GB/TXXXXX—XXXX信息安全技術Web應用安全檢測系統安全技術要求和測試評價方法范圍本標準規定了Web應用安全檢測系統的安全技術要求、測試評價方法及等級劃分要求。本標準適用于Web應用安全檢測系統的開發及檢測。規范性引用文件下列文件對于本文件的應用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。GB/T18336.3-2015信息技術安全技術信息技術安全性評估準則第3部分：安全保障組件GB/T25069-2010信息安全技術術語術語和定義GB/T25069界定的以及下列術語和定義適用于本文件。3.1Web應用安全檢測系統webapplicationsecurityscanningsystem一種掃描發現Web系統應用層安全漏洞的產品，能夠依據策略對Web應用系統進行URL發現并掃描，對發現的安全漏洞提出相應的改進意見。3.2Web應用Webapplication由動態腳本、編譯過的代碼等組合而成的應用，通常架設在Web服務器上，用戶在Web瀏覽器上發送請求，這些請求使用HTTP協議，經過網絡和Web應用交互，由Web應用和后臺的數據庫及其他動態內容通信。3.3URL發現URLdetection通過訪問一個URL，發現通過該URL能夠鏈接到的其他URL的過程，能夠發現的URL包括在網頁中出現的完整的URL、通過各種計算得出的URL、各種跳轉的URL等。3.4Web服務WebService一個基于WSDL文件的應用程序，向外界提供一個能夠通過Web進行調用的API。WebService描述語言(WSDL)是一個基于XML的語言，用于描述WebService及其函數、參數和返回值。3.5SQL注入SQLinjection通過構造特定的輸入字符串實現對Web應用系統后臺數據庫的非法操作。3.6Cookie注入cookieinjection通過構造特定的Cookie值實現對Web應用系統后臺數據庫的非法操作。3.7跨站攻擊crosssitescripting指將惡意腳本隱藏在用戶提交的數據中，實現篡改服務器正常的響應頁面。3.8跨站請求偽造crosssiterequestforgery通過偽裝來自受信任用戶的請求來利用受信任的Web系統來完成一定的操作。3.9文件包含fileinclusion一種通過Web應用腳本特性（函數）去包含任意文件時，由于要包含的這個文件來源過濾不嚴，從而可以去包含一個惡意文件來達到非法操作。3.10命令執行commandexecution由于服務器端沒有針對執行函數做過濾，導致客戶端可以提交惡意構造語句提交來執行系統命令的非法操作。3.11LDAP注入LDAPInjection通過用戶提供的輸入來構造輕量級目錄訪問控制語句，從而攻擊Web應用。3.12XPath注入XPathInjection由用戶提供的輸入構造XPath查詢，從而攻擊Web應用。3.13變形檢測deformationdetection一種通過編碼、請求包變化等方法，實現繞過防護過濾的機制。3.14誤報率falsepositiverate產品判斷錯誤的漏洞數量占所有發現到的同類型漏洞總數的比例。例如被產品錯誤判斷為存在SQL注入漏洞的網頁占發現的全部存在SQL注入漏洞的網頁的比例。3.15漏報率falsenegativerate產品未發現的漏洞數量占掃描范圍內實際同類型漏洞總數的比例。例如產品未發現的SQL注入點占掃描范圍內實際注入點總數的比例?？s略語CSRF：跨站請求偽造（CrossSiteRequestForgery)HTTP：超文本傳輸協議（HyperTextTransferProtocol）HTTPS：安全超文本傳輸協議（HypertextTransferProtocoloverSecureSocketLayer）LDAP：輕量目錄訪問協議（LightweightDirectoryAccessProtocol）OWASP：開放式網頁應用程序安全項目（OpenWebApplicationSecurityProject）SQL：結構化查詢語言（StructuredQueryLanguage）SSL：安全套接層（SecureSocketsLayer）URL：統一資源定位符，也稱網頁地址（UniversalResourceLocator）WSDL：web服務描述語言（WebServicesDescriptionLanguage）XSS：跨站腳本（CrossSiteScripting）安全技術要求總體說明Web應用安全檢測系統描述Web應用安全檢測系統的目的就是幫助用戶充分了解Web應用存在的安全隱患，建立安全可靠的Web應用服務，改善并提升應用系統抗各類Web應用攻擊的能力（如：注入攻擊、跨站腳本、文件包含和信息泄漏等）。Web應用安全檢測系統架構如圖1所示：圖1Web應用安全檢測系統架構圖檢測模塊系統核心模塊。掃描開始后，向掃描引擎發送指令，掃描選中對象目標，收集正確的掃描信息，同時可以把掃描引擎返回的掃描結果展示給用戶。2）報表管理對掃描結果進行分析處理，提供詳細的檢測掃描報告，對所有漏洞進行詳盡描述，以及相應的修復和改進建議。3）策略管理提供Web應用安全檢測系統的策略庫，能夠按照漏洞類型、類別和危害程度等進行分類。同時，可支持漏洞策略的自定義擴展。4）用戶管理對系統的用戶角色和權限進行分配管理。5）任務設置用以創建和定制掃描任務，能夠按照計劃任務啟動掃描，可進行掃描暫停、重新掃描和移除掃描任務等操作。6）系統設置對系統進行設置，包括系統安全設置、更新管理和絡鏈接設置等。要求分類本標準將Web應用安全檢測系統安全技術要求分為安全功能、安全保障和性能要求三個大類。其中，安全功能要求是對Web應用安全檢測系統應具備的安全功能提出具體要求，主要包括掃描能力、掃描配置管理和掃描結果分析處理等；安全保障要求針對Web應用安全檢測系統的開發過程和文檔內容提出具體的要求，例如開發、指導性文檔、生命周期支持和測試等；性能要求則是對Web應用安全檢測系統應達到的性能指標作出規定，包括誤報率、漏報率和URL發現率。安全等級本標準按照Web應用安全檢測系統安全功能的強度劃分安全功能要求的級別，參照GB/T

