CN114020614A - 业务系统的安全测试方法、装置、设备及存储介质 - Google Patents

Abstract

本发明实施例提供一种业务系统的安全测试方法、装置、设备及存储介质。该方法包括：获取预存在标准化案例库中的多个标准测试案例；对各标准测试案例进行筛选，以获得与目标业务系统匹配的多个目标测试案例；确定各目标测试案例的多个测试特征数据；根据预设的测试优先级确定模型及各测试特征数据确定对应目标测试案例的测试优先级；按照各目标测试案例对应的测试优先级对目标业务系统进行安全测试。能够有效提高安全测试的效率。并且能够准确筛选出进行安全测试的测试案例。

Description

业务系统的安全测试方法、装置、设备及存储介质

技术领域

本发明实施例涉及测试技术领域，尤其涉及一种业务系统的安全测试方法、装置、设备及存储介质。

背景技术

随着“互联网+”地不断发展，基于互联网的业务系统给人们带来便利和高效的同时由于业务系统会涉及到大量、敏感的信息及数据，已逐步成为攻击目标。所以在进行业务系统的发布前，需要对业务系统进行安全测试。

为了适应业务系统的快速发布，目前在进行安全测试时，一般由安全测试人员枚举出安全测试案例后，根据经验及测试偏好确定安全测试案例的优先级，进而按照安全测试案例的优先级进行安全测试。

所以目前的安全测试案例优先级确定方法主观性较强，并不能准确筛选出进行安全测试的测试案例。并且由安全测试人员枚举出安全测试案例，导致安全测试的效率较低。

发明内容

本发明实施例提供一种业务系统的安全测试方法、装置、设备及存储介质，用以解决不能准确筛选出进行安全测试的测试案例以及安全测试的效率较低的技术问题。

第一方面，本发明实施例提供一种业务系统的安全测试方法，包括：

获取预存在标准化案例库中的多个标准测试案例；

对各所述标准测试案例进行筛选，以获得与目标业务系统匹配的多个目标测试案例；

确定各所述目标测试案例的多个测试特征数据；

根据预设的测试优先级确定模型及各所述测试特征数据确定对应目标测试案例的测试优先级；

按照各目标测试案例对应的测试优先级对目标业务系统进行安全测试。

第二方面，本发明实施例提供一种业务系统的安全测试装置，包括：

获取模块，用于获取预存在标准化案例库中的多个标准测试案例；

筛选模块，用于对各所述标准测试案例进行筛选，以获得与目标业务系统匹配的多个目标测试案例；

数据确定模块，用于确定各所述目标测试案例的多个测试特征数据；

优先级确定模块，用于根据预设的测试优先级确定模型及各所述测试特征数据确定对应目标测试案例的测试优先级；

测试模块，用于按照各目标测试案例对应的测试优先级对目标业务系统进行安全测试。

第三方面，本发明实施例提供一种电子设备，包括：至少一个处理器及存储器；

所述存储器存储计算机执行指令；

所述至少一个处理器执行所述存储器存储的计算机执行指令，使得所述至少一个处理器执行如第一方面任一项所述的方法。

第四方面，本发明实施例提供一种计算机可读存储介质，所述计算机可读存储介质中存储有计算机执行指令，所述计算机执行指令被处理器执行时用于实现如第一方面任一项所述的方法。

第五方面，本发明实施例提供一种计算机程序产品，包括计算机程序，该计算机程序被处理器执行时实现第一方面任一项所述的方法。

本发明实施例提供的业务系统的安全测试方法、装置、设备及存储介质，通过获取预存在标准化案例库中的多个标准测试案例；对各标准测试案例进行筛选，以获得与目标业务系统匹配的多个目标测试案例；确定各目标测试案例的多个测试特征数据；根据预设的测试优先级确定模型及各测试特征数据确定对应目标测试案例的测试优先级；按照各目标测试案例对应的测试优先级对目标业务系统进行安全测试。由于在标准化案例库中预先存储了标准测试案例，所以只需要对标准测试案例进行筛选就可确定出与目标业务系统匹配的目标测试案例，所以可快速获取到目标测试案例，进而有效提高安全测试的效率。针对每个目标测试案例，确定出每个目标测试案例对应的多个测试特征数据，由于这些测试特征数据具有较强的客观性，所以在采用预设的测试优先级确定模型根据多个测试特征数据确定出每个目标测试案例的测试优先级时，可准确确定出各个目标测试案例的测试优先级，进而能够准确筛选出进行安全测试的测试案例。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本公开的实施例，并与说明书一起用于解释本公开的原理。

图1是可以实现本发明实施例的业务系统的安全测试方法的一种网络架构图；

图2是本发明一实施例提供的业务系统的安全测试方法的流程示意图；

图3是本发明另一实施例提供的业务系统的安全测试方法的流程示意图；

图4是本发明又一实施例提供的业务系统的安全测试方法的流程示意图；

图5是本发明再一实施例提供的业务系统的安全测试方法的流程示意图；

图6是本发明还一实施例提供的业务系统的安全测试方法的流程示意图；

图7是本发明一实施例提供的业务系统的安全测试装置的结构示意图；

图8是用来实现本发明实施例的业务系统的安全测试方法的电子设备的框图。

通过上述附图，已示出本公开明确的实施例，后文中将有更详细的描述。这些附图和文字描述并不是为了通过任何方式限制本公开构思的范围，而是通过参考特定实施例为本领域技术人员说明本公开的概念。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本公开相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本公开的一些方面相一致的装置和方法的例子。

首先对本发明实施例所涉及的名词进行解释：

安全测试：是指软件产品的生命周期中，特别是软件产品开发基本完成到发布阶段，对软件产品进行检验以验证软件产品符合安全需求定义和软件产品安全标准的过程。其中，软件产品可以为业务系统。

