1、ICS 35.240 A 90 GA 中华人民共和国 公共安全 行业标准 GA/T XXXX XXXX 信息安全技术 基于 IPv6 的高性能网络入 侵检测系统产品 安全技术要求 Information security technology Security technical requirements for IPv6-based high-performance network intrusion detection system products （ 报批 稿） XXXX - XX - XX 发布 XXXX - XX - XX 实施 中华 人民共和国公安部 发布 GA/T XXXX X
2、XXX I 目 次 前言 . III 1 范围 . 1 2 规范性引用文件 . 1 3 术语和定义 . 1 4 缩略语 . 2 5 基于 IPv6 的高性能 网络入侵检测系统产品描述 . 3 6 总体说明 . 3 6.1 安全技术要求 分类 . 3 6.2 安全等级 . 3 7 安全功能要求 . 4 7.1 数据探测功能要求 . 4 7.2 入侵分析功能要求 . 4 7.3 入侵响应功能要求 . 4 7.4 管理控制功能要求 . 5 7.5 检测结果处理要求 . 6 7.6 产品灵活性要求 . 6 7.7 身份鉴别 . 7 7.8 管理员管理 . 7 7.9 安全审计 . 8 7.10 事件数
3、据安全 . 8 7.11 通信安全 . 8 7.12 产品自身安全 . 9 8 环境适应性要求 . 9 8.1 支持纯 IPv6 网络环境 . 9 8.2 IPv6 网络环境下自身管理 . 9 8.3 支持 IPv6 过渡网络环境（可选） . 9 9 性能 要求 . 9 9.1 误报率 . 9 9.2 漏报率 . 10 9.3 监控流量 . 10 9.4 监控并发连接数 . 10 9.5 监控新建 TCP 连接速率 . 10 9.6 还原能力 . 10 10 安全保障要求 . 10 10.1 开发 . 10 10.2 指导性文档 . 11 10.3 生命周期支持 . 11 GA/T XXXX
4、XXXX II 10.4 测试 . 12 10.5 脆弱性评定 . 13 11 不同安全等级的要求 . 13 11.1 安全功能要求 . 13 11.2 安全保障要求 . 15 GA/T XXXX XXXX III 前 言 本标准按照 GB/T 1.1-2009给出的规则起草。 本标准由公安部网络安全 保卫局提出。 本标准由公安部信息系统安全标准化技术委员会归口。 本标准起草单位： 公安部计算机信息系统安全产品质量监督检验中心 ， 公安部第 三研究所 ，网神 信息技术（北京）股份有限公司 。 本 标 准主要起草人： 宋好好 、 顾建新 、 武腾、 邹春明、陆臻、沈亮、顾健 、李博、杨柳 。 G
5、A/T XXXX XXXX 1 信息安全技术 基于 IPv6的高性能网络入侵检测系统产品安 全技术 要求 1 范围 本标准规定了基于 IPv6的高性能网络入侵检测系统产品 的安全功能要求、 环境适应性要求、性能 要求、安全保障要求及安全等级划分。 本标准适用于基于 IPv6的高性能网络入侵检测系统产品的 设计、 开发 与测试。 2 规范性引用文件 下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文 件。凡是不注日 期的引用文件，其最新版本（包括所有的修改单）适用 于本 文 件 。 GB/T 18336.3-2015 信息技术 安全技术 信息技术安全评估准则 第
6、 3部分：安全保障组件 GB/T 25069-2010 信息安全技术 术语 3 术语和定义 GB/T 18336.3-2015和 GB/T 25069-2010界定的 以及 下列 术语和定义适用于本文件 。 3.1 事件 event 一种系统、服务或网络状态的 发生或者改变的记录信息，可 作为分析安全事件的基础。 3.2 安全事件 incident 通过对事件的分析处理，从而识别出一种系统、服务或网络 状态的发生，表明一次可能的违反安 全规则或某些防护 措施 失 效 ，或者一种可能与安全相关但以前不为人知的一种情况，极有可能危害业 务运行和威胁信息安全 。 3.3 入侵 intrusion 任
