◆刘沅斌

基于风险点知识库的银行业务安全测试方法研究

◆刘沅斌

（中国农业银行研发中心 北京 100161）

结合当前业务安全漏洞攻击日益增多，商业银行内部逐渐重视系统业务安全测试的现状，本文提出一种基于风险点知识库的业务安全测试方法。该方法通过设计业务安全测试流程，规范风险点知识库的形式化描述，基于规则的实体识别构建风险点知识库，实现业务安全测试流程的标准化和业务安全测试用例设计的自动化。

安全测试；业务安全；风险点知识库；测试用例

1 引言

随着互联网的飞速发展，银行信息系统受到的安全攻击逐年增加。安全测试作为一种评估银行信息系统安全性的手段，逐步受到重视。而银行系统对于传统安全漏洞防护的技术和设备日趋成熟，基于传统安全漏洞攻击也变得日益困难，增加了黑客的攻击成本，使得基于业务安全漏洞的攻击日益增加，业务安全测试重要性凸显。安全测试作为一项专业性强的工作，其测试效果取决于安全测试人员的专业知识、技能和经验，缺乏成熟的方法和模型。如何充分利用内外部已有知识，构建组织级资产，降低安全测试的准入门槛？

攻击图是目前较常用的安全评估方法，文献[1]基于对系统业务数据流，攻击流和安全措施要素统一建模分析的结果构建节点间脆弱性利用图，基于攻击成功率识别出攻击者获取某种可能危害到业务系统安全属性的攻击能力节点的最短攻击路径。……