安全风险评估应用系统评估new.docx

安全风险评估之应用系统评估 2019 年 8 月 目 录 应用系统评估概述 33 评估的概念 33 评估手段 33 评估前的准备 44 确定用户配合人员 44 确定评估的范围 44 获得应用系统组件的清单 44 应用系统评估启动会 55 签署应用系统评估申请 55 具体评估步骤 55 认证和鉴别 55 是否启用了PKI 66 是否启用了组织统一要求的PKI 66 认证进程是否适当 66 用户账户管理 66 用户ID唯一性检查 66 不活动用户是否禁用 66 不必要的内置用户是否禁用 66 用户ID是否有默认的或者弱口令 77 数据保护 77 敏感数据不适当地存储 77 敏感数据传输中没有适当的保护 77 使用未经验证的加密算法 77 安全审核 88 安全相关事件记录 88 日志将满没有警告 88 日志存在未授权删除、修改、泄露等漏洞 88 应用操作 88 基于角色的访问控制没有加强责任分离 88 应用在执行操作之前没有进行授权 88 进程运行的权限过高 88 应用没有对session的限制 99 应用修改在应用的范围之外的文件 99 用户绕过用户界面直接修改资源 99 影响控制 99 网络架构不适当 99 没有灾难恢复计划 99 备份或者备份程序不完备 99 没有确保应用日志可以长时间保存的流程 99 敏感数据未经修改地直接导入测试环境 1010 3.7 代码安全 1010 应用的进程在终止前没有从内存或者磁盘中删除临时对象 1010 应用没有充分验证用户输入 1010 应用直接暴露出错信息 1010 应用失败能够导致不安全的状态 1111 应用系统评估概述 评估的概念 应用系统评估，是风险评估中必须的一个子项。它是指将应用系统作为一个单位，对该应用系统所 面临的脆弱性、安全隐患进行检查的过程。 应用系统评估和网络架构评估、网络访问控制评估、数据流评估等不同，它关注的是应用系统的自 身的安全，主要从“应用代码或程序”层面进行评估。11 评估手段 在应用系统安全评估中，应尽可能采用以下多种方式，对应用系统进行全面的安全检测。 如果某些情况下，有些方式不能采用或无法实现，比如源代码审核、配置文件检查等，可考虑通过其 他方式来进行验证其现状，比如渗透测试。 应用系统文档检查 检查应用系统的开发和维护文档，特别注意其中的和安全相关的部分。 评估访谈 和应用系统的开发人员、系统管理员、普通用户（抽查）进行访谈，了解系统的在开发和使用过程中 的详细信息。如果回答否，则结果为否；若回答是，则应尽可能实际上机验证。 访谈前，评估人员需根据系统的情况，准备对应的访谈表。 Checklist 检查 根据应用系统的操作系统，对应相应的checklist 检查项，对应用系统进行安全检查。检查时，可以手工逐项检查，也可以过脚本的方式快速检查。 渗透测试 对于某些应用系统，在授权的情况下可以适当采用的渗透测试，来检验系统的安全性。比如针对Web 网站，可以进行SQL 注入、XSS、数据库、暴力破解等渗透测试攻击手段。 系统配置状况检查 登陆系统，对系统配置进行安全检查。 评估前的准备 为保证在用户现场的工作效率，评估前应作好以下准备工作。 确定用户配合人员 和用户确定能够配合评估工作的人员，需要具有以下能力： 了解应用系统，能够有效回答评估者的询问； 能够提供对源代码的访问，并协助分析源代码； 能够提供应用系统相关的开发、维护文档； 能够提供超级用户权限的访问界面； 能够提供普通用户权限的访问界面； 最终确定的配合人员，一般包括：系统开发人员、系统管理员、普通用户。 确定评估的范围 和用户确定本次应用系统评估的范围，需落实到具体的服务器、应用、软件等。 获得应用系统组件的清单 获得应用系统架构范围内的所有组件清单，包括网络拓扑图、IP 地址、OS 版本、数据库、APP 版本、 第三方中间件版本、库文件或者其他组件等。 应用系统评估启动会 可以考虑召开应用系统评估的启动会，会上由系统开发人员、系统管理员介绍应用系统的基本情况， 包括应用系统的基本功能、组件架构、部署情况、使用对象、安全设计思想、业务流程等。 同时，通过启动会，也可能获得更多与该应用系统相关的各种技术文档。 签署应用系统评估申请 在应用系统评估实施之前，应向用户提交并签署应用系统安全评估申请，以确保用户认可以下问题： 接受评估过程中可能带来的操作风险； 对物理、逻辑访问用户应用系统的授权。 具体评估步骤 通常情况下，对应用系统的评估，应从以下7 个方面进行。 认证和鉴别 用户账户管理 数据保护 安全审核 应用操作