《代码安全性检测指导规范1109.2016》.docVIP

应用安全性测试指导规范（草稿） 1. 进行应用安全性测试的场景 安全性测试的目的是验证集成在软件内的保护机制是否能够在实际环境中保护系统的安全性。 从严格意义上，应用系统的安全性将涉及到应用的设计、开发和部署这三个主要环节，因而理想化的应用安全性测试应是与整个软件开发过程紧密集成的，即在软件设计、开发、测试和部署的过程中动态检测程序代码的安全性，并在应用最终部署之后进行全面的安全性测评。只有将应用和代码安全的管理融入到应用开发、部署、运维的各环节中，才能确保应用系统的安全性。 在应用系统上线并进入运维阶段之后，也需要在维护性开发过程中进行类似的代码安全性测试，并在日常的应用维护过程中动态进行应用整体安全性的评测。 代码安全性作为应用安全性中的一个核心的内容，是保障代码开发安全性的一个重要的举措，在开发活动结束的节点上应重点加强。而应用开发完毕后的部署和运维环节中，还将涉及到应用系统整体安全性评估的其他内容（包括网络安全、操作安全、权限安全、数据安全等）。 应用安全性测试的相关文档应纳入项目管理和运维管理的文档管理体系。 1.1 初期的应用安全性测试场景 在传统的软件开发管理模式中引入应用安全测试将需要一个逐步的过程，在初期建议在如下的应用场景下，对目标应用系统的安全性进行测试： 应用开发阶段 新应用软件开发完毕，通过开发团队内部测试，即将交付验收测试之前，应组织对应用代码进行安全性测试。 新应用软件部署完毕之后，应组织对目标应用系统进行整体的安全性测评。 应用维护阶段 应用软件在维护性开发完毕，通过维护团队内部测试，即将交付验收测试之前，应组织对维护开发所涉及部分的代码安全性进行测试。 应用软件维护性开发部分部署或系统软硬件架构重大变更实施完毕之后，应组织对目标应用系统受影响部分进行安全性补充测评。 1.2 目标的应用安全性测试相关场景 而从更完整意义上的应用系统整个生命周期各阶段中，需要进行的应用系统安全性测试、评估的工作可大致规划如下（供参考）： 应用设计阶段 应用项目立项时，应明确系统的安全目标和安全功能需求，并通过用户方的（建设方案）评审。 应用软件设计方案中应增加系统安全性设计部分，细化目标系统的安全目标和安全功能，并通过用户方组织的（实施方案）评审。 应用软件测试方案中应增加系统安全性测试内容，提供细化的安全性测试方案，并通过用户方组织的（测试方案）评审。 应用开发阶段 在应用代码开发的自测和集成测试阶段，利用IDE整合的代码分析工具，对开发的代码安全性进行动态评估。（项目团队自评） 新应用软件开发完毕，通过开发团队内部测试，即将交付验收测试之前，应组织对应用代码进行安全性测试。（第三方代码安全测评） 应用上线阶段 新应用软件部署完毕之后，应组织对目标应用系统进行整体的安全性测评（根据安全测试方案）及整改。（第三方应用安全整体测评） 应用维护阶段 应用软件在维护性开发完毕，通过维护团队内部测试，即将交付验收测试之前，应组织对维护开发所涉及部分的代码安全性进行测试。 应用软件维护性开发部分部署或系统软硬件架构重大变更实施完毕之后，应组织对目标应用系统受影响部分进行安全性补充测评。 应用日常维护过程中，应根据应用安全等级，定期进行应用安全性评测和改进。（例行应用安全测评） 2. 应用安全性测试的范围与内容 应用安全性测试的范围与内容，应包括如下几个方面： 测评项 测评内容 部署与基础结构 网络是否提供了安全的通信 部署拓扑结构是否包括内部的防火墙 部署拓扑结构中是否包括远程应用程序服务器 基础结构安全性需求的限制是什么 目标环境支持怎样的信任级别 输入/输出和编码 如何验证输入 是否清楚入口点 是否清楚信任边界 是否验证Web页输入 是否对传递到组件或Web服务的参数进行验证 是否验证从数据库中检索的数据 是否将方法集中起来 是否依赖客户端的验证 应用程序是否易受SQL注入攻击 应用程序是否易受XSS攻击 应用程序是否易受OS注入攻击 应用程序是否易受Cookie定制/隐藏文件操纵攻击 如何处理输入 输出信息是否涉及泄密 数据编码处理过程是否存在安全漏洞 身份验证 是否区分公共访问和受限访问 是否明确服务帐户要求 如何验证调用者身份 如何验证数据库的身份 是否强制试用帐户管理措施 访问授权 如何向最终用户授权 如何在数据库中授权应用程序 如何将访问限定于系统级资源 配置管理 是否支持远程管理 是否保证配置存储的安全 是否隔离管理员特权 敏感数据 是否存储机密信息 如何存储敏感数据 是否在网络中传递敏感数据 是否记录敏感数据 会话管理 如何交换会话标识符 是否限制会话生存期 如何确保会话存储状态的安全 加密 为何使用特定的算法 如何确保加密密钥的安全性 参数操作 是否验证所有的输入参数 是否