T_CIITA 403-2022 移动互联网应用程序安全监测指标及评价方法.docx
《T_CIITA 403-2022 移动互联网应用程序安全监测指标及评价方法.docx》由会员分享,可在线阅读,更多相关《T_CIITA 403-2022 移动互联网应用程序安全监测指标及评价方法.docx(22页珍藏版)》请在咨信网上搜索。
1、CIITAICS 35.240.01CCS L 70团体标准T/CIITA 403-2022移动互联网应用程序安全监测指标及评价方法Evaluation method of monitoring in mobile internet applications for security2022-12-28 发布2022-1-1 实施中国信息产业商会 发布目次前 言I1 范围12 规范性引用文件13 术语和定义14 缩略语25 监测指标框架26 指标项37 评价方法9附 录 A (资料性) 指标计算及安全评价示例10附 录 B (资料性) 数据采集方法15参 考 文献16I前言本文件按照GB/T
2、1.1-2020标准化工作导则 第1部分:标准化文件的结构和起草规则的规定起草。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。本文件由中国信息产业商会团体标准委员会提出并归口。本文件起草单位:中国软件评测中心(工业和信息化部软件与集成电路促进中心)、北京智游网安科技有限公司、北京知道创宇信息技术股份有限公司、腾讯云计算(北京)有限责任公司、国家信息技术安全研究中心、北京医慧科技有限公司、中电科(北京)信息测评认证有限公司、北京尊冠科技有限公司武汉分公司。本文件主要起草人:赵亮、桑戟南、徐鹏、孟晓、赵刚、陈勇和、赵威、张春芳、田伟、王雷雷、江海、杨令宜、何淑伟、黄江平
3、、张建祥、马超、郑良。II移动互联网应用程序安全监测指标及评价方法1 范围本文件规定了移动终端应用软件、小程序、各类服务号等移动互联网应用程序安全监测指标、指标说明以及评价准则。 本文件适用于移动互联网应用程序的设计、开发和维护,也适用于监管部门对移动互联网应用程序的监督、管理和第三方评估活动。 2 规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中,注日期的引用文件, 仅该日期对应的版本适用于本文件;不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件。GB/T 35273 信息安全技术 个人信息安全规范GB/T 41391 信息安全技术 移动互联网
4、应用程序(APP)收集个人信息基本要求3 术语和定义下列术语和定义适用于本文件。 3.1移动终端应用软件 mobile terminal application software在移动终端预置、下载安装的应用软件。 注:简称 APP。 3.2小程序 mini program基于应用程序开放接口实现的,用户无需安装即可使用的移动互联网应用程序。来源:GB/T 41391-2022,3.33.3服务号 service account基于第三方信息服务平台开放接口,在客户端内独立为企业实现业务服务和用户管理功能,无需安装即可使用的移动互联网应用程序。3.4移动互联网应用程序 mobile inter
5、net application在移动智能终端或互联网上提供服务的移动终端应用软件、小程序、各类服务号等应用程序。来源:GB/T 41391-2022,3.1,有修改3.5安全监测 monitoring for security通过对移动终端应用软件、小程序、服务号等移动互联网应用程序的软件包、通讯、使用状况等信息,在运行过程中主动、持续采集,以指标分析等方式对监测对象进行风险识别、威胁发现、安全事件告警及动态连续地数据分析展示。 3.6监测指标 monitoring indicator对移动互联网应用程序采用自动化手段进行安全监测时得出的状态综合指数。 3.7劫持攻击用户界面 hijackin