18336.3-2015劃分安全保障要求的級別。安全等級分為基本級和增強級，如表1、表2所示。安全功能強弱和安全保障要求高低是等級劃分的具體依據。安全等級突出安全特性，性能要求不作為等級劃分依據。與基本級內容相比，增強級中要求有所增加或變更的內容在正文中通過“宋體加粗”表示。安全功能要求等級劃分表安全功能基本級增強級掃描能力資源發現***漏洞檢測***變形檢測——*狀態監測——**內容檢測——*升級能力***支持SSL應用**WebService支持——*對目標系統的影響**掃描配置管理向導功能**掃描范圍***登錄掃描**掃描策略策略選擇***策略擴展——*掃描速度***任務定制***穩定性和容錯性***結果分析處理結果驗證***結果保存**統計分析**報告生成***報告輸出**互動性要求——*標識與鑒別用戶標識屬性定義**屬性初始化**唯一性標識**身份鑒別用戶鑒別**鑒別數據保護**表1（續）安全功能基本級增強級標識與鑒別身份鑒別鑒別失敗處理——*超時鎖定或注銷——*安全管理安全管理功能**安全角色管理***遠程安全傳輸**可信管理主機——*審計日志審計日志生成***審計日志保存**審計日志管理**注：“*”表示具有該要求，“**”表示要求有所增強，“——”表示不適用。安全保障要求等級劃分表安全保障要求基本級增強級開發安全架構**功能規范***實現表示——*產品設計***指導性文檔操作用戶指南**準備程序**生命周期支持配置管理能力***配置管理范圍***交付程序**開發安全——*生命周期定義——*工具和技術——*測試測試覆蓋***測試深度——*功能測試**獨立測試**脆弱性評定***基本級安全要求安全功能要求掃描能力資源發現產品應能夠發現Web應用中的以下各種URL，并以樹型結構呈現。解析和執行JavaScript等腳本而獲得的URL；頁面文件包括的URL；Flash中內嵌的URL。漏洞檢測產品應能夠檢測出Web應用漏洞，包括但不限于以下內容：SQL注入漏洞，支持基于GET、POST方式提交的應包括字符、數字和搜索等的注入漏洞；Cookie注入漏洞，支持基于Cookie方式提交的應包括字符、數字和搜索等的注入漏洞；XSS漏洞，支持基于GET、POST方式的跨站攻擊漏洞；CSRF漏洞；目錄遍歷漏洞；信息泄漏漏洞，支持路徑泄漏、文件備份、源代碼泄漏、目錄瀏覽和phpinfo等信息泄漏；認證方式脆弱，包括但不限于常見的帳號、弱口令等；文件包含漏洞，支持遠程、本地方式的文件包含漏洞。升級能力產品應支持漏洞特征庫的更新能力。支持SSL應用產品應能對基于HTTPS協議的Web應用系統進行掃描。對目標系統的影響產品在掃描過程中應避免影響目標Web應用系統的正常工作，不對其產生較大的性能影響。掃描配置管理向導功能產品應提供向導功能，方便用戶進行配置。掃描范圍產品應能夠按照下列條件配置掃描的范圍：指定域名和URL；掃描的深度；不掃描的URL，例如登出、刪除等相關頁面。登錄掃描產品應能夠基于用戶的登錄信息對Web應用進行掃描。如基于錄制信息、Cookie、Session和Token等一種或多種方式授權登錄并進行掃描。策略選擇產品應能夠按照下列方式來選擇掃描策略：漏洞類型、類別；漏洞危害程度。掃描速度產品應能夠采用配置HTTP請求速度、掃描線程或進程數目等方式調節掃描速度。任務定制產品應能按照計劃任務實現批量啟動掃描，并根據設置自動生成相應的報告。穩定性和容錯性產品應能夠穩定的運行：主界面不應失去響應或非正常退出；掃描進度不應停滯不前；掃描任務應可隨時停止；應支持斷點續掃。掃描結果分析處理結果驗證產品應具備Web應用漏洞驗證的功能，提供參數驗證XSS漏洞、SQL注入點、目錄遍歷、信息泄漏和命令執行等安全漏洞。結果保存掃描結果應非明文存儲于掉電非易失性介質中。統計分析產品應能對掃描獲取的原始數據進行整理，并對結果進行統計分析。報告生成產品應能對掃描結果進行分析并形成報告，報告可分為下列類別:對掃描信息的結果生成相應報告，漏洞信息應包括URL、漏洞名稱、漏洞描述等詳細信息；產品應對漏洞提出相應的安全性建議。報告輸出產品的掃描報告應能按下列要求輸出：導出為常用文檔格式（支持Html、Doc、Pdf其中的一種或幾種）；通過文字、圖表等形式將統計結果展現。標識與鑒別用戶標識屬性定義產品應為每個管理角色規定與之相關的安全屬性，例如管理角色標識、鑒別信息、隸屬組、權限等。屬性初始化產品應提供使用默認值對創建的每個管理角色的屬性進行初始化的能力。唯一性標識產品應為用戶提供唯一標識。同時將用戶的身份標識與該用戶的所有可審計能力相關聯。身份鑒別用戶鑒別產品應在執行任何與管理員相關功能之前鑒別用戶的身份。鑒別數據保護產品應保證鑒別數據不被未授權查閱或修改。安全管理安全功能管理應允許授權管理員對產品進行以下管理：查看安全屬性；修改安全屬性；啟動、關閉全部或部分安全功能；制定和修改各種安全策略。安全角色管理產品應具有至少兩種不同權限的管理員角色，例如操作員、安全員、審計員等。遠程安全傳輸若產品組件間通過網絡進行通訊，應采取措施保障傳輸數據的安全性。審計日志審計日志生成應對與自身安全相關的以下事件生成審計日志：管理員的登錄成功和失敗；對安全策略進行配置的操作；對安全角色進行增加、刪除和屬性修改的操作。產品應在每一個審計日志記錄中記錄事件發生的日期、時間、用戶標識、事件描述和結果。若采用遠程登錄方式對產品進行管理還應記錄管理主機的地址。審計日志保存審計日志應能存儲于永久性存儲介質中。審計日志管理應提供下列審計日志管理功能：只允許授權管理員訪問審計日志；提供針對操作用戶、日期時間和操作類型等條件的查詢和檢索功能；授權管理員應能存檔和導出審計日志。安全保障要求開發安全架構開發者應提供產品安全功能的安全架構描述，安全架構描述應滿足以下要求：與產品設計文檔中對安全功能實施抽象描述的級別一致；描述與安全功能要求一致的產品安全功能的安全域；描述產品安全功能初始化過程為何是安全的；證實產品安全功能能夠防止被破壞；證實產品安全功能能夠防止安全特性被旁路。功能規范開發者應提供完備的功能規范說明，功能規范說明應滿足以下要求：完全描述產品的安全功能；描述所有安全功能接口的目的與使用方法；標識和描述每個安全功能接口相關的所有參數；描述安全功能接口相關的安全功能實施行為；描述由安全功能實施行為處理而引起的直接錯誤消息；證實安全功能要求到安全功能接口的追溯。產品設計開發者應提供產品設計文檔，產品設計文檔應滿足以下要求：根據子系統描述產品結構；標識和描述產品安全功能的所有子系統；描述安全功能所有子系統間的相互作用；提供的映射關系能夠證實設計中描述的所有行為能夠映射到調用它的安全功能接口。指導性文檔操作用戶指南開發者應提供明確和合理的操作用戶指南，操作用戶指南與為評估而提供的其他所有文檔保持一致，對每一種用戶角色的描述應滿足以下要求：描述在安全處理環境中被控制的用戶可訪問的功能和特權，包含適當的警示信息；描述如何以安全的方式使用產品提供的可用接口；描述可用功能和接口，尤其是受用戶控制的所有安全參數，適當時指明安全值；明確說明與需要執行的用戶可訪問功能有關的每一種安全相關事件，包括改變安全功能所控制實體的安全特性；標識產品運行的所有可能狀態（包括操作導致的失敗或者操作性錯誤），以及它們與維持安全運行之間的因果關系和聯系；充分實現安全目的所必須執行的安全策略。準備程序開發者應提供產品及其準備程序，準備程序描述應滿足以下要求：描述與開發者交付程序相一致的安全接收所交付產品必需的所有步驟；描述安全安裝產品及其運行環境必需的所有步驟。生命周期支持配置管理能力開發者的配置管理能力應滿足以下要求：為產品的不同版本提供唯一的標識；使用配置管理系統對組成產品的所有配置項進行維護，并唯一標識配置項；提供配置管理文檔，配置管理文檔描述用于唯一標識配置項的方法。