《网络安全测试方案》由会员分享，可在线阅读，更多相关《网络安全测试方案（21页珍藏版）》请在金锄头文库上搜索。
1、第1章内网安全测试1.1 基础安全端口隔离MAC安全IP绑定ARP绑定1.2身份认证AAA802.1XPPPOEPotal、CTP、认证代理1.3内网准入控制 （盈高解决方案）Pc状态检测（）主机外设控制第2章 安全设备测试方案一防火墙、AC、安全网关、IPS、UTM2.1功能测试基本功能测试默认安全规则功能验证测试目的测试设备是否支持基本功能测试条件1、设备上电启动正常；2、通过直连网线将设备 LAN 口与PC相连。测试过程1、设备开启防火墙功能；2、 查看从内向外的 ping、web或tel net、DNS业务是否正常。3、 查看从外向内的 ping、web或tel net、DNS业务是否
2、正常。预期结果1、步骤2中，ping、tel net、web业务均正常；2、步骤3中，ping、tel net、web业务均不正常；其它说明和注意事项本测试任务测试防火墙对 ICMP TCP udp等处理行为测试结果TCP状态检测功能测试测试目的测试TCP状态检测功能测试条件1在防火墙上配置安4规则，允许从 PC到PC2勺HTT协议报文通过（默认高级别到2、PC向PC请求HTT页面，可以得到结果1;3、使用相关命令查看防火墙的conn或session表信息，可以得到结果2；4、关闭IE，断开web连接，再查看防火墙session表信息，可以得到结果3；预期结果5、PC向PC发起FTF请求，可以
3、得到结果4。1、PC可以通过防火墙正常访问HTT页面;2、可以看到防火墙上建立了 HTTP session表项;3、防火墙上session表项已经删除;4、默认开启ftp深度检测ALG UFTF请求能成功建立,其它说明和注意事项pc2下载安装好HTT和FTP服务软件测试结果1按照网络拓扑进行组网，将终端 PC接口加入防火墙Inside域，将终端PC接口加入防火墙outside域;2、在 PC上开启 HTTP server 和 FTP server。测试过程低级别为允许）；UDP状态检测功能测试测试目的测试udp状态检测功能测试条件1、按照网络拓扑进行组网，将终端 PC接口加入防火墙Inside
4、域，将终端PC接口加入防火墙outside域；2、在PC上开启系统DNS server测试过程1在防火墙上配置安全规则，允许从 PC到PC2勺UD协议报文通过（默认高级别到低级别为允许）；2、 PC1配置IP地址、DNS地址（为PC2的IP ）后，在CMD命令行中执行nslookup （PC中有DN映射），是否得到dns映射中的IP;结果13、使用相关命令查看防火墙的conn或session表信息，可以得到结果2；4、关闭CMD再查看防火墙session表信息，可以得到结果3;预期结果1、PC可以得到DN映射的IP2、可以看到防火墙上建立了 UDP session表项； 3、防火墙上仍存在s
5、ession表项；等待空闲时间超时再删除。其它说明和注意事项pc2系统为服务版，安装好DN服务并建立DN映射测试结果支持sessiodi接数的限制测试目的验证防火墙设备支持 Sessions连接数的控制测试条件1、设备上电启动正常；2、PC和PC互联到防火墙，防火墙作为网关与公网相连；4、PC1和PC均能访问公网应用FTP http、qq、迅雷等。测试过程1、针对PC不开启Sessions数控制，观察Sessions建立的状况及数值，得出结果1；2、开启防火墙的Sessions数控制的设置，针对PC设置数值为10个；观察Sessions建立的状况及数值，得岀结果2；预期结果1、结果1: Ses
6、sinos连接可以正常建立；2、结果2： Sessinos连接控制在10个以内。其它说明和注意事项测试结果ICMP状态检测功能测试测试目的测试是否支持ICMP状态检测功能测试条件入防火墙outside域;测试过程1在防火墙上配置安全规则，允许从 PC到PC2勺ICM协议报文通过（默认高级别到1按照网络拓扑进行组网，将终端 PC接口加入防火墙Inside域，将终端PC接口加低级别为允许）；2、未开启icmp状态检测，PC 1向PCping包，可以得到结果1;3、开启icmp状态检测，PC 1向PC 2发ping包，可以得到结果2;4、使用相关命令查看防火墙的session表信息，可以得到结果3；
7、5、PC 2向PC 1发ping包，可以得到结果4。6、在防火墙上配置AC允许outside 到Inside的ICM助、议报文，PC 2向PC 1发ping包,可以得到结果5.预期结果其它说明和注意事项1、PC不可以 ping 通PC22、PC可以 ping 通PC23、未开启，则防火墙上建立不了真正session表项；开启则建立状态表项4、PC不能ping 通PC15、PC富Eping 通PC1过程当中，开启相关的抓包软件，看数据报文结构。测试结果NAT功能测试测试目的测试是否支持NAT功能测试条件1、设备上电启动正常；2、通过直连网线将设备LAN口与P（相连。测试过程1、防火墙配置为路由模
