1、中华人民共和国国家标准信息技术应用级防火墙安全技术要求发布实施国家质量技术监督局发布前言本标准规定了网络安全设备应用级防火墙的安全技术要求本标准由国家信息化办公室提出本标准由全国信息技术标准化技术委员会归口本标准起草单位国家信息中心中国国家信息安全测评认证中心本标准主要起草人叶红吴亚非吴世忠陈晓桦李正男严望佳中华人民共和国国家标准信息技术应用级防火墙安全技术要求国家质量技术监督局发布实施范围本标准规定了应用级防火墙的安全技术要求本标准适用于应用级防火墙安全功能的研制开发测试评估和产品采购引用标准下列标准所包含的条文通过在本标准中引用而构成为本标准的条文本标准出版时所示版本均为有效所有标准都会被
2、修订使用本标准的各方应探讨使用下列标准最新版本的可能性信息处理系统开放系统互连基本参考模型第部分安全体系结构定义和记法约定本章给出本标准中使用的术语和记法约定定义用户在防火墙之外但与防火墙相互作用的人他不具有影响防火墙安全策略执行的特权授权管理员任何具有旁路或绕过防火墙安全策略权限的授权人本标准中的授权管理员严格定义为防火墙的管理员他不具有网络管理的职责主机在防火墙之外但与防火墙相互作用的计算机它不具有影响防火墙安全策略执行的特权可信主机任何具有旁路或绕过防火墙安全策略权限的授权计算机记法约定细化用于增加某一功能要求的细节从而进一步限制该项要求对功能要求的细化用黑体字表示示例见选择用于在对某一
3、功能要求的陈述中突出一个或多个选项用带下划线的斜体字注表示示例见赋值用于将一个特定值赋给某个未定参数如某个口令字的长度赋值出现在方括号中要赋予的值表示某个值示例见应用级防火墙概述本标准规定了应用级防火墙在低风险敏感但不保密环境下的最低安全要求明确了应用级防火注因技术问题本标准中带下划线的斜体字改为带下划线的黑体字表示墙应阻止的威胁定义了它的安全目标和使用环境提出了应用级防火墙的安全功能和安全保证要求同时说明了防火墙安全目标及功能和保证要求的基本原则防火墙的目的是对进出内部网的服务访问实行控制和审计准许拒绝或重新定向通过防火墙的数据流虽然防火墙的体系结构和技术多种多样但防火墙产品基本上可分成两类
4、包过滤防火墙和应用级防火墙网络中防火墙的典型位置如图所示图网络中防火墙的典型位置应用级防火墙的作用是仲裁不同网络上客户和服务器之间的通信业务流应用级防火墙通常与包过滤控制配合使用以承担对应用级协议包的进一步控制例如应用级防火墙可以雇用代理服务器筛选数据包安全环境符合本标准的防火墙用于敏感但不保密的信息处理环境防火墙应提供访问控制策略身份标识与鉴别远程管理员会话加密一定的审计能力以及最基本的安全保证安全条件假定假定防火墙的运行环境符合以下条件单一接入如图所示意的那样防火墙是网络间唯一的互连点物理访问控制防火墙和与其直接相连的控制台在物理上是安全的而且仅供授权人使用通信保护信息传输的保护级别应该与
5、信息的敏感性一致例如受物理保护的传输媒体加密或者明确说明该信息可以明文传输用户应用级防火墙提供的不是通常意义下的计算能力例如执行任意代码或应用程序它对通过防火墙发送通信业务流的用户进行身份标识和鉴别只有授权管理员才能直接访问和远程访问防火墙授权管理员管理员应值得信任无恶意能够正确执行各项职责安全威胁本标准的目的在于提供一种能力以控制通过防火墙的数据包限制那些潜在恶意用户的活动能力阻止他们获得对内部网或者对内部网上的某一主机的访问权防火墙阻止的威胁符合本标准的防火墙应能阻止以下威胁未授权逻辑访问未经授权的人可能在逻辑上访问防火墙未经授权的人是指除防火墙的授权用户之外所有已经或可能企图访问这个系统