敏感信息：是指一旦泄露、非法提供或滥用可能危害人身和财产安全，极易导致个人名誉、身心健康受到损害或歧视性待遇等的个人信息，包括个人财产信息、个人健康生理信息、个人生物识别信息、个人身份信息等。

为了清楚理解本发明的技术方案，对现有技术的方案进行详细介绍。

目前对业务系统进行安全测试时，一般具有传统瀑布模式和快速迭代模式。在传统瀑布模式中，一个业务系统从需求提出到投产上线往往需要2个月甚至更久，预留的安全测试时间较为充分，测试用户与业务需求用户有较为充足的时间进行沟通交流，以便确定系统各功能点是否有必要开展安全测试。这种模式下的安全测试依靠代码安全扫描保证源代码质量，同时在投产上线前对业务系统开展人工安全测试，以及包括使用工具辅助安全测试，以便发现业务流程设计缺陷、业务权限、数据安全性等方面的安全风险。在传统瀑布模式下，测试人员有较长的测试时间，所以能够对业务系统进行全面测试。

而在快速迭代模式下，一个测试用户往往需要兼顾业务系统的多期项目中的安全测试，在每期项目的开发时间不足的情况下，预留给安全测试的时间就更短，导致可能出现不能针对业务系统充分开展安全测试的情况。

所以在快速迭代模式下进行业务系统的安全测试时，一般的方法主要是测试用户采用枚举的方式获取到每个安全测试案例。然后安全测试人员根据经验及测试偏好确定每个安全测试案例的优先级，进而按照安全测试案例的优先级进行安全测试。如在表1中，具有三个安全测试案例，测试用户通过根据经验及测试偏好确定三个安全测试案例的优先级分别为高、高、中。

目前的安全测试案例优先级确定方法由于受到安全测试人员经验及测试偏好等影响，可能出现安全测试人员对安全测试案例执行优先级认知不准确，导致将有限的安全测试时间大量浪费在低优先级的安全测试案例上，或者遗漏高优先级的安全测试案例。所以目前的安全测试案例优先级确定方法不能准确筛选出进行安全测试的测试案例。并且在安全测试人员确定每个安全测试案例的优先级时，需要枚举出每个安全测试案例，导致确定安全测试案例优先级的效率较低，进而导致安全测试的效率较低。

表1：枚举法确定安全测试案例的示意表

所以针对现有技术中的技术问题，为了提高安全测试的效率，研究发现，对软件产品进行安全测试时，所采用的安全测试案例具有通用性，所以为了能够快速确定出与目标业务系统相匹配的安全测试案例，可预先通过标准案例库存储对各种业务系统进行测试的标准测试案例。然后从标准测试案例中筛选出与目标业务系统匹配的目标测试案例。为了能够准确确定出各个目标测试案例的测试优先级，研究发现，目标测试案例的测试优先级，是受多个客观性较强的测试特征数据的影响的。所以可确定出每个目标测试案例对应的多个测试特征数据，然后采用预设的测试优先级确定模型根据多个测试特征数据确定出每个目标测试案例的测试优先级。进而按照各目标测试案例对应的测试优先级由高优先级到低优先级的顺序对目标业务系统进行安全测试。

所以发明人基于上述的创造性发现，提出了本发明实施例的技术方案。下面对本发明实施例提供的业务系统的安全测试方法的网络结构及应用场景进行介绍。

如图1所示，本发明实施例提供的业务系统的安全测试方法对应的网络架构中包括：电子设备1及电子设备2。在电子设备1中存储有标准化案例库。在电子设备2中加载有业务系统。电子设备1与电子设备2通信连接。在测试用户有对目标业务系统的安全测试需求时，在电子设备2上的安全测试操作界面中触发安全测试操作，以生成安全测试请求。电子设备2接收到测试用户触发的安全测试请求后，电子设备2访问电子设备1中的标准化案例库。获取到标准测试案例库中的多个标准测试案例。采用本发明实施例提供的业务系统的安全测试方法确定目标业务系统每个目标测试案例的测试优先级。并按照各目标测试案例对应的测试优先级对目标业务系统进行安全测试。

可以理解的是，也可在电子设备2的本地中存储有标准化案例库，对本地标准化案例库进行访问。本发明实施例中对业务系统的安全测试方法对应的网络架构不作限定。

下面以具体地实施例对本发明的技术方案以及本发明的技术方案如何解决上述技术问题进行详细说明。下面这几个具体的实施例可以相互结合，对于相同或相似的概念或过程可能在某些实施例中不再赘述。下面将结合附图，对本发明的实施例进行描述。

图2是本发明一实施例提供的业务系统的安全测试方法的流程示意图，如图2所示，本发明实施例提供的业务系统的安全测试方法的执行主体为业务系统的安全测试装置。该业务系统的安全测试装置位于电子设备中。则本实施例提供的业务系统的安全测试方法包括以下步骤：

步骤201，获取预存在标准化案例库中的多个标准测试案例。

本实施例中，在标准化案例库中预先存储有各种业务系统进行安全测试的全部测试案例，这些测试案例构成标准测试案例。

本实施例中，标准化案例库可存储在电子设备本地中，电子设备可在本地中访问准化案例库，进而获取到标准化案例库中的所有标准测试案例。或者标准化案例库也可存储在其他电子设备中，如存储在本地服务器或云端服务器中。电子设备通过访问其他电子设备获取到标准化案例库中的全部标准测试案例。

