国家标准 GB/T20279一2015 代替GB/T202792006 信息安全技术网络和终端隔离产品安全技术要求 nfomationseeuritytechnology一Seeuritytechniealrequirementsfnetworkand terminalseparationproducts 2015-05-15发布 2016-01-01实施国家质量监督检验检疫总局发布国家标准化管理委员会国家标准
GB/T20279一2015 目次前言范围规范性引用文件术语和定义网络和终端隔离产品描述安全技术要求 5.1总体说明 5.l.l安全技术要求分类 5.1.2安全等级 5.2安全功能要求 5.2.！终端隔岗产品 5.2.2网络隔离产品 5.2.3网络单向导人产品 6 5.3安全保证要求 25 5.3.1基本级要求 25 5.3.2增强级要求 21 5.4环境适应性要求 32 5.4.1下一代互联网支持(有则适用 32 5.4.2支持IPv6过渡网络环境(可选 33 5.5性能要求 34 5.5.1交换速率 34 5.5.2硬件切换时间 34 参考文献 35
GB/T20279一2015 前言本标准按照GB/T1.1一2009给出的规则起草请注意本文件的某些内容可能涉及专利本文件的发布机构不承担识别这些专利的责任本标准代替GB/T20279一2006《信息安全技术网络和终端设备隔离部件安全技术要求》本标准与GB/T202792006的主要差异如下分类修改为终端隔离产品网络隔离产品和网络单向导人产品三类级别统一划分为基本级和增强级; -增加了终端隔离产品、网络隔离产品和网络单向导人产品描述; 增加了下一代互联网协议支持能力的要求; 在附录中增加了技术要求基本原理,包括安全功能要求基本原理和安全保证要求基本原理本标准由全国信息安全标准化技术委员会(SAC/TC280)提出并归口本标准起草单位;公安部计算机信息系统安全产品质量监督检验中心、珠海经济特区伟思有限公司,南京神易网络科技有限公司公安部第三研究所本标准主要起草人;陆臻、顾健、俞优、李旋、邓琦、左安骥、,路文利刘斌
GB/T20279一2015 信息安全技术网络和终端隔离产品安全技术要求范围本标准规定了网络和终端隔离产品的安全功能要求,安全保证要求、环境适应性要求及性能要求本标准适用于网络和终端隔离产品的设计,开发与测试规范性引用文件下列文件对于本文件的应用是必不可少的凡是注日期的引用文件,仅注日期的版本适用于本文件凡是不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件 GB17859-1999计算机信息系统安全保护划分准则 GB/T18336.32008信息技术安全技术信息技术安全性评估准则第3部分;安全保证要求 GB/T25069一2010信息安全技术术语术语和定义 (GB17859一1999和GB/T25069-2010界定的以及下列术语和定义适用于本文件 3.1 安全域seeuritydomain 具有相同的安全保护需求和相同安全策略的计算机或网络区域 3.2 物理断开physiealdiscomnection 处于不同安全域的网络之间不能以直接或间接的方式相连接注:在一个物理网络环境中,实施不同安全域的网络物理断开,在技术上应确保信息在物理传导、物理存储上的断开 3.3 协议转换protocolconversion" 协议的剥离和重建在所属某一安全域的隔离产品一端,把基于网络的公共协议中的应用数据剥离出来,封装为系统专用协议传递至所属其他安全域的隔离产品另一端,再将专用协议剥离,并封装成需要的格式 3.4 协议隔离protocolseparation 处于不同安全域的网络在物理上是有连接的,通过协议转换的手段保证受保护信息在逻辑上是隔离的,只有被系统要求传输的、内容受限的信息可以通过 3.5 信息摆渡informationferry 信息交换的一种方式,物理传输信道只在传输进行时存在注:信息传输时,信息先由信息源所在安全域一端传输至中间缓存区域,同时物理断开中间缓存区域与信息目的所在安全域的连接;随后接通中间缓存区域与信息目的所在安全域的传输信道,将信息传输至信息目的所在安全
GB/T20279一2015 域,同时在信道上物理断开信息源所在安全域与中间缓存区域的连接在任一时刻,中间缓存区域只与一端安全域相连 3.6 单向传输部件unilateraltransmissionunit -对具有物理上单向传输特性的传输部件,该传输部件由一对独立的发送和接收部件构成,发送和接收部件只能以单工方式工作,发送部件仅具有单一的发送功能,接收部件仅具有单一的接收功能,两者构成可信的单向信道,该信道无任何反馈信息 3.7 终端隔离产品terminalseparationproduet 同时连接两个不同安全域,采用物理断开技术在终端上实现安全域物理隔离的安全隔离卡或安全隔离计算机 3.8 网络隔离产品networkseparationproduet 位于两个不同安全域之间,采用协议隔离技术在网络上实现安全域安全隔离与信息交换的产品 3.g 网络单向导入产品networkunilateraltransmissionproduct 位于两个不同安全域之间,通过物理方式构造信息单向传输的唯一通道,实现信息单向导人,并且保证只有安全策略允许传输的信息可以通过,同时反方向无任何信息传输或反馈网络和终端隔离产品描述网络和终端隔离产品从形态和功能上可以划分为终端隔离产品、网络隔离产品和网络单向导人产品三类,目的是在不同的网络终端和网络安全域之间建立安全控制点,实现在不同的网络终端和网络安全域之间提供访问可控的服务此外,适用于下一代互联网网络环境的网络和终端隔离产品的协议栈除支持IPv4技术外,还应支持IPv6以及IPv4/IPv6过渡技术网络和终端隔离产品保护的资产是受安全策略保护的网络服务和资源等,此外,网络和终端隔离产品本身及其内部的重要数据也是受保护的资产图1为终端隔离产品的一个典型运行环境终端隔离产品一般以隔离卡的方式接人目标主机,隔离卡通过电子开关以互斥的形式同时连通安全域A所连的硬盘1和安全域A,或者安全域B所连的硬盘2和安全域B,从而实现内外两个安全域的物理隔离该类产品也可将隔离卡整合人主机以整机的形式作为产品 Pc 安全域A cP 硬盘" 硬盘2 主板双硬盘隔离卡安全域B 图1终端隔离产品典型运行环境
GB/T20279一2015 图2为网络隔离产品的一个典型运行环境网络隔离产品一般以二主机加专用隔离部件的方式组成,即由内部处理单元,外部处理单元和专用隔离部件组成其中,专用隔离部件既可以是采用包含电子开关并固化信息摆渡控制逻辑的专用隔离芯片构成的隔离交换板卡,也可以是经过安全强化的运行专用信息传输逻辑控制程序的主机网络隔离产品用于连接两个不同的安全域,实现两个安全域之间应用代理服务,协议转换、信息流访问控制内容过滤和信息交换等功能网络隔离产品中的内、外部处理单元通过专用隔离部件相连,专用隔离部件是两个安全域之间唯一的可信物理信道该内部信道裁剪了TCP/AIP等公共网络协议栈,采用私有协议实现协议隔离在一些安全性要求较低而实时性要求较高的场合,专用隔离部件采用私有协议以逻辑方式实现协议隔离和信息传输在一些安全性要求较高而实时性要求相对较低的场合,专用隔离部件还会采用一组互斥的分时切换电子开关实现内部物理信道的通断控制,以分时切换连接方式完成信息摆渡,从而在两个安全域之间形成一个不存在实时物理连接的隔离区安个域安全城B 网络隔离产品客户端服务器图2网络隔离产品典型运行环境图3为网络单向导人产品的一个典型运行环境网络单向导人产品一般以双机方式组成,即数据发送处理单元和数据接收处理单元,双机之间采用单向传输部件相连网络单向导人产品部署在两个的安全域之间,其中,数据发送处理单元网络接口连接信息发送方安全域A,数据接收处理单元网络接口连接接收信息接收方安全域B,信息流由发送数据的安全域A单向流人接收数据的安全域B 单向 -的单向传输通道,数据在这个通道中只能沿数据发送处理单元向数据接收处理单元方向的可信路径单向传输,无任何反馈信号单向传输部件由一对单向接收部件和单向发送部件构成,单向发送部件安装在数据发送处理单元中,单向接收部件安装在数据接收处理单元中单向传输部件的单向物理传输特性固化不可修改,任何软件配置、物理跳线等方式都不能更改其部件的单向传输特性以及传输方向,从而实现数据单向导人的可靠性例:光通信,数据发送处理单元使用光发送模块,数据接收处理单元使用光接收模块,单向传输通道使用单根光纤,实现数据单向传输安全域B 安全域网络单向导入产品信息接收方信息发送方图3网络单向导入产品典型运行环境
GB/T20279一2015 安全技术要求 5.1 总体说明 5.1.1安全技术要求分类本标准将网络和终端隔离产品安全技术要求分为安全功能、安全保证、环境适应性和性能要求四个大类其中,安全功能要求是对网络和终端隔离产品应具备的安全功能提出具体要求,终端隔离产品具体要求包括访问控制、不可旁路和客体重用,网络隔离产品具体要求包括访问控制、抗攻击、安全管理、标识和鉴别审计、域隔离、容错,数据完整性和密码支持,网络单向导人产品具体要求包括访问控制、抗攻击、安全管理、标识和鉴别,审计,域隔离、配置数据保护和运行状态监测;安全保证要求针对网络和终端隔离产品的开发和使用文档的内容提出具体的要求,例如配置管理、交付和运行、开发和指导性文档等;环境适应性要求是对网络和终端隔离产品的应用环境提出具体的要求;性能要求则是对网络和终端隔离产品应达到的性能指标做出规定,包括交换速率和硬件切换时间 5.1.2安全等级本标准按照网络和终端隔离产品安全功能的强度划分安全功能要求的级别,按照GB/T18336.3 2008划分安全保证要求的级别安全等级分为基本级和增强级,安全功能的强弱和安全保证要求的高低是等级划分的具体依据安全等级突出安全特性,环境适应性要求和性能要求不作为等级划分依据与基本级内容相比,增强级中要求有所增加或变更的内容在正文中通过“宋体加粗”表示 5.2安全功能要求 5.2.1终端隔离产品 5.2.1.1基本级要求 5.2.1.1.1 访问控制 5.2.1.1.1.1 安全属性定义对于信息存储与传输部件(主要是处于不同安全域的存储设备、,网络接人设备),终端隔离产品应为一的,为了执行安全功能策略所必需的安全属性其设定唯 5.2.1.1.1.2属性修改终端隔离产品的安全功能应包含向终端设备授权用户提供修改与安全相关属性的参数的功能 5.2.1.1.1.3属性查询终端隔离产品的安全功能应包含向终端设备授权用户提供安全属性查询的功能 5.2.1.1.1.4访问授权与拒绝终端隔离产品的安全功能应包含对被隔离的计算机信息资源提供明确的访问保障能力和访问拒绝能力在技术上确保在信息物理传输上使内外安全域隔断,确保外部安全域不能通过网络连接侵人内部安全域;同 a 时阻止内部安全域信息通过网络连接泄露到外部安全域 b)在信息物理存储上隔断两个网络环境,对于断电后会逸失信息的部件,如内存、寄存器等暂存
