【說明】
某企業爲防止自身信息資源的非授權訪問，建立了如圖4-1所示的訪問控制系統。
(1)認證：管理企業的合法用戶，驗證用戶所宣稱身份的合法性，該系統中的認證機制集成了基於口令的認證機制和基於PKI的數字證書認證機制；
(2)授權：賦予用戶訪問系統資源的權限，對企業資源的訪問請求進行授權決策；
(3)安全審計：對系統記錄與活動進行獨立審查，發現訪問控制機制中的安全缺陷，提出安全改進建議。
【問題1】 對該訪問控制系統進行測試時，用戶權限控制是其中的一個測試重點。對用戶權限控制的測試應包含哪兩個主要方面？每個方面具體的測試內容又有哪些？
【問題2】 測試過程中需對該訪問控制系統進行模擬攻擊試驗，以驗證其對企業資源非授權訪問的防範能力。請給出三種針對該系統的可能攻擊，並簡要說明模擬攻擊的基本原理。
【問題3】 對該系統安全審計功能設計的測試點應包括哪些？
【分析】
本題考查安全測試相關知識。
【問題1】
本問題考查用戶權限控制相關安全測試的基本測試內容。對這部分進行安全測試應包含對用戶權限控制體系合理性的評價和對用戶權限分配合理性的評價。
答：
（1）對用戶權限控制體系合理性的評價，其具體測試內容包括：
1）是否採用系統管理員、業務領導、操作人員三級分離的管理模式。
2）用戶名稱是否具有唯一性，口令的強度及口令存儲的位置和加密強度等。
（2）對用戶權限分配合理性的評價，其具體測試內容包括：
1）用戶權限系統本身權限分配的細緻程序。
2）特定權限用戶訪問系統功能的能力測試。
【問題2】
本問題考查針對特定系統的模擬攻擊實驗設計。模擬攻擊實驗是一組特殊的墨盒測試安全，相關模擬攻擊實驗的設計應結合應用具體的安全機制及特點。針對系統的身份認證機制，可設計冒充攻擊試驗；針對系統用於認證及授權決策的網絡消息，可設計重演攻擊試驗；針對系統關鍵核心安全模塊，可設計服務拒絕攻擊試驗；由於系統運行時涉及各種內部用戶，因此係統關鍵核心安全模塊，可設計服務拒絕攻擊試驗；由於系統運行時涉及各種內部用戶，因此安全測試需驗證系統防範內部用戶的安全攻擊，因此可設計內部攻擊實驗。
答：
冒充攻擊：攻擊者控制企業某臺主機，發現其中系統服務中可利用的用戶賬號，進行口令猜測，從而假裝成特定用戶，對企業資源進行非法訪問。
重演攻擊（或重放攻擊）：攻擊者通過截獲含有身份鑑別信息或授權請求的有效消息，將該消息進行重演，以達到鑑別自身或獲得授權的目的，實現對企業資源的訪問。
服務拒絕攻擊：攻擊者通過向認證服務或授權服務發送大量虛假請求，佔用系統帶寬並造成系統關鍵服務繁忙，從而使得認證授權服務功能不能正常執行，產生服務拒絕。
內部攻擊：不具有相應權限的系統合法用戶以非授權方式進行動作，如截獲並存儲其他業務部門的網絡數據流，或對系統訪問控制管理信息進行攻擊以獲得他人權限等。
【問題3】
本問題考查軟件系統安全審計功能的主要測試點。
答：
對該系統安全審計功能設計的測試點應包括：
1、能否進行系統數據收集，統一存儲，集中進行安全審計
2、能否支持基於PKI的應用審計
3、是否支持基於XML等的審計數據採集協議
4、是否提供靈活的自定義審計規則