6、的人假冒网络地址攻击一个主体可能假冒成另一个主体获得对特定信息的访问例如外部网上的一个用户可能利用假地址伪装成内部网上的用户访问内部资源针对内部网络的攻击攻击者利用高层协议和服务对内部受保护网络或者网上的主机进行攻击这类攻击可能以拒绝服务和穿透主机或网络结点为目的审计记录丢失或破坏攻击者可能采取耗尽审计存储量的方法导致审计记录丢失或破坏对防火墙的配置和其他与安全相关数据的更改这类攻击包括所有采用读取或修改防火墙的内部代码或数据结构以及防火墙的配置参数和与安全相关的数据对防火墙实施的攻击绕开身份标识和鉴别机制这类攻击企图绕过或欺骗身份识别和鉴别机制假冒成另一个授权管理员或侵入已建立的会话连接例如
7、拦截鉴别信息如口令字重放有效的鉴别交换信息以及截取会话连接等攻击运行环境阻止的威胁下述威胁必须通过物理控制过程措施或者管理手段来对付被保护网上的恶意用户试图向外部用户提供信息这种威胁是指内部网络用户试图给外部网络上的非授权用户发送信息由于防火墙主要用于保护内部网络免受外部网络的侵害因此它们对抵御这种威胁作用不大受保护网络上的恶意用户攻击同一网络上的计算机防火墙的主要目的是保护防火墙内部的网络用户免受外部用户的侵害因此它无法控制不经过防火墙的通信业务流属于此范畴的攻击是指来自受保护网络内的对本网络服务功能的攻击以及对同一网段上的计算机的攻击攻击高层协议和服务此类威胁针对传输层以上的协议层和利用这
8、些协议的服务如超文本传输协议中的漏洞符合本标准的防火墙可以完全拒绝对特定主机或主机群的访问但是如果允许数据包通过的话那么仍有可能攻击上述的这些服务截取传输信息攻击者可能截取通过防火墙传输的敏感信息安全目标信息技术安全目标防火墙应达到的信息技术安全目标如下访问仲裁通过允许或拒绝从一个主体发送实体传到一个客体接受实体的信息流在防火墙连接的网络之间提供受控制的访问这些控制是根据主体客体的有关参数以及管理上配置的访问控制规则实现的管理员访问仅限授权的管理者才能访问防火墙即只允许他们有配置防火墙的能力个体身份记录个体身份记录提供了对用户身份的记录能力并允许基于唯一身份对访问做出判定鉴别为确定身份是否真实
9、提供了方法防火墙的自保护为了成功地达到这一目标防火墙应能把正在处理的数据与需要运算的数据分开应保护自己不受外部实体的攻击此外防火墙还应能保护授权管理员的通信会话审计审计记录对于判定是否存在绕过安全策略的尝试是否有因配置错误而允许了本应拒绝的访问这类问题起着十分重要的作用不仅应收集审计数据还应使其具有可读性并容易使用审计记录应受到充分保护并应了解丢失审计记录的可能性有多大以帮助管理者做出正确的安全决定非信息技术安全目标非信息技术安全目标是指除防火墙技术要求之外还需满足的要求它们不必实施防火墙硬件和软件的机制而是通过采用物理的过程的或管理的方法来达到安全目标安装与操作控制要确保防火墙的交付安装管理
10、和操作都是安全可控的物理控制应控制对防火墙的物理访问授权管理人员培训对授权管理员进行培训以保证建立和维护正确的安全策略和实施水准安全要求本章提出了符合本标准的防火墙必须满足的功能和保证要求功能要求本标准的安全功能要求概括于表表功能要求功能分类功能组件用户数据保护完整的客体访问控制访问授权与拒绝多种安全属性访问控制资源分配时对遗留信息的充分保护管理员属性修改管理员属性查询标识与鉴别授权管理员可信主机和用户鉴别数据初始化授权管理员可信主机和用户鉴别数据的基本保护鉴别失败的基本处理授权管理员可信主机主机和用户属性初始化授权管理员可信主机主机和用户唯一属性定义授权管理员的基本鉴别单一使用的鉴别机制授权
11、管理员可信主机主机和用户唯一身份标识密码支持符合规定的加密操作表完功能分类功能组件可信安全功能保护防火墙安全策略的不可旁路性安全功能区域分隔区分安全管理角色管理功能安全审计审计数据生成审计跟踪管理可理解的格式限制审计跟踪访问限制审计查阅可选择查阅审计防止审计数据丢失要求综述防火墙的安全策略由多级安全功能策略组成下面定义两种策略第一种策略称为未鉴别的端到端策略主要讨论一个内部或外部网络上的主体通过防火墙发送数据流到一个外部或内部网络上的客体第二种策略称为有鉴别的端到端策略主要讨论一个内部或外部网络上的主体在发送数据流前必须通过防火墙的鉴别才能将数据流传送给一个外部或内部网络上的客体用户数据保护类
