軟件系統(tǒng)安全測試管理規(guī)范-wenkub.com
2025-04-10 02:04 本頁面
【正文】 測試總結測試工作完成后，由安全測試團隊總結本次測試過程中出現(xiàn)的問題，并針對這些問題給出改進建議。回歸測試是個循環(huán)的過程，測試沒有新的問題時循環(huán)即終止。自動化的工具掃描包括：Nmap端口掃描、系統(tǒng)漏洞掃描、web安全掃描、協(xié)議安全掃描等；手動測試包括：XSS、CSRF、SQL注入、XML注入、命令注入、橫向/縱向越權、會話安全等等；安全測試環(huán)境原則上使用軟件系統(tǒng)測試環(huán)境，如必須在生產環(huán)境上進行，實施測試方法中必須包含《失敗退回方案》，保護生產環(huán)境中的數(shù)據(jù)和應用； 對于每一個用例的測試過程，需要有對應的操作截圖，測試執(zhí)行完成后需要輸出對應的《安全測試報告》。數(shù)據(jù)流圖元素和STRIDE的對應關系如下：對于每一種威脅，其對應的消減方式如下表： 制作測試用例系統(tǒng)分析和威脅分析后就需要根據(jù)分析結果編寫測試用例。1） 外部環(huán)境分析對系統(tǒng)所在的外部環(huán)境，如操作系統(tǒng)、服務器、網(wǎng)絡等進行分析l 服務器安全防護（系統(tǒng)補丁、漏洞、木馬、外掛、開放端口）l 服務器用戶及其權限管理，密碼更新機制l 服務器備份機制2） 物理架構分析按照系統(tǒng)物理架構分析其使用的組件，如底層使用何種數(shù)據(jù)庫，控制層使用何種組件，表示層使用何種前端庫等，組件之間使用那些通信協(xié)議等，了解系統(tǒng)特性。 提供測試軟件的相關信息 安全測試實施2圖信 其整體流程見流程圖（下圖）： 4 測試準備 測試準備明確本次安全測試的軟件系統(tǒng)及其測試范圍，并對涉及各方權責做出說明 測試對象軟件系統(tǒng)名稱，軟件廠商信息、軟件開發(fā)語言等 系統(tǒng)信息開發(fā)商： 體系結構： 編程語言： 操作系統(tǒng)： WEB服務器： 數(shù)據(jù)庫： 測試范圍軟件內部
公司管理相關推薦
鄂ICP備17016276號-1