报告编号：SICSTC/TR-SH

Size: px

Start display at page:

Download "报告编号：SICSTC/TR-SH"

球劳哲江
5 years ago
Views:

报告属性信息 (Report Properties Information) 京天元体质测试 / 体育考核管理系统委托评测报告项目名称 Project Name 京天元体质测试 / 体育考核管理系统软件名称 Software Name 京天元体质测试 / 体育考核管理系统版本号 Version Number V1.

3 报告属性信息 (Report Properties Information) 京天元体质测试 / 体育考核管理系统委托评测报告项目名称 Project Name 京天元体质测试 / 体育考核管理系统软件名称 Software Name 京天元体质测试 / 体育考核管理系统版本号 Version Number V1.2 委托单位名称 Client Name 京天元体育科技 ( 北京 ) 有限公司委托单位地址 Client Address 北京市通州区广聚街 15 号 1 幢 6213 号联系人姓名 Contactor Name 陈士静联系电话 Phone 邮箱 @q q.com 服务类型 Service Type 测试机构名称 Organization Name 测试地点 Testing Address 样品内容及数量 Tested Sample 验收评测 [ ] 产品确认评测 [ ] 委托评测 [ ] 其它国家信息中心软件评测中心北京市通州区广聚街 15 号 1 幢 6213 号软件 [1] 技术文档 [1] 配件 [ ] 其它样品接收日期 Accepted Date 测试日期 Testing Date 至测试标准 Testing Standard 依据 GB/T :2016 系统与软件工程系统与软件质量要求和评价 (SQuaRE) 第 51 部分 : 就绪可用软件产品 (RUSP) 的质量要求和测试细则参考 GB/T 22239:2008 信息安全技术信息系统安全等级保护基本要求参考 GB/T :2016 系统与软件工程系统与软件质量要求和评价 (SQuaRE) 第 10 部分 : 系统与软件质量模型参考 SICSTC/DC-01 国家信息中心软件评测中心软件产品测试规范

5 目录京天元体质测试 / 体育考核管理系统委托评测报告结论描述测试结果安全机制检查 - 应用安全身份鉴别访问控制安全审计软件容错资源控制项目概要项目背景测试目的过程回顾缺陷级别定义结果判定原则测试资源组织测试环境软硬件环境测试流程测试沟通阶段测试准备阶段测试设计阶段测试执行阶段测试实施缺陷提交与分析测试收尾阶段... 13

6 京天元体质测试 / 体育考核管理系统委托评测报告测试结果分析测试报告及评审测试工作验收测试方法信息安全性测试附件一测试需求... 16

8 1 测试结果京天元体质测试 / 体育考核管理系统委托评测报告 1.1 安全机制检查 - 应用安全身份鉴别标示符测试点测试结果结果判定 TC-1-1 TC-1-2 TC-1-3 登录控制模块鉴别信息复杂度登录失败处理系统提供专用的登录控制模块对登录用户进行身份标识和鉴别系统提供用户身份标识唯一和鉴别信息复杂度检查功能, 应用系统中不存在重复用户身份标识, 身份鉴别信息不易被冒用首轮测试中, 系统没有启用对身份鉴别信息的复杂度检查, 经修复后执行回归测试, 执行系统设置维护 - 账号密码修改操作时, 密码有复杂度校验, 要求包含数字大写或小写字母特殊字符字符数在 8-20 之间系统提供登录失败处理功能, 采用限制非法登录次数和结束会话首轮测试中, 未启用登录失败处理, 经修复后执行回归测试, 启用了登录失败处理, 错误次数超过 5 次, 系统给出错误次数提示, 并自动关闭通过通过通过访问控制标示符测试点测试结果结果判定系统提供访问控制功能, 可依据安全策略, 控制用户对系统中表单资源功能的访问考务管理员 jty1, 只能操作系统授予的资源功能, TC-1-4 访问控制策略包括考生出场成绩公示考务管理统计管理员 jty2, 只能操作系统授予的资源功能, 通过包括考生成绩分组打印考场综合概况考生信息查询成绩分类统计超级管理员 jty, 能操作系统下所有功能 TC-1-5 默认账户访问严格限制默认帐户的访问权限限制通过 TC-1-6 账户权限可以授予不同帐户为完成各自承担任务所需的权限通过第 2 页共 16 页