步骤202，对各标准测试案例进行筛选，以获得与目标业务系统匹配的多个目标测试案例。

可以理解的是，在标准案例库中，针对每个标准测试案例，可标记每个标准测试案例所测试的功能。所以在标准测试案例中筛选目标业务系统匹配的目标测试案例时，可对目标业务系统的功能进行解析，以获得目标业务系统对应的各目标功能，根据标准案例库中标记的功能，筛选出与各目标功能相匹配的标准测试案例作为目标测试案例。

需要说明的是，在各标准测试案例进行筛选，以获得与目标业务系统匹配的多个目标测试案例时，还可以包括其他方式，本实施例中对此不作限定。

步骤203，确定各目标测试案例的多个测试特征数据。

其中，测试特征数据是影响测试优先级的特征数据。每个目标测试案例对应的测试特征数据可以包括以下特征数据的任意多种：测试类型特征数据，测试需求特征数据及测试难度特征数据。

其中，测试需求特征数据可采用需求优先级表示。测试难度特征数据可采用测试难度等级表示。

其中，测试类型特征数据可以包括以下特征数据的任意一种或多种：网络类型、用户类型、交易类型及信息类型。其中，网络类型可以包括：互联网接入、内网接入、第三方外联接入。用户类型可以包括：外部使用用户、内部管理用户。交易类型可以包括：动账交易、查询交易、登录登出交易、注册注销交易、信息变更交易、静态展示信息、通用交易等。信息类型可以包括：敏感信息、一般信息及不涉及信息等。

示例性的，在表2中示例性的展示了三个目标测试案例的多种测试特征数据。

表2：目标测试案例的多种测试特征数据示意表

如表2所示，针对一个目标测试案例，其对应的网络类型，用户类型，交易类型及信息类型均可以为至少一种。若目标测试案例中至少一个测试类型特征数据为多种，则将该目标测试案例按照每种测试类型特征数据排列组合为多个目标测试案例。如在表2中的第二目标测试案例，首先按照网络类型将第二目标测试案例划分为三个，针对每个划分后的目标测试案例，然后按照用户类型分为六个，针对每个划分后的目标测试案例，再按照交易类型划分为三十个。所以第二目标测试案例，按照每种测试类型特征数据排列组合为三十个目标测试案例。

步骤204，根据预设的测试优先级确定模型及各测试特征数据确定对应目标测试案例的测试优先级。

本实施例中，预设的测试优先级确定模型可以为分类模型。针对每个目标测试案例，将对应的多个测试特征数据输入到分类模型中，通过分类模型对每个目标测试案例的测试优先级进行分类，输出每个目标测试案例对应的测试优先级。

可以理解的是，根据预设的测试优先级确定模型及各测试特征数据确定对应目标测试案例的测试优先级的方式还可以为其他方式，本实施例中对此不作限定。

其中，测试优先级可以被划分为极高、高、中、低、可选五个级别。还可以被划分为高、中、低三个级别。或其他划分方式的测试优先级，本实施例中对此不作限定。

步骤205，按照各目标测试案例对应的测试优先级对目标业务系统进行安全测试。

本实施例中，在标准案例库中，针对每个标准测试案例，还可以关联存储有实施类字段，测试用户按照各目标测试案例对应的测试优先级由高到低的获取到每个目标测试案例对应的实施类字段，进而从测试优先级由高到低的顺序采用对应的目标测试案例对目标业务系统进行安全测试。

本实施例提供的业务系统的安全测试方法，通过获取预存在标准化案例库中的多个标准测试案例；对各标准测试案例进行筛选，以获得与目标业务系统匹配的多个目标测试案例；确定各目标测试案例的多个测试特征数据；根据预设的测试优先级确定模型及各测试特征数据确定对应目标测试案例的测试优先级；按照各目标测试案例对应的测试优先级对目标业务系统进行安全测试。由于在标准化案例库中预先存储了标准测试案例，所以只需要对标准测试案例进行筛选就可确定出与目标业务系统匹配的目标测试案例，所以可快速获取到目标测试案例，进而有效提高安全测试的效率。针对每个目标测试案例，确定出每个目标测试案例对应的多个测试特征数据，由于这些测试特征数据具有较强的客观性，所以在采用预设的测试优先级确定模型根据多个测试特征数据确定出每个目标测试案例的测试优先级时，可准确确定出各个目标测试案例的测试优先级，进而能够准确筛选出进行安全测试的测试案例。

图3是本发明另一实施例提供的业务系统的安全测试方法的流程示意图，如图3所示，本实施例提供的业务系统的安全测试方法在上述实施例提供的业务系统的安全测试方法的基础上，在步骤203之前，还包括了步骤301-步骤302。则本实施例提供的业务系统的安全测试方法包括以下步骤：

步骤301，获取标准化案例库中每个标准测试案例的测试类型特征数据及测试难度特征数据。

可选地，测试类型特征数据包括：网络类型、用户类型、交易类型及信息类型。

作为一种可选实施方式，步骤301中获取标准化案例库中每个标准测试案例的测试类型特征数据包括以下步骤：

步骤3011，获取每个标准测试案例对应功能的适用范围。

本实施例中，可预先存储有各业务系统的需求、功能及功能适用范围的映射关系。在业务需求用户提出需求后，测试用户通过电子设备输入需求，在电子设备接收到需求后，在该映射关系进行查询，进而获取到与该需求具有映射关系的功能及适用范围。又由于在标准化案例库中，针对每个标准测试案例，标记有所测试的功能，所以可确定每个标准测试案例对应的适用范围。

例如某个业务系统有用户登录的需求，所以根据该用户登录的需求查询到的具有映射关系的功能为用户登录目标业务系统时与设备进行绑定的功能。则该功能的适用范围为针对互联网接入类型的外部使用用户。所以针对用户登录目标业务系统时与设备进行绑定的标准测试案例，对应的适用范围为针对互联网接入类型的外部使用用户。

