工具测试方案

《工具测试方案》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、项目名称委托单位编制单位潔河银行股份有限公司信息安全等级测评项目工具测试方案漯河银行股份有限公司信息安全等级测评项目漯河银行股份有限公司河南省金盾信息安全等级技术测评中心编制眼二O—二年十月河南省金盾信息安全等级技术测评中心受河南省漯河银行股份有限公司委托，在河南省漯河银行股份有限公司信息安全等级测评项实施过程中需要采用现场测试的方式对被评估系统进行必要的检验和测试。现场测试是信息安全等级测评项口中不可缺少的重要检测项口，在实施过程中需要根据具体网络情况制定测试方案，为了规避现场测试带来的安全风险，河南省金盾信怠安全等级技术测评中心不但需要与委托方河南省漯河银行股份有限公司进行沟通，尽量

2、避开业务高峰期，在系统资源处于空闲状态时进行，同时要求委托方对整个测试过程进行监督。现将河南省金盾信息安全等级技术测评中心即将采取的相关测试吋间、测试工具、测试接入点等详细测试方案阐述如下，如果河南省漯河银行股份有限公司对该测试方案没有异议，请在下方的意见里填写“同意该测试方案”并签字，如果有异议，请填写异议条款，河南省金盾信息安全等级技术测评屮心将依据“异•议条款”进行论证，论证通过后对测试方案进行修改和变更，最终就现场测试方案达成一致意见。1.测试工具42.详细测试方案42.1测试接入点选取42.2接入设备和测试吋间52.3测试rt容53.工具测试实现目标63.1网络安全63.2主机

3、安全73.3应用安全73.4数据库安全71.测试工具主要使用到的测评工具有：扫描工具、渗透测试工具集等。具体描述如下表：序号工具名称工具描述1绿盟远程安全评佔系统可以对操作系统，网络设备和数据库等多种设备的扫描规则库,漏洞库遵循CVE,CAN和MS等国际标准。2安信通数据阼漏洞扫描系统可以对各种类型的数据库进行扫描，漏洞库遵循CVE、数据库厂家、国际测评屮心等国内外标准。1.详细测试方案2.1测试接入点选取本次测试接入点选取原则是依椐信息安全等级保护基本要求中工具测试接入点选取办法进行选取，选取原则共有以下5点：1.巾低级别区域向高级别区域探测；2.同等级各功能区域之间要互相探测；3.由

4、非核心区域向核心区域探测；4.由外联接口向系统内部探测；5.跨网络隔离设备（包拈网络设备和安全设备）要分段探测。针对河南省漯河银行股份有限公司的网络边界和抽查设备的情况，需要在开发网接入边界处设置1个测试工具接入点——接入点A，如下图所示，‘接入点’标注表示进行工具测试时，需要从该网络设备上接入。漯河市商业银行网络拓扑图2012年02月25日外联业务区公务卡劳动局代收、代扣区穷动W1樣穷动W5梭代收代扣aa移动短信联通短佶tnuTM13ETII20etcorel016RM城消算路由带交換MAP2816外联天踺仴防火Lt)IETH-haETHllT^jS3652P-216.66.166.9

5、0核心区域8oH10,BTH1ETH1/0/16ETH-h中心交换区16.66.166.70备核1心IPSM络涂拕P(eraio外联人黻佶防火埔BiSiSF(各〉信贷Er3200路由器Wart-7发网接入区域Hua*ei3600开发Cisco3550H3CMsr-2020开发路山2.2接入设备和测试时间接入点接入设备接入IP地址测试吋间A幵发路由器2.3测试内容＞在接入点A接入绿盟远程安全评估系统，对以下区域进行探测：模拟内部用户，对开发网的服务器进行漏洞探测，查看服务器暴露的安全漏洞情况。＞在接入点A接入安信通数据库漏洞扫描系统，对以下区域进行探测:模拟内部用户，对开发网的数据库进行漏

6、洞探测，查看数据库暴露的安全漏洞情况。1.工具测试实现目标本次工具测试不但使用了多种黑客攻击手段来发现信息系统的脆弱点，还结合了信息安全等级保护基本要求中的网络安全、主机安全、应用安全和数据库安全中的部分测评项，从系统整体层面间、区域间和系统结构都做了深入的探测，从而进一步发现系统的脆弱点，引用信息安全等级保护基本要求中技术要求的测评项有：3.1网络安全1）应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为平个用户；2）应限制具有拨号访问权限的用户数量。3）应在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、

7、IP碎片攻击和M络蠕虫攻击等；4）当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警。5）应对登录网络设备的用户进行身份鉴别；6）应对网络设备的管理员登录地址进行限制；7）当对网络设备进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听；3.2主机安全1）应对登录操作系统和数据库系统的用户进行身份标识和鉴别；2）操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令