7、何危害或 可能危害资 源完整性、保密性或可用性的行为。 3.4 入侵检测 intrusion detection 通过对计算机网络或计算机系统中的若干关键点收集信息并对其进行分析，从中发现网络或系统 中是否有违反安全 策略的行为和被攻击的迹象。 GA/T XXXX XXXX 2 3.5 探测器 sensor 用于收集可能指示出入侵行为或者滥用信息系统资源的实时事件， 并对收集到的信息进行初步 分 析 的入侵检测系统组件 。 3.6 告警 alert 当 攻 击 或 入 侵发生时，高性能入侵检测系统向授权管理员发出的紧急通知。 3.7 响应 response 当攻击或入侵发生时，针对信息系统及存
8、储的 数据采取的保护并恢复正常运行环境的行为。 3.8 误报 false positive 高性能入侵检测系统在未发生攻击时告警，或者发出错误的告警信息。 3.9 漏报 false negative 当攻击发生时高 性能入侵检测系 统未告警。 4 缩略语 下列缩略语适用于本文件。 ARP： 地址解析协议 (Address Resolution Protocol) DNS： 域名系统 (Domain Name System) FTP： 文件传输协议 (File Transfer Protocol) HTML： 超文本标记语言 (Hypertext Markup Language) ICMP： 网
9、际控制报文协议 (Internet Control Message Protocol) IDS：入侵检测系统 (Intrusion Detection System) IMAP：因特网消息访问协议 (Internet Message Access Protocol) IP： 网 际 协议 (Internet Protocol) IPv6： 互联网协 议第 6版 (Internet Protocol Version 6) NFS： 网络文件系统 (Network File System) POP3： 邮局协议 的第三个版本 (Post Office Protocol 3) RIP： 路由选择信息
10、协议 (Routing Information Protocol) RPC： 远程过程调用 (Remote Procedure Call) SMTP： 简单邮件传送协议 (Simple Mail Transfer Protocol) SNMP： 简单网络管理协议 (Simple Network Management Protocol) TCP： 传输控制协议 (Transport Control Protocol) TELNET：远程登录 (Telecommunication Network) TFTP： 普通文件传送协议 (Trivial File Transfer Protocol) GA
11、/T XXXX XXXX 3 UDP： 用户数据报协议 (User Datagram Protocol) 5 基于 IPv6 的高性能网络入侵检测系统产品 描述 基于 IPv6的高性能网络入侵检测系统产品 以网络上的数据 包作为数据源， 监听所保护网络内的所 有数据包并进行 分析 ， 从 而发现异常行为并报警。 基于 IPv6的高性能网络入侵检测系统产品 采用旁路模式接入目标网络。在旁路模式下， 高性能入 侵检测系统 旁路 连接 在目标网络中，通过采集交换机镜像口网络通讯数据工作。下图 1为 基于 IPv6的高 性能网络入侵检测系统产品 旁路模式的一个典型运行环境。 攻击源主机 扫描主机 交换
