DB23T 3868.3-2024教育新型基础设施建设 第3部分：业务应用安全规范

23I本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定本文件是DB23/T3868《教育新型基础设施建──教育新型基础设施建设──教育新型基础设施建设──教育新型基础设施建设──教育新型基础设施建设请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。挥保障中心、黑龙江省教育厅、东北林业大1教育新型基础设施建设第3部分：业务应用安全规范GB/T25069—2022信息安全技术术语GB/T38674信息安全技术应用软件安全编程运行规程的符合性，发现安全违规，并在控制、4缩略语API：应用程序编程接口（ApplicationProgrammingInterface）HTTP：超文本传输协议（HypertextTransferProtocLDAP：轻型目录访问协议（LightweightDirectoryAccessProto2SBOM：软件物料清单（SoftwareBillofMaSQL：结构化查询语言（StructuredQueryLSSL：安全套接层（SecureSocketsTLS：传输层安全（TransportLayerSecurURL：统一资源定位系统（UniformResourceLocaVPN：虚拟专用网（VirtualPrivateNetworXML：可扩展标记语言（ExtensibleMarkupLa实现业务应用数据在传输、存储和处理过程中b)验证输入数据的安全性，包括数据类型、数据长d)对所有输入和输出的字符进行适当c)采取有效的技术手段防止垂直越权和水平越权；3e)不能单独使用HTTP请求头中的Referg)对身份鉴别的频率进行限制，连续多次登录失败强制锁定账户；j)禁用长期不使用的账户。b)不应使用可预测的字符或数字作为口令(例如：姓名拼音或缩写、生日、邮箱、身份证、电话号码、连续键盘字符、常见英文单词，以及与单位和个人密切相关的字符);d)使用不可逆的加密算法对口令进行加密存储，可在任意固定位置插入特定的字符进行混淆；2)包含大写字母、小写字母、数字、符号中的至少3种。j)定期更改口令，至少每3个月更换1次口令。f)验证上传文件的信息，包括文件类型、文件大小、文件名等。g)验证文件类型，检查文件扩展名和文件头中文件类型标志信息；i)采用随机变化的方式，重新命名上传文件的名称；4d)为应用程序仅授予任务所需的最小权限，不应将数据库管理员权限分配给应用程序；g)不应在应用程序代码和配置文件中存放数据库帐号和口令。g)同一用户ID不应并发登录。a)建立API台账，关闭不必要的API,避免泄漏API功能列表；c)通过访问令牌验证调用者身份，设置令牌的时效性，仅允许令牌在有效时间内可以调用API;d)对API接口的调用频率进行限e)通过白名单方式控制无需授权的API接口的访问，对API的访问应授权；f)对传输的数据进行加密处理g)正确处理API返回信息，避免将敏感信息、调试信息、错误信息等直接暴露给j)及时下线不再使用的API;k)系统交付前关闭并删除API开发、调试等工具、框架及组件。d)业务应用发布前删除所有与调试和测试相关的代码、配置和文件；f)开发环境与实际运行环境物理隔离，仅提供给授权的开发g)不应在互联网公共存储空间(如代码托管平台、文库、网盘等)存储源代码、技术文档、运维5a)将日志文件独立保存于应用程序目录外，使用访问权限来控制日志文件使用；b)完成行为记录，包括：4)连接无效或者已过期的会话令牌；c)限制只有授权用户才能访问日志；e)使用哈希函数验证日志记录的完整a)核查供应商的公司背景、资质和相关证书；b)核查供应商的信息安全管理体系；c)评估供应商对软件供应链的管理能力，a)SBOM应详细记录软件使用的所有组件的版本、来源、许可证类型等信息，以及组件之间的依b)业务应用不应设置特权账号、调试账号、隐藏账号；6d)根据配置要求，选择适合的操作系统和数据库系统，进行最小化安装和安全配置；d)服务器全盘扫描查杀，检测是否存在计算机b)识别需要定期备份的业务应用数据，规定备份方式、备份频率、存储介质、保存期等；d)指定部门或人员对业务应用日志和安全产品告警进行监测分析，及时发现可疑行为；处理、存储要求，对IT基础设施中断服务的应急保障要求等；7a)定期开展业