GB/T20279一2015 部件,要在网络转换时作清零处理,防止遗留信息窜网;对于断电后不会逸失信息的设备,如磁带机,硬盘等存储设备,内部安全域与外部安全域信息要以不同存储设备分开存储;对移动存储介质,如光盘、软盘、USB存储设备等,应在安全域转换前提示用户干预或禁止在双安全域都能使用这些设备 5.2.1.1.1.5切换信号一致性对被隔离的计算机信息资源进行切换时,终端隔离产品的安全功能应由同一信号对隔离的计算机信息资源进行切换,确保一致性 5.2.1.1.1.6口令保护对被隔离的计算机信息资源进行切换时.终端隔离产品的安全功能应保证用户必须输人切换口令 5.2.1.1.1.7内存及USB端口的物理隔离若终端隔离产品以整机隔离系统的形态存在,终端隔离产品的安全功能应在物理上隔离内存及所有UsB端口,确保所有的存储设备都是物理上隔断,从物理上保证数据安全性 5.2.1.1.2不可旁路在与安全有关的操作(例如安全属性的修改)被允许执行之前,终端隔离产品安全功能应确保其通过安全功能策略的检查客体重用 5.2.1.1.3 在为所有内部或外部网络上的主机连接进行资源分配时,终端隔离产品安全功能应保证不提供以前连接的任何信息内容 5.2.1.2增强级要求 5.2.1.2.1访问控制 5.2.1.2.1.1安全属性定义对于信息存储与传输部件(主要是处于不同安全域的存储设备、网络接人设备),终端隔离产品应为其设定唯一的,为了执行安全功能策略所必需的安全属性 5.2.1.2.1.2属性修改终端隔离产品安全功能应向终端设备授权用户提供修改与安全相关属性的参数的功能 5.2.1.2.1.3属性查询终端隔离产品安全功能应向终端设备授权用户提供安全属性查询的功能 5.2.1.2.1.4访问授权与拒绝终端隔离产品的安全功能应对被隔离的计算机信息资源提供明确的访问保障能力和访问拒绝能力在技术上确保在信息物理传输上使内外安全域隔断,确保外部安全域不能通过网络连接侵人内部安全域;同时阻止内部安全域信息通过网络连接泄露到外部安全域; b在信息物理存储上隔断两个网络环境,对于断电后会逸失信息的部件,如内存、寄存器等暂存
GB/T20279一2015 部件,要在网络转换时作清零处理,防止遗留信息窜网;对于断电后不会逸失信息的设备,如磁带机,硬盘等存储设备,内部安全域与外部安全域信息要以不同存储设备分开存储;对移动存储介质,如光盘、软盘、USB存储设备等,应在安全域转换前提示用户干预或禁止在双安全域都能使用这些设备 5.2.1.2.1.5网络非法外联终端隔离产品的安全功能应保证用户在内网状态下,随时监测用户网络是否与互联网相连接，一旦发现则立即禁用网络并给出报警,确保内网安全 5.2.1.2.1.6切换信号一致性对被隔离的计算机信息资源进行切换时,终端隔离产品的安全功能应由同一信号对隔离的计算机信息资源进行切换,确保一致性 5.2.1.2.1.7硬盘非法调换终端隔离产品的安全功能应在初始安装时对对应网络的硬盘进行唯一标识,保证硬盘与网络对应,确保内网硬盘数据的安全 5.2.1.2.1.8口令保护对被隔离的计算机信息资源进行切换时,终端隔离产品的安全功能应保证用户必须输人切换口令 5.2.1.2.1.9内存及UUSB端口的物理隔离若终端隔离产品以整机隔离系统的形态存在,终端隔离产品的安全功能应在物理上隔离内存及所有UsB端口,确保所有的存储设备都是物理上隔断,从物理上保证数据安全性 5.2.1.2.2不可旁路在与安全有关的操作(例如安全属性的修改)被允许执行之前,终端隔离产品安全功能应确保其通过安全功能策略的检查客体重用 5.2.1.2.3 在为所有内部或外部网上的主机连接进行资源分配时,终端隔离产品安全功能应保证不提供以前连接的任何信息内容 5.2.2网络隔离产品 5.2.2.1基本级要求 5.2.2.1.1 访问控制基本的信息流控制策略 5.2.2.1.1.1 针对对主体、客体以及经过网络隔离产品的主客体之间的所有操作,网络隔离产品应能够执行以下端到端基本的信息流控制策略所有主客体之间发送和接收的信息流均执行网络层协议剥离,还原成应用层数据 a b主客体之间发送和接收的信息流均经过安全策略允许后传输授权管理员通过独立的管理接口,经过身份验证后,授权管理员与网络隔离产品间发送的管理 c
GB/T20279一2015 信息经过安全策略允许后传输 5.2.2.1.1.2基本的信息流控制功能网络隔离产品的安全功能策略应能够执行以下基本的信息流控制功能,提供明确的访问保障能力和拒绝访问能力包括: 通过配置访问控制列表进行信息流控制,访问控制列表的元素包括;源IP地址、目的IP地址、源端口、目的端口,协议号; 对经过的HTTP,FTP,SMTP,POP3等应用协议信息流进行合规性检查; b) e)对经过的HTTP,FTP,SMTP,POP3等应用协议信息流的协议信令及参数关键字进行过滤 d)对经过的HTTP,FTP,SMTP,POP3等应用协议信息流中的内容包括文件附件进行关键字过滤; 通过协议隔离方式断开内部TCP/IP连接,完成信息传输 5.2.2.1.1.3残余信息保护网络隔离产品在为所有内部或外部网上的主机连接进行资源分配时,网络隔离产品安全功能应保证其分配的资源中不提供以前连接话动中所产生的任何信息内容 5.2.2.1.1.4不可旁路在与安全有关的操作(例如安全属性的修改、内部网络主机向外部网络主机传送信息等)被允许执行之前,网络隔离产品安全功能应确保其通过安全功能策略的检查 5.2.2.1.2抗攻击网络隔离产品应能够抵御各种Dos/DDoS攻击,应能够识别和防御sYNFlood,ICMPFlood等攻击 5.2.2.1.3安全管理 5.2.2.1.3.1区分安全管理角色网络隔离产品安全功能: a)应将与安全相关的管理功能与其他功能区分开; b应包括安装、配置和管理隔离产品安全功能本身所需的所有功能,其中至少应包括;增加和删除主体(发送信息的主机)和客体(接受信息的主机),查阅安全属性,分配、修改和撤销安全属性,查阅和管理审计数据; 应把执行与安全相关的管理功能的能力限定为一种安全管理职责,该职责具有一套特别授权的功能和响应的责任 d)应能把授权执行管理功能的授权管理员与使用隔离产品的所有其他个人或系统分开; 应仅允许授权管理员承担安全管理职责， e 应在提出一个明确的请求以后,才会让授权管理员承担安全管理职责 5.2.2.1.3.2管理功能网络隔离产品安全功能应向授权管理员提供如下管理功能设置和更新与安全相关的数据; b执行隔离产品的安装及初始化、系统启动和关闭、备份和恢复功能,备份能力应有自动工具的
GB/T20279一2015 支持; 设置双机热备或负载均衡等可用性参数 c d)若隔离产品安全功能支持外部或内部接口的远程管理,应 1 有对两个接口或其中之一关闭远程管理的选择权; 2) 限制可进行远程管理的地址; 3) 通过加密来保护远程管理会话 5.2.2.1.3.3独立管理接口网络隔离产品应使用与通讯接口相互独立的管理接口与授权管理员连接,授权管理员经过身份鉴别后,采用多因素身份鉴别和加密方式建立授权管理员与网络隔离产品间的可信路径,禁止其他用户非授权访问管理接口 5.2.2.1.4标识和鉴别 5.2.2.1.4.1基本安全属性定义对于每一个授权管理员,网络隔离产品安全功能应为其提供一套唯一的、为了执行安全功能策略所必需的基本安全属性包括但不限于设备网络参数.包括接口地址.,网关地址等; a 设备接口属性;接口类型(例如管理接口,通信接口),接口速率等 b 安全管理参数;管理控制台地址、管理方式(例如;SSH.SsSL)等; c D 安全参数:最大鉴别失败次数等; 外部可信IT产品参数配置:包括时间同步服务器参数、日志服务器参数等; 系统参数:日志存储空间大小,设备名称等; 用户角色属性:授权管理员、授权审计员、授权用户等; 用户管理属性;用户名、用户角色、用户口令等; 主机地址:源主机地址、目的主机地址; 服务端口使用时间或时间段 k 内容关键字 5.2.2.1.4.2属性初始化网络隔离产品的安全功能应包含使用默认值对授权管理员和主机属性初始化的功能 5.2.2.1.4.3属性修改网络隔离产品安全功能应仅向授权管理员提供修改下述(包含但不仅限于)参数的功能 a)标识与角色(例如;配置管理员等)的关系 b)源地址、目的地址、传输层协议和请求的服务(例如;源端口号或目的端口号等访问控制属性); 配置的安全参数(例如;最大鉴别失败次数等数据) 5.2.2.1.4.4属性查询网络隔离产品安全功能应仅向授权管理员提供以下查询功能源地址、目的地址、传输层协议和请求的服务(例如源端口号或目的端口号等访问控制属性); a b)关键字;
