编号：测 评 指 导 书《信息系统安全等级保护基本要求》基础网络安全-应用安全-第三级V1.0天融信信息安全等保中心1、测评对象对象名称与IP地址备注（测评地点与环境等）2、入场确认序号确认容1测评对象中的关键数据已备份。假如没有备份则不进行测评2测评对象工作正常。如工作异常则不进行测评。开始时间确认签字3、离场确认序号确认容1测评工作未对测评对象造成不良影响，测评对象工作正常。结 束 时间确认签字序号类别测评项测评实施预期结果符合情况1身份鉴别a) 应提供专用的登录控制模块对登录用户进行身份标识和鉴别；访谈:1)访谈应用系统管理员，询问应用系统的身份标识和鉴别机制采纳何种措施实现；2)登录应用系统，查看是否提示输入用户口令，然后以正确口令登录系统，再以错误口令或空口令重新登录，观察是否成功。1)应用系统使用口令鉴别机制对用户进行身份标识和鉴别；2)登录时提示输入用户名和口令；以错误口令或空口令登录时提示登录失败，验证了登录控制功能的有效性；3)应用系统不存在密码为空的用户。b) 应对同一用户采纳两种或两种以上组合的鉴别技术实现用户身份鉴别；访谈:1 ）访谈应用系统管理员，询问应用系统是否采纳了两种与两种以上身份鉴别技术的组合来进行身份鉴别（如采纳用户名/ 口令、挑战应答、动态口令、物理设备、生物识别技术中的任意两种组合）；手工检查：1 ）通过注册用户，并以一种身份鉴别技术登录，验证是否可以登录。用户的认证方式选择两种或两种以上组合的鉴别技术，只用一种技术无法认证成功。c) 应提供用户身份标识唯一和鉴别信息复杂度检查功能，保证应用系统中不存在重复用户身份标识，身份鉴别信息不易被冒用；访谈：1 ）访谈应用系统管理员，询问应用系统实行何种措施防止身份鉴别信息被冒用（如复杂性混有大、小写字母、数字1)应用系统配备身份标识（如建立）和鉴别（如口令等）功能；其身份鉴别信息具有不易被冒用的特点，规定字符混有序号类别测评项测评实施预期结果符合情况和特别字符，口令周期等）；手工检查：1 ）以弱口令用户注册，验证其用户是否注册成功。大、小写字母、数字和特别字符）；2)以不符合复杂度要求和不符合长度要求的口令创建用户时均提示失败。d) 应提供登录失败处理功能，可实行结束会话、限制非法登录次数和自动退出等措施；访谈：1 ）访谈应用系统管理员，询问应用系统是否配备并使用登录失败处理功能（如登录失败次数超过设定值，系统自动退出等），...
