標準編號:	GB/T 36627-2018
中文名稱:	信息安全技術 網絡安全等級保護測試評估技術指南
英文名稱:	Information security technology—Testing and evaluation technical guide for classified cybersecurity protection
中標分類:	L80    數據加密
行業分類:	GB    國家標準
ICS分類:	35.040 35.040    字符集和信息編碼 35.040
發布機構:	國家市場監督管理總局 國家標準化管理委員會
發布日期:	2018-09-17
實施日期:	2019-4-1
標準狀態:	valid
翻譯語言:	英文
文件格式:	PDF
中文字符數:	17000 字
翻譯價格(元):	950.0
交付時間:	付款后 1 個工作日

Codeofchina.com is in charge of this English translation. In case of any doubt about the English translation, the Chinese original shall be considered authoritative. This standard is developed in accordance with the rules given in GB/T 1.1-2009. Attention is drawn to the possibility that some of the elements of this document may be the subject of patent rights. The issuing body of this document shall not be responsible for identifying any or all such patent rights. This standard was proposed by and is under the jurisdiction of the National Technical Committee on Information Security of Standardization Administration of China (SAC/TC 260). Introduction The testing and evaluation process of classified cybersecurity protection consists of four basic activities: testing and evaluation preparation activity, scheme development activity, on-site testing and evaluation activity and report development activity. This standard provides guidance for the selection and implementation of testing and evaluation technology involved in the program preparation activity and on-site testing and evaluation activity. The testing and evaluation standards related to classified cybersecurity protection mainly include GB/T 22239, GB/T 28448 and GB/T 28449, etc. Among them, GB/T 22239 is the basic standard for the testing and evaluation of classified cybersecurity protection. GB/T 28448 puts forward the testing and evaluation requirements for different cybersecurity classes according to the requirements specified in GB/T 22239. GB/T 28449 mainly specifies the testing and evaluation process of classified cybersecurity protection. The difference between this standard and GB/T 28448 and GB/T 28449 is that GB/T 28448 mainly describes the specific requirements and process for testing and evaluation of target of classified protection at all levels, while GB/T 28449 mainly puts forward guidance on the activities, work tasks and input/output products of each task for testing and evaluation of classified cybersecurity protection, and does not involve specific testing methods and technologies. This standard clearly classifies and defines the relevant testing and evaluation technologies in the testing and evaluation of classified cybersecurity protection, systematically summarizes and expounds the technical methods of testing and evaluation, outlines the elements of technical security testing and evaluation, focuses on the realization functions and principles of specific technologies, and puts forward suggestions for use. Therefore, this standard can be used as a supplement to GB/T 28448 and GB/T 28449 when applied to the testing and evaluation of classified cybersecurity protection. Information security technology - Testing and evaluation technical guide for classified cybersecurity protection 1 Scope This standard gives the classification and definition of relevant testing and evaluation technologies in the testing and evaluation of classified cybersecurity protection (hereinafter referred to as "classified testing and evaluation"), puts forward the elements and principles of technical testing and evaluation, and puts forward suggestions on the analysis and application of testing and evaluation results. This standard is applicable to the classified testing and evaluation for target of classified cybersecurity protection (hereinafter referred to as "target of classified protection") carried out by testing and evaluation institutions, and the security evaluation on the status of target of classified protection carried out by the competent departments and operating units of target of classified protection. 2 Normative references The following referenced documents are indispensable for the application of this document. For dated references, only the edition cited applies. For undated references, the latest edition of the referenced document (including any amendments) applies. GB 17859-1999 Classified criteria for security protection of computer information system GB/T 25069-2010 Information security technology - Glossary 3 Terms, definitions and abbreviations 3.1 Terms and definitions For the purposes of this document, the terms and definitions given in GB 17859-1999 and GB/T 25069-2010 and the following apply. 