等级保护测评指导书 应用部分
- 格式：xls
- 大小：91.00 KB
- 文档页数：61
文档推荐
-
等级保护测评_应用安全页数:10
-
等级保护测评_网络安全页数:44
-
等级保护测评指导书 应用部分页数:61
-
等级保护测评_物理安全页数:10
下载文档原格式
合集下载
nginx等保测评作业指导书
nginx等保测评作业指导书摘要：一、前言1.背景介绍2.目的和意义二、Nginx 等保测评概述1.Nginx 简介2.等保测评基本概念3.Nginx 等保测评的重要性三、Nginx 等保测评准备工作1.资料收集2.工具与环境搭建3.测试人员培训四、Nginx 等保测评流程1.测评方案制定2.测评工具选择与使用3.测评结果分析与报告撰写五、Nginx 等保测评中常见问题及解决方法1.配置问题2.性能问题3.安全问题六、Nginx 等保测评实践案例1.案例一2.案例二3.案例三七、总结与展望1.总结2.展望正文：一、前言随着互联网的快速发展，网络安全问题日益凸显。
为了提高我国网络安全保障水平，国家出台了一系列网络安全法规和标准，其中等保测评是网络安全等级保护制度的重要组成部分。
Nginx 作为一款高性能、高可用的Web 服务器，广泛应用于互联网、企业等领域。
因此，对Nginx 进行等保测评是网络安全工作的关键环节。
本文旨在提供一份针对Nginx 等保测评的作业指导书，帮助大家更好地开展相关工作。
二、Nginx 等保测评概述1.Nginx 简介ginx 是一款由俄罗斯程序员Igor Sysoev 开发的高性能Web 服务器，具有处理能力强、稳定性高、可扩展性好等特点。
Nginx 支持七层负载均衡、反向代理、安全防护等功能，被广泛应用于网站、微服务、API 接口等场景。
2.等保测评基本概念等保测评是指依据国家网络安全等级保护制度规定，对信息系统进行安全等级划分和保护要求的评估。
等保测评旨在识别信息系统的安全风险，评估安全防护措施的有效性，为制定安全策略提供依据。
3.Nginx 等保测评的重要性ginx 作为网络应用层的入口，承载着大量的请求和数据处理任务。
因此，对Nginx 进行等保测评，可以有效评估其安全性能，发现潜在的安全隐患，提升网络安全防护能力。
三、Nginx 等保测评准备工作1.资料收集在进行Nginx 等保测评前，需要收集Nginx 的安装、配置、运行等相关资料，了解业务系统的基本情况，为制定测评方案提供依据。
等级保护2.0 三级-Windows 测评指导书V1.0
1.1.5 恶意代码防范
测评项： a) 应采用免受恶意代码攻击的技术措施或主动免疫可信验证机制及时识别入 侵和病毒行为，并将其有效阻断。 测评方法： 1）查看操作系统中安装的防病毒软件，查看病毒库的最新版本更新日期是否
6 / 10
知识星球：网络安全等级保护交流
超过一个月 2）询问系统管理员是否有统一的病毒更新策略和查杀策略 3）询问系统管理员网络防病毒软件和主机防病毒软件分别采用什么病毒库 4）询问系统管理员当发现病毒入侵行为时，如何发现，如何有效阻断等，报 警机制等 5）查看系统中采取何种可信验证机制，访谈管理员实现原理等
1.1.4 入侵防范
测评项： a) 应遵循最小安装的原则，仅安装需要的组件和应用程序； 测评方法： 1）询问管理员和查看服务器安装的组件和应用程序是否为系统所需的 测评项： b) 应关闭不需要的系统服务、默认共享和高危端口； 测评方法： 1）打开“控制面板”->“管理工具”->“服务”，查看已经启动的或者是络安全等级保护交流
1.1.3 安全审计
