术语解读：JR/T 0232-2021 银行互联网渗透测试指南

JR/T 0232-2021 银行互联网渗透测试指南

Guidelines for internet penetration test in bank

主要内容

1. 范围：规定了该标准的适用范围，适用于银行互联网渗透测试的策划、设计、执行、总结，其他金融行业如保险、证券等也可参考。
2. 规范性引用文件：列出了该指南在编写过程中所引用的其他相关标准和文件。
3. 术语和定义：对渗透测试相关的专业术语进行了定义和解释，以便读者更好地理解标准内容。例如，对 “渗透测试”“漏洞”“威胁” 等术语进行了明确的定义。
4. 概述：
   • 介绍了银行互联网渗透测试的重要性和目的，即通过模拟攻击的方式来检测银行信息系统的安全性，发现潜在的安全漏洞和风险。
   • 强调了渗透测试应遵循的基本原则，如合法性、保密性、专业性等。
5. 渗透测试策划：
   • 概述：对渗透测试策划阶段的总体要求进行了说明，包括策划的目标、依据等。
   • 确定测试范围：明确了需要进行渗透测试的银行信息系统的范围，包括系统的边界、功能模块等。
   • 确定测试引用文档：规定了在渗透测试过程中需要参考的文档，如系统的设计文档、安全策略等。
   • 确定测试项：详细列出了渗透测试的具体项目和内容，如网络层、应用层、数据库层等方面的测试。
   • 确定被测试特性和不被测试特性：明确了哪些系统特性是需要进行测试的，哪些是由于特殊原因不进行测试的，并对不测试的特性进行了说明和解释。
6. 渗透测试设计：
   • 介绍了渗透测试方案的设计方法和步骤，包括测试方法的选择、测试用例的设计等。
   • 强调了测试方案应根据测试目标和测试范围进行定制化设计，以确保测试的有效性和全面性。
7. 渗透测试执行：
   • 规定了渗透测试的执行流程和操作规范，包括测试环境的搭建、测试数据的准备、测试工具的使用等。
   • 要求测试人员在执行测试过程中严格遵守测试方案和操作规范，确保测试的准确性和可靠性。
   • 强调了对测试过程中发现的安全漏洞和风险的及时记录和报告。
8. 渗透测试总结：
   • 对渗透测试的结果进行总结和分析，包括漏洞的数量、类型、严重程度等。
   • 提出了针对发现的安全漏洞和风险的整改建议和措施，帮助银行提高信息系统的安全性。
   • 对渗透测试的过程和结果进行文档化管理，以便后续的审计和追溯。

术语和定义

1 渗透测试 penetrationtest；渗透性测试；穿透性测试

以模拟真实攻击的动作，检测发现信息系统存在的技术漏洞，并利用漏洞突破信息系统的安全控制机制，进而评估信息系统面临的实际安全风险的一种测试手段。

2 授权 authorization

通过技术手段界定渗透测试实施范围的过程。

示例：通过防火墙策略仅允许渗透测试实施人员访问测试范围内的信息系统。

3 威胁代理 threat agent

有动机和能力破坏信息系统安全性的人或程序。

示例：企图通过攻击信息系统非法获取资金的黑客团伙。

4 威胁建模 threat modeling

对信息系统的资产、流程、攻击信息系统的主要动机、潜在威胁代理及其能力等进行分析，对相关的主体和关系进行有效组织。

注：威胁建模的目的是构建信息系统面临的最可能攻击场景。

5 敏感信息 sensitive information

由权威机构确定的必须受保护的信息，该信息的泄露、修改、破坏或丢失会对人或事产生可预知的损害。

注：敏感信息的具体分级标准宜参考 JR/T0197—2020。

6 漏洞 vulnerability；脆弱性；弱点

信息系统中可能被攻击者利用的薄弱环节。

7 实施风险 implement risk

渗透测试实施过程中可能对目标信息系统的保密性、完整性、可用性带来的影响。

8 访问控制 access controI

一种保证数据处理系统的资源只能由被授权主体按授权方式进行访问的手段。

9 仿真环境 simulation environment

为避免直接在目标信息系统中实施测试所引入的实施风险，仿照目标信息系统搭建且具备测试所需的各项条件的渗透测试实施环境。

示例：业务系统及配置与生产一致的测试环境；生产环境中与生产服务器配置一致但不承载实际业务的模拟服务器；与生产高度一致的网络靶场环境。

10 权限提升 privilege escaIation

在低权限用户状态下，利用信息系统中存在的漏洞突破权限控制，获得该用户原本不具备的操作权限的过程。

示例：利用操作系统漏洞从普通用户权限提升为超级管理员用户权限。

11 现场清理 site cIearing

渗透测试实施完毕后，将目标信息系统恢复到测试前状态的过程。

示例：删除上传到目标信息系统中的测试脚本。

12 应急预案 contingency plan

一种关于备份、应急响应和灾后恢复的计划。

13 保密性 confidentiality

信息对未授权的个人、实体或过程不可用或不泄露的特性。

14 完整性 integrity

准确和完备的特性。

15 可用性 availability

根据授权实体的要求可访问和可使用的特性。

16 遵从性 compliance

遵守指导活动的相关条款的程度。