Testy bezpieczeństwa

Proces oceny modułu lub systemu oparty na jego zachowaniu podczas wykonania.

Technika analizy zorientowana na identyfikację podstawowych przyczyn defektów. Przez wprowadzenie ukierunkowanych miar na podstawowe przyczyny defektów ma się …

Całkowity proces identyfikacji ryzyk i ich oceny.

Proces oceny modułu lub systemu bez jego wykonywania, oparty na jego formie, strukturze, zawartości lub dokumentacji.

Czynność polegająca na identyfikowaniu warunków testowych w wyniku analizy podstawy testów.

Narzędzie wykonujące analizę statyczną.

Oprogramowanie używane do wykrywania i niszczenia złośliwego oprogramowania (malware).

(1) Osoba, która definiuje zalecenia i kierunki strategiczne dla organizacji testów i jej związków z innymi dziedzinami. (2) Osoba która definiuje sposób, w …

Przechwycenie, naśladowanie lub modyfikowanie oraz następnie przesłanie wiadomości (np. transakcji kartą kredytową) przez stronę trzecią w ten sposób, że …

Próba uzyskania nieautoryzowanego dostępu do modułu lub systemu, zasobów, informacji lub próba naruszenia integralności systemu.

Osoba lub proces, który ma zamiar mieć dostęp do danych, funkcji lub innych zastrzeżonych obszarów systemu bez autoryzacji, potencjalnie ze złośliwą intencją.

Niezależne badanie produktu pracy, procesu lub zestawu procesów wykonywane przez stronę trzecią, mające na celu ocenę zgodności ze specyfikacjami, standardami, …

Audyt sprawdzający procesy zabezpieczeń oraz infrastrukturę w organizacji.

Zgoda udzielana użytkownikowi lub procesowi do dostępu do zasobów.

Zdarzenie, w którym moduł lub system nie wykonuje wymaganej funkcji w określonym zakresie.

Atak na zabezpieczenia, mający na celu przeładowanie systemu żądaniami tak, by uprawnione żądania nie mogły być obsługiwane.(od ang. DoS Denial of Service)

Sieć zaatakowanych komputerów, zwanych botami lub robotami, sterowana przez osoby trzecie i używana do przesyłania zagrożeń lub spamu lub do przeprowadzania …

Działanie człowieka powodujące powstanie nieprawidłowego rezultatu.

Przyczyna lub powód testowania.

Atak, który pozwala atakującemu na wstrzykniecie złośliwego kodu w czyjąś dotychczas bezpieczną stronę internetową.

Czynności wykonywane na każdym etapie wytwarzania oprogramowania oraz układ ich wzajemnych relacji logicznych i chronologicznych. (SDLC - od ang. software …

Okres czasu rozpoczynający się, kiedy pojawi się pomysł na oprogramowanie i kończący się, gdy oprogramowanie nie jest już dostępne do użytku. Zazwyczaj cykl …

Dane niezbędne do wykonania testów.

Proces wyszukiwania, analizowania i usuwania przyczyn awarii w module lub systemie.

Typ instrukcji, w którym wybór między dwoma lub więcej możliwymi wynikami skutkuje wykonaniem określonego zestawu działań.

Niedoskonałość lub wada produktu pracy, polegająca na niespełnieniu wymagań.

Graf skierowany przedstawiający wszystkie możliwe przebiegi sterowania w module lub systemie.

Stopień, w jakim moduł lub system zapewnia prawidłowe wyniki z wymaganą precyzją.

Stopień wykorzystania zasobów w stosunku do osiąganych wyników.

Zbiór warunków definiujących kiedy można oficjalnie uznać określone zadanie za ukończone.

Jakościowa lub ilościowa miara ryzyka zdefiniowana przez wpływ i prawdopodobieństwo.

Tester zabezpieczeń używający technik hakerskich.

Moduł lub zbiór modułów, które kontrolują ruch sieciowy - wchodzący i wychodzący - zgodnie z określonymi z góry zasadami bezpieczeństwa.

Stopień, w jakim moduł lub system zapewnia funkcje spełniające określone i domyślne potrzeby, gdy jest używany w określonych warunkach.

Technika testowania oprogramowania używana do wykrywania zagrożeń zabezpieczeń przez wprowadzanie bardzo dużej liczby losowych danych, zwanych "fuzz" (ang. …

Pokrycie gałęzi.

