非金融机构支付服务业务系统检测规范_预付卡部分

非金融机构支付服务业务系统检测规范_预付卡部分

系统与检测规范内容对应关系说明

银行卡检测中心：

系统的功能、性能、风险监控和文档与《非金融机构支付服务业务系统检测规范_预付卡部分》内容的对应关系说明如下：

功能

说明：*标记为必测项

非金融机构支付服务业务系统检测规范_预付卡部分

编号

检测项 1.3.4 发卡机构证书管理 1.3.5 IC 卡证书管理 无 无

系统实际功能

1.4.1 联机消费* (联机交易类 联机消费 必测项) 1.4.2 联机消费撤销 联机消费撤销

1.4.3 联机余额查询* (联机交 联机余额查询 易类必测项 (密码卡不适用) ) 1.4.4 退货*(密码卡不适用) 联机退货 1.4.5 冲正交易* (联机交易类 自动冲正 必测项(密码卡不适用) ) 1.4.6 异常卡交易* 1.4.7 现金充值 1.4 交易处理 1.4.8 指定账户圈存 1.4.9 非指定账户圈存 1.4.10 IC 卡脚本通知 1.4.11 圈提 异常卡包括激活卡、挂失卡、坏卡、 冻结卡等非正常状态卡片 联机充值 无 无 无 无

1.4.12 脱机消费*(脱机交易 无 类必测项) 1.4.13 脱 机 消 费 文 件 处 理 * 无 (脱机交易类必测项) 1.4.14 脱机余额查询*(脱机 无 交易类必测项) 1.4.15 交易查询* 1.5 1.6 1.7 资金结算 对账处理 1.6.2 生成对账文件 差错处理 1.7.1 长款/短款处理* 1.8.1 业务类报表* 1.8 统计报表 1.8.2 运行管理类报表* 商户，发卡方对账单 调帐处理 对账单报表，财务报表，交易统计 报表等 商户开通报表，机构售卡报表，风 控运行报表等 1.5.1 客户结算 1.6.1 发送对账请求 历史和当前交易查询 清算批处理 清算批处理

非金融机构支付服务业务系统检测规范_预付卡部分

风险监控

说明：*标记为必测项

非金融机构支付服务业务系统检测规范_预付卡部分

性能

以下声明的系统指标已经在被测系统中实现。

网络安全测试

非金融机构支付服务业务系统检测规范_预付卡部分

编号

检测项 域，未合理划分 DMZ 区 (5) 在 路 由 器 或 者 交 换 机上未配置 QOS,也未 做其它网络流量控制 (6) 防 火 墙 访 问 控 制 规 则中未配置默认的拒绝 策略 (7) 未 对 可 登 录 核 心 系 统主机的主机范围进行 限定 (8) 无 法 对 非 授 权 设 备 私自联到内部网络和内 部网络用户私自联到外 部网络的行为进行检查， 准确定出位置， 并对其进 行有效阻断 (9) 访 问 生 产 区 服 务 器 的终端机可同时访问互 联网 (10) 未进

行地址转换， 以隐藏内部网络结构 (11) 防火墙访问控制规 则中存在冗余的允许策 略 (12) 系统对 Internet 提供 服务， 但访问控制粒度未 控制到端口级。 (13) 在不影响双机切换 等情况下， 重要服务器在 网络设备上未进行 MAC 和 IP 的绑定 (14) 允许使用 SSH 的 V1 版本 (15) 没有禁止客户端通 过 telnet 协议(明文传 输) 在内部网络内进行远 程管理 (16) 没有禁止客户端通 过 telnet 协议(明文传 输) 在外部网络内进行远 程管理 2 结构安全 (1) 无链路备份

