軟件系統(tǒng)安全測試管理規(guī)范(已改無錯字)
2023-05-14 02:04:54 本頁面
【正文】 輸入校驗、敏感數(shù)據(jù)、配置管理、授權(quán)、異常管理、會話管理、參數(shù)操作、審核和日志記錄、部署和基礎(chǔ)結(jié)構(gòu)等方面入手分析。 威脅分析系統(tǒng)分析后需要進(jìn)行的就是威脅分析，根據(jù)系統(tǒng)分析的結(jié)果，選擇合適的威脅模型，分析系統(tǒng)面臨的主要安全威脅。常用的威脅模型STRIDE，是基于數(shù)據(jù)流的一種威脅分析模型，它包含六個維度威脅：威脅模型STRIDE一般應(yīng)用在二層數(shù)據(jù)流圖上，在外界操作與系統(tǒng)內(nèi)部模塊之間、系統(tǒng)模塊與外界存儲之間需要畫立信任邊界。數(shù)據(jù)流圖元素和STRIDE的對應(yīng)關(guān)系如下：對于每一種威脅，其對應(yīng)的消減方式如下表： 制作測試用例系統(tǒng)分析和威脅分析后就需要根據(jù)分析結(jié)果編寫測試用例。外界環(huán)境和物理架構(gòu)這邊，主要是針對系統(tǒng)或組件特點，羅列用例內(nèi)容；邏輯架構(gòu)這邊是測試用例重點，分析軟件系統(tǒng)數(shù)據(jù)流圖，針對分解的每一個二層數(shù)據(jù)流圖，對每一個數(shù)據(jù)流圖元素，映射對應(yīng)的威脅，編寫測試用例，用例必須按照模板輸出。測試用例具體內(nèi)容包括： 用例名稱：測試用例必須具有唯一可區(qū)分的名稱；用例執(zhí)行步驟：用例的詳細(xì)執(zhí)行步驟，每一步必須無歧義，具備可執(zhí)行性；用例使用的工具：用例執(zhí)行過程中使用的工具；用例的執(zhí)行條件：用例執(zhí)行必須具備的條件，如網(wǎng)絡(luò)可達(dá)、服務(wù)必須運(yùn)行等；用例的輸入和輸出：用例執(zhí)行過程中涉及的輸入，以及對應(yīng)的輸出；用例的安全屬性：目前規(guī)定的安全屬性包括管理通道安全、XSS、注入攻擊、CSRF、身份認(rèn)證、會話安全、敏感數(shù)據(jù)保護(hù)、越權(quán)、中間件安全、配置安全這10個維度；用例執(zhí)行優(yōu)先級：用例執(zhí)行的優(yōu)先順序，在用例數(shù)量很多的情況下，應(yīng)按照優(yōu)先級高低的順序執(zhí)行。 實施測試方法測試用例編寫完就需要開始用例的執(zhí)行，具體的測試包括自動化的工具執(zhí)行以及手動測試。自動化的工具掃描包括：Nmap端口掃描、系統(tǒng)漏洞掃描、web安全掃描、協(xié)議安全掃描等；
公司管理相關(guān)推薦
鄂ICP備17016276號-1