GA/T 1140-2014
基本信息
标准号： GA/T 1140-2014
中文名称：信息安全技术web应用防火墙安全技术要求
标准类别：公共安全行业标准(GA)
标准状态：现行
出版语种：简体中文
下载格式：.zip .pdf
下载大小：15045490
标准分类号
关联标准
出版信息
相关单位信息
标准简介
GA/T 1140-2014.Information security technology-Security technical requirements for web application firewall.
1范围
GA/T 1140规定了web应用防火墙的安全功能要求、安全保证要求及等级划分要求。
GA/T 1140适用于web应用防火墙的设计、开发及检测。
2规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件,仅注日期的版本适用于本文件。凡是不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件。
GB 17859- - 1999计算机信息系统安全保护等级划分 准则
GB/T 18336- -2008(所有 部分)信息技术安全技术 信息技术安全性评估准则
GB/T 25069-- 2010信息安全技术 术语
3术语和定义
GB 17859- 1999 .GB/T 18336- 2008(所有 部分)和GB/T 25069- -2010 界定的以及下列术语和定义适用于本文件。
3.1web应用防火墙web application firewall
部署于web客户端和web服务器之间,通过分析web应用层的通信,根据预先定义的过滤规则和防护策略,实现对web应用保护的产品。
3.2SQL注入SQL injection
把SQL命令插入到web表单递交或者页面请求的参数中,以达到欺骗服务器执行恶意SQL命令目的的行为。
3.3跨站脚本cross site scripting
恶意攻击者往web页面里插人恶意HTML代码,当用户浏览该页面时，嵌人web页面里面的HTML代码会被执行,从而达到恶意攻击用户目的的行为。
3.4旁路功能bypass function
当web应用防火墙出现异常情况时(断电、故障等),能够让连接在web应用防火墙上的网络相互导通。
1范围
GA/T 1140规定了web应用防火墙的安全功能要求、安全保证要求及等级划分要求。
GA/T 1140适用于web应用防火墙的设计、开发及检测。
2规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件,仅注日期的版本适用于本文件。凡是不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件。
GB 17859- - 1999计算机信息系统安全保护等级划分 准则
GB/T 18336- -2008(所有 部分)信息技术安全技术 信息技术安全性评估准则
GB/T 25069-- 2010信息安全技术 术语
3术语和定义
GB 17859- 1999 .GB/T 18336- 2008(所有 部分)和GB/T 25069- -2010 界定的以及下列术语和定义适用于本文件。
3.1web应用防火墙web application firewall
部署于web客户端和web服务器之间,通过分析web应用层的通信,根据预先定义的过滤规则和防护策略,实现对web应用保护的产品。
3.2SQL注入SQL injection
把SQL命令插入到web表单递交或者页面请求的参数中,以达到欺骗服务器执行恶意SQL命令目的的行为。
3.3跨站脚本cross site scripting
恶意攻击者往web页面里插人恶意HTML代码,当用户浏览该页面时，嵌人web页面里面的HTML代码会被执行,从而达到恶意攻击用户目的的行为。
3.4旁路功能bypass function
当web应用防火墙出现异常情况时(断电、故障等),能够让连接在web应用防火墙上的网络相互导通。
标准图片预览
标准内容
ICS35.240
中华人民共和国公共安全行业标准GA/T1140—2014
信息安全技术
web应用防火墙安全技术要求
Information securitytechnology-Security technical requirements for web application firewall2014-03-12发布
中华人民共和国公安部
2014-03-12实施
规范性引用文件
术语和定义
缩略语
web应用防火墙描述
安全环境
组织安全策略
安全目的
产品安全目的
环境安全目的
8安全功能要求
防护能力
防护策略
响应处理
报表和统计
HTTPS支持
旁路功能
双机热备
升级能力
标识与鉴别
安全管理·
审计日志
安全保证要求
配置管理
交付与运行
指导性文档·
生命周期支持·
脆弱性评定
技术要求基本原理
GA/T1140—2014
GA/T1140—2014
安全功能要求基本原理
10.2安全保证要求基本原理
11等级划分要求
安全功能要求等级划分
安全保证要求等级划分
.............
