2023年二级等保应用检查项.docxVIP

二级等保应用安全现场检查项整顿

阐明

文档基于《财政信息化项目管理系统》现场检查内容进行整顿，不能代表其她系统现场检查。

检查过程

检查组一人到现场基于《二级等保检查项》模板对建设方进行提问，提问内容基本不会偏离模板内容。

注意：对于容易呈现检查项，检查组也许会规定建设方进行现场操作演示，因而对于某些容易重现问题应尽量不要以欺瞒方式回答。举例阐明：“顾客密码与否以加密方式存储”，可以通过查询数据直观体现出来，属于容易重现检查项；而“系统传播过程中与否对数据进行加密”，验证这个问题则需要通过开发环境进行体现，属于不易重现检查项，对于此类检查项，检查组人员普通不会规定通过系统进行重现。

身份鉴别

应提供专用登录控制模块对登录顾客进行身份标记和鉴别；

检查系统与否有登录环节。（普通系统都会有登录环节，不需关怀）

应提供顾客身份标记唯一和鉴别信息复杂度检查功能，保证应用系统中不存在反复顾客身份标记，身份鉴别信息不易被冒用；

检查登录时信息与否可以唯一标示一种顾客。（普通系统均有此限制，不需关怀）

检查密码复杂度。（二级等保规定密码长度为8位，并以数字+字母组合）

应提供登录失败解决功能，可采用结束会话、限制非法登录次数和自动退出等办法；

检查与否有多次登录失败解决机制。（普通都是通过增长登录失败计数器机制实现登录失败解决（每次登录失败后计数器+1，当计数器达成一定数值时进行失败解决，当顾客登录成功后计数器清零），当前主流解决方式有两种：一是锁定顾客，需要管理员进行解锁后才可再次使用；二是限制登录时间，例如10分钟后才可再次尝试登录）

应启用身份鉴别、顾客身份标记唯一性检查、顾客身份鉴别信息复杂度检查以及登录失败解决功能，并依照安全方略配备有关参数。

检查与否可以绕过登录模块进入系统（直接在URL中录入某功能页面URL）。（普通状况下业务系统都会以登录人信息来获得相应业务功能和业务数据，因而大多数状况下不登录是无法正常使用系统功能。固然，有一种统一检查逻辑是最佳，常用解决手段为检查session中与否有顾客登录信息，如无则跳转到错误解决逻辑）

访问控制

应提供访问控制功能，根据安全方略控制顾客对文献、数据库表等客体访问；

检查与否有可越权访问情形；（本次检查时检查人员仅提问了登录后顾客能不能访问不该其使用功能，咱们回答每个顾客均有功能权限，在登录后会依照功能权限仅展示顾客有权限使用功能。）

个人理解：该项应当是检查顾客与否可以在系统中通过非常规手段获取到顾客受权以外信息。

访问控制覆盖范畴应涉及与资源访问有关主体、客体及它们之间操作；

检查系统能否依照访问控制规则正的确施对资源控制；（未提问，个人理解为系统功能、数据权限与否可以正常工作）

检查访问控制主体、客体；（未提问，个人理解，控制主体应为具体操作者，本系统中控制主体为顾客；客体为主体可以操控内容，本系统中客体相应系统功能、业务数据）

检查访问控制功能与否可以覆盖范畴涉及与资源访问有关主体、客体及它们之间操作；（个人理解，与之前检查项相似，是对系统权限严谨性进行检查，例如能否通过URL方式直接访问无权限功能）

应由授权主体配备访问控制方略，并严格限制默认帐户访问权限；

检查实际授权与权限方略与否一致，无法进行越权操作；（个人理解，同样是对权限模板对的性进行检查）

检查系统与否存在权限不受限制超级管理员，系统不应当存在不受限超管；（个人理解，该超级管理员与咱们所理解管理员不太同样，该超级管理员应指是不受功能、数据权限约束账号；而当前大多系统中管理员都是受到功能、数据权限约束，除了配给功能和数据权限较大之外，其本质与普通顾客并无差别）

应授予不同帐户为完毕各自承担任务所需最小权限，并在它们之间形成互相制约关系。

检查系统管理模式与否符合三员管理；（三员管理指将系统管理员寻常管理功能进行拆分；其中：系统管理员重要负责系统寻常运维工作，配给功能涉及在系统运营状况监控、顾客管理、系统备份恢复等功能；安全管理员：重要负责系统寻常安全管理工作，配给功能涉及在资源分派、权限管理等功能；审计员：重要负责依照日记对管理员操作行为进行审订跟踪、分派和监督检查，配给功能涉及在日记查询、分析等功能。）

安全审计

应提供覆盖到每个顾客安全审计功能，相应用系统重要安全事件进行审计；

检查系统日记管理功能与否涵盖了系统重要业务；（规定日记应记录在数据库中，且除重要业务操作外，对于登录、顾客调节、授权变更也需要记录）

应保证无法删除、修改或覆盖审计记录；

检查操作记录与否数据库存储，并且与否不能通过应用系统删除、修改和覆盖操作日记；（规定日记应记录在数据库中，且不能通过系统功能对日记进行篡改）

审计记录内容至少应涉及事件日期、时间、发起者信息、类型、描述和成果等；

检查日记记录内容与