从等保专员角度：AIR应用检测报告的18个必查章节清单

拿到一份AIR应用的安全检测报告，如何快速判断它能不能过等保、能不能应对密评？等保专员的经验是：不只看结论是“差”还是“优”，而是逐章核对关键项是否达标。以下基于GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》及《网络安全等级保护测评报告模板（2021版）》，整理出AIR应用检测报告的18个必查章节及合格标准。

一、报告基础信息章节（3项）

1. 网络安全等级测评基本信息表

必查内容：报告编号是否规范（4组数据：备案编号+年份+机构代码+测评次数）；被测系统名称与备案证明是否一致。
合格标准：编号格式正确，系统名称与《信息系统安全等级保护备案表》完全一致。
常见不合格项：报告编号缺失年份字段；系统名称使用简称导致与备案不符。

2. 等级测评结论

必查内容：结论等级（优/良/中/差）；综合得分（70分以上为及格）。
合格标准：明确标注得分和等级，三级系统得分低于70分即“差”，必须整改。
常见不合格项：结论模糊（如“基本符合”未给出等级）；未标注具体分数。

3. 总体评价

必查内容：是否定性描述系统安全保护能力总体状况；是否指出最突出的安全问题。
合格标准：评价需量化（如“在身份鉴别、访问控制方面存在3个高危风险”）。
常见不合格项：评价空泛（如“整体安全性一般”）且无具体问题指向。

二、AIR专项技术要求章节（7项）

4. SWF反编译风险评估（对应：安全计算环境-应用安全）

必查内容：是否对SWF文件进行反编译测试；是否识别出可被还原的核心算法或硬编码密钥。
合格标准：报告需标注SWF字节码混淆/虚拟化保护状态；如无保护措施，需列为“高风险”并对应等保条款“应用软件开发安全-代码保护”。
常见不合格项：仅描述“SWF可反编译”，未评估实际泄露的业务影响。

5. ANE原生扩展安全审计（对应：安全区域边界-边界防护）

必查内容：是否对所有ANE扩展进行逆向分析；是否检查JNI调用中的命令注入、so文件是否加壳。
合格标准：列出每个ANE的敏感API调用清单（如文件读写、网络通信），标注是否存在越权风险。
常见不合格项：只检测SWF而完全忽略ANE审计——这会导致报告被测评机构直接打回。

6. 本地SQLite数据库加密状态（对应：数据安全-数据加密）

必查内容：是否检测AIR应用的本地数据库文件；是否验证SQLCipher等加密方案的实际启用状态。
合格标准：明确数据库文件路径、加密算法（如SQLCipher的AES-256）、密钥存储方式（禁止硬编码）。
常见不合格项：报告结论写“建议使用强加密”，但未检测当前是否已加密，这是无效结论。

7. LSSO本地共享对象泄露检查（对应：数据安全-个人信息保护）

必查内容：是否扫描LSSO存储的敏感信息（如session token、用户配置）；是否检查数据留存期限。
合格标准：列出所有LSSO文件内容分类，标注“鉴权信息”需标记为高风险。
常见不合格项：未将LSSO纳入数据安全检测范围。

8. AIR运行时版本安全（对应：安全计算环境-漏洞管理）

必查内容：是否检测AIR运行时版本是否存在已知CVE漏洞（如CVE-2018-5002、CVE-2020-9634）。
合格标准：列出运行时版本号，对照NVD漏洞库标注已知漏洞及CVSS评分。
常见不合格项：完全未提及运行时安全检测。

9. 网络通信协议审计（对应：安全通信网络-通信保密性）

必查内容：是否检测AIR应用与服务端的通信协议（HTTP/HTTPS/AMF）；是否抓包验证证书校验逻辑。
合格标准：明确标注所有通信接口是否启用TLS 1.2+；未校验证书的需列为“高风险”（对应等保条款“通信保密性-数据传输加密”）。
常见不合格项：只扫描端口开放，未做应用层协议分析。

10. 逆向工程防护评估（对应：安全建设管理-软件开发安全）

必查内容：是否评估SWF/ANE被逆向还原业务逻辑的难度；是否推荐具体的加固方案。
合格标准：给出防护等级（低/中/高），如“SWF未混淆，3分钟内可还原核心算法”需强制整改。
常见不合格项：只定性说“存在反编译风险”，无定量评估和加固方案。

三、通用技术要求章节（5项）

11. 身份鉴别与登录安全（对应：安全计算环境-身份鉴别）

必查内容：是否测试登录口令复杂度、失败锁定策略、双因素认证。
合格标准：三级系统必须启用双因素认证（短信/动态令牌/USB-KEY等）。
常见不合格项：报告写“口令策略符合要求”，但实际未测试失败锁定机制。

12. 访问控制策略（对应：安全区域边界-访问控制）

必查内容：是否验证用户权限最小化原则；是否存在越权漏洞（IDOR）。
合格标准：提供越权测试用例及结果，无高危越权。
常见不合格项：只做登录态测试，未做水平/垂直越权检测。

13. 日志审计完整性（对应：安全管理中心-日志管理）

必查内容：是否验证日志留存≥6个月；是否覆盖登录、权限变更、数据导出等关键事件。
合格标准：日志字段完整（时间、IP、操作类型、结果），且集中存储。
常见不合格项：检测报告未检查日志实际留存时长。

14. 漏洞扫描与渗透测试（对应：安全建设管理-安全测试）

必查内容：是否包含漏洞扫描结果表（漏洞名称、CVE编号、CVSS评分）；是否有渗透测试用例及复现步骤。
合格标准：高危漏洞必须修复后才可出具最终通过报告。
常见不合格项：只有扫描结果清单，无人工渗透测试，导致逻辑漏洞漏报。

15. 恶意代码防范（对应：安全计算环境-恶意代码防范）

必查内容：是否检测服务器端和客户端（用户侧）的恶意代码防护措施。
合格标准：服务端部署恶意代码防护软件并定期更新特征库。
常见不合格项：只检测服务端，忽略AIR客户端用户侧的恶意代码风险。

四、管理类与合规章节（3项）

16. 安全管理制度与执行记录

必查内容：报告附录是否包含安全管理制度清单、培训记录、应急预案演练记录。
合格标准：制度文件需有版本号和生效日期；演练记录需包含时间、参与人、总结报告。
常见不合格项：只列制度名称无执行记录——“有制度无落地”是高风险。

17. 等保2.0控制点对照表

必查内容：报告是否将每个问题映射到GB/T 22239-2019的具体控制点（如“安全区域边界-访问控制-防火墙配置”）。
合格标准：每个高风险项后标注对应的条款编号和控制点名称。
常见不合格项：安全问题未对标等保条款，导致测评机构无法复用报告。

18. 整改建议与复测承诺

必查内容：整改建议是否可落地（给代码示例还是只给思路）；是否明确复测次数和收费标准。
合格标准：高危漏洞需提供代码级修复示例（如SQLCipher接入代码）；合同需写明免费复测次数。
常见不合格项：整改建议写“加强加密”“完善认证”等空话，无具体实施方案。

验收总清单：18项快速核对表

使用说明：收到检测报告后，逐项核对上述18点。任何一项标注“否”，要求服务商补充或重测——尤其是第5项（ANE审计）和第10项（逆向防护），是AIR应用特有的高风险区，测评机构会重点审查。