HiiKAoNiKAca
本标准按照GB/T1,1-2009给出的规则起草。本标准由公安部网络安全保卫局提出。本标准由公安部信息系统安全标准化技术委员会归口。GA/T1140-2014
本标准起草单位：公安部计算机信息系统安全产品质量监督检验中心、杭州安恒信息技术有限公司、神州数码网络（北京）有限公司、北京安氏领信科技发展有限公司、北京神州绿盟信息安全科技股份有限公司、蓝盾信息安全技术股份有限公司、上海天泰网络技术有限公司、公安部第三研究所。本标准主要起草人：俞优、陆臻、李毅、顾健、张笑笑、张艳、杨元原、范渊、孙小平、黄坚、高继明、秦波、杨育斌、叶志强。
TiiKAONTKAca
GA/T1140—2014
本标准详细描述了与web应用防火墙安全环境相设、威胁和组织安全策略，定义了web应用防火墙及其支撑环境的安全目的，论证了安全功能要求能够追溯并覆盖产品安全目的，安全目的能够追溯并覆盖安全环境相关的假设、威胁和组织安全策略。本标准基本级参照了GB/T18336.3—2008中规定的EAL2级安全保证要求，增强级在EAL4级安全保证要求的基础上，将脆弱性分析要求提升到可以抵御中等攻击潜力的攻击者发起的攻击。本标准仅给出了web应用防火墙应满足的安全技术要求，但对web应用防火墙的具体技术实现方式、方法等不做要求。
iiKAoNiKAca
1范围
信息安全技术
web应用防火墙安全技术要求
GA/T1140—-2014
本标准规定了web应用防火墙的安全功能要求、安全保证要求及等级划分要求。本标准适用于web应用防火墙的设计、开发及检测。2规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB17859一1999计算机信息系统安全保护等级划分准则GB/T18336—2008（所有部分）信息技术安全技术信息技术安全性评估准则GB/T25069—2010信息安全技术术语3术语和定义
GB17859—1999、GB/T18336—2008（所有部分）和GB/T25069—2010界定的以及下列术语和定义适用于本文件。
web应用防火墙webapplicationfirewall部署于web客户端和web服务器之间，通过分析web应用层的通信，根据预先定义的过滤规则和防护策略，实现对web应用保护的产品。3.2
SQL注入SQLinjection
把SQL命令插入到web表单递交或者页面请求的参数中，以达到欺骗服务器执行恶意SQL命令目的的行为。
跨站脚本crosssitescripting
恶意攻击者往web页面里插入恶意HTML代码，当用户浏览该页面时，嵌入web页面里面的HTML代码会被执行，从而达到恶意攻击用户目的的行为3.4
旁路功能bypassfunction
当web应用防火墙出现异常情况时（断电、故障等），能够让连接在web应用防火墙上的网络相互导通。
4缩略语
下列缩略语适用于本文件。
iiKAoNiKAca
GA/T1140—2014
HTML：超文本标记语言（HyperTextMarkupLanguage）HTTP：超文本传输协议（HyperTextTransferProtocol)HTTPS：安全超文本传输协议（HypertextTransferProtocoloverSecureSocketLayer)SQL：结构化查询语言（StructuredQueryLanguage)URL：统一资源定位符（UniversalResourceLocator）XSS：跨站脚本（CrossSiteScripting）5web应用防火墙描述
web应用防火墙通过分析web应用层的通信，根据预先定义的过滤规则和防护策略，对HTTP/HTTPS请求和响应进行过滤，以此帮助web应用资源抵御来自应用层的攻击。web应用防火墙位于web客户端和web服务器之间，并执行安全功能。其保护的资产是内网的web应用资源，此外，web应用防火墙本身及其内部的重要数据也是受保护的资产图1是web应用防火墙的一个典型运行环境。此外，web应用防火墙也可能以组件形式部署于受保护的web应用服务器上。
受保护的
web服务器
不可信网络
web应用防火增
web应用防火墙典型运行环境
6安全环境
6.1假设
web应用防火墙安全环境相关的假设如表1所示。表1假设
假设名称
物理访间
人员能力
连接性
安全维护
6.2威胁
假设描述
受保护的
web服务器
可信网络