步骤3012，根据各功能的适用范围确定对应标准测试案例的网络类型及用户类型。

本实施例中，在各功能的适用范围中包括了网络类型和用户类型。所以对各功能的适用范围进行解析，获取到网络类型和用户类型，进而根据功能获取到对应的标准测试案例，将获取到的网络类型确定为对应标准测试案例的网络类型，将获取到的用户类型确定为标准测试案例的用户类型。

步骤3013，响应于测试用户针对每个标准测试案例选择的交易类型和信息类型，将选择的交易类型确定为对应标准测试案例的交易类型，并将选择的信息类型确定为对应标准测试案例的信息类型。

本实施例中，可提供标准测试案例的配置界面。在配置界面中可以采用表格的形式展示出每个标准测试案例。并且针对每个标准测试案例，可通过配置界面中的组件选择至少一个交易类型和至少一个信息类型。测试用户针对每个标准测试案例选择交易类型后，电子设备将选择的交易类型确定为对应标准测试案例的交易类型。测试用户针对每个标准测试案例选择信息类型后，电子设备将选择的信息类型确定为对应标准测试案例的信息类型。

需要说明的是，虽然每个标准测试案例的交易类型和信息类型是由测试用户通过配置界面进行配置的，但交易类型和信息类型是客观存在的特征数据，并也具有较强的客观性。

作为一种可选实施方式，步骤301中获取标准化案例库中每个标准测试案例的测试难度特征数据具体包括：

步骤3014，响应于测试用户针对每个标准测试案例选择的测试难度等级，将选择的测试难度等级确定为对应标准测试案例的测试难度特征数据。

具体地，本实施例中，在提供的标准测试案例的配置界面中，针对每个标准测试案例，可通过配置界面中的组件选择测试难度等级。测试用户针对每个标准测试案例选择测试难度等级后，电子设备将选择的测试难度等级确定为该标准测试案例对应的测试难度特征数据。

其中，测试难度等级可以分为高、中、低三个难度等级。

需要说明的是，虽然测试难度等级是由测试用户通过配置界面进行配置的，但每个标准测试案例在作为各种业务系统的目标测试案例后对应的测试难度等级都是统一的，所以大大削弱了测试难度特征数据的主观性，提高了测试难度特征数据的客观性。

步骤302，建立每个标准测试案例与对应的测试类型特征数据及测试难度特征数据的映射关系。

本实施例中，在获取到标准化案例库中每个标准测试案例的测试类型特征数据及测试难度特征数据后，可采用表格的方式建立每个标准测试案例与对应的测试类型特征数据及测试难度特征数据的映射关系。具体的映射关系的表示形式如表3所示。

表3：标准测试案例与对应的测试特征数据映射关系示意表

本实施例提供的业务系统的安全测试方法，在确定各目标测试案例的多个测试特征数据之前，获取标准化案例库中每个标准测试案例的测试类型特征数据及测试难度特征数据；建立每个标准测试案例与对应的测试类型特征数据及测试难度特征数据的映射关系，由于预先建立了每个标准测试案例与对应的测试类型特征数据及测试难度特征数据的映射关系，所以在确定各目标测试案例的测试类型特征数据和测试难度特征数据时，可根据映射关系快速确定出测试类型特征数据和测试难度特征数据。

图4是本发明又一实施例提供的业务系统的安全测试方法的流程示意图，如图4所示，本实施例提供的业务系统的安全测试方法在上一实施例提供的业务系统的安全测试方法的基础上，对步骤203的进一步细化为步骤401-步骤402，则本实施例提供的业务系统的安全测试方法包括以下步骤：

步骤401，从标准化案例库中获取与目标测试案例具有映射关系的测试类型特征数据和测试难度特征数据。

本实施例中，在对标准测试案例进行筛选，获得多个目标测试案例的同时，还可同步获取与目标测试案例具有映射关系的测试类型特征数据和测试难度特征数据。

其中，具有映射关系的测试类型特征数据包括具有映射关系的网络类型、用户类型、交易类型及信息类型。具有映射关系的测试难度特征数据包括具有映射关系的测试难度等级。

步骤402，响应于业务需求用户针对各目标测试案例需求优先级的选择操作，获取选择的需求优先级，并将选择的需求优先级确定为对应目标测试案例的测试需求特征数据。

本实施例中，可向业务需求用户提供目标测试案例的配置界面。在目标测试案例的配置界面中可以采用表格的形式展示每个目标测试案例。并且针对每个目标测试案例，可通过配置界面中的组件选择需求优先级。业务需求用户针对每个目标测试案例选择需求优先级后，电子设备将选择的需求优先级确定为对应目标测试案例的测试需求特征数据。

其中，需求优先级可分为高、中、低三个需求等级。

可以理解的是，需求优先级虽然由业务需求用户通过配置界面配置的，但针对不同的业务需求用户，需求优先级的配置是高度一致的，有效减小了需求优先级配置的主观性。

本实施例提供的业务系统的安全测试方法，在确定各目标测试案例的多个测试特征数据时，从标准化案例库中获取与目标测试案例具有映射关系的测试类型特征数据和测试难度特征数据；响应于业务需求用户针对各目标测试案例需求优先级的选择操作，获取选择的需求优先级，并将选择的需求优先级确定为对应目标测试案例的测试需求特征数据。由于在标准化案例库中预先建立了每个标准测试案例与对应的测试类型特征数据和测试难度特征数据的映射关系，所以能够快速获取到各目标测试案例的测试类型特征数据和测试难度特征数据。并且由业务需求用户配置各目标测试案例需求优先级，针对不同的业务需求用户，需求优先级的配置是高度一致的，有效减小了需求优先级配置的主观性。