3.1.1 dictionary attack a type of attack that trying words or phrases in user-defined dictionaries one by one while cracking passwords 3.1.2 file integrity checking by establishing a file verification database, calculate and store the verification of each reserved file, and recalculate the stored verification to compare the current value with the stored value, thereby identifying whether the file has been modified 3.1.3 network sniffer a passive technology that monitors network communication and decoding protocols and checks information headers and payloads concerned, which is also a target recognition and analysis technology 3.1.4 rule set a set of rules used to compare network traffic or system activity to determine response measures, e.g. sending or denying a packet, creating an alert, or allowing a system event 3.1.5 target of testing and evaluation the target of different testing and evaluation methods in classified testing and evaluation, mainly involving related information systems, supporting system files, devices, facilities and personnel, etc. 3.2 Abbreviations For the purposes of this document, the following abbreviations apply. CNVD: China National Vulnerability Database DNS: Domain Name System DDoS: Distributed Denial of Service ICMP: Internet Control Message Protocol IDS: Intrusion Detection Systems IPS: Intrusion Prevention System MAC: Media Access Control SSH: Secure Shell SSID: Service Set Identifier SQL: Structured Query Language VPN: Virtual Private Network 4 General 4.1 Technology classification Testing and evaluation technologies that can be used for classified testing and evaluation are divided into the following three categories: a) Checking technology: the testing and evaluation technology to check information systems, supporting system documents, devices and facilities, and discover security vulnerabilities in relevant procedures and policies. Manual modes are usually adopted, mainly including document checking, log checking, rule set checking, system configuration checking, file integrity checking, password checking, etc. b) Identification and analysis technology: the testing and evaluation technology to identify systems, ports, services and potential security vulnerabilities. These technologies can be implemented manually or with automated tools, mainly including network sniffer, network port and service identification, vulnerability scanning, wireless scanning, etc. c) Vulnerability validation technology: the testing and evaluation technology to verify the existence of vulnerabilities. Based on the results of checking, target identification and analysis, targeted manual execution or use of automated tools, mainly including password cracking, penetration testing, remote access testing, etc., are used to verify the possible security vulnerabilities and obtain evidence. 4.2 Technology selection When selecting and determining the technical methods to be used for classified testing and evaluation activities, the factors to be considered mainly include but are not limited to the target of testing and evaluation, applicability of the testing and evaluation technology, and possible security risks that the testing and evaluation technology may be introduced to target of testing and evaluation, so as to select the appropriate technical methods. When the selected technical method may affect the target of testing and evaluation in the implementation process, it is appropriate to give priority to testing the non-production system with the same configuration as the production system of the target of testing and evaluation, testing during non-business operation time or testing only using risk-controlled technical methods during business operation time, so as to minimize the impact on the business of the target of testing and evaluation. The testing and evaluation results generated after the implementation of technology testing and evaluation can be used for threat analysis of targets of testing and evaluation, proposing suggestions for improvement and generation of result reports, etc. See Annex A for details. 5 Requirements for classified testing and evaluation 5.1 Checking technology 5.1.1 Document checking The main function of document checking is to evaluate the technical accuracy and integrity of its policies and procedures based on documents provided by the operation unit of the target of classified protection. The following evaluation elements can be considered when performing document checking: a) Targets of checking, including security policies, architecture and requirements, standard operating procedures, system security plans and authorization permits, technical specifications for system interconnection, event response plans, etc., to ensure the accuracy and integrity of the technology; b) Checking the integrity of documents such as security policies, architecture and requirements, standard operating procedures, system security plans and authorization permits, technical specifications for system interconnection, event response plans, etc., and confirming the consistency between the implementation of the tested party's security measures and the system documents by checking the execution records and corresponding forms; c) Finding defects and weaknesses that may lead to omission or improper implementation of security control measures; d) Verifying whether the documents of the target of testing and evaluation are consistent with the standards, laws and regulations for classified cybersecurity protection, and searching for defective or outdated policies; e) The results of document checking can be used to adjust other testing technologies. For example, when the password management policy specifies minimum password length and complexity requirements, this information shall be used to configure password cracking tools to improve password cracking efficiency.

