求42. 增值业务网即时消息业务系统安全防护检测要求43. 域名注册系统安全防护要求44. 域名注册系统安全防护检测要求45. 移动互联网应用商店安全防护要求46. 移动互联网应用商店安全防护检测要求)(本标准47. 内容分发网(CDN)安全防护要求48. 内容分发网(N)安全防护检测要求49. 互联网数据中心安全防护要求50. 互联网数据中心安全防护检测要求本标准与YD厅2587-2013移动互联网应用商店安全防护要求配套使用。随着电信网和互联网的
6、发展，将不断补充和完善电信网和互联网安全防护体系的相关标准.本标准由中国通信标准化协会提出并归口。本标准起草单位E工业和信息化部电信研究院、中国联合网络通信集团有限公司、中国电信集团公本标准主要起草人z魏亮、谢琼、魏薇、许子先、马广宇、周勤畔、张尼、王文斌、薄明霞、陈军、赵明霞、何欣。m . . YD厅2588-2013移动互联网应用商店安全防护检测要求1 范围本标准规定了移动互联网应用商店在安全等级保护、安全风险评估、灾难备份及恢复等方面的安全防护检测要求.本标准适用于移动互联网应用商店业务系统，以下统一简称应用商店2 规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件
7、，仅所注日期的版本适用于本文件.凡是不注日期的引用文件，其最新版本包括所有的修改单)适用于本文件。GBtr 527 1.8 YD.厅1755YD厅1757信息技术词汇第8部分z安全电信网和互联网物理环境安全等级保护检测要求电信网和互联网管理安全等级保护检测要求3术语、定义和缩畸语3.1 术语和定义GB厅5271.8确立的术语和定义，以及下列术语和定义适用于本文件。3.1.1 应用商店安全等级Serity Classification of Application Store System 应用商店重要程度的表征。重要程度从应用商店受到破坏后，对国家安全、社会秩序、经济运行、公共利益和业务运营商
8、造成的损害来衡量。3.1.2 应用商店安全等级保护Classified Cecurity Protection of Application Store System 对应用商店分等级实施安全保护。3.1.3 应用商店安全检测Serity Testing of Application Store System 对应用商店的安全保护能力是否达到相应保护要求进行衡量。3.1.4 组织Organization由应用商店中不同作用的个体为实施共同的业务目标而建立的结构，组织的特性在于为完成目标而分工、合作:一个单位是一个组织，某个业务部门也可以是一个组织。3.1.5 应用商店安全凤险Serity Ri
9、sk of Application Store System 人为或自然的威胁可能利用应用商店中存在的脆弱性导致安全事件的发生及其对组织造成的影响。3.1.6 YD厅2588-2013应用商店安全风险评估Security Risk Assessment of Application Store System 运用科学的方法和手段，系统地分析应用商店所面临的威胁及其存在的脆弱性，评估安全事件一旦发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和安全措施，防范和化解应用商店安全风险，将风险控制在可接受的水平，为最大限度地保障应用商店的安全提供科学依据。3.1.7 应用商店资产Asset o
10、f Application Store System 应用商店中具有价值的资源，是安全防护体系保护的对象。应用商店中的资产可能以多种形式存在，无形的、有形的、硬件、软件，包括物理布局、通信设备、物理线路、数据、软件、文档、规程、业务、人员、管理等各种类型的资源，如局域网中的路由器。3.1.8 应用商店资产价值AssetValue of Application Store System 应用商店中资产的重要程度或敏感程度。资产价值是资产的属性，也是进行资产识别的主要内容。3.1.9 应用商店威胁Threatof Application Store System 可能导致对应用商店产生危害的不希望