图5是本发明再一实施例提供的业务系统的安全测试方法的流程示意图，如图5所示，本实施例提供的业务系统的安全测试方法在上述任意一个实施例提供的业务系统的安全测试方法的基础上，对步骤202进行进一步细化为步骤501-步骤503，则本实施例提供的业务系统的安全测试方法包括以下步骤：

步骤501，确定目标业务系统对应的测试类型特征数据。

本实施例中，根据目标业务系统的各目标功能确定功能的适用范围，进而确定目标业务系统的网络类型和用户类型。可由测试用户根据目标业务系统的的各目标功能确定目标业务系统的交易类型和信息类型。进而确定出目标业务系统对应的网络类型、用户类型、交易类型及信息类型。

本实施例中，目标业务系统对应的网络类型可以为至少一种。同理，用户类型、交易类型及信息类型分别为至少一种。

步骤502，将目标业务系统对应的测试类型特征数据与每个标准测试案例对应的测试类型特征数据进行匹配，以获得相匹配的多个标准测试案例。

步骤503，将相匹配的多个标准测试案例确定为多个目标测试案例。

本实施例中，将目标业务系统对应的测试类型特征数据与每个标准测试案例对应的测试类型特征数据进行匹配，若某标准测试案例对应的网络类型、用户类型、交易类型和信息类型均在目标业务系统对应的测试类型特征数据范围内，则说明该标准测试案例的测试类型特征数据与目标业务系统对应的测试类型特征数据相匹配。则将该标准测试案例确定为目标测试案例。若某标准测试案例对应的网络类型、用户类型、交易类型和信息类型任意一个测试类型特征数据不在目标业务系统对应的测试类型特征数据范围内，则说明该标准测试案例的测试类型特征数据与目标业务系统对应的测试类型特征数据不匹配。则不将该标准测试案例确定为目标测试案例。

本实施例提供的业务系统的安全测试方法，在对各标准测试案例进行筛选，以获得与目标业务系统匹配的多个目标测试案例时，确定目标业务系统对应的测试类型特征数据；将目标业务系统对应的测试类型特征数据与每个标准测试案例对应的测试类型特征数据进行匹配，以获得相匹配的多个标准测试案例；将相匹配的多个标准测试案例确定为多个目标测试案例，通过将目标业务系统对应的测试类型特征数据与每个标准测试案例对应的测试类型特征数据进行匹配的方式筛选出目标业务系统匹配的多个目标测试案例，能够将与目标业务系统相匹配的目标测试案例全面筛选出来，能够有效防止发生遗漏。

图6是本发明还一实施例提供的业务系统的安全测试方法的流程示意图，如图6所示，本实施例提供的业务系统的安全测试方法在上述任意一个实施例提供的业务系统的安全测试方法的基础上，对步骤204进行细化，具体细化为步骤601-步骤604。则本实施例提供的业务系统的安全测试方法包括以下步骤：

步骤601，确定每个目标测试案例对应的各测试特征数据的分值及权重。

本实施例中，预先确定所有测试特征数据的分值和权重。在确定所有测试特征数据的分值时，可根据面对的攻击风险高低确定对应的分值。分值越高，面对的攻击风险越高。反之，分值越低，面对的攻击风险越低。在确定所有测试特征数据的权重时，可根据影响测试优先级的重要程度确定各测试特征数据的权重。权重越高，影响测试优先级的重要程度越高。反之，权重越低，影响测试优先级的重要程度越低。

如表4所示，示例出所有测试特征数据对应的分值及权重。从表4中确定出每个目标测试案例对应的各测试特征数据的分值及权重。

步骤602，采用预设的测试优先级确定模型对每个目标测试案例对应的各测试特征数据的分值及权重进行加权求和计算，以获得每个目标测试案例对应的总分值。

本实施例中，预设的测试优先级确定模型中具有加权求和计算模块。获取到每个目标测试案例对应的各测试特征数据的分值及权重后，输入到预设的测试优先级确定模型中，由预设的测试优先级确定模型进行加权求和计算，加权求和的计算结果为每个目标测试案例对应的总分值。

其中，若测试特征数据包括：网络类型、用户类型、交易类型、信息类型、需求优先级及测试难度等级，则总分值可表示为式(1)所示：

P1＝a1*w1+a2*w2+a3*w3+a4*w4+a5*w5+a6*w6 (1)

其中，P1为总分值。a1为网络类型对应的分值，w1为网络类型对应的权重。a2为用户类型对应的分值，w2为用户类型对应的权重。a3为交易类型对应的分值，w3为交易类型对应的权重。a4为信息类型对应的分值，w4为信息类型对应的权重。a5为需求优先级对应的分值，w5为需求优先级对应的权重。a6为测试难度等级对应的分值，w6为测试难度等级对应的权重。

表4：所有测试特征数据对应的分值及权重示意表

步骤603，对每个目标测试案例对应的总分值进行归一化处理，以获得对应的测试优先级分值。

可选地，步骤603包括以下步骤：

步骤6031，计算目标业务系统对应的最高总分值。

本实施例中，根据目标业务系统对应的测试特征数据，确定出每种测试特征数据对应的最高分值及权重，进而通过加权求和的方式计算出目标业务系统对应的最高总分值。

其中，若目标业务系统对应的测试特征数据中，均包括最高分值的测试特征数据，则目标业务系统对应的最高总分值可表示为式(2)所示：

P2＝2*10+2*7+3*5+2*10+3*10+3*5＝114 (2)