8、式，配置好相应的 DPAT/DNA策略2、配置终端内部的IP地址段等参数；3、连接到Inside 口的PC机，P（是否可以正常访问外部的服务器；4、防火墙内部放置一台Web Server，在防火墙上进行相应的SNAT/SPA地址映射设置；5、通过外网用户访问 Web Server，观察是否成功。6、在防火墙上配置好AC策略，放通outside 到inside的访问流量，再看外网用户访问Web Server，观察是否成功。预期结果1、步骤3中，Inside 口的PC机可以正常上网，同时通过外部服务器上的抓包， 看到NAT!的地址；2、步骤5中，外网用户不可以访问内网 Web Server，3、
9、步骤6中，外网用户可以成功访问内网 Web Server，同时通过内部PCk的捉包， 看到NAT!的地址。其它说明和注意事项开启 NAT-control测试结果用户认证功能测试测试目的测试是否支持用户认证功能以及 AAA功能测试条件1按照网络拓扑进行组网，配置防火墙接口，如IP地址、安全区域、安全级别等;2、P（安装Radius服务器（cisco ACS 软件）。1在防火墙中PC访问PC2勺安全策略中引用CT用户认证功能；Vi测试过程2、 防火墙配置好认证方式（Radius）;如：AAA勺IP、安全协议、KEY等3、PC1访问PC2记录防火墙CT认证过程4、尝试使用防火墙的其他认证方式：本地
10、D欧证5、在AAA艮务器里配置下发ACL控制PC能访问PC的telnet ,其他不能访问6、防火墙上开启计费功能。预期结果1、 PC通过Radius认证或本地D欧证才能访问PC的资源。2、认证通过后，AAA艮务器下发ACL给防火墙并控制了除telnet以外的流量3、AAA艮务器上记录了防火墙的流量信息其它说明和注意事项可以使用radius或tacacs+测试结果脚本过滤功能测试测试目的测试是否支持基于脚本的内容过滤功能测试条件1设备上电启动正常；2、通过直连网线将终端LAN 口与PC机以太网接口连接。测试过程1配置终端和PC使P（能上网浏览；2、防火墙上启用针对ActiveX、Java脚本的过
11、滤功能；3、查看是否可以成功过滤ActiveX和Java脚本。预期结果1可以成功过滤ActiveX和Java脚本。其它说明和注意事项测试结果支持应用控制测试目的验证ASAK sinfor AC设备支持应用控制测试条件1设备上电启动正常；2、PC和PC互联到A（设备，AC乍为网关与公网相连；4、PC1和PC均能访问公网应用FTP http、qq、迅雷等。测试过程1开启AC勺应用控制设置，针对PC1地址只能Q（和http ,2、开启AC勺应用控制设置,针对PC2地址能访问QQ http、迅雷等，但设置其HTTP下载速率低于40kBytes/s ；3、开启A0勺应用控制设置，针对PC和PC地址禁止搜
12、索美女、性等关键字。预期结果1 PC只能访问 QQAHTTP2、PC能访问所有的公网应用，而且HTT下载速度得到设置3、PC和PC不能搜索美女、性等关键字。其它说明和注意事项需要下载sinfor设备AC配置手册测试结果URL过滤测试目的考察UT的UR过滤功能测试条件1、P（终端上电启动正常；2、P（终端通过防火墙隔离与Internet相通。测试过程1、配置终端和PC使P（能上网浏览；2、UT启用黑名单并添加UR关键字，如“ sina ”；3、在浏览器内分别输入URL包含“ sina ”和不包含“ sina ”的网址，浏览网络；4、UT启用内容过滤功能，如“邪教”等；5、在PC上访问baidu，
13、并输入“邪教”进行搜索；6、查看访问URL的信息统计。预期结果1、步骤3中，P（无法浏览UR包含“sina ”的网页，可正常访问其他网页；2、步骤5中，P（无法浏览网页；3、步骤6中，能针对所有URL进行访问次数的统计、能针对特定IP用户对UR访问的 信息统计、能针对用户对特定URL访问次数的统计。其它说明和注意事项无测试结果IM/P2P控制功能测试目的验证AC设备应用控制功能测试条件1、设备上电启动正常；2、设备串接在PC与Internet间，PC能正常访问Internet 。测试过程1、在AC上开启应用控制功能；2、在线下载并更新特征库；3、分别安装QQ MSNBT eDonkey Sky
14、pe等应用软件的最新版本；4、为各应用软件设置相应的策略（如禁止 QQ MSN允许BT eDonkey上班时全部禁止QQ MSN BT eDonkey Skype等操作；针对特定IP地址允许QQ MSN BT eDonkey Skype等操 作）；5、记录AC寸应用程序控制的手段（限速、阻断或均支持）。预期结果1、下载特征库成功，不需要重启设备；2、更新特征库同时不影响业务；3、从日志信息中可以看到相应策略的执行记录；4、按照预设策略执行操作。其它说明和注意事项需要下载sinfor设备AC配置手册测试结果2层13层功能支持测试路由协议支持测试目的测试防火墙对路由协议的支持能力测试条件1按上图组网连接好设备；讣预期结果其它说明和注意事项测试过程2、在防火墙设备上配置RIP V1 V2、OSPFBGP（可选）等动态路由，设置全通策略;3、Router （inside区）配置好相应的RIP V1 V2、OSPF BG等动态路由；4