11、事件潜在起因，它可能是人为的，也可能是非人为的:可能是无意失误，也可能是恶意攻击。3.1.10 应用商店脆弱性Vulnerabilityof Appllcation Store System 应用商店资产中存在的弱点、缺陷与不足，不直接对应用商店资产造成危害，但可能被应用商店威胁所利用从而危及应用商店资产的安全。3.1.11 应用商店灾难Disaster of Application Store System 由于各种原因，造成应用商店故障或瘫痪，使应用商店支持的业务功能停顿或服务水平不可接受、达到特定的时间的突发性事件。3.1.12 应用商店灾难备份Backup for Disa剖.erRe
12、covery of Application Store System 为了应用商店灾难恢复而对相关网络要素进行备份的过程。3.1.13 应用商店灾难恢复Disaster Reve叩。，fApplication Store System 为了将应用商店从灾难造成的故障或瘫痪状态恢复到正常运行状态或部分正常运行状态，并将其支持的业务功能从灾难造成的不正常状态恢复到可接受状态，而设计的活动和流程。3.1.14 访谈Interview 检测人员通过与有关人员(个人/群体进行交流、讨论等活动，获取证据以检查安全等级保护、安全风险评估、灾难备份及恢复相关措施的落实情况以及相关工作开展情况的一种方法。3.1
13、.15 检查Examination2 ，吃YD厅2588-2013检测人员通过对检测对象进行观察、查验和分析等活动，获取证据以检查安全等级保护、安全风险评估、灾难备份及恢复相关措施的落实情况以及相关工作开展情况的一种方法。3.1.16 测试Testing检测人员通过对检测对象按照预定的方法/工具使其产生特定行为的活动，检查、分析输出结果，获取证据以检查安全等级保护、安全风险评估、灾难备份及恢复相关措施的落实情况以及相关工作开展情况的一种方法。3.2缩略语下列缩略语适用于本文件。API Application Programming In阳也ce应用程序编程接口CNVD China Nation
14、a1 Vu1nerabi1ity Database 国家信息安全漏洞共享平台CVE Common Vulnerabi1ities & Exposures 公共漏洞和暴露DDoS Dis位ibutedDenia1 of Service 分布式拒绝服务DoS Denia10fS优vice拒绝服务FTP File Transfer Pro阳co1文件传输协议HITP HyperTextrans缸Proc01超文本传输协议B IDentity 身份标识号码E IntemetPro伽01互联网协议MAC MediumlMedia Access Contr01 介质访问控制POP3 Post Office
15、 Protoc01 3 邮局协议第3版SIP Session Initiation Protoc01 信令控制协议SMTP Simp1eMail Transfer PrO阳c01简单邮件传输协议Telnet Te1ecommunications Network 远程登录4应用商店安全防护检测概述应用商店的安全防护检测对象是通过互联网、移动互联网等公众通信网络直接向终端用户提供移动智能终端应用软件的信息和数据检索、应用软件发布、购买和下载等服务的业务系统。服务的类型按照信息组织、传递等技术服务方式，主要包含但不限于信息发布服务、递送服务、搜索查询服务、相关社区服务和应用软件下载服务等。5应用商店
16、安全等级保护检测要求5.1 第t级要求5.1.1 应用软件安全不作要求.5.1.2 业务系统安全不作要求.5.1.3 网络层安全不作要求.3 YD厅2588-20135.1.4 主机安全不作要求。5.1.5物理环境安全应按照YD厅1755中第1级要求进行检测。5.1.6 管理安全应按照YD厅1757中第1级要求进行检测。5.2 第2级要求5.2.1 应用软件安全检测要求5.2.1.1 软件行为安全1)检查应用软件上线前的安全审核报告，查看报告中是否包含恶意代码、恶意行为等审核信息，检查是否经过去全审核后才将应用软件上线、正式发布。应用软件的安装与卸载不应执行恶意行为，恶意行为包括但不限于z一一
