信息系统安全等级保护测评表单-三级技术类应用系统和数据分类基本要求测评实施内容结果记录7.1.4应用安全7.1.4.1身份鉴别a)应提供专用的登录控制模块对登录用户进行身份标识和鉴别；a)应访谈应用系统管理员，询问应用系统是否采取身份标识和鉴别措施，具体措施有哪些；系统采取何种措施防止身份鉴别信息被冒用；b)应访谈应用系统管理员，询问应用系统是否具有登录失败处理功能；c)应检查设计/验收文档，查看其是否有系统采用了保证唯一标识的措施的描述；d)应检查操作规程和操作记录，查看其是否有添加、删除用户和修改用户权限的操作规程、操作记录和审批记录；e)应检查主要应用系统，查看其是否采用了两个及两个以上身份鉴别技术的组合来进行身份鉴别；f)应检查主要应用系统，查看其是否提供身份标识和鉴别功能；查看其身份鉴别信息是否具有不易被冒用的特点；其鉴别信息复杂度检查功能是否能保证系统中不存在弱口令等；g)应检查主要应用系统，查看其提供的登录失败处理功能，是否根据安全策略配置了相关参数；h)应测试主要应用系统，可通过试图以合法和非法用户分别登录系统，查看是否成功，验证其身份标识和鉴别功能是否有效；i)应测试主要应用系统，验证其登录失败处理功能是否有效；j)应渗透测试主要应用系统，验证应用系统身份标识和鉴别功能是否不存在明显的弱点。如c）中相关文档有系统采用了保证用户唯一性标识的措施的描述，则为肯定；如d）缺少相应文档资料，则为否定；如c）-i）均为肯定，则符合本单元测评指标要求b)应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别；c)应提供用户身份标识唯一和鉴别信息复杂度检查功能，保证应用系统中不存在重复用户身份标识，身份鉴别信息不易被冒用；d)应提供登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施；e)应启用身份鉴别、用户身份标识唯一性检查、用户身份鉴别信息复杂度检查以及登录失败处理功能，并根据安全策略配置相关参数。7.1.4.2访问控制a)应提供访问控制功能，依据安全策略控制用户对文件、数据库表等客体的访问；a)应访谈应用系统管理员，询问应用系统是否提供访问控制措施，以及具体措施和访问控制策略有哪些，访问控制的粒度如何；b)应检查主要应用系统，查看系统是否提供访问控制机制；是否依据安全策略控制用户对客体的访问；c)应检查主要应用系统，查看其访问控制的覆盖范围是否包括与信息安全直接相关的主体、客体及它们之间的操作；访问控制的粒度是否达到主体为用户级，客体为文件、数据库表级；d)应检查主要应用系统，查看其是否有由授权用户设置其它用户访问系统功能和用户数据的权限的功能，是否限制默认用户的访问权限；e)应检查主要应用系统，查看系统是否授予不同帐户为完成各自承担任务所需的最小权限，特权用户的权限是否分离，权限之间是否相互制约；f)应检查主要应用系统，查看是否能对重要信息资源设置敏感标记，这些敏感标记是否以默认方式生成或由安全员建立、维护和管理；g)应检查主要应用系统，查看是否依据安全策略严格控制用户对有敏感标记重要信息资源的操作；h)应测试主要应用系统，可通过以不同权限的用户登录系统，查看其拥有的权限是否与系统赋予的权限一致，验证应用系统访问控制功能是否有效；i)应测试主要应用系统，可通过以默认用户登录系统，并进行一些合法和非法操作，验证系统是否严格限制了默认帐户的访问权限；j)应渗透测试主要应用系统，进行试图绕过访问控制的操作，验证应用系统的访问控制功能是否不存在明显的弱点。b）-i）均为肯定，则信息系统符合本单元测评指标要求b)访问控制的覆盖范围应包括与资源访问相关的主体、客体及它们之间的操作；c)应由授权主体配置访问控制策略，并严格限制默认帐户的访问权限；d)应授予不同帐户为完成各自承担任务所需的最小权限，并在它们之间形成相互制约的关系。e)应具有对重要信息资源设置敏感标记的功能；f)应依据安全策略严格控制用户对有敏感标记重要信息资源的操作；7.1.4.3安全审计a)应提供覆盖到每个用户的安全审计功能，对应用系统重要安全事件进行审计；a)应访谈安全审计员，询问应用系统是否有安全审计功能，对事件进行审计的选择要求和策略是什么，对审计日志的保护措施有哪些；b)应检查主要应用系统，查看其当前审计范围是否覆盖到每个用户；c)应检查主要应用系统，查看其审计策略是否覆盖系统内重要的安全相关事件，例如，用户标识与鉴别、访问控制的所有操作记录、重要用户行为、系统资源的异常使用、重要系统命令的使用等；d)应检查主要应用系统，查看其审计记录信息是否包括事件发生的日期与时间、触发事件的主体与客体、事件的类型、事件成功或失败、身份鉴别事件中请求的来源、事件的结果等内容；e)应检查主要应用系统，查