信息系统安全测试框架new

《信息系统安全测试框架new》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第34卷第2期计算机工程2008年1月Vol.34No.2ComputerEngineeringJanuary2008·安全技术·文章编号：1000—3428(2008)02—0130—03文献标识码：A中图分类号：TP391信息系统安全测试框架1,212江常青，邹琪，林家骏(1.中国信息安全产品测评认证中心，北京100089；2.华东理工大学信息学院，上海200237)摘要：提出一种信息系统安全测试的框架，包括信息系统安全测试的策略、基础理论、方法和工程等，为建立一个标准的、一致性的信息系统安全测试对比基准提供了基础。给出4种信息系统安全测试

2、分析方法和2种测试方式。关键词：安全测试；系统测试；测试框架；信息系统安全FrameworkforInformationSystemSecurityTest1,212JIANGChang-qing,ZOUQi,LINJia-jun(1.ChinaInformationTechnologySecurityCertificationCenter,Beijing100089;2.CollegeofInformation,EastChinaUniversityofScienceandTechnology,Shanghai200237)【Abstract

3、】Thispaperproposesaframeworkforinformationsystemsecuritytest.Itcoversmanyaspectofinformationsystemsecuritytest,includestestpolicy,basictheory,testmethodandtestengineering.Thisframeworkcontributesalotforbuildingastandardandconformsinformationsystemsecuritytest.Theinnovationpo

4、intsofthepaperproposesfourmethodstoanalysisinformationsystemsecurityfromtestviewandtwowaysforsecuritytest.【Keywords】securitytest;systemtest;testframework;informationsystemsecurity信息系统作为一个复杂的由众多部件构成的系统，其安(4)为进行实际的安全测试，还要有规范的安全测试工全测试存在着很大的挑战。信息系统安全测试与安全产品的程。安全测试工程包括系统分析、测试流程、测

5、试计划、测测试不同，关于安全产品的测试评估目前国际国内已有比较试记录、测试质量保证等方面。系统分析是对被测系统进行[1][2]成熟的标准及方法，信息系统的安全性测试在国内外都系统分析、安全性架构分析。测试流程是指信息系统安全测还处于探索阶段，许多安全组织和机构都在积极地研究信息试应遵循怎样的步骤；安全测试方案和计划明确安全测试的系统安全测试的方法和实践，但仍然没有形成一个比较统一范围、对象、项目及子项；在进行安全测试的过程中还须进的测试标准或方法。我国在信息系统安全评估方面产生了一行安全测试的记录，在安全测试完成后还要对记录和结果进[3][4]

6、些标准和指南，但在测试方面缺乏相应的规范和标准。行分析和研究，形成安全测试报告。最后，信息系统安全测[5-6]国外已有关于信息系统安全测试的公开文献，但都缺乏对试要考虑的因素是对安全测试的管理控制和审查核实，以保其的整体研究。证测试的真实性、公正性、可重复性等。1一种信息系统安全测试框架综合上述信息系统安全测试所涉及的各个因素，本文提要对一个复杂信息系统进行安全测试，需要分析和考虑出如图1所示的信息系统安全测试框架。众多方面的内容。安全测试结果分安全测试记录(1)制定安全测试策略，用以指导安全测试方法以及安全信息系统析&报告安全测试极其安全安全

7、测试测试工程的实践。安全策略的制定是在综合考虑测试目的、安全测试计划全过程的性描述&范围/对象/项目质量控制分析成本与效益、风险控制等要素基础上，作出开展测试活动的安全测试流程安全测试方案相应策略，以解决有关测试的原则性问题，如什么要测与什么不测、什么时候测、测试相关约束条件等。安全测试技术及工具库安全技术知识库(2)对被测试信息系统全面深入地了解和剖析。在对目标系统进行分析后，确定安全测试的内容和方法，以及采用什安全测试方法论安全测试标准么样的方法从哪些方面去测试系统的安全性质，才能比较完整、确切地反映出信息系统当前的安全状态。安全测试策略(

8、3)确定信息系统安全测试将使用到的安全测试技术和工具。由于信息系统的安全性涉及面很广，需要不同的安全图1信息系统安全测试框架测试技术，相应的安全测试所