配置管理范圍開發者應提供產品配置項列表，并說明配置項的開發者。配置項列表至少包含產品、安全保障要求的評估證據和產品的組成部分。交付程序開發者應使用一定的交付程序交付產品，并將交付過程文檔化。在給用戶方交付產品的各版本時，交付文檔應描述為維護安全所必需的所有程序。測試測試覆蓋開發者應提供測試覆蓋文檔，測試覆蓋描述應表明測試文檔中所標識的測試與功能規范中所描述的產品的安全功能間的對應性。功能測試開發者應測試產品安全功能，將結果文檔化并提供測試文檔。測試文檔應包括以下內容：測試計劃，標識要執行的測試，并描述執行每個測試的方案，這些方案包括對于其它測試結果的任何順序依賴性；預期的測試結果，表明測試成功后的預期輸出；實際測試結果和預期的測試結果一致。獨立測試開發者應提供一組與其自測安全功能時使用的同等資源，以用于安全功能的抽樣測試。脆弱性評定基于已標識的潛在脆弱性，產品能夠抵抗具有基本攻擊潛力攻擊者的攻擊。增強級安全要求安全功能要求掃描能力資源發現產品應能夠發現Web應用中的以下各種URL，并以樹型結構呈現。a)解析和執行JavaScript等腳本而獲得的URL；b)頁面文件包括的URL；c)Flash、Flex中內嵌的URL。漏洞檢測產品應能夠檢測出Web應用漏洞，包括但不限于以下內容：SQL注入漏洞，支持基于GET、POST方式提交的應包括字符、數字和搜索等的注入漏洞；Cookie注入漏洞，支持基于Cookie方式提交的應包括字符、數字和搜索等的注入漏洞；XSS漏洞，支持基于GET、POST、Referrer和Cookie方式的跨站攻擊漏洞；CSRF漏洞；目錄遍歷漏洞；信息泄漏漏洞，支持路徑泄漏、文件備份、源代碼泄漏、目錄瀏覽和phpinfo等信息泄漏；認證方式脆弱，包括但不限于各種登錄繞過、常見的帳號、弱口令等。文件包含漏洞，支持遠程、本地方式的文件包含漏洞；命令執行漏洞；j) 第三方組件的漏洞，如Struts2、FCKeditor編輯器等；l) LDAP注入漏洞；m) XPath注入漏洞。變形檢測產品應支持漏洞的變形檢測，以此繞過簡單的防護過濾檢測機制。支持包括大小寫隨機轉換、多種繞過空格限制、空格替換和URL編碼等機制。狀態監測檢測目標系統的訪問狀態，包括但不限于對以下非正常狀態進行檢測并評估風險：不可訪問；訪問延遲；域名跳轉變化；域名解析IP變化；被搜索引擎標記為危險的站點。內容檢測檢測目標系統請求返回的內容，對以下非正常的返回內容進行檢測并評估風險：判別內容變更；識別敏感關鍵字。升級能力產品應提供以下升級能力：支持漏洞特征庫的更新；至少采取一種安全機制，保證升級的時效性，例如自動升級，更新通知等手段。支持SSL應用產品應能對基于HTTPS協議的Web應用系統進行掃描。WebService支持產品應能基于WSDL文件，對WebService進行掃描。對目標系統的影響產品在掃描過程中應避免影響目標Web應用系統的正常工作，不對其產生較大的性能影響。掃描配置管理向導功能產品應提供向導功能，方便用戶進行配置。掃描范圍產品應能夠按照下列條件配置掃描的范圍：指定域名和URL；掃描的深度；不掃描的URL，例如登出、刪除等相關頁面；路徑模式排重；路徑模式大小寫區分。登錄掃描產品應能夠基于用戶的登錄信息對Web應用進行掃描。如基于錄制信息、Cookie、Session和Token等一種或多種方式授權登錄并進行掃描。掃描策略策略選擇產品應能夠按照下列方式來選擇掃描策略：漏洞類型、類別；漏洞危害程度；Web系統指紋信息。策略擴展產品應能夠提供第三方插件設計，根據需要可自行編寫漏洞策略，以完善掃描策略。掃描速度產品應提供合理的掃描速度：配置HTTP請求速度、掃描線程或進程數目等方式進行調節；支持分布式部署掃描引擎方式；支持多引擎負載均衡，提高整體的掃描速度。任務定制產品應能按照計劃任務實現批量、定時和周期性啟動掃描，并根據設置自動生成相應的報告。穩定性和容錯性產品應能夠穩定的運行：主界面不應失去響應或非正常退出；掃描進度不應停滯不前；掃描任務應可隨時停止；應支持斷點續掃；在掃描未結束的情況下，可以將已經掃描的部分展示并導出報告。掃描結果分析處理結果驗證產品應具備Web應用漏洞驗證的功能，提供下列驗證能力：提供參數驗證XSS漏洞、SQL注入點、目錄遍歷、信息泄漏和命令執行等安全漏洞；通過SQL注入點獲取后臺數據庫的相關信息。提供輔助工具驗證漏洞。結果保存掃描結果應非明文存儲于掉電非易失性介質中。統計分析產品應能對掃描獲取的原始數據進行整理，并對結果進行統計分析。報告生成產品應能對掃描結果進行分析并形成報告，報告可分為下列類別:對掃描信息的結果生成相應報告，漏洞信息應包括URL、漏洞名稱、漏洞描述等詳細信息；產品應對漏洞提出相應的安全性建議；支持導出行業合規報告，包括但不限于OWASPTOP10等；支持編輯和自定義設計報告，添加自定義注釋或詳細信息，為技術人員修復安全缺陷提供幫助；支持批量導出報告；支持根據橫向、縱向比較的趨勢分析報告。報告輸出產品的掃描報告應能按下列要求輸出：導出為常用文檔格式（支持Html、Doc、Pdf其中的一種或幾種）；通過文字、圖表等形式將統計結果展現?；有砸螽a品應提供或采用一個標準的、開放的接口。遵照該接口規范，可為其它類型安全產品編寫相應的程序模塊，達到與產品進行互動的目的。標識與鑒別用戶標識屬性定義產品應為每個管理角色規定與之相關的安全屬性，例如管理角色標識、鑒別信息、隸屬組、權限等。屬性初始化產品應提供使用默認值對創建的每個管理角色的屬性進行初始化的能力。唯一性標識產品應為用戶提供唯一標識。同時將用戶的身份標識與該用戶的所有可審計能力相關聯。身份鑒別用戶鑒別產品應在執行任何與管理員相關功能之前鑒別用戶的身份。鑒別數據保護產品應保證鑒別數據不被未授權查閱或修改。鑒別失敗處理當對用戶鑒別失敗的次數達到指定次數后，產品應能終止用戶的訪問。超時鎖定或注銷應具有登錄超時鎖定或注銷功能。在設定的時間段內沒有任何操作的情況下，終止會話，需要再次進行身份鑒別才能夠重新操作。最大超時時間僅由授權管理員設定。安全管理安全功能管理產品應允許授權管理員進行以下管理：查看安全屬性；修改安全屬性；啟動、關閉全部或部分安全功能；制定和修改各種安全策略。安全角色管理產品應能對管理員角色進行區分：具有至少兩種不同權限的管理員角色，例如操作員、審計員等；應根據不同的功能模塊，自定義各種不同權限角色，并可對管理員分配角色。遠程安全傳輸若產品組件間通過網絡進行通訊，應采取措施保障傳輸數據的安全性?？尚殴芾碇鳈C若控制臺提供遠程管理功能，應能對可遠程管理的主機地址進行限制。審計日志審計日志生成應對與自身安全相關的以下事件生成審計日志：管理員的登錄成功和失?。粚Π踩呗赃M行配置的操作；對安全角色進行增加、刪除和屬性修改的操作；對掃描結果的備份和刪除。產品應在每一個審計日志記錄中記錄事件發生的日期、時間、用戶標識、事件描述和結果。