测评项： a) 应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全 事件进行审计； 测评方法： 1) 使用 Win 键+R 键打开运行，输入命令"secpol.msc"并运行，弹出“本地安 全策略”窗口，查看“安全设置->本地策略->审计策略”中的相关项目。查看 “审核策略更改：成功，失败、审核登录事件：成功，失败”等审核策略是否 开启 2）询问并查看是否有第三方审计工具或系统 测评项： b) 审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他 与审计相关的信息； 测评方法： 1）使用 Win 键+R 键打开运行，输入命令"eventvwr.msc"并运行，弹出“事件 查看器”窗口，“事件查看器(本地)->Windows 日志"下包括“应用程序”、“安 全”、“设置”、“系统”几类记录事件类型，点击任意类型事件，查看日志记录 了哪些信息 2) 如果安装了第三方审计工具，则查看审计记录是否包括日期、时间，类型、 主体标识、客体标识和结果 测评项： c) 应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等； 测评方法： 1）如果日志数据本地保存，则询问审计记录备份周期，有无异地备份。使用 Win 键+R 键打开运行，输入命令"eventvwr.msc"并运行，弹出“事件查看器” 窗口，“事件查看器(本地)->Windows 日志”下包括“应用程序” 、” 安全”、 “设置”、“系统”几类记录事件类型，右键点击类型事件，选择下拉菜单中的 “属性”，查看日志存储策略
测评项： a) 应采用免受恶意代码攻击的技术措施或主动免疫可信验证机制及时识别入 侵和病毒行为，并将其有效阻断。 测评方法： 1）查看操作系统中安装的防病毒软件，查看病毒库的最新版本更新日期是否
6 / 10
知识星球：网络安全等级保护交流
超过一个月 2）询问系统管理员是否有统一的病毒更新策略和查杀策略 3）询问系统管理员网络防病毒软件和主机防病毒软件分别采用什么病毒库 4）询问系统管理员当发现病毒入侵行为时，如何发现，如何有效阻断等，报 警机制等 5）查看系统中采取何种可信验证机制，访谈管理员实现原理等
1.1.4 入侵防范
测评项： a) 应遵循最小安装的原则，仅安装需要的组件和应用程序； 测评方法： 1）询问管理员和查看服务器安装的组件和应用程序是否为系统所需的 测评项： b) 应关闭不需要的系统服务、默认共享和高危端口； 测评方法： 1）打开“控制面板”->“管理工具”->“服务”，查看已经启动的或者是络安全等级保护交流
1.1.3 安全审计
测评项： a) 应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全 事件进行审计； 测评方法： 1) 使用 Win 键+R 键打开运行，输入命令"secpol.msc"并运行，弹出“本地安 全策略”窗口，查看“安全设置->本地策略->审计策略”中的相关项目。查看 “审核策略更改：成功，失败、审核登录事件：成功，失败”等审核策略是否 开启 2）询问并查看是否有第三方审计工具或系统 测评项： b) 审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他 与审计相关的信息； 测评方法： 1）使用 Win 键+R 键打开运行，输入命令"eventvwr.msc"并运行，弹出“事件 查看器”窗口，“事件查看器(本地)->Windows 日志"下包括“应用程序”、“安 全”、“设置”、“系统”几类记录事件类型，点击任意类型事件，查看日志记录 了哪些信息 2) 如果安装了第三方审计工具，则查看审计记录是否包括日期、时间，类型、 主体标识、客体标识和结果 测评项： c) 应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等； 测评方法： 1）如果日志数据本地保存，则询问审计记录备份周期，有无异地备份。使用 Win 键+R 键打开运行，输入命令"eventvwr.msc"并运行，弹出“事件查看器” 窗口，“事件查看器(本地)->Windows 日志”下包括“应用程序” 、” 安全”、 “设置”、“系统”几类记录事件类型，右键点击类型事件，选择下拉菜单中的 “属性”，查看日志存储策略
等级保护2.0测评指导书
等级保护2.0测评指导书
等级保护2.0测评指导书
1
目录
一、安全物理环境测评指导书 (5)
二、安全通信网络测评指导书 (10)
三、安全区域边界测评指导书 (16)
四、安全计算环境测评指导书 (28)
4.1网络设备测评指导书 (28)
4.2L INUX测评指导书 (75)
