导图社区 信息安全技术模糊测试系统安全技术要求与测试评价方法
- 89
- 0
- 0
- 举报
信息安全技术模糊测试系统安全技术要求与测试评价方法
模糊测试系统是通过自动化生成并发送不同输入到目标程序，诱发、监控和分析程序运行时的异常，对软件制品进行缺陷检测和安全漏洞挖掘的工具。该系统基于程序分析技术，提供测试用例生成、测试用例执行、程序异常监控、缺陷分析等功能，以发现软件中的缺陷和安全问题，降低软件的安全风险。
提示: 本内容由社区用户上传并分享。平台不对内容的真实性、合法性、知识产权归属及是否侵害第三方权利进行事前审核或保证。本内容可能包含受版权保护的图片、字体或其他第三方素材，使用前请自行确认授权范围。
- 供应链安全检测
- 模糊测试系统
- 供应链产品标准
- 相似推荐
- 大纲
信息安全技术 模糊测试系统安全技术要求与测试评价方法
前言
引言
1 范围
本文件规定了模糊测试系统的安全技术要求和测试评价方法。
本文件适用于指导模糊测试系统的设计、开发和测试。
2 规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。
GB/T 25069 信息安全技术 术语
GB/T 20220164-T-469 信息安全技术 软件供应链安全要求
GB/T 11457 信息技术 软件工程术语
3 术语和定义
缺陷 Fault
在计算机程序中不正确的步骤、过程或数据定义。
[来源：GB/T 11457-2006，2.609]
模糊测试 Fuzz Testing（Fuzzing）
自动向程序/堆栈注入半随机数据并检测错误，发现软件、操作系统、数据库和网络中的编码错误或漏洞以及安全漏洞。
黑盒模糊测试 Black Box Fuzzing
在不了解被测目标内部结构和实现的情况下进行的模糊测试。
灰盒模糊测试 Gray Box Fuzzing
在了解部分被测目标的内部结构和实现的信息的情况下进行的模糊测试。
白盒模糊测试 White Box Fuzzing
在完全了解被测目标内部结构、实现（如源代码）和运行机制的情况下进行的模糊测试。
基本块 Basic Block
按照顺序一组顺序执行的指令，具有单一输入和单一输出的代码片段或成组业务指令。
块覆盖率 Block Coverage
被测对象中基本块受到控制影响至少一次的比例。
行覆盖率 Line Coverage
被测对象可执行的源码行数受控制影响占源码行数的比例。
边覆盖率 Side Coverage
被测对象基本块的控制流转移逻辑至少被影响一次的比例。
4 缩略语
SBOM 软件物料清单 （software bill of materials）
IDE 集成开发环境（Integrated Development Environment）
5 产品概述
模糊测试系统是通过自动化生成并发送不同输入到目标程序，诱发、监控和分析程序运行时的异常，对软件制品进行缺陷检测和安全漏洞挖掘的工具。该系统基于程序分析技术，提供测试用例生成、测试用例执行、程序异常监控、缺陷分析等功能，以发现软件中的缺陷和安全问题，降低软件的安全风险。
该类产品的部署方式如下图1：
6 安全技术要求
6.1 安全功能要求
6.1.1 测试用例生成
6.1.1.1 测试对象
产品应支持针对以下一种或多种系统的模糊测试。
6.1.1.1.1 网络通信服务软件
产品应能够对使用网络协议进行数据传输的通信服务软件进行模糊测试，包括：
a)应支持常用网络协议，至少包括FTP、RDP、HTTP、DNS、SSH、蓝牙等；
b)应支持根据协议规范或协议样例变异生成测试用例；
c)支持制造业常用协议，如CAN、CANFD、Modbus等。
6.1.1.1.2 操作系统内核
产品应能够对操作系统内核进行模糊测试，包括：
a)应支持linux内核和驱动模糊测试；
b)支持内核异常、内存问题（缓冲区溢出、访问越界、空指针异常、UAF）等缺陷检测。
6.1.1.1.3 数据库管理系统
产品应能够对数据库管理进行模糊测试，包括：
a)应支持一种或多种SQL语法生成合法的SQL文本；
b)应支持内存问题（缓冲区溢出、访问越界、空指针异常、UAF）等缺陷检测。
6.1.1.1.4 文件处理应用软件
产品应能够对应用软件进行模糊测试，包括：
a)支持Windows和Linux平台下的应用程序；
b)支持源代码级应用软件，包括但不限于：C、C++、Go、JavaScript、Rust等语言；
c)支持二进制应用软件，至少应支持.ELF格式；
6.1.1.2 数据生成方式
产品应支持多种方式生成测试用例数据，包括：
a)应支持随机算法生成各种类型的测试用例数据，包括但不限于：buf、整型、浮点型、字符（串）型、结构体。例如，对于字符串输入，可以生成随机的字母、数字、特殊字符组合的字符串；
b)应支持生成接近或超出边界值的测试用例数据；
c)应支持生成符合特定格式的测试用例数据；
d)支持测试用例有效性分析；
e)针对灰盒和白盒模糊测试产品，应支持通过智能算法（覆盖率引导的变异算法、遗传算法、模型驱动、突变模糊等）、异常测试（错误注入、等价划分、边界值分析等）、自动化测试等方法生成测试用例；
f)针对网络通信服务软件的模糊测试产品，应支持生成符合协议规范的测试用例；应覆盖协议规定的全部消息类型并生成相应的模糊测试用例；应支持协议规定的规则（如加密解密、长度域计算、校验码计算等），并在测试用例中体现。
6.1.2 测试执行
6.1.2.1 测试执行环境
产品应支持在多种环境下执行模糊测试，包括：单机部署、服务器部署、虚拟化部署等。