Rodzaj interfejsu, który umożliwia użytkownikom interakcję z komponentem lub systemem za pomocą graficznych ikon i wizualnych wskaźników. (GUI od ang. Graphical …

Dokumentacja wystąpienia, charakteru i statusu incydentu.

Osoba lub organizacja aktywnie zaangażowana w ataki na zabezpieczenia, na ogół z intencją szkodzenia. .

Transformacja zmiennej znakowej o zmiennej długości do na ogół krótszej, o stałej długości lub na klucz. Zhaszowane wartości, hasze, są często używane przy …

Ogólnie rozpoznawalna praktyczna zasada wspomagająca osiągnięcie celu.

Proces znajdowania, rozpoznawania i opisywania ryzyka.

Czynność polegająca na przygotowaniu testaliów potrzebnych do wykonania testów, oparta na analizie i projektowaniu testów.

Każde zdarzenie wymagające zbadania.

Praktyka określająca dlaczego atak na zabezpieczenia się powiódł i oceniająca wyrządzone szkody.

Typ formalnego przeglądu przeprowadzanego w celu identyfikacji problemów w produkcie prac, dostarczający dane pomiarowe pozwalające na ulepszenie procesu …

Element języka programowania, który jest zwykle najmniejszą niepodzielną jednostką wykonania.

Wyrażenie w kodzie źródłowym, które po tłumaczeniu na kod binarny będzie wykonywane w sposób proceduralny.

Stopień w jakim moduł lub system zapobiega nieautoryzowanemu dostępowi oraz modyfikacji modułu, systemu lub danych.

Rodzaj interfejsu, w którym moduły lub systemy wymieniają informacje o określonej formalnej strukturze. (API - akronim od ang. Application Programing …

Wszystkie moduły systemu, które dostarczają informacji i nadzorują użytkownika, by zrealizować określone zadania systemu.

Systematyczna ocena procesu pozyskiwania, dostarczania, wytwarzania eksploatacji lub pielęgnacji oprogramowania przez kierownictwo lub w jego imieniu, …

Osoba odpowiedzialna za zarządzanie działaniami testowymi, zasobami i oceną przedmiotu testów.

Podzbiór dziedziny wartości zmiennej w module lub systemie, dla którego zakłada się, na podstawie specyfikacji, że wszystkie wartości będą traktowane przez …

Metryka wspierająca ocenę wydajności procesu.

Kryteria, które moduł lub system musi spełniać, aby został zaakceptowany przez użytkownika, klienta lub inny uprawniony podmiot.

Maksymalna liczba liniowo niezależnych ścieżek w programie.

Skala pomiaru i sposób jej stosowania do pomiarów.

Liczba bądź kategoria przypisana do atrybutu/cechy obiektu poprzez wykonanie pomiaru.

Struktura, w której procesy tego samego rodzaju są sklasyfikowane w ogólnym modelu.

Narzędzie testowe, które wykonuje testy na wyznaczonym obiekcie testowym i ocenia wyniki w stosunku do oczekiwanych wyników i warunków końcowych.

Narzędzie wspomagające zarządzanie testami i sterowanie częścią procesu testowego. Zwykle ma kilka funkcji takich jak: zarządzanie testaliami, planowanie testów …

Narzędzie programistyczne, które jest dostępne dla wszystkich potencjalnych użytkowników w postaci kodu źródłowego, zwykle poprzez Internet, na ogół w postaci …

Oprogramowanie lub sprzęt, który obsługuje jedno lub więcej działań testowych.

Formalny, o ile to możliwe obowiązkowy, zbiór wymagań stworzony i używany do opisu zalecanego spójnego podejścia do sposobu pracy lub do dostarczania wytycznych …

Proces oceny zidentyfikowanego ryzyka i oceny poziomu ryzyka.

Obserwowalne przewidywane zachowanie przedmiotu testów w określonych warunkach, na podstawie jego podstawy testowej.

Badanie docelowych obszarów mające na celu zbieranie informacji, które mogą być użyte do ataku.

Oprogramowanie stanowiące produkt wytworzony na szeroki rynek, tj. dla dużej liczby klientów, które jest dostarczane wielu klientom w identycznej postaci. (COTS …

Stopień, w jakim moduł lub system jest sprawny i dostępny, gdy jest wymagane jego użycie.

Atak na zabezpieczenia mający na celu przekierować ruch ze strony internetowej na fałszywą stronę internetową bez wiedzy lub zgody użytkownika.

