国家电网公司带电检测仪器-中国电力科学研究院.doc

国家电网公司 谐波监测分析模块代码安全检测方案 国家电网公司 2017年05月 PAGE 2 按照公司相关要求，国家电网公司特集中组织开展本次谐波监测分析模块的代码安全检测工作，总部统建系统的供应商必须参加，自建系统供应商根据甲方要求自愿参加。 工作内容 检测对象 检测对象为谐波监测分析模块源代码。 检测项目及依据 谐波监测分析模块代码安全检测技术方案见附件一。 工作方式 谐波监测分析模块代码安全检测由中国电力科学研究院信息通信研究所（信息安全实验室）负责，检测工作结束后，出具相应检测报告。 检测要求 送检方、制造商和设备供应商三者名称需保持一致。 检测方应遵循公平、公正原则，认真做好过程记录，保证检测效果。 检测样品的接收、封存和返还环节，均由检测方和送检方双方确认并签字留存过程记录文件。 检测报名及送样，送检方应提交纸质版《第三方确认测试计划申请单》（盖单位公章），同时提交电子版调研资料，相关测试申请资料清单见附件二。中国电力科学研究院信息通信研究所信息安全实验室会对送检方提交的资料进行审核，审核后双方签订《委托协议书》及合同。实验室安排相应的测试工作。 送检方应配合开展检测工作，遵守检测方实验室相关规定，按照检测方规定的时间完成环境搭建等配合工作。送检方不得查看非本单位产品的检测数据。 其他说明 业务受理联系人：高楠 单位：中国电力科学研究院信息通信研究所 电话：010手机邮箱： xtcsgg@ 样品接收联系人：梁伯任 接收单位：中国电力科学研究院信息通信研究所 接收地址：北京市海淀区清河小营东路15号 邮编：100192 电话：010手机邮箱：liangboren@ PAGE 4 附件一: 谐波监测分析模块代码安全检测技术方案 一、检测依据 Q／GDW／1929.5-2013《信息系统应用安全第五部分 代码安全检测》 二、代码安全检测项目 输入验证 SQL注入 是否使用参数绑定、输入验证等方法来防止SQL注入。 命令注入 是否使用过滤非法字符等方法来防止命令注入。 缓冲区溢出 是否限制程序放入缓冲区中的数据多于其持有限度或越过缓冲区将数据放入内存中。 跨站脚本攻击 是否使用输入验证、过滤非法字符等方法来防止跨站脚本攻击。 上传任意文件 软件是否对上传的文件类型做出限制。 未验证的重定向和转发 是否对WEB应用中的重定向和转发进行验证。 路径操作 是否对配置信息进行严格的访问控制，避免由用户提供的或者其他不可信的数据来控制配置。 代码注入 当用户输入被用于产生所生成的代码中时，是否对来自用户输入的代码语法进行充分过滤。 拒绝服务 是否严格限制涉及到系统资源的外部数据。 跨站请求伪造 是否使用输入验证等方式防止跨站请求伪造。 资源注入： 当软件从上游组件接收输入，在输入被用作一个可能超出预期控制范围的资源之前，是否对该输入进行正确的限制。 配置操纵 是否允许外部对系统的设置进行控制。 缺少XML验证： 当解析XML时,是否对文件类型进行验证。 HTTP响应截断 是否对写入HTTP Header的数据进行验证。 日志伪造 是否对写入到日志文件的用户输入进行验证。 进程控制 加载库是否来自于非信任源或非信任环境。 LDAP注入 是否对修改LDAP查询的语法、内容或者命令进行过滤和限制。 XML注入 是否对写入XML文档中的数据进行验证。 Struts 是否正确使用开源软件Struts。 不安全的JNI 是否在JNI方法调用前后进行检查和验证。 危险文件包含 是否对JSP文件中的动态用户输入进行验证。 API误用 使用无安全验证机制的函数 是否限制无安全验证机制函数的使用。 未检查函数的返回值 是否正确处理函数的返回值。 代码正确性 是否正确的使用代码。 EJB不恰当使用 是否正确的使用EJB。 J2EE不恰当使用 是否存在使用Class Loader、使用多线程同步、使用Sockets接口等不恰当使用J2EE的情况。 未检测Null 是否对可能返回Null的函数的返回值进行检查。 未检测Null参数 函数是否检查其参数类型为null。 违背对象模型 是否违背对象模型。 未捕获异常 是否捕获危险函数抛出的异常。 不恰当的形式 是否正确使用API函数。 文件泄露 是否对服务器端重定向路径中的用户输入进行正确处理。 安全特性 不安全的随机数 是否正确使用随机数或者值。 不安全的加密存储 是否安全存储机密数据。 访问控制 是否在未进行访问控制的情况下，执行包含用户控制的指令。 密码管理 是否正确对密码进行管理。密码管理问题包括硬编码密码、密码明文存储、重定向中的密码、弱加密、空密码。 私有信息侵犯 是否对客户密码或社会安全号码等私人