等级保护测评师初级技术考试资料

安全审计SQL的检查方法1、在“企业管理器＝》右键单击注册名称＝》单击：“属性”＝》安全性，查看每个注册的“审核级别”是否为“全部”2、询问数据库管理员，是否采取第三方工具或其他措施增强SQL Server的日志功能。

3、用不同的用户登录数据库系统并进行不同的操作，在SQL SERVER数据库中查看日志记录。

ORACLE的检查方法Select value from v$parameter where name='audit_trail'Show parmeter audit_trail查看是否开启审计功能Show parameter audit audit_sys_operations查看是否对所有sys用户的操作进行了记录Select sel,uqd,del,ins from dba_obj_audit_opts,查看是否对sel,upd,del,ins操作进行了审计Select*from dba_stmt_audit_opts,查看审计是否设置成功Select*from dba_priv_audit_opts查看权限审计选项审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等。

用户可以通过alter system set audit_trail=none并重启实例关闭审计功能，查看是否成功Sp_config'remote login timeout(s);,查看是否设置了超时时间查看空闲超时设置，select limit from dba_profiles where profile='DEFAULT and resource_name='IDLE_TIME'.应限制单个用户对系统资源的最大或最小使用限度。

ORACLE的检查方法Select username,profile from dba_users确定用户使用的profile,针对指定用户的profile,查看其限制（以default为例）。

Select limit from dba_profiles where profile='DEFAULT'and resource_name='CPU_PER_USER',查看是否对每个用户所允许的并行会话数进行了限制。

Select limit from dba_profiles where profile='DEFAULT'and resource_name='CPU_PER_SESSION',查看是否对一个会话可以使用的CPU时间进行了限制。

Select limit from dba_profiles where profile='DEFAULT'and resource_name='CPU_PER_IDLE_TIME',查看是否对允许空闲会话的时间进行了限制。

备份与恢复应用和数据库应提供数据本地备份与恢复功能，完全数据备份至少每天一次备份介质场外存储考试要点1.应用系统的特点a测评范围较广和数据库、操作系统等成熟产品不同，应用系统现场测评除检查安全配置外，还需验证其安全功能是否正确b测评中不确定因素较多，测评较为困难需根据业务和数据流程确定测评重点和范围应用系统安全漏洞发现困难，很难消除代码级的安全隐患c测评结果分析较为困难应用系统与平台软件，如Web平台、操作系统、数据库系统、网络等都存在关联关系2.应用系统的测评方法a通过访谈，了解安全措施的实施情况和其他成熟产品不同，应用系统只有在充分了解其部署情况和业务流程后，才能明确测评的范围和对象，分析其系统的脆弱性和面临的主要安全威胁，有针对性的进行测评b通过检查，查看其是否进行了正确的配置有的安全功能（如口令长度限制、错误登录尝试次数等）需要在应用系统上进行配置，则查看其是否进行了正确的配置，与安全策略是否一致。

无需进行配置的，则应查看其部署情况是否与访谈一致。

c如果条件允许，需进行测试可通过测试验证安全功能是否正确，配置是否生效。

代码级的安全漏洞在现场查验比较困难，则可进行漏洞扫描和渗透测试，如果条件允许，则可进行代码白盒测试。

3.应用系统难理解的地方4.应用系统如何测评a身份鉴别应提供专用的登录控制模块对登录用户进行身份标识和鉴别；应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别；应提供用户身份标识唯一和鉴别信息复杂度检查功能，保证应用系统中不存在重复用户身份标识，身份鉴别信息不易被冒用；应提供登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施；应启用身份鉴别、用户身份标识唯一性检查、用户身份鉴别信息复杂度检查以及登录失败处理功能，并根据安全策略配置相关参数。

条款理解三级或三级以上系统要求必须提供两种（两次口令鉴别不属于两种鉴别技术）或两种以上组合的鉴别技术进行身份鉴别，在身份鉴别强度上有了更大的提高。

检查方法询问系统管理员，了解身份鉴别措施的部署和实施情况。

根据了解的情况，检查应用系统是否按照策略要求进行了相应的配置，在条件允许的情况下，验证功能（包括应用口令暴力破解等测试手段）是否正确。

b访问控制要求项应提供访问控制功能，依据安全策略控制用户对文件、数据库表等客体的访问；访问控制的覆盖范围应包括与资源访问相关的主体、客体及它们之间的操作；应由授权主体配置访问控制策略，并严格限制默认帐户的访问权限；应授予不同帐户为完成各自承担任务所需的最小权限，并在它们之间形成相互制约的关系；应具有对重要信息资源设置敏感标记的功能；应依据安全策略严格控制用户对有敏感标记重要信息资源的操作。