17、未明确提示用户或未经用户许可，在用户终端上安装软件z一一在软件中捆绑患意软件:一一一在安装软件时，安装本软件功能说明文档中未加说明且用户未知或未允许的额外功能，安装用户未知或未允许的强制服务:一一所提供选装插件或额外软件，无单独的卸载方式，不能彻底卸载。应用软件的运行不应执行恶意行为，恶意行为包括但不限于z一一未经用户许可，修改用户浏览器或其他系统软件设置，迫使用户访问特定网站或导致用户无法正常上网:一一未明确提示用户或未经用户许可，利用安装在用户终端上的软件弹出广告:一一未明确提示用户或未经用户许可，收集、上传用户行为统计等信息恶意收集、上传用户的敏感信息，如账户密码、用户个人数据信息和文件
18、等); 一一未明确提示用户或未经用户许可，扫描、创建、删除与软件运行无关的文件:一一未明确提示用户或未经用户许可，通过联网软件或其他方式，远程登录、控制用户终端:一一软件在运行过程中，故意破坏其他软件的正常运行或与其不兼容，影响用户的正常使用:一一软件单方停止服务，影响用户的正常使用，损害用户合法权益，如因软件维护或其他不可抗力的条件，需要停止服务的，应事先告知用户。2)检查应用商店的用户数据同步服务器，查看该服务器是否位于我国境内。3)查看软件设计文档或使用扫描工具检测应用商店客户端是否与移动智能终端进行捆绑，用户是否能够根据需要对应用商店客户端自由安装与卸载。4)检查应用商店移动代码签名设
19、计文档，查看是否经由可信第三方对应用软件进行数字签名。检查移动终端在下载安装应用软件之前，是否对经过签名的应用软件进行签名验证，是否只有通过签名验证的应用软件才能被认为是可信的，才能被安装到终端上。5)检查应用商店拨测报告，查看应用商店是否定期对已经上线的应用软件进行自动与人工拨测相结合的方式进行抽查，进行技术判定并记录拨测过程及结果，针对违规行为、可疑行为等进行相应的处理。4 YD厅2588-20136)检查应用软件开发文档或使用扫描工具进行检查，查看应用软件是否未调用与其业务功能无关的API，是否未调用声明范围之外的API。5.2.2 业务应用安全检测要求5.2.2.1 身份鉴别1)检查系
20、统设计文档，查看对保留用户个人信息或用户服务信息的业务，是否对登录用户进行身份标识和鉴别，并使用测试账号进行登录验证.2)检查系统设计文档，查看要求提供登录功能的业务系统，是否提供并启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施，并使用测试账号进行多次尝试，验证系统登录失败处理功能.3)检查系统设计文档，查看要求提供登录功能的业务系统，是否提供并启用用户身份标识唯一检查功能，保证系统中不存在重复用户身份标识。的应访谈相关技术人员，检查业务设计/验收文档、业务安全策略、业务管理和配置文档，检查用户身份鉴别信息复杂度检查功能、技术手段及有关措施启用、实施情况，检查或测试验证
21、是否能保证系统中身份鉴别信息不易被冒用。5)应访谈相关技术和管理人员，检查业务设计/验收文档、业务安全策略、业务管理和配置文档，检查是否采用加密方式存储系统业务用户的账号和口令.5.2.2.2访问控制1)应按照第2级的要求进行检测.2)应访谈相关技术人员，检查业务设计/验收文档、业务安全策略、业务管理和配置文挡，检查或测试验证是否严格限制各用户的访问权限，按安全策略要求控制用户对业务、数据和网络资源等的访问-5.2.2.3 安全审计1)应访谈相关技术人员，检查业务设计/验收文档、业务安全策略、业务管理和配置文档、审计记录，检查是否提供覆盖到每个用户关键操作的安全审计功能.2)应访谈相关技术人员
22、，检查业务设计/验收文档、业务安全策略、业务管理和配置文档、审计记录，访谈审计相关工作流程、工作要求，检查是否对业务用户的重要行为、业务资源使用情况等进行审计分析.3)应访谈相关技术人员，检查业务设计/验收文档、业务安全策略、业务管理和配置文挡，对审计功能和审计记录进行测试，验证是否保证无法删除、修改或覆盖审计记录。的应访谈相关技术人员，检查业务设计/验收文档、业务安全策略、业务管理和配置文档、相关审计记录，访谈审计相关工作流程、审计文件及结果记录要求，检查验证业务相关审计记录的内容是否至少包括事件日期、时间、发起者信息、类型、描述和结果等，保留期限是否大于180天。5.2.2.4资源控制1)