4.3W INDOWS测评指导书 (88)
2
4.4O RACLE测评指导书 (101)
4.5M Y SQL测评指导书 (108)
4.6终端设备测评指导书 (118)
4.7应用系统测评指导书 (126)
五、安全管理中心测评指导书 (135)
六、安全管理制度测评指导书 (139)
七、安全管理机构测评指导书 (143)
八、安全管理人员测评指导书 (151)
九、安全建设管理测评指导书 (156)
十、安全运维管理测评指导书 (170)
3
十一、云计算安全扩展要求测评指导书 (184)
十二、移动互联安全扩展要求测评指导书 (204)
十三、物联网安全扩展要求测评指导书 (209)
十四、工业控制系统安全扩展要求测评指导书 (219) 4
一、安全物理环境测评指导书
5
6
7
8
9。
等级保护测评指导书----主机数据库
5)可使用扫描工具的扫描结果进行判
断；
6)使用select username,password from
dba_users;获取加密口令信息结合破解
1)在sqlplus 中执行命令：select
username，account_status from dba_users;，查看返回结果中是 否存在scott、outln、ordsys 等范例数 据库账号； 2)针对上述命令获得的用户账号，查看 是否存在过期账户，询问数据库管理员 是否每一个账户均为正式、有效的账 户；
1)应对登录失败尝试 次数进行设置； 2)应对登录超过有效 次数进行设置。
DEFAULT’ and
resource_name=’PASSWORD_LOCK_TIME
’登录超过有效次数锁定时间。
1)show parameter REMOTE_OS_AUTHENT
远程数据库验证；
2)查看~\network\admin\listener.ora 1)远程数据库验证的
实现情况。
1)询问数据库管理员，数据库系统的访
问控制策略是什么； 2)查看ORACLE数据库的访问控制策略是 否与管理员回答的一致； 3)查看~/network/admin/sqlnet.ora tcp.validnode_checking与
1)tcp.validnode_che cking=yes、 tcp.invited_nodes= ｛IP｝。
访问控制 （S1、S2、
S3）
S1 oracle9 S2 i for S3 linux
主机
e) 应及时删除多
余的、过期的帐 户，避免共享帐户
重要
的存在。
S2 S3
oracle9 i for linux
等级保护测评指导书----应用部分
C/S 客 户 端 通 用检测用例 表 IIS 检 查 用 例 表
f) 应依据安全策略严格控
制用户对有敏感标记重要
S3
信息资源的操作
APACHE 检 测 用例表
f) 应依据安全策略严格控
制用户对有敏感标记重要
S3
信息资源的操作
Tomcat 检 测 用例表
应用 (可 使用 的渗 透工 具为 Doma in、 pang olin )
Weblogic 检 测用例表
B/S 网 站 通 用 检测用例表
C/S 客 户 端 通 用检测用例 表
IIS 检 查 用 例 表
APACHE 检 测 用例表
b) 访问控制的覆盖范围应
包括与资源访问相关的主 体、客体及它们之间的操
重要
S2 S3
作
b) 访问控制的覆盖范围应
包括与资源访问相关的主 体、客体及它们之间的操
IIS 检 查 用 例 表
APACHE 检 测 用例表
c) 应提供用户身份标识唯
一和鉴别信息复杂度检查 功能，保证应用系统中不 存在重复用户身份标识，
重要
S2 S3
身份鉴别信息不易被冒用
Tomcat 检 测 用例表
身份鉴 别(S1、 S2、S3)
Weblogic 检 测用例表
B/S 网 站 通 用 检测用例表
安全审 计（G2 、G3）
APACHE 检 测 用例表
Tomcat 检 测 用例表
Weblogic 检 测用例表
B/S 网 站 通 用 检测用例表
C/S 客 户 端 通 用检测用例 表
IIS 检 查 用 例 表
c) 审计记录的内容至少应
包括事件的日期、时间、 发起者信息、类型、描述
