1. 基本安全防护系统测试

基本安全防护系统一般采用防火墙、入侵检测、漏洞扫描、安全审计、病毒防治、Web信息防篡改、物理安全等基础安全技术，以保证应用系统的安全。针对不同的安全技术，设计的测试的如下：

防火墙：

  1. 是否支持交换和路由两种工作模式
  2. 是否支持对HTTP、FTP、SMTP等服务类型的访问控制
  3. 是否考虑到防火墙的冗余设计
  4. 是否支持对日志的统计分析功能，同时日志是否可以存储在本地和网络数据库上
  5. 对防火墙本身或受保护网段的非法攻击系统，是否提供多种告警方式以及多种级别的告警

入侵检测系统：

  1. 能否在检测到入侵事件时，自动执行切断服务、记录入侵过程、邮件报警等动作
  2. 是否支持攻击特征信息的集中式发布和攻击取证信息的分布式上载
  3. 能否提供多种方式对监视引擎和检测特征的定期更新服务
  4. 内置的网络能否使用状况监控工具和网络监听工具

漏洞扫描：

能否定期或不定期地使用安全性分析软件，对整个内部系统进行安全扫描，及时发现系统的安全漏洞、报警，并提出不就建议。

病毒防治：
1）能否支持多种平台的病毒防范

  1. 能否支持对服务器的病毒防治
  2. 能否支持对电子邮件附件的病毒防治
  3. 能否提供对病毒特征信息和检测引擎的定期在线更新服务
  4. 防病毒范围是否广泛，是否包括UNIX系列、Windows系列、Linux系列等操作系统

安全审计：

  1. 能否进行系统数据收集，统一存储，集中进行安全审计
  2. 是否支持基于PKI的应用审计
  3. 是否支持基于XML的审计数据采集协议
  4. 是否提供灵活的自定义审计规则

Web信息防篡改系统：

  1. 是否支持多种操作系统
  2. 是否具有集成发布和监控功能，使系统能够区分合法更新和非法篡改
  3. 是否可以实时发布和备份
  4. 是否具备自动监控、自动恢复、自动报警的能力
  5. 是否提供日志管理、扫描策略管理和更新管理

2 .安全系统防护体系

对业务系统进行全面保障的安全体系，主要体现在以下7个层次

  1. 实体安全：基础设施的物理安全
  2. 平台安全：网络平台、计算机操作系统、基本通用应用平台（服务\数据库等）的安全
  3. 数据安全：系统数据的机密性、完整性、访问控制和可恢复性
  4. 通信安全：系统之间数据通信和会话访问不会被非法侵犯
  5. 应用安全：业务运行逻辑安全/业务资源的访问控制，业务交往的不可抵赖性/业务实体的身份鉴别/业务数据的真实完整性
  6. 运行安全：对系统安全性的动态维护和保障，控制由于时间推移和系统运行导致安全性的变化
  7. 管理安全：对相关的人员、技术和操作进行管理，总览以上各种安全要素并进行控制

安全测试策略针对7个层次进行测试和评估

安全防护的主要构成一般包括证书业务服务系统、证书查询验证服务系统、密钥管理系统、密码服务系统、授权管理服务系统、可信时间戳服务系统、网络信任域系统、基本安全防护系统等。

1. 证书业务服务系统测试

证书业务服务主要包括证书认证及证书审核注册两项功能。

证书业务服务系统的功能测试主要从下面几个方面进行：

  1. 证书认证系统是否采用国家密码主管部门审批的签名算法完成签名操作，是否提供证书的签发和管理、证书撤销列表的签发和管理、证书/证书撤销列表的发布以及证书审核注册中心的设立、审核及管理等功能
  2. 按使用对象分类，系统是否能提供人员证书、设备证书、机构证书三种类型的证书
  3. 是否可以提供加密证书和签名证书
  4. 数字证书格式是否采用 X.509 V4
  5. 系统是否提供证书申请、身份审核、证书下载等服务功能
  6. 证书申请、身份审核、证书下载等服务是否都可采用在线或离线两种方式
  7. 系统是否提供证书认证策略及操作策略管理、自身证书安全管理等证书管理服务

