WEB应用安全基线-模板.docxVIP

安全基线项目名称

Web应用账户锁定策略安全基线要求项

安全基线编号

?SBL-WebAPP-01

安全基线项说明?

用户登录失败一定次数后系统自动锁定账号一段时间，以防止暴力猜测密码。

检测操作步骤

尝试使用错误用户名口令失败登录多次，

基线符合性判定依据

用户登录失败一定次数后系统自动锁定账号。

备注

?

安全基线项目名称

Web应用登录验证策略安全基线要求项

安全基线编号

?SBL-WebAPP-02

安全基线项说明?

用户登录需提供图片验证码，以防止固定密码暴力猜测账号。

检测操作步骤

检查登录认证界面输入项，并右键点击图片查看链接属性。

基线符合性判定依据

要求包含图片验证码输入项，并且图片链接属性不得包含明文图片验证码。

备注

?

安全基线项目名称

Web应用口令传输策略安全基线要求项

安全基线编号

?SBL-WebAPP-03

安全基线项说明?

不能明文传输用户登录密码。

检测操作步骤

尝试登录系统，并使用抓包工具查看交互过程中在网络传输的内容。

基线符合性判定依据

要求不得出现明文口令

备注

?

安全基线项目名称

Web应用保存登录安全基线要求项

安全基线编号

?SBL-WebAPP-04

安全基线项说明?

不能提供“保存登录”功能，该功能可能被利用于CSRF攻击。

检测操作步骤

检查登录界面是否提供了保存登录功能

基线符合性判定依据

不得提供该功能。

备注

?

安全基线项目名称

Web应用纵向访问安全基线要求项

安全基线编号

?SBL-WebAPP-05

安全基线项说明?

合理进行纵向访问控制，不允许普通用户访问管理功能。

检测操作步骤

了解是否有不允许普通用户访问的功能，尝试直接在浏览器中访问功能链接。

基线符合性判定依据

用户不得跨权限访问受控页面

备注

?

安全基线项目名称

Web应用横向访问安全基线要求项

安全基线编号

?SBL-WebAPP-06

安全基线项说明?

合理进行横向访问控制，不允许用户访问其他用户的敏感数据。

检测操作步骤

了解是否存在敏感信息，检查是否对个人敏感信息进行了有效保护

基线符合性判定依据

用户不得跨权限查看其它用户受保护敏感信息

备注

?

安全基线项目名称

Web应用敏感资源访问安全基线要求项

安全基线编号

?SBL-WebAPP-07

安全基线项说明?

需要限制对敏感资源的访问，例如后台管理，日志记录等。

检测操作步骤

检查服务器的文件是否存在敏感资源，测试是否限制了这些资源的访问。

基线符合性判定依据

对敏感资源的访问应当受控。

备注

?

安全基线项目名称

Web应用会话超时安全基线要求项

安全基线编号

?SBL-WebAPP-08

安全基线项说明?

当用户长时间不操作时，系统自动终止超时会话。

检测操作步骤

登录系统后不操作，等待合理的时间间隔。

基线符合性判定依据

要求预先设计的时间间隔后查看页面自动中止超时会话。

备注

?

安全基线项目名称

Web应用会话终止安全基线要求项

安全基线编号

?SBL-WebAPP-09

安全基线项说明?

系统需提供“退出”功能，允许用户强制终止当前的会话。

检测操作步骤

登录系统后点击系统提供的“退出”功能，然后在同一IE窗口下视图回退到登录后的页面，并访问相应的功能

基线符合性判定依据

点击退出后，上述检测操作结果不成功

备注

?

安全基线项目名称

Web应用会话标识安全基线要求项

安全基线编号

?SBL-WebAPP-10

安全基线项说明?

会话标识必须足够随机，防止攻击者猜测标识或依据当前标识推导后续的标识。

检测操作步骤

检查多个会话标识的格式。

基线符合性判定依据

多个会话标识不得存在简单明了的逻辑关系，要求具有随机性

备注

?

安全基线项目名称

Web应用会话标识复用安全基线要求项

安全基线编号

?SBL-WebAPP-11

安全基线项说明?

用户登录后必须分配新的会话标识，不能继续使用用户未登录前所使用的标识。

检测操作步骤

检查登录前后是否使用相同的会话标识。

基线符合性判定依据

用户登录后必须分配新的会话标识，不能继续使用用户未登录前所使用的标识。

备注

?

安全基线项目名称

Web应用防范跨站脚本安全基线要求项

安全基线编号

?SBL-WebAPP-12

安全基线项说明?

系统要防止将用户输入未经检查就直接输出到用户浏览器，防范跨站脚本攻击。

检测操作步骤

检查系统是否存在跨站脚本攻击漏洞。例如在能够回显的输入框输入

基线符合性判定依据

要求系统能够将输入内容中的控制字当作纯文本内容处理

备注

?

安全基线项目名称

Web应用防范SQL注入安全基线要求项

安全基线编号

?SBL-WebAPP-13

安全基线项说明?

系统要防止将用户输入未经检查就用于构造数据库查询，防范SQL注入攻击。

检测操作步骤

检查系统是