f) 应依据安全策略严格控
制用户对有敏感标记重要
S3
信息资源的操作
APACHE 检 测 用例表
f) 应依据安全策略严格控
制用户对有敏感标记重要
S3
信息资源的操作
Tomcat 检 测 用例表
应用 (可 使用 的渗 透工 具为 Doma in、 pang olin )
Weblogic 检 测用例表
B/S 网 站 通 用 检测用例表
C/S 客 户 端 通 用检测用例 表
IIS 检 查 用 例 表
APACHE 检 测 用例表
b) 访问控制的覆盖范围应
包括与资源访问相关的主 体、客体及它们之间的操
重要
S2 S3
作
b) 访问控制的覆盖范围应
包括与资源访问相关的主 体、客体及它们之间的操
IIS 检 查 用 例 表
APACHE 检 测 用例表
c) 应提供用户身份标识唯
一和鉴别信息复杂度检查 功能，保证应用系统中不 存在重复用户身份标识，
重要
S2 S3
身份鉴别信息不易被冒用
Tomcat 检 测 用例表
身份鉴 别(S1、 S2、S3)
Weblogic 检 测用例表
B/S 网 站 通 用 检测用例表
安全审 计（G2 、G3）
APACHE 检 测 用例表
Tomcat 检 测 用例表
Weblogic 检 测用例表
B/S 网 站 通 用 检测用例表
C/S 客 户 端 通 用检测用例 表
IIS 检 查 用 例 表
c) 审计记录的内容至少应
包括事件的日期、时间、 发起者信息、类型、描述
等级保护测评指导书
等级保护测评指导书1物理安全测评指导书1.1机房安全测评序号测评指标测评项检查方法预期结果1物理位置的选择a)通过访谈物理安全负责人，检查机房，测评机房物理场所在位置上是否具有防震、防风和防雨等多方面的安全防范能力。
访谈：询问物理安全负责人，现有机房和办公场地的环境条件是否具有基本的防震、防风和防雨能力。
检查：检查机房和办公场地的设计/验收文档，查看机房和办公场所的物理位置选择是否符合要求。
机房和办公场地的设计/验收文档中有关于机房和办公场所的物理位置选择的内容,并符合防震、防风和防雨能力要求。
b)通过访谈物理安全负责人，检查机房，测评机房物理场所在位置上是否具有防震、防风和防雨等多方面的安全防范能力。
检查：检查机房场地是否避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁；检查机房场地是否避免设在强电场、强磁场、强震动源、强噪声源、重度环境污染、易发生水灾、火灾、易遭受雷击的地区。
1）机房没有在建筑物的高层或地下室，附近无用水设备； 2）机房附近无强电场、强磁场、强震动源、强噪声源、重度环境污染，机房建筑地区不发生水灾、火灾，不易遭受雷击。
2物理访问控制a)检查机房出入口等过程，测评信息系统在物理访问控制方面的安全防范能力。
访谈： 1）询问物理安全负责人，了解具有哪些控制机房进出的能力，是否安排专人值守； 2）访谈机房值守人员，询问是否认真执行有关机房出入的管理制度，是否对进入机房的人员记录在案。
1）有专人值守和电子门禁系统； 2）出入机房需要登记，有相关记录。
b)检查机房出入口等过程，测评信息系统在物访谈：询问物理安全负责人，了解是否有关于机房来访人员的申请和审批流程，是否限1）来访人员进入机房需经过申请、审批流程并记录； 2）进入机房有机房管理人员陪同理访问控制方面的安全防范能力。
制和监控其活动范围。
检查：检查是否有来访人员进入机房的审批记录。
并监控和限制其活动范围。
c)检查机房出入口等过程，测评信息系统在物理访问控制方面的安全防范能力。
等级保护测评实施指导书
等级保护测评实施指导书1.测评准备阶段1.1项目启动1）项目经理负责与被测单位进行沟通。
向被测单位了解被测信息系统基本情况，包括测评范围、系统需要达到的等级、具体测评内容的调整情况，以及其他有关信息系统的情况，明确测评需求和测评范围；项目经理介绍测评工作流程及实施测评工作，并告知被测单位提前做好准备工作。
与被测单位就具体的测评合同和保密协议内容进行洽商。
协助客户主管与被测单位签署测评合同和保密协议。
2）双方签署测评合同和保密协议后，被测单位提交相关材料和附件，项目经理负责对提交的文档进行完整性审查，审核文档是否满足实施测评工作的要求。
