[计算机]安全性测试总结.pptVIP

系统的安全性测试;安全性测试的目的;安全性测试应包括下面的工作：;安全性测试方法 ;系统安全测试的内容;第一部分;应用程序的安全性： 　　　包括对数据或业务功能的访问，在预期的安全性情况下，操作者只能访问应用程序的特定功能、有限的数据。其测试是核实操作者只能访问其所属用户类型已被授权访问的那些功能或数据。测试时，确定有不同权限的用户类型，创建各用户类型并用各用户类型所特有的事务来核实其权限，最后修改用户类型并为相同的用户重新运行测试。 ;应用程序的安全性问题: 功能验证 1.有效的密码是否接受，无效的密码是否拒绝。 2.系统对于无效用户或密码登陆是否有提示。 3.用户是否会自动超时退出，超时的时间是否合理。 4.各级用户权限划分是否合理。 模拟攻击 1.系统是否允许极端或不正常的登陆方式访问。（如 不通过登入页面，直接输入URL,看其是否能够 进入） ;第二部分;系统安全测试： 　可确保只有具备系统访问权限的用户才能访问应用程序，而且只能通过相应的网关来访问，包括对系统的登录或远程访问。其测试是核实只有具备系统和应用程序访问权限的操作者才能访问系统和应用程序。 ;操作系统安全测试;帐号和口令 ;网络与服务 ;文件系统 ;日志审核;其它安全设置 ;第三部分;数据库安全;1.无关IP禁止访问 方法一： 在Oracle 服务器的SQLNet.Ora 文件中设置允许访问的IP 地址,或不允许访问的 IP 地址； 方法二：在Oracle 服务器上使用NetManager 工具设置； 2.用户密码为强口令 锁定不用的默认帐户，如scott ； 更改使用的默认帐户的口令，这些帐户的密码是公开的，安装时自动建立，如帐户 system 密码manager 为确保安全默认帐户必须修改密码； 密码使用强口令，即数字、特殊字符、字母组成的至少8未的密码； 设置密码失效的策略文件 profile，可在 控制台中设置。 3.用户赋予适当的权限 不要每个帐户都设置DBA权限，把系统所有操作暴露给每个用户； 每个帐户仅赋予它完成操作所需要的权限；不要轻易为帐户赋予delete 或delete any 权限，确保数据不会被误删除；;数据库??全（sql server）;第四部分;IIS安全测试;第五部分;网络环境安全测试;1.备份和升级情况 2.访问控制情况 3.网络服务情况 4.路由协议情况 5.日志审核情况 6.网络攻击防护情况 7.登陆标志 8.安全管理 ; 谢谢大家！！