滲透測試招標技術(shù)規(guī)范doc(已修改)
2024-11-14 08:17 本頁面
【正文】 達州市 商業(yè)銀行網(wǎng)銀系統(tǒng)滲透性測試 招標 技術(shù)規(guī)范 一、 主要 內(nèi)容 按照《 JR/T 00682020 網(wǎng)上銀行系統(tǒng)信息安全通用規(guī)范》、《電子銀行安全評估指引》等相關(guān)信息安全標準、規(guī)范對 我行 個人網(wǎng)銀 、企業(yè)網(wǎng)銀 、 門戶網(wǎng)站 三個系統(tǒng) 開展?jié)B透 測試項目 。 對上述系統(tǒng)的安全測評包括但不限于以下內(nèi)容： （ 1） 滲透性測試 （ 內(nèi)部和外部 ） ； 滲透測試是由 乙方 模擬黑客攻擊時常用的技術(shù)手段對 甲方 目標系統(tǒng)發(fā)起的模擬黑客攻擊行為。 滲透測試服務(wù)的目的在于充分挖掘和暴露系統(tǒng)的弱點，從而讓管理人員了解其系統(tǒng)所面臨的威脅。 此次滲透 測試包含 內(nèi)部和外部兩種 接入測試方式。乙方須在投標材料 中明確 。 評 估目 標 系 統(tǒng) 的基本特征信息是否可以被 遠 程探 測 和 獲 取（如系統(tǒng) 名稱 /版本、應(yīng) 用指 紋 、 應(yīng) 用入口、管理入口等）。 評 估目 標 系 統(tǒng) 是否存在注入攻 擊 漏洞（如 SQL 注入、 LDAP 注入、ORM 注入、 XML 注入、 SSI 注入、 XPATH 注入、 IMAP/SMTP 注入、代碼 注入等）。 評 估攻 擊 者是否可以 執(zhí) 行 計 劃外的命令、 訪問 未被授 權(quán)的數(shù)據(jù)、接管主機管理控制 權(quán) 等。 評 估目 標 系 統(tǒng) 是否存在跨站腳本攻 擊 （ XSS）漏洞（如反射式跨站腳本、存儲 式跨站腳本、基于 DOM 的跨站腳本檢測 、 FLASH 跨站腳本測試 等）。 評 估攻 擊 者是否可以在目 標 系 統(tǒng) 的客 戶 端 瀏覽 器上 執(zhí)行腳本，從而劫持客 戶 端用 戶 會 話 、危害網(wǎng)站、或者將客 戶 端用 戶轉(zhuǎn)向至 惡 意網(wǎng)站等。 評 估目 標 系 統(tǒng) 身份 認證 和密 碼 的安全性（如用 戶 枚 舉 、默 認 或可猜解 /遍歷 用 戶帳戶 、暴力破解、 認證 模式 繞過 、 CAPTCHA 安全性、雙因素認證 安全 性、記 住密 碼 和密 碼 重置弱點、注 銷 和 瀏覽 器 緩 存弱點、 認證 信息是否暴露在 url 或 cookie 等）。評 估目 標 系 統(tǒng) 的 認證 密碼 的安全 強 度是否足 夠 。 評 估系 統(tǒng) 身份 認證 方式是否存在安全漏洞。 評 估目 標 系 統(tǒng) 的授 權(quán) 機制是否存在漏洞。 評 估是否存在 繞過 授 權(quán)模式、是否存在越 權(quán) /非授權(quán)訪問 漏洞、是否存在非授 權(quán)
法律信息相關(guān)推薦
鄂ICP備17016276號-1