网络安全测试方案

第1章内网安全测试

1.1 基础安全

端口隔离

MAC安全

IP绑定

ARP绑定

1.2 身份认证

AAA

802.1x

PPPOE

Potal、CTP、认证代理

1.3 内网准入控制（盈高解决方案）

Pc状态检测（）

主机外设控制

第2章安全设备测试方案—防火墙、AC、安全网关、IPS、UTM 2.1 功能测试

基本功能测试

默认安全规则功能验证

测试目的测试设备是否支持基本功能

测试条件1、设备上电启动正常；

2、通过直连网线将设备LAN口与PC相连。

测试过程1、设备开启防火墙功能；

2、查看从内向外的ping、web或telnet、DNS业务是否正常。

3、查看从外向内的ping、web或telnet、DNS业务是否正常。

预期结果1、步骤2中，ping、telnet、web业务均正常；

2、步骤3中，ping、telnet、web业务均不正常；

其它说明和注意事项本测试任务测试防火墙对ICMP TCP udp等处理行为

测试结果

TCP状态检测功能测试

5、PC1向PC2发起FTP请求，可以得到结果4。

1、PC1可以通过防火墙正常访问HTTP页面；

2、可以看到防火墙上建立了HTTP session表项；

UDP状态检测功能测试

测试目的测试udp状态检测功能

测试条件1、按照网络拓扑进行组网，将终端PC1接口加入防火墙Inside域，将终端PC2接口加入防火墙outside域；

4、关闭CMD，再查看防火墙session表信息，可以得到结果3；

2、可以看到防火墙上建立了UDP session表项；

3、防火墙上仍存在session表项；等待空闲时间超时再删除。

支持session连接数的限制

测试目的验证防火墙设备支持 Sessions连接数的控制

测试条件1、设备上电启动正常；

2、PC1和PC2互联到防火墙，防火墙作为网关与公网相连；

4、PC1 和PC2均能访问公网应用FTP、http、qq、迅雷等。

测试过程1、针对PC1不开启Sessions数控制，观察Sessions建立的状况及数值，得出结果1；

2、开启防火墙的Sessions数控制的设置，针对PC2设置数值为 10个；观察Sessions

建立的状况及数值，得出结果2；

预期结果1、结果1：Sessinos连接可以正常建立；

2、结果2：Sessinos连接控制在10个以内。

其它说明和注意事项

测试结果

ICMP状态检测功能测试

1、在防火墙上配置安全规则，允许从PC1到PC2的ICMP协议报文通过（默认高级别到

5、PC 2向PC 1发ping包，可以得到结果4。

6、在防火墙上配置ACL允许outside到Inside的ICMP协议报文，PC 2向PC 1发ping包，

NAT功能测试

测试目的测试是否支持NAT功能

测试条件1、设备上电启动正常；

2、通过直连网线将设备LAN口与PC相连。

测试过程1、防火墙配置为路由模式，配置好相应的DPAT/DNAT策略

2、配置终端内部的IP地址段等参数；

3、连接到Inside口的 PC机，PC是否可以正常访问外部的服务器；

4、防火墙内部放置一台 Web Server，在防火墙上进行相应的SNAT/SPAT地址映射设

置；

5、通过外网用户访问 Web Server，观察是否成功。

6、在防火墙上配置好ACL策略，放通outside到inside的访问流量，再看外网用户访

问 Web Server，观察是否成功。

预期结果1、步骤 3 中，Inside 口的 PC 机可以正常上网，同时通过外部服务器上的抓包，看到NAT后的地址；

2、步骤5中，外网用户不可以访问内网 Web Server，

3、步骤6中，外网用户可以成功访问内网 Web Server，同时通过内部PC上的捉包，

看到NAT后的地址。

其它说明和注意事项开启NAT-control

测试结果

用户认证功能测试

1、在防火墙中PC1访问PC2的安全策略中引用CTP用户认证功能；

2、防火墙配置好认证方式(Radius)；如：AAA的IP、安全协议、KEY等

PC1通过Radius 认证或本地DB认证才能访问PC2的资源。

认证通过后，AAA服务器下发ACL 给防火墙并控制了除telnet以外的流量

AAA服务器上记录了防火墙的流量信息

其它说明和注意事项可以使用radius或tacacs+

测试结果

脚本过滤功能测试

测试目的测试是否支持基于脚本的内容过滤功能