6.1.2.2 并行模糊测试
产品应能并行执行模糊测试，包括：
a)应支持单机多核并行模糊测试；
b)针对灰盒和白盒模糊测试产品：
1)宜支持多机多核并行模糊测试；
2)宜支持创建异构多引擎并行模糊测试任务；
3)应支持并行模糊测试节点的状态监控和信息同步功能，包括但不限于节点CPU、内存状态监控、种子信息同步、代码覆盖率信息同步等。
6.1.3 异常监控和分析处理
6.1.3.1 异常监控
产品应能够对模糊测试中的软件异常进行监控，包括：
a)针对灰盒和白盒模糊测试产品：
1)应支持监控和捕获应用程序的错误、异常等，记录错误信息、堆栈跟踪和日志，以分析和定位问题；
2)应支持监控和记录应用程序的内存使用情况；
3)针对白盒模糊测试产品，应支持定位并展示缺陷触发堆栈和对应的源代码信息；
b)针对黑盒模糊测试产品，应支持通过流量监控或发送未畸变用例测试被测对象的响应状态，判断被测对象是否发生异常。
6.1.3.2 异常分析处理
产品应支持对模糊测试中的软件异常进行分析和处理，包括：
a)针对灰盒和白盒模糊测试产品，对软件产生的异常进行分析处理，包括但不限于：
1)对异常进行汇总去重、按异常类型进行分类管理；
2)支持在模糊测试系统内对软件异常进行直接复现，并提供复现日志信息。
b)针对灰盒和白盒模糊测试产品，应能根据异常信息进行漏洞识别，可识别的漏洞类型包括但不限于：栈溢出、堆错误、并提供缺陷CWE编号等；
6.1.4 覆盖率分析
本节不适用于黑盒模糊测试工具。
6.1.4.1 覆盖率计算
a)产品应支持通过代码插桩技术跟踪被执行的代码路径，记录模糊测试访问到的代码，收集和计算覆盖率指标。
b)宜支持查看被测对象详细的行覆盖情况，并可视化标注，便于识别测试的充分程度。
6.1.4.2 覆盖率指标
产品应支持收集和计算的覆盖率指标应包括以下一种或多种：
a)边覆盖率，衡量模糊测试中执行的应用程序边覆盖情况；
b)基本块覆盖率，衡量模糊测试中执行的应用程序中基本块覆盖情况。
c)分支覆盖率，衡量模糊测试中执行的应用程序分支覆盖情况；
d)函数覆盖率，衡量模糊测试中执行的应用程序中函数覆盖情况；
e)行覆盖率，衡量模糊测试中执行的应用程序中行覆盖情况；
6.1.5 测试结果处理
6.1.5.1 结果浏览与检索
产品应提供模糊测试任务、异常、结果的浏览和检索功能。
6.1.5.2 结果统计分析
产品应提供数据统计分析功能，包括缺陷数量统计、缺陷类型统计等，对分析结果进行图形化展示。
6.1.5.3 任务信息描述
产品应提供任务信息描述功能，包括模糊测试状态，提供任务状态、运行时长、测试引擎、覆盖信息、有效测试用例。
6.1.5.4 异常信息描述
灰盒和白盒模糊测试产品应能够对测试结果中的异常给出具体描述，包括：
a)导致异常的指令地址；
b)异常现场的栈回溯、寄存器信息、内存信息、异常日志等信息；
c)支持异常现场的源代码定位或汇编代码展示。
6.1.5.5 异常用例下载
a)产品应支持对检测到异常的模糊测试用例进行下载；
b)产品应支持下载包含测试用例的PoC。
6.1.5.6 测试报告
6.1.5.6.1 报告生成
产品应支持根据测试结果生成相应的报告，报告展示模糊测试各项内容及多个目标的汇总结果，包括测试任务的摘要信息、测试结果的统计信息、问题描述等。支持测试文档标准化，满足自动化生成、自定义需求。
6.1.5.6.2 报告导出
产品应支持通用格式报告导出，包括但不限于PDF、DOC等。
6.2 自身安全要求
6.2.1 身份鉴别
6.2.1.1 管理员鉴别
产品应在管理员执行任何与安全功能相关的操作之前对管理员身份进行鉴别。
6.2.1.2 鉴别信息要求
产品应提供以下鉴别功能：
a)在采用基于口令的鉴别信息时，产品应对管理员设置的口令进行复杂度检查，确保管理员口令满足规定的复杂度要求；
b)当存在默认口令时，系统应提示管理员对默认口令进行修改，以减少用户身份被冒用的风险；
c)产品应提供鉴别信息定期更换功能，当鉴别信息使用时间达到使用期限阈值前，应提示管理员进行修改。
6.2.1.3 鉴别失败处理
当管理员鉴别尝试失败连续达到指定次数后，产品应阻止管理员进一步的鉴别请求，并将有关信息生成审计事件。最多失败次数仅由授权管理员设定。
6.2.1.4 鉴别数据保护
产品应保护鉴别数据不被未授权查阅和修改。
6.2.1.5 超时设置
产品应具有管理员登录超时重新鉴别功能，在设定的时间段内没有任何操作的情况下，锁定或终止会话，需要再次进行身份鉴别才能够重新使用产品，最大超时时间仅由授权管理员设定。
6.2.1.6 管理地址限制
产品应对管理员登录的地址进行限制。
6.2.1.7 会话锁定
产品应允许管理员锁定当前的交互会话，锁定后需要再次进行身份鉴别才能够重新管理产品。
6.2.2 管理员管理
6.2.2.1 标识唯一性
产品应保证所设置的管理员标识全局唯一。
6.2.2.2 管理员属性定义
产品应为每一个管理员保存安全属性表，属性应包括:管理员标识、鉴别数据、授权信息或管理组信息、其他安全属性等。
6.2.2.3 安全行为管理
产品应仅允许授权管理员对产品进行功能设置、参数修改、安全策略变更，以及启用/停用等操作。
6.2.2.4 管理员角色
产品应能设置多个不同权限的角色，并应保证每一个角色标识是全局唯一的。
6.2.3 安全审计
6.2.3.1 审计日志生成
产品应生成以下事件的审计日志：
a）管理员的登录成功和失败；
b）对扫描策略进行设置、修改、启用/停用等操作；
c）对管理员或者角色进行增加、删除和属性修改的操作。
