渗透测试方案.docx

渗透测试方案 四川品胜平安性浸透测试测试方案成都国信安信息产业基地有限公司二〇一五年十二月名目名目 (1)1.引言 (2)1.1.工程概述 (2)2.测试概述 (2)2.1.测试简介 (2)2.2.测试根据 (2)2.3.测试思路 (3)2.3.1.工作思路 (3)2.3.2.管理和技术要求 (3)2.4.人员及设备方案 (4)2.4.1.人员安排 (4)2.4.2.测试设备 (4)3.测试范围 (5)4.测试内容 (8)5.测试方法 (10)5.1.浸透测试原理 (10)5.2.浸透测试的流程 (10)5.3.浸透测试的风险躲避 (11)5.4.浸透测试的收益 (12)5.5.浸透测试工具介绍 (12)6.我公司浸透测试优势 (14)6.1.专业化团队优势 (14)6.2.深化化的测试需求分析 (14)6.3.标准化的浸透测试流程 (14)6.4.全面化的浸透测试内容 (14)7.后期效劳 (16)1. 引言1.1. 工程概述四川品胜品牌管理有限公司，是广东品胜电子股份有限公司的全资子公司。依托遍布全国的5000家加盟专卖店，四川品牌管理有限公司打造了线上线下结合的O2O购物平台——“品胜?当日达〞，建立了“线上线下同价〞、“千城当日达〞、“向日葵随身效劳〞三大效劳体系，为消费者带来便捷的O2O购物体验。2011年，品胜在成都温江科技工业园建立起国内首座终端客户体验馆，以人性化的互动设计让消费者亲身感受挪动电源、数码配件与生活的智能互联，为追求高品质产品性能的用户带来便捷、现代化的操作体验。伴随业务的进展，原有的网站、系统、APP等都进展了不同程度的功能更新和系统投产，同时，系统平安要求越来越高，可能受到的恶意攻击包括：信息篡改与重放、信息销毁、信息欺诈与抵赖、非受权访问、网络间谍、“黑客〞入侵、病毒传播、特洛伊木马、蠕虫程序、规律炸弹、APT攻击等。这些攻击完全能造成信息系统瘫痪、重要信息流失。2. 测试概述2.1. 测试简介本次测试内容为浸透测试。浸透测试：是为了证明网络防备根据预期方案正常运行而供应的一种机制。2.2. 测试根据※GB/T 25000.51-2010《软件工程软件产品质量要与评价(SQuaRE) 商业现货(COTS)软件产品的质量要求和测试细那么》※GB/T 16260-2006《软件工程产品质量》※GB/T 18336-2001《信息技术平安技术信息技术平安性评估准那么》※GB/T 20274-2006《信息系统平安保障评估框架》※客户提出的测试需求2.3. 测试思路2.3.1. 工作思路本次系统测试包括功能测试、性能测试、平安测试以及文档测试，本次测试工作将系统测试对象进展掌握点划分，根据工程建立要求和相关标准、标准进展工程系统测试，并加强系统各阶段测试和施行过程掌握，完善工程目的掌握手段。2.3.2. 管理和技术要求1、管理要求为了保证本工程系统综合测试的顺当进展，将对工程施行事前评审和测试过程监视测试管理工作，合理安排工程人员负责相应的测试工作。2、技术要求为了保证本工程系统测试的顺当进展，在本次测试过程中将实行如下技术要求：※浸透测试：验证系统设计的平安性是否满足客户需求。2.4. 人员及设备方案2.4.1. 人员安排本次测试组织机构和人员安排如下：工程管理组：杨方秀现场测试组：屈绯颖、王洪斌、工程文档组：龚正质量掌握组：杨方秀、屈绯颖2.4.2. 测试设备3. 测试范围4. 测试内容5. 测试方法针对本次工程的测试范围和内容，我公司实行浸透测试的方法对整体系统进展平安性评估。5.1. 浸透测试原理浸透测试过程主要根据现今已经把握的平安破绽信息，模拟黑客的真实攻击方法对系统和网络进展非破坏性质的攻击性测试，这里说有的浸透测试行为将在客户的书面明确受权和监视下进展。5.2. 浸透测试的流程方案制定：在猎取到业主单位的书面受权答应后，才进展浸透测试的施行。并且将施行范围、方法、时间、人员等详细的方案与业主单位进展沟通，并得到业主单位的认同。在测试施行之前，会做到让业主单位对浸透测试过程和风险的知晓，使随后的正式测试流程都在业主单位的掌握下。信息搜集：这包括：操作系统类型指纹搜集；网络拓扑构造分析；端口扫描和目的系统供应的效劳识别等。可以采纳一些商业平安评估系统〔如：ISS、极光等〕；免费的检测工具〔NESSUS、Nmap 等〕进展搜集测试施行：在躲避防火墙、入侵检测、防毒软件等平安产品监控的条件下进展：操作系统可检测到的破绽测试、应用系统检测到的破绽测试〔如：Web应用〕，此阶段假如胜利的话，可能获得一般权限。浸透测试人员可能用到的