12、机 P r i n t S e r v e r L i n k / R x L P T 1 L P T 2 C O MP o w e r / T X 入侵检测系统控制台 被攻击主机 1 被攻击主机 n 基于 I P v 6 的高性能 网络入侵检测系统 产品 （ 1 台或 n 台 ） 攻击工具集 协议分 析工具 图 1 基于 IPv6的高性能网络入侵检测系统产品典型运行环境 6 总体说明 6.1 安全 技术要求分类 本标准将 基于 IPv6的高性能网络入侵检测系统 产品 安全技术要求分为安全功能 要求、 网络 环境适 应性要求 、性 能 要 求、 安全保 障要求四 个大类 。其中，安全功能要 求
13、是对 基于 IPv6的高性能网络入侵 检测系统产品 应具备的安全功能提出具体要求，包括 数据 探测 功能要求、入侵分析功能要求、入侵响 应功能要求 等； 网络 环境适应性要求是对基于 IPv6的高性能网络入侵检测系统产品 应具备的 网络 环境 适应性提出具体要求，包括支持纯 IPv6网络环境 和 IPv6网络环境下自身管理 等 ；性能 要 求是对 基于 IPv6 的高性能网络入侵检测系统产品 应具备的 性能 提出具体要求，包括 误报率和漏报率等；安全保障要求 是 针对 基于 IPv6的高性能网络 入侵检测系统产品的开发和使用文档的内 容提 出 具 体 要求，例如 开发、 指导性文档 、 生命周
14、期支持、测试、脆弱性评定 等 。 6.2 安全等级 基于 IPv6 的高性能网络入侵检测系统产品 的 安全 等级 按照 其安全功能要求 和安全保障要求的强 度划分为基本级和增强级，其中安全保障要求 参考了 GB/T 18336.3 2015。 GA/T XXXX XXXX 4 7 安 全功能要求 7.1 数据探测功能要求 7.1.1 数据收集 产品应 具有 实时获取受保护网段内的数 据包的能力用于检测分析。 7.1.2 协议分析 产品至少 但不限于 应监视基于以下协议 的事件 ： IP、 ICMP、 ARP、 RIP、 TCP、 UDP、 RPC、 HTTP、 FTP、 TFTP、 IMAP、
15、 SNMP、 TELNET、 DNS、 SMTP、 POP3、 NETBIOS、 NFS、 NNTP 等。 7.1.3 行为监测 产品至少 但不限于 应监视以下攻击行为：端口扫描 、强力攻击、木马后门攻击、拒 绝服务攻击、 缓冲区溢出攻击、 IP 碎片攻击、网络蠕虫攻击等。 7.1.4 流量监测 产品应监视整个网络或者某一特定协议、地址、端口的报文流量和字节流量。 7.2 入侵分析功能要求 7.2.1 数据分析 产品应对收集的数据包进行分析，发现攻击事件。 7.2.2 分析方式 产品应以模式匹配、协 议分 析 、 人工智能等一种或多种方式进行入侵分析。 7.2.3 防躲避能力 产品应能发现躲避
16、或欺骗检测的行为，如 IP碎片重 组， TCP流重组，协议端口重定位， URL字符串 变形， shell代码变形等。 7.2.4 事件合并 产品应具有对高频度发生的相同安全事件进行合并告警 ，避免出现告警风暴的能力。 7.2.5 事件关联 产品应具有把不同的事件关联起来，发现低危害事件中隐含的高危害攻击的能力。 7.3 入侵响应功能要求 7.3.1 安全告警 当产品检测到入侵时，应自动采取相应动作以发出安全警告。 7.3.2 告警方式 产品应能通过屏幕实时提示、 E-mail、声音 、短消息 等方式告警。 GA/T XXXX XXXX 5 7.3.3 排除 响 应 产品应允许管理员定义对被检测
17、网段中指 定的目标主机 或特定的事件不予告警，降低误报。 7.3.4 定制响应 产品 应允 许管理员对被检测网段中指定的目标主机或特定的事件定制不同的响应方式，以对特定 的事件突出告警。 7.3.5 防火墙联动 产品应具有与防火墙进行联 动的能力，可按照设定的联 动策略自动调整防火墙配置。 7.3.6 全局预警 产品应具有全局预警功能，通过控制台可在设定全局预警的策略后，将局部出现的重大安全事件 通知其上级控制台或者下级控制台。 7.3.7 入侵管理 产品应 具有全 局安全事件的管理能力，可与安全管理中心或网络管理中心进行联动。 7.3.8 事件定位 产品 应支持事件定位，可以定位到攻击源的地