产品应在每一个审计日志记录中记录事件发生的日期、时间、用户标识、事件描述和结果。若采用远程登录方式还应记录管理主机的IP地址。
6.2.3.2 审计日志查阅
产品应为授权管理员提供审计日志查阅功能，方便管理员查看审计结果。
6.2.3.3 受限的审计日志查阅
除了具有明确访问权限的授权管理员之外，产品应禁止所有其他用户对审计日志的访问。
6.2.3.4 可选审计查阅
产品应支持按照一定条件对审计日志进行检索或排序。
6.2.4 数据安全
6.2.4.1 安全管理
产品应能够对分析数据进行安全管理，包括：
a)应在分析完成后删除缓存的目标软件数据；
b)应采取措施保障存储数据和数据迁移的安全性。
6.2.4.2 数据存储告警
产品应在数据存储空间将耗尽等情况时,自动产生告警,产生告警的剩余存储空间大小应由管理员自主设定。
6.2.5 通信安全
若产品组件间通过网络进行通信,应采取措施保障传输数据的安全性。
6.2.6 支撑系统安全
产品的支撑系统应：
a）进行必要的裁剪,不提供多余的组件或网络服务;
b）重启过程中,分析任务配置和日志信息不丢失;
c）不含已知中、高、超危安全漏洞。
6.3 环境适应性要求
6.3.1 支持多种部署架构
产品应支持多种部署架构，产品应支持 C/S 架构或B/S 架构使用，实现对产品的操作和管理，包括发起检测任务、生成检测报告等。
6.4 安全保障要求
6.4.1 开发
6.4.1.1 安全架构
开发者应提供产品安全功能和自身安全保护的安全架构描述，安全架构描述应满足以下要求：
a)与产品设计文档中对安全功能实施抽象描述的级别一致；
b)描述与安全功能要求一致的产品安全功能的安全域；
6.4.1.2 功能规范
开发者应提供完备的功能规范说明，功能规范说明应满足以下要求：
a)完全描述产品的安全功能；
b)描述所有安全功能接口的目的与使用方法；
c)标识和描述每个安全功能接口相关的所有参数；
d)描述安全功能接口相关的安全功能实施行为；
e)描述由安全功能实施行为处理而引起的直接错误消息；
f)证实安全功能要求到安全功能接口的追溯。
6.4.1.3 产品设计
开发者应提供产品设计文档，产品设计文档应满足以下要求：
a)根据子系统描述产品结构；
b)标识和描述产品安全功能的所有子系统；
c)描述安全功能所有子系统间的相互作用；
d)提供的映射关系能够证实设计中描述的所有行为能够映射到调用它的安全功能接口。
6.4.2 指导性文档
6.4.2.1 操作用户指南
开发者应提供明确和合理的操作用户指南，操作用户指南与为评估而提供的其他所有文档保持一致，对每一种用户角色的描述应满足以下要求：
a)描述在安全处理环境中被控制的用户可访问的功能和特权，包含适当的警示信息；
b)描述如何以安全的方式使用产品提供的可用接口；
c)描述可用功能和接口，尤其是受用户控制的所有安全参数，适当时指明安全值；
d)明确说明与需要执行的用户可访问功能有关的每一种安全相关事件，包括改变安全功能所控制实体的安全特性；
e)标识产品运行的所有可能状态（包括操作导致的失败或者操作性错误），以及它们与维持安全运行之间的因果关系和联系；
f)充分实现安全目的所必须执行的安全策略。
6.4.2.2 准备程序
开发者应提供产品及其准备程序，准备程序描述应满足以下要求：
a)描述与开发者交付程序相一致的安全接收所交付产品必需的所有步骤；
b)描述安全安装产品及其运行环境必需的所有步骤。
6.4.3 生命周期支持
6.4.3.1 配置管理能力
开发者的配置管理能力应满足以下要求：
a)为产品的不同版本提供唯一的标识；
b)使用配置管理系统对组成产品的所有配置项进行维护，并唯一标识配置项；
c)提供配置管理文档，配置管理文档描述用于唯一标识配置项的方法。
6.4.3.2 配置管理范围
开发者应提供产品配置项列表，并说明配置项的开发者。配置项列表至少包含产品、安全保障要求的评估证据和产品的组成部分。
6.4.3.3 交付程序
开发者应使用一定的交付程序交付产品，并将交付过程文档化。在给用户方交付产品的各版本时，交付文档应描述为维护安全所必需的所有程序。
6.4.4 测试
6.4.4.1 覆盖
开发者应提供测试覆盖文档，测试覆盖描述应表明测试文档中所标识的测试与功能规范中所描述的产品的安全功能间的对应性。
6.4.4.2 功能测试
开发者应测试产品安全功能，将结果文档化并提供测试文档。测试文档应包括以下内容：
a)测试计划，标识要执行的测试，并描述执行每个测试的方案，这些方案包括对于其它测试结果的任何顺序依赖性；
b)预期的测试结果，表明测试成功后的预期输出；
c)实际测试结果和预期的测试结果一致。
6.4.4.3 独立测试
开发者应提供一组与其自测安全功能时使用的同等资源，以用于安全功能的抽样测试。
6.4.5 脆弱性评定
基于已标识的潜在脆弱性，产品能够抵抗具有基本攻击潜力攻击者的攻击。
7 测试评价方法
7.1 测试环境
模糊测试系统功能测试评价的典型网络拓扑结构如图 2 所示：
测试环境包括所需的网络设备、标靶软件，以及模糊测试系统的管理客户端和服务端。其中，产品管理客户端应安装有主流浏览器、文字处理办公软件；产品服务端应准备不同CPU架构、操作系统的多套环境；网络设备应完成网络配置，保障网络互通，能够正确转发待测协议数据；标靶软件应完成待测功能的配置。
7.2 安全功能要求
7.2.1 测试用例生成
7.2.1.1 测试对象
7.2.1.1.1 网络通信服务软件
a)测评方法：
1)配置产品检测使用网络协议进行数据传输的通信服务软件，覆盖的网络协议至少包括FTP、RDP、HTTP、DNS、SSH、CAN、CAN FD、Modbus；
