网络基础安全技术要求-

《网络基础安全技术要求-》由会员分享，可在线阅读，更多相关《网络基础安全技术要求-（80页珍藏版）》请在金锄头文库上搜索。

1、_ -可编辑修改 - 信息安全技术网络基础安全技术要求 引 言 本标准用以指导设计者如何设计和实现具有所需要的安全保护等级的网络系 统，主要说明为实现 GB 78591999中每一个安全保护等级的安全要求，网络系 统应采取的安全技术措施， 以及各安全技术要求在不同安全保护等级中具体差异。 网络是一个具有复杂结构、 由许多网络设备组成的系统， 不同的网络环境又会有 不同的系统结构。 然而，从网络系统所实现的功能来看，可以概括为 “实现网上 信息 交换”。网上信息交换具体可以分解为信息的发送、信息的传输和信息的 接收。从信息安全的角度，网络信息安全可以概括为“保障网上信息交换的安 全”，具体表现为

2、信息发送的安全、信息传输的安全和信息接收的安全，以及 网上信息交换的抗抵赖等。 网上信息交换是通过确定的网络协议实现的，不同的 网络会有不同的协议。任何网络设备都是为实现确定的网络协议而设置的。典 型的、具有代表性的网络协议是国际标准化组织的开放系统互连协议（ISO/OSI ） ， 也称七层协议。虽然很少有完全按照七层协议构建的网络系统，但是七层协议 的理论价值和指导作用是任何网络协议所不可替代的。网络安全需要通过协议安 全来实现。通过对七层协议每一层安全的描述，可以实现对网络安全的完整描 述。网络协议的安全需要由组成网络系统的设备来保障。因此，对七层协议的安 全要求自然包括对网络设备的安全要

3、求。 信息安全是与信息系统所实现的功能密切相关的，网络安全也不例外。 网络各层 协议的安全与其在每一层所实现的功能密切相关。附录A2 关于网络各层协议 主要 功能的说明，对物理层、链路层、网络层、传输层、会话层、表示层、应 _ -可编辑修改 - 用层等各层的功能进行了简要描述，是确定网络各层安全功能要求的主要依据。 本标准以 GB/T 20271-2006 关于信息系统安全等级保护的通用技术要求为基础， 围绕以访问控制为核心的思想进行编写，在对网络安全的组成与相互关系进行简 要说明的基础上，第 5 章对网络安全功能基本技术分别进行了说明，第6 章是 对第 5 章网络安全功能的分级分层情况的描述

4、。在此基础上， 本标准的第 7 章对 网络安全技术的分等级要求分别从安全功能技术要求和安全保证技术要求两方 面进行了详细说明。在第7 章的描述中除了引用以前各章的内容外，还引用了 GB/T 20271-2006中关于安全保证技术要求的内容。由于GB/T 20271-2006的安 全保证技术要求， 对网络而言没有需要特别说明的内容，所以在网络基本技术及 其分级分层的描述中没有涉及这方面的内容。 信息安全技术 网络基础安全技术要求 1 范围 本标准依据 GB 17859-1999的五个安全保护等级的划分，根据网络系统在信 息系统中的作用，规定了各个安全等级的网络系统所需要的基础安全技术的要求。 本

5、标准适用于按等级化的要求进行的网络系统的设计和实现，对按等级化要求进 行的网络系统安全的测试和管理可参照使用。 2 规范性引用文件 _ -可编辑修改 - 下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注明日期的 引用文件， 其随后的所有修改单 （不包括勘误的内容） 或修订版均不适用于本标 准，然而，鼓励根据本标准达成协议的各方研究 是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适 用于本标准。 GB 17859-1999 计算机信息系统安全保护等级划分准则GB/T20271-2006 信息 安全技术信息系统通用安全技术要求 3 术语、定义和缩略语 3.1 术语和定义

6、 GB 17859 1999确立的以及下列术语和定义适用于本标准。 3.1.1 网络安全network security 网络环境下存储、传输和处理的信息的保密性、完整性和可用性的表征。 3.1.2 网络安全基础技术basis technology of network security 实现各种类型的网络系统 安全需要的所有基础性安全技术。 3.1.3 网络安全子系统security subsystem of network 网络中安全保护装置的总称， 包括硬件、 固件、软件和负责执行安全策略的组合 体。它建立了一个基本的网络安全保护环境，并提供安全网络所要求的附加用户 _ -可编辑修改 -

7、 服务。 注：按照 GB 17859-1999对 TCB（可信计算基）的定义，SSON（网络安全子系 统）就是网络的 TCB。 3.1.4 SSON安全策略SS0N security policy 对 SS0N中的资源进行管理、保护和分配的 一组规则。一个 SSON中可以有一个或多个安全策略。 3.1.5 安全功能策略security function policy 为实现 SSON安全要素要求的功能所采用的安全策略。 3.1.6 安全要素security element 本标准中各安全保护等级的安全技术要求所包含的安全内容的组成成份。 3.1.7 SSON安全功能SSON security