GB/T20279一2015 通过网络隔离产品传送信息的主机信息 5.2.2.1.4.5鉴别数据初始化网络隔离产品安全功能应根据规定的鉴别机制,提供授权管理员鉴别数据的初始化功能,并确保仅允许授权管理员使用这些功能 5.2.2.1.4.6鉴别时机在所有授权管理员请求执行的任何操作之前,网络隔离产品安全功能应确保对每个授权管理员进行身份鉴别 5.2.2.1.4.7最少反馈当进行鉴别时,网络隔离产品安全功能应仅将最少的反馈提供给用户 5.2.2.1.4.8鉴别失败处理在经过一定次数的鉴别失败以后,网络隔离产品安全功能应能终止进行登录尝试主机建立会话的过程最多失败次数仅由授权管理员设定 5.2.2.1.5审计 5.2.2.1.5.1审计数据生成网络隔离产品安全功能应能对下列可审计事件生成一个审计记录,包括事件发生的日期和时间,事件的类型,主体身份和成功或失败事件等信息 a)审计功能的启动和关闭 b任何对审计记录进行操作的尝试,包括关闭审计功能或子系统,以及受影响客体的标识 o任何读取、修改、破坏审计记录的尝试所有对隔离产品规则覆盖的客体(内部或外部网络上的主机)执行操作的请求.,以及受影响客 d 体的标识; 修改安全属性的所有尝试,以及修改后安全属性的新值; e 所有使用安全功能中鉴别数据管理机制的请求 fD g)所有访问鉴别数据的请求,以及访问请求的目标; h)任何对鉴别机制的使用所有使用标识机制的尝试; 所有对安全功能配置参数的修改(设置和更新),无论成功与否,以及配置参数的新值; 因鉴别尝试不成功的次数超出了设定的限制,导致的会话连接终止,以及会话连接使用的标识符审计记录管理 5.2.2.1.5.2 网络隔离产品安全功能应使授权管理员能存档,删除和清空审计记录 5.2.2.1.5.3可理解的格式网络隔离产品安全功能应使存储于永久性审计记录中的所有审计数据可为人所理解 5.2.2.1.5.4限制审计记录访问网络隔离产品安全功能应仅允许授权管理员访间审计记录
GB/T20279一2015 5.2.2.1.5.5可选择查阅审计网络隔离产品安全功能应提供按主体ID,客体ID,日期、时间以及这些参数的逻辑组合等参数对审计数据进行查找和排序的审计查阅工具 5.2.2.1.5.6防止审计数据丢失对因故障或存储耗竭而导致审计数据丢失的最大审计存储容量,网络隔离产品的开发者应提供相应的分析结果并且网络隔离产品安全功能应把生成的审计记录储存于一个永久性的审计记录中,并限制由于故障和攻击造成的审计事件丢失的数量; b -且审计存储容量达到事先规定的警戒值,应能发出警告信息,并保证在授权管理员所采取的审计行为以外,防止其他可审计行为的出现 5.2.2.1.6域隔离为保护网络隔离产品安全功能免遭不可信主体(内部或外部网络上的主机)的干扰和篡改,网络隔离产品安全功能应为其自身的执行环境设定一个安全区域,并把网络隔离产品控制范围内的各个主体内部或外部网络上的主机)的安全区域分隔开 5.2.2.1.7容错网络隔离产品应具有主备模式的容错能力,当一台主机因电源,CPU等硬件出现故障或软件错误导致异常时,容错功能将当前安全服务功能自动切换到另一台备机上继续运行,保证安全功能的可用性 5.2.2.1.8数据完整性网络隔离产品安全功能应保护储存于设备中的鉴别数据和信息传输策略不受未授权查阅、修改和破坏 5.2.2.1.9密码支持网络隔离产品安全功能应保证其所提供的与密码算法相关功能符合国家密码主管部门的有关规定 5.2.2.2增强级要求 5.2.2.2.1访问控制 5.2.2.2.1.1增强的信息流控制策略针对主体、客体以及经过网络隔离产品的主客体之间的所有操作,网络隔离产品的信息流控制策略应能够执行以下端到端增强的信息流控制策略所有主客体之间发送和接收的信息流均执行网络层协议剥离,还原成应用层数据,包括应用层携带的较大的附件,例如大于20M的邮件附件; b)主体与客体通讯之前需对主体授权用户进行基于用户名/口令、数字i证书的多因素身份验i证通过验证后,主宰体之间发送和接收的信息流均经过安全策略控制允许后传输; 授权管理员通过独立的管理接口,经过身份鉴别后,授权管理员与网络隔离产品间发送的管理信息经过安全策略允许后传输 10o
GB/T20279一2015 5.2.2.2.1.2增强的信息流控制功能网络隔离产品的安全功能策略应能够执行以下增强的信息流控制功能,提供明确的访问保障能力和拒绝访问能力包括通过配置访问控制列表进行信息流控制,访问控制列表的元素包括源IP地址、目的IP地址、源端口、目的端口、协议号; 对经过的HrP,FIP,SIP,PoP3,soLRSIP,sIP等应用协议信息流进行合规性检查 b 对经过的HrTP,FIPSTP,PoP3、SoL、,RSTPsIP等应用协议信息流的协议信令及参数关键字进行过滤配置文件同步任务,根据网络隔离产品上配置的同步务参数,从源主桃读取文件摆渡传输到目的主桃实现文件同步配置数据库同步任务,根据网络隔离产品上配置的同步任务参数,从源主机数据库读取数据、还原成文件后摆渡传输到另一端网络后写入目的主机数据库,实现数据库同步; 识别主体的应用类型,并通过访问应用控制列表进行信息流控制,禁止非授权应用访问客体 fD 应断开ICP/IP连接对内外网数据传输链路进行物理上的时分切换,即内外网络在物理链路上不能同时与专用隔离部件连通,并完成信息摆渡 5.2.2.2.1.3强制访问控制网络隔离产品安全功能应通过授权管理员和授权管理员控制的安全功能数据的敏感标记,控制授权管理员对相关安全功能数据的直接访问. 5.2.2.2.1.4残余信息保护网络隔离产品在为所有内部或外部网络上的主机连接进行资源分配时,网络隔离产品安全功能应保证其分配的资源中不提供以前连接活动中所产生的任何信息内容 5.2.2.2.1.5不可旁路在与安全有关的操作(例如安全属性的修改、内部网络主机向外部网络主机传送信息等)被允许执行之前,网络隔离产品安全功能应确保其通过安全功能策略的检查 5.2.2.2.2抗攻击网络隔离产品应能够抵御各种Dos/DDoS攻击,应能够识别和防御sYNFlood,IcCMPFlood等攻击安全管理 5.2.2.2.3 区分安全管理角色 5.2.2.2.3.1 网络隔离产品安全功能应将与安全相关的管理功能与其他功能区分开; a b)应包括安装、配置和管理隔离产品安全功能本身所需的所有功能,其中至少应包括,增加和删除主体(发送信息的主机)和客体(接受信息的主机),查阅安全属性分配、修改和撤销安全属性,查阅和管理审计数据; 应把执行与安全相关的管理功能的能力限定为一种安全管理职责,该职责具有一套特别授权的功能和响应的责任;
GB/T20279一2015 d)应能把授权执行管理功能的授权管理员与使用隔离产品的所有其他个人或系统分开; 应仅允许授权管理员承担安全管理职责 e f)应在提出一个明确的请求以后,才会让授权管理员承担安全管理职责 5.2.2.2.3.2管理功能网络隔离产品安全功能应向授权管理员提供如下管理功能 a)设置和更新与安全相关的数据 b) 执行隔离产品的安装及初始化、系统启动和关闭、备份和恢复功能,备份能力应有自动工具的支持 c)设置双机热备或负载均衡等可用性参数; d)如果隔离产品安全功能支持外部或内部接口的远程管理,则应 1有对两个接口或其中之一关闭远程管理的选择权; 2)限制可进行远程管理的地址; 3)通过加密来保护远程管理会话 5.2.2.2.3.3独立管理接口网络隔离产品应使用与通讯接口相互独立的管理接口与授权管理员连接,授权管理员经过身份鉴别后,采用多因素身份鉴别和加密方式,建立授权管理员与网络隔离产品间的可信路径,禁止其他用户非授权访问管理接口 5.2.2.2.4标识和鉴别 5.2.2.2.4.1敏感标记网络隔离产品安全功能应维护授权管理员可直接访问的网络隔离产品中安全功能相关数据的敏感标记 5.2.2.2.4.2基本安全属性定义对于每一个授权管理员,网络隔离产品安全功能应为其提供一套唯一的为了执行安全功能策略所必需的基本安全属性包括但不限于 a)设备网络参数;包括接口地址、网关地址等; b 设备接口属性;接口类型例如;管理接口,通信接口),接口速率等; e)安全管理参数管理控制台地址、管理方式(例如SSH、SSL.)等; d)安全参数:最大鉴别失败次数外部可信IT产品参数配置;包括时间同步服务器参数、日志服务器参数等; f 系统参数:日志存储空间大小,设备名称等; 用户角色属性;授权管理员、授权审计员,授权用户等; g h用户管理属性;用户名、用户角色、用户口令等; 主机地址;源主机地址、目的主机地址等; i 服务端口 k 使用时间或时间段; 内容关键字 5.2.2.2.4.3增强的安全属性定义对于每一个授权管理员,网络隔离产品安全功能应为其提供一套唯一的为了执行安全功能策略提 12
GB/I20279一2015 供的增强的安全属性包括但不限于: a)协议号:CP,UDP; b 应用协议;例如rP,FIP,SMP,ISP笠; e)应用类型;例如FIP客户滥QQ,.MISN,迅雷停 d)数据库同步参数;数据库类型,源数据库地址、目的数据库地址、同步方式(例如;增量同步、定时同步、全表同步)、源数撮库账号/口令、目的数撮库账号/口令、源数据库表名、目的数据库表名文件同步参数.源文件服务器地址、目的文件服务器地址、梦、日令$ 5.2.2.2.4.4属性初始化网络隔离产品安全功能应提供使用默认值对授权管理员和主机属性初始化的功能 5.2.2.2.4.5属性修改网络隔离产品安全功能应仅向授权管理员提供修改下述(包含但不仅限于)参数的功能标识与角色(例如;配置管理员等)的关系， a b源地址、目的地址、传输层协议和请求的服务例如源端口号或目的端口号等访问控制属性) 配置的安全参数(例如;最大鉴别失败次数等数据) 5.2.2.2.4.6属性查询网络隔离产品安全功能应仅向授权管理员提供以下查询功能" a)源地址、目的地址、传输层协议和请求的服务(例如:源端口号或目的端口号等访问控制属性); b)关键字通过网络隔离产品传送信息的主机信息 5.2.2.2.4.7鉴别数据初始化网络隔离产品安全功能应根据规定的鉴别机制,提供授权管理员鉴别数据的初始化功能,并确保仅允许授权管理员使用这些功能 5.2.2.2.4.8鉴别时机在所有授权管理员请求执行的任何操作之前,网络隔离产品安全功能应确保对每个授权管理员进行身份鉴别 5.2.2.2.4.9最少反馈当进行鉴别时,网络隔离产品安全功能应仅将最少的反馈提供给用户 5.2.2.2.4.10多鉴别机制网络隔离产品安全功能应提供多因素的鉴别机制以支持用户多鉴别,其中,至少应包含以下不可共用的鉴别数据中的一种 USBKEY密码钏匙; a 生物指纹 b 次性口令; c d)数字证书 13