若采用遠程登錄方式對產品進行管理還應記錄管理主機的地址。審計日志保存審計日志應能存儲于永久性存儲介質中。審計日志管理應提供下列審計日志管理功能：只允許授權管理員訪問審計日志；提供針對操作用戶、日期時間和操作類型等條件的查詢和檢索功能；授權管理員應能存檔和導出審計日志。安全保障要求開發安全架構開發者應提供產品安全功能的安全架構描述，安全架構描述應滿足以下要求：與產品設計文檔中對安全功能實施抽象描述的級別一致；描述與安全功能要求一致的產品安全功能的安全域；描述產品安全功能初始化過程為何是安全的；證實產品安全功能能夠防止被破壞；證實產品安全功能能夠防止安全特性被旁路。功能規范開發者應提供完備的功能規范說明，功能規范說明應滿足以下要求：完全描述產品的安全功能；描述所有安全功能接口的目的與使用方法；標識和描述每個安全功能接口相關的所有參數；描述安全功能接口相關的安全功能實施行為；描述由安全功能實施行為處理而引起的直接錯誤消息；證實安全功能要求到安全功能接口的追溯；描述安全功能實施過程中，與安全功能接口相關的所有行為；描述可能由安全功能接口的調用而引起的所有直接錯誤消息。實現表示開發者應提供全部安全功能的實現表示，實現表示應滿足以下要求：提供產品設計描述與實現表示實例之間的映射，并證明其一致性；按詳細級別定義產品安全功能，詳細程度達到無須進一步設計就能生成安全功能的程度；以開發人員使用的形式提供。產品設計開發者應提供產品設計文檔，產品設計文檔應滿足以下要求：根據子系統描述產品結構；標識和描述產品安全功能的所有子系統；描述安全功能所有子系統間的相互作用；提供的映射關系能夠證實設計中描述的所有行為能夠映射到調用它的安全功能接口；根據模塊描述安全功能；提供安全功能子系統到模塊間的映射關系；描述所有安全功能實現模塊，包括其目的及與其它模塊間的相互作用；描述所有實現模塊的安全功能要求相關接口、其它接口的返回值、與其它模塊間的相互作用及調用的接口；描述所有安全功能的支撐或相關模塊，包括其目的及與其它模塊間的相互作用。指導性文檔操作用戶指南開發者應提供明確和合理的操作用戶指南，操作用戶指南與為評估而提供的其他所有文檔保持一致，對每一種用戶角色的描述應滿足以下要求：描述在安全處理環境中被控制的用戶可訪問的功能和特權，包含適當的警示信息；描述如何以安全的方式使用產品提供的可用接口；描述可用功能和接口，尤其是受用戶控制的所有安全參數，適當時指明安全值；明確說明與需要執行的用戶可訪問功能有關的每一種安全相關事件，包括改變安全功能所控制實體的安全特性；標識產品運行的所有可能狀態（包括操作導致的失敗或者操作性錯誤），以及它們與維持安全運行之間的因果關系和聯系；充分實現安全目的所必須執行的安全策略。準備程序開發者應提供產品及其準備程序，準備程序描述應滿足以下要求：描述與開發者交付程序相一致的安全接收所交付產品必需的所有步驟；描述安全安裝產品及其運行環境必需的所有步驟。生命周期支持配置管理能力開發者的配置管理能力應滿足以下要求：為產品的不同版本提供唯一的標識；使用配置管理系統對組成產品的所有配置項進行維護，并唯一標識配置項；提供配置管理文檔，配置管理文檔描述用于唯一標識配置項的方法；配置管理系統提供一種自動方式來支持產品的生成，通過該方式確保只能對產品的實現表示進行已授權的改變；配置管理文檔包括一個配置管理計劃，配置管理計劃描述如何使用配置管理系統開發產品。實施的配置管理與配置管理計劃相一致；配置管理計劃描述用來接受修改過的或新建的作為產品組成部分的配置項的程序。配置管理范圍開發者應提供產品配置項列表，并說明配置項的開發者。配置項列表應包含以下內容：產品、安全保障要求的評估證據和產品的組成部分；實現表示、安全缺陷報告及其解決狀態。交付程序開發者應使用一定的交付程序交付產品，并將交付過程文檔化。在給用戶方交付產品的各版本時，交付文檔應描述為維護安全所必需的所有程序。開發安全開發者應提供開發安全文檔。開發安全文檔應描述在產品的開發環境中，為保護產品設計和實現的保密性和完整性所必需的所有物理的、程序的、人員的和其他方面的安全措施。生命周期定義開發者應建立一個生命周期模型對產品的開發和維護進行的必要控制，并提供生命周期定義文檔描述用于開發和維護產品的模型。工具和技術開發者應明確定義用于開發產品的工具，并提供開發工具文檔無歧義地定義實現中每個語句的含義和所有依賴于實現的選項的含義。測試測試覆蓋開發者應提供測試覆蓋文檔，測試覆蓋描述應滿足以下要求：表明測試文檔中所標識的測試與功能規范中所描述的產品的安全功能間的對應性；表明上述對應性是完備的，并證實功能規范中的所有安全功能接口都進行了測試。測試深度開發者應提供測試深度的分析。測試深度分析描述應滿足以下要求：證實測試文檔中的測試與產品設計中的安全功能子系統和實現模塊之間的一致性；證實產品設計中的所有安全功能子系統、實現模塊都已經進行過測試。功能測試開發者應測試產品安全功能，將結果文檔化并提供測試文檔。測試文檔應包括以下內容：測試計劃，標識要執行的測試，并描述執行每個測試的方案，這些方案包括對于其它測試結果的任何順序依賴性；預期的測試結果，表明測試成功后的預期輸出；實際測試結果和預期的測試結果一致。獨立測試開發者應提供一組與其自測安全功能時使用的同等資源，以用于安全功能的抽樣測試。脆弱性評定基于已標識的潛在脆弱性，產品能夠抵抗具有增強型基本攻擊潛力的攻擊者的攻擊。性能要求誤報率在已知漏洞的Web應用環境下，對產品的誤報情況進行測試。產品判斷錯誤的漏洞數量占所有發現到的同類型漏洞總數的比例須低于20%。漏報率在已知漏洞的Web應用環境下，對產品的漏報情況進行測試。產品未發現的漏洞數量占掃描范圍內實際同類型漏洞總數的比例須低于20%。URL發現率在已知URL的Web應用環境下,對產品在掃描過程中發現的URL數目進行測試，URL發現比例應大于90%。測試評價方法測試環境Web應用安全檢測系統安全功能及性能測試環境可參見圖2所示。需按照.1、.2、.1和.2的要求部署漏洞測試環境。漏洞環境部署參考示例：針對網絡爬蟲設置了Web2.0、flash的解析障礙，提供用戶登陸模塊來測試檢測系統是否支持cookie錄制，漏洞包含SQL錯誤注入、跨站腳本、CSRF、目錄遍歷、代碼注入、命令注入、SQL盲注、Cookie注入、表單繞過、弱口令、第三方軟件、信息泄漏、Xpath注入、目錄瀏覽、腳本木馬、敏感文件等。針對每種漏洞提供漏洞URL和參數以便統計誤報率和漏報率。圖2安全功能與性能測試環境圖基本級安全要求測試安全功能測試掃描能力資源發現資源發現的測試方法與預期結果如下：測試方法：配置產品掃描Javascript腳本的頁面地址，查看掃描結果；配置產品掃描包括頁面文件的URL地址，查看掃描結果；配置產品掃描內嵌URL的Flash地址，查看掃描結果。預期結果：產品能夠解析和執行Javascript腳本，獲取相應URL并以樹型結構呈現；產品能夠獲取頁面文件內包括的URL并以樹型結構呈現；產品能夠獲取Flash中內嵌的URL并以樹型結構呈現。