■■ Usually, the IT team holds most

■■ Usually, the IT team holds most of the responsibility for network security. Staff members other than the software testing team generally perform firewall testing, packet counting, traffic monitoring, virus protection, and server break-in testing. ■■ The IT team, not the software testing team, is responsible for installing IPaddress screening policies. ■■ In addition to looking for deficiencies in application-error detection and handling, testing objectives should be to gather configuration-related issues for the technical support knowledge base. In terms of user-account password, login procedure testing considerations include: ■■ Does the Web system have an auto logoff feature (such as session timeout)? If so, does it work properly? ■■ Does the Web system implement and enforce frequent password changing? If so, does it work properly? ■■ If security is controlled at the application server level, rather than at the database server level, has the application’s security logic been tested to determine whether user access is properly enforced? For example, to connect to a database server, a Web server must have an ID and password for such a database. It is possible for a Web server to use the same ID and password to log in to a database, regardless who the end user is. The authorization process can then be done at the application level. Alternatively, authorization can be done at the database level; that is, each end user would have an ID and password for the database account. Depending on who the end user is, the appropriate ID and password will be used. ■■ Have you tested the login logic enforced at the application level? Have you tested the login logic enforced at the database level? Have you tested the login logic enforced at both levels? ■■ Has any security-related testing been performed on third-party applications or components integrated with the Web system? ■■ How many consecutive failed logins are allowed (e.g., 3 times, 10 times, or an unlimited number of times)? Is this feature configurable by a user in a configuration file or a registry key? If yes, who has the privilege to make the change? Can the change be easily attacked? ■■ When the number of failed logins is exceeded, how does the application respond (e.g., by disallowing logins from that IPaddress until the security issue is reviewed or the security alert timer expires)?

Kết quả (Việt) 1:

■■ Thường, đội nó giữ hầu hết trách nhiệm về an ninh mạng. Nhân viên khác hơn so với nhóm thử nghiệm phần mềm nói chung thực hiện kiểm tra tường lửa, gói đếm, giám sát lưu lượng truy cập, bảo vệ vi rút, và máy chủ break-in thử nghiệm. ■■ The IT đội, không phần mềm thử nghiệm đội, chịu trách nhiệm về cài đặt IPaddress kiểm tra chính sách. ■■ Ngoài việc tìm kiếm các thiếu sót trong phát hiện lỗi ứng dụng và xử lý, mục tiêu thử nghiệm nên là để thu thập các vấn đề liên quan đến cấu hình cho các cơ sở kiến thức của hỗ trợ kỹ thuật. Trong điều khoản của mật khẩu trương mục người dùng, đăng nhập thủ tục thử nghiệm cân nhắc bao gồm: ■■ hiện Web hệ thống có một tính năng tự động đăng xuất (chẳng hạn như thời gian chờ phiên)? Nếu như vậy, nó hoạt động đúng cách? ■■ Liệu Web hệ thống thực hiện và thực hiện các thay đổi mật khẩu thường xuyên? Nếu như vậy, nó hoạt động đúng cách? ■■ Nếu bảo mật quản lý ở mức độ máy chủ ứng dụng, hơn là ở mức độ máy chủ cơ sở dữ liệu, có các ứng dụng của an ninh logic được kiểm tra để xác định cho dù người dùng truy cập thi hành đúng cách? Ví dụ, để kết nối với một máy chủ cơ sở dữ liệu, một máy chủ Web phải có một ID và mật khẩu cho cơ sở dữ liệu. Nó có thể cho một máy chủ Web sử dụng ID và mật khẩu để đăng nhập vào một cơ sở dữ liệu, bất kể người dùng cuối cùng. Trình ủy quyền sau đó có thể được thực hiện ở cấp độ ứng dụng. Ngoài ra, ủy quyền có thể được thực hiện ở cấp độ cơ sở dữ liệu; có nghĩa là, mỗi người dùng cuối sẽ có một ID và mật khẩu cho trương mục cơ sở dữ liệu. Tùy thuộc vào người dùng cuối là ai, thích hợp ID và mật khẩu sẽ được sử dụng. ■■ bạn đã kiểm tra logic đăng nhập thi hành ở mức độ ứng dụng? Bạn đã kiểm tra logic đăng nhập thi hành ở cấp độ cơ sở dữ liệu? Bạn đã kiểm tra logic đăng nhập thi hành cả hai cấp độ? ■■ Có bất kỳ liên quan đến bảo mật thử nghiệm thực hiện vào ứng dụng của bên thứ ba hoặc các thành phần tích hợp với hệ thống Web? ■■ làm thế nào nhiều liên tiếp không đăng nhập được phép (ví dụ như, 3 lần, 10 lần, hoặc một số lượng không giới hạn của thời gian)? Tính năng này là cấu hình bởi một người dùng trong một tập tin cấu hình hoặc một khóa registry? Nếu có, những người có các đặc quyền để làm cho sự thay đổi? Có thể thay đổi được dễ dàng tấn công? ■■ Khi vượt quá số lượng thông tin đăng nhập không thành công, làm thế nào hiện ứng dụng đáp ứng (ví dụ:, bởi disallowing thông tin đăng nhập từ IPaddress đó cho đến khi vấn đề bảo mật được xem xét hoặc bộ đếm thời gian cảnh báo an ninh hết hạn)?