23、应访谈相关技术人员，检查系统设计/验收文档、系统安全策略、系统及设备管理和配置文挡，检查或测试验证系统能否在用户和业务系统通信双方中的一方在一段时间内未作任何响应时，自动结束会话.5.2.2.5 信息保妒5 YD厅2588-20131)应访谈相关技术和管理人员，询问在保护用户隐私、不泄露用户相关信息方面是否存在相应机制，检查验证业务提供、控制与管理过程是否能保护用户隐私，确保在未经用户同意时，不擅自收集、修改和泄漏用户相关敏感信息，例如对用户隐私相关的手机号码、通信地址等是否有保护和控制措施。2)应访谈相关技术人员，检查应用商店设计/验收文档、业务安全策略、业务管理和配置文档、相关设备及日;忘
24、记录，检查核对系绞相关日志记录是否出现过相关数据和页面被篡改和破坏的情况，检查或测试验证保护业务相关信息的安全手段是否能有效保护和避免相关数据和页面被篡改和破坏。3)应访谈相关技术人员，检查应用商店设计/验收文档、业务安全策略、业务管理和配置文档，检查验证业务是否禁止了不必要的内嵌网络服务，测试验证是否禁止在用户端自动安装恶意软件。4)应访谈相关技术人员，检查应用商店设计/验收文档、业务安全策略、业务管理和配置文档，检查验证是否对通信过程中的敏感信息字段进行加密。5)应访谈相关技术人员，检查应用商店设计/验收文档、业务安全策略、业务管理和配置文档，检查敏感信息如用户信息、订单信息、应用软件下载
25、路径等)是否加密存储。6)应访谈相关技术人员，检查应用商店设计/验收文档、业务安全策略、业务管理和配置文档，检查应用商店相关业务及应用的关键数据(如业务数据、系统配置数据、管理员操作维护记录、用户信息、应用软件购买和下载信息等是否有必要的容灾备份.7)应访谈相关技术人员，检查应用商店设计/验收文档、业务安全策略、业务管理和配置文档，检查验证在发现诈骗、虚假广告等信息后，能否进行处理以防止信息的扩散。5.2.3 网络层安全5.2.3.1 结构安全1)应访谈相关技术人员，检查系统设计/验收文档、业务运营商提供的其他文档，检查验证是否绘制与当前运行情况相符的系统拓扑结构图。2)应访谈相关技术人员，检
26、查系统设计/验收文档、业务运营商提供的其他文档，检查验证关键网络设备、重要链路的业务处理能力是否满足业务高峰期需求。3)应访谈相关技术人员，检查系统设计/验收文档、系统管理和配置文档，检查是否根据应用和服务的特点，在满足高峰期流量需求的基础上，合理设计系统带宽，检查或测试验证系统是否能满足高峰期流量的冲击。的应访谈相关技术人员，检查系统设计/验收文档、系统安全策略、系统管理和配置文档、业务运营商提供的其他文挡，检查验证是否根据系统内部网络结构特点，按照统一的管理和控制原则划分不同的子网或网段，检查验证相关设备是否依照功能划分及其重要性等因素分区部署。5.2.3.2 身份鉴别1)应访谈相关技术和
27、管理人员，检查系统设计/验收文档、系统安全策略、系统管理和配置文档、审计记录/报告，访谈对系统管理用户是否有身份标识和鉴别措施，检查或测试验证相关措施的实施情况和有效性。2)应访谈相关技术和管理人员，检查系统设计/验收文档、系统安全策略、系统管理和配置文档，访谈对系统管理用户的口令设置要求，检查验证相关用户口令长度(是否均不小于8字节、口令复杂度(是否使用大写字母、小写字母、数字、标点及特殊字符四种字符中至少二种的组合且与用户名或D无相关性、口令更新频率(更新周期是否不大于90天)等相关要求，检查验证是否部署和应用相关技术6 YD厅2588-2013保障手段如口令统一管理相关技术措施)，并测试
28、相关口令策略和安全要求落实和执行情况，测试验证口令安全相关技术保障手段的效果。3)应访谈相关技术和管理人员，检查系统设计/验收文档、系统安全策略、系统管理和配置文档，检查是否启用验证码方式对管理用户登录进行验证。4)应访谈相关技术和管理人员，检查系统设计/验收文档、系统安全策略、系统管理和配置文档，检查是否启用安全的传输方式对管理用户登录进行通信保护。5)应访谈相关技术和管理人员，检查系统设计/验收文档、系统安全策略、系统管理和配置文档，检查是否有用户登录失败处理等功能，检查有关技术手段和措施的启用、实施情况，测试验证是否根据安全策略对登录失败采取了结束会话、限制非法登录次数和自动退出等措施。