6、g attack to user interface恶意攻击者对移动互联网应用程序界面进行劫持,替换上仿冒的恶意界面的攻击行为。3.8联网环境 runtime environment移动互联网应用程序运行时所使用的网络环境。4 缩略语下列缩略语适用于本文件。 API:应用程序编程接口(Application Programming Interface) APP: 应 用 软 件 (Application Software) SDK:软件开发工具包(Software Development Kit) SSL:安全套接层(Secure Sockets Layer)TLS:传输层安全协议(Trans
7、port Layer Security)5 监测指标框架移动互联网应用程序安全监测指标应分为三个层级,一级指标和二级指标构成指标框架,三级指标为底层指标。移动互联网应用程序安全监测指标见图1。 图1 移动互联网应用程序安全监测指标一级指标根据移动互联网应用程序所面临的安全威胁确定,包括程序安全、数据安全、密码算法及密钥管理、应用安全和通信安全。 二级指标按一级指标分析和分解所得。程序安全指标应包括基础安全、组件安全、代码安全、逻辑安全、框架安全和内容安全指标;数据安全指标应包括数据存储安全、数据传输安全、数据残留风险、数据篡改、抗抵赖指标;密码算法及密钥管理指标应包括密码算法、密钥安全指标;应
8、用安全指标应包括应用场景安全、抗攻击能力指标;通信安全指标应包括联网环境安全、传输通道、API指标。 6 指标项6.1 程序安全指标6.1.1 基础安全基础安全监测应对支撑移动互联网应用程序运行时具备的基础的安全情况进行监测,适用于小程序、各类服务号。基础安全监测应包括操作系统高危漏洞、中间件漏洞、高危端口、用户输入、升级管理、后台管理登录限制和应用基本信息。 操作系统高危漏洞监测操作系统高危漏洞,包括:远程命令执行、未授权访问、拒绝服务、提权漏洞等。中间件高危漏洞监测中间件高危漏洞,包括:远程命令执行、目录遍历、文件解析、未授权访问、注入类漏洞、配置信息泄露等。高危端口a) 监测操作系统是否
9、开放高危端口,如:135、139、445、3389、Memcached 缓存端口等;b) 监测数据库系统端口是否开放在互联网端,常见的端口如:3306、5000、5432、1433、1521 等。用户输入a) 监测应用是否限制用户输入类型,是否存在跨站脚本、注入类等漏洞;b) 监测应用是否限制用户输入次数,是否具有会话令牌机制防止暴力破解;c) 监测应用是否限制用户输入长度,是否存在缓存区溢出等漏洞;d) 监测应用是否对用户输入的数据进行校验,是否存在跨站脚本、注入类等漏洞。升级管理a) 监测应用是否定期更新补丁;b) 监测APP 版本检查信息,包括 Android、iOS 等相关文件中的版本
10、字符串,摘取版本信息;c) 监测小程序、服务号更新推送时间,摘取应用版本变更信息。后台管理登录限制a) 监测是否限制后台管理登录网络地址,防范未授权访问、后台管理网络地址外泄等风险;b) 监测是否采用双因子认证,防范单因素身份验证引起的身份鉴别风险;c) 监测是否采用账户权限控制,防范越权、数据泄露等风险。应用基本信息监测应用名称、包名、文件大小、版本、应用特征值、签名信息、加固厂商、SDK 信息等, 主要防范盗版应用、钓鱼、相似应用风险。6.1.2 组件安全组件安全监测应对移动互联网应用程序开发过程使用的组件进行监测。 组件安全监测应用组件,防范组件中存在的信息泄露、权限滥用风险,根据最新披
11、露组件漏洞库信息, 监测是否存在组件漏洞攻击风险。6.1.3 代码安全代码安全监测应对移动互联网应用程序源代码安全情况进行监测。代码安全监测包含统一错误回显信息、恶意代码、代码安全性和程序漏洞。 统一错误回显信息监测应用错误页面,防范敏感数据泄露风险。恶意代码a) 监测应用是否存在恶意代码,防范木马、病毒、后门等风险;b) 监测应用是否存在恶意程序,防范非授权获取用户信息等风险。代码安全性监测应用包体、小程序源码是否采取安全保护措施,包括加壳、混淆、程序签名校验、代码加密等。程序漏洞监测应用中是否存在文件下载漏洞、应用篡改漏洞、权限绕过漏洞、注入类漏洞、广播信息泄漏漏洞、配置信息泄露漏洞、传输
