应用系统安全测试方法及内容

测试内容

测试要点

测试方法

应用系统的用户管理、权限管理应充分利用操作系统和数据库的安全性；应用软件运行时须有完整的日志记录。

日志记录的完整性

检测系统运行时是否会记录完整的日志。如进行详单查询，检测系统是否会记录相应的操作员、操作时间、系统状态、操作事项、IP地址等。

不允许以明文方式保存用户密码或系统使用的各类密码

用户密码或系统使用的各类密码的加密存储

检查数据库中的用户密码、操作员密码等字段是否是以加密方式保存。

为保证安全性，口令不允许以明码的形式显示在输出设备上，应能对口令进行如下限制：最小口令长度、强制修改口令的时间间隔、口令的唯一性、口令过期失效后允许入网的宽限次数。

1．口令不允许以明码显示在输出设备上。

2．最小口令长度的限制。

3．强制修改的时间间隔限制。

4．口令的唯一性限制。

5．口令过期失效后允许入网的宽限次数限制

实际登录系统，输入相应的口令，检测口令是否是以加密形式显示，同时检测最小口令长度、强制修改口令的时间间隔、口令的唯一性、口令过期失效后允许入网的宽限次数。

应用系统应支持操作失效时间的配置，当操作员在所配置的时间内没有对界面进行任何操作则该应用自动失效。

1．支持操作失效时间的配置。

2．支持当操作员在所配置的时间内没有对界面进行任何操作则该应用自动失效。

检测系统是否支持操作失效时间的配置，同时达到所配置的时间内没有对界面进行任何操作时，检测系统是否会将用户自动失效，需要重新登录系统。

应用系统应提供完善的审计功能，对系统关键数据的每一次增加、修改和删除都能记录相应的修改时间、操作人和修改前的数据记录。

支持系统关键数据进行维护的记录功能。

检测对系统关键数据进行增加、修改和删除时，系统是否会记录相应的修改时间、操作人员和修改前的数据记录。

应用程序的源代码不允许放在运行主机上，应另行存放，并具有版本控制能力。

1．应用程序的源代码不允许放在运行主机上，应另行存放。

2．版本控制

1．登录主机审查应用程序的源代码存放位置。

2．查看支撑系统版本控制管理办法或相似文件，是否有相应的版本管理规章制度；软件升级、补丁植入流程管理是否合理。

3．查看系统软件版本记录文件及软件介质与软件操作手册，是否有详细的软件版本号、软件升级与补丁植入情况的记录。

各应用软件目录设置及其访问权限应有相应的规范，以保证系统的安全性和可维护性。

各应用软件目录设置及其访问权限应有相应的规范。

审查是否有各应用软件目录设置及其访问权限相应的规范文件。

接口程序连接登录必须进行认证（根据用户名、密码认证）

支持接口程序连接登录时的认证。

实际运行系统，检测接口程序连接登录时，是否需要输入相应的用户名、密码进行认证。