應用安全應用測評指導書三級10版模板(編輯修改稿)
2024-08-31 00:17 本頁面
【文章內容簡介】 是否分離（如將系統(tǒng)管理員、安全員和審計員的權限分離），權限之間是否相互制約（如系統(tǒng)管理員、安全管理員等不能對審計日志進行管理，安全審計員不能管理審計功能的開啟、關閉、刪除等重要事件的審計日志等）；系統(tǒng)管理員、安全管理員、安全審計員由不同的人員和用戶擔當。至少應該有系統(tǒng)管理員和安全管理員，安全審計員在有第三方審計工具時可以不要求。e) 應具有對重要信息資源設置敏感標記的功能；訪談：訪談應用系統(tǒng)管理員，詢問應用系統(tǒng)是否能對重要信息資源和訪問重要信息資源的所有主體設置敏感標記，這些敏感標記是否構成多級安全模型的屬性庫，主體和客體的敏感標記是否以默認方式生成或由安全員建立、維護和管理；查看操作系統(tǒng)功能手冊或相關文檔，確認應用系統(tǒng)是否具備能對信息資源設置敏感標記功能；應用系統(tǒng)對重要信息資源已設置敏感標記。f) 應依據(jù)安全策略嚴格控制用戶對有敏感標記重要信息資源的操作。訪談：訪談應用系統(tǒng)管理員，詢問應用系統(tǒng)的強制訪問控制是否與用戶身份鑒別、標識等安全功能密切配合，并且控制粒度達到主體為用戶級，客體為文件和數(shù)據(jù)庫表級；通過敏感標記設定用戶對重要信息資源的訪問。3安全審計a) 應提供覆蓋到每個用戶的安全審計功能，對應用系統(tǒng)重要安全事件進行審計；訪談：訪談安全審計員，詢問應用系統(tǒng)是否有安全審計功能，對事件進行審計的選擇要求和策略是什么，對審計日志的保護措施有哪些；查看其當前審計范圍是否覆蓋到每個用戶；系統(tǒng)開啟了安全審計功能或部署了第三方安全審計設備。b) 應保證無法單獨中斷審計進程，無法刪除、修改或覆蓋審計記錄；訪談:訪談安全審計員，審計記錄監(jiān)控和保護采取的措施。例如：通過專用日志服務器或存儲設備對審計記錄進行備份，并避免對審計記錄的修改、刪除或覆蓋。通過專用日志服務器或存儲設備對審計記錄進行備份，并避免對審計記錄的修改、刪除或覆蓋。c) 審計記錄的內容至少應包括事件的日期、時間、發(fā)起者信息、類型、描述和結果等；訪談:訪談安全審計員，審計記錄信息是否包括事件發(fā)生的日期與時間、觸發(fā)事件的主體與客體、事件的類型、事件成功或失敗、身份鑒別事件中請求的來源（如末端標識符）、事件的結果等內容；審計記錄包括事件的日期、時間、類型、主體標識、客體標識和結果等內容。d) 應提供對審計記錄數(shù)據(jù)進行統(tǒng)計、查詢、分析及生成審計報表的功能。訪談：訪談安全審計員，是否為授權用戶瀏覽和分析審計數(shù)據(jù)提供專門的審計工具（如對審計記錄進行分類、排序、查詢、統(tǒng)計、分析和組合查詢等），并能根據(jù)需要生成審計報表；能定期生成審計報表并包含必要審計要素。4剩余信息保
法律信息相關推薦
鄂ICP備17016276號-1