软件安全知识

软件安全相关知识

目录

一、前言 (2)

二、术语解释 (3)

三、安全性基础知识介绍 (5)

1、了解信息系统的安全空间 (5)

2、安全保障体系 (7)

3、安全风险评估及安全策略 (8)

4、信息安全技术与安全产品管理 (8)

5、软件安全测试工具 (9)

四、软件安全性测试主要内容及测试方法 (10)

1、安全性测试主要内容 (12)

2、安全性测试方法 (15)

3、常见产品安全性缺陷 (15)

五、公司产品安全性现状 (16)

六、软件安全性常见问题处理方法 (18)

七、其他关于软件安全性方面工作改进 (19)

一、前言

许多项目在上线前，用户会要求提供产品安全性检测报告，或者用户方（或请第三方）对产品进行安全性测试后，给出产品安全性评测报告提出产品整改要求，在碰到这类问题时，由于前后台业务人员对软件安全方面的知识不够了解，往往不知道如何处理。

由于计算机安全性方面的知识体系非常庞杂，平时接触较少，且在需求了解、产品研发阶段常常被忽略，当遇到客户方信息化建设比较健全，对产品提出安全性要求时，才临时采取策略。

软件安全性是产品质量评估的一个重要方面，测试中心在跟进一些项目的过程中，接触了一些相关知识，本文档总结了关于安全性方面的基础知识，软件安全评测的方法、内容，以及针对软件安全性方面遇到的问题的一些建议处理方法，供大家学习了解。

二、术语解释

●信息系统安全等级保护：是根据信息系统重要性不同对其进行分

级别保护，不同级别有不同的安全措施及标准。建设单位应该根据系统的安全等级评估结果，对系统实施相应安全保护措施。

参考公安部信息安全等级保护评估中心编制的《信息系统安全等级保护政策》。

●信息安全服务资质认证：信息安全服务资质是对信息安全服务提

供者的资格状况、技术实力和实施安全工程过程的质量保证能力等方面的具体衡量和评价。资质等级的评定，是在其基本能力水平、安全工程项目的组织管理水平、安全工程基本过程的控制能力等方面的单项评估结果的基础上，针对不同的服务种类，采用一定的权值综合考虑后确定的，并由国家认证机构授予相应的资质级别。

●信息安全保障系统：是一个在网络上，集成各种硬件、软件和密

码设备，以保护其他业务应用信息系统正常运行的专用的信息应用系统，以及与之相关的岗位、人员、策略、制度和规范的总和。

●软件安全性评测：对软件系统进行安全性评测，确保软件满足其

相应级别的安全性标准要求。依据的软件安全评测标准有：国际标准ISO/IEC 15408 国家标准 GB 18336 信息技术安全性评测准则；主要的评测中心有：中国信息安全测评中心、国家计算机网络与信息安全管理中心；其他第三方安恒信息、三零卫士信息技术公司；企业信息中心自己的安全评估检验部门

●安全漏洞：是在硬件、软件、协议的具体实现或系统安全策略上

存在的缺陷，从而可以使攻击者能够在未授权的情况下访问或破坏系统

●入侵检测：入侵检测（Intrusion Detection）是对入侵行为的检

测。它通过收集和分析网络行为、安全日志、审计数据、其它网络上可以获得的信息以及计算机系统中若干关键点的信息，检查网络或系统中是否存在违反安全策略的行为和被攻击的迹象。

●渗透测试：渗透测试是通过模拟恶意黑客的攻击方法，来评估计

算机网络系统安全的一种评估方法。这个过程包括对系统的任何弱点、技术缺陷或漏洞的主动分析，这个分析是从一个攻击者可能存在的位置来进行的，并且从这个位置有条件主动利用安全漏洞。

●PKI（Public Key Infrastructure）公共密钥基础设施：它是以

不对称密钥加密技术为基础，以数据机密性、安全性、身份认证和行为不可抵赖性为安全目的，来实施和提供安全服务的具有普适性的安全基础设施。其内容包括数字证书、不对称密钥密码技术、认证中心、证书和密钥的管理、安全代理软件、不可否认性服务、时间戳服务、相关信息标准、操作规范等。

●数字证书：是由认证机构经过数字签名后发给网上信息交易主体

（企业或个人、设备或程序）的一段电子文档。

●CA（Certification Authority）认证中心：，PKI的核心。它是

公正、权威、可信的第三方网上认证机构，负责数字证书的签发、

撤销和生命周期管理。

●https：安全超文本传输协议，它是由Netscape开发并内置于其

浏览器中，用于对数据进行压缩和解压操作的。

●SDL：安全开发周期（Security Development Lifecycle）是微软

提出的从安全角度指导软件开发过程的管理模式。

三、安全性基础知识介绍

1、了解信息系统的安全空间

信息系统的安全与网络息息相关，只有基于网络的信息系统才需要考虑安全性问题。信息系统安全空间的五大属性包括：认证、权限、完整、加密、不可否认，主要有安全机制、安全服务与安全技术三个维度组成。

1）安全机制包括：

●基础设施实体安全、

●平台安全：操作系统漏洞检测与修复、网络基础设施（路由器、

交换机和防火墙等）漏洞检测与修复、通用基础应用程序（数

据库、WEB、、DNS、系统守护进程）漏洞检测与修复、网络安

全产品（防火墙、入侵检测、防病毒）部署

●数据安全：访问控制、数据完整性、数据可用性、数据监控和

审计、数据存储备份

●通信安全

●应用安全：业务软件程序安全性测试，业务交往的防抵赖测试、

业务资源的访问控制验证、业务现场的备份与恢复机制、业务

数据的唯一性、业务数据保密性、可靠性、可用性

●运行安全

●管理安全

●授权和审计安全

●安全防范体系

2）安全服务

●对等实体认证服务：用于两个开发系统同等层中的实体监理链

接和数据传输时，对对方实体的合法性、真实性进行确认

●数据完整性服务

●数据源点认证服务

●禁止否认服务

●犯罪证据提供服务

3）安全技术

●加密技术

●数字签名技术

●访问控制技术

●数据完整性技术

●认证技术

●数据挖掘技术

这三个维度组成信息系统的安全空间，每个维度的内容越丰富、越深入，安全空间就越大，安全性越好。