Web安全常規(guī)檢查項(xiàng)清單全套

Web安全常規(guī)檢查項(xiàng)清單項(xiàng)目名稱(chēng)XXX系統(tǒng)XXX項(xiàng)目項(xiàng)目經(jīng)理XXX產(chǎn)品負(fù)責(zé)人XXX研發(fā)負(fù)責(zé)人XXX測(cè)試負(fù)責(zé)人XXX說(shuō)明1.產(chǎn)品團(tuán)隊(duì)根據(jù)項(xiàng)目需求，填寫(xiě)是否涉及/豁免相關(guān)安全需求。若豁免及不同意請(qǐng)?jiān)谡f(shuō)明中寫(xiě)明理由，并于安全組溝通。（“產(chǎn)品體現(xiàn)”中紅色字產(chǎn)品團(tuán)隊(duì)無(wú)需考慮，”是否同意“列中紅色部分不允許修改）

2.開(kāi)發(fā)團(tuán)隊(duì)開(kāi)發(fā)完成后填寫(xiě)”是否完成研發(fā)“，若有補(bǔ)充內(nèi)容請(qǐng)?jiān)谘a(bǔ)充備注處（如：功能場(chǎng)景無(wú)法實(shí)現(xiàn)等）。有任何問(wèn)題請(qǐng)聯(lián)系安全組。

3.測(cè)試團(tuán)隊(duì)和安全團(tuán)隊(duì)負(fù)責(zé)最后測(cè)試驗(yàn)收，完成閉環(huán)。

4.項(xiàng)目經(jīng)理監(jiān)督指導(dǎo)整個(gè)過(guò)程模塊產(chǎn)品體現(xiàn)技術(shù)要求細(xì)節(jié)涉及/豁免是否同意說(shuō)明是否完成研發(fā)研發(fā)備注測(cè)試是否通過(guò)測(cè)試備注會(huì)話1）登錄頁(yè)面上無(wú)記住密碼功能（瀏覽器本身記住密碼功能可使用）1）cookie中不允許出現(xiàn)用戶(hù)賬號(hào)和密碼2）每個(gè)頁(yè)面都必須有用戶(hù)“注銷(xiāo)”按鈕，并且安全需要在明顯位置2）每個(gè)頁(yè)面都必須有用戶(hù)“注銷(xiāo)”按鈕，并且安全需要在明顯位置，且注銷(xiāo)時(shí)請(qǐng)及時(shí)銷(xiāo)毀session（非關(guān)閉）java中使用invalidate();默認(rèn)涉及，若需修改請(qǐng)聯(lián)系安全組。若涉及則必須同意安全要求細(xì)節(jié)3）cookie大小需要被限制，最大為4k同意4）登錄以后session一定要更新，如使用request.changeSessionId()5）cookie中需要增加secure和httponly屬性默認(rèn)涉及，若需修改請(qǐng)聯(lián)系安全組。若涉及則必須同意安全要求細(xì)節(jié)6）會(huì)話中參數(shù)需要進(jìn)行加簽同意3）用戶(hù)無(wú)操作60分鐘后需要重新登錄7）客戶(hù)空閑超時(shí)連接注銷(xiāo)或自動(dòng)斷開(kāi)必須不超過(guò)60分鐘，當(dāng)空閑超過(guò)60分鐘，連接必須注銷(xiāo)用戶(hù)登錄或自動(dòng)斷開(kāi)連接（session設(shè)置超時(shí)為60分鐘）用戶(hù)必須重新登錄。登錄1）登錄成功后，系統(tǒng)必須顯示上次成功登錄的時(shí)間以及自上次成功登錄以來(lái)失敗的登錄次數(shù)。1）登錄成功后，系統(tǒng)必須顯示上次成功登錄的時(shí)間以及自上次成功登錄以來(lái)失敗的登錄次數(shù)。