29、6)应访谈相关技术和管理人员，检查系统设计/验收文档、系统安全策略、系统管理和配置文档，检查是否采用加密存储的机制保护系统管理用户账号和口令的安全。7)应访谈相关技术和管理人员，检查系统设计/验收文档、系统安全策略、系统管理和配置文档，检查是否实现操作系统和中间件用户的权限分离，中间件使用独立用户，并遵循最小权限原则。5.2.3.3访问控制1)应访谈相关技术人员，检查系统设计/验收文档、系统安全策略、系统及设备管理和配置文档，检查验证是否在系统边界部署访问控制设备，并启用访问控制功能。2)应访谈相关技术人员，检查系统设计/验收文档、系统安全策略、系统及设备管理和配置文档，检查或通过技术手段测试
30、验证是否能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力。3)应访谈相关技术人员，检查业务设计/验收文档、业务安全策略、业务管理和配置文档，检查或测试验证各账号是否依据最小授权原则授权，按安全策略要求控制对文件、数据库表等内容的访问。4)应访谈相关技术人员，检查系统设计/验收丈档、系统安全策略、系统管理和配置文档、业务运营商提供的其他文挡，检查验证是否按系统管理用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，检查或通过技术手段测试验证系统访问控制粒度是否为单个用户。. 5)应访谈相关技术人员，检查系统设计/验收文档、系统安全策略、系统管理和配置文档、业务运营商提
31、供的其他文档，检查验证系统是否限制了具有拨号访问权限的管理用户的数量。5.2.3.4 安全审计1)应访谈相关技术和管理人员，检查系统设计/验收文档、系统安全策略、系统管理和配置文档、系统日志，检查验证是否对系统中的重要设备运行状况、网络流量、系统管理及维护等进行日志记录，检查验证系统相关日志记录是否保留一定期限至少90天。2)应访谈相关技术和管理人员，检查系统设计/验收文档、系统安全策略、系统管理和配置文档、审计记录A琵告，检查或测试验证审计记录是否包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息，检查审计记录是否保留一定期限至少180天。5.2.3.5入侵防范1)应访
32、谈相关技术人员，检查系统设计/验收文档、系统安全策略、系统管理和配置文档，检查直接面向互联网用户提供服务的设备是否仅开放服务所必须端口，并采用技术手段监控该端口通信情况。2)应访谈相关技术人员，检查系统设计/验收文档、系统安全策略、系统管理和配置文档，检查验证是否部署攻击、入侵监测的相关技术措施和手段，检查或通过技术手段验证相关系统能否发现在边界7 YD厅2588-2013处发生的端口扫描、强力攻击、木马后门攻击、DoSIDDoS攻击、缓冲区溢出攻击、E碎片攻击和网络蠕虫等攻击.3)应访谈相关技术人员，检查系统设计/验收文档、系统安全策略、系统管理和配置文档，检查验证是否部署攻击、入侵防护的相
33、关设备或技术措施，检查或通过技术手段验证相关系统能否对在边界处发生的各类攻击和入侵是否能有效的抵御和防范.的应访谈相关技术人员，检查系统设计/验收文档、系统安全策略、系统管理和配置文档，检查中间件是否采取最小安装原则，并更改默认账户口令及banner(旗标信息.5.2.3.6 软件容错1)应访谈相关技术人员，检查系统设计/验收文档、系统相关管理文档，检查或验证系统是否能进行数据有效性检验，保证通过人机接口输入或通过通信接口输入的数据格式或长度符合系统设定要求.5.2.3.7 网络及安全设备防护1)应访谈相关技术人员和管理人员，检查网络设备入网检测报告、设备入网证、安全检测报告、业务运营商提供的
34、其他文档，检查系统相关网络设备是否进行有效的入网检测，验证是否符合设备入网管理相关要求的规定.2)应访谈相关技术人员和管理人员，询问是否对登录网络设备以及安全设备的用户进行身份鉴别，检查或测试验证相关措施的实施情况.3)应访谈相关技术人员和管理人员，询问是否对网络设备用户以及安全设备用户做唯一标识，检查相关设各的用户列表.的应访谈相关技术人员和管理人员，检查网络管理相关制度，询问口令管理要求，检查和验证用户口令是否不小于8字节，且应有一定的复杂度，并定期更换更新周期不大于90天)，检查验证是否部署和应用相关技术保障手段如，口令统一管理相关技术措施)，并测试相关口令策略和安全要求落实和执行情况，