Usiłowanie zdobycia osobistej lub istotnej informacji poprzez podawanie się za wiarygodny podmiot w komunikacji elektronicznej.

Proces modyfikacji modułu lub systemu po jego wydaniu, mający na celu poprawę defektów, charakterystyk jakościowych lub dostosowanie do zmienionego środowiska.

Dokumentacja opisująca cele testowe do osiągnięcia oraz środki i harmonogram ich realizacji, zorganizowana tak, by koordynować czynności testowe.

Czynność tworzenia planów testów lub wprowadzanie do nich zmian

Implementacja strategii testowej w określonym projekcie.

Zasób wiedzy używany jako podstawa dla analizy i projektowania testów.

Stopień, w jakim określone elementy pokrycia zostały określone lub sprawdzone przez zestaw testowy wyrażony w procentach.

Pokrycie wykonywalnych instrukcji kodu.

Dokument wysokiego poziomu opisujący zasady, podejście i główne zadania w organizacji dotyczące testowania.

Wysokopoziomowy dokument opisujący zasady, podejście i podstawowe cele w organizacji dotyczące zabezpieczeń.

Prawdopodobieństwo, że ryzyko wystąpi jako rzeczywisty wynik lub zdarzenie.

Poziom (biznesowej) ważności określony dla elementu, np. defektu.

Zbiór kroków potrzebnych do zaimplementowania polityki zabezpieczeń oraz kroków, które powinny być podjęte w przypadku incydentu z zabezpieczeniami.

Zbiór powiązanych ze sobą czynności obejmujący: planowanie testów, monitorowanie i nadzor nad testami, projektowanie testów, implementację testów, wykonywanie …

Zabezpieczenie informacji umożliwiających identyfikację osoby lub innych danych wrażliwych przed niepowołanym ujawnieniem.

Moduł lub system podlegający testowaniu.

Typ testowania statycznego, podczas którego produkt pracy lub proces jest oceniany przez jedną lub więcej osób w celu wykrycia problemów i wprowadzenia …

Typ formalnego przeglądu przeprowadzany przez wykwalifikowany zespół technicznych specjalistów, którzy sprawdzają jakość produktu prac oraz identyfikują …

Typ przeglądu, w którym autor przechodzi z członkami przeglądu przez produkt pracy, a członkowie zadają pytania i zgłaszają uwagi na temat ewentualnych …

Ciąg możliwych zmian stanu obiektów danych.

Kolejność, w jakiej wykonywane są operacje podczas wykonywania elementu testowego.

Zestaw warunków wstępnych, danych wejściowych, akcji (w stosownych przypadkach), oczekiwanych rezultatów i warunków końcowych opracowany w oparciu o warunki …

Przypadek użycia, w którym pewni aktorzy mający intencję szkodzenia powodują uszkodzenia w systemie lub przeszkadzają innym aktorom.

Dokumentacja wystąpienia, charakteru i statusu usterki.

Zbieranie i analizowanie danych z aktywności testowych, a następnie konsolidacja tych danych w raporcie dla interesariuszy.

Rodzaj testu związanego ze zmianą przeprowadzonego po naprawieniu defektu w celu potwierdzenia, że awaria spowodowana przez ten defekt już nie występuje.

Konsekwencja/wynik wykonania testu.

Czynnik, który w przyszłości może skutkować negatywnymi konsekwencjami.

ryzyko jakości związane z zabezpieczeniami.

wytworzone/zaobserwowane zachowanie się modułu lub systemu, podczas gdy ten moduł lub system jest testowany.

Stopień w jakim moduł lub system może być dostosowany do zmieniającego się obciążenia.

Statyczny analizator używany do wykrywania bezbronności bezpieczeństwa w kodzie.

Analiza statyczna mająca na celu wykrycie i usuniecie złośliwego kodu otrzymanego przez interfejs.

Ciąg instrukcji wykonujący zestaw testowy.

Osoba wykonująca ataki na zabezpieczenia stworzone przez innych hakerów zamiast swoich własnych.

Zakres, w jakim osiągane są poprawne i pełne cele.

Technika kryptograficzna, w której dodaje się dane losowe (tzw. sól) do danych użytkownika przed haszowaniem.

Kompletna dokumentacja projektu testów, przypadków testowych i skryptów testowych dla określonego elementu testowego.

