Web应用安全基线

《Web应用安全基线》由会员分享，可在线阅读，更多相关《Web应用安全基线（18页珍藏版）》请在金锄头文库上搜索。

1、 WEB 应用安全配置基线 第 0 页 共 18 页 WebWeb 应用安全配置基线应用安全配置基线 WEB 应用安全配置基线 第 1 页 共 18 页 版本版本版本控制信息版本控制信息更新日期更新日期更新人更新人审批人审批人 V1.0创建2009 年 1 月 V2.0更新2012 年 4 月 备注：备注： 1. 若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。 WEB 应用安全配置基线 第 2 页 共 18 页 目目 录录 第第 1 章章概述概述.5 1.1目的.5 1.2适用范围.5 1.3适用版本.5 1.4实施.5 1.5例外条款.5 第第 2 章章身份与访问控制

2、身份与访问控制.6 2.1账户锁定策略.6 2.2登录用图片验证码.6 2.3口令传输.6 2.4保存登录功能.7 2.5纵向访问控制.7 2.6横向访问控制.7 2.7敏感资源的访问.8 第第 3 章章会话管理会话管理.9 3.1会话超时.9 3.2会话终止.9 3.3会话标识.9 3.4会话标识复用.10 第第 4 章章代码质量代码质量.11 4.1防范跨站脚本攻击.11 4.2防范 SQL 注入攻击.11 4.3防止路径遍历攻击.11 4.4防止命令注入攻击.12 4.5防止其他常见的注入攻击.12 4.6防止下载敏感资源文件.13 4.7防止上传后门脚本.13 4.8保证多线程安全.1

3、3 4.9保证释放资源.14 第第 5 章章内容管理内容管理.15 5.1加密存储敏感信息.15 5.2避免泄露敏感技术细节.15 第第 6 章章防钓鱼与防垃圾邮件防钓鱼与防垃圾邮件.16 6.1防钓鱼.16 6.2防垃圾邮件.16 第第 7 章章密码算法密码算法.17 7.1安全算法.17 WEB 应用安全配置基线 第 3 页 共 18 页 7.2密钥管理.17 第第 8 章章评审与修订评审与修订.18 WEB 应用安全配置基线 第 4 页 共 18 页 第第 1 章章概述概述 1.1 目的目的 本文档旨在指导系统管理人员进行 Web 应用安全基线检查。 1.2 适用范围适用范围 本配置标准

4、的使用者包括：服务器系统管理员、应用程序管理员、网络安全管理员。 1.3 适用版本适用版本 基于 B/S 架构的 Web 应用 1.4 实施实施 1.5 例外条款例外条款 WEB 应用安全配置基线 第 5 页 共 18 页 第第 2 章章身份与访问控制身份与访问控制 2.1 账户锁定策略账户锁定策略 安全基线项安全基线项 目名称目名称 Web 应用账户锁定策略安全基线要求项 安全基线编安全基线编 号号 SBL-WebAPP-02-01-01 安全基线项安全基线项 说明说明 用户登录失败一定次数后系统自动锁定账号一段时间，以防止暴力猜测密码。 检测操作步检测操作步 骤骤 尝试使用错误用户名口令失

5、败登录多次， 基线符合性基线符合性 判定依据判定依据 用户登录失败一定次数后系统自动锁定账号。 备注备注 2.2 登录用图片验证码登录用图片验证码 安全基线项安全基线项 目名称目名称 Web 应用登录验证策略安全基线要求项 安全基线编安全基线编 号号 SBL-WebAPP-02-02-01 安全基线项安全基线项 说明说明 用户登录需提供图片验证码，以防止固定密码暴力猜测账号。 检测操作步检测操作步 骤骤 检查登录认证界面输入项，并右键点击图片查看链接属性。 基线符合性基线符合性 判定依据判定依据 要求包含图片验证码输入项，并且图片链接属性不得包含明文图片验证码。 备注备注 2.3 口令传输口令

