MH_T 0067-2018民航Web应用系统安全检测指南.pdf

ICS 35.020V 07MH中华人民共和国民用航空行业标准MH/T 0067—2018民航Web应用系统安全检查指南Security testing guide for Web application system of civil aviation2018-12-14发布2019-04-01实施中国民用航空局发布 MH/TH MH/T 0067—2018附录A（规范性附录）Web应用系统安全基本要求A.1身份鉴别A.1.1应在系统管理和普通用户管理等模块提供登永认证功能，对登录用户进行身份标识和鉴别。A.1.2对于重要的系统模块应采取两种及以上的鉴别技术对用户进行身份鉴别。A.1.3应对用户求入的帐户及口令进行唯一性和复杂度的验证，确保不被冒用。A.1.4应提供验证码、限制非法次数、自动退出、结束会话等措施，防止暴力破解等。A. 2访问控制A.2.1J应在配置文件中限定用户访间及下载的文件类型。（测试中要有具体的方式）A.2.2应在配置文件中限定用户对各个目录及文件的操作权限。A.2.3应对不同的账户设定不同的权限：一方而根据职能划分，另一方面根据管理权限划分，并在它们之间形成制约关系。A.2.4应在代码中限定上传的文件类型或访间的文件路径及类型，A.2.5应在后台登陆的模块代码中对用户的权限进行限制，防止纵向越权和横向越权访间，A. 2. 6访间控制还要参考等级保护基本要求中主机安全访间控制等要求，A. 3安全审计（放在备份之后）A. 3. 1应在eb应用系统中设计操作日志审计模块A.3.2操作日志的内容应覆盖到每个用户。A.3.3操作日志内容应包括操作类型、时间、账户、操作结果等。A.3.4应具有操作日志进行统计、查询、分析及生成报表的功能。A.3.5日志保存期不少于6个月。A 4系统信息保护A. 4. 1应对报错文件进行配置，防止暴露敏感信息。A.4.2不应在系统中存放敏感信息，如系统备份文件、系统配置信息等。A.4.3应对配置文件进行设置，尽量不暴露系统的信息，如操作系统，web容器等。A.4.4如采用开源组件应进行必要的修改，防止相关信息暴露。A. 4. 5系统在停止使用后，应将所有信息进行完全清除。A. 4. 6数据库中的敏感信息加密存储。A. 5通信的安全性A. 5.1对于重要模块，建议采用加密方式进行信息交互。00 MH/T.5.2应对数据的原发者和接收者提供数据接收和发送的抗抵赖功能。A.6软件容错应对用户输入的数据进行有效的校验，包括内容的有效性和攻击代码的检测。A.7资源控制A. 7. 1应在Web容器中限定最大连接时间。A. 7. 2应在Web容器中限定系统的最大并发连接数。A. 7.3应在系统代码设计时对单个用户的多重会话进行限制。A.7.4对重要的Web应用系统，应部署运行状况监测系统对系统资源的状态进行检测和报警。A. 8数据的备份恢复A.8.1系统应提供数据备份功能，可以手工或自动对数据进行备份。A. 8.2对于重要Web应用系统应采取几余的方式A. 8.3持别重要Web应用系统数据备份应采用异地备份方式。A 9业务逻辑安全A.9.1应对民航Web应用系统的业务处理流程进行审计，防止业务流程潮剂A. 9.2应对民险抗Web应用系统的身份认证流程进行安全审计，防止非授权进入系统。A. 10管理制度A.10. 1应用户操作管理制度，防止人为原因造成安全隐患A.10.2应根据GB/T22239对系统进行设计、建设和运维， MH/T言本标准按照GB/T1.1-2009给出的规则起草。本标准由中国民用航空局人事科教司提出。本标准由中国民航科学技术研院归口。本标准起草单位：中国民航大学。本标准主要起草人：马勇、顾兆军、刘春波、周景贤、王双、张礼哲、钟友兵。MH MH/T航Web应用系统安全检查指南1范围本标准规定了针对民航Web应用系统检测的基本原则、工作方式，本标准适用于指导对eb应用系统进行安全检测。2规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件，凡是不注日期的引用文件，其必威体育精装版版本（包括所有的修改单）适用于本文件。GB/T28448信息安全技术信息系统安全等级保护测评要求GB/T22239信息安全技术：信息系统安全等级保护基本要求GB/T20984安全技术信息安全风险评估规范GB/31509信息安全技术信息安全风险评估实施指南GB/T25058信息安全技术信息系统安全等级保护实施指南术语和定义3术语和定义下列术语和定义适用于本文件3, 1软件容错software fault-tolerance软件在定程度上能从错误状态自动饮复到正常状态的巧4民航