如果文档不够详细完备，则与被测单位沟通，要求被测单位进一步完善文档材料。
1.2信息收集和分析1）项目经理协助客户填写（LD-CS-29《信息系统基本情况调查表》）。
2）项目经理收回填写完成的调查表格，各测评项目小组分析调查结果，了解和熟悉被测系统的实际情况。
分析的内容包括被测系统的基本信息、物理位置、行业特征、管理框架、管理策略、网络及设备部署、软硬件重要性及部署情况、范围及边界、业务种类及重要性、业务流程、业务数据及重要性、业务安全保护等级、用户范围、用户类型、被测系统所处的运行环境及面临的威胁等。
这些信息可以重用自查或上次等级测评报告中的可信结果。
3）如果调查表格填写不准确或不完善或存在相互矛盾的地方较多，测评机构应安排现场调查，与被测系统相关人员进行面对面的沟通和了解。
1.3工具和表单准备测评项目组成员在进行现场测评之前，应熟悉与被测系统相关的各种组件、调试测评工具、准备各种表单等。
1）测评人员调试本次测评过程中将用到的测评工具，包括漏洞扫描工具、渗透性测试工具、性能测试工具和协议分析工具等。
2）测评人员模拟被测系统搭建测评环境。
3）准备和打印表单，主要包括：测评流程单（LD-CS-18《测评流程单》）、文档交接单（LD-CS-19《接收/归还样品清单》）、会议记录表单（LD-GL-09《会议记录》）、会议签到表单（LD-GL-10《会议签到表》）等。
等级保护测评指导书----物理部分
备与其他设备隔离开； 4）检查防火系统的检查和维护记录等。
无 1）访谈物理安全负责人，了解机房内、屋顶及地板下 的水管铺设情况，采取了哪些防水和防潮措施等； 2）查看室内环境是否有漏水、积水或返潮等现象； 无 3）查看是否有防止雨水渗透的措施； 4）如果信息系统位于湿度较高地区，还应检查是否有 除湿装置并正常运行等； 5）检查是否装有防水检测，工作是否正常。 无
G2 G3
G3 G1 G2 G3 G2 G3
G3
G3 G1 G2 G3 G1 G2 G3 G2 G3 G2 G3 G2 G3（黑体 字为G3部 分） G3 G1 G2 G3 G3 G2 G3
物理
防雷击 b) 应设置防雷保安器，防止 （G1、G2、G3） 感应雷； c) 机房应设置交流电源地线 。 a) 机房应设置灭火设备 (G1)； a)机房应设置灭火设备、火 灾自动报警系统(G2)； 重要 a)机房应设置火灾自动消防 系统，能够自动检测火情、 防火 自动报警，并自动灭火(G3) （G1、G2、G3） b) 机房及相关的工作房间和 辅助房应采用具有耐火等级 重要 的建筑材料；
层面
控制点
测评择在 具有防震、防风和防雨等能 重要 物理位置的选择 力的建筑内； （G2、G3） b) 机房场地应避免设在建筑 物的高层或地下室，以及用 重要 水设备的下层或隔壁。 a) 机房出入口应安排专人值 守，控制、鉴别和记录进入 重要 的人员； b) 需进入机房的来访人员应 经过申请和审批流程，并限 重要 制和监控其活动范围； 物理访问控制 c) 应对机房划分区域进行管 （G1、G2、G3） 理，区域和区域之间设置物 理隔离装置，在重要区域前 设置交付或安装等过渡区 d) 重要区域应配置电子门禁 系统，控制、鉴别和记录进 重要 入的人员。 a) 应将主要设备放置在机房 重要 内； b) 应将设备或主要部件进行 固定，并设置明显的不易除 去的标记； c) 应将通信线缆铺设在隐蔽 防盗窃和防破坏 处，可铺设在地下或管道 （G1、G2、G3） d) 应对介质分类标识，存储 在介质库或档案室中； e) 应利用光、电等技术设置 重要 机房防盗报警系统； f) 应对机房设置监控报警系 重要 统。 a) 机房建筑应设置避雷装 置； 重要
等级保护测评指导书
1物理安全测评指导书1.1机房安全测评序号测评指标测评项检查方法预期结果1物理位置的选择a)通过访谈物理安全负责人，检查机房，测评机房物理场所在位置上是否具有防震、防风和防雨等多方面的安全防范能力。
访谈：询问物理安全负责人，现有机房和办公场地的环境条件是否具有基本的防震、防风和防雨能力。
检查：检查机房和办公场地的设计/验收文档，查看机房和办公场所的物理位置选择是否符合要求。