Foreword i Introduction ii 1 Scope 2 Normative references 3 Terms, definitions and abbreviations 3.1 Terms and definitions 3.2 Abbreviations 4 General 4.1 Technology classification 4.2 Technology selection 5 Requirements for classified testing and evaluation 5.1 Checking technology 5.1.1 Document checking 5.1.2 Log checking 5.1.3 Rule set checking 5.1.4 Configuration checking 5.1.5 File integrity checking 5.1.6 Password checking 5.2 Identification and analysis technology 5.2.1 Network sniffer 5.2.2 Network port and service identification 5.2.3 Vulnerability scanning 5.2.4 Wireless scanning 5.3 Vulnerability validation technology 5.3.1 Password cracking 5.3.2 Penetration test 5.3.3 Remote access testing Annex A (Informative) Post-testing and evaluation activities Annex B (Informative) Description of concepts related to penetration testing Bibliography

信息安全技術 網絡安全等級保護測試評估技術指南 1 范圍 本標準給出了網絡安全等級保護測評（以下簡稱“等級測評”）中的相關測評技術的分類和定義，提出了技術性測試評估的要素、原則等，并對測評結果的分析和應用提出建議。 本標準適用于測評機構對網絡安全等級保護對象（以下簡稱“等級保護對象”）開展等級測評工作，以及等級保護對象的主管部門及運營使用單位對等級保護對象安全等級保護狀況開展安全評估。 2 規范性引用文件 下列文件對于本文件的應用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。 GB 17859—1999 計算機信息系統安全保護等級劃分準則 GB/T 25069—2010 信息安全技術 術語 3 術語和定義、縮略語 3.1 術語和定義 GB 17859—1999及GB/T 25069—2010界定的以及下列術語和定義適用于本文件。 3.1.1 字典式攻擊 dictionary attack 在破解口令時，逐一嘗試用戶自定義詞典中的單詞或短語的攻擊方式。 3.1.2 文件完整性檢查 file integrity checking 通過建立文件校驗數據庫，計算、存儲每一個保留文件的校驗，將已存儲的校驗重新計算以比較當前值和存儲值，從而識別文件是否被修改。 3.1.3 網絡嗅探 network sniffer 一種監視網絡通信、解碼協議，并對關注的信息頭部和有效載荷進行檢查的被動技術，同時也是一種目標識別和分析技術。 3.1.4 規則集 rule set 一種用于比較網絡流量或系統活動以決定響應措施（如發送或拒絕一個數據包，創建一個告警，或允許一個系統事件）的規則的集合。 