APP测试方案.docx

APP测试方案
移动APP安全评估
范围
开发单位统筹建设的1款移动APP软件（包括APP内嵌的安卓版和IOS版应用）以及APP管理平台。
实施内容
随着互联网时代的到来，智能手机和iPad等移动终端设备越来越普及，人们逐并由省重点实验室的专家团队负责实施过程中技术问题的咨询与指导。由一名具有10年以上信息安全方面工作经验的高级工程师作为项目经理，具体负责该团队工作分工、工作的质量及进度控制，并与开发单位信息中心的联系人第一时间沟通安全服务中发现的问题以及整改的相关建议。云平台安全核查的人员安排如表所示：
人员安排一览表
姓名
职务
分工
所属机构
陈力帅
组长
实施计划和实施方案
安全检查组
朱晨鸣
组员
移动APP软件安卓版安全检测
姓名
职务
分工
所属机构
严丹
组员
移动APP软件IOS版安全检测
闻宏强
组员
APP管理平台安全评估方案
鲍克
组员
APP管理平台安全评估
赖海超
组员
拟对开发单位统筹建设的1款APP移动软件（包含APP内嵌的安卓版和IOS版应用）进行安全检测，检测其SQL注入、中间件/Server漏洞、XSS盲打后台、远程代码执行、接口权限控制、敏感文件备份、越权操作、弱口令等；对APP管理平台进行安全评估，评估其在身份标识和鉴别机制、授权访问和控制功能、安全审计功能、输入输出的数据验证功能、系统自动保护功能、会话管理等方面的安全控制措施，提供整改意见并出具检测报告。
移动APP软件
拟从安全检测、风险评估和漏洞扫描三方面对移动APP软件进行安全评估。
安全检测
安全检测是为了查看apk应用内部行为是否符合安全规范，这些内部行为可能导致信息泄露、权限混乱、带有敏感内容、带有病毒或者广告等，具体见表。
安全检测一览表
风险评估
检测apk当前的实现可能面临的外部攻击风险，此类风险是目前apk应用环境中常见的安全隐患，可以利用其进行二次打包，盗取敏感数据等非法操作，具体见表。
风险评估一览表
漏洞扫描
分析apk在业务实现中可被利用的技术漏洞，黑客可以通过这些漏洞直接对应用进行攻击，越权操作，破坏应用等，。
漏洞扫描一览表
APP管理平台
依据《GB/T18336 信息技术 安全技术 信息技术安全性评估准则》和GB/T 22239-2008 《信息安全技术 信息系统安全等级保护基本要求》检测APP管理平台在身份标识和鉴别机制、口令复杂度检查功能、登陆失败处理功能、授权访问和控制功能、敏感信息标记功能、安全审计功能、输入输出的数据验证功能、系统自动保护功能、敏感数据传输和存储过程中的加密功能、配置管理、会话管理、异常管理等十二方面的安全控制措施。具体见表。
APP管理平台检测一览表
序号
测评指标
测评项
检查方法
1
身份
鉴别
a) 应提供专用的登录控制模块对登录用户进行身份标识和鉴别；
a) 检查应用是否有登陆模块；
b) 检查用户是否可通过该模块进行身份鉴别。
序号
测评指标
测评项
检查方法
b) 应提供用户身份标识唯一检查功能，保证应用系统中不存在重复用户身份标识。
a) 向管理员询问用户的唯一身份标识符，并新建一个与现有用户身份标识符重复的用户。
2
口令复杂度检查
a）应提供用户身份鉴别信息复杂度检查功能，保证应用系统中身份鉴别信息不被冒用。
a) 检查用户口令是否有复杂度要求；
3
鉴别失败
a) 应提供登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施。
a) 输入错误口令，检查登录失败的处理方式；
b) 访谈管理员多次登录失败后的处理措施并验证；
c) 访谈管理员系统是否提供超时退出功能并验证。
4
访问
控制
a) 应提供访问控制功能，依据安全策略控制用户对文件、数据库表等客体的访问；
检查是否提供访问控制权限配置模块；
b) 访问控制的覆盖范围应包括与资源访问相关的主体、客体以及它们之
检查访问控制覆盖范围是否包括所有用户、功能模块；
序号
测评指标
测评项
检查方法
间的操作；
c) 应由授权主体配置访问控制策略，并严格限制默认账户的访问权限；
a) 检查应用的系统的权限分配策略是否由系统管理员完成；
b) 检查新建账户的权限；
d) 应授予不同账户为完成各自承担任务所需的最小权限，并在它们之间形成相互制约的关系。
a) 检查系统管理员与普通用户的权限是否互相制约，是否可根据角色为账户授权。
5
安全审计
a) 应提供覆盖到每个用户的安全审计，对应用系统重要事件进行审计；
a) 检查系统是否提供日志记录