Środowisko, w skład którego wchodzi sprzęt, wyposażenie, symulatory, narzędzia programistyczne oraz inne elementy wspierające, potrzebne do wykonania testu.

Rodzaj wstrzyknięcia kodu w zapytanie języka SQL.

standard opisujący cechy projektu lub opis projektu danych lub modułów programu.

Tymczasowy moduł lub narzędzie, które zastępuje inny moduł i steruje lub wywołuje izolowany element testowy.

Stopień, w jakim użytkownicy mogą rozpoznać, czy moduł lub system jest odpowiedni do ich potrzeb.

Dokumentacja zgodna z polityką testową, która opisuje ogólne wymagania dotyczące testowania oraz szczegółowe informacje na temat przeprowadzania testów w …

Podsieć ze zdefiniowanym poziomem zaufania. Na przykład Internet lub strefy publiczne powinny być rozważane jako pozbawione zaufania.

Fizyczna lub logiczna podsieć, która zawiera i udostępnia zewnętrzne serwisy organizacji dla niezaufanej sieci, na ogół dla Internetu. (DMZ od ang. …

Złożone, heterogeniczne, rozproszone systemy, które mogą być zagnieżdżone w sieciach na wielu poziomach i w wielu połączonych dziedzinach, ukierunkowane na …

System, który monitoruje działalność na wszystkich 7 warstwach modelu OSI od poziomu sieci do poziomu aplikacji, by wykrywać naruszenia w polityce …

Proces kodowania informacji w ten sposób, by tylko upoważnione strony mogły pobierać oryginalną informację, na ogół przy użyciu określonego klucza dekodującego …

Przedstawienie dynamicznych miar wydajności operacyjnej pewnej organizacji lub pewnego działania, przy użyciu metaforycznych metryk, takich jak wizualne zegary, …

Zestaw jednego lub więcej przypadków testowych.

Wykwalifikowany profesjonalista, zaangażowany w testowanie modułu lub systemu.

Stopień, w jakim można ustalić warunki testowe dla modułu lub systemu oraz sprawdzić czy testy można przeprowadzić w celu ustalenia, czy warunki te zostały …

Proces składający się ze wszystkich czynności cyklu życia, zarówno statycznych, jak i dynamicznych, skoncentrowany na planowaniu, przygotowaniu i ewaluacji …

Testowanie oparte na analizie wewnętrznej struktury modułu lub systemu.

Testowanie, podczas którego wykonywany jest kod modułu lub systemu.

Testowanie wykonywane by ocenić czy moduł lub system spełnia wymagania funkcjonalne.

Testy wykonywane w celu wykrycia usterek w interfejsach i interakcjach pomiędzy integrowanymi modułami.

Poziom testów koncentrujący się na interakcjach między modułami lub systemami.

Testowanie wykonywane w celu wykrycia defektów w interfejsach i interakcjach pomiędzy modułami lub systemami.

Poziom testów, który koncentruje się na poszczególnych modułach sprzętowych lub programowych.

Testowanie oparte na lub wykorzystujące modele. (MBT - od ang. Model-Based Testing) .

Podejście do testów, w którym przypadki testowe są projektowane w oparciu o wymagania.

Technika testowania mająca na celu odkrycie słabych punktów zabezpieczeń (znanych lub nie), by uzyskać nieautoryzowany dostęp.

Rodzaj testowania związanego ze zmianami mającego na celu wykrycie, czy defekty zostały wprowadzone lub odkryte w niezmienionych obszarach oprogramowania.

Testowanie produktu prac bez uruchamiania kodu.

Technika skryptowa wykorzystująca pliki danych do przechowywania danych testowych i wyników oczekiwanych, które są potrzebne do wykonania skryptów testowych.

Poziom testów, który koncentruje się na sprawdzeniu, czy system jako całość spełnia określone wymagania.

Testowanie mające na celu sprawdzenie zabezpieczeń oprogramowania.

Białoskrzynkowa technika testowania, w której przypadki testowe są zaprojektowane tak, by wykonać ścieżki grafu przepływu sterowania.

Grupa czynności w testowaniu ukierunkowana na określone charakterystyki modułu lub systemu, oparta na specyficznych celach testowania.

Środki, które osłaniają i bronią informacje i systemy informacyjne poprzez zapewnienie ich dostępności, integralności, uwierzytelniania, poufności i …

Proces stopniowego (krok za krokiem) redukowania zagrożeń zabezpieczeń systemu poprzez stosowanie polityki zabezpieczeń i różnych poziomów ochrony.