2）連續(xù)登錄失敗5次后，賬號(hào)必須鎖定2）連續(xù)登錄失敗5次后，賬號(hào)必須鎖定3）登錄失敗時(shí)，不允許系統(tǒng)提示登錄失敗原因（顯示賬號(hào)或密碼錯(cuò)誤，驗(yàn)證碼單獨(dú)提示驗(yàn)證碼錯(cuò)誤）3）登錄失敗時(shí)，不允許系統(tǒng)提示登錄失敗原因（顯示賬號(hào)或密碼錯(cuò)誤，驗(yàn)證碼單獨(dú)提示驗(yàn)證碼錯(cuò)誤）4）用戶(hù)賬戶(hù)最多同時(shí)允許3個(gè)終端登錄。4）用戶(hù)賬戶(hù)最多同時(shí)允許3個(gè)終端登錄。（用戶(hù)綁定session來(lái)進(jìn)行判斷）默認(rèn)涉及，若需修改請(qǐng)聯(lián)系安全組。若涉及則必須同意安全要求細(xì)節(jié)5）登錄過(guò)程中用戶(hù)信息傳輸請(qǐng)滿足敏感信息傳輸要求同意6）需要進(jìn)行檢查的功能項(xiàng)，前后端都要進(jìn)行校驗(yàn)（密碼長(zhǎng)度，復(fù)雜度等等）5）登錄過(guò)程中需要有驗(yàn)證碼，防止暴力破解（可設(shè)置輸入錯(cuò)誤達(dá)到一定數(shù)目，彈出驗(yàn)證碼）推薦使用滑塊驗(yàn)證碼7）登錄過(guò)程中需要有驗(yàn)證碼，防止暴力破解（可設(shè)置輸入錯(cuò)誤達(dá)到一定數(shù)目，彈出驗(yàn)證碼）推薦使用滑塊驗(yàn)證碼注冊(cè)1）注冊(cè)過(guò)程中必須存在驗(yàn)證碼，防止惡意注冊(cè)1）注冊(cè)過(guò)程中必須存在驗(yàn)證碼，防止惡意注冊(cè)默認(rèn)涉及，若需修改請(qǐng)聯(lián)系安全組。若涉及則必須同意安全要求細(xì)節(jié)2）注冊(cè)過(guò)程中用戶(hù)信息傳輸請(qǐng)滿足敏感信息傳輸要求同意3）需要進(jìn)行檢查的功能項(xiàng)，前后端都要進(jìn)行校驗(yàn)（密碼長(zhǎng)度，復(fù)雜度等等）敏感信息分類(lèi)1）手機(jī)號(hào)，身份證號(hào)，用戶(hù)密碼一定歸屬于敏感信息1）用戶(hù)私人信息，如手機(jī)號(hào)、身份證號(hào)、用戶(hù)密碼等默認(rèn)涉及，若需修改請(qǐng)聯(lián)系安全組。若涉及則必須同意安全要求細(xì)節(jié)2）產(chǎn)品經(jīng)理定義同意敏感信息傳輸敏感信息是否需要進(jìn)行模糊處理，是否需要二次鑒權(quán)以后才能查看1）用戶(hù)查看敏感信息，第一次只能獲取到模糊信息（后端模糊處理），二次鑒權(quán)（如再輸入一次密碼）和圖形驗(yàn)證碼才能獲取到全部信息。（實(shí)現(xiàn)方案參考3）默認(rèn)涉及，若需修改請(qǐng)聯(lián)系安全組。若涉及則必須同意安全要求細(xì)節(jié)2）用戶(hù)向服務(wù)器發(fā)送敏感信息時(shí)需要使用非對(duì)稱(chēng)加密算法（前端公鑰加密，后端私鑰解密）同意敏感信息存儲(chǔ)默認(rèn)涉及，若需修改請(qǐng)聯(lián)系安全組。若涉及則必須同意安全要求細(xì)節(jié)1）密碼必須采用認(rèn)可的單向加密或雜亂編碼加密后存儲(chǔ)（建議使用sha-256以上密碼強(qiáng)度算法），其他敏感信息是否加密存儲(chǔ)由產(chǎn)品經(jīng)理決定同意密碼1）密碼長(zhǎng)度必須至少是8位字符1）密碼長(zhǎng)度必須至少是8位字符默認(rèn)涉及，若需修改請(qǐng)聯(lián)系安全組。