GB/T20279一2015 5.2.2.2.4.11鉴别失败处理在经过一定次数的鉴别失败以后,网络隔离产品安全功能应能终止进行登录尝试主机建立会话的过程最多失败次数仅由授权管理员设定 5.2.2.2.4.12抗重放网络隔离产品的鉴别机制应具有抗重放的能力,授权管理员及其他用户不能复制使用上一次通过的鉴别信息再次鉴别成功 5.2.2.2.4.13受保护的鉴别反馈网络隔离产品的授权管理员在鉴别过程中输入的口令停敏感信息应以不可见和不可推理的形式显示在鉴别信息的登录输入界面中 5.2.2.2.4.14口令强度网络隔离产品应采用口令校验机制对授权管理员生成的口令复杂度进行检查,口令强度应保证口令长度大于6位,口令类型为数字十大小写字母组合 5.2.2.2.5审计 5.2.2.2.5.1审计数据生成网络隔离产品安全功能应能对下列可审计事件生成一个审计记录,包括事件发生的日期和时间,事件的类型,主体身份和成功或失败事件等信息 a审计功能的启动和关闭; b 任何对审计记录进行操作的尝试,包括关闭审计功能或子系统,以及受影响客体的标识 c 任何读取、修改,破坏审计记录的尝试 d)所有对隔离产品规则覆盖的客体(内部或外部网络上的主机)执行操作的请求,以及受影响客体的标识; 修改安全属性的所有尝试,以及修改后安全属性的新值所有使用安全功能中鉴别数据管理机制的请求; g)所有访问鉴别数据的请求,以及访问请求的目标任何对鉴别机制的使用所有使用标识机制的尝试所有对安全功能配置参数的修改(设置和更新),无论成功与否,以及配置参数的新值; 因鉴别尝试不成功的次数超出了设定的限制,导致的会话连接终止,以及会话连接使用的标识符 5.2.2.2.5.2安全审计分析网络隔岗产品安全功能应提供以下统计分析功能所有隔离产品规则覆盖的主体(内部或外部网络上的主机)对客体执行操作时使用的应用分类 a 统计; 网络陌岗产品总应用诫量,每个应用类别流量的统计 b c 网络隔离产晶CPU,内存、磁盘占用率的统计; d)在线用户列表及在线用户时长的统让 14
GB/T20279一2015 5.2.2.2.5.3用户身份关联网络隔离产品安全功能应能将每个可审计事件与引起该事件的用户身份相关联 5.2.2.2.5.4审计记录管理网络隔离产品安全功能应使授权管理员能存档、删除和清空审计记录 5.2.2.2.5.5可理解的格式网络隔离产品安全功能应使存储于永久性审计记录中的所有审计数据可为人所理解 5.2.2.2.5.6限制审计记录访问网络隔离产品安全功能应仅允许授权管理员访问审计记录可选择查阅审计 5.2.2.2.5.7 网络隔离产品安全功能应提供能按主体ID客体ID,日期,时间以及这些参数的逻辑组合等参数对审计数据进行查找和排序的审计查阅工具 5.2.2.2.5.8防止审计数据丢失对因故障或存储耗竭而导致审计数据丢失的最大审计存储容量,网络隔离产品的开发者应提供相应的分析结果并且网络隔离产品安全功能应把生成的审计记录储存于一个永久性的审计记录中,并应限制由于故障和攻击造成的审计 a 事件丢失的数量 -旦审计存储容量达到事先规定的警戒值,应能发出警告信息,并保证在授权管理员所采取的 b 审计行为以外,防止其他可审计行为的出现 5.2.2.2.6域隔离 5.2.2.2.6.1基本的域隔离为保护网络隔离产品安全功能免遭不可信主体(内部或外部网络上的主机)的干扰和篡改,网络隔离产品安全功能应为其自身的执行环境设定一个安全区域,并把网络隔离产品控制范围内的各个主体内部或外部网络上的主机)的安全区域分隔开 5.2.2.2.6.2增强的域隔离为保护网络隔离产品安全功能免遭不可信主体(内部或外部网络上的主桃)的干扰和篡改,网络惭离产品安全功能应为其自身的行环境设定一个安全区域,该安全区域被标记为高安全等级,授权管理员以及网络隔离产品所覆盖的所有主体内部或外部网络上的主机)授权后只能读取该区域存储的文件、程序,不能进行删除和修改,采用强制访问控制策略,授权管理员无法修改访问策略 5.2.2.2.7容错 5.2.2.2.7.1基本的容错网络隔离产品应具有主备模式的容错能力,当一台主机因电源,CPU等硬件出现故障或软件错误导致异常时,容错功能将当前安全服务功能自动切换到另一台备机上继续运行,保证安全功能的可用性 15
GB/T20279一2015 5.2.2.2.7.2增强的容错网络隔离产品应具有主主模式的容错能力,两台主机同时对内部和外部网络提供安全服务功能,当台主机闪电源CPU邻硬件出现故障或软件错误导致异常时,另-台主机继鳞提供安全服务功能,保 i证安全功能的可用性 5.2.2.2.8数据完整性网络隔离产品安全功能应保护储存于设备中的鉴别数据和信息传输策略不受未授权查阅、修改和破坏 5.2.2.2.9密码支持网络隔离产品安全功能应保证其所提供的与密码算法相关功能符合国家密码主管部门的有关规定 5.2.3网络单向导入产品 5.2.3.1基本级要求 5.2.3.1.1 访问控制 5.2.3.1.1.1信息流控制策略网络单向导人产品应将数据发送方网络信息流剥离协议,重新封装后单向导人信息接收方网络目的主机 5.2.3.1.1.2基本的信息流控制功能网络单向导人产品的安全功能策略应能够执行以下基本的信息流控制功能,提供明确的访问保障能力和拒绝访问能力包括通过配置单向同步任务的安全属性值,实现明确的源数据向目标数据的单向导人,缺省情况 a 下,网络单向导人产品拒绝任何数据的单向导人; 信息流所包含的源主机IP地址、目的主机IP地址、服务类型不匹配单向同步任务安全属性值的,明确拒绝访问; 对单向导人的数据内容进行病毒扫描,阻断含病毒数据的导人 d)对单向导人的数据内容进行关键字检查,阻断非法数据的导人; 对发送和接收数据流的主体进行身份鉴别,防止非法数据访问支持文件单向导人、数据库单向导人等服务类型 fD 5.2.3.1.1.3单向传输保证网络单向导人产品安全功能应通过物理方式构造信息单向传输的唯一通道,实现信息单向导人,即信息只能由一个安全域向另一个安全域传输,并且保证反方向无任何信息传输或反馈单向传输部件数据发送单元只具有单一的数据发送功能,数据接收单元只具有单一的数据接收功能,不存在可能导致物理特性改变的软、硬件 5.2.3.1.1.4残余信息保护网络单向导人产品在为新创建的单向同步任务分配资源时,安全功能应保证其分配的资源中不提 16
GB/T20279一2015 供以前单向同步任务所产生的任何信息内容 5.2.3.1.1.5不可旁路在与安全有关的操作(例如安全属性的修改、同步任务的建立等)被允许执行之前,网络单向导人产品安全功能应确保其通过安全策略的检查 5.2.3.1.1.6数据完整性保证网络单向导人产品应具备数据单向导人过程的完整性保护功能,在没有任何反馈信息的前提下,保证单向导人的数据完整性 5.2.3.1.2抗攻击网络单向导人产品应能够抵御各种Dos/DDoS攻击,应能够识别和防御sYNFlood,ICMPFlood 等攻击安全管理 5.2.3.1.3 5.2.3.1.3.1区分安全管理角色网络单向导人产品安全功能 a)应将与安全相关的管理功能与其他功能区分开; b)应包括安装、配置和管理网络单向导人产品安全功能本身所需的所有功能,其中至少应包括增加和删除主体(发送信息的主机)和客体(接受信息的主机),查阅安全属性,分配、修改和撤销安全属性,查阅和管理审计数据应把执行与安全相关的管理功能的能力限定为一种安全管理职责,该职责具有一套特别授权的功能和响应的责任; d)应能把授权执行管理功能的授权管理员与使用隔离部件的所有其他个人或系统分开; 应仅允许授权管理员承担安全管理职责应在提出一个明确的请求以后,才会让授权管理员承担安全管理职责 fD 5.2.3.1.3.2管理功能网络单向导人产品安全功能应向授权管理员提供如下管理功能 a)设置和更新与安全相关的数据 b) 能执行网络单向导人产品的初始化、系统启动和关闭、备份和恢复功能,备份能力应有自动工具的支持能设置双机热备等可用性参数; c 若支持远程管理,则应: d 能限制可进行远程管理的地址; 1 能通过加密来保护远程管理会话 2 5.2.3.1.3.3独立管理接口网络单向导人产品应使用与通讯接口相互独立的管理接口与授权管理员连接,授权管理员经过身份鉴别后,采用多因素身份鉴别和加密方式建立授权管理员与网络隔离产品间的可信路径,禁止其他用户非授权访问管理接口 17
