安全實(shí)施信息安全檢驗(yàn)測評(píng)指導(dǎo)書1 目的 保證在信息安全測評(píng)現(xiàn)場的檢驗(yàn)測評(píng)工作人員的安全 2 范圍 適用于信息安全測評(píng)現(xiàn)場的檢驗(yàn)測評(píng)工作人員 3 要求 3.1信息安全測評(píng)現(xiàn)場的檢驗(yàn)測評(píng)工作人員嚴(yán)禁攜帶任何易燃、易爆、腐蝕性、強(qiáng)電磁、輻射性、流體物質(zhì)等對(duì)服務(wù)器、網(wǎng)絡(luò)正常運(yùn)行構(gòu)成威脅的物品進(jìn)入被測單位機(jī)房或其它測評(píng)現(xiàn)場 3.2信息安全測評(píng)現(xiàn)場的檢驗(yàn)測評(píng)工作人員應(yīng)遵守被測單位的工作制度，保護(hù)好客戶的各類資產(chǎn)，如有損壞，應(yīng)及時(shí)報(bào)告客戶，屬于本單位責(zé)任的，應(yīng)及時(shí)予以賠償測評(píng)人員應(yīng)做好保密工作，為被測單位的信息保密 3.3信息安全測評(píng)現(xiàn)場的檢驗(yàn)測評(píng)工作人員服裝要整齊、緊湊，保證測評(píng)時(shí)手腳靈活不應(yīng)穿鞋底帶釘皮鞋、拖鞋、涼鞋或易滑鞋，如果需要在防靜電環(huán)境下測評(píng)，測評(píng)人員應(yīng)穿戴防靜電服裝或手環(huán) 3.4測評(píng)工作人員在工作中應(yīng)精力集中，在測評(píng)現(xiàn)場嚴(yán)禁吸煙，不準(zhǔn)飲酒后測評(píng) 3.5測評(píng)人員在測評(píng)現(xiàn)場嚴(yán)禁觸摸任何強(qiáng)電開關(guān)、配電箱等設(shè)備，嚴(yán)禁亂拉接電源，嚴(yán)禁使用大功率的電器，以防造成短路或失火在測評(píng)現(xiàn)場如遇火災(zāi)應(yīng)有序逃離，不可慌亂 3.6測評(píng)人員在測評(píng)現(xiàn)場，如需登高開展檢驗(yàn)測評(píng)，必須2人以上配合作業(yè)，嚴(yán)禁1人獨(dú)自作業(yè)，需要時(shí)應(yīng)戴頭盔。

3.7在測評(píng)工作現(xiàn)場不準(zhǔn)吃飯、吃零食或進(jìn)行其它有害、污損服務(wù)器、網(wǎng)絡(luò)的行為，保持測評(píng)現(xiàn)場整潔、干凈 3.8如在環(huán)境較為惡劣的現(xiàn)場（如新裝修、在建建筑等）開展測評(píng)工作，工作人員必須穿戴安全帽等安全裝備如遇到不宜開展測評(píng)的天氣、環(huán)境、網(wǎng)絡(luò)情況時(shí)，應(yīng)立即停止測評(píng) 3.9現(xiàn)場測評(píng)要注意的基本原則： （1）所有現(xiàn)場測評(píng)人員與被測評(píng)單位簽署保密協(xié)議，防止信息泄密，保密期按照被測評(píng)單位要求執(zhí)行； （2）所有現(xiàn)場測評(píng)人員遵照國家有關(guān)政策、遵照國家相關(guān)標(biāo)準(zhǔn)、遵守行業(yè)特殊要求； （3）應(yīng)保證無人員操作事故、無系統(tǒng)測試事故、無損害系統(tǒng)運(yùn)行事故、無人身安全事故 （4）測評(píng)之前要求客戶配備關(guān)鍵設(shè)備和應(yīng)用系統(tǒng)的廠商技術(shù)人員，針對(duì)被測評(píng)系統(tǒng)，對(duì)可能存在的風(fēng)險(xiǎn)進(jìn)行告知，充分溝通系統(tǒng)的運(yùn)行情況，在測評(píng)期間如遇異常情況無法處理時(shí)，能夠在一定時(shí)間段內(nèi)趕到現(xiàn)場協(xié)助處理; （5）測評(píng)中如果涉及重要敏感信息需要及時(shí)和技術(shù)負(fù)責(zé)人進(jìn)行溝通是否進(jìn)行取證； （6）進(jìn)入機(jī)房、辦公室進(jìn)行實(shí)地驗(yàn)證時(shí)，嚴(yán)格執(zhí)行被測評(píng)單位要求，保證機(jī)房、辦公室地面潔凈； （4）進(jìn)入機(jī)房、辦公室內(nèi)，測評(píng)人員不可隨意觸摸被測設(shè)備，保證設(shè)備的正常運(yùn)行。

配置查看和人工測試，均由被測評(píng)單位設(shè)備管理人員進(jìn)行操作，測評(píng)人員負(fù)責(zé)描述操作步驟、采集相關(guān)數(shù)據(jù)，不得觸碰設(shè)備，避免發(fā)生意外安全事故； （5）測評(píng)組應(yīng)按照作業(yè)指導(dǎo)書進(jìn)行測評(píng)，詳細(xì)描述判定各測評(píng)項(xiàng)所需要的系統(tǒng)數(shù)據(jù)內(nèi)容以及采集方法，規(guī)范現(xiàn)場采集數(shù)據(jù)的步驟、方法和內(nèi)容，避免誤操作發(fā)生； （6）測評(píng)設(shè)備和工具需要接入則必須先請示被測單位同意后，由被測單位提供系統(tǒng)接入點(diǎn)，防止設(shè)備接入系統(tǒng)時(shí)出現(xiàn)安全事故； （7）根據(jù)用戶指定的現(xiàn)場場地辦公，離開時(shí)帶走所有辦公文件及設(shè)備，不在現(xiàn)場遺留任何測評(píng)資料 3.10測評(píng)啟動(dòng)會(huì)需要和被測單位說明的重要事項(xiàng) （1）提醒被測單位，如有必要，應(yīng)當(dāng)要求配合的開發(fā)商、廠商、集成商參與測評(píng)配合； （2）被檢單位需指定相關(guān)人員配合及操作； （3）需事先聲明現(xiàn)場可能需要取證并獲得授權(quán)許可； （4）測評(píng)風(fēng)險(xiǎn)的提示 3.11在滲透測試過程中，測試人員通常會(huì)利用攻擊者常用的工具和技術(shù)來對(duì)被測系統(tǒng)和數(shù)據(jù)發(fā)動(dòng)真實(shí)的攻擊，必然會(huì)對(duì)被測系統(tǒng)帶來安全風(fēng)險(xiǎn)，在極端狀況或應(yīng)用系統(tǒng)存在某些特定安全漏洞時(shí)可能會(huì)產(chǎn)生如下安全風(fēng)險(xiǎn)： （1）在使用web漏掃工具進(jìn)行漏洞掃描時(shí)，可能會(huì)對(duì)web服務(wù)器和web應(yīng)用程序帶來一定的負(fù)載，占用一定的資源，在極端情況下可能會(huì)造成服務(wù)器宕機(jī)或服務(wù)停止 （2）如web應(yīng)用程序某功能模塊提供對(duì)數(shù)據(jù)庫、文件寫操作的功能（包括執(zhí)行Insert、Delete、Update等命令），且未對(duì)該功能模塊實(shí)施數(shù)據(jù)有效性校驗(yàn)、驗(yàn)證碼機(jī)制、訪問控制等措施，則在進(jìn)行web漏掃時(shí)有可能會(huì)對(duì)數(shù)據(jù)庫、文件產(chǎn)生誤操作，如在數(shù)據(jù)庫中插入垃圾數(shù)據(jù)、刪除記錄/文件、修改數(shù)據(jù)/文件等； （3）在進(jìn)行特定漏洞驗(yàn)證時(shí)，可能會(huì)根據(jù)該漏洞的特