机房和办公场地的设计/验收文档中有关于机房和办公场所的物理位置选择的内容,并符合防震、防风和防雨能力要求。
b)通过访谈物理安全负责人，检查机房，测评机房物理场所在位置上是否具有防震、防风和防雨等多方面的安全防范能力。
检查：检查机房场地是否避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁；检查机房场地是否避免设在强电场、强磁场、强震动源、强噪声源、重度环境污染、易发生水灾、火灾、易遭受雷击的地区。
1）机房没有在建筑物的高层或地下室，附近无用水设备； 2）机房附近无强电场、强磁场、强震动源、强噪声源、重度环境污染，机房建筑地区不发生水灾、火灾，不易遭受雷击。
2物理访问控制a)检查机房出入口等过程，测评信息系统在物理访问控制方面的安全防范能力。
访谈： 1）询问物理安全负责人，了解具有哪些控制机房进出的能力，是否安排专人值守； 2）访谈机房值守人员，询问是否认真执行有关机房出入的管理制度，是否对进入机房的人员记录在案。
1）有专人值守和电子门禁系统； 2）出入机房需要登记，有相关记录。
b)检查机房出入口等过程，测评信息系统在物访谈：询问物理安全负责人，了解是否有关于机房来访人员的申请和审批流程，是1）来访人员进入机房需经过申请、审批流程并记录； 2）进入机房有机房管理人员理访问控制方面的安全防范能力。
否限制和监控其活动范围。
检查：检查是否有来访人员进入机房的审批记录。
陪同并监控和限制其活动范围。
c)检查机房出入口等过程，测评信息系统在物理访问控制方面的安全防范能力。
网络安全等级保护测评要求应用指南
网络安全等级保护测评要求应用指南下载提示：该文档是本店铺精心编制而成的，希望大家下载后，能够帮助大家解决实际问题。
文档下载后可定制修改，请根据实际需要进行调整和使用，谢谢！本店铺为大家提供各种类型的实用资料，如教育随笔、日记赏析、句子摘抄、古诗大全、经典美文、话题作文、工作总结、词语解析、文案摘录、其他资料等等，想了解不同资料格式和写法，敬请关注！Download tips: This document is carefully compiled by this editor. I hope that after you download it, it can help you solve practical problems. The document can be customized and modified after downloading, please adjust and use it according to actual needs, thank you! In addition, this shop provides you with various types of practical materials, such as educational essays, diary appreciation, sentence excerpts, ancient poems, classic articles, topic composition, work summary, word parsing, copy excerpts, other materials and so on, want to know different data formats and writing methods, please pay attention!一、简介在当前信息化时代，网络安全问题日益突出，为了提高网络系统的安全性，我国制定了网络安全等级保护测评要求应用指南，旨在对网络系统进行全面的安全测评，确保系统安全稳定运行。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
IIS 检 查 用 例 表 A2 A3
APACHE 检 测 用例表
Tomcat 检 测 用例表
Weblogic 检 测用例表
B/S 网 站 通 用 检测用例表
C/S 客 户 端 通 用检测用例 表
a) 当应用系统的通信双方 中的一方在一段时间内未 重要 A2