证书的性能测试分为以下几个方面：

  1. 检查证书业务服务系统设计的处理性能是否具备可伸缩配置及扩展的能力
  2. 关键部分是否采用双机热备份和磁盘镜像
  3. 是否满足系统的不间断运行、在线故障修复和在线系统升级
  4. 是否满足需求说明中预测的最大用户正常访问的需求，并且是否有3-4倍的冗 余，如有必要，需要测试系统的并发压力承受能力

2. 证书查询验证服务系统测试

证书查询验证服务系统为应用系统提供证书认证服务，对证书查询验证服务系统的功能测试，从以下几个方面进行：

  1. 是否能够提供目录管理与证书查询两种主要服务功能
  2. 是否能够根据用户网络设置需求，采用集中式与分布式两种方式构建目录管理服务
  3. 是否能够提供证书和证书撤销列表的发布、证书和证书插销列表的下载、证书和证书撤销列表的更新、证书和证书撤销列表的恢复、基于LDAP技术的目录访问控制服务、目录查询等安全服务功能
  4. 是否提供基于OCSP技术的证书在线状态查询服务

性能评估从以下几个方面进行：
1）系统是否满足一定数量的基本的LDAP查询和OCSP查询并发

  1. 是否具备可伸缩配置及扩展能力
  2. 是否能为应用系统提供LDAP、OCSP查询接口和C/C++/C#和Java等接口

3. 密钥管理系统测试

密钥管理系统是整个安全系统的基础，对密钥管理系统的测试点需要考虑以下几点：

  1. 是否制定了密钥管理策略
  2. 是否具备密钥生成、密钥发送、密钥存储、密钥查询、密钥撤销、密钥恢复等基本功能
  3. 密钥库管理功能是否完善
  4. 密钥管理中心的系统、设备、数据、人员等安全管理是否严密
  5. 密钥管理中心的审计、认证、恢复、统计等系统管理是否具备
  6. 密钥管理系统与证书认证系统之间是否采用基于身份认证的安全通信协议

性能测试关注点：

  1. 针对按实际需要配置密钥管理系统，利用企业级的并发压力测试工具测试受理点连接数、签发在用证书数目、密钥发放并发请求数是否满足基本业务需求
  2. 测试是否具备系统所需最大量的密钥生成、存储、传送、发布、归档等密钥管理功能
  3. 测试是否支持密钥5年（或用户要求的年限）保存期
  4. 是否具备异地容灾备份
  5. 是否具备可伸缩配置及扩展能力
  6. 关键部分是否采用双机热备份和磁盘镜像

4. 密码服务系统测试

通常在客户端和服务端都要提供密码服务，对密码服务系统的测试包括：

  1. 是否具备基础加解密服务功能
  2. 能否为应用提供相对稳定的统一安全服务接口
  3. 能否提供对多密码算法的支持
  4. 随着业务流的逐渐增加，是否可以灵活的增加密码服务模块，实现性能平滑扩展，且不影响上层的应用系统

密码服务系统性能测试关注点：

  1. RSA算法密钥长度是否达到1024-2048位，ECC算法密钥长度能否达到192位
  2. 加密系统速度测试

服务器端：公钥密码算法签名速度、公钥密码算法验证速度、对称密钥密码算法加解密速度

客户端：公钥密码算法签名速度、公钥密码算法验证速度、对称密钥密码算法加解密速度

  1. 处理性能如公钥密码算法签名是否具有扩展能力

5. 可信授权服务系统测试

授权服务系统在信任服务系统的基础上，为应用提供资源的授权管理及访问控制服务，有集中式授权服务与分布式授权服务两种工作模式

对集中式授权服务的测试，主要验证其是否具有用户管理、审核管理、资源管理、角色管理等主要功能

对分布式授权服务的测试，主要验证其是否具有资源访问的签名授权、授权管理等功能

如有必要，对可信授权服务系统的测试还要考虑，利用并发压力测试工具验证系统能否满足一定的授权服务并发数，以及系统能否提供客户端签名授权和服务端资源访问授权验证的应用接口，包括C/C++及Java等

