- 1、本文档共10页,可阅读全部内容。
- 2、原创力文档(book118)网站文档一经付费(服务费),不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。
- 3、本站所有内容均由合作方或网友上传,本站不对文档的完整性、权威性及其观点立场正确性做任何保证或承诺!文档内容仅供研究参考,付费前请自行鉴别。如您付费,意味着您自己接受本站规则且自行承担风险,本站不退款、不进行额外附加服务;查看《如何避免下载的几个坑》。如果您已付费下载过本站文档,您可以点击 这里二次下载。
- 4、如文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“版权申诉”(推荐),也可以打举报电话:400-050-0827(电话支持时间:9:00-18:30)。
查看更多
最新资料整理推荐
二级等保应用安全现场检查项整理
说明
文档基于《财政信息化项目管理系统》现场检查内容进行整理,
不能代表其他系统的现场检查。
检查过程
检查组一人到现场基于《二级等保检查项》模板对建设方进行提
问,提问内容基本不会偏离模板内容。
注意:对于容易展现的检查项,检查组可能会要求建设方进行现
场操作演示,因此对于一些容易重现的问题应尽量不要以欺瞒的方式
回答。举例说明:“用户密码是否以加密方式存储”,可以通过查询
数据直观的体现出来,属于容易重现的检查项;而“系统传输过程中
是否对数据进行加密”,验证这个问题则需要通过开发环境进行体
现,属于不易重现的检查项,对于此类检查项,检查组人员一般不会
要求通过系统进行重现。
身份鉴别
应提供专用的登录控制模块对登录用户进行身份标识和鉴别;
检查系统是否有登录环节 。(一般系统都会有登录环节,不需关心)
1
最新资料整理推荐
应提供用户身份标识唯一和鉴别信息复杂度检查功能,保证应用系统
中不存在重复用户身份标识,身份鉴别信息不易被冒用;
检查登录时信息是否能够唯一标示一个用户。(一般系统都有此限
制,不需关心)
检查密码的复杂度。(二级等保要求密码长度为8 位,并以数字+
字母组合)
应提供登录失败处理功能,可采取结束会话、限制非法登录次数和自
动退出等措施;
检查是否有多次登录失败的处理机制。(一般都是通过增加登录失
败计数器机制实现登录失败处理 (每次登录失败后计数器+1,当计数
器达到一定数值时进行失败处理,当用户登录成功后计数器清零),
目前主流的处理方式有两种:一是锁定用户,需要管理员进行解锁后
才可再次使用;二是限制登录时间,比如 10 分钟后才可再次尝试登
录)
应启用身份鉴别、用户身份标识唯一性检查、用户身份鉴别信息复杂
度检查以及登录失败处理功能,并根据安全策略配置相关参数。
检查是否可以绕过登录模块进入系统(直接在 URL 中录入某功能
的页面 URL)。(一般情况下业务系统都会以登录人的信息来取得相应
的业务功能和业务数据,因此大多数情况下不登录是无法正常使用系
统功能的。当然,有一个统一的检查逻辑是最好的,常见的处理手段
2
最新资料整理推荐
为检查 session 中是否有用户登录信息,如无则跳转到错误处理逻
辑)
访问控制
应提供访问控制功能,依据安全策略控制用户对文件、数据库表等客
体的访问;
检查是否有可越权访问情形;(本次检查时检查人员仅提问了登录
后用户能不能访问不该其使用的功能,我们回复每个用户都有功能权
限,在登录后会根据功能权限仅展示用户有权限使用的功能。)
个人理解:该项应该是检查用户是否能够在系统中通过非常规手
段获取到用户受权以外的信息。
访问控制的覆盖范围应包括与资源访问相关的主体、客体及它们之间
的操作;
检查系统能否根据访问控制规则正确实施对资源的控制;(未提
问,个人理解为系统功能、数据权限是否能够正常工作)
检查访问控制主体、客体;(未提问,个人理解,控制主体应为具
体操作者,本系统中控制主体为用户;客体为主体能够操控的内容,
本系统中客体对应系统功能、业务数据)
检查访问控制功能是否能够覆盖范围包括与资源访问相关的主
体、客体及它们之间的操作;(个人理解,与之前的检查项相同,是
对系统权限的严谨性进行检查,比如能否通过 URL 的方式直接访问无
3
最新资料整理推荐
权限的功能)
应由授权主体配置访问控制策略,并严格限制默认帐户的访问权限;
检查实际授权与权限策略是否一致,无法进行越权操作;(个人理
解,同样是对权限模板的正确性进行检查)
检查系统是否存在权限不受限制的超级管理员,系统不应该存在
不受限的超管;(个人理解,该超级管理员与我们所理解的管理员不
太一样,该超级管理员应指的是不受功能、数据权限约束的账号;而
目前大多系统中管理员都是受到功能、数据权限约束,除了配给的功
能和数据权限较大之外,其本质与一般用户并无差别)
应授予
您可能关注的文档
- 完整版)四年级递等式计算.pdf
- 国家开放大学电大《美学原理》形考任务2试题及答案.pdf
- 北京协和医学院护理学院本科生2020年“中医学”线上课程的教学评价.pdf
- 国开电大财经法规与会计职业道德(甘肃)形考六参考答案.pdf
- 国开作业国际投资法-形考295参考(含答案).pdf
- 国开电大国际贸易法形考作业题(一).pdf
- 2021年高考(新课标卷)省市名校2月好题组合卷 英语试题(解析版)01 .pdf
- 中外政治思想第二次形考.pdf
- 国开电大中外政治思想史(重庆)形考任务三参考答案8.pdf
- 国开作业法学概论-形考作业4(满分100分,由系统在线批阅)68参考(含答案).pdf
- 大学生职业规划大赛《新闻学专业》生涯发展展示PPT.pptx
- 大学生职业规划大赛《应用统计学专业》生涯发展展示PPT.pptx
- 大学生职业规划大赛《音乐学专业》生涯发展展示PPT.pptx
- 大学生职业规划大赛《中医学专业》生涯发展展示PPT.pptx
- 大学生职业规划大赛《信息管理与信息系统专业》生涯发展展示PPT.pptx
- 大学生职业规划大赛《汽车服务工程专业》生涯发展展示PPT.pptx
- 大学生职业规划大赛《水产养殖学专业》生涯发展展示PPT.pptx
- 大学生职业规划大赛《市场营销专业》生涯发展展示PPT.pptx
- 大学生职业规划大赛《音乐表演专业》生涯发展展示PPT.pptx
- 大学生职业规划大赛《音乐学专业》生涯发展展示PPT.pptx
文档评论(0)