文档介绍：The Open Web Application Security Project WEB应用程序安全评估 091130内部讨论版
郝轶
******@.cn
QQ群:95674528
2009年12月
WEB应用程序安全评估方案工作计划
评估对象:WEB应用程序
覆盖内容:覆盖等级保护、SDLC相关要求
计划进度:
12月10日完成WORD版《WEB应用程序安全评估方案初稿》
评估方式:本方案目前以文档审阅、人员访谈、人工检查方式为主
未来计划:完成含中间件、数据库管理系统、操作系统、网络、安全管理的《WEB应用安全评估方案》
什么是WEB应用
WEB应用是指通过浏览器作为客户端,具有一定业务功能的BS应用系统,包括应用系统本身和应用系统所提供的服务
什么是WEB应用程序评估
WEB应用安全评估是指采用文档审阅、人员访谈、安全扫描、渗透测试、代码审计、应用检查等方法,是全面深入地发现WEB应用系统在应用层的安全问题的一种手段
WEB应用程序安全评估范围
WEB应用系统包括以下内容:
信息安全技术
WEB应用程序
中间件
数据库管理系统
操作系统
网络
信息安全管理
应用相关管理制度、规范和流程
OWASP CHINA 本方案的评估对象仅为:WEB应用程序
评估范围
WEB应用程序
中间件
数据库
操作系统
网络
应用安全管理
WEB应用程序安全评估方法
WEB应用程序安全评估方法包括:
系统外部
文档审阅
人员访谈
安全扫描
渗透测试
系统内部
人工检查
代码审计
评估方法
文档审阅
人员访谈
安全扫描
渗透测试
人工检查
代码审计
WEB应用程序安全评估方法
文档审阅
通过审阅应用文档是否完整、应用程序的设计内容,对应用进行了解性的评估
人员访谈
通过对与不同角色的人员进行访谈,了解应用设计思路、以往应用所遭受的威胁、确认评估者有关疑问
安全扫描
采用工具的方式大范围全面地对目标系统进行初步的脆弱性判断
渗透测试
在应用系统所有者的授权下,评估者的以攻击者的思路和手段对目标系统进行的脆弱性进行非破坏性检查
人工检查
评估者对按照业内最佳实践,以全面的控制点对系统的结构、设计、内部功能进行的一种白盒检查
代码审计
采用工具或手工的方式对系统的源代码进行分析,深入地发现系统中可能存在的由编码问题所导致的漏洞
WEB应用程序安全评估流程
WEB应用程序安全问题的产生
系统设计
鉴别流程不当
权限粒度有限
缺乏审计机制…
编码阶段
资源释放管理欠缺
输入输出验证无效
注释泄露敏感信息…
改进、废弃
数据、文件处理
硬件处理
应用程序变更…
部署运维
网络操作系统
数据库中间件
系统部署应用管理…
安全开发生命周期
WEB应用程序安全评估内容
WEB应用程序安全
身份
鉴别
标识管理
鉴别管理
会话管理
访问
控制
权限管理
标记管理
后台访问
安全
审计
审计范围
审计内容
审计保护
剩余信息保护
鉴别信息
应用数据
版权注释
完整性
数据完整
系统完整
通信保密性
鉴别信息
应用数据
抗抵赖
原发证据
接收证据
软件
容错
输入验证
输出验证
状态管理
操作回退
资源
控制
系统会话
帐户进程
系统服务