18、理 位置（国家、 城市）。 7.4 管理控制功能要求 7.4.1 图形界面 产品应提供图形化的管 理界面用于管理、配置产品。管理配置界面应包含配置和管理产品所需的 所有功能。 7.4.2 事件数据库 产品的事件数据库应包括事件定义和分析、详细的漏洞修补方案、可采取的对策等 。 7.4.3 事件分级 产品应按照事件的严重程度将事件分级。 7.4.4 策略配置 产品应提供产品策略配置方法和手段。 7.4.5 产品升级 产品应具有更新、升级产品和事件库的能力。 7.4.6 统一升级 产品应提供由控制台对各探测器的事件库进行统一升级的功能。 7.4.7 分布式部署 产品应具有 本地或异地分布式部署、远
19、程管理的能力。 GA/T XXXX XXXX 6 7.4.8 集中 管理 产品应设 置集中管理中心，对分布式、多级部署 的 入侵检测系统 进行统一集中管理，形成多级管 理结构。 7.4.9 同台管理 对同一个厂家生成的产品，如果同时具有网络型 入侵 检测系统 和主机型 入侵检测系统，二者宜 被 同一个控制台统一进行管理。 7.4.10 端口分离 产品的探测器应配备不同的端口分别用于产品管理和网络数据监听。 7.4.11 硬件失效处理 对于硬件产品，系统失效时应及时向 授权 管理员报警。 7.4.12 多级管理 产品 应具有多级管理的 能力。 7.5 检测结果处理要求 7.5.1 事件记录 产品
20、应记录并保存检测到的入侵事件。 入侵事件 信息应至少包含以下内容：事件发生时间、源 地址、目的 地址、危害等级、事件详细描 述以及解决方案建 议等。 7.5.2 事件可视化 管理员应能通过管理界面实时清晰地查看入侵事件。 7.5.3 报告生成 产品应能生成详尽的检测结果报告 。 7.5.4 报告查阅 产品应具有浏览检测结果报告的功能。 7.5.5 报告输出 检测结果报告应可输出成方便管理员阅读的文件格式，如 Word 文件、 HTML 文件、文本文件等。 7.6 产品灵活性要求 7.6.1 报告定制 产品应支持授权管理员按照自己的要求修改和定制报告内容。 7.6.2 窗口定义 产品应支持管理员
21、自定义窗口显示的内容和显示方式。 GA/T XXXX XXXX 7 7.6.3 事件定义 产品应允 许授权管理员自定义事件，或者对默认提供的 事件作修改 ，并应提供定义方法。 7.6.4 协议定义 产品除支持 默认的网络协议集外，还应允许授权管理员定义新的协议，或对协议的端口进行重新 定位。 7.6.5 通用接口 产品应提供对外的 通用接口，以便与 其他 安全设备（如网络管理软件、防火墙等）共享信息或规 范化联动。 7.7 身份鉴别 7.7.1 管理员鉴别 产品应在管理员执行任何与安全功能相关的操作之前对管理员进行鉴别。 7.7.2 鉴别失败的处理 当管理员鉴别尝试失败连续达到指定次数后，产品
22、应锁 定该帐号或登录 IP。最多失败次数仅由授 权管理员设定。 7.7.3 鉴别数据保护 产 品应保护鉴 别数据不被未授权查阅和修改。 7.7.4 超时设置 产品应具有 管理员登录超时重新鉴别功能。在设定的时间段 内没有任何操作的情况下，终止会话， 需要再次进行身份鉴别才能够重新管理产品。最大超时时间仅由授权管理员设定。 7.7.5 多鉴别机制 产品应提供多种鉴别方式，或者允许授权管理员执行自定义的鉴别措施，以实现多重身份鉴别措 施。多鉴别机制应同时使用。 7.7.6 会话锁定 产品应允许管理员锁定自己的交互会话，锁定后需要再次进行身份鉴别才能够重新管理产品。 7.8 管理员管理 7.8.1