产品的处理资源应限定在受控的访间设备内，以防止未授权的物理访问。所有实施产品安全策略相关的硬件和软件应受到保护，以免受非授权的物理更改授权管理员是无恶意的，训练有素的，并遵循管理员指南不可信网络和受保护的Web服务器之间的HTTP/HTTPS通信应经过产品当产品的应用环境发生变化时，应立即反映在产品的安全策略中并保持其安全功能有效web应用防火墙安全环境相关的威胁如表2所示。2
TKAONKAca
威胁名称
web攻击
记录失败
非授权访间
信息泄漏
持续鉴别尝试
漏洞攻击
状态异常
组织安全策略
表2威胁
威胁描述
GA/T1140—2014
攻击者可能通过构造特殊的HTTP/HTTPS请求，对产品保护的Web应用实施SQL注入XSS等web攻击
产品可能未成功记录相关安全事件；攻击者可能通过耗尽审计数据存储空间的方法，从而掩盖其攻击行为
非授权用户可能试图访问和使用产品提供的安全功能非授权用户可能浏览远程授权管理员和产品之间发送的安全相关信息非投权用户可能通过反复猜测鉴别数据的方法，进一步获取管理员权限攻击者可能利用产品自身的安全机制进行攻击，导致产品权限丢失或功能故障产品可能遭受断电、故障等异常情况，导致受保护的web应用无法正常提供服务web应用防火墙安全环境相关的组织安全策略如表3所示。表3
组织安全策略名称
安全管理
安全目的
产品安全目的
组织安全策略
组织安全策略描述
为追踪与安全相关活动的责任，与安全相关的事件应记录、保存和审查产品应为授权管理员提供管理手段，使其以安全的方式进行管理表4定义了web应用防火墙的安全目的。这些安全目的旨在对应已标识的威胁或组织安全策略。表4产品安全目的
产品安全目的名称
web攻击防护
事件记录
身份认证
信息保密
鉴别失败处理
操作系统加固
产品安全目的描述
产品应仲裁web客户端和web服务器之间交互的信息流，及时发现攻击行为，并根据策略对web攻击进行阻断产品应记录和统计web攻击行为，记录应具有精确的日期和时间：且产品应提供基本的防止事件记录丢失的措施在允许用户访问产品功能之前，产品应对用户身份进行唯的标识和鉴别
如果产品允许通过相连网络对其进行远程管理，那么它应保证远程管理信息的保密性
产品应具备安全机制防止恶意用户反复猜测鉴别数据为更好地防范产品自身的漏润，产品应确保底层支撑系统的可靠性和稳定性
对应的威胁或组织安全策略
web攻击
记录失败
非授权访间
信息泄漏
持续鉴别尝试
漏洞攻击
TiiKANiKAca
GA/T1140—2014
产品安全目的名称
失效处理
安全管理
环境安全目的
表4（续）
产品安全目的描述
产品应具备硬件失效处理措施，保障其保护的web应用能够正常提供服务
产品应记录安全相关的事件，以便追踪安全相关行为的责任并应提供方法审查所记录的数据产品应向授权管理员提供以安全方式进行管理的有效手段对应的威胁或组织安全策略
状态异常
安全管理
表5定义了非技术或程序方法进行处理的安全目的。6.1确定的假设被包含在环境安全目的中。表5环境安全目的
环境安全目的名称
物理访问
人员能力
连接性
安全维护
8安全功能要求
防护能力
过滤防护
环境安全目的描述
产品的处理资源应限定在受控的访间设备内，以防止未授权的物理访问。所有实施产品安全策略相关的硬件和软件应受到保护，以免受非授权的物理更改管理员是无恶意的，训练有素的，并遵循管理员指南不可信网络和受保护的Web服务器之间的HTTP/HTTPS通信应经过产品
当产品的应用环境发生变化时，应立即反应在产品的安全策略中并保持其安全功能有效
产品应能根据以下内容对HTTP请求和响应进行过滤：HTTP的请求类型；
HTTP请求的参数；
HTTP请求头的长度；
HTTP请求的文件；
HTTP应答码、应答内容。
攻击防护
产品应至少对以下常见web攻击进行防护：a)
SQL注入攻击；
XSS攻击；
信息泄露；
目录遍历；
对应的假设
物理访间
人员能力
连接性
安全维护
TTiKAONTKAca
e）其他web攻击。
3逃避检测防护
GA/T1140—2014
产品应能将请求数据转换为标准形式，并支持识别多种编码格式，以此发现逃避检测的攻击行为、至少包括以下内容：
识别并压缩空格；
b）识别并替换注释；
c)大小写转换；
d）URL解码、HTML实体解码、unicode解码等。8.2
防护策略
策略自定义
产品应能根据8.1.1中所述的要求添加、修改和删除过滤策略。8.2.2
策略初始模板
产品应具备初始的防护策略，并覆盖8.1.2中所述的常见web攻击。8.3响应处理
8.3.1攻击阻断
产品应能根据防护策略对攻击请求进行准确阻断。8.3.2
告警信息
产品应能对攻击行为设置危险级别并提供报警功能。报警信息应至少包括以下内容：事件主体；