性對(duì)主機(jī)或web應(yīng)用程序造成宕機(jī)、服務(wù)停止等風(fēng)險(xiǎn)； （4）在對(duì)web應(yīng)用程序/操作系統(tǒng)/數(shù)據(jù)庫等進(jìn)行口令暴力破解時(shí)，可能觸發(fā)其設(shè)置的安全機(jī)制，導(dǎo)致web應(yīng)用程序/操作系統(tǒng)/數(shù)據(jù)庫的賬戶被鎖定，暫時(shí)無法使用；在進(jìn)行主機(jī)遠(yuǎn)程漏洞掃描及進(jìn)行主機(jī)/數(shù)據(jù)庫溢出類攻擊測試，極端情況下可能導(dǎo)致被測試服務(wù)器操作系統(tǒng)/數(shù)據(jù)庫出現(xiàn)死機(jī)或重啟現(xiàn)象。

3.12針對(duì)滲透測試過程中可能出現(xiàn)的測試風(fēng)險(xiǎn)，測評(píng)人員宜向用戶詳細(xì)介紹滲透測試方案中的內(nèi)容，并對(duì)測試過程中可能出現(xiàn)的風(fēng)險(xiǎn)進(jìn)行提示，并與用戶就如下內(nèi)容進(jìn)行協(xié)商，做好滲透測試的風(fēng)險(xiǎn)管控： （1）測試時(shí)間：為減輕滲透測試造成的壓力和預(yù)備風(fēng)險(xiǎn)排除時(shí)間，宜盡可能選擇訪問量不大、業(yè)務(wù)不繁忙的時(shí)間窗口，測試前可在應(yīng)用系統(tǒng)上發(fā)布相應(yīng)的公告； （2）測試策略：為了防范測試導(dǎo)致業(yè)務(wù)的中斷，測試人員宜在進(jìn)行帶有滲透、破壞、不可控性質(zhì)的高風(fēng)險(xiǎn)測試前（如主機(jī)/數(shù)據(jù)庫溢出類驗(yàn)證測試、DDos等），與應(yīng)用系統(tǒng)管理人員進(jìn)行充分溝通，在應(yīng)用系統(tǒng)管理人員確認(rèn)后方可進(jìn)行測試；宜優(yōu)先考慮對(duì)與生產(chǎn)系統(tǒng)相同配置的非生產(chǎn)系統(tǒng)進(jìn)行測試，在非業(yè)務(wù)運(yùn)營時(shí)間進(jìn)行測試或在業(yè)務(wù)運(yùn)營時(shí)間使用非限制技術(shù)，以盡量減少對(duì)生產(chǎn)系統(tǒng)業(yè)務(wù)的影響；對(duì)于非常重要的生產(chǎn)系統(tǒng)，不建議進(jìn)行拒絕服務(wù)等風(fēng)險(xiǎn)不可控的測試，以避免意外崩潰造成不可挽回的損失； （3）備份策略：為防范滲透過程中的異常問題，建議在測試前管理員對(duì)系統(tǒng)進(jìn)行備份（包括網(wǎng)頁文件、數(shù)據(jù)庫等），以便在出現(xiàn)誤操作時(shí)能及時(shí)恢復(fù)；如果條件允許，也可以對(duì)目標(biāo)副本進(jìn)行滲透的方式加以實(shí)施； （4）應(yīng)急策略：測試過程中，如果被測系統(tǒng)出現(xiàn)無響應(yīng)、中斷或者崩潰等異常情況，測試人員宜立即中止?jié)B透測試，并配合用戶進(jìn)行修復(fù)處理；在確認(rèn)問題并恢復(fù)系統(tǒng)后,經(jīng)用戶同意方可繼續(xù)進(jìn)行其余的測試； （5）溝通機(jī)制：在測試前，宜確定測試人員和用戶配合人員的聯(lián)系方式，用戶方宜在測試期間安排專人值守，與測試人員保持溝通，如發(fā)生異常情況，可及時(shí)響應(yīng)；測試人員宜在測試結(jié)束后要求用戶檢驗(yàn)測評(píng)系統(tǒng)是否正常，以確保系統(tǒng)的正常運(yùn)行。