6、传输 安全基线项安全基线项 目名称目名称 Web 应用口令传输策略安全基线要求项 安全基线编安全基线编 号号 SBL-WebAPP-02-03-01 WEB 应用安全配置基线 第 6 页 共 18 页 安全基线项安全基线项 说明说明 不能明文传输用户登录密码。 检测操作步检测操作步 骤骤 尝试登录系统，并使用抓包工具查看交互过程中在网络传输的内容。 基线符合性基线符合性 判定依据判定依据 要求不得出现明文口令 备注备注 2.4 保存登录功能保存登录功能 安全基线项安全基线项 目名称目名称 Web 应用保存登录安全基线要求项 安全基线编安全基线编 号号 SBL-WebAPP-02-04-01 安

7、全基线项安全基线项 说明说明 不能提供“保存登录”功能，该功能可能被利用于 CSRF 攻击。 检测操作步检测操作步 骤骤 检查登录界面是否提供了保存登录功能 基线符合性基线符合性 判定依据判定依据 不得提供该功能。 备注备注 2.5 纵向访问控制纵向访问控制 安全基线项安全基线项 目名称目名称 Web 应用纵向访问安全基线要求项 安全基线编安全基线编 号号 SBL-WebAPP-02-05-01 安全基线项安全基线项 说明说明 合理进行纵向访问控制，不允许普通用户访问管理功能。 检测操作步检测操作步 骤骤 了解是否有不允许普通用户访问的功能，尝试直接在浏览器中访问功能链接。 基线符合性基线符合

8、性 判定依据判定依据 用户不得跨权限访问受控页面 备注备注 2.6 横向访问控制横向访问控制 安全基线项安全基线项 Web 应用横向访问安全基线要求项 WEB 应用安全配置基线 第 7 页 共 18 页 目名称目名称 安全基线编安全基线编 号号 SBL-WebAPP-02-06-01 安全基线项安全基线项 说明说明 合理进行横向访问控制，不允许用户访问其他用户的敏感数据。 检测操作步检测操作步 骤骤 了解是否存在敏感信息，检查是否对个人敏感信息进行了有效保护 基线符合性基线符合性 判定依据判定依据 用户不得跨权限查看其它用户受保护敏感信息 备注备注 2.7 敏感资源的访问敏感资源的访问 安全基

9、线项安全基线项 目名称目名称 Web 应用敏感资源访问安全基线要求项 安全基线编安全基线编 号号 SBL-WebAPP-02-07-01 安全基线项安全基线项 说明说明 需要限制对敏感资源的访问，例如后台管理，日志记录等。 检测操作步检测操作步 骤骤 检查服务器的文件是否存在敏感资源，测试是否限制了这些资源的访问。 基线符合性基线符合性 判定依据判定依据 对敏感资源的访问应当受控。 备注备注 WEB 应用安全配置基线 第 8 页 共 18 页 第第 3 章章会话管理会话管理 3.1 会话超时会话超时 安全基线项安全基线项 目名称目名称 Web 应用会话超时安全基线要求项 安全基线编安全基线编

10、号号 SBL-WebAPP-03-01-01 安全基线项安全基线项 说明说明 当用户长时间不操作时，系统自动终止超时会话。 检测操作步检测操作步 骤骤 登录系统后不操作，等待合理的时间间隔。 基线符合性基线符合性 判定依据判定依据 要求预先设计的时间间隔后查看页面自动中止超时会话。 备注备注 3.2 会话终止会话终止 安全基线项安全基线项 目名称目名称 Web 应用会话终止安全基线要求项 安全基线编安全基线编 号号 SBL-WebAPP-03-02-01 安全基线项安全基线项 说明说明 系统需提供“退出”功能，允许用户强制终止当前的会话。 检测操作步检测操作步 骤骤 登录系统后点击系统提供的“

11、退出”功能，然后在同一 IE 窗口下视图回退 到登录后的页面，并访问相应的功能 基线符合性基线符合性 判定依据判定依据 点击退出后，上述检测操作结果不成功 备注备注 3.3 会话标识会话标识 安全基线项安全基线项 目名称目名称 Web 应用会话标识安全基线要求项 安全基线编安全基线编 号号 SBL-WebAPP-03-03-01 WEB 应用安全配置基线 第 9 页 共 18 页 安全基线项安全基线项 说明说明 会话标识必须足够随机，防止攻击者猜测标识或依据当前标识推导后续的标 识。 检测操作步检测操作步 骤骤 检查多个会话标识的格式。 基线符合性基线符合性 判定依据判定依据 多个会话标识不得