2)配置产品根据协议规范或协议样例变异生成测试用例；
3)执行配置的模糊测试任务，产品对通信服务软件进行检测。
b)预期结果：
1)产品能对使用FTP、RDP、HTTP、DNS、SSH、CAN、CAN FD、Modbus协议的通信服务软件进行模糊测试，正常执行任务并生成结果；
2)产品能够根据协议规范或协议样例变异生成测试用例；
3)产品能通过通信协议将模糊测试用例发送至被测对象，与被测对象实现消息交互。
c)结果判定：
实际测评结果与预期结果一致则判定为符合，其他情况判定为不符合。
7.2.1.1.2 操作系统内核
a)测评方法：
1)配置产品检测linux内核和驱动；
2)执行配置的模糊测试任务，产品对linux内核和驱动进行检测；
3)检查任务执行结果。
b)预期结果：
1)产品能对Linux内核和驱动进行模糊测试，正常执行任务并生成结果；
2)生成结果中包含但不限于指针错误、内存问题、竞争条件、权限提升漏洞、输入验证错误、进程死锁、系统调用错误、驱动程序缺陷等缺陷。
c)结果判定：
实际测评结果与预期结果一致则判定为符合，其他情况判定为不符合。
7.2.1.1.3 数据库管理系统
a)测评方法：
1)配置产品检测数据库管理系统；
2)执行配置的模糊测试任务，产品对数据库管理系统进行检测；
3)检查任务执行结果；
4)检查测试用例数据信息。
b)预期结果：
1)产品能对数据库管理系统进行模糊测试，正常执行任务并生成结果；
2)检测结果中存在内存问题（缓冲区溢出、访问越界、空指针异常、UAF）等缺陷；
3)测试用例中包含根据特定数据库的SQL语法生成的数据。
c)结果判定：
实际测评结果与预期结果一致则判定为符合，其他情况判定为不符合。
7.2.1.1.4 文件处理应用软件
a) 测评方法：
1) 配置产品检测在Linux或 Windows 中运行的应用软件靶标；
2) 检查测试目标信息，二进制是否为 .ELF格式，源代码是否为 C、C++、Go、JavaScript、Rust等语言；
3) 执行配置的模糊测试任务，产品对靶标应用软件进行检测；
4) 检查任务执行结果。
b) 预期结果：
1) 产品能对在Linux或 Windows 中运行的应用软件靶标进行模糊测试，正常执行任务并生成结果。
c) 结果判定：
实际测评结果与预期结果一致则判定为符合，其他情况判定为不符合。
7.2.1.2 数据生成方式
a)测评方法：
1)配置产品检测测试对象；
2)执行配置的模糊测试任务；
3)检查任务执行结果；
4)检查测试用例数据信息；
5)检查测试用例有效性分析情况。
b)预期结果：
1)产品能正常执行任务并生成结果；
2)测试用例中包含随机算法生成各种类型的测试用例数据；
3)测试用例中包含接近或超出边界值的测试用例数据；
4)测试用例中包含符合特定格式的测试用例数据；
5)能够支持测试用例有效性分析；
6)针对灰盒和白盒模糊测试产品，能够通过智能算法、异常测试、自动化测试等方法生成测试用例；
7)针对网络通信服务软件的模糊测试产品，能够生成符合协议规范的测试用例，能够覆盖协议规定的全部消息类型并生成相应的模糊测试用例，能够支持协议规定的规则，并在测试用例中体现。
c)结果判定：
实际测评结果与预期结果一致则判定为符合，其他情况判定为不符合。
7.2.2 测试执行
7.2.2.1 测试执行环境
a)测评方法：
1)通过单机部署、服务器部署、虚拟化方式部署产品；
2)在各部署方式下配置产品模糊测试任务；
3)执行配置的模糊测试任务；
4)检查任务执行结果。
b)预期结果：
1)产品在单机部署、服务器部署、虚拟化方式部署下能够正常工作；
2)各部署方式下的模糊测试任务能够正常执行，生成模糊测试结果。
c)结果判定：
实际测评结果与预期结果一致则判定为符合，其他情况判定为不符合。
7.2.2.2 并行模糊测试
a)测评方法：
1)配置并执行单机多核并行模糊测试任务；
2)配置并执行多机多核并行模糊测试任务；
3)配置异构多引擎并行模糊测试任务；
4)执行配置的并行模糊测试任务；
5)检查并行模糊测试节点的状态监控和信息同步；
6)检查多机并行模糊测试节点的CPU、内存状态监控、种子信息同步、代码覆盖率信息同步等；
7)检查任务执行结果。
b)预期结果：
1)产品能够正常执行单机多核并行模糊测试任务，生成模糊测试结果；
2)产品能够正常执行多机多核并行模糊测试任务，生成模糊测试结果；
3)产品能够正常执行异构多引擎并行模糊测试任务，生成模糊测试结果；
4)产品能够对并行模糊测试节点的状态进行监控，能够同步节点信息。
c)结果判定：
实际测评结果与预期结果一致则判定为符合，其他情况判定为不符合。
7.2.3 异常监控和分析处理
7.2.3.1 异常监控
a)测评方法：
1)配置并执行模糊测试任务；
2)检查模糊测试任务结果信息；
b)预期结果：
1)针对灰盒和白盒模糊测试产品，模糊测试任务结果信息中包含被测目标的错误、异常信息，包括堆栈跟踪和日志信息；模糊测试任务结果信息中包含被测目标的内存使用情况信息；
2)针对源代码模糊测试产品检出的问题，可查看堆栈及源代码信息。
c)结果判定：
实际测评结果与预期结果一致则判定为符合，其他情况判定为不符合。
7.2.3.2 异常分析处理
a)测评方法：
1)配置并执行模糊测试任务；
2)检查模糊测试任务结果信息中的异常信息；
3)对异常进行去重、按异常类型进行分类管理；
4)检查模糊测试任务结果中的漏洞识别信息。
b)预期结果：
