( 单位) 系统 等级保护三级测评 现场检测表 测试对象范围：安全技术 测试对象名称：应用系统 配合人员签字： 测试人员签字： 核实人员签字： 测试日期：等级保护现场检测表 结果统计: 测评项 测评结果 1身份鉴别 □符合 □部分符合 □不符合 2访问控制 □符合 □部分符合 □不符合 3安全审计 □符合 □部分符合 □不符合 4剩余信息保护 □符合 □部分符合 □不符合 5通信完整性 □符合 □部分符合 □不符合 6通信保密性 □符合 □部分符合 □不符合 7抗抵赖 □符合 □部分符合 □不符合 8软件容错 □符合 □部分符合 □不符合 9资源控制 □符合 □部分符合 □不符合 10代码安全 □符合 □部分符合 □不符合 测试类别等级测评（三级） 测试对象安全技术 测 试 类应用安全 测 试 项身份鉴别 测试要求： 1.系统用户的身份标识应具有唯一性； 2.应对登录的用户进行身份标识和鉴别； 3.系统用户的身份鉴别信息应具有不易被冒用的特点，例如口令长度、复杂性和定期的更 新等； 4.应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别； 5.应具有登录失败处理功能，如结束会话、限制非法登录次数，当登录连接超时，自动退 出； 6.应具有鉴别警示功能； 7.应用系统应及时清除存储空间中动态使用的鉴别信息。 测试记录： 1、访谈系统管理员，询问应用系统是否采取身份标识和鉴别措施 否 □ 是 □ ○具体措施有: ○系统采取何种措施防止身份鉴别信息被冒用（如复杂性混有大、小写字母、数字和特殊字 符，口令周期等）: 2、访谈系统管理员，询问应用系统是否具有登录失败处理的功能 否 □ 是 □ ○是如何进行处理的: ○应用系统对用户标识在整个生命周期内是否具有唯一性（如 UID、用户名或其他信息在系 统中是唯一的，用该标识在整个生命周期内能唯一识别该用户） 否 □ 是 □ 3、检查设计/验收文档，查看文档中是否有系统采取了唯一标识（如用户名、 UID或其他属性） 的描述 否 □ 是 □ 第 2 页 共 12 页等级保护现场检测表 4、检查操作规程和操作记录，查看其是否有身份标识和鉴别的操作规程、审批记录和操作记录 : 否 □ 是 □ 5、检查主要应用系统，查看其是否采用了两个及两个以上身份鉴别技术的组合来进行身份鉴别 （如采用用户名/口令、挑战应答、动态口令、物理设备、生物识别技术中的任意两个组合） : 否 □ 是 □ ○对有抗抵赖要求的系统，查看其是否采用数字证书方式的身份鉴别技术 : 否 □ 是 □ 6、检查主要应用系统，查看其是否配备身份标识（如建立账号）和鉴别（如口令等）功能 : 否 □ 是 □ ○查看其其身份鉴别信息是否具有不易被冒用的特点，例如复杂性（如规定字符应混有大、 小写字母、数字和特殊字符）或为了便于记忆使用了令牌 : 否 □ 是 □ 7、检查主要应用系统，查看其是否配备并使用登录失败处理功能（如登录失败次数超过设定 值，系统自动退出等） : 否 □ 是 □ 8、测试主要应用系统，通过注册用户，并登录系统，查看登录是否成功，验证其身份标识和鉴 别功能是否有效: 否 □ 是 □ ○通过删除一个用户再重新注册相同标识的用户，查看能否成功，验证身份标识在整个生命 周期内是否具有唯一性 : 否 □ 是 □ 9、测试主要应用系统，验证其登录失败处理，非法登录次数限制，登录连接超时自动退出等功 能是否有效: 否 □ 是 □ 10、测试主要应用系统，验证其是否及时清除存储空间中动态使用的鉴别信息（如登录系统， 退 出系统后重新登录系统，查看上次登录的鉴别信息是否存在） : 否 □ 是 □ 11、测试主要应用系统，验证其是否有鉴别警示功能（如系统有三次登录失败则 锁定该用户的 限 制，则应 给用户必要的提示）: 否 □ 是 □ 12、渗透测试主要应用系统，测试身份鉴别信息是否不易被冒用（如通过 暴力破解或其他手段 进 入系统，对WEB系统可采用SQL注入等绕过身份鉴别的方法） : 否 □ 是 □ 测试结果： □符合 □部分符合 □不符合 备注： 1、如果测试记录3中相关文档有用户唯一性标识的描述，则该项为 肯定； 2、如果测试记录4中缺少相应的文档，则该项为否定； 3、测试记录3-12项全部符合 即视为符合. 