GB/T20279一2015 5.2.3.1.4标识和鉴别 5.2.3.1.4.1安全属性定义对于每一个授权管理员,网络单向导人产品安全功能应为其提供一套唯一的,为了执行安全功能策略提供的必须的安全属性,包括但不限于设备网络参数;包括接口地址、网关地址等 a b 设备接口属性;接口类型例如管理接口,通信接口),接口速率等; 安全管理参数;管理控制台地址、管理方式例如SSH、sSL)等; d) 安全参数;最大鉴别失败次数,管理空闲超时; e)外部可信IT产品参数配置;包括时间同步服务器参数、日志服务器参数等; O 系统参数;日志存储空间大小,设备名称等; g)用户角色属性;授权管理员、授权审计员、授权用户等 h)用户管理属性;用户名、用户角色、用户口令等 5.2.3.1.4.2属性初始化网络单向导人产品安全功能应提供使用默认值对授权管理员和主机属性初始化的功能 5.2.3.1.4.3属性修改网络单向导人产品安全功能应仅向授权管理员提供修改下述(包括但不限于)参数的功能标识与角色(例如;配置管理员等)的关系; a b)主体(数据采集方)和客体(数据接收方)的安全属性值; 配置的安全参数(例如;最大鉴别失败次数等数据 5.2.3.1.4.4属性查询网络单向导人产品安全功能应仅向授权管理员提供以下查询功能 a)标识和角色的关系; 主体(数据采集方)和客体(数据接收方)的安全属性值 b 配置的各安全参数 5.2.3.1.4.5鉴别数据初始化网络单向导人产品安全功能应根据规定的鉴别机制,提供授权管理员鉴别数据的初始化功能,并确保仅允许授权管理员使用这些功能 5.2.3.1.4.6鉴别时机在所有授权管理员请求执行的任何操作之前,网络单向导人产品安全功能应确保对每个授权管理员进行身份鉴别 5.2.3.1.4.7最少反馈当进行鉴别时,网络单向导人产品安全功能应仅将最少的反馈提供给用户 5.2.3.1.4.8鉴别失败处理在经过一定次数的鉴别失败以后,网络单向导人产品安全功能应能终止进行登录尝试主机建立会 18
GB/T20279一2015 话的过程最多失败次数仅由授权管理员设定 5.2.3.1.4.9超时重鉴别网络单向导人产品应具有登录超时锁定或注销功能在设定的时间段内没有任何操作的情况下终止会话,需要再次进行身份鉴别才能够重新操作最大超时时间仅由授权管理员设定 5.2.3.1.4.10抗重放网络单向导人产品的鉴别机制应具有抗重放的能力,授权管理员及其他用户不能复制使用上一次通过的鉴别信息再次鉴别成功 5.2.3.1.4.11保护的鉴别反馈网络单向导人产品的授权管理员在鉴别过程中输人的口令等敏感信息应以不可见和不可推理的形式显示在鉴别信息的登录输人界面中 5.2.3.1.5审计 5.2.3.1.5.1 审计数据生成网络单向导人产品安全功能应能对下列可审计事件生成审计记录,包括事件发生的日期和时间,事件的类型,主体身份和成功或失败事件 a)审计功能的启动和关闭; b 任何对审计记录进行操作的尝试,包括关闭审计功能或子系统,以及受影响客体的标识; 任何读取、修改,破坏审计记录的尝试 c d 所有对访问授权与拒绝规则覆盖的主体执行操作的请求,以及受影响客体的标识; 修改安全属性的所有尝试,以及修改后安全属性的新值; 所有使用安全功能中鉴别数据管理机制的请求; 所有访问鉴别数据的请求,以及访问请求的目标; h 任何对鉴别机制的使用; 所有使用标识机制的尝试; 所有对安全功能配置参数的修改(设置和更新),无论成功与否,以及配置参数的新值 5.2.3.1.5.2用户身份关联网络单向导人产品安全功能应能将每个可审计事件与引起该事件的用户身份相关联 5.2.3.1.5.3审计记录管理网络单向导人产品安全功能应使授权管理员能存档、删除和清空审计记录 5.2.3.1.5.4可理解的格式网络单向导人产品安全功能应使存储于永久性审计记录中的所有审计数据可为人所理解 5.2.3.1.5.5限制审计记录访问网络单向导人产品安全功能应仅允许授权管理员访问审计记录 5.2.3.1.5.6可选择查阅审计网络单向导人产品安全功能应提供能按主体ID(标识符)客体ID、日期、时间以及这些参数的逻辑 19
GB/T20279一2015 组合等参数对审计数据进行查找和排序的审计查阅工具 5.2.3.1.5.7防止审计数据丢失对因故障或存储耗竭而导致审计数据丢失的最大审计存储容量,网络单向导人产品的开发者应提供相应的分析结果,并且网络单向导人产品安全功能应把生成的审计记录储存于一个永久性的审计记录中,并应限制由于故障和攻击造成的审计事件丢失的数量 5.2.3.1.6域隔离为保护网络单向导人产品安全功能免遭不可信主体(内部或外部网络上的主机)的干扰和篡改,网络单向导人产品安全功能应为其自身的执行环境设定一个安全区域,并把网络单向导人产品控制范围内的各个主体(内部或外部网络上的主机)的安全区域分隔开 5.2.3.1.7配置数据保护网络单向导人产品安全功能应保护储存于设备中的鉴别数据和信息传输策略不受未授权查阅、修改和破坏 5.2.3.1.8运行状态监测网络单向导人产品安全功能应能够实时监测单向导人产品内外网主机的状态,比如cPU使用率、内存占用率、存储空间等 5.2.3.2增强级要求 5.2.3.2.1访问控制 5.2.3.2.1.1信息流控制策略网络单向导人产品应将数据发送方网络信息流剥离协议,重新封装后单向导人信息接收方网络目的主机 5.2.3.2.1.2基本的信息流控制功能网络单向导人产品的安全功能策略应能够执行以下基本的信息流控制功能,提供明确的访问保障能力和拒绝访问能力包括: 通过配置单向同步任务的安全属性值,实现明确的源数据向目标数据的单向导人,缺省情况下,网络单向导人产品拒绝任何数据的单向导人: b 信息流所包含的源主机IP地址、目的主机IP地址、服务类型不匹配单向同步任务安全属性值的,明确拒绝访问; c 对单向导人的数据内容进行病毒扫描,阻断含病毒数据的导人; d) 对单向导人的数据内容进行关键字检查,阻断非法数据的导人; 对发送和接收数据流的主体进行身份鉴别,防止非法数据访问; e f 支持文件单向导人、数据库单向导人等服务类型 5.2.3.2.1.3增强的信息流控制功能网络单向导入产品的安全功能策略应能够执行以下增强的信息流控制功能,提供明确的访问保障能力和拒绝访问能力包括: 解析多种数据编码格式,识别文件中是否包含非文本型数据,并根据授权管理员配置的安全策 2o0
GB/T20279一2015 略进行阻断或放行; b)支持文件单向导入、数据库单向导入、邮件单向导入和代理接收单向导入等服务类型: 根据预设的时间周期性定时完成数据的单向导入 5.2.3.2.1.4单向传输保证网络单向导人产品应通过物理方式构造信息单向传输的唯一通道,实现信息单向导人,即信息只能由一个安全域向另一个安全域传输,并且保证反方向无任何信息传输或反馈单向传输部件数据发送单元只具有单一的数据发送功能,数据接收单元只具有单一的数据接收功能,不存在可能导致物理特性改变的软,硬件 5.2.3.2.1.5强制访问控制网络单向导入产品应能根据单向同步E务的类型构建一个强制访问控制型,安全功能应能识别用户和应用数据的敏感标记,根据标记执行强制访问控制策略 5.2.3.2.1.6残余信息保护网络单向导人产品在为新创建的单向同步任务分配资源时,安全功能应保证其分配的资源中不提供以前单向同步任务所产生的任何信息内容 5.2.3.2.1.7不可旁路在与安全有关的操作(例如安全属性的修改、同步任务的建立等)被允许执行之前,应确保其通过安全策略的检查 5.2.3.2.1.8数据完整性保证网络单向导人产品应具备数据单向导人过程的完整性保护,在没有任何反馈信息的前提下,保证单向导人的数据完整性 5.2.3.2.2抗攻击网络单向导人产品应能够抵御各种Dos/DDoS攻击,应能够识别和防御sYNFlood,ICMPFlood 等攻击 5.2.3.2.3安全管理区分安全管理角色 5.2.3.2.3.1 网络单向导人产品安全功能 a)应将与安全相关的管理功能与其他功能区分开 b)应包括安装、配置和管理网络单向导人产品安全功能本身所需的所有功能,其中至少应包括增加和删除主体(发送信息的主机)和客体(接受信息的主机),查阅安全属性,分配、修改和撤销安全属性,查阅和管理审计数据; 应把执行与安全相关的管理功能的能力限定为一种安全管理职责,该职责具有一套特别授权的功能和响应的责任; 应能把授权执行管理功能的授权管理员与使用隔离部件的所有其他个人或系统分开; 应仅允许授权管理员承担安全管理职责应在提出一个明确的请求以后,才会让授权管理员承担安全管理职责 21
GB/T20279一2015 5.2.3.2.3.2管理功能网络单向导人产品安全功能应向授权管理员提供如下管理功能设置和更新与安全相关的数据 a b)能执行网络单向导人产品的初始化、系统启动和关闭、备份和恢复功能,备份能力应有自动工具的支持，能设置双机热备等可用性参数; d若支持远程管理,则应 1)能限制可进行远程管理的地址; 2)能通过加密来保护远程管理会话 5.2.3.2.3.3独立管理接口网络单向导人产品应使用与通讯接口相互独立的管理接口与授权管理员连接,授权管理员经过身份鉴别后,采用多因素身份鉴别和加密方式建立授权管理员与网络隔离产品间的可信路径,禁止其他用户非授权访问管理接口 5.2.3.2.4标识和鉴别敏感标记 5.2.3.2.4.1 网络单向导入产品安全功能应能维护用户和应用数据的敏感标记,并根据标记执行强访问控制 5.2.3.2.4.2安全属性定义对于每一个授权管理员,网络单向导人产品安全功能应为其提供一套唯一的,为了执行安全功能策略提供的必须的安全属性,包括但不限于设备网络参数;包括接口地址、网关地址等; a 设备接口属性;接口类型(例如,管理接口,通信接口)接口速率等 b 安全管理参数;管理控制台地址、管理方式(例如:ssH,ssL)等; 安全参数;最大鉴别失败次数、管理空闲超时 D 外部可信IT产品参数配置;包括时间同步服务器参数、日志服务器参数等; e 系统参数;日志存储空间大小,设备名称等; g)用户角色属性;授权管理员、授权审计员、授权用户等 h 用户管理属性;用户名,用户角色、用户口令等 5.2.3.2.4.3属性初始化网络单向导人产品安全功能应提供用默认值对授权管理员和主机属性初始化的功能 5.2.3.2.4.4属性修改网络单向导人产品安全功能应仅向授权管理员提供修改下述(包含但不仅限于)参数的功能 a)标识与角色(例如:配置管理员等)的关系 b) 主体(数据采集方)和客体(数据接收方)的安全属性值; c 配置的安全参数(例如;最大鉴别失败次数等数据 5.2.3.2.4.5属性查询网络单向导人产品安全功能应仅向授权管理员提供以下查询 22