3.1.5 測評對象 target of testing and evaluation 等級測評過程中不同測評方法作用的對象，主要涉及相關信息系統、配套制度文檔、設備設施及人員等。 3.2 縮略語 下列縮略語適用于本文件。 CNVD：國家信息安全漏洞共享平臺(China National Vulnerability Database) DNS：域名系統(Domain Name System) DDoS：分布式拒絕服務(Distributed Denial of Service) ICMP：Internet控制報文協議(Internet Control Message Protocol) IDS：入侵檢測系統(Intrusion Detection Systems) IPS：入侵防御系統(Intrusion Prevention System) MAC：介質訪問控制(Media Access Control) SSH：安全外殼協議(Secure Shell) SSID：服務集標識(Service Set Identifier) SQL：結構化查詢語言(Structured Query Language) VPN：虛擬專用網絡(Virtual Private Network) 4 概述 4.1 技術分類 可用于等級測評的測評技術分成以下三類： a） 檢查技術：檢查信息系統、配套制度文檔、設備設施，并發現相關規程和策略中安全漏洞的測評技術。通常采用手動方式，主要包括文檔檢查、日志檢查、規則集檢查、系統配置檢查、文件完整性檢查、密碼檢查等。 b） 識別和分析技術：識別系統、端口、服務以及潛在安全性漏洞的測評技術。這些技術可以手動執行，也可使用自動化的工具，主要包括網絡嗅探、網絡端口和服務識別、漏洞掃描、無線掃描等。 c） 漏洞驗證技術：驗證漏洞存在性的測評技術。基于檢查、目標識別和分析結果，針對性地采取手動執行或使用自動化的工具，主要包括口令破解、滲透測試、遠程訪問測試等，對可能存在的安全漏洞進行驗證確認，獲得證據。 4.2 技術選擇 當選擇和確定用于等級測評活動的技術方法時，考慮的因素主要包括但不限于測評對象、測評技術適用性、測評技術對測評對象可能引入的安全風險，以選擇合適的技術方法。 當所選擇的技術方法在實施過程中可能對測評對象產生影響時，宜優先考慮對與測評對象的生產系統相同配置的非生產系統進行測試，在非業務運營時間進行測試或在業務運營時間僅使用風險可控的技術方法進行測試，以盡量減少對測評對象業務的影響。 實施技術測評后產生的測評結果可用于對測評對象進行威脅分析、改進建議的提出及結果報告的生成等，具體參見附錄A。 5 等級測評要求 5.1 檢查技術 5.1.1 文檔檢查 文檔檢查的主要功能是基于等級保護對象運營單位提供的文檔，評價其策略和規程的技術準確性和完整性。進行文檔檢查時，可考慮以下評估要素： a） 檢查對象包括安全策略、體系結構和要求、標準作業程序、系統安全計劃和授權許可、系統互連的技術規范、事件響應計劃等，確保技術的準確性和完整性； b） 檢查安全策略、體系結構和要求、標準作業程序、系統安全計劃和授權許可、系統互連的技術規范、事件響應計劃等文檔的完整性，通過檢查執行記錄和相應表單，確認被測方安全措施的實施與制度文檔的一致性； c） 發現可能導致遺漏或不恰當地實施安全控制措施的缺陷和弱點； d） 驗證測評對象的文檔是否與網絡安全等級保護標準、法規相符合，查找有缺陷或已過時的策略； e） 文檔檢查的結果可用于調整其他的測試技術，例如，當口令管理策略規定了最小口令長度和復雜度要求的時候，該信息應可用于配置口令破解工具，以提高口令破解效率。 5.1.2 日志檢查 日志檢查的主要功能是驗證安全控制措施是否記錄了測評對象的信息系統、設備設施的使用、配置和修改的歷史記錄等適當信息，等級保護對象的運營使用單位是否堅持了日志管理策略，并且能夠發現潛在的問題和違反安全策略的情況。