四员协同考核激励项目系统测试与实施

杨淑琼 周寅晴

摘  要：随着信息技术的发展，湖南烟草商业系统在不断探索信息系统建设的新架构，打通卷烟经营管理及各个应用系統之间的联系，促进四员协同应用和工作水平提升，促进企业实现高质量发展目标。本文基于对四员协同考核激励项目进行系统测试，为了进一步加强信息安全管理，在项目建设时，同步开展系统功能、性能及安全测试的设计与实施，确保信息系统安全稳定运行。

关键词：功能测试  性能测试  安全测试  考核激励

中图分类号：TL35                            文献标识码：A                 文章编号：1674-098X（2020）08（b）-0137-03

Abstract： With the development of information technology， Hunan tobacco business system is constantly exploring the new framework of information system construction， breaking through the links between cigarette management and various application systems， promoting the collaborative application and work level of the four members， and promoting enterprises to achieve high-quality development goals. In order to further strengthen the information security management， the design and implementation of the system function， performance and security test are carried out simultaneously to ensure the safe and stable operation of the information system.

Key Words： Function test; Performance test; Security test; Assessment and incentive

随着企业信息化飞速发展，网络安全已上升到前所未有的法制高度。按照网络安全法三同步要求，四员协同考核激励项目建设时，考虑对系统功能、性能及安全进行测试，确保安全设计得到正确实施，保障系统上线后能够安全稳定运行。

1  系统测试设计

系统测试主要包括功能测试、性能测试及安全测试三个方面。

2  功能测试需求

2.1 工作考核与激励测试

四员协同工作考核，对协同时效、质量、事项的考核，协同报表、工作看板等功能是否可用;对超时未办理协同进行预警，系统自动发送短信或微信提醒待办人员。

四员协同激励，一线人员英雄榜对营销、物流、专卖、内管优秀员工进行展示。

2.2 工作站考核与考勤测试

工作站考核，新建站所绩效计划、绩效计划审核、绩效计划汇总、分管领导审核并下发、指标分解到人、定性考核、考核汇总、日常走访、考核与英雄榜对接等。

日常考勤管理，应用电子围栏技术定位检查，系统自动发送短信提醒用户打开GPS开关。

2.3 移动标准化应用测试

系统与全省标准化管理平台进行对接，查询个人岗位工作职责和岗位详情，对工作标准、协同标准、考核激励标准随时进行查询、学习和应用，查询所有岗位工作标准。

2.4 客户双向评价测试

系统与微信公众平台对接，对客户经理、市管员、送货员的服务态度、工作质量等进行评价，并提出咨询和诉求意见。

系统采用五星级评价，星级分为一星至五星，对应分值为1～5分，五星表示满意，一星表示不满意，评价结果纳入英雄榜进行展示。

系统与96368平台对接，如发生零售户有效投诉，将对三员综合评价进行相应扣分。

3  性能测试需求

3.1 运行效率测试

在当前的硬件设备下运行系统，速度快捷，进行系统数据查询、数据处理、数据统计等操作，能够响应满足日常工作的要求，且不依赖于设备的高要求、高标准，使得业务处理的工作效率较高。

系统运行过程中对资源利用率在合理值范围内，不会占用过高的资源，例如占用较大CPU、内存、磁盘IO等。

3.2 响应速度测试

系统操作快捷，反应速度迅速，正常范围内的内户操作时响应及时，没有停顿的用户体验。当超出响应时间要求时，系统提供进度条提醒，反馈等待时间至用户界面。对网络流量进行分流，对会话数进行控制，避免响应中断等服务不畅的情况。

3.3 压力测试

单独场景，模拟多个并发用户操作，在相同的测试背景下采用逐步递增的加压策略，查看峰值情况下各个关键检查点的响应时间，以及各服务器的资源占用情况。系统关键检查点选择原则，选择系统常用的，以及可能出现性能瓶颈的功能点作为系统关键检查点，如登录、查询等操作。

综合测试场景，模拟多个实际用户，按照以上描述的各个关键检查点的实际使用比例分配用户数，进行混合并发测试，检测客户端的响应情况以及服务器的资源占用情况。系统关键检查点的具体测试用例，包括测试步骤、用户并发量，根据用户性能需求调研结果以及现场测试情况再选定和调整。

4  安全测试需求

4.1 自动化Web漏洞扫描测试

通过漏洞扫描、威胁感知等技术手段，对目标系统及数据库的脆弱性进行检测，发现可利用的漏洞的安全检测。

4.2 服务器信息收集测试

服务端口是很容易被攻击的，而默认情况下Web服务器通常会放开一些端口，但是系统服务并不使用，从而为攻击者留下了攻击漏洞，需要发现并关闭这些端口。

4.3 注入漏洞测试

SQL注入测试，信息泄漏的一个途径是通过SQL注入，入侵者可以利用这些漏洞对数据进行修改、删除，使业务中断、数据泄漏，要处理好这些注入点。

远程命令执行测试，某些页面可能接受类似于文件名的参数用于下载或者显示内容，或者通过某些暴露的接口以及漏洞，通过第三方工具可执行系统命令，例如JAVA反序列化漏洞攻击、Struts2远程代码执行漏洞、心脏滴血漏洞等。

4.4 跨站脚本测试

包括GET方式跨站脚本测试和POST方式跨站脚本测试，这些跨站脚本可以利用，出现导致会话被劫持、信息泄漏、账户被盗，更严重的会进行数据修改、删除，使得业务中断，系统宕机，所以要发现这些脚本。