条款理解三级系统要求访问控制的粒度达到文件、数据库表级，权限之间具有制约关系（如三权分离，管理、审计和操作权限），并利用敏感标记控制用户对重要信息资源的操作。

检查方法询问系统管理员，了解访问控制措施的部署和实施情况。

根据了解的情况，检查应用系统是否按照策略要求进行了相应的配置，在条件允许的情况下，验证功能是否正确。

c安全审计要求项应提供覆盖到每个用户的安全审计功能，对应用系统重要安全事件进行审计；应保证无法单独中断审计进程，无法删除、修改或覆盖审计记录；审计记录的内容至少应包括事件的日期、时间、发起者信息、类型、描述和结果等；应提供对审计记录数据进行统计、查询、分析及生成审计报表的功能。

条款理解三级系统强调对每个用户的重要操作进行审计，重要操作一般包括登录/退出、改变访问控制策略、增加/删除用户、改变用户权限和增加/删除/查询数据等。

检查方法询问系统管理员，了解安全审计措施的部署和实施情况。

重点检查应用系统是否对每个用户的重要操作进行了审计，同时可通过进行一些操作，查看应用系统是否进行了正确的审计。

c剩余信息保护要求项应保证用户鉴别信息所在的存储空间被释放或再分配给其他用户前得到完全清除，无论这些信息是存放在硬盘上还是在内存中；应保证系统内的文件、目录和数据库记录等资源所在的存储空间被释放或重新分配给其他用户前得到完全清除。

条款理解该项要求是为了防止某个用户非授权获取其他用户的鉴别信息、文件、目录和数据库记录等资源，应用系统应加强内存和其他资源管理。

检查方法询问系统管理员，了解剩余信息保护方面采取的措施。

根据了解的情况，测试其采取的措施是否有效，如以某个用户进行操作，操作完成退出系统后系统是否保留有未被删除的文件等。

d通信完整性要求项应采用密码技术保证通信过程中数据的完整性。

条款理解该项要求强调采取密码技术来保证通信过程中的数据完整性，普通加密技术无法保证密件在传输过程中不被替换，还需利用Hash函数（如MD5、SHA和MAC）用于完整性校验，但不能利用CRC生成的校验码来进行完整性校验。

检查方法询问系统管理员，了解通信完整性方面采取的措施。

可通过查看文档或源代码等方法来验证措施是否落实。

e通信保密性要求项在通信双方建立连接之前，应用系统应利用密码技术进行会话初始化验证；应对通信过程中的整个报文或会话过程进行加密。

条款理解该项要求强调整个报文或会话过程进行加密，同时，如果在加密隧道建立之前需要传递密码等信息，则应采取密码技术来保证这些信息的安全。

检查方法询问系统管理员，了解通信保密性方面采取的措施，分析其会话初始化过程是否安全。

可通过抓包工具（如Sniffer pro）获取通信双方的内容，查看系统是否对通信双方的内容进行了加密。

F抗抵赖要求项应具有在请求的情况下为数据原发者或接收者提供数据原发证据的功能；应具有在请求的情况下为数据原发者或接收者提供数据接收证据的功能。

条款理解该项要求强调应用系统提供抗抵赖措施（如数字签名），从而保证发送和接收方都是真实存在的用户。

检查方法询问系统管理员，了解抗抵赖方面采取的措施。

可通过查看文档或源代码等方法来验证措施是否落实。

g软件容错要求项应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的数据格式或长度符合系统设定要求；应提供自动保护功能，当故障发生时自动保护当前所有状态，保证系统能够进行恢复。

条款理解为了防止SQL注入等攻击，软件应对用户输入数据的长度和格式等进行限制。

检查方法询问系统管理员，了解软件容错方面采取的措施。

可通过查看文档或源代码等方法来验证措施是否落实，并在界面上输入超过长度或不符合要求格式（如hi’or1=1--）的数据，验证其功能是否正确。

h资源控制要求项当应用系统的通信双方中的一方在一段时间内未作任何响应，另一方应能够自动结束会话；应能够对系统的最大并发会话连接数进行限制；应能够对单个帐户的多重并发会话进行限制；应能够对一个访问帐户或一个请求进程占用的资源分配最大限额和最小限额；应能够对系统服务水平降低到预先规定的最小值进行检测和报警；应提供服务优先级设定功能，并在安装后根据安全策略设定访问帐户或请求进程的优先级，根据优先级分配系统资源。

条款理解资源控制是为了保证大多数用户能够正常的使用资源，防止服务中断，应用系统应采取限制最大并发连接数、请求帐户的最大资源限制等措施。

检查方法询问系统管理员，了解资源控制措施的部署和实施情况。

根据了解的情况，检查应用系统是否配备了相应的功能，在条件允许的情况下，验证功能是否正确i数据完整性要求项应能够检测到系统管理数据、鉴别信息和重要业务数据在传输过程中完整性受到破坏，并在检测到完整性错误时采取必要的恢复措施；应能够检测到系统管理数据、鉴别信息和重要业务数据在存储过程中完整性受到破坏，并在检测到完整性错误时采取必要的恢复措施。

条款理解该项要求强调不仅要保证管理数据、鉴别信息和重要业务数据传输数据的完整性，而且要保证存储过程中的完整性并且在检测到完整性受到破坏时采取恢复措施。