b）事件客体；
事件描述；
事件发生的日期和时间。
美告警方式
产品应采用屏幕实时提示、邮件告警和短信告警等一种或多种方式进行告警8.3.4
事件记录
产品应能对攻击行为及时生成事件记录，事件记录应存储于掉电非易失性存储介质中，且在存储空间达到阈值时能够通知授权管理员。8.4报表和统计
8.4.1报表生成
产品应能对事件记录进行统计，并根据以下模板生成报表：a)
缺省报表模板；
自定义报表模板。
GA/T1140—2014
8.4.2报表导出
产品报表应能输出成方便阅读的文件格式，至少支持以下报表文件格式中的一种或多种：DOC、PDF、HTML、XLS等。
8.4.3统计功能
产品应提供基于流量、攻击行为进行统计的功能。8.5
HTTPS支持
产品对于HTTPS应具备8.1中所述的防护能力。8.6
旁路功能www.bzxz.net
产品应具备旁路功能，能够在断电、故障等异常情况下保持网络连通。8.7双机热备
产品应具备双机热备功能，当主web应用防火墙出现断电或其他故障时，备web应用防火墙应及时发现并接管进行工作。
3升级能力
产品应支持手动或自动的方式进行升级，对规则库、策略文件以及服务程序等进行更新。8.9标识与鉴别
8.9.1用户标识
8.9.1.1属性定义
产品应为每个管理员规定与之相关的安全属性，如标识、鉴别信息、隶属组、权限等。8.9.1.2属性初始化
产品应提供使用默认值对创建的每个管理员的属性进行初始化的能力。8.9.1.3唯一性标识
产品应为管理员提供唯一标识，并能将标识与该用户的所有可审计事件相关联。8.9.2身份鉴别
基本鉴别
产品应在执行任何与安全功能相关的操作之前鉴别用户的身份。8.9.2.2
鉴别数据保护
产品应保证鉴别数据不被未授权查阅或修改。8.9.2.3鉴别失败处理
当对用户鉴别失败的次数达到指定次数后，产品应能终止用户的访问。6
8.10安全管理
安全功能管理
授权管理员应能对产品进行以下管理操作：a)
查看、修改相关安全属性；
启动、关闭全部或部分安全功能；b)）
制定和修改各种安全策略。
安全角色管理
产品应能对管理员角色进行区分：a）具有至少两种不同权限的管理员角色；根据不同的功能模块定义各种不同权限角色。b)
远程保密传输
若产品组件间通过网络进行通讯，应采取保密措施保障组件间数据传输的安全。8.10.4
可信管理主机
若产品提供远程管理功能，应能对可远程管理的主机地址进行限制。8.10.5
数据完整性
GA/T1140—2014
产品应确保用户信息、策略信息和关键程序的数据完整性，采取必要的手段对其完整性自动进行检验。
安全支撑系统
产品的底层支撑系统应满足以下要求：确保其支撑系统不提供多余的网络服务；a)
b）不含任何导致产品权限丢失、拒绝服务等的安全漏洞。8.11
审计日志
审计日志生成
产品应对与自身安全相关的以下事件生成审计日志：a)
用户登录成功和失败；
对安全策略进行更改；
对管理员进行增加、删除和属性修改；c)
因鉴别失败的次数超出了设定值，导致的会话连接终止；d)
对事件记录、审计日志的操作；e)
管理员的其他操作。
每一条审计日志至少应包括事件发生的日期、时间、用户标识、事件描述和结果。若采用远程登录方式对产品进行管理，还应记录管理主机的地址。审计日志存储
审计日志应存储于掉电非易失性存储介质中。7
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。
中华人民共和国公共安全行业标准GA/T1140—2014
信息安全技术
web应用防火墙安全技术要求
Information securitytechnology-Security technical requirements for web application firewall2014-03-12发布
中华人民共和国公安部
2014-03-12实施
规范性引用文件
术语和定义
缩略语
web应用防火墙描述
安全环境
组织安全策略
安全目的
产品安全目的
环境安全目的
8安全功能要求
防护能力
防护策略
响应处理
报表和统计
HTTPS支持
旁路功能
双机热备
升级能力
标识与鉴别
安全管理·
审计日志
安全保证要求
配置管理
交付与运行
指导性文档·
生命周期支持·
脆弱性评定
技术要求基本原理
GA/T1140—2014
GA/T1140—2014
安全功能要求基本原理
10.2安全保证要求基本原理
11等级划分要求
安全功能要求等级划分
安全保证要求等级划分
.............
