Conceptos básicos de pruebas de seguridad para revisores de software que escriben columnas 26
Por ejemplo: lo siguiente no es un método de prueba de seguridad ()
1. Verificación de la función de seguridad
b. >c. Pruebas de volumen de datos
d, interceptación de datos
Hao Yang explicó en detalle: Los métodos de prueba de seguridad incluyen verificación de funciones de seguridad, escaneo de vulnerabilidades de seguridad, experimentos de ataques simulados e interceptación de datos. Los detalles son los siguientes:
1), Verificación de la función de seguridad: Probar y verificar la funcionalidad del módulo de seguridad determinado en los requisitos del software. Por ejemplo, el módulo de gestión de derechos, el módulo de confidencialidad de datos, el módulo de cifrado de transmisión, el módulo de copia de seguridad y recuperación de datos generalmente tienen configuraciones de funciones de seguridad correspondientes. Los métodos de verificación de la función de seguridad son similares a las pruebas generales de programas y existen tres tipos principales: pruebas de caja negra, pruebas de caja blanca y pruebas de caja gris.
2) Escaneo de vulnerabilidades de seguridad: utilice software de escaneo de vulnerabilidades para escanear vulnerabilidades relevantes en sistemas de información y software de aplicaciones. Después de descubrir vulnerabilidades, tome medidas preventivas y correctivas efectivas, o tome medidas de protección para evitar que los delincuentes las exploten. Atacar vulnerabilidades conocidas. Las vulnerabilidades comunes incluyen:
Vulnerabilidad de denegación de servicio (DoS): ataca deliberadamente fallas en la implementación del protocolo de red o agota directa y brutalmente los recursos del objeto atacado, con el propósito de evitar que la computadora o red objetivo proporcione Los servicios normales o el acceso a recursos hacen que el sistema de servicio del sistema de destino deje de responder o incluso falle, lo que no incluye la intrusión en el servidor de destino o el dispositivo de red de destino.
Vulnerabilidad de expansión de derechos de usuario local: los usuarios locales comunes utilizan las vulnerabilidades del programa para poseer ilegalmente los permisos de otros usuarios o incluso superusuarios, lo que provoca la destrucción del sistema.
Vulnerabilidad de expansión de privilegios de usuarios remotos: los usuarios comunes remotos aprovechan las vulnerabilidades en los servicios del sistema para obtener acceso no autorizado al sistema, causando así daños impredecibles.
3) Experimento de ataque simulado: un atacante disfrazado de intruso ilegal similar a un hacker, en un entorno de desarrollo o de prueba, utiliza vulnerabilidades existentes del sistema y métodos de ataque comunes para atacar el sistema enviado para evaluación y encontrar Pregunta de seguridad. Las cuatro técnicas de ataque principales son:
Ataque de denegación de servicio (DoS): un intento de evitar que un servidor proporcione servicio bloqueándolo. Los métodos principales incluyen: ping de muerte, lágrima, inundación UDP, inundación SYN, ataque terrestre, ataque pitufo, ataque Fraggle, bomba de correo y ataque de mensajes anormales.
Ataques de troyanos de vulnerabilidad: intrusiones ilegales causadas principalmente por usuarios del sistema que son descuidados, conocen las vulnerabilidades del sistema pero no las parchean a tiempo, o colocan troyanos descuidadamente, incluyendo principalmente adivinación de contraseñas, troyanos y desbordamientos de búfer;
p>
Tecnología de recopilación de información: no causa daño al servidor de destino, recopila una gran cantidad de información del sistema y brinda comodidad para intrusiones ilegales. Las principales tecnologías utilizadas son la tecnología de escaneo, el espionaje de edificios y los servicios de información.
Ataque de disfraz y suplantación de identidad: se utiliza para atacar mensajes con una configuración de destino incorrecta, que incluye principalmente contaminación de la caché de DNS, correos electrónicos falsificados, suplantación de ARP y suplantación de IP.
4) Interceptación de datos: también conocida como "interceptación de red", se utiliza para obtener información transmitida en la red, pero la información no se envía a usted mismo. La tecnología de interceptación de redes puede administrar la red de manera efectiva, abordar problemas de la red y verificar las amenazas a la seguridad de la red. Si los usuarios ilegales utilizan herramientas tecnológicas de interceptación, también pueden convertirse en un medio de intrusión para los intrusos.
Las pruebas de big data en la opción C de esta pregunta son un método de prueba de estrés de carga y no entran en la categoría de pruebas de seguridad, por lo que la respuesta correcta a esta pregunta es C.
Ejercicios de consolidación
(1) Lo siguiente no pertenece a la estrategia de protección de seguridad (?)