1)模糊测试任务结果信息中包含异常分析处理，能够对异常样本进行去重、按类型进行分类管理；
2)模糊测试任务结果信息中包含被测目标的漏洞识别信息，漏洞类型包括但栈溢出、堆错误、CWE信息。
c)结果判定：
实际测评结果与预期结果一致则判定为符合，其他情况判定为不符合。
7.2.4 覆盖率分析
7.2.4.1 覆盖率计算
a)测评方法：
1)配置并执行模糊测试任务；
2)检查模糊测试任务结果信息中的覆盖率信息；
b)预期结果：
1)模糊测试任务结果信息中包含边、分支、函数、行、基本块覆盖率信息；
2)在系统内可通过可视化的方式查看具体代码行的覆盖信息。
c)结果判定：
实际测评结果与预期结果一致则判定为符合，其他情况判定为不符合。
7.2.4.2 覆盖率指标
a)测评方法：
1)配置并执行模糊测试任务；
2)检查模糊测试任务结果信息中的覆盖率信息。
b)预期结果：
1)模糊测试任务结果信息中包含边覆盖率信息；
2)模糊测试任务结果信息中包含基本块覆盖率信息；
3)模糊测试任务结果信息中包含分支覆盖率信息；
4)模糊测试任务结果信息中包含函数覆盖率信息；
5)模糊测试任务结果信息中包含行覆盖率信息。
c)结果判定：
实际测评结果与预期结果其中的一项一致则判定为符合，其他情况判定为不符合。
7.2.5 测试结果处理
7.2.5.1 结果浏览与检索
a)测评方法：
1)配置并执行模糊测试任务；
2)检索与浏览模糊测试任务结果；
b)预期结果：
1)能够检索与浏览模糊测试任务结果。
c)结果判定：
实际测评结果与预期结果一致则判定为符合，其他情况判定为不符合。
7.2.5.2 结果统计分析
a)测评方法：
1)配置并执行模糊测试任务；
2)检查模糊测试任务结果统计信息；
b)预期结果：
1)模糊测试任务结果统计包括缺陷数量统计、缺陷类型统计等。
c)结果判定：
实际测评结果与预期结果一致则判定为符合，其他情况判定为不符合。
7.2.5.3 任务信息描述
a)测评方法：
1)配置并执行模糊测试任务；
2)检查模糊测试任务信息；
b)预期结果：
1)模糊测试任务信息包含模糊测试任务状态、运行时长、测试引擎、覆盖信息、有效测试用例；
c)结果判定：
实际测评结果与预期结果一致则判定为符合，其他情况判定为不符合。
7.2.5.4 异常信息描述
a)测评方法：
1)配置并执行模糊测试任务；
2)检查模糊测试结果中的缺陷信息；
b)预期结果：
1)模糊测试任务结果中的缺陷信息包含导致程序崩溃的指令地址；
2)模糊测试任务结果中的缺陷信息包含崩溃现场的栈回溯、信号、寄存器信息、缺陷代码位置信息；
3)模糊测试任务结果中的缺陷信息包含崩溃现场的源代码定位或汇编代码；
4)可查看问题现场的栈回溯、寄存器信息、内存信息、异常日志等信息；
5)可查看异常现场的源代码。
c)结果判定：
实际测评结果与预期结果一致则判定为符合，其他情况判定为不符合。
7.2.5.5 异常用例下载
a)测评方法：
1)配置并执行模糊测试任务；
2)下载任务执行的模糊测试用例。
b)预期结果：
1)能够下载任务执行的模糊测试用例；
2)下载的测试用例包含 PoC 信息，支持直接在环境中复现。
c)结果判定：
实际测评结果与预期结果一致则判定为符合，其他情况判定为不符合。
7.2.5.6 测试报告
7.2.5.6.1 报告生成
a)测试方法：
1）根据产品说明书，检查产品是否能够生成测试结果报告；
2）检查报告是否展示模糊测试各项内容及多个目标的汇总结果；
3）检查报告是否生成测试任务的摘要信息、测试结果的统计信息、问题描述。
b)预期结果：
1）测试结果报告展示动态应用安全测试各项内容及多个目标的汇总结果；
2）测试结果报告具有测试任务的摘要信息、测试结果的统计信息、问题描述。
c)结果判定：
上述预期结果均满足判定为符合，其他情况判定为不符合。
7.2.5.6.2 报告导出
a)测试方法：
1）根据产品说明书，进行报告导出操作；
2）检查产品是否能够按照PDF、DOC等多种通用文档格式中的一种或者多种导出。
b)预期结果：
1）报告能够按照PDF、DOC等多种通用文档格式中的一种或者多种导出且内容无错误。
c)结果判定：
上述预期结果均满足判定为符合，其他情况判定为不符合。
7.3 自身安全要求
7.3.1 身份鉴别
7.3.1.1 管理员鉴别
管理员鉴别的测试评价方法如下所示。
a)测试评价方法：
登录产品管理界面，检查是否在执行所有功能之前都要求首先进行身份认证。
b)预期结果：
1）在管理员执行任何与安全功能相关的操作之前都应对管理员进行鉴别；
2）登录之前允许做的操作，应仅限于输入登录信息、查看登录帮助等操作；
3）允许管理员在登录后执行与其安全功能相关的各类操作时，不再重复认证。
c)结果判定：
上述预期结果均满足判定为符合，其他情况判定为不符合。
7.3.1.2 鉴别信息要求
鉴别信息要求的测试评价方法如下所示。
a)测试评价方法：
1）对采用基于口令作为鉴别信息的产品，在设置或修改管理员口令时，检查产品是否对管理员设置的口令进行复杂度检查，是否满足口令复杂度要求；
2）当产品初始化存在默认口令时，检查产品是否会提示管理员对默认口令进行修改；
3）检查产品是否提供鉴别信息定期更换功能，当鉴别信息使用时间达到使用期限阈值前，是否提示管理员进行修改。
b)预期结果：
1）对采用基于口令作为鉴别信息的产品，产品支持对管理员设置的口令进行复杂度检查，确保管理员口令满足一定的复杂度要求；
2）当存在默认口令时，产品应提示管理员对默认口令进行修改；
3）提供鉴别信息定期更换功能，当鉴别信息使用时间达到使用期限阈值前，提示管理员进行修改。
