OWASPWEB应用程序安全评估方案课件VIP

1、The OWASP FoundationOWASPOWASP中国中国http:/.cn The Open Web Application Security ProjectWEB应用程序安全评估应用程序安全评估 091127 内部讨论版内部讨论版QQ群：2009年12月OWASP中国中国WEB应用程序安全评估方案工作计划应用程序安全评估方案工作计划评估对象：WEB应用程序覆盖内容：覆盖等级保护、SDLC相关要求计划进度：12月1日完成SDLC内容的整合12月10日完成WORD版WEB应用程序安全评估方案 初稿评估方式：本方案目前以文档审阅、人员访谈、人工检查方式为主未来计划：完成含中间件、数据库

2、管理系统、操作系统、网络、安全管理的WEB应用安全评估方案OWASP中国中国什么是什么是WEB应用应用WEBWEB应用是指通过浏览器作为客户端，具有一定应用是指通过浏览器作为客户端，具有一定业务功能的业务功能的BSBS应用系统，包括应用系统本身和应应用系统，包括应用系统本身和应用系统所提供的服务。用系统所提供的服务。OWASP中国中国什么是什么是WEB应用程序评估应用程序评估WEBWEB应用安全评估是指采用文档审阅、人员访谈、应用安全评估是指采用文档审阅、人员访谈、安全扫描、渗透测试、代码审计、应用检查等方安全扫描、渗透测试、代码审计、应用检查等方法，是全面深入地发现法，是全面深入地发现WEB

3、WEB应用系统在应用层的应用系统在应用层的安全问题的一种手段安全问题的一种手段OWASP中国中国WEB应用程序安全评估范围应用程序安全评估范围WEB应用系统包括以下内容：信息安全技术 WEB应用程序 中间件 数据库管理系统 操作系统 网络信息安全管理 应用相关管理制度、规范和流程OWASP CHINA 本方案的评估对象仅为：WEBWEB应用程序应用程序OWASP中国中国WEB应用程序安全评估方法应用程序安全评估方法WEB应用程序安全评估方法包括：n 系统外部 文档审阅 人员访谈 安全扫描 渗透测试n 系统内部 人工检查 代码审计OWASP中国中国WEB应用程序安全评估内容应用程序安全评估内容O

4、WASP中国中国WEB应用程序应用程序 身份鉴别身份鉴别身份验证是确定调用方身份的过程身份验证的主要威胁包括标识欺骗、密码破解、特权提升和未经授权的访问主要的安全措施包括：标识管理p 是否对用户账户进行了明确标识p 是否对用户标账户设置锁定策略p 是否变更第三方提供应用系统中默认用户的名称鉴别管理p 是否对对静态口令的格式和长度做出强制要求p 是否支持静态口令有效期p 是否提供登录失败处理功能p 是否在登录失败的提示信息中包含可利用信息p 是否在用户存储中存储密码会话管理p 是否对验证cookies及session有保护措施OWASP中国中国WEB应用程序应用程序 访问控制访问控制访问控制是授

5、权确定已通过验证的标识可以执行哪些操作以及可以访问哪些资源。错误授权或弱授权会导致信息泄漏和数据篡改。深入防御是应用程序授权策略的关键安全原则访问控制的主要威胁包括非授权访问保密数据或受限数据、篡改数据以及执行未经授权的操作主要的安全措施包括：权限管理p 是否对访问主体和客体设定了有效的权限控制粒度p 是否对访问主体执行了权限最小原则p 是否修改了第三方应用程序的默认账户的访问权限标记管理p 是否对重要信息资源设置敏感标记后台访问p 是否对登录应用系统管理后台进行登录源限制p 是否应对后台地址进行增强复杂度处理OWASP中国中国WEB应用程序应用程序 安全审计安全审计安全审计是发现入侵迹象、不