漏洞檢測漏洞檢測的測試方法與預期結果如下：測試方法：配置產品掃描策略，執行對Web應用漏洞平臺（部署SQL注入、cookie注入、XSS、CSRF、目錄遍歷、信息泄露、認證方式脆弱性和文件包含等漏洞）的掃描任務；查看掃描結果。預期結果：產品能夠發現基于Get、Post方式提交的字符、數字、搜索等的SQL注入漏洞；產品能夠發現基于Cookie方式提交的字符、數字、搜索等的Cookie注入漏洞；產品能夠發現基于Get、Post方式的XSS漏洞；產品能夠發現基于CSRF漏洞；產品能夠發現目錄遍歷漏洞；產品能夠發現路徑泄漏、文件備份、源代碼泄漏、目錄瀏覽和phpinfo等信息泄露；產品能夠發現常見的帳號、弱口令等認證方式脆弱漏洞；產品能夠發現文件包含漏洞。升級能力升級能力的測試方法與預期結果如下：測試方法：檢查產品是否具備漏洞特征庫的更新能力；預期結果：產品支持漏洞特征庫的更新功能。支持SSL應用支持SSL應用的測試方法與預期結果如下：測試方法：配置產品掃描基于HTTPS協議的Web應用系統；查看掃描結果。預期結果：產品支持掃描基于HTTPS協議的Web應用系統。對目標系統的影響對目標系統的影響的測試方法與預期結果如下：測試方法：配置產品對Web應用系統進行掃描；檢查產品在掃描過程中，是否對Web應用系統和正常訪問造成明顯的性能影響。預期結果：產品在掃描過程中未對Web應用系統和正常訪問造成明顯的性能影響。掃描配置管理向導功能向導功能的測試方法與預期結果如下：測試方法：檢查產品在配置過程中是否提供了向導功能。預期結果：產品在配置過程中提供了向導功能。掃描范圍掃描范圍的測試方法與預期結果如下：測試方法：配置掃描策略，分別制定掃描的URL范圍，包括指定域名和URL，查看掃描結果；配置掃描的深度，查看掃描結果；配置不掃描的URL（例如登出、刪除等頁面），查看掃描結果。預期結果：產品能夠根據指定域名和URL進行掃描，且掃描結果未超出定義的范圍；產品能夠配置掃描的深度，且掃描結果未超出定義的深度范圍；產品能夠配置不掃描的URL，且掃描結果未包括設定的URL地址。登錄掃描登錄掃描的測試方法與預期結果如下：測試方法：配置登錄掃描的策略，查看掃描結果。預期結果：產品支持基于用戶的登錄信息（如基于Cookie、Session、Token、錄制的登錄信息等一種或多種方式）對Web應用進行掃描，并掃描結果包括登錄后的頁面。策略選擇策略選擇的測試方法與預期結果如下：測試方法：根據漏洞類型、類別配置產品的掃描策略，查看掃描結果；根據漏洞危害程度配置產品的掃描策略，查看掃描結果。預期結果：產品能夠根據漏洞類型對Web應用系統進行掃描，且掃描結果未超出定義的范圍；產品能夠根據漏洞危害程度對Web應用系統進行掃描，且掃描結果未超出定義的范圍。掃描速度掃描速度的測試方法與預期結果如下：測試方法：檢查產品是否能夠根據HTTP請求速度、掃描線程或進程數目等調節掃描速度。預期結果：產品能夠根據HTTP請求速度、掃描線程或進程數目等調節掃描速度。任務定制任務定制的測試方法與預期結果如下：測試方法：配置產品的批量掃描計劃任務，查看掃描結果。預期結果：產品能夠根據計劃進行批量掃描，且能夠自動生成掃描結果。穩定性和容錯性穩定性和容錯性的測試方法與預期結果如下：測試方法：在掃描過程中，檢查產品是否出現失去響應或非正常退出的現象；在掃描過程中，檢查產品是否出現掃描進度停滯不前的現象；在掃描過程中，檢查是否能夠隨時停止正在執行的掃描任務；在掃描過程中，檢查產品是否支持斷點續掃功能。預期結果：產品未出現失去響應或非正常退出的現象；產品未出現掃描進度停滯不前的現象；產品在掃描過程中能夠隨時停止掃描任務；產品能夠支持斷點續掃功能。掃描結果分析處理結果驗證結果驗證的測試方法與預期結果如下：測試方法：根據漏洞掃描結果，檢查產品是否提供了參數驗證XSS漏洞、SQL注入點、目錄遍歷、信息泄漏和命令執行等安全漏洞。預期結果：產品提供了漏洞的驗證參數，能夠支持驗證XSS漏洞、SQL注入點、目錄遍歷、信息泄漏和命令執行等安全漏洞。結果保存結果保存的測試方法與預期結果如下：測試方法：檢查產品的掃描結果是否非明文存儲于掉電非易失性存儲介質中。預期結果：產品的掃描結果非明文保存（如加密或存儲于數據庫）于掉電非易失性存儲介質（如硬盤）中。統計分析統計分析的測試方法與預期結果如下：測試方法：檢查產品是否能夠對掃描獲取的原始數據進行整理并進行統計分析。預期結果：產品能夠對掃描獲取的原始數據進行整理、統計和分析。報告生成報告生成的測試方法與預期結果如下：測試方法：生成并查看掃描報告，掃描報告中的漏洞信息是否包括URL、漏洞名稱、漏洞描述等詳細信息；掃描報告是否包括了漏洞的安全性建議。預期結果：產品掃描報告中的漏洞信息包括了URL、漏洞名稱、漏洞描述等準確信息；產品掃描報告中包括了漏洞的安全性建議（漏洞的修復建議）。報告輸出報告輸出的測試方法與預期結果如下：測試方法：查看掃描報告的導出格式；查看掃描報告的內容，是否包括文字、圖表等形式的統計結果。預期結果：產品的掃描報告支持常用文檔格式（如Doc、Excel或Pdf等）；產品的掃描報告包括文字、圖表等形式的統計結果。標識與鑒別用戶標識屬性定義屬性定義的測試方法與預期結果如下：測試方法：檢查產品是否能夠創建用戶，并為其賦予標識、鑒別信息、隸屬組、權限等安全屬性。預期結果：產品能夠為創建的用戶配置標識、鑒別信息、隸屬組、權限等安全屬性。屬性初始化屬性初始化的測試方法與預期結果如下：測試方法：檢查產品是否能夠對創建的每個用戶的屬性進行初始化。預期結果：產品為創建的每個用戶的屬性提供初始化的能力。唯一性標識唯一性標識的測試方法與預期結果如下：測試方法：檢查產品是否不允許命名同一標識的用戶，且在日志中將關于該用戶的事件與標識相關聯。預期結果：產品不允許創建同名用戶，且將關于該用戶的事件與標識相關聯。身份鑒別用戶鑒別用戶鑒別的測試方法與預期結果如下：測試方法：通過所有管理接口嘗試登錄產品，是否均需進行身份鑒別；檢查是否只有通過身份鑒別后，才能訪問授權的安全功能模塊；當正?；蚍钦＃◤娦袛嚯姡┩顺龊?，重新嘗試登錄產品，是否需進行身份鑒別。預期結果：只有通過身份鑒別后才能訪問授權的安全功能模塊，且無論正?；蚍钦Ｍ顺龊?，重新登錄產品均需進行身份鑒別。鑒別數據保護鑒別數據保護的測試方法與預期結果如下：測試方法：檢查非授權用戶是否能夠查閱、修改鑒別數據。預期結果：產品的非授權用戶不能查閱、修改鑒別數據。安全管理安全功能管理安全功能管理的測試方法與預期結果如下：測試方法：以授權管理員身份登錄產品，分別進行查看和修改各種安全屬性、啟動和關閉安全功能、制定和修改各種安全策略等操作，并檢查設置是否生效。預期結果：產品的授權管理員能夠進行查看和修改各種安全屬性、啟動和關閉安全功能、制定和修改各種安全策略等操作，且設置生效。安全角色管理安全角色管理的測試方法與預期結果如下：測試方法：產品至少提供兩類管理員角色，分別以不同角色身份登錄，檢查權限是否不同；預期結果：產品具備兩種以上管理員角色，且權限各不相同。