若涉及則必須同意安全要求細(xì)節(jié)2）密碼必須是以系統(tǒng)可支持的字符組成，包括數(shù)字、字母和一些不危險(xiǎn)的特殊字符同意3）密碼必須至少由字母（區(qū)分大小寫(xiě)）及數(shù)字組成3）密碼必須至少一個(gè)字母及一個(gè)數(shù)字組成4）密碼必須至少每90天修改一次4）密碼必須至少每90天修改一次5）用戶(hù)不能使用過(guò)去曾經(jīng)使用過(guò)的10個(gè)密碼5）用戶(hù)不能使用過(guò)去曾經(jīng)使用過(guò)的10個(gè)密碼6）若用戶(hù)密碼由系統(tǒng)分配，用戶(hù)首次登錄系統(tǒng)或密碼重置后第一次登錄，密碼必須被強(qiáng)制修改6）若用戶(hù)密碼由系統(tǒng)分配，用戶(hù)首次登錄系統(tǒng)或密碼重置后第一次登錄，密碼必須被強(qiáng)制修改默認(rèn)涉及，若需修改請(qǐng)聯(lián)系安全組。若涉及則必須同意安全要求細(xì)節(jié)7）若用戶(hù)密碼由系統(tǒng)分配，初始密碼必須隨機(jī)生成，禁止初始密碼明顯包含用戶(hù)個(gè)人信息或者賬號(hào)相關(guān)屬性同意8）若用戶(hù)密碼由系統(tǒng)分配，初始密碼在發(fā)出5天內(nèi)未做修改，賬號(hào)建議被鎖定8）若用戶(hù)密碼由系統(tǒng)分配，初始密碼在發(fā)出5天內(nèi)未做修改，賬號(hào)建議被鎖定9）在用戶(hù)設(shè)置密碼時(shí)，提示用戶(hù)怎樣選擇密碼強(qiáng)度足夠的密碼9）在用戶(hù)設(shè)置密碼時(shí)，提示用戶(hù)怎樣選擇密碼強(qiáng)度足夠的密碼10）密碼修改時(shí)，必須認(rèn)證舊密碼10）密碼修改時(shí)，必須認(rèn)證舊密碼圖形驗(yàn)證碼（建議使用滑塊驗(yàn)證碼）1）一次性且不少于4位字符1）一次性且不少于4位字符默認(rèn)涉及，若需修改請(qǐng)聯(lián)系安全組。若涉及則必須同意安全要求細(xì)節(jié)2）由字母和數(shù)字組成同意3）隨機(jī)產(chǎn)生4）包括足夠的噪音干擾信息5）有效時(shí)間布超過(guò)15分鐘5）有效時(shí)間布超過(guò)15分鐘默認(rèn)涉及，若需修改請(qǐng)聯(lián)系安全組。若涉及則必須同意安全要求細(xì)節(jié)6）驗(yàn)證碼應(yīng)該為第一個(gè)驗(yàn)證參數(shù)同意7）必須一次一用短信驗(yàn)證碼1）發(fā)送給客戶(hù)時(shí)，需要明確告知客戶(hù)當(dāng)前的操作，如“您正在進(jìn)行XX操作，驗(yàn)證碼為”1）發(fā)送給客戶(hù)時(shí)，需要明確告知客戶(hù)當(dāng)前的操作，如“您正在進(jìn)行XX操作，驗(yàn)證碼為”2）驗(yàn)證碼有效期不超過(guò)180秒2）驗(yàn)證碼有效期不超過(guò)180秒3）復(fù)雜度最少為6位3）復(fù)雜度最少為6位默認(rèn)涉及，若需修改請(qǐng)聯(lián)系安全組。若涉及則必須同意安全要求細(xì)節(jié)4）驗(yàn)證碼信息必須和其他信息同時(shí)校驗(yàn)同意5）驗(yàn)證碼應(yīng)該為第一個(gè)驗(yàn)證參數(shù)應(yīng)用系統(tǒng)行為日志要求應(yīng)用系統(tǒng)必須包含日志功能，產(chǎn)品團(tuán)隊(duì)請(qǐng)?jiān)谡f(shuō)明中決定應(yīng)用系統(tǒng)上是否體現(xiàn)日志功能1）認(rèn)證數(shù)據(jù)（如密碼）包括明文和密文，禁止在任何認(rèn)證處理過(guò)程中記錄（包括但不限于日志）同意2）若應(yīng)用帶有日志審計(jì)功能，禁止非授權(quán)用戶(hù)使用日志審計(jì)。