GB/I20279一2015 标识和角色的关系; a b)主体(数据采集方)和客体(数据接收方)的安全属性值; 配置的各安全参数 5.2.3.2.4.6鉴别数据初始化网络单向导人产品安全功能应根据规定的鉴别机制提供授权管理员鉴别数据的初始化功能,并确保仅允许授权管理员使用这些功能 5.2.3.2.4.7鉴别时机在所有授权管理员请求执行的任何操作之前,网络单向导人产品安全功能应确保对每个授权管理员进行身份鉴别 5.2.3.2.4.8最少反馈当进行鉴别时,网络单向导人产品安全功能应仅将最少的反馈提供给用户 5.2.3.2.4.9鉴别失败处理在经过一定次数的鉴别失败以后,网络单向导人产品安全功能应能终止进行登录尝试主机建立会话的过程最多失败次数仅由授权管理员设定 5.2.3.2.4.10超时重鉴别网络单向导人产品安全功能应具有登录超时锁定或注销功能在设定的时间段内没有任何操作的情况下,网络单向导人产品安全功能应终止会话,需要再次进行身份鉴别才能够重新操作最大超时时间仅由授权管理员设定多鉴别机制 5.2.3.2.4.11 网络单向导入产品安全功能应提供两种或两种以上的鉴别机制,以支持当发送方网络主体通过刚络单向导入产点内置的信息流接收服务发送数据到接收方刚络的情况下的用户多重身份鉴别 5.2.3.2.4.12抗重放网络单向导人产品的鉴别机制应具有抗重放的能力,授权管理员及其他用户不能复制使用上一次通过的鉴别信息再次鉴别成功 5.2.3.2.4.13保护的鉴别反馈网络单向导人产品的授权管理员在鉴别过程中输人的口令等敏感信息应以不可见和不可推理的形式显示在鉴别信息的登录输人界面中 5.2.3.2.4.14口令强度网络单向导入产M应采用目令校验机制对授权管理员生成的1令复杂度进行检查,口令州度应保 i证口令长度大于6位,口令类型为数字十大小写字母组合 5.2.3.2.5审计 5.2.3.2.5.1审计数据生成网络单向导人产品安全功能应能对下列可审计事件生成审计记录,包括事件发生的日期和时间,事 23
GB/T20279一2015 件的类型,主体身份和成功或失败事件 a)审计功能的启动和关闭; 任何对审计记录进行操作的尝试,包括关闭审计功能或子系统,以及受影响客体的标识 b 任何读取、修改,破坏审计记录的尝试 c) dD 所有对访问授权与拒绝规则覆盖的主体执行操作的请求,以及受影响客体的标识:; 修改安全属性的所有尝试,以及修改后安全属性的新值; 所有使用安全功能中鉴别数据管理机制的请求; 所有访问鉴别数据的请求,以及访问请求的目标 g 任何对鉴别机制的使用所有使用标识机制的尝试; 所有对安全功能配置参数的修改(设置和更新,无论成功与否,以及配置参数的新值 5.2.3.2.5.2用户身份关联网络单向导人产品安全功能应能将每个可审计事件与引起该事件的用户身份相关联 5.2.3.2.5.3审计记录管理网络单向导人产品安全功能应使授权管理员能存档,删除和清空审计记录 5.2.3.2.5.4可理解的格式网络单向导人产品安全功能应使存储于永久性审计记录中的所有审计数据可为人所理解 5.2.3.2.5.5限制审计记录访问网络单向导人产品安全功能应仅允许授权管理员访问审计记录 5.2.3.2.5.6可选择查阅审计网络单向导人产品安全功能应提供能按主体ID(标识符),客体ID、日期、时间以及这些参数的逻辑组合等参数对审计数据进行查找和排序的审计查阅工具 5.2.3.2.5.7防止审计数据丢失对因故障或存储耗竭而导致审计数据丢失的最大审计存储容量,网络单向导人产品的开发者应提供相应的分析结果,并且网络单向导人产品安全功能应把生成的审计记录储存于一个永久性的审计记录中,并应限制由于故障和攻击造成的审计事件丢失的数量 5.2.3.2.6域隔离基本的域隔离 5.2.3.2.6.1 为保护网络单向导人产品安全功能免遭不可信主体(内部或外部网络上的主机)的干扰和篡改,网络单向导人产品安全功能应为其自身的执行环境设定一个安全区域,并把网络单向导人产品控制范围内的各个主体(内部或外部网络上的主机)的安全区域分隔开 5.2.3.2.6.2增强的域隔离为保护网络陌离产品安金功能免遭不可信主体(内部或外部网络上的主机)的干扰和墓改,网络单向导入产晶安全功能应为其自身的执行环境设定一个安全区域,采用强制访问控制策略,该安全区域被 2
GB/T20279一2015 标记为高安全等级,授权管理员以及网络单向导入产品所覆盖的所有主体(内部或外部网络上的主机授权后只能读取该区域存储的文件、程序,不能进行删除和修改,授权管理员无法修改访问策略 5.2.3.2.7容错网络单向导入产品应具有主备模式的容错能力,当一台主机因电源,CPU等硬件出现故障或软件错误导致异常时,容错功能将当前安全服务功能自动切换到另一台备桃上继续运行保证安全功能的可用性 5.2.3.2.8配置数据保护网络单向导人产品安全功能应保护储存于设备中的鉴别数据和信息传输策略不受未授权查阅修改和破坏 5.2.3.2.9运行状态监测网络单向导人产品安全功能应能够实时监测单向导人产品内外网主机的状态,比如CPU使用率、内存占用率,存储空间等 5.3安全保证要求 5.3.1基本级要求 5.3.1.1配置管理 5.3.1.1.1 版本号开发者应为产品的不同版本提供唯一的标识 5.3.1.1.2配置项开发者应使用配置管理系统并提供配置管理文档配置管理文档应包括一个配置清单,配置清单应唯一标识组成产品的所有配置项并对配置项进行描述,还应描述对配置项给出唯一标识的方法,并提供所有的配置项得到有效维护的证据 5.3.1.2交付与运行 5.3.1.2.1交付程序开发者应使用一定的交付程序交付产品,并将交付过程文档化在给用户方交付产品的各版本时,交付文档应描述为维护安全所必需的所有程序 5.3.1.2.2安装、生成和启动程序开发者应提供文档说明产品的安装、生成和启动的过程 5.3.1.3开发 5.3.1.3.1非形式化功能规格说明开发者应提供一个功能规格说明,功能规格说明应满足以下要求使用非形式化风格来描述产品安全功能及其外部接口; a b)是内在一致的; 25
GB/T20279一2015 描述所有外部接口的用途与使用方法,适当时应提供效果、例外情况和错误消息的细节; d)完备地表示产品安全功能 5.3.1.3.2描述性高层设计开发者应提供产品安全功能的高层设计,高层设计应满足以下要求 a)表示应是非形式化的; b)是内在一致的; o按子系统描述安全功能的结构 d)描述每个安全功能子系统所提供的安全功能性标识安全功能所要求的任何基础性的硬件、固件或软件,以及在这些硬件、固件或软件中实现的支持性保护机制所提供功能的一个表示: 标识安全功能子系统的所有接口; g标识安全功能子系统的哪些接口是外部可见的非形式化对应性证实 5.3.1.3.3 开发者应提供产品安全功能表示的所有相邻对之间的对应性分析对于产品安全功能所表示的每个相邻对,分析应阐明,较为抽象的安全功能表示的所有相关安全功能,应在较具体的安全功能表示中得到正确且完备地细化 5.3.1.4指导性文档 5.3.1.4.1管理员指南开发者应提供管理员指南,管理员指南应与为评估而提供的其他所有文档保持一致管理员指南应说明以下内容: 管理员可使用的管理功能和接口; b)怎样安全地管理产品; 在安全处理环境中应被控制的功能和权限 C d所有对与产品的安全操作有关的用户行为的假设; 所有受管理员控制的安全参数,如果可能,应指明安全值; e 每一种与管理功能有关的安全相关事件,包括对安全功能所控制实体的安全特性进行的改变 g 所有与管理员有关的IT环境安全要求用户指南 5.3.1.4.2 开发者应提供用户指南,用户指南应与为评估而提供的其他所有文档保持一致用户指南应说明以下内容 a)产品的非管理员用户可使用的安全功能和接口; b)产品提供给用户的安全功能和接口的使用方法; 用户可获取但应受安全处理环境所控制的所有功能和权限; c d产品安全操作中用户所应承担的职责; 与用户有关的IT环境的所有安全要求 5.3.1.5测试 5.3.1.5.1测试覆盖开发者应提供测试覆盖的证据 26
GB/T20279一2015 在测试覆盖证据中,应表明测试文档中所标识的测试与功能规格说明中所描述的产品的安全功能是对应的 5.3.1.5.2功能测试开发者应测试安全功能.将结果文档化并提供测试文档测试文档应包括以下内容: a)测试计划,应标识要测试的安全功能,并描述测试的目标， b) 测试过程,应标识要执行的测试,并描述每个安全功能的测试概况,这些概况应包括对于其他测试结果的顺序依赖性预期的测试结果,应表明测试成功后的预期输出 c d实际测试结果,应表明每个被测试的安全功能能按照规定进行运作 5.3.1.5.3独立测试 5.3.1.5.3.1 -致性开发者应提供适合测试的产品.提供的测试集合应与其自测产品功能时使用的测试集合相一致 5.3.1.5.3.2抽样开发者应提供一组相当的资源,用于安全功能的抽样测试 5.3.1.6脆弱性评定 5.3.1.6.1产品安全功能强度评估开发者应对指导性文档中所标识的每个具有安全功能强度声明的安全机制进行安全功能强度分析,并说明安全机制达到或超过定义的最低强度级别或特定功能强度度量 5.3.1.6.2开发者脆弱性分析开发者应执行脆弱性分析,并提供脆弱性分析文档开发者应从用户可能破坏安全策略的明显途径出发,对产品的各种功能进行分析并提供文档对被确定的脆弱性,开发者应明确记录采取的措施对每一条脆弱性,应有证据显示在使用产品的环境中,该脆弱性不能被利用 5.3.2增强级要求 5.3.2.1配置管理 5.3.2.1.1部分配置管理自动化配置管理系统应提供一种自动方式来支持产品的生成,通过该方式确保只能对产品的实现表示进行已授权的改变配置管理计划应描述在配置管理系统中所使用的自动工具,并描述在配置管理系统中如何使用自动工具 5.3.2.1.2配置管理能力 5.3.2.1.2.1版本号开发者应为产品的不同版本提供唯一的标识 27