Kết quả (Việt) 2:

■■ Thông thường, đội ngũ CNTT nắm giữ hầu hết các trách nhiệm về an ninh mạng. Các nhân viên khác hơn so với các nhóm thử nghiệm phần mềm nói chung thực hiện kiểm tra tường lửa, đếm gói, giám sát giao thông, bảo vệ chống virus, và máy chủ break-trong thử nghiệm. ■■ Đội ngũ IT, không phải là đội kiểm thử phần mềm, là trách nhiệm lắp đặt các chính sách sàng lọc IPaddress. ■■ Ngoài tìm kiếm cho sự thiếu hụt trong việc phát hiện ứng dụng báo lỗi và xử lý, mục tiêu thử nghiệm nên được để thu thập các vấn đề liên quan đến cấu hình cho các cơ sở tri thức hỗ trợ kỹ thuật. Trong điều kiện của mật khẩu sử dụng tài khoản, đăng nhập cân nhắc thử nghiệm thủ tục bao gồm: ■■ Liệu các hệ thống Web có tính năng tự động logoff (chẳng hạn như thời gian chờ phiên)? Nếu vậy, nó hoạt động đúng cách? ■■ Liệu các hệ thống Web thực hiện và thi thay đổi mật khẩu thường xuyên? Nếu vậy, nó hoạt động đúng cách? ■■ Nếu an ninh được kiểm soát ở mức độ máy chủ ứng dụng, chứ không phải ở cấp độ máy chủ cơ sở dữ liệu, đã lý bảo mật của ứng dụng được thử nghiệm để xác định xem người dùng truy cập được thi hành đúng cách? Ví dụ, để kết nối với một máy chủ cơ sở dữ liệu, máy chủ Web phải có một ID và mật khẩu cho một cơ sở dữ liệu như vậy. Nó có thể cho một máy chủ Web để sử dụng ID và mật khẩu để đăng nhập vào một cơ sở dữ liệu, bất kể ai là người sử dụng cuối cùng là. Quá trình ủy quyền sau đó có thể được thực hiện ở cấp ứng dụng. Ngoài ra, ủy quyền có thể được thực hiện ở cấp cơ sở dữ liệu; có nghĩa là, mỗi người sử dụng cuối cùng sẽ có một ID và mật khẩu cho tài khoản cơ sở dữ liệu. Tùy thuộc vào người sử dụng cuối cùng là, các ID và mật khẩu thích hợp sẽ được sử dụng. ■■ Bạn đã kiểm tra logic đăng nhập được thực thi ở cấp ứng dụng? Bạn đã kiểm tra logic đăng nhập được thực thi ở cấp cơ sở dữ liệu? Bạn đã kiểm tra logic đăng nhập được thực thi ở cả cấp? ■■ Có bất kỳ thử nghiệm bảo mật liên quan được thực hiện trên các ứng dụng của bên thứ ba hoặc các thành phần tích hợp với hệ thống Web? ■■ bao nhiêu lần đăng nhập thất bại liên tiếp được cho phép (ví dụ, 3 lần, 10 lần, hoặc không giới hạn số lần)? Tính năng này có thể cấu hình bởi một người dùng trong một file cấu hình hoặc một khóa registry? Nếu có, ai có đặc quyền để thực hiện thay đổi? Có thể thay đổi dễ dàng bị tấn công? ■■ Khi số lần đăng nhập không thành công vượt quá, làm thế nào đáp ứng các ứng dụng (ví dụ, bằng việc không cho phép đăng nhập từ IPaddress đó cho đến khi các vấn đề an ninh được xem xét lại hoặc hẹn giờ báo động an ninh hết hạn)?