JR_T 0098.7-2012中国金融移动支付 检测规范 第7部分：可信服务管理系统.pdf

1CS35.240.40A11JR中华人民共和国金融行业标准JR/T0098.72012中国金融移动支付检测规范第7部分：可信服务管理系统China financial mobile paymcntTest specifications-Part 7 - Trusted service manager2012—12—26微布2012—12—26实施中国人民很行发布 JR/T 0098.7—2012编号检测项检测项说明主要设备网络元余必测项设备网络气余（增强要求）网络安全路由器3. 2. 1结特安全网络安全防火增必测项网络拓扑结构必测项IP子网划分必测项QoS保证必测项网络域安全隔高和限制必测项地址转换和娜定必测项内容球滤必项3. 2.2访间控制访间控制必测项网络流量及连接数控制必测项会话网络连接控制必测项运程授号访间控制必测项日志信息必测项网络对象操作审计必测项3. 2. 3安全审计日志权限和保护必测项审计限踪极限（增强要求）集中审计(增强要求)3. 2. 4边界完整性检查非法连接阻断和定值必测项网络ARP联编改击必测项储息前取必测项3. 2. 5入侵防范DOS/DDOS攻击必测项网络入侵防范机制必测项恐意代码防范措施必测项3. 2. 6恶意代码防范定时更新必测项网络设备用户身份整别必测项主要网络设备用户身份鉴别（增强要求）身份鉴别信息不可伤造（增强要求）登录口令安全性必测项3. 2.7网络设备防护登录培址限制必测项登录失败处理必测项远程管理安全必测项权限分离必测项网络日常维护必测项网络安全管理制度必测项网络设备款件更新必测项3. 2.8网络安全管理漏润扫描必测项设备最小服务配置必测项外部连接必测项5 JR/T 0098. 72012编号检制项检测项说明控移动设备的网络换入控制必测哦定期检查违规行为必测项4.3.3主机安全主机安全检测项如表5所示，表5主机安全检测项列表编号检测项检测项说明用户身份标识和整别必测项口令复杂度必测项登录失败处理必测项3. 3. 1身份鉴别远程管理的传输模式必测项用户名唯一必测项用户身份信息组合签别技术必测项整别警示信息设置（增强要求）用户身份签别信息不可伤造（增强要求）访间控制景略必测项管理用户角色分配权限必测项特权用户权服分离必制项3, 3. 2访间控8默认账户访间权限控制必制项非正常帐户处理必测项重要信息敏感标记必测项数感标记信息访问控制必测项审计范围必测项审计的事件必测项审计记录格式必测项3. 3. 3安全审计审计报表生成必割项审计进程保护必割项审计记录保护必测项集中审计（增强要求）3. 3. 4别余信息保护别信息清除（增强要求）记录清空(增强要求）入设行为记景和报警必测项3. 3. 5.入复防范重要程序完鉴性保护必测项最小安装原则必测项防恶意代玛软件必割项3. 3. 6恶意代码防款不同恶盒代码库必测哦防恐意代码敦件统一管理必测项3.3. 7资额控制接入控制必训项超时锁定必利项 JR/T 0098. 7—2012编号检测项检询项说明主机资源监控必测项单个用户资源使用限度控制必测项系统服务水平监控和报管必测项信惠文档完整清院必测项3, 3. 8可信路径身份鉴别信息传输（增强要求）系统访间信惠传输（增强要求）访阅控制策路必割项系统漏洞扫描必制项3. 3.9系统安全管理系统扑丁必测项系恢安全管理制度必测项系统管理员权康必测项操作日志管理必测项4, 3, 4数据安全安全检测项如表6所示，表6数据安全检测项列表编号检测项检测项说明传输过程数据完整性必测项3. 4.1数据完整性存储过程数据完整性必测项数据备份记录必测项备份数据定期检查必测项3. 4. 2数据保密性数据加蓄传输必测项数据加密存籍必测项本地各份和恢复必测项3. 4. 3各份和恢复异地各份必测项关控链路穴余设计必测项报文格式必测项3. 4. 4报文安全报文完整性验证必测项报文移密性必测项对称加富算法必测项3. 4. 5密钢安全非对称加密算法必测项杂资算法必测项密制生成必洲项密钥传输必测项密朗存错必测项3. 4. 6崔钥管理密钥各份必测项密钥恢复必测项密例妇档密钥箭段必测项7 JR/T 0098. 7—2012编号检测项检测项说明密创更新必测项4. 3. 5TSI应用安全安全检测项如表7所示。表7TSI应用安全检测项列表编号检利项检测项说明用户身份标识和整别必测项用户身份组合基别技术必测项3.5. 1身份鉴别身份标识唯一性和复杂度检查多测项登录失败处理必测项用户身份组合整别技术不可伤造（增强要求）访间控制筑路必测项访间控制器盖范围必测项访问控策路必测项3. 5. 2访间控制用户角色权限必测项放感标记设置（增强要求）敏感标记信息资源访间控制（增强要求）禁止默认能户访间（增强要求3. 5. 3可信路径身份监测信息安全传检路径必测资源访间