信息安全技术网络和终端隔离产品安全技术要求GB/T20279-2015

信息安全是当前社会面临的重要问题之一，在数字化时代，各种信息系统中大量敏感数据的存在使得信息安全保护变得越来越重要。网络和终端隔离技术作为信息安全领域的一种重要手段，其安全技术要求也成为了关注的焦点。GB/T20279-2015是我国网络和终端隔离产品安全技术标准，本文将结合该标准，为您详细介绍网络和终端隔离产品的安全技术要求。

安全技术的定义

GB/T20279-2015标准中，网络和终端隔离产品的安全技术指产品设计的安全功能和实现方式。该标准针对网络和终端隔离产品的安全需求，分类定义了三种安全技术等级：

一级安全技术：指能够满足基本安全要求，确保产品可以抵御常见攻击。
二级安全技术：指能够满足基本安全要求的基础上，提供更高级别的安全功能，增强产品的免疫能力，并且具有一定的应对危险威胁的能力。
三级安全技术：指能够满足基本安全要求和高级安全要求，在保障系统高效运作的同时，拥有最完善的安全功能，可以有效地抵御各种高级攻击和恶意代码的威胁。

对应的安全技术措施

针对三种不同等级的安全技术，GB/T20279-2015标准中也规定了相应的安全技术措施，其中包括以下内容：

一级安全技术：采用基本的防护技术和安全措施，如隔离、访问控制、防病毒等。
二级安全技术：在一级安全技术的基础上，增加了安全监控、异常检测、应急响应等高级安全措施。
三级安全技术：在二级安全技术的基础上，进一步提升了安全性能和防护能力，并加强了安全自我保护和恢复能力。

实现要求

GB/T20279-2015标准中还规定了网络和终端隔离产品安全技术实现的要求，主要包括以下内容：

采用安全可靠的设计方式。
采用安全的开发方法和流程，确保软件安全可靠。
支持信息安全事件的记录与分析，进行安全事件的追溯与溯源。
提供安全管理控制台，方便管理员对产品进行安全管理和操作。
加强对用户数据的保护，确保用户数据不被泄露。

通过GB/T20279-2015标准中对网络和终端隔离产品安全技术要求的定义、分级以及对应的安全技术措施和实现要求等方面的规定，可以有效地保障信息系统的安全，并为网络和终端隔离产品的研发提供了科学的指导和标准化的参考，从而推动信息安全领域的发展。

