應用安全應用測評指導書三級10版模板-文庫吧資料
2024-08-17 00:17本頁面
【正文】 錄包括事件的日期、時間、類型、主體標識、客體標識和結果等內(nèi)容。例如：通過專用日志服務器或存儲設備對審計記錄進行備份，并避免對審計記錄的修改、刪除或覆蓋。3安全審計a) 應提供覆蓋到每個用戶的安全審計功能，對應用系統(tǒng)重要安全事件進行審計；訪談：訪談安全審計員，詢問應用系統(tǒng)是否有安全審計功能，對事件進行審計的選擇要求和策略是什么，對審計日志的保護措施有哪些；查看其當前審計范圍是否覆蓋到每個用戶；系統(tǒng)開啟了安全審計功能或部署了第三方安全審計設備。f) 應依據(jù)安全策略嚴格控制用戶對有敏感標記重要信息資源的操作。至少應該有系統(tǒng)管理員和安全管理員，安全審計員在有第三方審計工具時可以不要求。d) 應授予不同帳戶為完成各自承擔任務所需的最小權限，并在它們之間形成相互制約的關系。應用系統(tǒng)的重要文件及目錄已根據(jù)用戶級別設置了訪問控制策略。2訪問控制a) 應提供訪問控制功能，依據(jù)安全策略控制用戶對文件、數(shù)據(jù)庫表等客體的訪問；訪談：1）訪談應用系統(tǒng)管理員，詢問應用系統(tǒng)是否提供訪問控制措施，具體措施有哪些，自主訪問控制的粒度如何；手工檢查：1）應檢查主要應用系統(tǒng)，查看系統(tǒng)是否提供訪問控制機制；是否依據(jù)安全策略控制用戶對客體（如文件和數(shù)據(jù)庫中的數(shù)據(jù)）的訪問；應用系統(tǒng)提供訪問控制功能模塊，其功能控制用戶對文件、數(shù)據(jù)庫表等訪問。d) 應提供登錄失敗處理功能，可采取結束會話、限制非法登錄次數(shù)和自動退出等措施；訪談：1）訪談應用系統(tǒng)管理員，詢問應用系統(tǒng)是否配備并使用登錄失敗處理功能（如登錄失敗次數(shù)超過設定值，系統(tǒng)自動退出等），查看是否啟用配置；手工檢查：1）應測試主要應用系統(tǒng)，驗證其登錄失敗處理，非法登錄次數(shù)限制等功能是否有效； 1)應用系統(tǒng)已啟用登陸失敗處理、結束會話、限制非法登錄次數(shù)等措施；2)當超過系統(tǒng)規(guī)定的非法登陸次數(shù)登錄操作系統(tǒng)時，系統(tǒng)鎖定或自動斷開連接；e) 應啟用身份鑒別、用戶身份標識唯一性檢查、用戶身份鑒別信息復雜度檢查以及登錄失敗處理功能，并根據(jù)安全策略配置相關參數(shù)。c) 應提供用戶身份標識唯一和鑒別信息復雜度檢查功能，保證應用系統(tǒng)中不存在重復用戶身份標識，身份鑒別信息不易被冒用；訪談：1）訪談應用系統(tǒng)管理員，詢問應用系統(tǒng)采取何種措施防止身份鑒別信息被冒用（如復雜性混有大、小寫字母、數(shù)字和特殊字符，口令周期等）；手工檢查：1）以弱口令用戶注冊，驗證其用戶是否注冊成功。b) 應對同一用戶采用兩種或兩種以上組合的鑒別技術實現(xiàn)用戶身份鑒別；訪談:1）訪談
法律信息相關推薦
鄂ICP備17016276號-1