工具测试方案.doc

漯河银行股份有限公司信息安全等级测评项目工具测试方案项目名称：漯河银行股份有限公司信息安全等级测评项目 委托单位：漯河银行股份有限公司 编制单位：河南省金盾信息安全等级技术测评中心 编制日期：二一二年十月 河南省金盾信息安全等级技术测评中心受河南省漯河银行股份有限公司委托，在河南省漯河银行股份有限公司信息安全等级测评项目实施过程中需要采用现场测试的方式对被评估系统进行必要的检验和测试。现场测试是信息安全等级测评项目中不可缺少的重要检测项目，在实施过程中需要根据具体网络情况制定测试方案，为了规避现场测试带来的安全风险，河南省金盾信息安全等级技术测评中心不但需要与委托方河南省漯河银行股份有限公司进行沟通，尽量避开业务高峰期，在系统资源处于空闲状态时进行，同时要求委托方对整个测试过程进行监督。现将河南省金盾信息安全等级技术测评中心即将采取的相关测试时间、测试工具、测试接入点等详细测试方案阐述如下，如果河南省漯河银行股份有限公司对该测试方案没有异议，请在下方的意见里填写“同意该测试方案”并签字，如果有异议，请填写异议条款，河南省金盾信息安全等级技术测评中心将依据“异议条款”进行论证，论证通过后对测试方案进行修改和变更，最终就现场测试方案达成一致意见。目 录1.测试工具42.详细测试方案42.1测试接入点选取42.2接入设备和测试时间52.3测试内容53. 工具测试实现目标63.1网络安全63.2主机安全73.3应用安全73.4数据库安全81.测试工具主要使用到的测评工具有：扫描工具、渗透测试工具集等。具体描述如下表：序号工具名称工具描述1绿盟远程安全评估系统可以对操作系统，网络设备和数据库等多种设备的扫描规则库，漏洞库遵循CVE，CAN和MS等国际标准。2安信通数据库漏洞扫描系统可以对各种类型的数据库进行扫描，漏洞库遵循CVE、数据库厂家、国际测评中心等国内外标准。2.详细测试方案2.1测试接入点选取本次测试接入点选取原则是依据信息安全等级保护基本要求中工具测试接入点选取办法进行选取，选取原则共有以下5点：1. 由低级别区域向高级别区域探测；2. 同等级各功能区域之间要互相探测；3. 由非核心区域向核心区域探测；4. 由外联接口向系统内部探测；5. 跨网络隔离设备（包括网络设备和安全设备）要分段探测。针对河南省漯河银行股份有限公司的网络边界和抽查设备的情况，需要在开发网接入边界处设置1个测试工具接入点接入点A，如下图所示，接入点标注表示进行工具测试时，需要从该网络设备上接入。接入点A2.2接入设备和测试时间接入点接入设备接入IP地址测试时间A开发路由器2.3测试内容 在接入点A接入绿盟远程安全评估系统，对以下区域进行探测：模拟内部用户，对开发网的服务器进行漏洞探测，查看服务器暴露的安全漏洞情况。 在接入点A接入安信通数据库漏洞扫描系统，对以下区域进行探测：模拟内部用户，对开发网的数据库进行漏洞探测，查看数据库暴露的安全漏洞情况。3. 工具测试实现目标本次工具测试不但使用了多种黑客攻击手段来发现信息系统的脆弱点，还结合了信息安全等级保护基本要求中的网络安全、主机安全、应用安全和数据库安全中的部分测评项，从系统整体层面间、区域间和系统结构都做了深入的探测，从而进一步发现系统的脆弱点，引用信息安全等级保护基本要求中技术要求的测评项有：3.1网络安全1) 应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户；2) 应限制具有拨号访问权限的用户数量。3) 应在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等；4) 当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警。5) 应对登录网络设备的用户进行身份鉴别；6) 应对网络设备的管理员登录地址进行限制；7) 当对网络设备进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听；3.2主机安全1) 应对登录操作系统和数据库系统的用户进行身份标识和鉴别；2) 操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换；3) 操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序，并通过设置升级服务器等方式保持系统补丁及时得到更新。3.3应用安全1) 应提供用户身份标识唯一和鉴别信息复杂度检查功能，保证应用系统中不存在重复用户身份标识，身份鉴别信息不易被冒用；2) 应启用访问控制功能，依据安全策略控制用户对资源的访问；3) 应采用密码技术保证通信过程中数据的完整性；4) 应对通信过程中的整个报文或会话过程进行加密；5) 应具有在请求的情况下为数据原发者或接受者提供数据原发证据的功能；6) 应具有在请求的情况下为数据原发者或接受者提供数据接受证据的功能；7) 应采用加密或其他有效措施实现系统管理数据、鉴别信息和重要业务数据传输保密性；3.4数据库安全1) 应对登录操作系统和数据库系统的用户进行身份标识和鉴别；2) 操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换；3)