测试条件1、设备上电启动正常；

2、通过直连网线将终端 LAN口与PC 机以太网接口连接。

测试过程1、配置终端和PC，使PC能上网浏览；

2、防火墙上启用针对 ActiveX、Java脚本的过滤功能；

3、查看是否可以成功过滤 ActiveX和 Java脚本。

预期结果1、可以成功过滤ActiveX和Java脚本。

其它说明和注意事项

测试结果

支持应用控制

测试目的验证ASA或sinfor AC设备支持应用控制

测试条件1、设备上电启动正常；

2、PC1和PC2互联到AC设备，AC作为网关与公网相连；

4、PC1 和PC2均能访问公网应用FTP、http、qq、迅雷等。

测试过程1、开启AC的应用控制设置，针对 PC1地址只能QQ和http，

2、开启AC的应用控制设置, 针对 PC2地址能访问QQ、http、迅雷等，但设置其HTTP

下载速率低于40kBytes/s；

3、开启AC的应用控制设置,针对PC1和PC2地址禁止搜索‘美女、性’等关键字。

预期结果1、PC1只能访问QQ和HTTP

2、PC2能访问所有的公网应用，而且HTTP下载速度得到设置

3、PC1和PC2不能搜索‘美女、性’等关键字。

其它说明和注意事项需要下载sinfor设备AC配置手册

测试结果

URL过滤

测试目的考察UTM的URL过滤功能

测试条件1、PC终端上电启动正常；

2、PC终端通过防火墙隔离与Internet相通。

测试过程1、配置终端和PC，使PC能上网浏览；

2、UTM启用黑名单并添加URL关键字，如“sina”；

3、在浏览器内分别输入 URL包含“sina”和不包含“sina”的网址，浏览网络；

4、UTM启用内容过滤功能，如“邪教”等；

5、在PC1上访问 baidu，并输入“邪教”进行搜索；

6、查看访问URL 的信息统计。

预期结果1、步骤3中，PC无法浏览URL包含“sina”的网页，可正常访问其他网页；

2、步骤5中，PC无法浏览网页；

3、步骤6中，能针对所有 URL 进行访问次数的统计、能针对特定IP用户对URL访问的

信息统计、能针对用户对特定 URL访问次数的统计。

其它说明和注意事项无

测试结果

IM/P2P控制功能

测试目的验证AC设备应用控制功能

测试条件1、设备上电启动正常；

2、设备串接在 PC与Internet间，PC能正常访问 Internet。

测试过程1、在AC上开启应用控制功能；

2、在线下载并更新特征库；

3、分别安装QQ、MSN、BT、eDonkey、Skype 等应用软件的最新版本；

4、为各应用软件设置相应的策略（如禁止QQ、MSN，允许BT、eDonkey；上班时全部

禁止QQ、MSN、BT、eDonkey、Skype 等操作；针对特定IP 地址允许 QQ、MSN、BT、

eDonkey、Skype等操作）；

5、记录AC对应用程序控制的手段（限速、阻断或均支持）。

预期结果1、下载特征库成功，不需要重启设备；

2、更新特征库同时不影响业务；

3、从日志信息中可以看到相应策略的执行记录；

4、按照预设策略执行操作。

其它说明和注意事项需要下载sinfor设备AC配置手册

测试结果

2层/3层功能支持测试

路由协议支持

2、在防火墙设备上配置RIP V1 V2、OSPF、BGP（可选）等动态路由，设置全通策略；

3、Router（inside区）配置好相应的RIP V1 V2、OSPF、BGP等动态路由；

1、防火墙与Router间的动态路由能正常建立，PC1与PC2能互通。

PIX防火墙ospf接口类型改为点对点

透明、网桥模式组网

1、按上图组网连接好设备；在防火墙设备上配置透明工作模式，设置相应的安全策

2、内外网在同一个网段上；

3、从用户端向服务器发起请求。

1、防火墙工作在透明模式，相应的安全策略起作用。

防火墙对三层IP包和二层非IP包的处理

VLAN trunk支持功能

使用sinfor 、网域、迪普等设备测试，CISCO7.0和8.0版本支持不佳。

多个端口链路捆绑功能（可选，设备做不了）

考察UTM多端口捆绑能力

1、按上图组网连接好设备；

2、在设备上配置透明工作模式，设置相应的安全策略；

3、多个物理端口（2-4个）捆绑成一条逻辑链路；

4、内外网在同一个网段上；

5、从用户端向服务器发起请求。

1、UTM工作在透明模式，捆绑链路成为一条逻辑通道传送数据流，相应的安全策略起

作用。

其它说明和注意事项无

测试结果

特殊功能支持测试