12、存在简单明了的逻辑关系，要求具有随机性 备注备注 3.4 会话标识复用会话标识复用 安全基线项安全基线项 目名称目名称 Web 应用会话标识复用安全基线要求项 安全基线编安全基线编 号号 SBL-WebAPP-03-04-01 安全基线项安全基线项 说明说明 用户登录后必须分配新的会话标识，不能继续使用用户未登录前所使用的标 识。 检测操作步检测操作步 骤骤 检查登录前后是否使用相同的会话标识。 基线符合性基线符合性 判定依据判定依据 用户登录后必须分配新的会话标识，不能继续使用用户未登录前所使用的标 识。 备注备注 WEB 应用安全配置基线 第 10 页 共 18 页 第第 4 章章代码质量

13、代码质量 4.1 防范跨站脚本攻击防范跨站脚本攻击 安全基线项安全基线项 目名称目名称 Web 应用防范跨站脚本安全基线要求项 安全基线编安全基线编 号号 SBL-WebAPP-04-01-01 安全基线项安全基线项 说明说明 系统要防止将用户输入未经检查就直接输出到用户浏览器，防范跨站脚本攻 击。 检测操作步检测操作步 骤骤 检查系统是否存在跨站脚本攻击漏洞。例如在能够回显的输入框输入 alert(“xss”) 基线符合性基线符合性 判定依据判定依据 要求系统能够将输入内容中的控制字当作纯文本内容处理 备注备注 4.2 防范防范 SQL 注入攻击注入攻击 安全基线项安全基线项 目名称目名称

14、Web 应用防范 SQL 注入安全基线要求项 安全基线编安全基线编 号号 SBL-WebAPP-04-02-01 安全基线项安全基线项 说明说明 系统要防止将用户输入未经检查就用于构造数据库查询，防范 SQL 注入攻 击。 检测操作步检测操作步 骤骤 检查系统是否存在 SQL 注入漏洞。例如在输入框中输入 基线符合性基线符合性 判定依据判定依据 系统要使用诸如 prepared statement 等方式防止 SQL 注入，将输入内容中的 控制字也当作纯文本处理 备注备注 4.3 防止路径遍历攻击防止路径遍历攻击 安全基线项安全基线项 目名称目名称 Web 应用防范路径遍历安全基线要求项 WE

15、B 应用安全配置基线 第 11 页 共 18 页 安全基线编安全基线编 号号 SBL-WebAPP-04-03-01 安全基线项安全基线项 说明说明 系统要防止将用户输入未经检查就用于构造文件路径，防止路径遍历攻击。 检测操作步检测操作步 骤骤 尝试在 URL 与输入中构造文件路径并查看页面反应 基线符合性基线符合性 判定依据判定依据 不允许通过构造文件路径的方式直接查看文件 备注备注 4.4 防止命令注入攻击防止命令注入攻击 安全基线项安全基线项 目名称目名称 Web 应用防范命令注入安全基线要求项 安全基线编安全基线编 号号 SBL-WebAPP-04-04-01 安全基线项安全基线项 说

16、明说明 系统要防止将用户输入未经检查就用于构造操作系统命令并执行。 检测操作步检测操作步 骤骤 尝试在各个输入点进行命令注入攻击 基线符合性基线符合性 判定依据判定依据 命令注入攻击不得成功 备注备注 4.5 防止其他常见的注入攻击防止其他常见的注入攻击 安全基线项安全基线项 目名称目名称 Web 应用防范其它注入安全基线要求项 安全基线编安全基线编 号号 SBL-WebAPP-04-05-01 安全基线项安全基线项 说明说明 防止系统存在 LDAP 注入、XML 注入、XPATH 注入、SMTP 注入等漏洞。 检测操作步检测操作步 骤骤 尝试在各个输入点进行其它常见注入攻击 基线符合性基线符合性 判定依据判定依据 各类注入攻击不得成功 备注备注 WEB 应用安全配置基线 第 12 页 共 18 页 4.6 防止下载敏感资源文件防止下载敏感资源文件 安全基线项安全基线项 目名称目名称 Web 应用防范下载漏洞安全基线要求项 安全基线编安全基线编 号号 SBL-WebAPP-04-06-01 安全基线