23、标 识唯一性 产品应保证所设置的管理员标识全局唯一。 7.8.2 用户属性定义 产品应 为每一个管 理员保存安全属性表，属性应包括：管理员标 识、鉴别数 据、授权信息或管理 组信息、 其他 安全属性等。 7.8.3 安全行为管理 GA/T XXXX XXXX 8 产品应仅允许授权管理员对产品的功能具有禁止、修改的能力。 7.8.4 管理员角色 产品应设置多个角色， 不 同的角色具有不同的管理权限，以增加 产品 管理的安全性 。 7.8.5 安全属性管理 产品应仅允许授权角色可以对指定的安全属性进行查询、修改、删除、改变其默认值等操作。 7.9 安全审计 7.9.1 审计数据生成 产品应能为下述
24、可审计事件产生审计记录：审计级别以内的所有 可审计事件（如鉴别失败等重大 事件）等。应在每个审计记录中至少记录如下信 息：事件的 日期和时间，事件类型，主体身份，事件 的结 果（成功或 失败）等。 7.9.2 审计数据可用性 审计数据的记录 方式应便于管理员理解。 7.9.3 审计查阅 产品应为授权管理员提供从审计记录中读取全部审计信息的功能。 7.9.4 受限的审计查阅 除了具有明确的读访问权限的授权管理员之外，产品应禁止所有非授权管理员对审计记录的读访 问。 7.10 事件数据安全 7.10.1 安全数据管理 产品应仅限于指定的授权角色访问事件数据，禁止 其他 管理员对事件数据的操作。 7
25、.10.2 数据存储安全 产品应在发生事件数据存储 器空间将耗尽等情况时，采取措施避免最新事件数据丢失。 7.10.3 数据存储告警 产 品应在发生 事件数据存储器空间将耗尽等情况时，自动产 生告警，并 采取措施避免事件数据丢 失。产生告警的剩余存 储空间大小应由授权管理员自主设定。 7.11 通信安全 7.11.1 通信 保密 性 若产品采用远程方式管理，应保证远程管理数据保密传输 ；若产品由多个组件组成，应保证控制 命令、传输数据等信息在组件间保密传输。 7.11.2 通信稳定性 GA/T XXXX XXXX 9 产品应采取点到点协议等保证通信稳定性的方法，保证各部件和控制台之间传递的信息
26、不因网络 故障而丢失或延迟。 7.11.3 升级安全 产品应确保事件库和版本升级时的 数 据 安全，应确保升级包是由开发商提供的。 7.12 产品自身安全 7.12.1 自我隐藏 产品应 采取隐藏探 测器 IP地址等措施使自身在网络上不可见， 以降低被攻 击的可能性。 7.12.2 自我监测 产品在启动和正常工 作时，应周期性地、或者按照授权管理员的要求执行自检，以验证产品自身 执行的正确性。 8 网络 环境适应性要求 8.1 支持 纯 IPv6 网络 环境 产品应支持纯 IPv6网络环境，能够在纯 IPv6网络环境下正常工作。 8.2 IPv6 网络环境下自身管理 产品应支持在 IPv6网络
27、环境下自身管理。 8.3 支持 IPv6 过渡网络环境（可选） 8.3.1 双 协议栈 产品应支持 IPv4/IPv6双栈网络 环境，能够在 IPv4/IPv6双栈网络环境下正常工作。 8.3.2 隧道 8.3.2.1 6over4 产 品 应支持 6over4网络环境，能够在 6over4网络 环境下正常工作。 8.3.2.2 6to4 产品应支持 6to4网络环境，能够在 6to4网络环境下正常工作。 8.3.2.3 ISATAP 产品应支持 ISATAP网络环境，保证在 ISATAP网络环境下正常工作。 9 性能要求 9.1 误报率 产品 应按照测评方法中指定的测试方法、测试工具、测试环
28、境和测试步骤测试产品的误报率。产 GA/T XXXX XXXX 10 品应将误报率控制在应用许可的范围 15%内，不能对正常使用产品产生较大影响。 9.2 漏报率 产品 应按照测评方法 中指定的测试方法、测试工具、测试环境和测试步骤测试产品的漏报率，在 正常 网络流量下 和各种指定的网络背景流量下，分别测试 产品未能对声称 能够检测的入侵行为进行告 警的数据。系统应将 漏报率控制在应用许可的范围 15%内，不能对正常使用产品产生较大影响。 9.3 监控流量 产品 应按照测评方法中指定的测 试方法、测试工具、测试环境和测试步骤测试产品的监控流量， 支持 每秒 15Gbps 的背景负荷量 。 9.