HiiKAoNiKAca
本标准按照GB/T1,1-2009给出的规则起草。本标准由公安部网络安全保卫局提出。本标准由公安部信息系统安全标准化技术委员会归口。GA/T1140-2014
本标准起草单位：公安部计算机信息系统安全产品质量监督检验中心、杭州安恒信息技术有限公司、神州数码网络（北京）有限公司、北京安氏领信科技发展有限公司、北京神州绿盟信息安全科技股份有限公司、蓝盾信息安全技术股份有限公司、上海天泰网络技术有限公司、公安部第三研究所。本标准主要起草人：俞优、陆臻、李毅、顾健、张笑笑、张艳、杨元原、范渊、孙小平、黄坚、高继明、秦波、杨育斌、叶志强。
TiiKAONTKAca
GA/T1140—2014
本标准详细描述了与web应用防火墙安全环境相设、威胁和组织安全策略，定义了web应用防火墙及其支撑环境的安全目的，论证了安全功能要求能够追溯并覆盖产品安全目的，安全目的能够追溯并覆盖安全环境相关的假设、威胁和组织安全策略。本标准基本级参照了GB/T18336.3—2008中规定的EAL2级安全保证要求，增强级在EAL4级安全保证要求的基础上，将脆弱性分析要求提升到可以抵御中等攻击潜力的攻击者发起的攻击。本标准仅给出了web应用防火墙应满足的安全技术要求，但对web应用防火墙的具体技术实现方式、方法等不做要求。
iiKAoNiKAca
1范围
信息安全技术
web应用防火墙安全技术要求
GA/T1140—-2014
本标准规定了web应用防火墙的安全功能要求、安全保证要求及等级划分要求。本标准适用于web应用防火墙的设计、开发及检测。2规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB17859一1999计算机信息系统安全保护等级划分准则GB/T18336—2008（所有部分）信息技术安全技术信息技术安全性评估准则GB/T25069—2010信息安全技术术语3术语和定义
GB17859—1999、GB/T18336—2008（所有部分）和GB/T25069—2010界定的以及下列术语和定义适用于本文件。
web应用防火墙webapplicationfirewall部署于web客户端和web服务器之间，通过分析web应用层的通信，根据预先定义的过滤规则和防护策略，实现对web应用保护的产品。3.2
SQL注入SQLinjection
把SQL命令插入到web表单递交或者页面请求的参数中，以达到欺骗服务器执行恶意SQL命令目的的行为。
跨站脚本crosssitescripting
恶意攻击者往web页面里插入恶意HTML代码，当用户浏览该页面时，嵌入web页面里面的HTML代码会被执行，从而达到恶意攻击用户目的的行为3.4
旁路功能bypassfunction
当web应用防火墙出现异常情况时（断电、故障等），能够让连接在web应用防火墙上的网络相互导通。
4缩略语
下列缩略语适用于本文件。
iiKAoNiKAca
GA/T1140—2014
HTML：超文本标记语言（HyperTextMarkupLanguage）HTTP：超文本传输协议（HyperTextTransferProtocol)HTTPS：安全超文本传输协议（HypertextTransferProtocoloverSecureSocketLayer)SQL：结构化查询语言（StructuredQueryLanguage)URL：统一资源定位符（UniversalResourceLocator）XSS：跨站脚本（CrossSiteScripting）5web应用防火墙描述
web应用防火墙通过分析web应用层的通信，根据预先定义的过滤规则和防护策略，对HTTP/HTTPS请求和响应进行过滤，以此帮助web应用资源抵御来自应用层的攻击。web应用防火墙位于web客户端和web服务器之间，并执行安全功能。其保护的资产是内网的web应用资源，此外，web应用防火墙本身及其内部的重要数据也是受保护的资产图1是web应用防火墙的一个典型运行环境。此外，web应用防火墙也可能以组件形式部署于受保护的web应用服务器上。