9 京天元体质测试 / 体育考核管理系统委托评测报告标示符测试点测试结果结果判定考务管理员 jty1, 只能操作系统授予的资源功能, 包括考生出场成绩公示考务管理系统设置维护 - 修改密码统计管理员 jty2, 只能操作系统授予的资源功能, 包括考生成绩分组打印考场综合概况考生信息查询成绩分类统计系统设置维护 - 修改密码超级管理员 jty, 能操作系统下所有功能安全审计标示符测试点测试结果结果判定 TC-1-7 TC-1-8 TC-1-9 安全审计覆盖范围审计记录保护审计内容安全日志可以覆盖到系统下的每个用户, 重要安全事件的日志与实际用户对系统的操作情况相符合包括: 系统登录退出考生出场成绩公示考生成绩分组打印考场综合概况考生信息查询考务管理成绩分类统计系统设置维护审计日志没有删除修改功能 ; 且没有覆盖审计记录的情况审计记录的内容包括事件的日期时间发起者信息类型描述和结果通过通过通过软件容错标示符测试点测试结果结果判定 TC-1-10 数据有效性校验提供数据有效性检验功能, 系统设置维护所涉及的系统配置修改密码操作对用户输入的数据项格式或长度做校验首轮测试中, 系统中系统设置维护所涉及的系统配置修改密码操作没有对用户输入项格式或长度做校验, 经修复后执行回归测试, 启用了数据有效性校验功能, 系统配置操作对输入项的长度做校验修改密码操作对输入项格式和长度做校验通过第 3 页共 16 页

10 京天元体质测试 / 体育考核管理系统委托评测报告资源控制标示符测试点测试结果结果判定 TC-1-11 自动结束会话系统的通信双方中的一方在一段时间内未作任何响应, 另一方能够自动结束会话首轮测试中, 没有启用会话超时限制, 经修复后执行回归测试, 启用了会话超时限制, 用户挂机时长超过 1 小时, 系统自动关闭通过 TC-1-12 在线用户数能够对应用系统的最大在线用户数进行限制通过 TC-1-13 多重并发限制能够对单个帐户的多重并发会话进行限制通过第 4 页共 16 页

11 京天元体质测试 / 体育考核管理系统委托评测报告 2 项目概要 2.1 项目背景京天元体质测试 / 体育考核管理系统由京天元体育科技 ( 北京 ) 有限公司开发, 用于中小学生体质测试及体育训练考试数据的管理, 其主要功能模块包括 : 考生出场成绩公示考生成绩分组打印考场综合概况考生信息查询考务管理成绩分类统计系统设置维护本次测试主要针对京天元体质测试 / 体育考核管理系统 V1.2 共 13 个测试项进行信息安全性测试 ( 具体测试内容详见附件一 ) 2.2 测试目的本测试报告目的是通过对京天元体质测试 / 体育考核管理系统 V1.2 的测试, 依据测试结果, 为评价分析其符合需求依据要求的程度以及存在的问题和需要改进的方面提供参考和依据本文的预期读者包括 : 需方最终用户供方第三方用户等 2.3 过程回顾本次京天元体质测试 / 体育考核管理系统项目测试经历了如下几个阶段 : 里程碑 1: 项目启动工作量 : 至完成标志 : 完成项目开工会, 项目正式启动初步构建测试团队完成用户初步沟通第 5 页共 16 页

12 京天元体质测试 / 体育考核管理系统委托评测报告产出物 : 项目立项会议纪要里程碑 2: 需求分析工作量 : 至完成标志 : 完成项目测试需求分析, 形成委托测试申请表 / 测试需求, 下达测试任务产出物 : 测试需求测试任务书里程碑 3: 测试策划工作量 : 至完成标志 : 完成本次测试的方案和计划设计, 并通过评审产出物 : 测试计划里程碑 4: 测试设计工作量 : 至完成标志 : 完成本次测试用例设计, 并通过评审产出物 : 测试用例里程碑 5: 测试执行工作量 : 至完成标志 : 测试用例全部执行结束 ( 含回归测试 ), 并且得到客户的确认产出物 : 测试记录问题报告及回归记录第 6 页共 16 页

