简介

软件信息安全性测试是依据软件需求规格说明书、产品说明、用户文档、安全要求及相关标准，对软件产品在身份认证、访问控制、数据保护、接口安全、日志审计和异常防护等方面进行验证与评价的测试服务。测试重点包括软件是否能够防止未授权访问，是否能够保护程序和数据安全，是否能够对访问权限进行有效管理，是否能够对敏感数据进行保护。

通过信息安全性测试，可以帮助客户发现系统在账号权限、身份鉴别、会话管理、接口访问、数据传输、文件上传、输入校验、敏感信息保护和安全配置等方面存在的风险，降低系统上线、交付和运行过程中的安全隐患。

信息安全性测试的价值

信息安全性测试是软件质量评价中的重要内容，能够帮助客户从第三方角度了解软件安全防护能力，发现可能导致数据泄露、越权访问、非法篡改、身份冒用、日志缺失和接口暴露的问题。
对于政府、企事业单位、科研院所及软件项目建设单位而言，信息安全性测试可用于软件验收、项目交付、系统上线前安全确认、整改复测和质量评价等场景，为项目管理和安全风险控制提供技术支撑。

测试依据与评价维度

依据《GB/T 25000.51-2016 系统与软件工程 系统与软件质量要求和评价（SQuaRE）第51部分：就绪可用软件产品（RUSP）的质量要求和测试细则》，软件产品质量中的安全性主要可从以下方面进行评价：

保密性

验证软件是否能够确保数据只有在授权情况下才能被访问。测试重点包括身份认证、密码策略、访问控制、角色权限、敏感信息展示、数据传输加密和未授权访问防护等内容。

完整性

验证软件是否能够防止程序或数据被未授权访问、创建、修改或删除。测试重点包括接口参数篡改、越权操作、非法输入、文件上传、数据库或文件完整性保护，以及系统对异常操作的识别和处理能力。

抗抵赖性

验证软件是否能够对关键活动或事件进行记录，使相关操作在发生后可以被追溯和证明。测试重点包括操作日志、审计记录、关键业务操作留痕、日志完整性和日志防篡改能力。

可核查性

验证系统活动是否能够唯一追溯到对应用户、进程或操作主体。测试重点包括账户唯一性、登录记录、会话管理、审计事件覆盖范围、日志内容完整性和异常事件追踪能力。

真实性

验证用户、对象或资源的身份标识是否能够被证实符合其声明。测试重点包括用户身份鉴别、访问历史记录、用户列表、登录日志、异常访问记录和身份认证机制有效性。

测试方法

辰河质检有限公司可根据被测软件产品特点，采用功能验证、漏洞扫描、模拟攻击和安全渗透测试等方法，对软件产品的信息安全性进行质量测试。Web 应用安全测试中，我们可使用 Burp Suite 对系统进行请求拦截、参数分析、弱点探测、认证与会话检查、越权验证和常见 Web 漏洞测试。

测试内容可覆盖 SQL 注入、跨站脚本、文件上传风险、越权访问、敏感信息泄露、失效的身份认证、会话管理缺陷、安全配置错误、未授权访问、重定向风险和接口参数篡改等问题。

信息安全性测试须在客户书面授权后开展。测试过程中，我们会根据授权范围和测试目标控制测试强度，避免对业务系统造成不必要影响。

我们的服务能力

辰河质检有限公司依托专业的软件测评团队和规范化测试流程，为政府、企事业单位、科研院所及软件开发企业提供第三方软件信息安全性测试服务。

我们可根据项目需求制定测试方案，执行身份认证测试、权限控制测试、接口安全测试、数据安全测试、日志审计检查、Burp Suite Web 安全测试和常见漏洞验证，并对发现的问题进行记录、分析和反馈。

测试完成后，辰河质检有限公司可根据项目要求出具 CNAS《软件测试报告》，用于软件验收、项目交付、系统上线、安全整改、质量评价及相关管理场景，为客户提供客观、规范、可信的软件信息安全性评价依据。