進行日志檢查時，可考慮以下評估要素： a） 認證服務器或系統日志，包括成功或失敗的認證嘗試； b） 操作系統日志，包括系統和服務的啟動、關閉，未授權軟件的安裝，文件訪問，安全策略變更，賬戶變更（例如賬戶創建和刪除、賬戶權限分配）以及權限使用等信息； c） IDS/IPS日志，包括惡意行為和不恰當使用； d） 防火墻、交換機和路由器日志，包括影響內部設備的出站連接（如僵尸程序、木馬、間諜軟件等），以及未授權連接的嘗試和不恰當使用； e） 應用日志，包括未授權的連接嘗試、賬號變更、權限使用，以及應用程序或數據庫的使用信息等； f） 防病毒日志，包括病毒查殺、感染日志，以及升級失敗、軟件過期等其他事件； g） 其他安全日志，如補丁管理等，應記錄已知漏洞的服務和應用等信息； h） 網絡運行狀態、網絡安全事件相關日志，留存時間不少于6個月。 5.1.3 規則集檢查 規則集檢查的主要功能是發現基于規則集的安全控制措施的漏洞，檢查對象包括網絡設備、安全設備、數據庫、操作系統及應用系統的訪問控制列表、策略集，三級及以上等級保護對象還應包括強制訪問控制機制。進行規則集檢查時，可考慮以下評估要素和評估原則： a） 路由訪問控制列表： 1） 每一條規則都應是有效的（例如，因臨時需求而設定的規則，在不需要的時候應立刻移除）； 2） 應只允許策略授權的流量通過，其他所有的流量默認禁止。 b） 訪問控制設備策略集： 1） 應采用默認禁止策略； 2） 應實施最小權限訪問，例如限定可信的IP地址或端口； 3） 特定規則應在一般規則之前被觸發； 4） 僅開放必要的端口，以增強周邊安全； 5） 防止流量繞過測評對象的安全防御措施。 c） 強制訪問控制機制： 1） 強制訪問控制策略應具有一致性，系統中各個安全子集應具有一致的主、客體安全標記和相同的訪問規則； 2） 以文件形式存儲和操作的用戶數據，在操作系統的支持下，應實現文件級粒度的強制訪問控制； 3） 以數據庫形式存儲和操作的用戶數據，在數據庫管理系統的支持下，應實現表/記錄、字段級粒度的強制訪問控制； 4） 檢查強制訪問控制的范圍，應限定在已定義的主體與客體中。 5.1.4 配置檢查 配置檢查的主要功能是通過檢查測評對象的安全策略設置和安全配置文件，評價測評對象安全策略配置的強度，以及驗證測評對象安全策略配置與測評對象安全加固策略的符合程度。進行配置檢查時，可考慮以下評估要素： a） 依據安全策略進行加固或配置； b） 僅開放必要的服務和應用； c） 用戶賬號的唯一性標識和口令復雜度設置； d） 開啟必要的審計策略，設置備份策略； e） 合理設置文件訪問權限； f） 三級及以上等級保護對象中敏感信息資源主、客體的安全標記： 1） 由系統安全員創建主體（如用戶）、客體（如數據）的安全標記； 2） 實施相同強制訪問控制安全策略的主、客體，應標以相同的安全標記； 3） 檢查標記的范圍，應擴展到測評對象中的所有主體與客體。 5.1.5 文件完整性檢查 文件完整性檢查的主要功能是識別系統文件等重要文件的未授權變更。進行文件完整性檢查時，可考慮以下評估要素： a） 采用哈希或數字簽名等手段，保證重要文件的完整性； b） 采用基準樣本與重要文件進行比對的方式，實現重要文件的完整性校驗； c） 采用部署基于主機的IDS設備，實現對重要文件完整性破壞的告警。 5.1.6 密碼檢查 密碼檢查的主要功能是對測評對象中采用的密碼技術或產品進行安全性檢查。進行密碼檢查時，可考慮以下評估原則： a） 所提供的密碼算法相關功能符合國家密碼主管部門的有關規定； b） 所使用的密鑰長度符合等級保護對象行業主管部門的有關規定。 