遠程安全傳輸遠程安全傳輸的測試方法與預期結果如下：測試方法：若產品組件間通過網絡進行通訊，使用協議分析儀截取數據并檢查內容是否為非明文。預期結果：若產品組件間不通過網絡傳輸數據，則此項為非檢測項；若產品組件間通過網絡進行通訊，傳輸數據為非明文。審計日志審計日志生成審計日志生成的測試方法與預期結果如下：測試方法：嘗試進行.1要求的各項操作，觸發審計事件；查看審計日志是否包括事件發生的日期、時間、用戶標識、事件描述和結果；若產品支持遠程管理，查看審計日志是否記錄管理主機的IP地址。預期結果：產品能夠針對上述事件生成審計日志，日志內容包括事件發生的日期、時間、用戶標識、事件描述和結果；同時產品支持遠程管理時，審計日志能夠記錄管理主機的IP地址。審計日志保存審計日志保存的測試方法與預期結果如下：測試方法：通過斷電重啟產品或日志存儲設備等手段，檢查是否會造成審計日志的丟失。預期結果：斷電重啟后，產品的審計日志不應丟失。審計日志管理審計日志的管理的測試方法與預期結果如下：測試方法：分別以授權管理員身份和未授權用戶身份查看審計日志，檢查產品是否僅允許授權管理員訪問審計日志；檢查產品是否能夠對審計日志按操作用戶、日期時間和操作類型等條件進行查詢和檢索；檢查產品是否能夠存檔和導出審計日志。預期結果：產品僅允許授權管理員訪問審計記錄，未授權用戶無法查看審計日志；產品應能夠按條件查詢和檢索審計日志，且查詢結果準確完整；產品應能夠存檔和導出審計日志。安全保障要求測試開發安全架構安全架構的測試方法與預期結果如下：測試方法：審查安全架構文檔是否準確描述如下內容：與產品設計文檔中對安全功能實施抽象描述的級別一致；描述與安全功能要求一致的產品安全功能的安全域；描述產品安全功能初始化過程為何是安全的；證實產品安全功能能夠防止被破壞；證實產品安全功能能夠防止安全特性被旁路。預期結果：開發者提供的文檔內容應滿足上述要求。功能規范功能規范的測試方法與預期結果如下：測試方法：審查功能規范文檔是否準確描述如下內容：完全描述產品的安全功能；描述所有安全功能接口的目的與使用方法；標識和描述每個安全功能接口相關的所有參數；描述安全功能接口相關的安全功能實施行為；描述由安全功能實施行為處理而引起的直接錯誤消息；證實安全功能要求到安全功能接口的追溯。預期結果：開發者提供的文檔內容應滿足上述要求。產品設計產品設計的測試方法與預期結果如下：測試方法：審查產品設計文檔是否準確描述如下內容：根據子系統描述產品結構；標識和描述產品安全功能的所有子系統；描述安全功能所有子系統間的相互作用；提供的映射關系能夠證實設計中描述的所有行為能夠映射到調用它的安全功能接口。預期結果：開發者提供的文檔內容應滿足上述要求。指導性文檔操作用戶指南操作用戶指南的測試方法與預期結果如下：測試方法：審查操作用戶指南是否準確描述如下內容：描述在安全處理環境中被控制的用戶可訪問的功能和特權，包含適當的警示信息；描述如何以安全的方式使用產品提供的可用接口；描述可用功能和接口，尤其是受用戶控制的所有安全參數，適當時指明安全值；明確說明與需要執行的用戶可訪問功能有關的每一種安全相關事件，包括改變安全功能所控制實體的安全特性；標識產品運行的所有可能狀態（包括操作導致的失敗或者操作性錯誤），以及它們與維持安全運行之間的因果關系和聯系；充分實現安全目的所必須執行的安全策略。預期結果：開發者提供的文檔內容應滿足上述要求。準備程序準備程序的測試方法與預期結果如下：測試方法：審查準備程序文檔是否準確描述如下內容：描述與開發者交付程序相一致的安全接收所交付產品必需的所有步驟；描述安全安裝產品及其運行環境必需的所有步驟。預期結果：開發者提供的文檔內容應滿足上述要求。生命周期支持配置管理能力配置管理能力的測試方法與預期結果如下：測試方法：審查開發者是否為不同版本的產品提供唯一的標識；現場檢查配置管理系統是否對所有的配置項作出唯一的標識，且配置管理系統是否對配置項進行了維護；審查開發者提供的配置管理文檔，是否描述了對配置項進行唯一標識的方法。預期結果：開發者提供的文檔和現場活動證據內容應滿足上述要求。配置管理范圍配置管理范圍的測試方法與預期結果如下：測試方法：審查開發者提供的配置項列表；配置項列表是否描述了組成產品的全部配置項及相應的開發者。預期結果：開發者提供的文檔和現場活動證據內容應滿足上述要求。交付程序交付程序的測試方法與預期結果如下：測試方法：現場檢查開發者是否使用一定的交付程序交付產品；審查開發者是否使用文檔描述交付過程，文檔中是否包含以下內容：在給用戶方交付系統的各版本時，為維護安全所必需的所有程序。預期結果：開發者提供的文檔和現場活動證據內容應滿足上述要求。測試測試覆蓋測試覆蓋證的測試方法與預期結果如下：測試方法：審查開發者提供的測試覆蓋文檔，在測試覆蓋證據中，是否表明測試文檔中所標識的測試與功能規范中所描述的產品的安全功能是對應的。預期結果：開發者提供的文檔內容應滿足上述要求。功能測試功能測試的測試方法與預期結果如下：測試方法：審查開發者提供的測試文檔，是否包括測試計劃、預期的測試結果和實際測試結果；審查測試計劃是否標識了要測試的安全功能，是否描述了每個安全功能的測試方案（包括對其它測試結果的順序依賴性）；審查期望的測試結果是否表明測試成功后的預期輸出；審查實際測試結果是否表明每個被測試的安全功能能按照規定進行運作。預期結果：開發者提供的文檔內容應滿足上述要求。獨立測試獨立測試的測試方法與預期結果如下：測試方法：評價者應審查開發者提供的測試資源；評價者應審查開發者提供的測試集合是否與其自測系統功能時使用的測試集合相一致。預期結果：開發者提供的資源應滿足上述要求。脆弱性評定脆弱性評定的測試方法與預期結果如下：測試方法：從用戶可能破壞安全策略的明顯途徑出發，按照安全機制定義的安全強度級別，對產品進行脆弱性分析。預期結果：滲透性測試結果應表明產品能夠抵抗具有基本攻擊潛力攻擊者的攻擊。增強級安全要求測試安全功能測試掃描能力資源發現資源發現的測試方法與預期結果如下：測試方法：配置產品掃描Javascript腳本的頁面地址，查看掃描結果；配置產品掃描包括頁面文件的URL地址，查看掃描結果；配置產品掃描內嵌URL的Flash、Fexl地址，查看掃描結果。預期結果：產品能夠解析Javascript腳本，獲取相應URL并以樹型結構呈現；產品能夠執行Javascript腳本，獲取相應URL并以樹型結構呈現；產品能夠獲取頁面文件內包括的URL并以樹型結構呈現；產品能夠獲取Flash、Fexl中內嵌的URL并以樹型結構呈現。漏洞檢測漏洞檢測的測試方法與預期結果如下：測試方法：配置產品掃描策略，執行對Web應用漏洞平臺（部署SQL注入、Cookie注入、XSS、CSRF、目錄遍歷、信息泄露、認證方式脆弱性、文件包含、命令執行、第三方組件、LDAP注入和XPath等漏洞）的掃描任務；查看掃描結果。