DB21_T 3660-2022 信息系统渗透测试技术规范.docx

ICS91.120.25CCSL70

21

辽宁省地方标准

DB21/T3660—2022

信息系统渗透测试技术规范

Specificationforpenetrationtesttechnologyofinformationsystem

2022-11-30发布2022-12-30实施

辽宁省市场监督管理局发布

I

DB21/T3660—2022

目次

前言 II

1范围 1

2规范性引用文件 1

3术语和定义 1

4总则 2

4.1测试目的 2

4.2测试原则 2

4.3测试形式 3

5技术要求 3

5.1测试环境及准备要求 3

5.2测试工具及准备要求 3

5.3测试对象 4

5.4测试内容和方法 4

5.5测试流程 7

6管理要求 9

6.1渗透测试授权 9

6.2渗透测试过程管理 9

6.3创新机制 10

附录A（资料性）渗透测试授权委托书模板 11

附录B（资料性）渗透测试报告样例 13

II

DB21/T3660—2022

前言

本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定

起草。

请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。本文件由辽宁省工业和信息化厅提出并归口。

本文件起草单位：北方实验室（沈阳）股份有限公司、辽宁省检验检测认证中心。

本文件主要起草人：张健楠、李海涛、袁洪朋、刘文志、鲁宁、段晓祥、王海涛、刘兴华、李琳、张建宇、石绍群、王明俊、牛晓雷、何永建、李开、曹明、张东志、邱学思、叶松、韩燕妮。

本文件发布实施后，任何单位和个人如有问题和意见建议，均可以通过来电和来函等方式进行反馈，我们将及时答复并认真处理，根据实际情况依法进行评估及复审。

归口管理部门通讯地址：辽宁省工业和信息化厅（沈阳市皇姑区北陵大街45-2号），联系电话：024

标准起草单位通讯地址：北方实验室（沈阳）股份有限公司（沈阳市浑南新区三义街6-1号21层），联系电话：02483785849。

1

DB21/T3660—2022

信息系统渗透测试技术规范

1范围

本文件规定了信息系统渗透测试的总则、技术要求和管理要求。本文件适用于信息系统渗透测试的实施。

2规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。

GB/T

20984

信息安全技术

信息安全风险评估方法

GB/T

22239

信息安全技术

网络安全等级保护基本要求

GB/T

25069

信息安全技术

术语

GB/T

28448

信息安全技术

网络安全等级保护测评要求

GB/T

31509

信息安全技术

信息安全风险评估实施指南

GB/T

36627

信息安全技术

网络安全等级保护测试评估技术指南

3术语和定义

GB/T20984、GB/T25069、GB/T31509、GB/T22239、GB/T28448、GB/T36627界定的以及下列术语和定义适用于本文件。

3.1

网络安全cybersecurity

通过采取必要措施，防范对网络的攻击、侵入、干扰、破坏和非法使用以及意外事故，使网络处于稳定可靠运行的状态，以及保障网络数据的完整性、保密性、可用性的能力。

3.2

渗透测试penetrationtest

通过模拟恶意黑客的攻击方法，来评估计算机网络系统安全的一种评估方法。3.3

漏洞扫描vulnerabilityscanning

基于漏洞数据库，通过扫描等手段对指定的远程或者本地计算机系统的安全脆弱性进行检测，发现可利用漏洞的一种安全检测（渗透攻击）行为。

3.4

弱口令weakpassword

容易被他人猜测到或被破解工具破解的口令。3.5

测试方testingparty

为信息系统提供测试服务的机构或人员。

2

DB21/T3660—2022

3.6

委托方clientparty

信息系统所属的机构或人员。3.7

SQL注入SQLinjection

web应用程序对用户输入