13 京天元体质测试 / 体育考核管理系统委托评测报告里程碑 6: 结果分析及测试报告工作量 : 至完成标志 : 对整体测试过程及结果进行整理, 编写测试报告, 并通过中心评审客户确认产出物 : 测试报告 2.4 缺陷级别定义 1) 高级别缺陷不能执行正常工作功能或重要功能, 使系统崩溃或资源严重不足包括 : 1 导致软件 ( 或系统 ) 死机或宕机 : 由于程序所引起的死机宕机 ; 2 导致数据库错误 : 由于程序错误所引起的数据库损坏或数据库连接异常 ; 3 关键功能或其他特性未实现 : 用户文档集中要求, 或直接影响被测软件正常运行的功能或其他特性未实现 ; 4 抵御错误操作 : 由于未对错误的操作进行限制而导致软件 ( 系统 ) 功能无法使用 ; 5 数据通讯错误 : 由于程序错误导致数据通讯故障错误 ; 6 严重的数值计算错误 : 由于程序错误造成数据计算严重错误 2) 中级别缺陷严重地影响系统要求或基本功能的实现, 且没有办法更正 ( 重新安装或重新启动该软件不属于更正办法 ) 包括: 1 非关键功能未实现 : 用户文档集中要求, 但并不直接影响被测软件正常第 7 页共 16 页

14 京天元体质测试 / 体育考核管理系统委托评测报告运行的功能未实现例如, 对不可逆操作未给出提示 3) 低级别缺陷一般性错误, 影响系统要求或基本功能的实现, 但存在合理的更正办法 ( 重新安装或重新启动该软件不属于更正办法 ) 包括: 1 界面错误 : 界面存在的适配问题, 例如 : 图片文字错误等 ; 2 结果 / 消息错误 : 系统的输出结果或消息的内容格式错误 ; 3 边界未限制 : 简单的输入限制未放在前台进行控制 ; 4 关键操作未给出提示 : 对关键功能数据的操作数据输入的限制条件等给出的提示不准确 2.5 结果判定原则测试点判定原则测试点可判定为通过基本通过和不通过通过 : 不存在高中低级别缺陷和高中低级别安全风险基本通过 : 仅存在低级别缺陷或低级别安全风险不通过 : 存在高中级别缺陷或高中级别安全风险第 8 页共 16 页

15 京天元体质测试 / 体育考核管理系统委托评测报告 3 测试资源 3.1 组织项目测试人员配置表 2.1 测试人员列表角色人数职责技能评审并批准测试计划及有关报告 ; 项目负责人 1 项目经理 1 测试工程师 2 配置管理员 1 组织并确保团队工作 ; 控制项目进度 ; 评估测试绩效 ; 与有关人员进行沟通测试计划编制 ; 协调实施项目计划中确定的活动 ; 识别测试环境需求 ; 负责设计测试用例 ; 为其他人员提供技术支持执行测试活动 ; 提交测试日志和测试记录报告负责制定项目的配置管理计划 ; 负责项目过程的配置管理活动的落实和管理 ; 负责项目电子数据的变更管理版本控制和备案入库工作熟悉测试管理知识或有测试管理经验, 能进行有效沟通熟悉软件测试方法及其工具, 具有一定的领导测试人员开展测试工作的能力了解测试工作, 可根据测试说明执行测试, 并可对测试结果进行简单归纳, 会使用缺陷跟踪与管理系统熟悉配置管理程序, 掌握配置管理工具的使用和维护质量监督员 1 对测试过程测试记录测试结果进行监督熟悉测试流程, 熟悉测试记录和测试结果的规范第 9 页共 16 页