預期結果：產品能夠發現基于Get、Post方式提交的字符、數字、搜索等的SQL注入漏洞；產品能夠發現基于Cookie方式提交的字符、數字、搜索等的Cookie注入漏洞產品能夠發現基于Get、Post、Referrer、Cookie方式的XSS漏洞；產品能夠發現基于CSRF漏洞；產品能夠發現目錄遍歷漏洞；產品能夠發現路徑泄漏、文件備份、源代碼泄漏、目錄瀏覽和phpinfo等信息泄露；產品能夠發現登錄繞過、常見的帳號、弱口令等認證方式脆弱漏洞；產品能夠發現文件包含漏洞；產品能夠發現命令執行漏洞；產品能夠發現第三方組件漏洞；產品能夠發現LDAP注入漏洞；產品能夠發現XPath注入漏洞。變形檢測變形檢測的測試方法與預期結果如下：測試方法：配置產品的變形檢測配置選項，執行掃描任務；查看產品的掃描參數。預期結果：產品支持漏洞的變形檢測（支持包括大小寫隨機轉換、多種繞過空格限制、空格替換和URL編碼等）。狀態監測狀態監測的測試方法與預期結果如下：測試方法：配置產品的監測策略，查看產品是否能夠對Web系統的非正常狀態（包括不可訪問、訪問延遲、域名跳轉變化、域名解析IP變化和被搜索引擎標記為危險等）進行監測并評估風險。預期結果：產品能夠對Web系統的非正常狀態進行監測并評估風險。內容監測內容監測的測試方法與預期結果如下：測試方法：配置產品的監測策略，查看產品是否能夠對Web系統的非正常返回內容（包括內容變更、敏感關鍵字等）進行監測并評估風險。預期結果：產品能夠對Web系統的非正常返回內容進行監測并評估風險。升級能力升級能力的測試方法與預期結果如下：測試方法：檢查產品是否具備漏洞特征庫的更新能力；檢查產品保證升級時效性的安全機制（如自動升級，更新通知等）。預期結果：產品支持漏洞特征庫的更新功能；產品采取安全機制保證漏洞特征庫升級的時效性。支持SSL應用支持SSL應用的測試方法與預期結果如下：測試方法：配置產品掃描基于HTTPS協議的Web應用系統；查看掃描結果。預期結果：產品支持掃描基于HTTPS協議的Web應用系統。WebService支持WebService支持的測試方法與預期結果如下：測試方法：配置產品掃描WSDL文件，對WebService進行掃描；查看掃描結果。預期結果：產品支持基于WSDL文件對WebService進行掃描。對目標系統的影響對目標系統的影響的測試方法與預期結果如下：測試方法：配置產品對Web應用系統進行掃描；檢查產品在掃描過程中，是否對Web應用系統和正常訪問造成明顯的性能影響。預期結果：產品在掃描過程中未對Web應用系統和正常訪問造成明顯的性能影響。掃描配置管理向導功能向導功能的測試方法與預期結果如下：測試方法：檢查產品在配置過程中是否提供了向導功能。預期結果：產品在配置過程中提供了向導功能。掃描范圍掃描范圍的測試方法與預期結果如下：測試方法：配置掃描策略，分別制定掃描的URL范圍，包括域名和URL，查看掃描結果；配置掃描的深度，查看掃描結果；配置不掃描的URL（例如登出、刪除等頁面），查看掃描結果；配置路徑模式排重和大小寫區分。預期結果：產品能夠根據指定的URL、當前域、整個域、IP地址進行掃描，且掃描結果未超出定義的范圍；產品能夠配置掃描的深度，且掃描結果未超出定義的深度范圍；產品能夠配置不掃描的URL，且掃描結果未包括設定的URL地址；產品能夠配置路徑模式排重和大小寫區分，且掃描結果準確。登錄掃描登錄掃描的測試方法與預期結果如下：測試方法：配置登錄掃描的策略，查看掃描結果。預期結果：產品支持基于用戶的登錄信息（基于Cookie、Session、Token、錄制的登錄信息等一種或多種方式）對Web應用進行掃描，并掃描結果包括登錄后的頁面。掃描策略策略選擇策略選擇的測試方法與預期結果如下：測試方法：根據漏洞類型、類別配置產品的掃描策略，查看掃描結果；根據漏洞危害程度配置產品的掃描策略，查看掃描結果；根據Web系統指紋信息配置產品的掃描策略，查看掃描結果。預期結果：產品能夠根據漏洞類型對Web應用系統進行掃描，且掃描結果未超出定義的范圍；產品能夠根據漏洞危害程度對Web應用系統進行掃描，且掃描結果未超出定義的范圍；產品能夠根據Web系統指紋信息對Web應用系統進行掃描，且掃描結果未超出定義的范圍。策略擴展策略擴展的測試方法與預期結果如下：測試方法：檢查產品是否能夠允許用戶根據插件自定義漏洞策略。預期結果：產品能夠根據插件自定義漏洞策略。掃描速度掃描速度的測試方法與預期結果如下：測試方法：檢查產品是否能夠根據HTTP請求速度、掃描線程或進程數目等調節掃描速度；檢查產品是否支持分布式部署掃描引擎；檢查產品是否支持多引擎負載均衡；預期結果：產品能夠根據HTTP請求速度、掃描線程或進程數目等調節掃描速度；產品支持分布式部署掃描引擎；產品支持多引擎負載均衡。任務定制任務定制的測試方法與預期結果如下：測試方法：配置產品的批量、定時和周期性掃描計劃任務，查看掃描結果。預期結果：產品能夠根據計劃進行批量、定時和周期性掃描，且能夠自動生成掃描結果。穩定性和容錯性穩定性和容錯性的測試方法與預期結果如下：測試方法：在掃描過程中，檢查產品是否出現失去響應或非正常退出的現象；在掃描過程中，檢查產品是否出現掃描進度停滯不前的現象；在掃描過程中，檢查是否能夠隨時停止正在執行的掃描任務；在掃描過程中，檢查產品是否支持斷點續掃功能；在掃描過程中，檢查產品是否能夠導出已掃描的內容結果報告。預期結果：產品未出現失去響應或非正常退出的現象；產品未出現掃描進度停滯不前的現象；產品在掃描過程中能夠隨時停止掃描任務；產品能夠支持斷點續掃功能；產品在掃描過程中能夠導出已掃描的內容結果報告。掃描結果分析處理結果驗證結果驗證的測試方法與預期結果如下：測試方法：根據漏洞掃描結果，檢查產品是否提供了參數驗證XSS漏洞、SQL注入點、目錄遍歷、信息泄漏和命令執行等安全漏洞；檢查產品是否能夠通過SQL注入點獲取后臺數據庫中的信息；檢查產品是否提供輔助工具驗證漏洞。預期結果：產品提供了漏洞的驗證參數，能夠支持驗證XSS漏洞、SQL注入點、目錄遍歷、信息泄漏和命令執行等安全漏洞；產品能夠通過SQL注入點獲取后臺數據庫中的信息（如數據庫表、字段中等內容）；產品提供輔助工具對漏洞進行驗證。結果保存結果保存的測試方法與預期結果如下：測試方法：檢查產品的掃描結果是否非明文存儲于掉電非易失性存儲介質中。預期結果：產品的掃描結果非明文保存（如加密或存儲于數據庫）于掉電非易失性存儲介質（如硬盤）中。統計分析統計分析的測試方法與預期結果如下：測試方法：檢查產品是否能夠對掃描獲取的原始數據進行整理并進行統計分析。預期結果：產品能夠對掃描獲取的原始數據進行整理、統計和分析。報告生成報告生成的測試方法與預期結果如下：測試方法：生成并查看掃描報告，掃描報告中的漏洞信息是否包括URL、漏洞名稱、漏洞描述等詳細信息；掃描報告是否包括了漏洞的安全性建議；掃描報告是否包括OWASPTOP10等內容；檢查產品是否支持編輯和自定義設計報告，添加自定義注釋或詳細信息，能夠為技術人員修復安全缺陷提供幫助；檢查產品是否支持批量導出報告，是否能夠根據橫向、縱向比較的趨勢分析報告。