c)结果判定：
上述预期结果均满足判定为符合，其他情况判定为不符合。
7.3.1.3 鉴别失败处理
鉴别失败处理的测试评价方法如下所示。
a)测试评价方法：
1）检查产品的安全功能是否可定义管理员鉴别尝试的最大允许失败次数；
2）检查产品的安全功能是否可定义当管理员鉴别尝试失败连续达到指定次数后，采取相应的措施、阻止管理员进一步的鉴别请求；
3）尝试多次失败的管理员鉴别行为，检查到达指定的鉴别失败次数后，产品是否采取了相应的措施，并生成了审计事件。
b)预期结果：
1）产品具备定义管理员鉴别尝试的最大允许失败次数的功能；
2）产品可定义当管理员鉴别尝试失败连续达到指定次数后，采取相应的措施(如锁定该账号)；
3）当管理员鉴别尝试失败连续达到指定次数后，系统应锁定该账号，并将有关信息生成审计事件；
4）最多失败次数仅由授权管理员设定。
c)结果判定：
上述预期结果均满足判定为符合，其他情况判定为不符合。
7.3.1.4 鉴别数据保护
鉴别数据保护的测试评价方法如下所示。
a)测试评价方法：
1）检查产品是否仅允许指定权限的管理员可查阅或修改身份鉴别数据；
2）以非授权管理员的身份尝试查阅或修改身份鉴别数据。
b)预期结果：
1）产品仅允许指定权限的管理员查阅或修改身份鉴别数据；
2）非授权管理员无法查阅或修改身份鉴别数据。
c)结果判定：
上述预期结果均满足判定为符合，其他情况判定为不符合。
7.3.1.5 超时设置
超时设置的测试评价方法如下所示。
a)测试评价方法：
1）检查产品是否具有管理员登录超时重新鉴别功能；
2）设定管理员登录超时重新鉴别的时间段，登录管理员后在设定的时间段内没有任何操作，检查产品是否锁定或终止了会话，管理员是否需要再次进行身份鉴别才能够重新管理和使用产品；
3）检查最大超时时间是否仅由授权管理员设定。
b)预期结果：
1）产品具有登录超时重新鉴别功能；
2）任何登录管理员在设定的时间段内没有任何操作的情况下，都被锁定或终止了会话，管理员需要再次进行身份鉴别才能够重新管理和使用产品；
3）最大超时时间仅由授权管理员设定。
c)结果判定：
上述预期结果均满足判定为符合，其他情况判定为不符合。
7.3.1.6 管理地址限制
管理地址限制的测试评价方法如下所示。
a)测试评价方法：
1）检查产品是否支持对管理地址进行限制，尝试以非授权范围内的地址主机登录产品管理界面；
2）尝试以授权范围内地址的主机登录产品管理界面。
b)预期结果：
1）产品应对管理员登录的地址进行限制，不能够以非授权范围内的地址登录产品管理界面；
2）支持以授权范围内地址的主机登录产品管理界面。
c)结果判定：
上述预期结果均满足判定为符合，其他情况判定为不符合。
7.3.1.7 会话锁定
会话锁定的测试评价方法如下所示。
a)测试评价方法：
1）交互会话期间找到并使用“锁定”功能，锁定交互会话后，无法再次执行管理操作；
2）系统能够正确要求再次进行身份鉴别，如输入密码、指纹识别等。
b)预期结果：
使用“锁定”功能后，无法执行管理操作，并需要进行身份鉴别后方可进行操作。
c)结果判定：
上述预期结果均满足判定为符合，其他情况判定为不符合。
7.3.2 管理员管理
7.3.2.1 标识唯一性
标识唯一性的测试评价方法如下所示。
a)测试评价方法：
1）尝试定义多个管理员；
2）尝试添加一个已有标识的管理员；
3）检查产品是否提示该标识管理员已存在，拒绝具有相同标识管理员的添加。
b)预期结果：
1）产品应允许定义多个管理员；
2）应保证每一个管理员标识是全局唯一的，不允许一个管理员标识用于多个管理员。
c)结果判定：
上述预期结果均满足判定为符合，其他情况判定为不符合。
7.3.2.2 管理员属性定义
管理员属性定义的测试评价方法如下所示。
a)测试评价方法：
定义分属于不同角色的多个管理员，检查输入的管理员信息是否都能被保存。
b)预期结果：
产品应为每一个管理员保存其安全属性，包括：管理员标识、鉴别数据(如密码)、授权信息或管理员组信息、其他安全属性等，输入的管理员信息无丢失现象发生。
c)结果判定：
上述预期结果均满足判定为符合，其他情况判定为不符合。
7.3.2.3 安全行为管理
安全行为管理的测试评价方法如下所示。
a)测试评价方法：
1）检查产品的安全功能是否明确规定仅限于指定的授权管理员能对产品的功能进行设置修改、启用/停用等操作；
2）检查指定的授权管理员对产品进行功能设置、参数修改、安全策略变更，以及启用/停用等操作前，是否应先登录才能操作。
b)预期结果：
1）产品仅限于指定授权管理员才能对产品进行功能设置、参数修改、安全策略变更，以及启用/停用等操作；
2）指定的授权管理员对产品进行功能设置、参数修改、安全策略变更，以及启用/停用等操作前，都应先通过身份鉴别。
c)结果判定：
上述预期结果均满足判定为符合，其他情况判定为不符合。
7.3.2.4 管理员角色
管理员角色的测试评价方法如下所示。
a)测试评价方法：
检查产品的安全功能是否允许定义多个不同权限的角色。
b)预期结果：
1）产品允许定义多个不同权限的角色；
2）每个角色可以具有多个管理员，每个管理员只能属于一个角色；
3）保证每一个角色标识是全局唯一的，不允许一个角色标识用于多个角色。
c)结果判定：
上述预期结果均满足判定为符合，其他情况判定为不符合。
7.3.3 安全审计
7.3.3.1 审计日志生成
审计日志生成的测试评价方法如下所示。
a)测试评价方法：
1）尝试进行 5.2.1.3.1 要求的各项操作，触发审计事件；
2）查看审计日志是否包括事件发生的期、时间、用户标识、事件描述和结果；