35、测试验证口令安全相关技术保障手段的效果.5)应访谈相关技术和管理人员，检查网络设备以及安全设备的管理和配置文档，检查是否有用户登录失败处理等功能，检查有关技术手段和措施的启用、实施情况，测试验证是否根据安全策略对登录失败采取了结束会话、限制非法登录次数和自动退出等措施.6)应访谈相关技术和管理人员，检查网络设备以及安全设备的管理和配置文档，检查是否对管理终端的接入方式、网络地址范围等进行限制，测试验证相关措施的实施效果.7)应访谈相关技术和管理人员，询问当对网络设备进行远程管理时，是否采取必要措施防止鉴别信息在网络传输过程中被窃听.5.2.4 主机安全5.2.4.1 身份鉴别1)应访谈相关技术
36、人员和管理人员，检查主机安全检测报告、安全策略、主机管理和配置文档，检查验证对登录操作系统和数据库系统的用户是否进行身份标识和鉴别.2)应访谈相关技术人员和管理人员，检查主机安全检测报告、安全策略、主机管理和配置文档，检查验证是否为操作系统和数据库系统的不同用户分配不同的用户名，确保用户名具有唯一性.3)应访谈相关技术人员和管理人员，检查主机安全检测报告、安全策略、主机管理和配置文档，检查验证主机相关用户标识用户名是否具有唯一性且不易被冒用，检查或验证相关用户口令长度是8 YD厅2588-2013否均不小于8字节)、口令复杂度(是否使用大写字母、小写字母、数字、标点及特殊字符四种字符中至少二种
37、的组合且与用户名或B无相关性)、口令更新频率更新周期是否不大于90天等相关要求，检查是否部署和应用相关技术保障手段(如口令统一管理相关技术措施).检查或测试验证相关口令策略和安全要求是否有效落实和执行。的应访谈相关技术和管理人员，检查主机的管理和配置文档，检查是否有用户登录失败处理等功能，检查有关技术手段和措施的启用、实施情况，测试验证是否根据安全策略对登录失败采取了结束会话、限制非法登录次数和自动退出等措施。5)应访谈相关技术和管理人员，检查主机安全策略要求、业务运营商提供的其他文档，检查验证当对各类主机进行远程管理时，是否采取必要措施，防止鉴别信息在传输过程中被窃听。5.2.4.2 访问控
38、制1)应访谈相关技术人员和管理人员，检查主机安全检测报告、安全策略要求、业务运营商提供的其他文档，检查验证是否启用访问控制功能，检查或测试验证是否依据安全策略控制用户对资源的访问。2)应访谈相关技术人员和管理人员，检查主机安全检测报告、安全策略要求、业务运营商提供的其他文档，检查验证是否及时删除多余的、过期的账户，避免共享账户的存在。3)应访谈相关技术人员，检查主机安全检测报告、安全策略要求、业务运营商提供的其他文档，检查验证是否实现操作系统和数据库系统特权用户的权限分离.4)应访谈相关技术人员，检查主机安全检测报告、安全策略要求、，业务运营商提供的其他文档，检查或测试验证是否限制默认账户的访
39、问权限，修改这些账户的默认口令，在条件允许的情况下，是否对默认账户进行重命名。5.2.4.3 安全审计1)应访谈相关技术人员和管理人员，检查主机安全检测报告、安全策略要求、审计记录/报告、业务运营商提供的其他文档，检查或测试验证审计范围是否覆盖到主机/服务器上的每个操作系统用户和数据库用户。2)应访谈相关技术人员和管理人员，检查主机安全检测报告、安全策略要求、审计记录/报告、业务运营商提供的其他文档，检查或测试验证审计内容是否包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件。3)应访谈相关技术人员和管理人员，检查主机安全检测报告、安全策略要求、审计记录/报告、
40、业务运营商提供的其他文档，检查验证审计记录是否包括事件的日期、时间、类型、主体标识、客体标识和结果等。4)应访谈相关技术人员和管理人员，检查主机安全检测报告、安全策略要求、审计记录/报告、业务运营商提供的其他文档，检查或测试验证是否保护审计记录，检查或测试验证审计记录是否能避免受到未预期的删除、修改或覆盖等，检查验证相关审计记录是否保留一定期限(至少180天。5.2.4.4 入侵防范1)应访谈相关技术人员，检查主机安全检测报告、安全策略要求、业务运营商提供的其他文挡，检查验证通用主机操作系统是否遵循最小安装的原则，仅安装需要的组件和应用程序，检查或测试验证相关主机是否均通过安全的方式(如设置升
