WEB应用系统安全规范文档.docxVIP

WEB应用系统平安标准

目录

TOC\o1-3\h\z\uWEB应用系统平安标准 1

1 概述 4

1.1 目的 4

1.2 适用范围 4

2 范围 4

3 名词解释 4

4 Web开发平安标准 5

4.1 Web应用程序体系结构和平安 5

4.2 Web平安编码标准 7

区分公共区域和受限区域 7

对身份验证cookie的内容进行加密 7

限制会话寿命 7

使用SSL保护会话身份验证Cookie 7

确保用户没有绕过检查 7

验证从客户端发送的所有数据 8

不要向客户端泄漏信息 8

记录详细的错误信息 8

捕捉异常 8

不要信任头信息 8

不要使用-GET协议传递敏感数据 8

不要在永久性cookie中存储敏感数据 8

对数据进行加密或确保通信通道的平安 9

SQL语句的参数应以变量形式传入 9

页面中的非源代码内容应经过URI编码 9

页面中拼装的脚本应校验元素来源的合法性 9

页面请求处理应校验参数的最大长度 9

登录失败信息错误提示应一致 10

防止页面上传任意扩展名的文件 10

防止接受页面中的主机磁盘路径信息 10

第三方产品的合法性 10

5 系统部署平安标准 10

5.1 部署架构和平安 10

网络根底结构组件 11

部署拓扑结构 12

5.2 部署操作平安标准 12

确保管理界面的平安 12

确保配置存储的平安 12

单独分配管理特权 12

使用最少特权进程和效劳帐户 12

尽量防止存储机密 13

不要在代码中存储机密 13

不要以纯文本形式存储数据库连接、密码或密钥 13

限制主机上WEB系统启动用户的权限 13

隐藏后台调试信息 13

密码加密存储 13

隐藏重要配置参数信息 14

隐藏日志文件 14

禁用WebDAV，或者禁止不需要的方法 14

保证管理平台、测试账号口令强度 14

定期核查文件上传路径、日志路径中是否存在木马 14

及时删除应用系统临时文件 14

重要系统隔离 14

6 平安审计 15

6.1 审核并记录跨应用层的访问 15

6.2 考虑标识流 15

6.3 记录关键事件 15

6.4 确保日志文件的平安 15

6.5 定期备份和分析日志文件 16

7 标准更新机制 16

8 标准的执行 16

9 参考资料 17

概述

目的

为标准我司JavaWeb应用编码和部署的平安控制和管理，特制定本标准，并作为平安检查及考核的参考依据。

适用范围

本标准适用于我司所有在线Java业务系统、测试系统的WEB应用。

本标准可作为其他非WEB应用的编码和部署平安方法参考。

范围

本标准中列出的是常见平安措施和高风险的漏洞，在系统开发与系统部署的过程中，对本标准未能尽述的必要平安措施，仍应予以采用。

本标准每年复审一次，其它时候也可以根据需要进行修订并发布。本标准的解释权和修改权归属信息技术部。

名词解释

验证：通讯实体(例如，客户端和效劳器)彼此验证，以经过访问授权的特定标识为依据。

资源的访问控制：资源的交互仅限于某些用户或程序的集合，其目的是对完整性，保密性或可用性实施强制约束。

数据完整性：检验信息是否被第三方(非信息源的其它实体)修改。例如，处于开放网络环境中的数据接收方必须能够检测并丢弃那些在传递过程中被修改正的消息。

机密性或数据隐私：确保信息仅对经过访问授权的用户可用。

不可否认：对用户进行检验，让他无法否认自己进行过的活动。

捕获一个平安相关事件的防篡改记录，目的是评估平安策略和机制的有效性。

Web开发平安标准

Web应用程序体系结构和平安

是无国界的，这意味着跟踪每位用户的会话状态将成为应用程序的责任。应用程序必须能够通过某种形式的身份验证来识别用户。由于所有后续授权决策都要基于用户的标识，因此，身份验证过程必须是平安的，同样必须很好地保护用于跟踪已验证用户的会话处理机制。设计平安的身份验证和会话管理机制仅仅是Web应用程序设计人员和开发人员所面临的众多问题中的两个方面。由于输入和输出数据要在公共网络上进行传输，因此还会存在其他挑战。防止参数操作和敏感数据泄漏也是另外一些重要问题。

Web应用程序平安设计是根据应用程序漏洞类别进行组织的