应用安全测评指导书.pdfVIP

海纳百川，有容乃大；壁立千仞，无欲则刚。——林则徐

1应用安全测评指导书

应用系统安全测评

序号测评指标测评项检查方法预期结果

a)检查应用

系统的身份

访谈:1)访谈应用系1)应用系统使用口令

标识与鉴别

统管理员，询问应用系鉴别机制对用户进行

功能设置和

统的身份标识和鉴别身份标识和鉴别；2)

使用配置情

机制采用何种措施实登录时提示输入用户

况；检查应

现；2)登录应用系统，名和口令；以错误口令

用系统对用

查看是否提示输入用或空口令登录时提示

户登录各种

户口令，然后以正确口登录失败，验证了登录

情况的处

令登录系统，再以错误控制功能的有效性；

理，如登录

口令或空口令重新登3)应用系统不存在密

失败处理、

录，观察是否成功。码为空的用户。

登录连接超

时等。

访谈:1）访谈应用系

b)检查应用

统管理员，询问应用系

系统的身份

统是否采用了两种及

标识与鉴别

两种以上身份鉴别技

功能设置和

1身份鉴别使用配置情术的组合来进行身份

鉴别（如采用用户名/用户的认证方式选择

况；检查应

口令、挑战应答、两种或两种以上组合

用系统对用

口令、物理设备、生物的鉴别技术，只用一种

户登录各种

识别技术中的任意两技术无法认证成功。

情况的处