12、完整的客体访问控制防火墙的安全功能应在以下方面执行未鉴别的端到端策略主体未经防火墙鉴别的用户客体内部或外部网络上的主机以及安全功能策略所包括的主体客体的所有操作防火墙的安全功能应确保安全功能策略包括了控制范围内的任何主体和客体之间的所有操作完整的客体访问控制防火墙的安全功能应在以下方面执行有鉴别的端到端策略主体经防火墙鉴别的主机客体在内部或外部网上的主机以及安全功能策略所包括的主体客体的所有操作防火墙的安全功能应确保安全功能策略包括了控制范围内的任何主体和客体之间的所有操作访问授权与拒绝防火墙的安全功能应执行未鉴别的端到端策略有鉴别的端到端策略根据主体和客体的安全属性值提供明确的访问保障能力防
13、火墙的安全功能应执行未鉴别的端到端策略有鉴别的端到端策略根据主体和客体的安全属性值提供明确的拒绝访问能力多种安全属性访问控制防火墙应根据源地址目的地址运输层协议和请求的服务如源端口号和或目的端口号对客体执行未鉴别的端到端策略防火墙应执行以下附加规则以确定受控主体与受控客体之间的操作是否被允许防火墙应拒绝从外部网络发出的但拥有内部网络上的主机源地址的访问或服务请求防火墙应拒绝从外部网络发出的但拥有广播网络上的主机源地址的访问或服务请求防火墙应拒绝从外部网络发出的但拥有保留网络上的主机源地址的访问或服务请求防火墙应拒绝从外部网络发出的但拥有环回网络上的主机源地址的访问或服务请求多种安全属性的访问控
14、制防火墙应根据用户源地址目的地址运输层协议和请求的服务如源端口号和或目的端口号以及服务命令例如对客体执行有鉴别的端到端策略防火墙应执行以下附加规则以确定受控主体与受控客体之间的操作是否被允许防火墙应拒绝从外部网络发出的但拥有内部网络上的主机源地址的访问或服务请求防火墙应拒绝从外部网络发出的但拥有广播网络上的主机源地址的访问或服务请求防火墙应拒绝从外部网络发出的但拥有保留网络上的主机源地址的访问或服务请求防火墙应拒绝从外部网络发出的但拥有环回网络上的主机源地址的访问或服务请求资源分配时对遗留信息的充分保护防火墙安全功能应确保在为所有客体进行资源分配时不提供以前的信息内容应用注解该要求用于支持连接
15、所有设备资源例如寄存器缓存器的管理要求目的是不允许用户访问以前的会话信息通常通过清除或覆盖这些信息来达到该项要求要求综述下述两项要求确定了支持管理员完成其职能所必需的能力特别是查阅和修改与安全相关参数的能力这些要求将在后续的对与安全有关数据初始化的要求中予以详述或补充管理员属性修改防火墙应执行访问控制安全功能策略未鉴别的端到端策略有鉴别的端到端策略以向授权管理员提供修改以下参数的能力标识与角色例如授权管理员的关联中标识的访问控制属性与安全相关的管理数据管理员属性查询防火墙应执行访问控制安全功能策略未鉴别的端到端策略有鉴别的端到端策略以向授权管理员提供以下查询能力中标识的访问控制属性主机名用户名
16、标识与鉴别功能类授权管理员可信主机和用户鉴别数据初始化防火墙应提供与和中规定的鉴别机制有关的授权管理员可信主机以及用户鉴别数据的初始化功能防火墙应确保只允许授权管理员使用这些功能授权管理员可信主机和用户鉴别数据的基本保护防火墙安全功能应保护存储于设备中的鉴别数据不被未授权查阅修改和破坏鉴别失败的基本处理防火墙的安全功能应能够在鉴别尝试经一个可设定的次数失败以后终止可信主机或用户建立会话的过程最多失败次数仅由授权管理员设定在可信主机或用户会话建立过程终止后防火墙的安全功能应能够关闭相应的可信主机或用户的帐号直至授权管理员重新开启授权管理员可信主机主机和用户属性初始化防火墙的安全功能应提供用默认值