16 京天元体质测试 / 体育考核管理系统委托评测报告 3.2 测试环境软硬件环境测试机 ( ) 设备型号 : 清华同方 1492 硬件环境 CPU: 内存 : 硬盘 : Intel(R) Core(TM) i MQ@ 2.5GHz 4GB 900GB 操作系统 : Windows7-64bits 软件环境应用软件 : 京天元体质测试 / 体育考核管理系统 V1.2.exe MySQL 5.7 第 10 页共 16 页

17 京天元体质测试 / 体育考核管理系统委托评测报告 4 测试流程 4.1 测试沟通阶段 1) 三方人员配合人员配合准备主要是由委托单位指定项目接口人, 提供业务指导技术支持及问题解决和反馈的途径, 人员指定上要求提供熟悉本系统业务流程的技术人员开发部门技术人员最好能提供随时的技术支持 2) 测试数据准备按测试需求, 在被测系统测试环境中按各个业务功能点分别准备相关的业务数据测试数据的准备由测试方提出具体要求, 由委托单位从现有系统中进行抽取后提交, 由测试方对数据的有效性进行必要的验证 3) 测试环境准备测试前期, 由测试方与委托方进行有效沟通, 委托方需要对测试样品及运行环境进行保障, 保障测试样品的可测试性, 即被测样品已在内部进行过较全面的测试工作, 保障运行环境的有效性, 即被测样品可在运行环境中无故障的稳定的运行 4.2 测试准备阶段本阶段针对需求依据进行分析, 通过与用户充分沟通 ; 最终确定测试需求和测试计划, 此过程主要任务如下 : 获取用户需求, 针对用户需求结合实际测试经验进行分析 ; 第 11 页共 16 页

18 京天元体质测试 / 体育考核管理系统委托评测报告项目经理组织制定并评审测试计划, 召开测试组会议, 分配任务 ; 由测试组负责人领取测试任务, 同时将测试任务按照系统模块分配给测试工程师 ; 项目组测试人员依据任务进行任务分解细化 4.3 测试设计阶段此过程依据测试需求和测试计划, 结合被测系统京天元体质测试 / 体育考核管理系统 V1.2 实际情况, 测试工程师对自己负责的模块进行用例设计 ; 设计完成后, 由项目经理组织对测试用例进行评审 ; 此过程主要完成以下任务 : 测试工程师分析测试需求以及被测对象京天元体质测试 / 体育考核管理系统 V1.2 ; 测试工程师依据测试点设计测试用例 ; 项目经理对测试用例进行评审 ; 最终确认所有测试用例, 以及测试用例与测试需求的覆盖关系 4.4 测试执行阶段测试实施此过程依据已经确认的测试用例执行测试, 依据测试用例描述在被测对象京天元体质测试 / 体育考核管理系统 V1.2 上运行测试用例, 发现并提交缺陷 ; 另外设置测试用例相应状态此过程主要完成以下任务 : 测试工程师依据测试用例执行测试, 并及时记录测试结果 ; 测试工程师执行完自己负责的测试用例后, 进行交叉检查 ; 第 12 页共 16 页

19 京天元体质测试 / 体育考核管理系统委托评测报告执行完成所有测试用例后, 对系统进行探索性测试, 并提交缺陷 ; 项目经理对测试执行过程进行监控, 评审测试过程记录缺陷提交与分析此过程是在测试执行过程中填写并提交缺陷报告, 对缺陷进行分析整理此过程主要完成以下任务 : 测试工程师填写并提交系统缺陷报告 ; 项目经理对缺陷进行评审和分析 ; 正式向委托方提交问题报告及问题列表 ; 回归测试重复和的过程 4.5 测试收尾阶段测试结果分析测试工作全部结束以后, 测试结果在经过委托方确认通过后, 测试方针对本次的测试结果 ( 包括所有质量特性 ) 进行分析统计, 并对用例覆盖用例执行率缺陷分布情况进行分析统计, 同时对于测试结果数据的规律性及缺陷的生成率分布程度缺陷等级进行统计分析, 通过结果分析对系统整体表现进行综合评价测试报告及评审测试报告作为本次测试项目最终的输出物, 是对本次测试工作, 测试结果进行综合描述及总结的评价性文档, 对于报告的严谨性公正性科学性及文档性有较高的要求我中心高级项目经理技术总监质量监督员授权签字人逐级第 13 页共 16 页