5.2 識別和分析技術 5.2.1 網絡嗅探 網絡嗅探的主要功能是通過捕捉和重放網絡流量，收集、識別網絡中活動的設備、操作系統和協議、來授權和不恰當的行為等信息。進行網絡嗅探時，可考慮以下評估要素和評估原則： a） 監控網絡流量，記錄活動主機的IP地址，并報告網絡中發現的操作系統信息； b） 識別主機之間的聯系，包括哪些主機相互通信，其通信的頻率和所產生的流量的協議類型； c） 通過自動化工具向常用的端口發送多種類型的網絡數據包（如ICMP pings），分析網絡主機的響應，并與操作系統和網絡服務的數據包的已知特征相比較，識別主機所運行的操作系統、端口及端口的狀態。 d） 在網絡邊界處部署網絡嗅探器，用以評估進出網絡的流量； e） 在防火墻后端部署網絡嗅探器，用以評估準確過濾流量的規則集； f） 在IDS/IPS后端部署網絡嗅探器，用以確定特征碼是否被觸發并得到適當的響應； g） 在重要操作系統和應用程序前端部署網絡嗅探器，用以評估用戶活動； h） 在具體網段上部署網絡嗅探器，用以驗證加密協議的有效性。 5.2.2 網絡端口和服務識別 網絡端口和服務識別的主要功能是識別活動設備上開放的端口、相關服務與應用程序。進行網絡端口和服務識別時，可考慮以下評估要素和評估原則： a） 對主機及存在潛在漏洞的端口進行識別，并用于確定滲透性測試的目標； b） 在從網絡邊界外執行掃描時，應使用含分離、復制、重疊、亂序和定時技術的工具，并利用工具改變數據包，讓數據包融入正常流量中，使數據包避開IDS/IPS檢測的同時穿越防火墻； c） 應盡量減少掃描工具對網絡運行的干擾，如選擇端口掃描的時間。 5.2.3 漏洞掃描 漏洞掃描的主要功能是針對主機和開放端口識別已知漏洞、提供建議降低漏洞風險；同時，有助于識別過時的軟件版本、缺失的補丁和錯誤配置，并驗證其與機構安全策略的一致性。進行漏洞掃描時，可考慮以下評估要素和評估原則： a） 識別漏洞相關信息，包含漏洞名稱、類型、漏洞描述、風險等級、修復建議等內容； b） 通過工具識別結合人工分析的方式，對發現的漏洞進行關聯分析，從而準確判斷漏洞的風險等級； c） 漏洞掃描前，掃描設備應更新升級至最新的漏洞庫，以確保能識別最新的漏洞； d） 依據漏洞掃描工具的漏洞分析原理（如特征庫匹配、攻擊探測等），謹慎選擇掃描策略，防止引起測評對象故障； e） 使用漏洞掃描設備時應對掃描線程數、流量進行限制，以降低測評對測評對象產生的風險。 5.2.4 無線掃描 無線掃描的主要功能是識別被測環境中沒有物理連接（如網絡電纜或外圍電纜）情況下使一個或多個設備實現通信的方式，幫助機構評估、分析無線技術對掃描對象所帶來的安全風險。進行無線掃描時，可考慮以下評估要素和評估原則： a） 識別無線流量中無線設備的關鍵屬性，包括SSID、設備類型、頻道、MAC地址、信號強度及傳送包的數目； b） 無線掃描設備部署位置的環境要素包括：被掃描設備的位置和范圍、使用無線技術進行數據傳輸的測評對象的安全保護等級和數據重要性，以及掃描環境中無線設備連接和斷開的頻繁程度以及流量規模； c） 使用安裝配置無線分析軟件的移動設備，如筆記本電腦、手持設備或專業設備； d） 基于無線安全配置要求，對無線掃描工具進行掃描策略配置，以實現差距分析； e） 適當配置掃描工具的掃描間隔時間，既能捕獲數據包，又能有效地掃描每個頻段； f） 可通過導入平面圖或地圖，以協助定位被發現設備的物理位置； g） 對捕獲的數據包進行分析，從而識別掃描范圍內發現的潛在的惡意設備和未授權的網絡連接模式； h） 實施藍牙掃描時，應覆蓋測評對象中部署的支持藍牙的所有基礎設施（如藍牙接入點）。 5.3 漏洞驗證技術 5.3.1 口令破解 口令破解的主要功能是在評估過程中通過采用暴力猜測（密碼窮舉）、字典攻擊等技術手段驗證數據庫、操作系統、應用系統、設備的管理員口令復雜度。