虚拟化组网

主备、AS模式

考察防火墙主备模式功能

防火墙1为组的活动active设备，防火墙2为组的stanby设备，

PC2与外网中任意一台PC3ping以及TCP连接测试，

登录防火墙2查看添加的安全规则是否同步过来以及session状态是否同步；

3、PC1与PC3、PC2与PC3相互长ping，若开启接口monitor，断开断掉Link2 或Link4

链路，得到结果2；

4、 登录防火墙2查看是否为active状态。

预期结果1、在切换过程中，ICMP 丢包但能很快恢复，同时防火墙的配置和session状态能通过心跳线同步。

其它说明和注意事项防火墙采用路由模式

测试结果

双主、AA模式

配置好两个Failover组，防火墙1为组1的活动设备，防火墙2为组2的活动设备，

内网中任意两台PC1 PC2与外网中任意一台PC3ping测试，得到结果1；

登录防火墙2查看添加的安全规则是否同步过来以及session状态是否同步；

PC1与PC3、PC2与PC3相互长ping，若开启接口monitor，断开断掉Link2 或Link4

恢复刚才所断链路的连接，重复ping；

若开启接口monitor，断掉Link1或 Link 3链路，重复ping。得到结果3

结果1：PC1可以访问PC3，PC2可以访问PC3

结果2: 当down掉Link2或 Link4 或 防火墙1不能正常工作时；在切换过程中，

结果3:当down掉Link3或 Link1或 防火墙2 不能正常工作时，在切换过程中，

ICMP 丢包但能很快恢复，同时防火墙间的配置和session状态能通过心跳线同

其它说明和注意事项配置好相关的策略

测试结果

2.2 安全性测试

拦截基本攻击验证

测试目的验证网域星云安全网关对DOS攻击防御能力

测试条件1、内网中任意一台PC1 及外网中任意一台PC2，且能正常互访。

测试过程1、PC1对PC2进行连接访问；

2、PC2对PC1进行连接访问；

3、安全网关设置基本攻击防御，并开启记录功能；

4、PC1对PC2进行Syn 、UDP Flood 攻击；

5、PC2对PC1进行Syn 、UDP Flood 攻击；

6、查看攻击记录；

7、查看UTM对于 LAND、SYN Flooding、ICMP Redirection、Smurf、Winnuke、Ping of

Death， Ping Sweep，Teardrop等基本的DOS攻击是否有相应的拦截措施，并记录。预期结果1、除1、2能建立连接，其他DOS 攻击，防火墙均能拦截并能记录。

其它说明和注意事项使用原联想网域设备测试，下载相关设备手册参考；

攻击模拟软件统一管理使用

测试结果

安全性扫描测试

测试目的测试cisco、网域、sinfor软件及其使用的操作系统的安全程度

测试条件1、设备上电启动正常；

2、PC与安全网关设备相连；

测试过程1、利用Internet Scanner或Xscan、Nmap等免费scanner对处于工作状态的防火墙仿真黑客攻击；

2、统计检测到的漏洞。

预期结果1、开放端口‘’。

其它说明和注意事项下载nmap软件安装

测试结果

IPS功能

4、关闭IPS功能，再次发起攻击，有结果2。

1、步骤3中，UTM阻断攻击，攻击不成功；

2、步骤4中，UTM不阻断攻击，攻击成功。

AV功能

测试目的考察UTM的防病毒能力

测试条件1、终端上电启动正常；

2、激活防病毒功能；

3、终端设定透明模式,安全终端串接在病毒样本机器和Client PC中间。

测试过程1、启用防病毒功能；

2、下载并更新当前最新的病毒库；

3、针对HTTP/ FTP 访问进行深度检测；

4、PC打开IE浏览器 访问 病毒测试页面。

预期结果1、当访问病毒文件的时候 终端一旦侦测到病毒的存在，清除的同时会警告用户该 事件；

2、步骤2，能够成功更新病毒库，无需重启设备；

3、没有防病毒前，病毒文件可以自动下载下来。打开防病毒功能后，该病毒文件无

法下载。

其它说明和注意事项无

测试结果

2.3 性能测试（厂商测试）

工作环境测试

支持并发连接数和新建连接数测试

带宽和吞吐量测试

VPN连接数以及吞吐量测试

防病毒吞吐量测试

第3章VPN原理技术测试

Ipsec原理测试

SSL原理测试

第4章信息管理案例测试

流量控制管理

设备管理

第5章用户需求及应用案例测试防火墙应用案例

VPN应用案例

内网安全控制案例

测试时间年月日测试人员

（签字）