1、网络隔离产品检验规范ICS 35.240A 90GF公安部计算机信息系统安全产品质量监督检验中心检验规范MSTL_JGF_04-004 01012006信息安全技术网闸产品检验规范2006-01-01 发布2006-02-01 实施公安部计算机信息系统安全产品质量监督检验中心 发 布目 次MSTL_JGF_04-004 01012006前言 . II1 范围 . 12 规范性引用文件 . 13 术语和定义 . 14 产品安全功能要求 . 14.1 访问控制. 14.2 身份鉴别. 24.3 客体重用. 34.4 审计. 34.5 数据完整性. 35 产品安全保证要求 . 36 网闸安全功能的等
2、级划分 . 3IMSTL_JGF_04-004 01012006前 言为了规范全国网闸产品的开发与应用，保障公共信息网络安全，根据公安部公共信息网络安全监察局的要求，本规范对网闸产品提出了安全功能要求和保证要求，作为对其进行检测的依据。本规范由中华人民共和国公安部公共信息网络安全监察局批准。本规范起草单位：公安部计算机信息系统安全产品质量监督检验中心。公安部计算机信息系统安全产品质量监督检验中心负责对本规范的解释、提升和更改。II1 范围MSTL_JGF_04-004 01012006信息安全技术 网闸产品检验规范本规范规定了网闸产品的安全功能要求和安全保证要求。本规范适用于网闸产品的开发及检
3、测。2 规范性引用文件下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本标准。GB/T 18336.32001 信息技术 安全技术 信息技术安全性评估准则 第3部分：安全保证要求（idt ISO/IEC 15408-3:1999）3 术语和定义3.1 协议转换 protocol conversion在隔离产品中，协议转换的定义是协议的剥离和重建。在所属某一安全域的隔离产品一端，把基于网络的公共协议中
4、的应用数据剥离出来，封装为系统专用协议传递至所属其他安全域的隔离产品另一端，再进行一次协议剥离并用封装成需要的格式。3.2 信息摆渡 information ferry信息交换的一种方式，物理传输信道只在传输进行时存在。信息传输时，信息先由信息源所在安全域一端传输至中间缓存区域，同时物理断开中间缓存区域与信息目的所在安全域的连接；随后接通中间缓存区域与信息目的所在安全域的传输信道，将信息传输至信息目的所在安全域，同时在信道上物理断开信息源所在安全域与中间缓存区域的连接。3.3 网闸 net gate 该信息安全产品位于两个不同安全域之间，通过协议转换的手段，以信息摆渡的方式实现数据交换，且只有
5、被系统明确要求传输的信息可以通过。其信息流一般是通用应用服务。4 产品安全功能要求4.1 访问控制4.1.1 安全属性定义 对于每一个授权管理员、构成系统的信息传输与控制部件和主机，网闸安全功能应为其提供一套唯一的、为了执行安全功能策略所必需的安全属性。4.1.2 属性初始化网闸安全功能应提供用默认值对授权管理员和主机属性初始化的能力。4.1.3 属性修改网闸安全功能应仅向授权管理员提供修改下述（包含但不仅限于）参数的能力：标识与角色（例如：配置管理员等）的关系；a) 源地址、目的地址、传输层协议和请求的服务（例如：源端口号或目的端口号等访问控制属性）；b) 配置的安全参数（例如：最大鉴别失败
6、次数等数据）。1MSTL_JGF_04-004 010120064.1.4 属性查询网闸安全功能应仅向授权管理员提供以下查询：a) 源地址、目的地址、传输层协议和请求的服务（例如：源端口号或目的端口号等访问控制属性）；b) 通过网闸传送信息的主机信息。4.1.5 访问授权与拒绝 网闸安全功能应根据主体和客体的安全属性值源地址、目的地址、传输层协议和请求的服务（例如：源端口号或目的端口号）、应用层协议、应用层关键字等，提供明确的访问保障能力和拒绝访问能力。网闸还应对内外网数据传输链路进行物理上的时分切换，既内外网络在物理链路上不能同时与中间交换单元连通。4.1.6 不可旁路在与安全有关的操作（例
7、如安全属性的修改、内部网络主机向外部网络主机传送信息等）被允许执行之前，网闸安全功能应确保其通过安全功能策略的检查。4.1.7 区分安全管理角色网闸安全功能：a) 应将与安全相关的管理功能与其他功能区分开；b) 应包括安装、配置和管理隔离部件安全功能本身所需的所有功能，其中至少应包括：增加和删除主体（发送信息的主机）和客体（接受信息的主机），查阅安全属性，分配、修改和撤销安全属性，查阅和管理审计数据；c) 应把执行与安全相关的管理功能的能力限定为一种安全管理职责，该职责具有一套特别授权的功能和响应的责任；d) 应能把授权执行管理功能的授权管理员与使用隔离部件的所有其他个人或系统分开；e) 应仅
