运营商主机应用系统安全评估方案.docxVIP

运营商主机应用系统安全评估方案 1.2代码审计 1.2.1服务内容 对应用系统（含移动APP,以下简称系统）开展源代码审计服务，挖掘系统代码中存在的安全缺陷，评估验证代码中安全缺陷可能导致的危害，以及评估可能造成风险。代码审计对象包括不限于：使用ASP、ASP.NET（VB/C#）、JSP（JAVA）、PHP等主流语言开发的B/S应用系统、使用C++、JAVA、C#、VB等主流语言开发的C/S应用系统，以及使用XML语言编写的文件、SQL语言和数据库存储过程等。 （1）协助编制和优化应用编码安全规范 协助运营商编制和优化应用编码安全规范，定期提供专业修订建议，协助对规范的落地实施进行检查。 （2）扫描环境部署和维护 部署和维护代码审计环境，包括安装配置审计环境、代码扫描工具及同步工具等，并根据需要进行升级更新；每天检查审计服务器运行情况，包括检查系统的CPU、内存、磁盘使用情况，以及审计工具软件的可用性。 （3） 代码同步 核对被审计系统的版本号及对应的代码，检查审计服务器上的代码版本信息，按需通过SVN或FTP获取和同步系统代码。 （4） 代码扫描 根据业务需求，周期性或按需地对应用源代码进行工具扫描。根据定义好的代码扫描策略配置代码扫描工具，工具包括但不限于fortify等源代码扫描工具；执行代码扫描任务，采用自动静态分析技术扫描某个应用程序的源代码，找出源代码当中存在的一些语义缺陷、安全漏洞，并输出代码扫描报告。 （5） 代码人工分析 根据代码扫描报告进行分析，重点对代码安全缺陷和代码质量缺陷等方面的隐患进行分类归纳和分析；通过分析数据流、控制流、配置文件等发现系统漏洞，按需输出高质量的代码安全分析报告和修复估计建议；针对每次代码扫描出现的误报、漏报进行归纳和总结，调整扫描工具进行扫描的准确度，降低误报、漏报率。 （6） 漏洞人工验证 根据代码分析报告发现的安全漏洞在测试环境对漏洞进行利用测试，以确认漏洞真实存在，按需输出漏洞验证测试报告。 1.2.2服务方法 源代码检测主要采用静态分析技术，静态分析直接分析程序的源代码，通过提取程序关键语法，解释其语义，理解程序行为，根据预先设定的漏洞特征、安全规则等检测缺陷。静态分析技术采用的方法主要有：规则检查、类型推导、数据流分析、控制流分析等。 1）规则检查 程序本身的安全性可由安全规则描述。程序本身存在一些编程规则，即一些通用的安全规则，也称之为漏洞模式，比如程序在root权限下要避免exec调用。 规则检查方法将这些规则以特定语法描述，由规则处理器接收，并将其转换为分析器能够接受的内部表示，然后再将程序行为进行比对、检测。 2）约束分析 约束分析方法将程序分析过程分为约束产生和约束求解两个阶段,前者利用约束产生规则建立变量类型或分析状态之间的约束系统 ,后者对这些约束系统进行求解。约束系统可以分为等式约束、集合约束和混合约束三种形式。等式约束的约束项之间只存在相等关系。集合约束把每个程序变量看成一个值集 ,变量赋值被解释为集合表达式之间的包含关系。混合约束系统由部分等式约束和部分集合约束组成。 3）数据流分析 数据流分析是一组在不运行程序的条件下，从程序中获取数据流信息的技术，数据流信息最终被传递给检测识别系统进行进一步缺陷分析。在数据流信息获取方面，分析的精度问题至关重要，从流不敏感、流敏感和路径敏感三个方面来增加分析的精度。如：流不敏感分析给出的是一个函数整体的数据流信息；流敏感的分析给出函数控制流图上每一个点对应的信息；路径敏感分析对函数控制流图上每个点可能给出多个信息，沿着不同的路径到达同一个程序点可能会产生不同的状态信息，路径敏感分析保留这些不同的信息。 4）控制流分析 控制流分析对程序执行时可能经过的路径进行图形化表示，根据不同语句之间的关系，尤其是由“条件转移”、“循环”等引入的分支关系，通过对这些语句的处理，得到关于程序结构的图形化分析。控制流分析可以检测潜在危险的操作执行顺序。通过分析程序中的控制流路径，能确定在执行一系列操作时是否遵循了特定的顺序。 1.2.3交付成果 《XX系统代码审计报告》 《XX系统代码审计复查报告》