证券期货业信息系统渗透测试指南

渗透测试做得好不好，证券不看报告多厚，期货看有没有把业务打穿。业信《证券期货业信息系统渗透测试指南》这份文件，息系本质上就是统渗透测给行业划了一条线：哪些测试必须做，哪些红线不能碰，证券以及做完之后怎么证明你不是期货在走过场。它不像普通的业信安全测试规范那样只谈技术，而是息系把证券期货行业的特殊性摆在了前面——交易时段不能停、客户资金数据不能碰、统渗透测监管报送接口不能乱来。证券我翻过几份券商内部的期货渗透测试报告，有些团队拿着扫描器跑一遍就交差，业信漏洞列表全是息系“低危”的配置问题，真正的统渗透测逻辑漏洞一个没提。这份指南就是冲着这种糊弄事来的。

指南里对测试范围的定义很具体。不是笼统说“核心交易系统”，而是把网上交易、手机APP、行情接入、银证转账、第三方存管、监管数据报送这些模块单独列出来。每个模块的测试重点不一样。比如行情接入，重点在组播和TCP连接的抗压与伪造；银证转账，重点在交易指令的防篡改和重放攻击。我见过一个案例，某期货公司的CTP交易接口在测试时没做会话固定检查，结果测试人员用旧session直接下单成功——这在实盘就是灾难。指南要求这类接口必须做完整的身份绑定和时序验证，不是扫个端口就完事。

测试方法上，指南把黑盒、灰盒、白盒分得很清楚。黑盒用于外部边界，比如互联网侧的Web和APP；灰盒用于内部业务系统，需要测试人员拿到部分凭证或代码；白盒只在极少数场景下用，比如新系统上线前的代码审计。这里有个细节：指南明确要求渗透测试不能影响生产环境。但实际执行中，很多团队为了省事直接在生产上跑注入工具，结果把交易日志撑爆。指南的建议是搭建准生产环境，数据脱敏但逻辑一致。我接触过一家券商，他们用生产数据的脱敏副本做测试，结果发现一个只有真实行情波动下才会触发的条件竞争漏洞——这种问题在纯模拟环境里根本复现不了。

漏洞定级这块，指南没有照搬CVSS。它把“可导致客户资金损失”和“可导致交易中断”单独列为最高优先级。一个SQL注入如果只能读配置表，定级可能不高；但如果能改客户持仓，直接算严重。这种业务导向的定级方式更实用。另外，指南要求测试报告必须包含复现步骤和修复建议，不能只给一个漏洞名称。我见过一份报告写“存在XSS漏洞”，修复建议是“过滤特殊字符”——这种废话等于没写。指南要求具体到参数名、请求包、以及修复后的验证方法。

最后说执行层面。指南强调测试人员必须签署保密协议，测试数据不能带出场地，测试完成后要清理所有测试账号和脚本。这些要求听起来琐碎，但出过事。某家基金公司的渗透测试人员把测试用的webshell留在了生产服务器上，三个月后才被巡检发现。指南把这类操作风险写进了检查项，算是给行业提了个醒。整体看，这份指南不追求大而全，它盯的是证券期货行业最要命的那几个点：交易不能断、资金不能丢、数据不能泄。渗透测试团队如果照着做，至少不会犯方向性错误。