20 京天元体质测试 / 体育考核管理系统委托评测报告对最终测试报告的真实性及有效性进行评审, 内部评审通过后, 将测试报告提交至委托方进行最终确认, 一经确认即形成最终版与报告评审同时参照如下相关的内容 : 测试需求测试计划测试用例过程记录 ( 包括问题报告及回归记录 ) 测试报告测试工作验收完成测试服务内容后, 由我中心提交涵盖所有测试内容的测试报告, 及委托方所需的测试过程化文档, 作为项目完成后的最终交付物, 由委托单位确认, 标志项目的整体完工第 14 页共 16 页

21 京天元体质测试 / 体育考核管理系统委托评测报告 5 测试方法 5.1 信息安全性测试总体方向信息安全性测试是通过人工手动检查方式进行系统安全检查, 并对安全检查结果进行记录, 通过安全性分析评测关注应用安全 : 身份鉴别访问控制安全审计软件容错资源控制评测方法安全检查 : 通过检查列表的方式进行测试的方法针对系统的身份鉴别访问控制安全审计等检查项, 设定相应的安全检查列表对此类系统进行相关的配置检查 1. 明确系统信息安全性需求, 并量化信息安全性需求指标 2. 设计信息安全性测试用例评测步骤 3. 执行信息安全性测试, 记录测试结果 4. 依据需求比对并评价系统信息安全性 5. 通过信息安全性分析, 提交安全性缺陷第 15 页共 16 页

22 京天元体质测试 / 体育考核管理系统委托评测报告附件一测试需求信息安全性测试需求测试项测试点测试内容身份鉴别访问控制安全审计软件容错资源控制登录控制模块鉴别信息复杂度登录失败处理访问控制策略默认账户访问限制账户权限安全审计覆盖范围审计记录保护审计内容数据有效性校验自动结束会话在线用户数多重并发限制应提供专用的登录控制模块对登录用户进行身份标识和鉴别应提供用户身份标识唯一和鉴别信息复杂度检查功能, 保证应用系统中不存在重复用户身份标识, 身份鉴别信息不易被冒用应提供登录失败处理功能, 可采取结束会话限制非法登录次数或自动退出等措施应依据安全策略控制用户对文件数据库表等客体的访问应严格限制默认帐户的访问权限应授予不同帐户为完成各自承担任务所需的权限应提供覆盖到每个用户的安全审计功能, 对应用系统重要安全事件进行审计应保证无法删除修改或覆盖审计记录审计记录的内容至少应包括事件日期时间发起者信息类型描述和结果等保证通过人机接口输入或通过通信接口输入的数据格式或长度符合系统设定要求当通信双方中的一方在一段时间内未作任何响应, 另一方应能够自动结束会话应能够对应用系统的最大在线用户数进行限制应能够对单个帐户的多重并发会话进行限制全文结束第 16 页共 16 页

声明 1. 本报告无本评测中心测试专用章和骑缝章无效 ; 2. 本报告无审核人员和授权签字人签字无效 ; 3. 本报告涂改无效 ; 4. 未经本评测中心书面批准, 不得复制报告 ( 完整复制除外 ); 5. 本报告结果数据仅对报告中指定的测试环境条件及被测样品版本的测试有效当被测样品出现型号 /

委托评测报告项目名称 : 委托单位 : 报告时间 : 泰山体育云健康 ( 学生体测 ) 管理平台泰山爱动健康科技 ( 北京 ) 有限公司 2018 年 07 月 11 日国家信息中心软件评测中心严谨高效公正科学声明 1. 本报告无本评测中心测试专用章和骑缝章无效 ; 2. 本报告无审核人员和授权签字人签字无效 ; 3. 本报告涂改无效 ; 4. 未经本评测中心书面批准, 不得复制报告