受保护的
web服务器
不可信网络
web应用防火增
web应用防火墙典型运行环境
6安全环境
6.1假设
web应用防火墙安全环境相关的假设如表1所示。表1假设
假设名称
物理访间
人员能力
连接性
安全维护
6.2威胁
假设描述
受保护的
web服务器
可信网络
产品的处理资源应限定在受控的访间设备内，以防止未授权的物理访问。所有实施产品安全策略相关的硬件和软件应受到保护，以免受非授权的物理更改授权管理员是无恶意的，训练有素的，并遵循管理员指南不可信网络和受保护的Web服务器之间的HTTP/HTTPS通信应经过产品当产品的应用环境发生变化时，应立即反映在产品的安全策略中并保持其安全功能有效web应用防火墙安全环境相关的威胁如表2所示。2
TKAONKAca
威胁名称
web攻击
记录失败
非授权访间
信息泄漏
持续鉴别尝试
漏洞攻击
状态异常
组织安全策略
表2威胁
威胁描述
GA/T1140—2014
攻击者可能通过构造特殊的HTTP/HTTPS请求，对产品保护的Web应用实施SQL注入XSS等web攻击
产品可能未成功记录相关安全事件；攻击者可能通过耗尽审计数据存储空间的方法，从而掩盖其攻击行为
非授权用户可能试图访问和使用产品提供的安全功能非授权用户可能浏览远程授权管理员和产品之间发送的安全相关信息非投权用户可能通过反复猜测鉴别数据的方法，进一步获取管理员权限攻击者可能利用产品自身的安全机制进行攻击，导致产品权限丢失或功能故障产品可能遭受断电、故障等异常情况，导致受保护的web应用无法正常提供服务web应用防火墙安全环境相关的组织安全策略如表3所示。表3
组织安全策略名称
安全管理
安全目的
产品安全目的
组织安全策略
组织安全策略描述
为追踪与安全相关活动的责任，与安全相关的事件应记录、保存和审查产品应为授权管理员提供管理手段，使其以安全的方式进行管理表4定义了web应用防火墙的安全目的。这些安全目的旨在对应已标识的威胁或组织安全策略。表4产品安全目的
产品安全目的名称
web攻击防护
事件记录
身份认证
信息保密
鉴别失败处理
操作系统加固
产品安全目的描述
产品应仲裁web客户端和web服务器之间交互的信息流，及时发现攻击行为，并根据策略对web攻击进行阻断产品应记录和统计web攻击行为，记录应具有精确的日期和时间：且产品应提供基本的防止事件记录丢失的措施在允许用户访问产品功能之前，产品应对用户身份进行唯的标识和鉴别
如果产品允许通过相连网络对其进行远程管理，那么它应保证远程管理信息的保密性
产品应具备安全机制防止恶意用户反复猜测鉴别数据为更好地防范产品自身的漏润，产品应确保底层支撑系统的可靠性和稳定性
对应的威胁或组织安全策略
web攻击
记录失败
非授权访间
信息泄漏
持续鉴别尝试
漏洞攻击
TiiKANiKAca
GA/T1140—2014
产品安全目的名称
失效处理
安全管理
环境安全目的
表4（续）
产品安全目的描述
产品应具备硬件失效处理措施，保障其保护的web应用能够正常提供服务
产品应记录安全相关的事件，以便追踪安全相关行为的责任并应提供方法审查所记录的数据产品应向授权管理员提供以安全方式进行管理的有效手段对应的威胁或组织安全策略
状态异常
安全管理
表5定义了非技术或程序方法进行处理的安全目的。6.1确定的假设被包含在环境安全目的中。表5环境安全目的
环境安全目的名称
物理访问
人员能力
连接性
安全维护
8安全功能要求
防护能力
过滤防护
环境安全目的描述
产品的处理资源应限定在受控的访间设备内，以防止未授权的物理访问。所有实施产品安全策略相关的硬件和软件应受到保护，以免受非授权的物理更改管理员是无恶意的，训练有素的，并遵循管理员指南不可信网络和受保护的Web服务器之间的HTTP/HTTPS通信应经过产品
当产品的应用环境发生变化时，应立即反应在产品的安全策略中并保持其安全功能有效