41、级服务器保持系统补丁及时得到更新至少每周一次。5.2.4.5 恶意代码防范9 YD厅2588-20131)应访谈相关技术人员，检查主机安全检测报告、安全策略要求、业务运营商提供的其他文档，检查验证通用主机(特别是使用Windows操作系统的主机)是否安装防恶意代码软件，并及时更新防恶意代码软件版本和恶意代码库(至少每周一次)。2)应访谈系统管理员，询问是否支持防恶意代码软件的统一管理。5.2.4.6 资源控制1)应访谈相关技术人员，检查主机安全检测报告、安全策略要求、业务运营商提供的其他文档，检查或测试验证是否通过设定终端接入方式、网络地址范围等条件限制终端登录。2)应访谈相关技术人员，检查主
42、机安全检测报告、安全策略要求、业务运营商提供的其他文挡，检查或测试验证是否根据安全策略设置登录终端的操作超时锁定。3)应访谈相关技术人员，检查主机安全检测报告、安全策略要求、业务运营商提供的其他文档，检查是否限制单个用户对系统资源的最大或最小使用限度。5.2.5 物理环境安全检测要求应按照YD厅1755中第2级的相关要求进行检测。5.2.6 管理安全检测要求应按照m厅1757中第2级的相关要求进行检测。此外还应进行如下检测z1)查看应用商店与第三方厂商包括且不限于第三方应用服务提供者、第三方合作商店、第三方应用软件开发商等签署的责任书，检查是否签署责任书，井有相关条款规范了在发生违法行为时，对
43、相关责任人进行处理。2)查看应用商店管理制度，检查是否支持违法应用软件的下架机制，是否有对己发现的违法应用软件及时下架，并对相关责任人包括且不限于应用软件开发者、第三方合作厂商)进行处理的条款。3)查看应用商店设计文挡，检查该系统是否有对从该商店下载的井已安装在用户终端上的违法应用软件进行查询、锁定，井能提示并协助用户删除该软件的功能。4)查看应用商店管理制度，检查应用商店是否有记录并保存相关责任人信息，并在国家有关机关依法查询时，予以提供的条款。检查所保存的开发者信息是否包括z一一责任人基本信息z主要包括责任人身份信息、营业执照、信用卡信息、联系方式等:一一责任人应用软件信息:主要包括责任人
44、与所开发的应用软件信息的对应关系;一一责任人信用信息z根据责任人的应用软件的健壮性、合理性、安全性等综合评价得出的责任人信用度，用以约束责任人。5)查看应用商店管理制度，检查应用商店对责任人及用户个人信息的处理是否进行保密管理。6)查看应用商店管理制度，检查应用商店是否建立了对业务及应用关键数据和重要信息进行备份和恢复的管理和控制机制(备份数据有效性验证至少每季度一次。7)查看应用商店是否建立了相关业务及应用系统的灾难恢复预案。的查看培训11、演练记录，检查是否有对灾难恢复预案进行教育、培训和演练的记录(培训至少半年一次，演练至少每年一次)。的查看灾难恢复预案，检查相关业务及应用的数据备份范围
45、和时间间隔、数据恢复能力是否满足行业管理、网络和业务运营商应急预案相关要求。10 YD厅2588-201310)查看应用商店用户技诉管理制度及用户投诉处理记录，检查是否建立用户投诉处理机制，是否对用户投诉立即响应，最长处理周期是否不超过5个工作日。11)查看应用商店风险评估报告及整改记录文档，检查是否定期请第三方安全检测机构对应用商店进行风险评估，并对风险评估中发现的安全问题进行整改(至少每两年一次。5.3 第3.1级要求5.3.1 应用软件安全除应满足第2级的要求，还应进行如下检测z1)查看代码审计报告，检查应用软件在上线前或升级后是否进行了代码审计，形成报告，并对审计出的问题进行代码升级完
46、善。2)使用扫描工具检测应用软件是否使用了含有己公开漏洞的开源第三方应用组件及代码漏洞库可参考CVE、CNVD等。5.3.2 业务系统安全5.3.2.1 身份鉴别除应满足第2级的要求，还应进行如下检测z1)查看应用商店设计文档，检查需要登录访问的业务平台(或模块)，是否对业务用户访问和操作的有关环节(如注册、登录、操作、管理和浏览等)提供有效的保护措施如用户注册口令进行强度检查、用户D检测和账号保护、以图形验证码保护各类提交信界、对用户重要操作进行确认和验证、授权访问页面使用安全连接等)，并人工验证各模块的防护措施。5.3.2.2 访问控制应满足第2级的要求。5.3.2.3 安全审计应满足第2级的要求。5.3.2.4 资源控制除应满足第2级的要求，还应进行如下检测:1)查看应用商店设计文档，检查系统是否能根据需要对业务及应用相关通信过程中的全部报文或整个会话过程提供必要的保护(如进行通信数据加密)，并提供