步骤6032，计算每个目标测试案例对应的总分值与测试优先级类别数值的乘积。

其中，若测试优先级类别为5种，分别为极高、高、中、低、可选，则测试优先级类别数值为5。若测试优先级类别为3种，分别为高、中、低，则测试优先级类别数值为3。

步骤6033，计算乘积与最高总分值的比值，并对比值进行向下取整运算，以获得对应的测试优先级分值。

其中，测试优先级分值可表示为式(3)所示：

P＝Floor(P1*N/P2) (3)

其中，Floor()表示向下取整函数，N表示测试优先级类别数值，P1表示目标测试案例对应的总分值，P2表示最高总分值。

可以理解的是，式(1)、式(2)和式(3)进行合并，构成了预设的测试优先级确定模型。

步骤604，根据各测试优先级分值确定对应目标测试案例的测试优先级。

本实施例中，按照式(1)、式(2)和式(3)计算出的测试优先级分值范围在固定数值区间。则根据各测试优先级分值确定对应的测试优先级类别。

例如若测试优先级类别包括极高、高、中、低、可选5种，则测试优先级分值在(4,5]之间，对应的目标测试案例的测试优先级为极高。测试优先级分值在(3,4]之间，则对应的目标测试案例的测试优先级为高。测试优先级分值在(2,3]之间，则对应的目标测试案例的测试优先级为中。测试优先级分值在(1,2]之间，则对应的目标测试案例的测试优先级为低。测试优先级分值在(0,1]之间，则对应的目标测试案例的测试优先级为可选。

本实施例提供的业务系统的安全测试方法，在根据预设的测试优先级确定模型及各测试特征数据确定对应目标测试案例的测试优先级时，确定每个目标测试案例对应的各测试特征数据的分值及权重；采用预设的测试优先级确定模型对每个目标测试案例对应的各测试特征数据的分值及权重进行加权求和计算，以获得每个目标测试案例对应的总分值；对每个目标测试案例对应的总分值进行归一化处理，以获得对应的测试优先级分值；根据各测试优先级分值确定对应目标测试案例的测试优先级。能够在确定目标测试案例的测试优先级时，不同类型的测试特征数据予以不同程度的考虑，能够使确定出的测试优先级更能满足目标业务系统的测试要求。

本实施例提供的业务系统的安全测试方法，在对每个目标测试案例对应的总分值进行归一化处理，以获得对应的测试优先级分值时，计算目标业务系统对应的最高总分值；计算每个目标测试案例对应的总分值与对应测试优先级类别数值的乘积；计算乘积与最高总分值的比值，并对比值进行向下取整运算，以获得对应的测试优先级分值。能够使测试优先级分值为整数，并且限制在固定数字范围内，进而能够准确确定出测试优先级。

图7是本发明一实施例提供的业务系统的安全测试装置的结构示意图，如图7所示，本实施例提供的业务系统的安全测试装置位于电子设备中。该业务系统的安全测试装置700包括：获取模块701，筛选模块702，数据确定模块703，优先级确定模块704及测试模块705。

其中，获取模块701，用于获取预存在标准化案例库中的多个标准测试案例。筛选模块702，用于对各标准测试案例进行筛选，以获得与目标业务系统匹配的多个目标测试案例。数据确定模块703，用于确定各目标测试案例的多个测试特征数据。优先级确定模块704，用于根据预设的测试优先级确定模型及各测试特征数据确定对应目标测试案例的测试优先级。测试模块705，用于按照各目标测试案例对应的测试优先级对目标业务系统进行安全测试。

本实施例提供的业务系统的安全测试装置可以执行图2所示方法实施例的技术方案，其实现原理和技术效果与图2所示方法实施例类似，在此不再一一赘述。

可选地，测试特征数据包括以下特征数据的任意多种：测试类型特征数据，测试需求特征数据及测试难度特征数据。

相应地，本实施例提供的业务系统的安全测试装置还包括：建立模块。

其中，获取模块701还用于获取标准化案例库中每个标准测试案例的测试类型特征数据及测试难度特征数据。建立模块，用于建立每个标准测试案例与对应的测试类型特征数据及测试难度特征数据的映射关系。

相应地，数据确定模块703具体用于从标准化案例库中获取与目标测试案例具有映射关系的测试类型特征数据和测试难度特征数据；响应于业务需求用户针对各目标测试案例需求优先级的选择操作，获取选择的需求优先级，并将选择的需求优先级确定为对应目标测试案例的测试需求特征数据。

可选地，测试类型特征数据包括：网络类型、用户类型、交易类型及信息类型。

相应地，获取模块701，在获取标准化案例库中每个标准测试案例的测试类型特征数据时，具体用于获取每个标准测试案例对应功能的适用范围；根据各功能的适用范围确定对应标准测试案例的网络类型及用户类型；响应于测试用户针对每个标准测试案例选择的交易类型和信息类型，将选择的交易类型确定为对应标准测试案例的交易类型，并将选择的信息类型确定为对应标准测试案例的信息类型。

可选地，获取模块701，在获取标准化案例库中每个标准测试案例的测试难度特征数据时，具体用于响应于测试用户针对每个标准测试案例选择的测试难度等级，将选择的测试难度等级确定为对应标准测试案例的测试难度特征数据。

可选地，筛选模块702，具体用于确定目标业务系统对应的测试类型特征数据；将目标业务系统对应的测试类型特征数据与每个标准测试案例对应的测试类型特征数据进行匹配，以获得相匹配的多个标准测试案例；将相匹配的多个标准测试案例确定为多个目标测试案例。

可选地，优先级确定模块704，具体用于确定每个目标测试案例对应的各测试特征数据的分值及权重；采用预设的测试优先级确定模型对每个目标测试案例对应的各测试特征数据的分值及权重进行加权求和计算，以获得每个目标测试案例对应的总分值；对每个目标测试案例对应的总分值进行归一化处理，以获得对应的测试优先级分值；根据各测试优先级分值确定对应目标测试案例的测试优先级。