29、4 监控并发连接数 产品 应按照测评方法中指定的测试方法、测试工具、测试环境和测试步骤测试产品的监控并发连 接数， 每秒 监控并发连接数 大于等于 500 万 。 9.5 监控新建 TCP 连接速率 产品 应按照测评方法中指定的测试方法、测试工 具、测试环 境和测试步骤测试产品的监控新建 TCP 连接速率，监控 新建 TCP连接速率 大于等于 50万 /秒。 9.6 还 原能力 产品 应对入侵行为进行内容恢复和还原；当背景数据流低于网络有效带宽的 80%时，系统应保证 入侵行为的获取 和还原能够正常进行。 10 安全保障 要求 10.1 开发 10.1.1 安全架构 开发者应提供产品安全功能的
30、安全架构描述，安全架构描述 应满足以下要求： a) 与产品设计文档中对安全功能 实施 抽象描述的级别一致； b) 描述与安全功能要求一致的产品安全功能的安全域； c) 描述产品安 全功能初始化过程为何是安全的； d) 证实产品安全功能能够防止被破坏； e) 证实 产品安全功 能能够防止安全特性被旁路。 10.1.2 功能规范 开发者应提供 完备的功能规范说明，功能规范说明应满足以下 要求： a) 完全描述产品的安全功能； b) 描述所有安全功能接口的目的与使用方法； c) 标识和描述每个安全功能接口相关的所 有参数； d) 描述安全功能接口相关的安全功能实施行为； e) 描述由安全功能实施行为
31、处理而引起的直接错误消息； f) 证实安全功能要求到安全功能接口的追溯； GA/T XXXX XXXX 11 g) 描述安全功能实施过程中，与安全功能接口相关的所有行为； h) 描述可能由安全功能接口的调用而引起 的所有直接错误消息。 10.1.3 实现表示 开发者应提供全部安全功能的实现表示，实 现表示 应满 足以下要求： a) 提供产品设计描述与实现 表示实例之间的 映射，并证明其一致性； b) 按详细级别定义产品 安全功能，详细程度达到无须进一步设计就能生成安全功能的程度； c) 以开发人员使用的形式提供。 10.1.4 产品 设计 开发者应 提供产品设计文档，产品设计文档 应满足以下要
32、求： a) 根据子系统描述产品结构； b) 标识 和描述 产品安全功能的所有子系统； c) 描述安全功能所有子系统间的相互作用； d) 提供的映射关系能够证实设计中描述的所有行为能够映射到调用它的安全功能接口； e) 根据模 块描述安全功能； f) 提供安全功能子系统到模块间的映射关系； g) 描述所有安 全功能实现 模块，包括其 目的及与 其他 模块间的相互 作用； h) 描述所 有实现模块 的安全功能要求相关接口、 其他 接口 的返回值、与 其他 模块间的相互作用 及调用的接口； i) 描述所有安全功能的支撑或相关 模块，包括其目的及与 其他 模块间的 相互作用。 10.2 指导性文档 1
33、0.2.1 操作用户指南 开发者应提供 明确和合理的 操作用户指南，操作用户指南与为评估而提供的其他所有文档保持一 致， 对每一种用户角色的描述应 满足以下要求： a) 描述在安全处理环境中被控制的用户可访问的功能和特权，包含适当的警示 信息； b) 描述如何以安全的方式使用产品提供的可用接口； c) 描述可用功能和接 口，尤其是 受用户控制的所有安全参数，适当时 指明 安全值； d) 明确 说明与需要执行的用户可访问功能有关的每一种 安全相关事件，包括改变安全功能所控 制实体的安全特性； e) 标识产品运行的所有可能状态（包括操作导致的失败或者操作 性错误），以及它们与维持安 全运行之间的因
34、果关系和联系； f) 充分实现安全目的所必 需 执行的安全策略。 10.2.2 准备程序 开发者应提供产品及其准备程序，准备程序描述应满足以下要求： a) 描述与开发者交付程序相一致的安全接收所交付产品必需的所有步骤； b) 描 述安全安装产品及其运行环境必需的所有步骤。 10.3 生命周期支持 10.3.1 配置管理能力 GA/T XXXX XXXX 12 开发者的 配置管理能力 应满足以下要求： a) 为产品 的不同版本提供 唯一的标识； b) 使用配置管理系统对组成产品的 所有配置项进行维护，并唯一标识配置项； c) 提供配置管理文档，配置管理文档 描述用于唯一标识配置项的方法； d)
