ICS 91.120.25 CCS L 70 21 辽宁省 地方 标准 DB21/T 3660—2022 信息系统渗透测试技术规范 Specification for penetration test technology of information system 2022 - 11 - 30发布 2022 -12 - 30实施 辽宁省市场监督管理局 发布 DB21/T 36 60—2022 I 目次 前言 ................................ ................................ ................. II 1 范围 ................................ ................................ ............... 1 2 规范性引用文件 ................................ ................................ ..... 1 3 术语和定义 ................................ ................................ ......... 1 4 总则 ................................ ................................ ............... 2 测试目的 ................................ ................................ ....... 2 4.1 测试原则 ................................ ................................ ....... 2 4.2 测试形式 ................................ ................................ ....... 3 4.3 5 技术要求 ................................ ................................ ........... 3 测试环境及准备要求 ................................ ............................. 3 5.1 测试工具及准备要求 ................................ ............................. 3 5.2 测试对象 ................................ ................................ ....... 4 5.3 测试内容和方法 ................................ ................................ . 4 5.4 测试流程 ................................ ................................ ....... 7 5.5 6 管理要求 ................................ ................................ ........... 9 渗透测试授权 ................................ ................................ ... 9 6.1 渗透测试过程管理 ................................ ............................... 9 6.2 创新机制 ................................ ................................ ...... 10 6.3 附录A（资料性） 渗透测试授权委托书模板 ................................ .............. 11 附录B（资料性） 渗透测试报告样例 ................................ .................... 13 DB21/T 3660 —2022 II 前言 本文件按照 GB/T 1.1 —2020《标准化工作导则 第1部分：标准化文件的结构和起草规则》的规定 起草。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。 本文件由辽宁省工业和信息化厅提出并归口。 本文件起草单位：北方实验室（沈阳）股份有限公司、辽宁省 检验检测认证中心 。 本文件主要起草人：张健楠、李海涛、袁洪朋、刘文志、鲁宁、段晓祥、王海涛、刘兴华、李琳、 张建宇、石绍群、王明俊、牛晓雷、何永建、李开、曹明、张东志、邱学思、叶松、韩燕妮。 本文件发布实施后， 任何单位和个人如有问题和意见建议， 均可以通过来电和来函等方式进行反馈， 我们将及时答复并认真处理，根据实际情况依法进行评估及复审。 归口管理部门通讯地址：辽宁省工业和信息化厅（沈阳市皇姑区北陵大街 45-2号），联系电话： 024-86893258 。 标准起草单位通讯地址：北方实验室（沈阳）股份有限公司（沈阳市浑南新区三义街 6-1号21层）， 联系电话： 024-83785841/83785849 。 DB21/T 3660 —2022 1 信息系统渗透测试技术规范 1 范围 本文件规定了信息系统渗透测试的 总则、技术要求和管理要求。 本文件适用于信息系统渗透测试的实施。 2 规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。 其中， 注日期的引用文件， 仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本 文件。 GB/T 20984 信息安全技术 信息安全风险评估方法 GB/T 22239 信息安全技术 网络安全等级保护基本要求 GB/T 25069 信息安全技术 术语 GB/T 28448 信息安全技术 网络安全等级保护测评要求 GB/T 31509 信息安全技术 信息安全风险评估实施指南 GB/T 36627 信息安全技术 网络安全等级保护测试评估技术指南 3 术语和定义 GB/T 20984 、GB/T 25069 、GB/T 31509 、GB/T 22239 、GB/T 28448 、GB/T 36627 界定的以及下列术 语和定义适用于本文件。 3.1 网络安全 cybersecurity 通过采取必要措施，防范对网络的攻击、侵入、干扰、破坏和非法使用以及意外事故，使网络处于 稳定可靠运行的状态，以及保障网络数据的完整性、保密性、可用性的能力。 3.2 渗透测试 penetration test 通过模拟恶意黑客的攻击方法，来评估计算机网络系统安全的一种评估方法。 3.3 漏洞扫描 vulnerability scanning 基于漏洞数据库，通过扫描等手段对指定的远程或者本地计算机系统的安全脆弱性进行检测，发现 可利用漏洞的一种安全检测（渗透攻击）行为。 3.4 弱口令 weak password 容易被他人猜测到或被破解工具破解的口令。 3.5 测试方 testing party 为信息系统提供测试服务的机构或人员。 DB21/T 3660 —2022 2 3.6 委托方 client party 信息系统所属的机构或人员。 3.7 SQL注入 SQL injection web应用程序对用户输入数据的合法性没有判断或过滤不严， 攻击者可以在 web应用程序中事先定义 好的查询语句的结尾上添加额外的 SQL语句，在管理员不知情的情况下实现非法操作，以此来实现欺骗 数据库服务器执行非授权的任意查询，从而进一步得到相应的数据信息。 3.8 安全配置错误 security configuration error 由不安全的默认配置、不完整的临时配置、开源云存储、错误的 HTTP标头配置以及包含敏感信息的 详细错误信息所造成的配置错误。 注： 包括网络服务、平台、 web服务器、应用服务器、数据库、框架、自定义的代码、预安装的虚拟机、容器、存 储等。 4 总则 测试目的 4.1 利用各种安全测试工具对网站及相关服务器等设备进行非破坏性质的模拟入侵者攻击， 侵入系统并 获取系统信息并将入侵的过程和细节总结编写成渗透测试报告，由此确定存在的安全威胁，并及时提醒 安全管理员完善安全策略，降低安全风险。 测试原则 4.2 4.2.1 标准性原则 应按照GB/T 31509 和GB/T 36627 的流程进行实施，包括实施阶段和运维阶段的测试工作。