17、对授权管理员可信主机主机和用户属性初始化的能力唯一的授权管理员可信主机主机和用户属性的定义防火墙的安全功能应为每一个规定的授权管理员可信主机主机和用户提供一套唯一的为执行安全策略所必需的安全属性授权管理员的基本鉴别防火墙的安全功能应鉴别任何通过防火墙控制台履行授权管理员职能的管理员身份单一使用的鉴别机制防火墙的安全功能应当在执行任何与授权管理员可信主机或用户相关功能之前鉴别授权管理员可信主机或用户的身份防火墙的安全功能应防止与远程授权管理员远程可信主机和用户要求的下述服务相关的鉴别数据重用文件传送协议超文本传输协议登录邮政协议远程登录简单网络管理协议应用注解只有防火墙提供的服务才需要满足这一要
18、求授权管理员可信主机主机和用户唯一身份标识防火墙的安全功能应确保每一个授权管理员可信主机主机或用户在请求执行任何操作之前对其进行唯一身份识别密码支持功能类符合规定的加密操作防火墙的安全功能应保证其远程管理会话加密符合国家密码管理的有关规定可信安全功能保护类要求概述下面两项要求和规定了保护内部代码和数据结构的基础性体系结构的能力并能够表明安全策略始终是有效的防火墙安全策略的不可旁路性防火墙的安全功能应确保允许任何与安全有关的操作执行之前必须通过安全策略的检查安全功能区域分隔防火墙的安全功能应为其自身的执行过程设定一个安全区域以保护其免遭不可信主体的干扰和篡改防火墙的安全功能应把防火墙控制范围内的
19、各个主体的安全区域分隔开区分安全管理角色防火墙的安全功能应将与安全相关的管理功能与其他功能区分开在防火墙的安全功能中与安全相关的管理功能集应包括安装配置和管理防火墙安全功能所需的所有功能其中至少应包括增加和删除主体和客体查阅访问控制安全属性分配修改和撤销访问控制安全属性查阅和管理审计数据防火墙的安全功能应把执行与安全相关的管理功能的能力限定为一种安全管理角色该角色具有一套特别授权的功能和相应的责任防火墙的安全功能应能把授权执行管理功能的授权管理员和可信主机与使用防火墙的所有其他个人或系统分开防火墙的安全功能应仅允许授权管理员和可信主机承担安全管理角色防火墙的安全功能在确认授权管理员或可信主机的
20、安全管理角色前需要接到一个明确的请求管理功能防火墙的安全功能应使授权管理员具有设置和更新与安全相关的管理数据以及对用户授予或取消中各项服务的鉴别能力防火墙的安全功能应提供给授权管理员安装和初始化配置防火墙起动和关闭系统以及备份和恢复的能力备份能力应由自动工具支持如果防火墙的安全功能支持外部或内部接口的远程管理那么它应该具有对内外两个接口或其中之一关闭远程管理的选择权能够限制那些可进行远程管理的地址能够通过加密来保护远程管理对话安全审计功能类要求概述下列安全功能要求类规定了安全审计信息的生成管理保护和处理审计数据生成防火墙的安全功能应能够对下列可审计事件生成一个审计记录审计功能的启动和关闭所有与
21、基本或最低审计级别有关的可审计事件定义在表中的那些功能组件中根据所有包含在安全目标中的功能组件附加事件在表中标为扩展的事件防火墙的安全功能应在每一个审计记录中至少记录以下信息事件发生的日期和时间事件的类型主体身份和成功或失败事件根据本标准对其他功能组件的可审计事件定义对每一类审计事件附加信息说明在表第列表可审计事件功能族级别可审计事件附加审计记录内容基本任何对审计跟踪进行操作的尝试包括关闭审计功能或子系统若适用受影响客体的标识基本任何读取修改破坏审计跟踪的尝试基本所有对安全功能策略覆盖的客体执行操作的请求受影响客体的标识表完功能族级别可审计事件附加审计记录内容基本修改安全属性的所有尝试包括拟修