信息安全技术网络和终端隔离产品安全技术要求的相关资料

和信息安全技术网络和终端隔离产品安全技术要求类似的标准

GB/T20008-2005

信息安全技术操作系统安全评估准则

2022/11/1 21:19:55 现行

GB/T20282-2006

信息安全技术信息系统安全工程管理要求

2022/11/4 23:34:29 现行

GB/T20274.1-2006

信息安全技术信息系统安全保障评估框架第一部分：简介和一般模型

2022/11/4 22:58:45 现行

GB/T20271-2006

信息安全技术信息系统通用安全技术要求

2022/11/4 22:40:21 现行

GB/T20270-2006

信息安全技术网络基础安全技术要求

2022/11/4 22:21:58 现行

GB/T20269-2006

信息安全技术信息系统安全管理要求

2022/11/4 22:03:36 现行

GB/T20984-2007

信息安全技术信息安全风险评估规范

2022/11/3 3:32:13 现行

GB/T21054-2007

信息安全技术公钥基础设施PKI系统安全等级保护评估准则

2022/11/2 14:25:19 现行

GB/T21053-2007

信息安全技术公钥基础设施PKI系统安全等级保护技术要求

2022/11/2 14:06:56 现行

GB/T21052-2007

信息安全技术信息系统物理安全技术要求

2022/11/2 13:48:21 现行

GB/T20274.4-2008

信息安全技术信息系统安全保障评估框架第4部分：工程保障

2022/10/31 23:03:47 现行

GB/T20274.3-2008

信息安全技术信息系统安全保障评估框架第3部分：管理保障

2022/10/31 22:45:02 现行

GB/T24363-2009

信息安全技术信息安全应急响应计划规范

2022/10/24 20:35:57 现行

GB/T25062-2010

信息安全技术鉴别与授权基于角色的访问控制模型与管理规范

2022/10/30 3:45:32 现行

GB/T25069-2010

信息安全技术术语

2022/10/30 1:33:47 现行

2022/11/7 0:04:54 现行

2022/11/6 21:58:59 现行

GB/T3873-1983

通信设备产品包装通用技术条件

2022/11/6 18:50:57 现行

GB/T3971.3-1983

电话自动交换网多频记发器信号技术指标测试方法

2022/11/6 18:19:38 现行

GB/T4653-1984

红外辐射涂料通用技术条件

2022/11/6 17:20:28 现行

GB/T6001-1985

育苗技术规程

2022/11/6 15:59:58 现行

GB/T5444-1985

电话自动交换网用户信号技术指标测试方法

2022/11/6 15:01:35 现行

GB/T5443-1985

电话自动交换网铃流和信号音技术指标测试方法

2022/11/6 14:55:45 现行

2022/11/7 1:21:53 现行

2022/11/9 4:45:44 现行

2022/11/6 23:35:35 现行

GB/T7518-2005

缩微摄影技术在35mm卷片上拍摄古籍的规定

2022/11/6 23:27:45 现行

GB/T7713-1987

科学技术报告、学位论文和学术论文的编写格式

2022/11/6 23:09:37 现行

GB/T8542-1987

透平齿轮传动装置技术条件

2022/11/6 10:09:27 现行

GB/T10846-1989

船用磁罗经自动操舵仪通用技术条件

2022/11/6 4:54:21 现行

GB/T12401-1990

国内卫星通信地球站天线(含馈源网络)和伺服系统设备技术要求

2022/11/5 22:15:00 现行

GB/T17900-1999

网络代理服务器的安全技术要求

2022/11/3 8:48:08 现行

GB/T19263-2003

MPEG-2信号在SDH网络中的传输技术规范

2022/11/2 1:12:42 现行

GB/T20270-2006

信息安全技术网络基础安全技术要求

2022/11/4 22:21:58 现行

GB/T20299.4-2006

建筑及居住区数字化技术应用第4部分:控制网络通信协议应用要求

2022/11/4 18:14:32 现行

GB/T21644-2008

网络远程教育平台总体要求

2022/11/5 15:09:17 现行

GB/T21642.2-2008

基于IP网络的视讯会议系统设备技术要求第2部分:多点处理器（MP）

2022/11/5 14:52:47 现行

GB/T21642.1-2008

基于IP网络的视讯会议系统设备技术要求第1部分：多点控制器（MC）

2022/11/5 14:37:38 现行

GB/T21640-2008

基于IP网络的视讯会议系统设备互通技术要求

2022/11/5 13:59:49 现行

GB/T21639-2008

基于IP网络的视讯会议系统总技术要求

2022/11/5 13:40:47 现行

GB/T22421-2008

通信网络设备的回收处理要求

2022/10/29 2:43:17 现行

GB/T19760.1-2008

CC-Link控制与通信网络规范第1部分：CC-Link协议规范

2022/10/22 21:29:16 现行

GB/T19760.4-2008

CC-Link控制与通信网络规范第4部分：CC-Link/LT协议规范

2022/10/22 20:08:03 现行

GB/T19760.3-2008

CC-Link控制与通信网络规范第3部分：CC-Link行规

2022/10/22 19:49:55 现行

GB/T19760.2-2008

CC-Link控制与通信网络规范第2部分：CC-Link实现

2022/10/22 19:31:40 现行

GB/T20279-2015

信息安全技术网络和终端隔离产品安全技术要求

2022/10/28 4:28:47 现行

GB/T20277-2015

信息安全技术网络和终端隔离产品测试评价方法

2022/10/28 4:07:42 现行

GB/T384-1981

石油产品热值测定法

2022/11/6 21:28:40 现行

GB/T3143-1982

液体化学产品颜色测定法(Hazen单位--铂-钴色号)

2022/11/6 20:42:20 现行

GB/T3873-1983

通信设备产品包装通用技术条件

2022/11/6 18:50:57 现行

GB/T2007.2-1987

散装矿产品取样、制样通则手工制样方法

2022/11/6 10:30:30 现行

GB/T2007.3-1987

散装矿产品取样、制样通则评定品质波动试验方法

2022/11/6 10:15:55 现行

2022/11/6 8:41:50 现行

2022/11/6 4:19:09 现行

电工电子产品环境参数测量方法振动数据处理和归纳

2022/11/5 23:26:39 现行

2022/11/4 8:37:46 现行

2022/11/4 2:03:42 现行

2022/11/6 21:14:38 现行

GB/T15626-1995

散装液体化工产品港口装卸技术要求

2022/11/5 13:39:57 现行

GB/T16533-1996

多孔陶瓷产品通用技术条件

2022/11/4 19:03:56 现行

GB/T16569-1996

畜禽产品消毒规范

2022/11/4 18:19:23 现行

GB/T16731-1997

建筑吸声产品的吸声性能分级

2022/11/4 15:18:43 现行

GB/T17900-1999

网络代理服务器的安全技术要求

2022/11/3 8:48:08 现行

GB10395.12-2005采

农林拖拉机和机械安全技术要求第12部分：便携式动力绿篱修剪机

2022/11/1 22:01:53 现行

GB10395.7-2006采

农林拖拉机和机械安全技术要求第7部分：联合收割机、饲料和棉花收获机

2022/11/1 5:41:54 现行

GB10395.6-2006采

农林拖拉机和机械安全技术要求第6部分：植物保护机械

2022/11/1 5:36:18 现行

GB/T20271-2006

信息安全技术信息系统通用安全技术要求

2022/11/4 22:40:21 现行

GB/T20270-2006

信息安全技术网络基础安全技术要求

2022/11/4 22:21:58 现行

GB10395.15-2006采

农林拖拉机和机械　安全技术要求　第15部分：配刚性切割装置的动力修边机

2022/11/4 11:43:31 现行

GB10395.14-2006采

农林拖拉机和机械　安全技术要求　第14部分：动力粉碎机和切碎机

2022/11/4 11:24:32 现行

GB10395.10-2006采

农林拖拉机和机械安全技术要求第10部分：手扶微型耕耘机

2022/11/4 11:12:07 现行

GB20906-2007采

压铸单元安全技术要求

2022/11/3 14:41:24 现行

GB/T21052-2007

信息安全技术信息系统物理安全技术要求

2022/11/2 13:48:21 现行

GB/T13386-2009

海洋营运船舶明火作业安全技术要求

2022/10/23 10:10:00 现行

GB/T24939-2010

三轮汽车自卸系统安全技术要求

2022/10/30 16:26:13 现行

GB/T24938-2010

低速货车自卸系统安全技术要求

2022/10/30 16:23:46 现行

GB/T29234-2012

基于公用电信网的宽带客户网络安全技术要求

2022/10/24 12:42:50 现行

GB/T20279-2015

信息安全技术网络和终端隔离产品安全技术要求

2022/10/28 4:28:47 现行

声明： 本站所有资源均来源于互联网，本站仅作为观摩学习的环境，将不对任何资源负法律责任。如果无意侵犯了您的权利，请及时发送邮件到“abc@gbbz.net”，本站会第一时间进行改正或删除处理，保证您的权利！本站资源仅供学习和参考，请勿用于商业用途，并请于下载后24小时内删除，否则产生的一切后果将由您承担！

GB/T20279-2015

信息安全技术网络和终端隔离产品安全技术要求

Informationsecuritytechnology—Securitytechnicalrequirementsofnetworkandterminalseparationproducts

以图片形式预览信息安全技术网络和终端隔离产品安全技术要求

信息安全技术网络和终端隔离产品安全技术要求

信息安全技术网络和终端隔离产品安全技术要求GB/T20279-2015

安全技术的定义

对应的安全技术措施

实现要求

信息安全技术网络和终端隔离产品安全技术要求的相关资料

和信息安全技术网络和终端隔离产品安全技术要求类似的标准

相关推荐

网络代理服务器的安全技术要求

信息安全技术信息系统安全保障评估框架第一部分：简介和一般模型

信息安全技术信息系统通用安全技术要求

信息安全技术网络基础安全技术要求

信息安全技术信息系统安全管理要求

标签