可选地，优先级确定模块704，在对每个目标测试案例对应的总分值进行归一化处理，以获得对应的测试优先级分值时，具体用于计算目标业务系统对应的最高总分值；计算每个目标测试案例对应的总分值与测试优先级类别数值的乘积；计算乘积与最高总分值的比值，并对比值进行向下取整运算，以获得对应的测试优先级分值。

本实施例提供的业务系统的安全测试装置可以执行图3-图6所示方法实施例的技术方案，其实现原理和技术效果与图3-图6所示方法实施例类似，在此不再一一赘述。

可选地，本发明实施例还提供一种电子设备，包括：至少一个处理器及存储器。所述存储器存储计算机执行指令；所述至少一个处理器执行所述存储器存储的计算机执行指令，使得所述至少一个处理器执行如上述任意一个实施例提供的业务系统的安全测试方法。

图8是用来实现本发明实施例的业务系统的安全测试方法的电子设备的框图，如图8所示，本实施例提供的电子设备可以是移动电话，计算机，数字广播终端，消息收发设备，游戏控制台，平板设备，医疗设备，健身设备，个人数字助理等。

电子设备800可以包括以下一个或多个组件：处理组件802，存储器804，电源组件806，多媒体组件808，音频组件810，输入/输出(I/O)接口812，传感器组件814，以及通信组件816。

处理组件802通常控制电子设备800的整体操作，诸如与显示，电话呼叫，数据通信，相机操作和记录操作相关联的操作。处理组件802可以包括一个或多个处理器820来执行指令，以完成上述的方法的全部或部分步骤。此外，处理组件802可以包括一个或多个模块，便于处理组件802和其他组件之间的交互。例如，处理组件802可以包括多媒体模块，以方便多媒体组件808和处理组件802之间的交互。

存储器804被配置为存储各种类型的数据以支持在电子设备800的操作。这些数据的示例包括用于在电子设备800上操作的任何应用程序或方法的指令，联系人数据，电话簿数据，消息，图片，视频等。存储器804可以由任何类型的易失性或非易失性存储设备或者它们的组合实现，如静态随机存取存储器(SRAM)，电可擦除可编程只读存储器(EEPROM)，可擦除可编程只读存储器(EPROM)，可编程只读存储器(PROM)，只读存储器(ROM)，磁存储器，快闪存储器，磁盘或光盘。

电源组件806为电子设备800的各种组件提供电力。电源组件806可以包括电源管理系统，一个或多个电源，及其他与为电子设备800生成、管理和分配电力相关联的组件。

多媒体组件808包括在电子设备800和用户之间的提供一个输出接口的屏幕。在一些实施例中，屏幕可以包括液晶显示器(LCD)和触摸面板(TP)。如果屏幕包括触摸面板，屏幕可以被实现为触摸屏，以接收来自用户的输入信号。触摸面板包括一个或多个触摸传感器以感测触摸、滑动和触摸面板上的手势。触摸传感器可以不仅感测触摸或滑动动作的边界，而且还检测与触摸或滑动操作相关的持续时间和压力。在一些实施例中，多媒体组件808包括一个前置摄像头和/或后置摄像头。当电子设备800处于操作模式，如拍摄模式或视频模式时，前置摄像头和/或后置摄像头可以接收外部的多媒体数据。每个前置摄像头和后置摄像头可以是一个固定的光学透镜系统或具有焦距和光学变焦能力。

音频组件810被配置为输出和/或输入音频信号。例如，音频组件810包括一个麦克风(MIC)，当电子设备800处于操作模式，如呼叫模式、记录模式和语音识别模式时，麦克风被配置为接收外部音频信号。所接收的音频信号可以被进一步存储在存储器804或经由通信组件816发送。在一些实施例中，音频组件810还包括一个扬声器，用于输出音频信号。

I/O接口812为处理组件802和外围接口模块之间提供接口，上述外围接口模块可以是键盘，点击轮，按钮等。这些按钮可包括但不限于：主页按钮、音量按钮、启动按钮和锁定按钮。

传感器组件814包括一个或多个传感器，用于为电子设备800提供各个方面的状态评估。例如，传感器组件814可以检测到电子设备800的打开/关闭状态，组件的相对定位，例如组件为电子设备800的显示器和小键盘，传感器组件814还可以检测电子设备800或电子设备800一个组件的位置改变，用户与电子设备800接触的存在或不存在，电子设备800方位或加速/减速和电子设备800的温度变化。传感器组件814可以包括接近传感器，被配置用来在没有任何的物理接触时检测附近物体的存在。传感器组件814还可以包括光传感器，如CMOS或CCD图像传感器，用于在成像应用中使用。在一些实施例中，该传感器组件814还可以包括加速度传感器，陀螺仪传感器，磁传感器，压力传感器或温度传感器。

通信组件816被配置为便于电子设备800和其他设备之间有线或无线方式的通信。电子设备800可以接入基于通信标准的无线网络，如WiFi，2G或3G，或它们的组合。在一个示例性实施例中，通信组件816经由广播信道接收来自外部广播管理系统的广播信号或广播相关信息。在一个示例性实施例中，通信组件816还包括近场通信(NFC)模块，以促进短程通信。例如，在NFC模块可基于射频识别(RFID)技术，红外数据协会(IrDA)技术，超宽带(UWB)技术，蓝牙(BT)技术和其他技术来实现。

在示例性实施例中，电子设备800可以被一个或多个应用专用集成电路(ASIC)、数字信号处理器(DSP)、数字信号处理设备(DSPD)、可编程逻辑器件(PLD)、现场可编程门阵列(FPGA)、控制器、微控制器、微处理器或其他电子元件实现，用于执行上述方法。