6、能验证用户操作，以及在诊断问题的有效手段安全审计的主要威胁包括审计进程被中断、审计记录被篡改主要的安全措施包括：审计范围p 是否提供覆盖到每个用户的安全审计功能，记录应用系统的重要安全相关事件，包括重要用户行为、系统资源的异常使用和重要系统功能的执行等审计内容p 是否审计记录的内容包括事件日期、时间、发起者信息、类型、描述和结果审计保护p 是否无法单独中断审计进程p 是否无法删除、修改或覆盖审计记录OWASP中国中国WEB应用程序应用程序 剩余信息保护剩余信息保护剩余信息保护是对应用系统存在的有可能有价值的废弃信息进行保护的过程剩余信息的主要威胁包括搜索引擎HACK、敏感数据恢复主要的安全措施

7、包括：鉴别信息p 是否对用户鉴别信息所在的存储空间被释放或再分配给其他用户前得到完全清除应用数据p 是否对系统内的文件、目录和数据库记录等资源所在的存储空间被释放或重新分配给其他用户前得到完全清除版权注释p 是否对版权信息、开发方信息、系统注释信息、调试信息进行保护OWASP中国中国WEB应用程序应用程序 完整性完整性 完整性是保证信息系统不会被非授权更改或破坏的特性 完整性的主要威胁包括非授权的删除、篡改 主要的安全措施包括： 数据完整p是否能检测到系统管理数据、鉴别信息和用户数据在传输和存储过程中完整性受破坏的情况，并在检测到完整性错误时采取必要的恢复措施 系统完整p是否应能够检测到重要程

8、序的完整性受到破坏，并在检测到完整性错误时采取必要的恢复措施OWASP中国中国WEB应用程序应用程序 通信保密性通信保密性 保密性是数据所具有的特征，即表示数据所达到的未提供或未泄露给非授权的个人、过程或其他实体的程度 通信保密性的主要威胁包括对数据在传输过程中进行的嗅探和监听活动 主要的安全措施包括： 鉴别信息p是否在通信双方建立连接之前，对进行会话初始化信息进行加密 应用数据p是否应在通信过程中对应用数据进行加密OWASP中国中国WEB应用程序应用程序 抗抵赖抗抵赖 抗抵赖是数据通信过程中对原发者和接收者提供数据传输证据的一种能力 抗抵赖的主要威胁包括数据原发者或接收者对数据传送事实的否认

9、 主要的安全措施包括： 原发证据p是否具有在请求的情况下为数据的原发者或接收者提供数据原发证据的功能 接收证据p是否具有在请求的情况下为数据的原发者或接收者提供数据接收证据的功能OWASP中国中国WEB应用程序应用程序 软件容错软件容错软件容错是通过一系列内部处理措施，将软件所出现的错误消除掉，确保出错情况下信息系统安全子系统所提提供的安全功能的有效性和可用性软件容错的主要威胁包括SQL注入攻击、XSS跨站攻击等页面参数攻击主要的安全措施包括：输入验证p 是否输入验证在客户端和服务端一同完成p 是否提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的数据格式和长度符合系统设定要求p

10、 是否提供文件有效性检验功能，保证通过人机接口上传的文件格式和大小符合系统设定要求输出验证p 是否输出数据内容、格式和长度符合系统设定要求状态管理是否可以检测系统状态，在系统异常时报警，并具有一定的保护措施操作回退p 是否对重要操作是否提供操作回退功能OWASP中国中国WEB应用程序应用程序 资源控制资源控制资源控制是通过一系列内部处理措施，对系统资源进行调配以保障系统可用性的一种措施资源控制的主要威胁包括授权用户对资源的过分使用，和非授权用户对资源的恶意占用，如:DDOS攻击主要的安全措施包括：系统会话p 是否当应用系统的通信双方中的一方在一段时间内未作任何响应，另一方应能够自动结束会话p 是否能够对应用系统的最大并发会话连接数进行限制p 是否能够对单个账户的多重并发会话进行限制p 是否能够对一个时间段内可能的并发会话连接数进行