Procedura określająca, czy osoba lub proces jest naprawdę tym, lub czym deklaruje, że jest.

Stopień, w jakim dany moduł lub system może być używany przez określonych użytkowników dla osiągnięcia określonych celów w określonym kontekście użytkowania.

Sprawdzanie poprawności i dostarczenie obiektywnego dowodu, że produkt procesu wytwarzania oprogramowania spełnia potrzeby i wymagania użytkownika.

Testowalna własność modułu lub systemu zidentyfikowana jako podstawa do testowania.

Oczekiwany stan elementu testowego i jego środowiska po zakończeniu wykonywania przypadku testowego.

Stopień wpływu defektu na rozwój lub działanie modułu lub systemu.

Dane otrzymane przez moduł lub system z zewnętrznego źródła.

Ścieżka lub środek, dzięki któremu atakujący może uzyskać dostęp do systemu w złośliwych celach.

Sprawdzenie poprawności i dostarczenie obiektywnego dowodu, że produkt procesu wytwarzania oprogramowania spełnia zdefiniowane wymagania.

Szkoda, jaka powstanie jeżeli ryzyko zmaterializuje się jako rzeczywisty skutek lub zdarzenie.

Słabość w systemie, która może umożliwić udany atak na zabezpieczenia.

Miara, która zapewnia oszacowanie lub ocenę określonych atrybutów uzyskanych z modelu w odniesieniu do zdefiniowanych potrzeb informacyjnych.

Rodzaj ataku bezpieczeństwa polegający na wprowadzeniu do aplikacji poprzez jej interfejs złośliwego kodu, aby wykorzystać nieprawidłową obsługę niezaufanych …

Stopień, w jakim moduł lub system wykorzystuje czas, zasoby i pojemność podczas wykonywania wyznaczonych funkcji.

Dane przesyłane przez moduł lub system do zewnętrznego miejsca przeznaczenia.

Czynność polegająca na przeprowadzeniu testu modułu lub systemu, by otrzymać rzeczywiste wyniki.

Postanowienie zawierające kryteria, które należy spełnić.

Stopień, w jakim moduł lub system chroni informacje i dane tak, aby osoby lub inne moduły lub systemy miały stopień dostępu odpowiedni do rodzajów i poziomów …

Zagrożenie zabezpieczeń, mające swe źródło w organizacji, często będące autoryzowanym użytkownikiem systemu.

Przekształcenie danych w ten sposób, by utrudnić człowiekowi poznanie danych oryginalnych.

Faza testów, w której zbierane są dane z zakończonych aktywności w celu podsumowania doświadczeń, testaliów, faktów i liczb. Faza zamknięcia testów składa się z …

Działania skoncentrowane na zapewnieniu, że wymagania jakościowe będą spełnione.

Dyscyplina używająca technicznych i administracyjnych metod kierowania i nadzoru w celu określenia i udokumentowania charakterystyk funkcjonalnych i fizycznych …

Proces radzenia sobie z ryzykiem.

(1) Ustrukturalizowane podejście do przejścia (przechodzenia) jednostek i organizacji z bieżącego stanu do przyszłego pożądanego stanu. (2) Kontrolowany sposób …

Szkieletowa albo specjalna implementacja modułu używana podczas produkcji lub testów innego modułu, który tę zaślepkę wywołuje albo jest w inny sposób od niej …

Proces otrzymywania informacji o kontach użytkowników w oparciu o wersje próbne i błędy w intencji użycia tych danych w ataku na zabezpieczenia.

Zgodność produktu pracy ze standardami, konwencjami lub przepisami prawnymi i innymi podobnymi przepisami.

Oprogramowanie przeznaczone do uszkodzenia systemu lub jego modułów.

Stopień, w jakim projekt lub wewnętrzna struktura modułu lub systemu jest trudna do zrozumienia, utrzymania i zweryfikowania.

Proces, w którym podejmowane są decyzje i wdrażane środki ochronne w celu zmniejszenia lub utrzymania ryzyk na określonych poziomach.

Atak na zabezpieczenia odgadujący hasła dostępu w systemie komputerowym lub przesyłane w sieci.

Pokrycie ścieżek.

Ciąg sąsiednich krawędzi w grafie skierowanym.

Środowisko dla modułu lub systemu planowane do wykorzystania w produkcji.