a) 当应用系统的通信双方
中的一方在一段时间内未 作任何响应，另一方应能
S3
IIS 检 查 用 例 表
APACHE 检 测 用例表
Tomcat 检 测 用例表
Weblogic 检 测用例表
B/S 网 站 通 用 检测用例表
C/S 客 户 端 通 用检测用例 表
通信完 整性 （S1、 S2、 S3）
应采用密码技术保证通信 过程中数据的完整性(S3) 应采用校验码技术保证通
B/S 网 站 通 用 检测用例表
C/S 客 户 端 通 用检测用例 表
a) 在通信双方建立连接之 前，应用系统应利用密码 技术进行会话初始化验证
IIS 检 查 用 例 表
APACHE 检 测 S2 用例表 S3
Tomcat 检 测 用例表
通信保
Weblogic 检 测用例表
通信保 密性 （S2、 S3）
Weblogic 检 测用例表
B/S 网 站 通 用 检测用例表
C/S 客 户 端 通 用检测用例 表
IIS 检 查 用 例 表
APACHE 检 测 用例表
a) 应提供覆盖到每个用户
的安全审计功能，对应用 系统重要安全事件进行审
重要
G2 G3
计
Tomcat 检 测 用例表
Weblogic 检 测用例表
重要
A2 A3
够自动结束会话
IIS 检 查 用 例 表
APACHE 检 测 用例表
Tomcat 检 测 用例表
Weblogic 检 测用例表
B/S 网 站 通 用 检测用例表
C/S 客 户 端 通 用检测用例 表
b) 应能够对系统的最大并 发会话连接数进行限制
重要
A2 A3
Hale Waihona Puke IIS 检 查 用 例 表
重要
S2 S3
作
Tomcat 检 测 用例表
Weblogic 检 测用例表
B/S 网 站 通 用 检测用例表
C/S 客 户 端 通 用检测用例 表
IIS 检 查 用 例 表
APACHE 检 测 用例表
c) 应由授权主体配置访问
S1
控制策略，并严格限制默 重要 S2
认帐户的访问权限
S3
Tomcat 检 测 用例表
实施过程
预期结果
说明
1）检查网站是否存在登录界面； 1）若无登录界面或登录界 1）若网站只存在管理员用户，则
2）检查登录界面是否允许无密码登 面 无 需 输 入 鉴 别 信 息 （ 密 此登录界面应为后台登录界面，
的数据格式或长度符合系
A3
统设定要求
软件容 错（A1 、A2、 A3）
C/S 客 户 端 通 用检测用例 表
IIS 检 查 用 例 表
APACHE 检 测 用例表
Tomcat 检 测 用例表
Weblogic 检 测用例表
B/S 网 站 通 用 检测用例表
C/S 客 户 端 通 用检测用例 表
b) 应提供自动保护功能， 当故障发生时自动保护当 前所有状态，保证系统能 够进行恢复
信过程中数据的完整性 (S2)
应采用约定通信会话方式 的方法保证通信过程中数
据的完整性(S1)
IIS 检 查 用 例 表
S1 S2
APACHE 检 测 用例表
S3
S2、 S3）
(S2) 应采用约定通信会话方式 的方法保证通信过程中数
据的完整性(S1)
S3
Tomcat 检 测 用例表
Weblogic 检 测用例表
Weblogic 检 测用例表
B/S 网 站 通 用 检测用例表
C/S 客 户 端 通 用检测用例 表
IIS 检 查 用 例 表
APACHE 检 测 用例表
b) 访问控制的覆盖范围应
包括与资源访问相关的主 体、客体及它们之间的操
重要
S2 S3
作
b) 访问控制的覆盖范围应
包括与资源访问相关的主 体、客体及它们之间的操
B/S 网 站 通 用 检测用例表
C/S 客 户 端 通 用检测用例 表
IIS 检 查 用 例 表
b) 应对通信过程中的整个 报文或会话过程进行加密
APACHE 检 测 用例表 S2 S3
Tomcat 检 测 用例表
Weblogic 检 测用例表
B/S 网 站 通 用 检测用例表
a) 应具有在请求的情况下 为数据原发者或接收者提 供数据原发证据的功能
Weblogic 检 测用例表
B/S 网 站 通 用 检测用例表
d) 应能够对一个时间段内 可能的并发会话连接数进 行限制