35、配置管 理系统提供一种自动方式来支持产品的生成，通过该方式确保只能对产品的实现表示 进行已授权的改变； e) 配置管理文档包括一个配置管理计划，配置管理计划描述如何使用配置管理系统开发产品。 实施的配置管理 与配置管理计划相一致； f) 配置管理计划描述用来 接受修改过的或新建的作为产品组成部分的配置项的程序。 10.3.2 配置管理范围 开 发者应提供 产品配置项列表，并说明配置项的开发者 。配置项列表 应 包含以下内容： a) 产品、安全保障要求的评估证 据和产品的组成部分； b) 实现表示、安全缺陷报告及其解决状态。 10.3.3 交付程序 开发者应使用一定的交付程序交付产品，并 将交付
36、过程文档化。 在给用户方交付产品的各版本时， 交付文档应描述为维护安全所必需的所有程序 。 10.3.4 开发安全 开发者应提供开发安全文档。开发安全文档应描述在产品的开发环境中，为保护产品设计和实现 的保密性和完整性所必需的所有物理的、程序的、人 员的和其他方面的安全措施。 10.3.5 生命周期定义 开发者应建立一个生命周期模型 对产品的开 发和维护进行的必要控制，并提供生命周 期定义文档 描述 用于开发和维护产品的模型。 10.3.6 工具和技术 开 发者应明确定义用于开发产品的工具，并提供开发工具文档无歧义地定义实现中每个语句的含 义和所有依赖于实现的选项的 含义。 10.4 测试 1
37、0.4.1 测试覆盖 开发者应提供测试覆盖文档，测试覆盖描述应满足以下要求： a) 表明测试文档中所标识的测试与功能规范中所描述的产品的安全功能间的对应性； b) 表明上述对应性是完备的，并证实功能规范中的所有安全功能接口都进行了测试。 10.4.2 测试 深度 开发者应提供测试深度的分析。测试深度分析描述 应满足以下要求： a) 证 实测试文档 中的测试与产品设计中的安全功能子系统 和实现模块之间 的一致性； b) 证实产品设计中的所有安全功能子 系统、实现模块都已经进行过测试。 10.4.3 功能测试 GA/T XXXX XXXX 13 开发者应测试 产品安全 功能， 将结果 文档化 并提
38、供测试文档。 测试文档应 包括 以下内容： a) 测试计划 ， 标识 要执行的测试 ， 并描述执行每个测试的方案 ，这些方案 包括对于 其他 测试结 果的任何顺序依赖性 ； b) 预期的测试 结果，表明测试成功后的预期输出； c) 实际测试结果 和 预期的测试 结果的一致性。 10.4.4 独立测试 开发者应 提供一组与 其 自测 安全 功能时使用的 同等资源，以 用于安全功能的抽样测试。 10.5 脆弱性评定 基于已标识 的潜在脆弱性 ，产品能够抵抗以下 攻击 行 为： a) 具有基本 攻击潜力的攻击者的攻击； b) 具有增强型基本攻 击潜力的攻击者的攻击。 11 不同 安全 等级 的 要求
39、 11.1 安全 功能要求 不同安全等级的 基于 IPv6 的高性能网络入侵检测系统 产品的安全功能要求 如表 1 所示。 表 1 不同 安全等级的 基于 IPv6 的高性能网络入侵检测系统产品 的 安全 功能要求 安全功能要求 基本级 增强级 数据探测功能要求 数据收集 7.1.1 7.1.1 协议分 析 7.1.2 7.1.2 行为 监测 7.1.3 7.1.3 流量监测 7.1.4 7.1.4 入侵分析功能要求 数据分析 7.2.1 7.2.1 分析 方式 7.2.2 7.2.2 防躲避能 力 7.2.3 事件合并 7.2.4 事件关联 7.2.5 入侵响应功能要求 安 全告警 7.3.1 7.3.1 告警方式 7.3.2 7.3.2 排除响应 7.3.3 定制响应 7.3.4 防火 墙联动 7.3.5 全局预警 7.3.6 入侵管理 7.3.7 GA/T XXXX XXXX 14 表 1（续） 安 全功能要求 基本级 增强级 入侵响应功能要求 事件定位 7.3.8 管理控 制功能要求 图 形界面 7.4.1 7.4.1 事件