6. 可信时间戳服务系统测试

可信时间戳服务为业务处理的不可依赖性和可审计性提供支持，对此测试点包括：

  1. 能否从可信时间去（授时中心）获取时间，校准时间戳服务器的时间
  2. 能否安全保存时间戳及相关信息
  3. 采用公钥技术，能否正确签发可信的时间戳

性能测试点：

  1. 时间精度能否达到0.1秒或用户的需求水平
  2. 验证系统时间戳并发请求数能否达到设计要求
  3. 相应的服务单元是否具有可扩展性

7. 网络信任域系统测试

通过安全审查的网络可信接入设备和网络信任域管理系统组成网络信任域，测试点包括：

  1. 系统是否具备接入认证交换机，确保只有合法的才能接入网络
  2. 是否具备网络信任域管理系统，进行网络接入管理配置

性能测试点：

  1. 测试认证时间是否小于1秒或用户的需求水平
  2. 测试接入认证并发数是否满足用户需求
  3. 验证接入认证交换机是否提供与客户端通讯的遵循IEEE 802.1X接口，传输IEEE802.1X 认证数据包
  4. 验证是否提供网络信任域管理系统与接入认证交换机间的交互接口

8. 故障恢复和容灾备份测试

应用系统的稳定性和可靠性，在一定程度上取决于故障恢复和容灾备份措施，测试点如下：

  1. 故障恢复：整个系统是否存在单点故障，对于关键性应用系统，当任何一台设备失效时，按照预先定义的规则是否能够快速切换，是否采用磁盘镜像技术，实现主机系统到磁盘系统的高速连接
  2. 数据备份：对于关键业务，是否具有必要的热备份机制，例如双机热备、磁盘镜像等；对于所有业务，是否提供磁带备份和恢复机制，保证系统能根据备份策略恢复到指定时间的状态
  3. 容灾备份：可否建立异地容灾备份中心，当主中心发生灾难性事件时，由备份中心接管所有的业务；备份中心是否有足够的带宽确保与主中心的数据同步，有足够的处理能力来接管主中心的业务，能否确保快速可靠地与主中心的应用切换。

9. 安全产品的选择

安全产品是安全系统架构的基础，选择建议如下：

  1. 产品是否具有公安部《计算机信息系统安全专用产品销售许可证》和检测报告
  2. 如果安全产品涉及数据加密，那么该产品的加密算法是否具有国密办的批准文号
  3. 建议尽量选择具有中国自主知识产品的产品，有利于厂家对产品的升级和维护
  4. 建议尽量选择具有更先进技术的安全产品
  5. 必须考虑安全产品的系统处理速度，因为处理速度直接影响到应用的效果
  6. 建议察看安全产品在权威机构（如公安部安全产品检测中心）的检测报告，考察其各项安全功能是否达到安全要求

（二）安全测试基础：安全测试策略相关推荐

  1. 测试岗位面试前复习之【测试基础知识篇】

    测试基础知识篇 一.app测试相关 1.android与ios的app测试的区别: 2.app测试和web测试的重点: 3.性能测试考量的指标: 4.app的性能测试,需要重点关注哪些方面? 5.站在 ...

  2. 测试基础知识考试题目（答案）

    1. 请介绍一下软件测试流程 2. 如何编写测试用例? 3. 如何编写一个缺陷? 4. 请写出一个标准的缺陷跟踪处理过程 5. 研发和测试有什么不可调和的矛盾? 6. 你所熟悉的测试用例设计方法有哪些 ...

  3. 测试基础+性能测试+自动化测试面试题（含答案）

    目录 测试基础 一.没有需求文档,如何开展测试 二.如何提高用例的覆盖率,减少漏测 三.在浏览器中输入了一个 url 后,请求流程是什么样的 四.说几个常见的 HTTP 请求头字段吧 五. 测试用例里 ...