C/S 客 户 端 通 用检测用例 表
A3
d) 应能够对一个时间段内 可能的并发会话连接数进 行限制
A3
IIS 检 查 用 例 表
APACHE 检 测 用例表
Tomcat 检 测 用例表
B/S 网 站 通 用 检测用例表
C/S 客 户 端 通 用检测用例 表
f) 应能够对系统服务水平 降低到预先规定的最小值 重要 A3 进行检测和报警
f) 应能够对系统服务水平 降低到预先规定的最小值 重要 A3 进行检测和报警
IIS 检 查 用 例 表
APACHE 检 测 用例表 Tomcat 检 测 用例表 Weblogic 检 测用例表
B/S 网 站 通 用 检测用例表
C/S 客 户 端 通 用检测用例 表
IIS 检 查 用 例 表
a) 应提供访问控制功能，
依据安全策略控制用户对 文件、数据库表等客体的
重要
访问
APACHE 检 测 用例表
S1 S2 S3 （S2 、S3 相 同， 比S1 多出 黑体 字部 分）
Tomcat 检 测 用例表
用例表
Weblogic 检 测用例表
B/S 网 站 通 用 检测用例表
C/S 客 户 端 通 用检测用例 表
IIS 检 查 用 例 表
APACHE 检 测 用例表
e) 应具有对重要信息资源 设置敏感标记的功能
S3
Tomcat 检 测 用例表
Weblogic 检 测用例表
B/S 网 站 通 用 检测用例表
B/S 网 站 通 用 检测用例表
C/S 客 户 端 通 用检测用例 表
IIS 检 查 用 例 表
APACHE 检 测 用例表
b) 应对同一用户采用两种 或两种以上组合的鉴别技 术实现用户身份鉴别
S3
Tomcat 检 测 用例表
Weblogic 检 测用例表
B/S 网 站 通 用 检测用例表
C/S 客 户 端 通 用检测用例 表
APACHE 检 测 用例表
Tomcat 检 测 用例表
Weblogic 检 测用例表
B/S 网 站 通 用 检测用例表
d) 应提供对审计记录数据 进行统计、查询、分析及 生成审计报表的功能
C/S 客 户 端 通 用检测用例 表
G3 IIS 检 查 用 例 表
APACHE 检 测 用例表
Tomcat 检 测 用例表
IIS 检 查 用 例 表
APACHE 检 测 用例表
c) 应提供用户身份标识唯
一和鉴别信息复杂度检查 功能，保证应用系统中不 存在重复用户身份标识，
重要
S2 S3
身份鉴别信息不易被冒用
Tomcat 检 测 用例表
身份鉴 别(S1、 S2、S3)
Weblogic 检 测用例表
B/S 网 站 通 用 检测用例表
B/S 网 站 通 用 检测用例表
C/S 客 户 端 通 用检测用例 表
b) 应保证无法单独中断审 计进程，无法删除、修改 或覆盖审计记录
G2 G3 （黑 体部 分为 G3独
b) 应保证无法单独中断审 计进程，无法删除、修改 或覆盖审计记录
G2 G3 （黑 体部 分为 G3独 有内 容）
IIS 检 查 用 例 表
抗抵赖 （G3）
C/S 客 户 端 通 用检测用例 表
G3
IIS 检 查 用 例 表
APACHE 检 测 用例表
Tomcat 检 测 用例表
Weblogic 检 测用例表
B/S 网 站 通 用 检测用例表
b) 应具有在请求的情况下 为数据原发者或接收者提 供数据接收证据的功能
C/S 客 户 端 通 用检测用例 表
层面 控制点 测评项
重要性 级别 系统 B/S 网 站 通 用 检测用例表
C/S 客 户 端 通 用检测用例 表 IIS 检 查 用 例 表
APACHE 检 测 用例表
a) 应提供专用的登录控制
S1
模块对登录用户进行身份 重要 S2
标识和鉴别
S3
Tomcat 检 测 用例表
Weblogic 检 测用例表
C/S 客 户 端 通 用检测用例 表 IIS 检 查 用 例 表
f) 应依据安全策略严格控
制用户对有敏感标记重要
S3
信息资源的操作
APACHE 检 测 用例表
f) 应依据安全策略严格控
制用户对有敏感标记重要
S3
信息资源的操作
Tomcat 检 测 用例表
应用 (可 使用 的渗 透工 具为 Doma in、 pang olin )