3）若應(yīng)用帶有日志審計(jì)功能，禁止有編輯或刪除日志功能4）任何對(duì)日志的訪問(wèn)都應(yīng)該要記錄5）若應(yīng)用系統(tǒng)存在日志模塊，一定要保證非授權(quán)用戶(hù)不能訪問(wèn)日志模塊。應(yīng)用系統(tǒng)行為日志范圍應(yīng)用系統(tǒng)必須包含日志功能，日志中需要記錄的行為細(xì)節(jié)要求可增加，不可減少1）必須記錄所有用戶(hù)的系統(tǒng)登錄信息（成功或失敗）2）重要業(yè)務(wù)，如對(duì)數(shù)據(jù)庫(kù)數(shù)據(jù)進(jìn)行增、刪、改都要被記錄3）服務(wù)的告警、故障、啟動(dòng)和終止都要被記錄4）系統(tǒng)或服務(wù)的啟動(dòng)和終止都要被記錄5）系統(tǒng)發(fā)現(xiàn)的違規(guī)操作都要被記錄6）所有特權(quán)操作（包括查看）都要被記錄7）所有賬號(hào)管理操作（如：賬號(hào)的建立，更改，刪除，賬號(hào)的密碼重置、鎖定及激活，權(quán)限的修改）必須完整記錄日志內(nèi)容要求應(yīng)用系統(tǒng)必須包含日志功能，日志中需要記錄的信息細(xì)節(jié)要求可增加，不可減少1）用戶(hù)ID2）日期、時(shí)間（至少精確到秒）3）終端身份和位置（IP或MAC）4）事件名稱(chēng)5）行為記錄（事前及事后的數(shù)據(jù)轉(zhuǎn)變）6）是否成功文件上傳1）根據(jù)業(yè)務(wù)場(chǎng)景，確定文件上傳格式，大小限制1）前端，后端都需要檢查用戶(hù)上傳文件進(jìn)行檢查，檢查內(nèi)容應(yīng)包括：文件格式，文件內(nèi)容，文件大?。ㄎ募笮∮僧a(chǎn)品經(jīng)理定義）默認(rèn)涉及，若需修改請(qǐng)聯(lián)系安全組。若涉及則必須同意安全要求細(xì)節(jié)2）要確保文件上傳時(shí)不會(huì)覆蓋重要內(nèi)容，將文件名改為隨機(jī)數(shù)，直接棄用原來(lái)名，防止不規(guī)則文件名的安全問(wèn)題同意3）文件上傳到統(tǒng)一大目錄，且目錄及其子目錄不可執(zhí)行，做靜態(tài)處理（開(kāi)發(fā)與為運(yùn)維溝通）2）可能會(huì)影響圖片清晰度4）上傳圖片進(jìn)行壓縮3）是否有大文件上傳（20M以上）5）若上傳文件太大（如媒體文件）應(yīng)采用異步上傳方式。輸入校驗(yàn)?zāi)J(rèn)涉及，若需修改請(qǐng)聯(lián)系安全組。若涉及則必須同意安全要求細(xì)節(jié)1）過(guò)濾接口所有輸入（如：json中所有字段，url中參數(shù)），將危險(xiǎn)字符全部刪除，部分常見(jiàn)的危險(xiǎn)字符包括但不限于：:<>'%"()&+/\同意2）后端與前端都需要進(jìn)行過(guò)濾校驗(yàn)免責(zé)聲明1）是否要中轉(zhuǎn)頁(yè)面1）網(wǎng)站中需要跳轉(zhuǎn)到其他網(wǎng)站時(shí)，需要一個(gè)中轉(zhuǎn)頁(yè)面，并且?guī)в忻黠@免責(zé)聲明。2）是否要《用戶(hù)隱私協(xié)議》2）注冊(cè)界面應(yīng)當(dāng)有《用戶(hù)隱私協(xié)議》，內(nèi)容包括告知用戶(hù)收集和處理用戶(hù)個(gè)人信息方式、內(nèi)容和