8、允许授权管理员承担安全管理职责；f) 应在提出一个明确的请求以后，才会让授权管理员承担安全管理职责。4.1.8 管理功能网闸安全功能应向授权管理员提供如下管理功能：a) 能设置和更新与安全相关的数据；b) 能执行隔离部件的安装及初始化、系统启动和关闭、备份和恢复的能力，备份能力应有自动工具的支持；c) 如果隔离部件安全功能支持外部或内部接口的远程管理，那么它应：1) 具有对两个接口或其中之一关闭远程管理的选择权；2) 能限制那些可进行远程管理的地址；3) 能通过加密来保护远程管理对话。4.2 身份鉴别4.2.1 鉴别数据初始化网闸安全功能应根据规定的鉴别机制，提供授权管理员鉴别数据的初始化功能
9、,并确保仅允许授权管理员使用这些功能。4.2.2 鉴别时机在所有授权管理员请求执行的任何操作之前，网闸安全功能应确保对每个授权管理员进行了身份鉴别。4.2.3 最少反馈当进行鉴别时，网闸安全功能应仅将最少的反馈提供给用户。4.2.4 鉴别失败处理 在经过一定次数的鉴别失败以后，网闸安全功能应能终止进行登录尝试主机建立会话的过程。最多2失败次数仅由授权管理员设定。4.3 客体重用MSTL_JGF_04-004 01012006在为所有内部或外部网上的主机连接进行资源分配时，隔离部件安全功能应保证不提供以前连接的任何信息内容。4.4 审计4.4.1 审计数据生成 网闸安全功能应能对下列可审计事件生
10、成一个审计记录：a) 审计功能的启动和关闭；b) 任何对审计记录进行操作的尝试，包括关闭审计功能或子系统，以及受影响客体的标识；c) 任何读取、修改、破坏审计记录的尝试；d) 所有对隔离部件规则覆盖的客体（内部或外部网络上的主机）执行操作的请求，以及受影响客体的标识；e) 修改安全属性的所有尝试，以及修改后安全属性的新值；f) 所有使用安全功能中鉴别数据管理机制的请求；g) 所有访问鉴别数据的请求，以及访问请求的目标；h) 任何对鉴别机制的使用；i) 所有使用标识机制的尝试；j) 所有对安全功能配置参数的修改（设置和更新），无论成功与否，以及配置参数的新值；对于每一个审计记录，隔离部件安全功能
11、应至少记录以下信息：事件发生的日期和时间，事件的类型，主体身份和成功或失败事件。4.4.2 审计记录管理网闸安全功能应使授权管理员能创建、存档、删除和清空审计记录。4.4.3 可理解的格式网闸安全功能应使存储于永久性审计记录中的所有审计数据可为人所理解。4.4.4 限制审计记录访问网闸安全功能应仅允许授权管理员访问审计记录。4.4.5 可选择查阅审计网闸安全功能应提供能按主体 ID（标识符）、客体 ID、日期、时间以及这些参数的逻辑组合等参数对审计数据进行查找和排序的审计查阅工具。 4.4.6 防止审计数据丢失网闸安全功能应把生成的审计记录储存于一个永久性的审计记录中,并应限制由于故障和攻击造
12、成的审计事件丢失的数量；对因故障或存储耗竭而导致审计数据丢失的最大审计存储容量，网闸的开发者应提供相应的分析结果。4.5 数据完整性网闸安全功能应保护储存于设备中的鉴别数据和信息传输策略不受未授权查阅、修改和破坏。5 产品安全保证要求安全保证要求按 GB/T 18336.32001 第二级执行。6 网闸安全功能的等级划分依据网闸的开发、生产现状及实际应用情况，我们对网闸类产品的安全功能要求划分成二个等级。 网闸安全功能的等级划分如表 1 所示。3MSTL_JGF_04-004 01012006安全功能类4.1.1 安全属性定义4.1.2 属性初始化4.1.3 属性修改4.1.4 属性查询4.1.5 访问授权与拒绝4.1.6 不可旁路4.1.7 区分安全管理角色4.1.8 管理功能4.2.1 鉴别数据初始化4.2.2 鉴别时机4.2.3 最少反馈4.2.4 鉴别失败处理4.3 客体重用4.4.1 审计数据生成4.4.2 审计记录管理4.4.3 可理解的格式4.4.4 限制审计记录访问4.4.5 可选择查阅审计4.4.6 防止审计数据丢失4.5 数据完整性表1 网闸产品安全功能等级划分表基本要求增强要求4a 基本要求：为产品安全功能的最低要求。b 增强要求：为进一步提升产品安全功能的附加要求。