4.5 目录结构安全测试

工具方式的敏感接口遍历，了解目录信息才能确定攻击的目标，一般扫描工具进行扫描前首先要进行目录查找。其次对于某些隐藏的管理接口（目录或文件），通过一系列有特定含义的枚举查看是否可访问。

Robots方式的敏感接口查找，要防止搜索引擎的爬虫访问敏感的目录接口，Robots文件存放在系统当中，里面会包含一些重要的文件或目录名称，攻击者访问该文件就可能会获取一些涉密的重要信息。

Web服务器的控制台检查，检查是否部署了Web服务器的控制台，控制台是否存在默认帐号、口令，是否存在弱口令。

4.6 身份鉴别测试

验证码测试，查看是否有验证码机制，以及验证码机制是否完善。

认证错误提示，系统在登录时，如果用户名账号错误，系统是否会提供明确的信息提示，要避免攻击者查获用户账号，并以此进行暴力破解。

锁定策略测试，如果缺少此策略或策略不合理，外部攻击者可以无限进行比对测试，最终破解密码。

认证绕过测试，发现目标认证系统是否存在绕过的可能，检测系统是否可通过特殊方式绕过登录，从而进行非法操作。

找回密码测试，系统在密码重设和密码找回功能上如果存在着缺陷，可以通过此功能找到指定用户的密码，更改指定用户的密码让其不能登陆，造成非法篡改等。

修改密码测试，如果修改密码功能存在缺陷，可以通过此缺陷修改其他用户的密码。

不安全的数据传输，测试Web程序在处理登录过程中用户名和口令的传输是否采用了加密传输的机制。

强口令策略测试，检查目标系统是否存在强口令策略，不能设置为弱口令的密码，例如纯数字123456、111111此类密码。

4.7 会话管理测试

身份信息维护方式测试，发现目标系统是否采用参数来进行身份判断。

Cookie存储方式测试，某些Web应用将SesssionId放到了URL中进行传输，攻击者能够诱使被攻击者访问特定的资源。

用户注销登陆的方式测试，查看是否提供注销登陆功能。

注销时会话信息是否清除测试，用户注销后会话信息没有清除，可导致用户在点击注销按钮之后还能继续访问注销之前才能访问的页面。

会话超时时间测试，查看是否存在浏览器窗口闲置超时后需重新登录的机制。

会话标识携带，登录成功后，检查URL参数中是否携带了会话标识，URL的参数和值容易泄漏，如果URL携带了会话标识，那么会话标识很容易泄漏，会话容易被盗用。

4.8 访问控制测试

基于用户身份处理的横向越权操作测试，发现页面中存在的横向越权操作。

基于菜单URL权限的测试，发现应用中存在的URL纵向越权操作。

4.9 文件上传下载测试

文件上传测试，很多信息系统提供文件、图片上传功能，如果在服务器端没有对上传文件的类型、大小以及保存的路径及文件名进行严格限制，攻击者就很容易上传后门程序取得WebShell，从而控制服务器。

文件下载测试，很多信息系统提供文件下载功能，如果系统对下载文件的权限控制不严，攻击者很容易利用目录跨越、越权下载到本不该下载的文件。

4.10 信息泄漏测试

连接数据库的帐号密码加密测试，连接数据库的帐号密码在配置文件中如果明文存储，容易被恶意维护人员获取，从而直接登陆后台数据库进行数据篡改。

客户端源代码敏感信息测试，Web页面的html源代码中不允许包含口令等敏感信息，特别关注修改口令、带有星号口令的Web页面。

客户端源代码注释测试，开发版本的Web程序所带有的注释在发布版本中没有被去掉，而导致一些敏感信息的泄漏，检测客户端能看到的页面源代码并发现此类安全隐患。

异常处理，Web应用在处理用户提交的不存在的URL时会返回错误信息，通过返回的错误信息来确认是否有敏感信息的泄漏问题。

Web服务器状态信息测试，服务器可能提供重要的参数信息供外部查询，如果不加以保护，被外部攻击者利用，就会造成重要信息的泄漏。

不安全的存储，上传文件所在的目录能否直接远程访问，服务器配置文件目录或日志存放目录能否直接访问。

4.11 安全审计测试

日志審计，检查被测系统的日志是否不能被修改和删除或被非授权人员篡改或删除，且系统日志审计内容不能被非授权管理员及用户删除、更改等。

审计内容，检查被测系统的日志是否覆盖每个用户的活动、每个重要事件。日志记录非常重要，应该包括事件日期、时间、发起者信息、类型、描述和结果等。

4.12 系统容错测试

异常告警，当系统受到外部攻击时，系统是否能采取相应措施，例如告警或阻断攻击。

应急恢复，受到攻击后，当服务中断或失效后，查看系统能否自动或手动及时回复系统的运行，或者做了哪些相应的安全备份。

输入数据测试，应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的数据格式或长度符合系统设定要求。

参考文献

[1] 李昊林.计算机网络安全的主要隐患及管理措施分析[J].计算机产品与流通，2020（3）：38.

[2] 师戈.基于网络环境下的计算机硬件安全维护措施研究[J].中国新通信，2019，21（8）：135-136.

[3] 张刚昌，陈常青.网络环境下计算机硬件安全保障及维护对策研究[J].信息通信，2020（1）：177-178.

[4] 邓姝.培训中心移动学习平台的开发与实现[D].长沙：湖南大学，2018.

[5] 赵永财.中国石油天然气集团公司综合授信管理系统的设计与实施[D].长春：吉林大学，2016.

[6] 李健禾.T学校面向智能移动设备的教务管理信息化项目研究[D].成都：西南交通大学，2016.