3）若产品支持远程管理，查看审计日志是否记录管理主机的 IP 地址。
b)预期结果：
1）产品能够针对上述事件生成审计日志，日志内容包括事件发生的日期、时间、用户标识、事件描述和结果；
2）当产品支持远程管理时，审计日志能够记录管理主机的 IP 地址。
c)结果判定：
上述预期结果均满足判定为符合，其他情况判定为不符合。
7.3.3.2 审计日志查阅
审计日志查阅的测试评价方法如下所示。
a)测试评价方法：
1）以授权管理员身份尝试从审计日志中读取全部审计信息；
2）检查产品是否为授权管理员提供从审计日志中读取全部审计信息的功能。
b)预期结果：
产品为授权管理员提供从审计日志中读取全部审计信息的功能。
c)结果判定：
上述预期结果均满足判定为符合，其他情况判定为不符合。
7.3.3.3 受限的审计日志查阅
受限的审计日志查阅的测试评价方法如下所示。
a)测试评价方法：
分别模拟授权与非授权管理员访问审计日志，检查产品安全功能是否仅允许授权管理员访问。
b)预期结果：
产品限制审计日志的访问。除了具有明确访问权限的授权管理员之外，禁止所有其他用户对审计日志的访问。
c)结果判定：
上述预期结果均满足判定为符合，其他情况判定为不符合。
7.3.3.4 可选审计查阅
可选审计查阅的测试评价方法如下所示。
a)测试评价方法：
检查产品是否能够支持按照一定条件，包括但不限于时间、主体、客体等对审计日志进行检索或排序。
b)预期结果：
产品支持按照一定条件对审计日志进行检索或排序。
c)结果判定：
上述预期结果均满足判定为符合，其他情况判定为不符合。
7.3.4 数据安全
7.3.4.1 安全管理
对安全管理的测试评价方法如下所示。
a)测试方法：
检查开发者文档中对数据安全管理的描述。
b)预期结果：
产品支持按照一定条件对审计日志进行检索或排序。
c)结果判定：
上述预期结果均满足判定为符合，其他情况判定为不符合。
7.3.4.2 数据存储告警
对数据存储告警的测试评价方法如下所示。
a)测试方法：
1)检查产品安全功能是否具有存储剩余空间将耗尽的告警功能；
2)检查产品安全功能是否允许管理员设定产生告警的的剩余存储空间的大小；
3)人为地将产品存储器空间耗至设定的告警值以下,检查查产品是否告警。
b)预期结果：
1)产品在发生数据存器空间将耗尽的情况时,自动产生告警；
2)允许管理员设定产生告警的剩余存储空间的大小。
c)结果判定：
上述预期结果均满足判定为符合，其他情况判定为不符合。
7.3.4.3 数据外发
对数据外发的测试评价方法如下所示。
a)测试方法：
检查开发者文档中对数据外发内容的描述。
b)预期结果：
产品支持按照一定条件对审计日志进行检索或排序。
c)结果判定：
上述预期结果均满足判定为符合，其他情况判定为不符合。
7.3.4.4 通信安全
通信安全的测评方法如下所示。
a)测试方法：
1)检查开发者文档中对保证产品各组件之间通信保密性的描述；
2)使用网络协议分析工具抓取产品各组件中传输的配置和控制信息,检查是否具备保密措施。
b)预期结果：
1)开发者文档中提供了为保证产品各组件之间通信保密性所采取措施的详细描述，列举系统为保证通信保密性所采取的措施；
2)分析抓包结果，系统在各组件之间传输数据时采取了一定的保密措施。
c)结果判定：
上述预期结果均满足判定为符合，其他情况判定为不符合。
7.3.4.5 支撑系统安全
支撑系统安全的测评方法如下所示。
a)测试方法：
1)查看开发者文档,并验证产品的支撑系统是否进行了必要的裁剪,是否不提供多余的组件或网络服务；
2)重启系统,验证扫描任务的配置和日志信息是否不丢失；
3)对系统进行安全性测试,验证是否不含已知的中、高、超危安全漏洞。
b)预期结果：
3)产品支撑系统进行了必要的裁剪,不提供多余的组件或限网络服务；
4)重启过程中,安全扫描任务的配置和日志信息不丢失；
5)系统不含已知中、高、超危安全漏洞。
c)结果判定：
上述预期结果均满足判定为符合，其他情况判定为不符合。
7.4 环境适应性要求
7.4.1 支持多种部署架构
产品应支持多种部署架构，产品应支持 C/S 架构或B/S 架构使用，实现对产品的操作和管理，包括发起测试任务、生成测试报告等。
a)测试方法：
按照产品说明书部署产品，检测产品是否能够在 C/S 架构或B/S 架构下支持对产品的操作和管理，发起测试任务，检查产品是否能够正常工作，是否能够生成测试报告。
b)预期结果：
产品能够在 C/S 架构或B/S 架构下正常工作，支持对产品的操作和管理，发起测试任务，产品能够正常工作，能够生成测试报告。
c)结果判定
上述预期结果均满足判定为符合，其他情况判定为不符合。
7.5 安全保障要求
7.5.1 开发
7.5.1.1 安全架构
a)评估方法：
审查安全架构文档是否准确描述如下内容：
1）与产品设计文档中对安全功能实施抽象描述的级别一致；
2）描述与安全功能要求一致的动态应用安全测试系统安全功能的安全域；
3）描述动态应用安全测试系统安全功能初始化过程为何是安全的；
4）证实动态应用安全测试系统安全功能能够防止被破坏；
5）证实动态应用安全测试系统安全功能能够防止安全特性被旁路。
b)预期结果：
开发者提供的文档内容应满足上述要求。
c)结果判定：
实际测试结果与预期结果一致则判定为“符合”，其他情况判定为“不符合”。
7.5.1.2 功能规范
a)评估方法：
审查功能规范文档是否准确描述如下内容：
1）完全描述动态应用安全测试系统的安全功能；
2）描述所有安全功能接口的目的与使用方法；