第 3 页 共 12 页等级保护现场检测表 测试类别等级测评（三级） 测试对象安全技术 测 试 类应用安全 测 试 项访问控制 测试要求： 1.应依据安全策略控制用户对 客体的访问； 2.自主访问控制的 覆盖范围应包括与信息安全 直接相关的主体、 客体及它们之间的操作； 3.自主访问控制的 粒度应达到主体为用户级， 客体为文件、数 据库表级； 4.应由授权主体设置对系统功能操作和对数 据访问的权限； 5.应实现应用系统特 权用户的权限分离，例如将管理与审计的权限分配给不同的应用系统 用户； 6.权限分离应采用最小授权原则，分别 授予不同用户 各自为完成自 己承担任务所需的最小 权限，并在 它们之间形成相互制约的关系； 7.应严格限制默认用户的访问 权限。 测试记录： 1、访谈系统管理员，询问 业务系统是否 提供访问控制措施: 否 □ 是 □ ○具体措施有: ○自主访问控制的 粒度如何: 2、检查主要应用系统，查看系统是否 提供访问控制 机制: 否 □ 是 □ ○是否依据安全策略控制用户对 客体（如文件和数 据库中的数据）的访问: 否 □ 是 □ 3、检查主要应用系统，查看其自主访问控制的 覆盖范围是否 包括与信息安全 直接相关的主体、 客体及它们之间的操作: 否 □ 是 □ ○自主访问控制的 粒度是否达到主体为用户级， 客体为文件、数 据库表级（如数 据库表、视 图、存储过程等）: 否 □ 是 □ 4、检查主要应用系统，查看应用系统是否有对 授权主体进行系统功能操作和对数 据访问权限进 行设置的功能: 否 □ 是 □ 5、检查主要应用系统，查看其特 权用户的权限是否分 离（如将系统管理员、安全员和审计员的 权限分离）: 否 □ 是 □ ○权限之间是否相 互制约（如系统管理员、安全管理员等不能对审计日 志进行管理，安全审 计员不能管理审计功能的 开启、关闭、删除等重要 事件的审计日 志等）: 否 □ 是 □ 6、检查主要应用系统，查看其是否有限制 默认用户访问 权限的功能，并 已配置使用: 否 □ 是 □ 7、测试主要应用系统，通过用不同 权限的用户登录，查看其 权限是否受到应用系统的限制，验 证系统权限分离功能是否有效: 否 □ 是 □ 第 4 页 共 12 页等级保护现场检测表 8、测试主要应用系统，通过 授权主体设置特定用户对系统功能进行操作和对数 据进行访问的 权 限，然后以该用户登录，验证用户 权限管理功能是否有效 : 否 □ 是 □ 9、测试主要应用系统，通过用 默认用户（默认密码）登录，并用该用户进行操作（ 包括合法、 非法操作），验证系统对 默认用户访问 权限的限制是否有效: 否 □ 是 □ 10、渗透测试主要应用系统，测试自主访问控制的 覆盖范围是否 包括与信息安全 直接相关的主 体、客体及它们之间的操作（如试 图绕过系统访问控制 机制等操作）: 否 □ 是 □ 测试结果： □符合 □部分符合 □不符合 备注： 测试记录2-10项全部符合 即视为符合 测试类别等级测评（三级） 测试对象安全技术 测 试 类应用安全 测 试 项安全审计 测试要求： 1.安全审计应 覆盖到应用系统的 每个用户； 2.安全审计应记录应用系统重要的安全相 关事件，包括重要用户行为、系统资源的 异常使 用和重要系统功能的 执行等； 3.安全相关事件的记录应 包括日期和时间、类 型、主体标识、 客体标识、 事件的结果等； 4.安全审计应 可以根据记录数据进行分析，并生成审计 报表； 5