預期結果：產品掃描報告中的漏洞信息包括了URL、漏洞名稱、漏洞描述等準確信息；產品掃描報告中包括了漏洞的安全性建議（漏洞的修復建議）；產品掃描報告包括OWASPTOP10等內容；產品支持編輯和自定義設計報告，添加自定義注視或詳細信息，能夠為技術人員修復安全缺陷提供幫助；產品支持批量導出報告，夠根據橫向、縱向比較的趨勢分析報告。報告輸出報告輸出的測試方法與預期結果如下：測試方法：查看掃描報告的導出格式；查看掃描報告的內容，是否包括文字、圖表等形式的統計結果。預期結果：產品的掃描報告支持常用文檔格式（如Doc、Excel或Pdf等）；產品的掃描報告包括文字、圖表等形式的統計結果?；有砸蠡有砸蟮臏y試方法與預期結果如下：測試方法：查看廠商提供的接口文檔。預期結果：產品廠商提供的文檔清晰的說明了接口調用的方法。標識與鑒別用戶標識屬性定義屬性定義的測試方法與預期結果如下：測試方法：檢查產品是否能夠創建用戶，并為其賦予標識、鑒別信息、隸屬組、權限等安全屬性。預期結果：產品能夠為創建的用戶配置標識、鑒別信息、隸屬組、權限等安全屬性。屬性初始化屬性初始化的測試方法與預期結果如下：測試方法：檢查產品是否能夠對創建的每個用戶的屬性進行初始化。預期結果：產品為創建的每個用戶的屬性提供了初始化的能力。唯一性標識唯一性標識的測試方法與預期結果如下：測試方法：檢查產品是否不允許命名同一標識的用戶，且在日志中將關于該用戶的事件與標識相關聯。預期結果：產品不允許創建同名用戶，且將關于該用戶的事件與標識相關聯。身份鑒別用戶鑒別用戶鑒別的測試方法與預期結果如下：測試方法：通過所有管理接口嘗試登錄產品，是否均需進行身份鑒別；檢查是否只有通過身份鑒別后，才能訪問授權的安全功能模塊；當正?；蚍钦＃◤娦袛嚯姡┩顺龊螅匦聡L試登錄產品，是否需進行身份鑒別。預期結果：只有通過身份鑒別后才能訪問授權的安全功能模塊，且無論正?；蚍钦Ｍ顺龊?，重新登錄產品均需進行身份鑒別。鑒別數據保護鑒別數據保護的測試方法與預期結果如下：測試方法：檢查非授權用戶是否能夠查閱、修改鑒別數據。預期結果：產品的非授權用戶不能查閱、修改鑒別數據。鑒別失敗處理鑒別失敗處理的測試方法與預期結果如下：測試方法：嘗試連續失敗登錄產品，次數到達產品設定值；檢查產品是否能夠終止用戶的訪問。預期結果：若登錄失敗次數到達設定值，產品能夠終止用戶的訪問。超時鎖定或注銷超時鎖定或注銷的測試方法與預期結果如下：測試方法：以授權管理員身份登錄產品設置最大超時時間，并在設定的時間段內不進行任何操作；檢查產品是否能夠終止會話，再次登錄是否需重新進行身份鑒別。預期結果：產品具備登錄超時鎖定或注銷功能，且最大超時時間僅由授權管理員設定。安全管理安全功能管理安全功能管理的測試方法與預期結果如下：測試方法：以授權管理員身份登錄產品，分別進行查看和修改各種安全屬性、啟動和關閉安全功能、制定和修改各種安全策略等操作，并檢查設置是否生效。預期結果：產品的授權管理員能夠進行查看和修改各種安全屬性、啟動和關閉安全功能、制定和修改各種安全策略等操作，且設置生效。安全角色管理安全角色管理的測試方法與預期結果如下：測試方法：產品至少提供兩類管理員角色，分別以不同角色身份登錄，檢查權限是否不同；檢查產品是否能夠根據功能模塊定義管理員角色，并分別以不同角色身份登錄，檢查權限是否不同。預期結果：產品具備兩種以上管理員角色，且權限各不相同；產品能夠根據功能模塊定義不同的管理員角色。遠程安全傳輸遠程安全傳輸的測試方法與預期結果如下：測試方法：若掃描結果通過網絡傳輸時，使用協議分析儀截取數據并檢查內容是否為非明文。預期結果：若產品組件間不通過網絡傳輸數據，則此項為非檢測項；若當產品組件間通過網絡進行通訊，傳輸數據為非明文。可信管理主機可信管理主機的測試方法與預期結果如下：測試方法：若產品具備遠程管理功能，登錄產品限制遠程管理主機的IP地址，并分別使用受限和未受限的主機進行嘗試登錄。預期結果：若產品未提供遠程管理功能，則此項為非檢測項；若產品提供遠程管理功能，且受限主機無法登錄產品，而未受限主機能夠正常訪問。審計日志審計日志生成審計日志生成的測試方法與預期結果如下：測試方法：嘗試進行.7要求的操作，觸發審計事件；查看審計日志是否包括事件發生的日期、時間、用戶標識、事件描述和結果；若產品支持遠程管理，查看審計日志是否記錄管理主機的IP地址。預期結果：產品能夠針對上述事件生成審計日志，日志內容包括事件發生的日期、時間、用戶標識、事件描述和結果；同時產品支持遠程管理時，審計日志能夠記錄管理主機的IP地址。審計日志保存審計日志保存的測試方法與預期結果如下：測試方法：通過斷電重啟產品或日志存儲設備等手段，檢查是否會造成審計日志的丟失。預期結果：斷電重啟后，產品的審計日志不應丟失。審計日志管理審計日志的管理的測試方法與預期結果如下：測試方法：分別以授權管理員身份和未授權用戶身份查看審計日志，檢查產品是否僅允許授權管理員訪問審計日志；檢查產品是否能夠對審計日志按條件進行查詢；檢查產品是否能夠存檔和導出審計日志。預期結果：產品僅允許授權管理員訪問審計記錄，未授權用戶無法查看審計日志；產品應能夠按條件查詢審計日志，且查詢結果準確完整；產品應能夠存檔和導出審計日志。安全保障要求測試開發安全架構安全架構的測試方法與預期結果如下：測試方法：審查安全架構文檔是否準確描述如下內容：與產品設計文檔中對安全功能實施抽象描述的級別一致；描述與安全功能要求一致的產品安全功能的安全域；描述產品安全功能初始化過程為何是安全的；證實產品安全功能能夠防止被破壞；證實產品安全功能能夠防止安全特性被旁路。預期結果：開發者提供的文檔內容應滿足上述要求。功能規范功能規范的測試方法與預期結果如下：測試方法：審查功能規范文檔是否準確描述如下內容：完全描述產品的安全功能；描述所有安全功能接口的目的與使用方法；標識和描述每個安全功能接口相關的所有參數；描述安全功能接口相關的安全功能實施行為；描述由安全功能實施行為處理而引起的直接錯誤消息；證實安全功能要求到安全功能接口的追溯；描述安全功能實施過程中，與安全功能接口相關的所有行為；描述可能由安全功能接口的調用而引起的所有直接錯誤消息。預期結果：開發者提供的文檔內容應滿足上述要求。實現表示實現表示的測試方法與預期結果如下：測試方法：審查實現表示文檔是否準確描述如下內容：以開發人員使用的形式提供產品設計描述與實現表示實例之間的映射，并證明其一致性；按詳細級別定義產品安全功能，詳細程度達到無須進一步設計就能生成安全功能的程度。預期結果：開發者提供的文檔內容應滿足上述要求。產品設計產品設計的測試方法與預期結果如下：測試方法：審查產品設計文檔是否準確描述如下內容：根據子系統描述產品結構；標識和描述產品安全功能的所有子系統；描述安全功能所有子系統間的相互作用；提供的映射關系能夠證實設計中描述的所有行為能夠映射到調用它的安全功能接口；根據模塊描述安全功能；提供安全功能子系統到模塊間