進行口令破解時，可考慮以下評估方法和評估原則： a） 使用字典式攻擊方法或采用預先計算好的彩虹表（散列值查找表）進行口令破解嘗試； b） 使用混合攻擊或暴力破解的方式進行口令破解；混合攻擊以字典攻擊方法為基礎，在字典中增加了數字和符號字符； c） 如測評對象采用帶有鹽值的加密散列函數時，不宜使用彩虹表方式進行口令破解嘗試； d） 使用暴力破解時，可采用分布式執行的方式提高破解的效率。 5.3.2 滲透測試 滲透測試的主要功能是通過模擬惡意黑客的攻擊方法，攻擊等級保護對象的應用程序、系統或者網絡的安全功能，從而驗證測評對象弱點、技術缺陷或漏洞的一種評估方法。進行滲透測試時，可考慮以下評估要素和評估原則： a） 通過滲透測試評估確認以下漏洞的存在： 1） 系統/服務類漏洞。由于操作系統、數據庫、中間件等為應用系統提供服務或支撐的環境存在缺陷，所導致的安全漏洞，如緩沖區溢出漏洞、堆/棧溢出、內存泄露等，可能造成程序運行失敗、系統宕機、重新啟動等后果，更為嚴重的，可以導致程序執行非授權指令，甚至取得系統特權，進而進行各種非法操作。 2） 應用代碼類漏洞。由于開發人員編寫代碼不規范或缺少必要的校驗措施，導致應用系統存在安全漏洞，包括SQL注入、跨站腳本、任意上傳文件等漏洞；攻擊者可利用這些漏洞，對應用系統發起攻擊，從而獲得數據庫中的敏感信息，更為嚴重的，可以導致服務器被控制。 3） 權限旁路類漏洞。由于對數據訪問、功能模塊訪問控制規則不嚴或存在缺失，導致攻擊者可非授權訪問這些數據及功能模塊。權限旁路類漏洞通常可分為越權訪問及平行權限，越權訪問是指低權限用戶非授權訪問高權限用戶的功能模塊或數據信息；平行權限是指攻擊者利用自身權限的功能模塊，非授權訪問或操作他人的數據信息。 4） 配置不當類漏洞。由于未對配置文件進行安全加固，僅使用默認配置或配置不合理，所導致的安全風險。如中間件配置支持put方法，可能導致攻擊者利用put方法上傳木馬文件，從而獲得服務器控制權。 5） 信息泄露類漏洞。由于系統未對重要數據及信息進行必要的保護，導致攻擊者可從泄露的內容中獲得有用的信息，從而為進一步攻擊提供線索。如源代碼泄露、默認錯誤信息中含有服務器信息/SQL語句等均屬于信息泄露類漏洞。 6） 業務邏輯缺陷類漏洞。由于程序邏輯不嚴或邏輯太復雜，導致一些邏輯分支不能夠正常處理或處理錯誤。如果出現這種情況，則用戶可以根據業務功能的不同進行任意密碼修改、越權訪問、非正常金額交易等攻擊。 b） 充分考慮等級保護對象面臨的安全風險，選擇并模擬內部（等級保護對象所在的內部網絡）攻擊或外部（從互聯網、第三方機構等外部網絡）攻擊。 c） 評估者應制定詳細的滲透測試方案，內容包括滲透測試對象、滲透測試風險及規避措施等內容（相關內容參見附錄B）。 5.3.3 遠程訪問測試 遠程訪問測試的主要功能是評估遠程訪問方法中的漏洞，發現未授權的接入方式。進行遠程訪問測試時，可考慮以下評估要素和評估原則： a） 發現除VPN、SSH、遠程桌面應用之外是否存在其他的非授權的接入方式。 b） 發現未授權的遠程訪問服務。通過端口掃描定位經常用于進行遠程訪問的公開的端口，通過查看運行的進程和安裝的應用來手工檢測遠程訪問服務。 c） 檢測規則集來查找非法的遠程訪問路徑。評估者應檢測遠程訪問規則集，如VPN網關的規則集，查看其是否存在漏洞或錯誤的配置，從而導致非授權的訪問。 d） 測試遠程訪問認證機制。可嘗試默認的賬戶和密碼或暴力攻擊（使用社會工程學的方法重設密碼來進行訪問），或嘗試通過密碼找回功能機制來重設密碼從而獲得訪問權限。 e） 監視遠程訪問通信。可以通過網絡嗅探器監視遠程訪問通信。如果通信未被保護，則可利用這些數據作為遠程訪問的認證信息，或者將這些數據作為遠程訪問用戶發送或接收的數據。