22、改对象的身份修改后安全属性的新值基本查询安全属性的所有尝试包括查询对象的身份基本所有使用安全功能中鉴别数据管理机制的请求基本所有访问鉴别数据的请求访问请求的目标扩展因鉴别尝试不成功的次数超出了设定的限值导致的会话连接终止使用的标识符基本任何对鉴别机制的使用基本所有使用标识机制包括所提供的身份的尝试最低使用某项与安全相关的管理功能基本所有对安全功能配置参数的修改设置和更新无论成功与否配置参数的新值审计追踪管理防火墙的安全功能应使管理员能创建存档删除和清空审计记录可理解的格式防火墙的安全功能应能使存储于永久性审计记录中的所有审计数据可为人所理解限制审计跟踪访问防火墙的安全功能应只允许授权管理员访问
23、审计记录限制审计查阅防火墙的安全功能应提供具有查阅审计数据能力的工具防火墙应只允许授权管理员使用审计查阅工具可选择查阅审计防火墙的安全功能应提供能对审计数据进行查找和排序的审计查阅工具主体客体日期时间上述各参数的逻辑组合如和与应用注释防火墙开发者应该详细描述审计查阅工具的功能尤其是必须描述基于安全相关属性的查找和排序能力防止审计数据丢失防火墙的安全功能应把生成的审计记录储存于一个永久性的审计记录中防火墙的安全功能应限制由于故障和攻击造成的审计事件丢失的数量一旦审计存储耗尽防火墙应能保证在授权管理员所采取的审计行为以外防止其他可审计行为的出现应用注解对因故障或存储耗竭而导致审计数据丢失的最大容量
24、防火墙的开发者应提供相应的分析结果保证要求防火墙的安全保证要求是对防火墙产品或系统的开发研制及供应商提出的管理性规定这些要求与信息技术安全评估通用准则中的安全保证要求是一致的内容见下表表保证要求保证分类保证组件配置管理最低限度的支持交付和操作安装生成和启动过程开发防火墙和安全策略高层设计描述非形式的一致性证明指南文件管理员指南用户指南测试独立测试一致性测试覆盖面非形式分析功能测试测试功能规范脆弱性分析防火墙安全功能强度的评估开发者脆弱性分析配置管理保证类最低限度的支持开发者应使用配置管理系统开发者提供配置管理文件配置管理文件应包括一个配置目录配置目录应描述防火墙的各个配置项目并应包括防火墙使用
25、的外部网络的服务项目配置管理文件应描述用来唯一识别防火墙配置项的方法评估者应该确信所提供的信息满足在内容和表述上的所有要求交付和操作保证类安装生成和启动过程开发者应以文件方式说明用于防火墙的安全安装生成和启动的过程说明文件中应描述防火墙的安全安装生成和启动所必须的步骤评估者应确认所提供的信息满足在内容和表述上的所有要求开发保证类防火墙和安全策略开发者应提供防火墙的功能规范开发者应提供防火墙的安全策略功能规范应以非形式方法来描述安全策略功能规范应包括以非形式方法表述的所有外部安全功能接口的语法和语义功能规范应包括能证明安全功能已完全实现了的证据应用注解这条要求可以通过安全目标和外部接口指标等文件
26、的组合来达到评估者应确认所提供的信息满足在内容和表述上的所有要求评估者应确认功能规范与安全策略是一致的评估者应确认安全功能的表述是否包含了安全目标中的每一项功能要求高层设计描述开发者应提供防火墙安全功能的高层设计高层设计应以非形式方法表述高层设计应根据子系统来描述安全功能的结构高层设计应描述由安全功能的每个子系统提供的安全功能高层设计标明安全子系统接口高层设计应说明安全功能所需的所有底层硬件固件和软件以及其中已实现的保护机制所提供的功能评估者应确认所提供的信息满足在内容和表述上的所有要求评估者应确认安全功能的表述是否包含了安全目标中的每一项功能要求非形式的一致性证明开发者应证明所提供的对安全功
27、能的扼要表述准确一致并且完整地反应了安全目标中的功能要求对于同一安全功能的两个相邻层的表述开发者应证明在较高层抽象表述的所有部分在较底层抽象中得到了细化对于同一安全功能的两个相邻层的表述其对应关系可以用非形式方法表述评估者应确认所提供的信息满足在内容和表述上的所有需求评估者应对安全目标中所陈述的功能要求和以最低层抽象之间的对应关系进行分析以保证准确一致和完整指南文件保证类管理员指南开发者应提供能满足系统管理者需要的管理员指南管理员指南应描述怎样以安全的方式管理防火墙对于应该控制在安全处理环境中的功能和特权管理员指南应有警告管理员指南应对一致有效地使用安全功能提供指导管理员指南应说明两种类型功能