12、漏洞、接口漏洞等风险。6.1.4 逻辑安全逻辑安全监测应对移动互联网应用程序在业务流程、账户权限以及数据调用等逻辑设计的安全逻辑漏洞进行监测。逻辑安全监测包含业务逻辑漏洞、用户权限和业务逻辑权限风险。 业务逻辑漏洞监测应用是否对前端参数进行校验,是否对危险字符进行过滤,防范跨站漏洞、注入类漏洞等风险。用户权限a) 监测应用是否对用户权限参数进行加密和校验,防范越权漏洞风险、用户遍历漏洞风险;b) 监测应用是否遵循应用声明的权限,防范权限滥用风险。业务逻辑权限风险监测应用是否遵循最小用户权限申请原则,防范过分收集个人隐私风险。6.1.5 框架安全框架安全监测应对移动互联网应用程序开发过程所使用的
13、开发框架的安全进行监测。 开发框架安全监测应用开发框架是否存在心脏滴血漏洞、WordPress 漏洞、Spring 框架漏洞等高危漏洞。6.1.6 内容安全内容安全监测应对移动互联网应用程序页面展示时对敏感内容是否过滤进行监测。 敏感内容监测应用中是否包含敏感信息。6.2 数据安全指标6.2.1 数据存储安全数据存储安全监测应对移动互联网应用程序数据在存储过程中的安全进行监测。数据存储安全监测包括敏感数据存储安全、数据权限设置、日志数据安全和证书安全。 敏感数据存储安全监测应用中是否存在存储信息泄露风险。数据权限设置监测应用是否存在数据使用权限滥用、越权等风险。日志数据安全a) 监测应用是否存
14、在日志数据泄露,防范应用调试信息、运行日志信息等泄露风险;b) 监测应用是否具有权限访问控制。证书安全监测应用是否存在客户端证书信息泄露,防范中间人攻击、解密用户传输数据等风险。6.2.2 数据传输安全数据传输安全监测应对移动互联网应用程序数据在传输过程中的机密性、完整性和可用性进行监测。 数据传输机密性a) 监测应用数据传输是否采用加密协议进行传输,防范数据窃取和篡改风险;b) 监测应用是否存在发送广播信息泄漏漏洞,防范敏感信息泄露风险。数据传输完整性监测应用是否采用哈希算法保证数据传输完整性,防范数据篡改、隐私泄露等风险。数据传输可用性监测应用是否采用SSL/TLS 协议保证数据可用性,防
15、范数据篡改等风险。6.2.3 数据残留风险数据残留风险监测应对移动互联网应用程序在测试或运行过程中残留的敏感数据进行监测。数据残留风险监测包含测试信息泄露风险和用户残留账户信息风险。 测试信息泄露风险监测应用是否存在内网URL、测试账号信息等测试信息,防范数据泄露风险。用户残留账户信息风险a) 监测应用是否存在测试账号残留信息,防范测试所用的网络地址、测试账号、测试信息外泄风险;b) 监测应用是否存在残留的账号、密码、手机号码、电子邮件地址等敏感信息,防范敏感信息泄露风险。6.2.4 数据防篡改数据防篡改监测应对移动互联网应用程序和通讯报文篡改的安全进行监测。数据防篡改监测包含应用和数据完整性
16、、签名算法安全。 应用和数据完整性监测应用是否采用哈希算法或数字签名保证移动互联网应用程序和通讯报文的完整性,防范数据篡改、隐私泄露等风险。签名算法安全监测应用是否使用了不安全的签名算法,防范钓鱼、盗版应用、相似应用等风险。6.2.5 数据防窃取数据防窃取监测应对移动互联网应用程序数据被窃取的安全风险进行监测。数据防窃取监测包含SQL注入风险、剪切板敏感信息泄露风险、输入安全和身份鉴别防截屏或录屏。 SQL 注入风险监测应用是否存在SQL 注入漏洞,防范敏感数据泄露风险。剪切板敏感信息泄露风险监测应用是否存在剪切板敏感信息泄露风险。输入安全(ZB31)监测应用在敏感数据输入时是否使用不安全的系