  4. 软件测试整理一：测试基础知识以及开发、测试模型、按照开发阶段进行测试

    文章目录 一.基础概念 1.什么是软件测试 2.软件测试的目的 3.软件测试的原则 4.软件测试的分类 4.1 按照开发阶段分类 4.2 按照软件特性分类 4.3 按照测试技术分类 4.4 按照测试运 ...

  5. 最近面了12个人，发现这个测试基础题都答不上来...

    一般面试我都会问一两道很基础的题目,来考察候选人的"地基"是否扎实,有些是操作系统层面的,有些是 python语言方面的,还有些- 深耕IT行业多年,我们发现,对于一个程序员而言, ...

  6. 测试52讲学习总结之测试基础篇

    测试基础篇 一.测试文档 1. 软件缺陷报告 要求: 把发现的缺陷准确无歧义地表达清楚,不易过长 "准确无歧义地表达"意味着,开发工程师可以根据缺陷报告快速理解缺陷,并精确定位问题 ...

  7. 【转载】探索式测试基础系列—生活进阶曲

    在探索式测试落地实践中奏出了协奏曲后进入到高级阶段,如何在问题定位和经验积累中发挥作用,也可以理解为在生活达到非常和谐后,如何孕育一个后代并为其提供良好的环境,因此本章的名字叫做生活进阶曲,表明在本章 ...

  8. 学习笔记（二）——CSS基础

    文章目录 一.什么是CSS 二.CSS基本使用 2.1.行内式(内联样式) 2.2.内部样式 2.3.外部样式 2.3.1.嵌入式 2.3.2.导入式 三.选择器 3.1.基础选择器 3.1.1.标签 ...

  9. C#多线程编程系列（二）- 线程基础

    目录 C#多线程编程系列(二)- 线程基础 1.1 简介 1.2 创建线程 1.3 暂停线程 1.4 线程等待 1.5 终止线程 1.6 检测线程状态 1.7 线程优先级 1.8 前台线程和后台线程 ...

  10. 01_测试基础知识---微信公众号测试点

    一丶微信公众号测试点 基础功能点: 1:是否可以正常的关注和取消关注.(至于用户的管理是微信平台的事情了,就不需要我们去处理了) 2:保证我们自己提供出去的二维码能够被用户识别,扫描后即可关注我们. ...

最新文章

  1. 字符串函数用法 php,PHP字符串函数print()的用法
  2. RHCE系列之LVM----理论篇
  3. SAP MM模块的预留详解
  4. Angular 单元测试讲解
  5. 优酷视频手机上能发现投屏设备，但投屏失败？
  6. wrodpress登录mysql_登陆wordpress后台MySQL错误
  7. 花滑三周连跳_花滑女单短节目惊现三周半跳 称就像做梦一样
  8. HDU3591找零，背包
  9. 重载类型转换操作符（overload conversion operator）
  10. 基金01、03文件，92、94文件、52、53、59等文件是指什么
  11. cad导出pdf_“又”一款免费的CAD批量导出PDF、DWF、PLT神兵利器
  12. 接触Firefox的xpi
  13. 传感器实验——LCD显示SHT20
  14. oracle超级管理员忘记_Oracle 管理员账号密码忘记的快速解决方法
  15. 为什么使用PHP语言？Web开发使用的PHP优势是什么？
  16. 如何编写一个简易网络爬虫
  17. 【练习记录】C语言实现正则表达式匹配
  18. python中list函数例题_python 练习题（三）
  19. 微信支付网络监控工具部署指引
  20. vue后台管理系统之日志管理模块

热门文章

  1. Linux学习笔记--find命令(文件搜索命令)
  2. Maven项目构建工具
  3. 写计算机pr的开题报告,pr论文开题报告精选
  4. 学术论文的参考文献格式写法
  5. 【2023最新】Ev录屏安装
  6. Nginx （深度好文）
  7. 双色球组合策略和大概率分析
  8. 日志10.24整合项目文档并运行+周报10.18~22工作总结
  9. 京东618是失守还是主动放弃开辟新战略，今年的店庆不是618
  10. C语言编程丨都说黑客一定要学C语言，这到底是为什么呢？