28、之间的差别一种是允许管理员控制安全参数而另一种是只允许管理员获得信息管理员指南应描述管理员控制下的所有安全参数管理员指南应描述各类需要执行管理功能的安全相关事件包括在安全功能控制下改变实体的安全特性管理员指南应包括安全功能如何相互作用的指导管理员指南应包括怎样配置防火墙的指令管理员指南应描述在防火墙的安全安装过程中可能要使用的所有配置选项管理员指南应充分描述与安全管理相关的详细过程管理员指南应与提交给评估的其他文件一致评估者应确认所提供的信息能满足在内容和表述上的所有要求评估者应确认安装过程能产生一个安全的配置用户指南开发者须提供用户指南用户指南应描述用户可使用的安全功能和接口用户指南应该包含
29、使用防火墙提供的安全功能的指导对于应该控制在安全处理环境中的功能和特权用户指南应有警告用户指南应描述用户可见的安全功能之间的相互作用用户指南应与提交给评估的其他文件一致评估者应确认所提供的信息能满足在内容和表述上的所有要求测试保证类独立测试一致性开发者应向国家授权的信息安全产品测评认证机构提供用于测试的防火墙防火墙应适合于测试评估者应确认所提供的信息能满足在内容和表述上的所有要求测试覆盖面非形式分析开发者应提供对测试覆盖范围的分析测试覆盖范围分析应证明测试文件中确定的测试项目能覆盖防火墙的安全功能评估者应确认所提供的信息能满足在内容和表述上的所有要求功能测试开发者应该测试防火墙的安全功能并记录
30、其结果开发者应提供测试文件测试文件应包括测试计划测试过程描述和测试结果测试计划应确定将要测试的安全功能并描述将要达到的测试目标测试过程的描述应确定将要进行的测试并描述测试每一安全功能的具体情况测试文件中的测试结果应给出每一次测试所预期的结果开发者得到的测试结果应能证明每一项安全功能与设计目标相符评估者应确认所提供的信息能满足在内容和表述上的所有要求测试功能规范开发者应提供对测试深度的分析深度分析应证明测试文件中确定的测试充分表明了防火墙的运行符合安全功能规范评估者应确认所提供的信息能满足在内容和表述上的所有要求脆弱性分析保证类防火墙安全功能强度的评估开发者应确定防火墙适合做安全功能强度分析的安
31、全机制开发者应对确定的每一机制进行安全功能强度分析加密与鉴别机制应满足有关规定和国家标准对于安全功能对抗威胁的能力防火墙安全功能强度分析应能判定所标明的安全机制对其产生的影响防火墙安全功能强度分析应证明所标明的安全功能强度与安全目标是一致的安全强度分为中等或高等两档评估者应确认所提供的信息能满足在内容和表述上的所有要求评估者应确认所有需要强度分析的防火墙安全机制已被确定评估者应确认所有强度声明已经确定开发者脆弱性分析开发者应从用户可能破坏安全策略的明显途径方面对防火墙的各种功能进行分析并提供文件开发者应明确记录对确定的脆弱性的处置对每一条脆弱性应有证据显示该脆弱性在使用防火墙的环境中不能被利用
32、评估者应确认所提供的信息能满足在内容和表述上的所有要求评估者应在开发者脆弱性分析的基础上进行渗透测试以确保明显的薄弱点已得到加强基本原则信息技术安全目标的基本原则访问仲裁此安全目标对防止和威胁是必需的管理员访问此安全目标对防止和威胁是必需的个体身份记录此安全目标对防止威胁是必需的防火墙的自保护此安全目标对防止和威胁是必需的审计此安全目标对防止和威胁是必需的表威胁与信息技术安全目标之间的关系非信息技术安全目标的基本原则安装与操作控制此安全目标对防止和威胁是必需的物理控制此安全目标对防止威胁是必需的授权管理员培训此安全目标对防止和威胁是必需的表威胁和非信息技术安全目标之间的关系信息技术功能要求的基