17、统软键盘,防范敏感信息泄露风险。身份鉴别防截屏或录屏(ZB32)监测应用界面是否在身份鉴别过程提供输入手势验证码、登录口令等被防截屏、录屏措施。6.2.6 抗抵赖抗抵赖监测应对移动互联网应用程序的中间人攻击风险进行监测。抗抵赖监测包含数字证书和数字签名的使用。 数字证书a) 监测应用是否具备数字证书;b) 监测应用客户端和服务端证书的有效性和发布正确性。数字签名监测应用是否具备数字签名。6.3 密码算法及密钥管理指标6.3.1 密码算法密码算法监测应对移动互联网应用程序密码算法使用的安全进行监测。 密码算法安全监测应用是否使用不安全版本密码算法。国密算法监测应用是否使用国密算法。6.3.2 密
18、钥安全密钥安全监测应对移动互联网应用程序使用的密钥生存周期安全进行监测。密钥安全监测包含密钥硬编码风险。 密钥硬编码风险监测应用是否存在密钥硬编码风险。6.4 应用安全指标6.4.1 应用场景安全应用场景安全监测应对移动互联网应用程序在不同应用场景下的安全进行监测。应用场景安全监测包含系统软键盘使用风险、非法程序使用、欺诈行为和仿冒应用风险。 系统软键盘使用风险监测应用在敏感数据输入时是否使用不安全的系统软键盘。非法程序使用监测应用中是否存在非授权使用用户信息和终端资源的情况。欺诈行为监测应用是否通过隐蔽执行、欺骗用户点击等手段,订购收费业务或支付费用,导致用户经济损失。仿冒应用风险监测是否存
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- T_CIITA 403-2022 移动互联网应用程序安全监测指标及评价方法 403 2022 移动 互联网 应用程序 安全 监测 指标 评价 方法
1、咨信平台为文档C2C交易模式,即用户上传的文档直接被用户下载,收益归上传人(含作者)所有;本站仅是提供信息存储空间和展示预览,仅对用户上传内容的表现方式做保护处理,对上载内容不做任何修改或编辑。所展示的作品文档包括内容和图片全部来源于网络用户和作者上传投稿,我们不确定上传用户享有完全著作权,根据《信息网络传播权保护条例》,如果侵犯了您的版权、权益或隐私,请联系我们,核实后会尽快下架及时删除,并可随时和客服了解处理情况,尊重保护知识产权我们共同努力。
2、文档的总页数、文档格式和文档大小以系统显示为准(内容中显示的页数不一定正确),网站客服只以系统显示的页数、文件格式、文档大小作为仲裁依据,平台无法对文档的真实性、完整性、权威性、准确性、专业性及其观点立场做任何保证或承诺,下载前须认真查看,确认无误后再购买,务必慎重购买;若有违法违纪将进行移交司法处理,若涉侵权平台将进行基本处罚并下架。
3、本站所有内容均由用户上传,付费前请自行鉴别,如您付费,意味着您已接受本站规则且自行承担风险,本站不进行额外附加服务,虚拟产品一经售出概不退款(未进行购买下载可退充值款),文档一经付费(服务费)、不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。
4、如你看到网页展示的文档有www.zixin.com.cn水印,是因预览和防盗链等技术需要对页面进行转换压缩成图而已,我们并不对上传的文档进行任何编辑或修改,文档下载后都不会有水印标识(原文档上传前个别存留的除外),下载后原文更清晰;试题试卷类文档,如果标题没有明确说明有答案则都视为没有答案,请知晓;PPT和DOC文档可被视为“模板”,允许上传人保留章节、目录结构的情况下删减部份的内容;PDF文档不管是原文档转换或图片扫描而得,本站不作要求视为允许,下载前自行私信或留言给上传者【Fis****915】。
5、本文档所展示的图片、画像、字体、音乐的版权可能需版权方额外授权,请谨慎使用;网站提供的党政主题相关内容(国旗、国徽、党徽--等)目的在于配合国家政策宣传,仅限个人学习分享使用,禁止用于任何广告和商用目的。
6、文档遇到问题,请及时私信或留言给本站上传会员【Fis****915】,需本站解决可联系【 微信客服】、【 QQ客服】,若有其他问题请点击或扫码反馈【 服务填表】;文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“【 版权申诉】”(推荐),意见反馈和侵权处理邮箱:1219186828@qq.com;也可以拔打客服电话:4008-655-100;投诉/维权电话:4009-655-100。