3）标识和描述每个安全功能接口相关的所有参数；
4）描述安全功能接口相关的安全功能实施行为；
5）描述由安全功能实施行为处理而引起的直接错误消息；
6）证实安全功能要求到安全功能接口的追溯。
b)预期结果：
开发者提供的文档内容应满足上述要求。
c)结果判定：
实际测试结果与预期结果一致则判定为“符合”，其他情况判定为“不符合”。
7.5.1.3 产品设计
a)评估方法：
审查产品设计文档是否准确描述如下内容：
1）根据子系统描述动态应用安全测试系统结构；
2）标识和描述动态应用安全测试系统安全功能的所有子系统；
3）描述安全功能所有子系统间的相互作用；
4）提供的映射关系能够证实设计中描述的所有行为能够映射到调用它的安全功能接口。
b)预期结果：
开发者提供的文档内容应满足上述要求。
c)结果判定：
实际测试结果与预期结果一致则判定为“符合”，其他情况判定为“不符合”。
7.5.2 指导性文档
7.5.2.1 操作用户指南
a)评估方法：
审查操作用户指南是否准确描述如下内容：
1）描述在安全处理环境中被控制的用户可访问的功能和特权，包含适当的警示信息；
2）描述如何以安全的方式使用动态应用安全测试系统提供的可用接口；
3）描述可用功能和接口，尤其是受用户控制的所有安全参数，适当时指明安全值；
4）明确说明与需要执行的用户可访问功能有关的每一种安全相关事件，包括改变安全功能所控制实体的安全特性；
5）标识动态应用安全测试系统运行的所有可能状态（包括操作导致的失败或者操作性错误），以及它们与维持安全运行之间的因果关系和联系；
6）充分实现安全目的所必须执行的安全策略。
b)预期结果：
开发者提供的文档内容应满足上述要求。
c)结果判定：
实际测试结果与预期结果一致则判定为“符合”，其他情况判定为“不符合”。
7.5.2.2 准备程序
a)评估方法：
审查准备程序文档是否准确描述如下内容：
1）描述与开发者交付程序相一致的安全接收所交付动态应用安全测试系统必需的所有步骤；
2）描述安全安装动态应用安全测试系统及其运行环境必需的所有步骤。
b)预期结果：
开发者提供的文档内容应满足上述要求。
c)结果判定：
实际测试结果与预期结果一致则判定为“符合”，其他情况判定为“不符合”。
7.5.3 生命周期支持
7.5.3.1 配置管理能力
a)评估方法：
1）审查开发者是否为不同版本的动态应用安全测试系统提供唯一的标识；
2）现场检查配置管理系统是否对所有的配置项作出唯一的标识，且配置管理系统是否对配置项进行了维护；
3）审查开发者提供的配置管理文档，是否描述了对配置项进行唯一标识的方法。
b)预期结果：
开发者提供的文档和现场活动证据内容应满足上述要求。
c)结果判定：
实际测试结果与预期结果一致则判定为“符合”，其他情况判定为“不符合”。
7.5.3.2 配置管理范围
a)评估方法：
1）审查开发者提供的配置项列表；
2）配置项列表是否描述了组成动态应用安全测试系统的全部配置项及相应的开发者。
b)预期结果：
开发者提供的文档和现场活动证据内容应满足上述要求。
c)结果判定：
实际测试结果与预期结果一致则判定为“符合”，其他情况判定为“不符合”。
7.5.3.3 交付程序
a)评估方法：
1）现场检查开发者是否使用一定的交付程序交付动态应用安全测试系统；
2）审查开发者是否使用文档描述交付过程，文档中是否包含以下内容：在给用户方交付系统的各版本时，为维护安全所必需的所有程序。
b)预期结果：
开发者提供的文档和现场活动证据内容应满足上述要求。
c)结果判定：
实际测试结果与预期结果一致则判定为“符合”，其他情况判定为“不符合”。
7.5.4 测试
7.5.4.1 覆盖
a)评估方法：
审查开发者提供的测试覆盖文档，在测试覆盖证据中，是否表明测试文档中所标识的测试与功能规范中所描述的动态应用安全测试系统的安全功能是对应的。
b)预期结果：
开发者提供的文档内容应满足上述要求。
c)结果判定：
实际测试结果与预期结果一致则判定为“符合”，其他情况判定为“不符合”。
7.5.4.2 功能测试
a)评估方法：
1）审查开发者提供的测试文档，是否包括测试计划、预期的测试结果和实际测试结果；
2）审查测试计划是否标识了要测试的安全功能，是否描述了每个安全功能的测试方案（包括对其它测试结果的顺序依赖性）；
3）审查期望的测试结果是否表明测试成功后的预期输出；
4）审查实际测试结果是否表明每个被测试的安全功能能按照规定进行运作。
b)预期结果：
开发者提供的文档内容应满足上述要求。
c)结果判定：
实际测试结果与预期结果一致则判定为“符合”，其他情况判定为“不符合”。
7.5.4.3 独立测试
a)评估方法：
1）评价者应审查开发者提供的测试资源；
2）评价者应审查开发者提供的测试集合是否与其自测系统功能时使用的测试集合相一致。
b)预期结果：
开发者提供的资源应满足上述要求。
c)结果判定：
实际测试结果与预期结果一致则判定为“符合”，其他情况判定为“不符合”。
7.5.5 脆弱性评定
a)评估方法：
从用户可能破坏安全策略的明显途径出发，按照安全机制定义的安全强度级别，对动态应用安全测试系统进行脆弱性分析。
b)预期结果：
渗透性测试、模糊测试结果应表明动态应用安全测试系统能够抵抗具有基本攻击潜力攻击者的攻击。
c)结果判定：
实际测试结果与预期结果一致则判定为“符合”，其他情况判定为“不符合”。
附录A
参考文献
[1] GB/T 20220164-T-469 信息安全技术 软件供应链安全要求.
[2] GB/T 25069-2022 信息安全技术 术语