什么是安全測(cè)試？

一 什么是安全測(cè)試

安全測(cè)試是在軟件產(chǎn)品的生命周期過(guò)程中，對(duì)產(chǎn)品檢驗(yàn)是否符合安全需求定義

二 安全測(cè)試的目的

提升軟件產(chǎn)品的安全質(zhì)量

盡量在發(fā)布前找到安全問(wèn)題予以修補(bǔ)降低成本

電量安全

驗(yàn)證安裝在系統(tǒng)內(nèi)的保護(hù)機(jī)制能否在實(shí)際應(yīng)用中對(duì)系統(tǒng)進(jìn)行保護(hù)

使之不被非法入侵

三 怎么做安全測(cè)試

3.1 一個(gè)完整的安全性測(cè)試

從部署與基礎(chǔ)結(jié)構(gòu)、輸入驗(yàn)證、身份驗(yàn)證、授權(quán)、配置管理、敏感數(shù)據(jù)、會(huì)話管理、加密、參數(shù)操作、異常管理、審核和日志記錄

3.2 部署與基礎(chǔ)結(jié)構(gòu)

網(wǎng)絡(luò)是否提供了安全的通信，部署是否包括內(nèi)部的防火墻，基礎(chǔ)結(jié)構(gòu)安全性需求的限制是什么，目標(biāo)環(huán)境支持怎樣的信任級(jí)別

3.3 輸入驗(yàn)證

如何驗(yàn)證輸入,是否驗(yàn)證Web頁(yè)輸入，是否對(duì)傳遞到組件或Web服務(wù)的參數(shù)進(jìn)行驗(yàn)證，是否驗(yàn)證從數(shù)據(jù)庫(kù)中檢索的數(shù)據(jù)，是否依賴客戶端的驗(yàn)證，應(yīng)用程序是否易受SQL注入攻擊，應(yīng)用程序是否易受XSS攻擊，如何處理輸入

3.4 身份驗(yàn)證

是否區(qū)分公共訪問(wèn)和受限訪問(wèn),如何驗(yàn)證數(shù)據(jù)庫(kù)的身份

3.5 授權(quán)

如何向最終用戶授權(quán)，如何在數(shù)據(jù)庫(kù)中授權(quán)應(yīng)用程序，如何將訪問(wèn)限定于系統(tǒng)級(jí)資源

3.6 配置管理

是否保證配置存儲(chǔ)的安全

3.7 敏感數(shù)據(jù)

是否存儲(chǔ)機(jī)密信息，如何存儲(chǔ)敏感數(shù)據(jù)，是否在網(wǎng)絡(luò)中傳遞敏感數(shù)據(jù)，是否記錄敏感數(shù)據(jù)

3.8會(huì)話管理

是否限制會(huì)話生存期，如何確保會(huì)話存儲(chǔ)狀態(tài)的安全

3.9 加密

如何確保加密密鑰的安全性

3.10 參數(shù)操作

是否驗(yàn)證所有的輸入?yún)?shù)，是否在參數(shù)過(guò)程中傳遞敏感數(shù)據(jù)，是否為了安全問(wèn)題而使用HTTP頭數(shù)據(jù)

3.11異常管理

是否使用結(jié)構(gòu)化的異常處理，是否向客戶端公開(kāi)了太多的信息

四 傳輸安全

傳輸級(jí)的安全測(cè)試是考慮到Web系統(tǒng)的傳輸?shù)奶厥庑裕攸c(diǎn)測(cè)試數(shù)據(jù)經(jīng)客戶端傳送到服務(wù)器端可能存在的安全漏洞，以及服務(wù)器防范非法訪問(wèn)的能力

4.1 HTTPS和SSL

HTTPS和SSL測(cè)試：默認(rèn)的情況下，安全HTTP（Soure HTTP）通過(guò)安全套接字SSL（Source Socket Layer）協(xié)議在端口443上使用普通的HTTP

HTTPS使用的公共密鑰的加密長(zhǎng)度決定的HTTPS的安全級(jí)別，安全性的保證是以損失性能為代價(jià) 的。除了要測(cè)試加密是否正確，檢查信息的完整性和確認(rèn)HTTPS的安全級(jí)別外，還要注意在此安全級(jí)別下，其性能是否達(dá)到要求

4.2 服務(wù)器端的腳本漏洞檢查

服務(wù)器端的腳本漏洞檢查：存在于服務(wù)器端的腳本常常構(gòu)成安全漏洞，這些漏洞又往往被黑客利用

4.3 防火墻測(cè)試

防火墻測(cè)試：防火墻是一種主要用于防護(hù)非法訪問(wèn)的路由器，在Web系統(tǒng)中是很常用的一種安全系統(tǒng)

五 與通常測(cè)試的區(qū)別

5.1 目標(biāo)不同

測(cè)試以發(fā)現(xiàn)BUG為目標(biāo)，安全測(cè)試以發(fā)現(xiàn)安全隱患為目標(biāo)

5.2 假設(shè)條件不同

測(cè)試假設(shè)導(dǎo)致問(wèn)題的數(shù)據(jù)是用戶不小心造成的，接口一般只考慮用戶界面。安全測(cè)試假設(shè)導(dǎo)致問(wèn)題的數(shù)據(jù)是攻擊者處心積慮構(gòu)造的，需要考慮所有可能的攻擊途徑

5.3 思考域不同

測(cè)試以系統(tǒng)所具有的功能為思考域。安全測(cè)試的思考域不但包括系統(tǒng)的功能，還有系統(tǒng)的機(jī)制、外部環(huán)境、應(yīng)用與數(shù)據(jù)自身安全風(fēng)險(xiǎn)與安全屬性等

問(wèn)題發(fā)現(xiàn)模式不同

測(cè)試以違反功能定義為判斷依據(jù)。安全測(cè)試以違反權(quán)限與能力的約束為判斷依據(jù)