8、function 正确实施 SSON安全策略的全部硬件、 固件、软件所提供的功能。 每一个安全策 略的实现，组成一个 SSON安全功能模块。 一个 SSON的所有安全功能模块共同 组成该 SSON的安全功能。 3.1.8 SSF控制范围 SSF scope of control SSON的操作所涉及的主体和客体的范围。 _ -可编辑修改 - 3.2 缩略语 下列缩略语适用于本标准： SFP 安全功能策略security function policy SSC SSF 控制范围SSF scope of control SSF SSON 安全功能SSON security function SSP

9、 SSON 安全策略SS0N security policy SSON 网络安全子系统security subsystem of network 4 网络安全组成与相互关系 根据 OSI 参考模型和 GB 17859-1999所规定的安全保护等级和安全要素，网 络安全的组成与相互关系如表1 所示。 对于网络系统的物理层、链路层、网络层、传输层、会话层、表示层和应用层， 可分别按 GB 17859-1999的各个安全等级的要求进行设计。 在各协议层中， 安全要素的实现方法可有所不同。本标准基于各项安全要素对各 协议层在各个安全保护等级中应采用的安全技术和机制提出要求。 5 网络安全功能基本要求

10、5.1 身份鉴别 5.1.1 用户标识 a) 基本标识：应在 SSF实施所要求的动作之前，先对提出该动作要求的用户 进行标识。 _ -可编辑修改 - b) 唯一性标识：应确保所标识用户在信息系统生存周期内的唯一性，并将用户 标识与安全审计相关联。 c) 标识信息管理：应对用户标识信息进行管理、维护，确保其不被非授权地访 问、修改或删除。 5.1.2 用户鉴别 a) 基本鉴别：应在 SSF实施所要求的动作之前，先对提出该动作要求的用户 成功地进行鉴别。 b) 不可伪造鉴别： 应检测并防止使用伪造或复制的鉴别数据。一方面，要求 SSF 应检测或防止由任何别的用户伪造的鉴别数据，另一方面，要求 SS

11、F应检测或防 止当前用户从任何其它用户处复制的鉴别数 据的使用； c) 一次性使用鉴别：应能提供一次性使用鉴别数据操作的鉴别机制，即SSF应 防止与已标识过的鉴别机制有关的鉴别数据的重用； d) 多机制鉴别：应能提供不同的鉴别机制，用于鉴别特定事件的用户身份，并 且 SSF应根据所描述的多种鉴别机制如何提供鉴别的规则，来鉴别任何用户所声 称的身份； e) 重新鉴别：应有能力规定需要重新鉴别用户的事件，即SSF应在需要重鉴别 的条件表所指示的条件下，重新鉴别用户。例如，用户终端操作超时被断开后， 重新连接时需要进行重鉴别。 _ -可编辑修改 - 5.1.3 用户-主体绑定 在 SSON安全功能控

12、制范围之内， 对一个已标识和鉴别的用户， 为了要求 SSF 完成某个任务，需要激活另一个主体（如进程），这时，要求通过用户-主体绑 定将该用户与该主体相关联， 从而将用户的身份与该用户的所有可审计行为相关 联。 5.1.4 鉴别失败处理 要求 SSF为不成功的鉴别尝试次数（包括尝试数目和时间的阈值）定义一个 值，以及明确规定达到该值时所应采取的动作。鉴别失败的处理应包括检测出现 相关的不成功鉴别尝试的次数与所规定的数目相 同的情况，并进行预先定义的处理。 5.2 自主访问控制 5.2.1 访问控制策略 SSF应按确定的自主访问控制安全策略进行设计，实现对策略控制下的主体 与客体间操作的控制。

13、可以有多个自主访问控制安全策略，但它们必须独立命名， 且不能相互冲突。 常 用的自主访问控制策略包括： 访问控制表访问控制、 目录表访问控制、 权能表访 问控制等。 5.2.2 访问控制功能 _ -可编辑修改 - SSF应明确指出采用一条命名的访问控制策略所实现的特定功能，说明策略 的使用和特征，以及该策略的控制范围。 无论采用何种自主访问控制策略，SSF应有能力提供： 在安全属性或命名的安全属性组的客体上，执行访问控制SFP ； 在基于安全属性的允许主体对客体访问的规则的基础上，允许主体对客体的 访问； 在基于安全属性的拒绝主体对客体访问的规则的基础上，拒绝主体对客体的 访问。 5.2.3 访问控制范围 网络系统中自主访问控制的覆盖范围分为： a） 子集访问控制：要求每个确定的自主访问控制，SSF应覆盖网络系统中 所定义的主体、客体及其之间的操作； b） 完全访问控制：要求每个确定的自主访问控制，SSF应覆盖网络系统中所有 的主体、客体及其之间的操作，即要求SSF应确保 SSC内的任意一个主体和任 意一个客体之间的所有操作将至少被一个确定 的访问控制 SF