Detección de intrusiones
b. Protección de aislamiento
c, pruebas de seguridad
d, escaneo de vulnerabilidades
(2) El registro de seguridad es una medida preventiva pasiva para productos de software y una seguridad importante. Por lo tanto, la prueba de registros de seguridad es una parte importante de las pruebas de seguridad del sistema de software. Los siguientes no son los contenidos de prueba básicos de la prueba del registro de seguridad ().
a. Pruebe la integridad del registro de seguridad y pruebe si registra todo el contenido, incluido el nombre de inicio de sesión del usuario, la hora, la dirección, el comportamiento de la operación de datos y la hora de salida.
b. Pruebe la exactitud del registro de seguridad y pruebe si el inicio de sesión del usuario, las operaciones de datos y otra información del registro registrada en el registro de seguridad son correctos.
c. Pruebe la confidencialidad de la información del registro: pruebe si la información del registro en el registro de seguridad está cifrada y almacenada, y si la potencia del cifrado es suficiente.
D. Para sistemas de software de aplicaciones grandes, pruebe si el sistema proporciona capacidades de análisis estadístico para registros de seguridad.
(3) Los puntos de prueba que deben considerarse en las pruebas de contraseña de usuario incluyen (?).
①Envejecimiento de la contraseña②Longitud de la contraseña③Complejidad de la contraseña④Bloqueo de contraseña
a、①③④
B、②③④
c、①②③
d , ①②③④
Respuestas de referencia a preguntas de práctica
(1) Análisis: esta pregunta pone a prueba los conocimientos básicos de seguridad de la información y pruebas de seguridad.
Las estrategias de protección de la seguridad de la información incluyen detección de intrusiones, protección de aislamiento, registros de seguridad y escaneo de vulnerabilidades. Los detalles son los siguientes:
1) Detección de intrusiones: es una medida activa de protección de la red que obtiene activamente información del sistema o de varios recursos de la red y analiza posibles intrusiones o ataques a la red. Normalmente, un IDS también debería proporcionar una respuesta de emergencia a las intrusiones.
2) Protección de aislamiento: Medidas para aislar las partes seguras e inseguras del sistema. Los principales medios técnicos son los firewalls y las puertas de enlace de aislamiento. Los firewalls se utilizan principalmente para el aislamiento lógico entre la red interna y la red externa. Las puertas de enlace de aislamiento se utilizan principalmente para lograr el aislamiento físico entre la red interna y la red externa.
3) Registro de seguridad: se utiliza para registrar el nombre de inicio de sesión, el tiempo de operación y otra información de contenido de usuarios ilegales. Sólo entonces se podrán descubrir los problemas y proponer soluciones. Los registros de seguridad solo registran información relevante y no responden activamente a comportamientos ilegales, lo cual es una estrategia de protección pasiva.
4) Escaneo de vulnerabilidades: realiza detección relacionada con la seguridad de sistemas de software y sistemas de red para descubrir riesgos de seguridad y vulnerabilidades que pueden ser aprovechados por piratas informáticos.
Las pruebas de seguridad son el proceso de probar el producto durante el ciclo de vida de los productos de software de TI, especialmente desde la finalización básica del desarrollo del producto hasta la etapa de lanzamiento, para verificar que cumple con la definición de requisitos de seguridad y los estándares de calidad del producto. No pertenece al alcance de las estrategias de protección de seguridad. Por tanto, la respuesta correcta a esta pregunta es c.
?
(2) Análisis: esta pregunta examina los conocimientos básicos de las pruebas de registros de seguridad en las pruebas de seguridad.
El registro de seguridad se utiliza para registrar el nombre de inicio de sesión, el tiempo de operación y otra información de contenido de usuarios ilegales. Sólo entonces se podrán descubrir los problemas y proponer soluciones. Los registros de seguridad solo registran información relevante y no responden activamente a comportamientos ilegales, lo cual es una estrategia de protección pasiva.
El registro de seguridad del sistema se registrará y guardará en el archivo de registro cada vez que se encienda o apague la máquina, se ejecute un programa y el sistema informe un error. Pero no es necesario almacenar los registros encriptados, por lo que la respuesta correcta a esta pregunta es c.
?
(3) Análisis: esta pregunta pone a prueba los conocimientos básicos de las pruebas de contraseñas de usuario en las pruebas de seguridad.
Los sistemas web son vulnerables a ataques y generalmente utilizan un mecanismo de autenticación de nombre de usuario/contraseña (contraseña). Los puntos de prueba básicos que deben incluirse en la prueba del mecanismo de autenticación de contraseña son los siguientes:
1) El punto de prueba principal de la prueba del nombre de usuario es probar la unicidad del nombre de usuario, es decir, probar Los nombres de usuarios simultáneos no se pueden repetir independientemente del nombre.
2) La prueba de contraseña de usuario debe comprobar principalmente si la contraseña de usuario cumple con el modelo de control popular actual. Los puntos de prueba clave deben incluir la antigüedad máxima/mínima de la contraseña, el historial de contraseñas, la longitud mínima de la contraseña, la complejidad de la contraseña, las opciones de cifrado y el bloqueo de la contraseña. Entonces, esta pregunta 1234 pertenece al contenido relacionado con la protección de seguridad con contraseña del usuario.
Entonces, la respuesta correcta a esta pregunta es: d.
Escrito el 10 de junio de 2020.