对应说明

做网络流量限制

放火墙配置信任访问策略

控制生产环境的机器是否可访问

对机器的从内向外或者从外向内访问进 行严格限制

网络设备不允许远程访问 进行地址转换， 外部使用转换后地址访问 机器 删除多余的允许策略

网络设备不提供给外部访问

建议

建议

建议

禁用 telnent 登陆

有主备链路

非金融机构支付服务业务系统检测规范_预付卡部分

编号

检测项 (2) 核 心 网 络 设 备 缺 少 冗余 (3) 链 路 使 用 同 一 运 营 商的线路

对应说明 提供网络设备允余配置 主备线路使用同一运营商

3

4

(4) 系 统 中 使 用 动 态 路 由(包括 OSPF、IEGRP 使用静态路由不影响检测结果 等) , 但动态路由未启用 动态路由认证。 (1) SNMP community 设置 snmp 服务的 community 为指定的值， 字符串为默认值 或者可不使用 snmp 服务 (2) 路 由 器 使 用 默 认 的 网络配置 enable 密码 enable 密码 (3) 未 限 制 口 令 最 小 长 设置网络设备登陆 度、 复杂度和更新时间等 (4) 路 由 器 / 防 火 墙 的 设置密码加密 enable 密码未加密存储 (5) 路 由 器 / 防 火 墙 的 enable 密码存储加密方 设置密码复杂加密 式不安全，易被破解 (6) 网 络 设 备 的 口 令 列 对所有可操作网络设备的密码进行加密 网 络 设 备 表未加密， 保存在管理员 处理 防护 终端或服务器上 (7) 未 设 置 非 法 登 录 次 网络设备不支持远程登陆 数控制参数 (8) 未 设 置 连 接 超 时 等 建议 控制参数 (9) 网 络 设 备 开 启 了 不 建议 必要的服务 (10) 主 要 网 络 设 备 及 安 全设备未采取两种或两 建议 种以上组合的鉴别技术 进行身份鉴别。 (11)设备存在不需要的用 删除调试过程中使用的用户 户 (1) 没有安装 IDS 或防恶 开启了防火墙 (深信服 AF1110)IPS 功能 意代码软件 (2) 病毒库更新不及时； 定时有网络安全人员进行网络病毒库更 IDS 特征库更新不及时 新 网络入侵 (3) 防 范 软 件 未 能 及 时 防范 定时有网络安全人员进行补丁安装 安装补丁 (4) 网络设备(防火墙、 路由器、交换机和 IDS 建议 等)无安全配置标准

非金融机构支付服务业务系统检测规范_预付卡部分

编号

检测项 (5) 未设置 DoS/DDoS 攻 击、网络 ARP 欺骗攻击 等的防护措施 (1) 数 据 中 心 无 独 立 的 网络

监控设备 (2) 未建立主机、应用的 自动化监控平台 (3) 网 络 设 备 无 审 计 记 录 (4) 对于没有审计工具， 但可人工实现， 并有相关 制度及记录 (5) 未开启日志功能 (6) 未使用 NTP 或类似 的技术对关键设备的时 间进行同步 5 网络安全 审计 (7) 没 有 专 人 定 时 查 看 并分析日志 (8) 不 对 审 计 记 录 进 行 备份保存， 日志信息循环 记录 (9) 未 合 理 配 置 日 志 缓 冲区大小 (10) 没有定期的内部审 计安全检查 (11)未提供网络设备故障 处理制度及相应记录 (12) 针 对 网 络 故 障 未 形 成知识库 (13) 针 对 网 络 故 障 未 生 成分析文档 (1) 网 络 设 备 软 件 版 本 过低 (2) 应用协议(如 SNMP 协议)版本过低 6 网络安全 管理 (3) 没有漏洞扫描工具， 也没有漏洞扫描记录和 报告

对应说明 在 防 火 墙 ( 深 信 服 AF1110) 开 启 防 火 墙 ddos 攻击。

数据中心有此设备 建议 进行人工审计，每月在进行网络巡检时， 进行 log 查看的人工审计 建议 网络设备开启日志功能 建议

建议

需要专门的日志服务器

配置网络设备日志缓冲区大小 建议

建议 建议 文档《网络故障分析表》建议 建议

Nessus 软件进行扫描

7

(4) 网 络 设 备 的 重 要 文 件(如配置文件等)未 进行备份保存 网 络 相 关 (1) 同一团队 / 人员负责 人 员 安 全 管理多台网络设备、 主机

对每次的网络配置文件信息进行抓取 和保存备份建议

非金融机构支付服务业务系统检测规范_预付卡部分

主机安全

非金融机构支付服务业务系统检测规范_预付卡部分

(2)系统存在多余的自建账户(数据库、应用中间件 的默认用户未删除或关闭) (3) 日志文件权限设置不安全 (4) 存在具有 SUID/SGID 权限的文件 (5) 存在全局可写文件/目录 (6) 存在具有 …… 此处隐藏：6542字，全部文档内容请下载后查看。喜欢就下载吧 ……