33、本原则完整的客体访问控制该组件用于定义防火墙的访问控制功能它直接支持访问仲裁安全目标访问授权与拒绝该组件要求防火墙具有对访问控制功能的配置能力实际上就是允许管理员实现其安全策略该组件直接支持访问仲裁安全目标多种安全属性访问控制该组件规定防火墙的访问控制功能它直接支持访问仲裁安全目标资源分配时对遗留信息的充分保护该组件用于避免遗留数据在存储体中暴露该组件确保用户不能意外的得到不该属于他们的数据以支持访问控制策略它支持访问仲裁安全目标管理员属性修改该组件要求管理员是唯一能够配置和修改防火墙访问控制功能的人该组件直接支持访问仲裁安全目标和管理员访问安全目标管理员属性查询该组件允许管理员具有查询自己设
34、置的访问控制规则的能力该组件直接支持管理员访问安全目标和访问仲裁安全目标授权管理员可信主机和用户鉴别数据初始化该组件支持授权管理员对鉴别数据的初始化并始终对其进行管理该组件支持个体身份记录安全目标和管理员访问安全目标授权管理员可信主机和用户鉴别数据的基本保护该组件提供用户鉴别数据的保护这样做对满足个体身份记录安全目标和防火墙自保护安全目标是很关键的鉴别失败的基本处理该组件用于防止对防火墙反复隐蔽的攻击特别是像对身份和口令等鉴别数据的猜测尝试它直接支持防火墙自保护安全目标同时支持管理员访问安全目标和个体身份记录安全目标授权管理员可信主机主机和用户属性初始化按照定义和初始化用户属性的需要该组件支持
35、个体身份记录安全目标授权管理员可信主机主机和用户唯一属性定义该组件支持中的依赖性满足定义共享属性的需要且直接支持个体身份记录安全目标授权管理员的基本鉴别该组件要求防火墙管理员在使用防火墙之前必须登录它直接支持个体身份记录安全目标单一使用的鉴别机制该组件要求防火墙支持一次性口令它直接支持个体身份记录安全目标授权管理员可信主机主机和用户唯一身份标识该组件支持和中的依赖性本功能支持个体身份记录安全目标符合规定的加密操作当向管理员提供远程访问能力时该组件提供对授权管理员与防火墙之间交互过程的保护它直接支持要求的能力和防火墙自保护安全目标防火墙安全策略的不可旁路性该组件是安全产品的基本要求它要求防火墙控
36、制网络用户对服务和资源的每次请求直接支持防火墙自保护安全目标间接支持访问仲裁安全目标安全功能区域分离该组件用于保证防火墙不受不可信主体的攻击该组件支持防火墙自保护安全目标分离安全管理角色该组件支持一个明确的管理员角色以提供对防火墙安全功能的管理和对管理功能的控制该组件直接支持管理员访问安全目标管理功能该组件进一步说明有效并且安全地管理防火墙所必需的能力它直接支持管理员访问安全目标生成审计数据该组件指出特殊类型的审计事件以及审计记录的基本内容需要说明的是在中只需要记录故障事件因此所需的信息必须是可管理的该组件支持审计安全目标审计追踪信管理该组件进一步定义必要的审计跟踪事务管理能力它直接支持审计安
37、全目标可理解的格式如果没有查阅的手段审计数据是没有任何用处的该组件要求审计记录是可查阅的它直接支持审计安全目标限制审计跟踪访问该组件要求限制使用查阅工具它直接支持审计安全目标和管理员访问安全目标限制审计查阅该组件要求具备查阅审计数据的工具而且这些工具只限于授权管理员使用该组件支持审计安全目标和管理员访问安全目标可选择查阅审计该组件要求提供一定的检索和排序能力因为审计的数据量大所以该组件的意义是显见的该组件直接支持审计安全目标防止审计数据丢失该组件不仅满足审计记录的要求而且还包括对攻击或故障而导致的审计记录丢失数量的限制在维护相对完整的审计记录时该组件对支持审计安全目标很重要表安全目标和功能要求之间的关系保证要求基本原则在厂商没有提供完整开发记录的情况下只进行中低等级安全评估的独立保证为此厂商需要额外承担最低限度的任务是支持功能测试除此之外如果在开发中已注意使用了合理的标准则厂商不参加也可以进行评估所选的保证级别应满足所有的功能相关性并与设想的威胁环境一致尤其是恶意攻击的威胁不应大于中等级别并且就明显缺陷已对产品做过检查