在示例性实施例中，还提供了一种包括指令的非临时性计算机可读存储介质，例如包括指令的存储器804，上述指令可由电子设备800的处理器820执行以完成上述方法。例如，非临时性计算机可读存储介质可以是ROM、随机存取存储器(RAM)、CD-ROM、磁带、软盘和光数据存储设备等。

一种非临时性计算机可读存储介质，当该存储介质中的指令由电子设备的处理器执行时，使得电子设备能够执行上述电子设备的业务系统的安全测试方法。

在示例性实施例中，还提供了一种计算机程序产品，包括计算机程序，该计算机程序被处理器执行上述任意一个实施例中的业务系统的安全测试方法。

本领域技术人员在考虑说明书及实践这里公开的发明后，将容易想到本公开的其它实施方案。本发明旨在涵盖本公开的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本公开的一般性原理并包括本公开未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本公开的真正范围和精神由下面的权利要求书指出。

应当理解的是，本公开并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围进行各种修改和改变。本公开的范围仅由所附的权利要求书来限制。

Claims (10)

1.一种业务系统的安全测试方法，其特征在于，包括：

获取预存在标准化案例库中的多个标准测试案例；

对各所述标准测试案例进行筛选，以获得与目标业务系统匹配的多个目标测试案例；

确定各所述目标测试案例的多个测试特征数据；

根据预设的测试优先级确定模型及各所述测试特征数据确定对应目标测试案例的测试优先级；

按照各目标测试案例对应的测试优先级对目标业务系统进行安全测试。

2.根据权利要求1所述的方法，其特征在于，所述测试特征数据包括以下特征数据的任意多种：测试类型特征数据，测试需求特征数据及测试难度特征数据；

所述确定各所述目标测试案例的多个测试特征数据之前，还包括：

获取所述标准化案例库中每个标准测试案例的测试类型特征数据及测试难度特征数据；

建立每个标准测试案例与对应的测试类型特征数据及测试难度特征数据的映射关系；

所述确定各所述目标测试案例的多个测试特征数据，包括：

从所述标准化案例库中获取与所述目标测试案例具有映射关系的测试类型特征数据和测试难度特征数据；

响应于业务需求用户针对各目标测试案例需求优先级的选择操作，获取选择的需求优先级，并将选择的需求优先级确定为对应目标测试案例的测试需求特征数据。

3.根据权利要求2所述的方法，其特征在于，所述测试类型特征数据包括：网络类型、用户类型、交易类型及信息类型；

所述获取所述标准化案例库中每个标准测试案例的测试类型特征数据，包括：

获取每个标准测试案例对应功能的适用范围；

根据各功能的适用范围确定对应标准测试案例的网络类型及用户类型；

响应于测试用户针对每个标准测试案例选择的交易类型和信息类型，将选择的交易类型确定为对应标准测试案例的交易类型，并将选择的信息类型确定为对应标准测试案例的信息类型。

4.根据权利要求2或3所述的方法，其特征在于，获取所述标准化案例库中每个标准测试案例的测试难度特征数据，包括：

响应于测试用户针对每个标准测试案例选择的测试难度等级，将选择的测试难度等级确定为对应标准测试案例的测试难度特征数据。

5.根据权利要求1-3任一项所述的方法，其特征在于，所述对各所述标准测试案例进行筛选，以获得与目标业务系统匹配的多个目标测试案例，包括：

确定目标业务系统对应的测试类型特征数据；

将所述目标业务系统对应的测试类型特征数据与每个标准测试案例对应的测试类型特征数据进行匹配，以获得相匹配的多个标准测试案例；

将相匹配的多个标准测试案例确定为多个目标测试案例。

6.根据权利要求1-3任一项所述的方法，其特征在于，所述根据预设的测试优先级确定模型及各所述测试特征数据确定对应目标测试案例的测试优先级，包括：

确定每个目标测试案例对应的各所述测试特征数据的分值及权重；

采用预设的测试优先级确定模型对每个目标测试案例对应的各所述测试特征数据的分值及权重进行加权求和计算，以获得每个目标测试案例对应的总分值；

对每个目标测试案例对应的总分值进行归一化处理，以获得对应的测试优先级分值；

根据各所述测试优先级分值确定对应目标测试案例的测试优先级。

7.根据权利要求6所述的方法，其特征在于，所述对每个目标测试案例对应的总分值进行归一化处理，以获得对应的测试优先级分值，包括：

计算目标业务系统对应的最高总分值；

计算每个目标测试案例对应的总分值与测试优先级类别数值的乘积；

计算所述乘积与所述最高总分值的比值，并对所述比值进行向下取整运算，以获得对应的测试优先级分值。

8.一种业务系统的安全测试装置，其特征在于，包括：

获取模块，用于获取预存在标准化案例库中的多个标准测试案例；

筛选模块，用于对各所述标准测试案例进行筛选，以获得与目标业务系统匹配的多个目标测试案例；

数据确定模块，用于确定各所述目标测试案例的多个测试特征数据；

优先级确定模块，用于根据预设的测试优先级确定模型及各所述测试特征数据确定对应目标测试案例的测试优先级；

测试模块，用于按照各目标测试案例对应的测试优先级对目标业务系统进行安全测试。

9.一种电子设备，其特征在于，包括：至少一个处理器及存储器；

所述存储器存储计算机执行指令；

所述至少一个处理器执行所述存储器存储的计算机执行指令，使得所述至少一个处理器执行如权利要求1-7任一项所述的方法。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质中存储有计算机执行指令，所述计算机执行指令被处理器执行时用于实现如权利要求1-7任一项所述的方法。

Images