产品应能根据以下内容对HTTP请求和响应进行过滤：HTTP的请求类型；
HTTP请求的参数；
HTTP请求头的长度；
HTTP请求的文件；
HTTP应答码、应答内容。
攻击防护
产品应至少对以下常见web攻击进行防护：a)
SQL注入攻击；
XSS攻击；
信息泄露；
目录遍历；
对应的假设
物理访间
人员能力
连接性
安全维护
TTiKAONTKAca
e）其他web攻击。
3逃避检测防护
GA/T1140—2014
产品应能将请求数据转换为标准形式，并支持识别多种编码格式，以此发现逃避检测的攻击行为、至少包括以下内容：
识别并压缩空格；
b）识别并替换注释；
c)大小写转换；
d）URL解码、HTML实体解码、unicode解码等。8.2
防护策略
策略自定义
产品应能根据8.1.1中所述的要求添加、修改和删除过滤策略。8.2.2
策略初始模板
产品应具备初始的防护策略，并覆盖8.1.2中所述的常见web攻击。8.3响应处理
8.3.1攻击阻断
产品应能根据防护策略对攻击请求进行准确阻断。8.3.2
告警信息
产品应能对攻击行为设置危险级别并提供报警功能。报警信息应至少包括以下内容：事件主体；
b）事件客体；
事件描述；
事件发生的日期和时间。
美告警方式
产品应采用屏幕实时提示、邮件告警和短信告警等一种或多种方式进行告警8.3.4
事件记录
产品应能对攻击行为及时生成事件记录，事件记录应存储于掉电非易失性存储介质中，且在存储空间达到阈值时能够通知授权管理员。8.4报表和统计
8.4.1报表生成
产品应能对事件记录进行统计，并根据以下模板生成报表：a)
缺省报表模板；
自定义报表模板。
GA/T1140—2014
8.4.2报表导出
产品报表应能输出成方便阅读的文件格式，至少支持以下报表文件格式中的一种或多种：DOC、PDF、HTML、XLS等。
8.4.3统计功能
产品应提供基于流量、攻击行为进行统计的功能。8.5
HTTPS支持
产品对于HTTPS应具备8.1中所述的防护能力。8.6
旁路功能www.bzxz.net
产品应具备旁路功能，能够在断电、故障等异常情况下保持网络连通。8.7双机热备
产品应具备双机热备功能，当主web应用防火墙出现断电或其他故障时，备web应用防火墙应及时发现并接管进行工作。
3升级能力
产品应支持手动或自动的方式进行升级，对规则库、策略文件以及服务程序等进行更新。8.9标识与鉴别
8.9.1用户标识
8.9.1.1属性定义
产品应为每个管理员规定与之相关的安全属性，如标识、鉴别信息、隶属组、权限等。8.9.1.2属性初始化
产品应提供使用默认值对创建的每个管理员的属性进行初始化的能力。8.9.1.3唯一性标识
产品应为管理员提供唯一标识，并能将标识与该用户的所有可审计事件相关联。8.9.2身份鉴别
基本鉴别
产品应在执行任何与安全功能相关的操作之前鉴别用户的身份。8.9.2.2
鉴别数据保护
产品应保证鉴别数据不被未授权查阅或修改。8.9.2.3鉴别失败处理
当对用户鉴别失败的次数达到指定次数后，产品应能终止用户的访问。6
8.10安全管理
安全功能管理
授权管理员应能对产品进行以下管理操作：a)
查看、修改相关安全属性；
启动、关闭全部或部分安全功能；b)）
制定和修改各种安全策略。
安全角色管理
产品应能对管理员角色进行区分：a）具有至少两种不同权限的管理员角色；根据不同的功能模块定义各种不同权限角色。b)
远程保密传输
若产品组件间通过网络进行通讯，应采取保密措施保障组件间数据传输的安全。8.10.4
可信管理主机
若产品提供远程管理功能，应能对可远程管理的主机地址进行限制。8.10.5
数据完整性
GA/T1140—2014
产品应确保用户信息、策略信息和关键程序的数据完整性，采取必要的手段对其完整性自动进行检验。
安全支撑系统
产品的底层支撑系统应满足以下要求：确保其支撑系统不提供多余的网络服务；a)
b）不含任何导致产品权限丢失、拒绝服务等的安全漏洞。8.11
审计日志
审计日志生成
产品应对与自身安全相关的以下事件生成审计日志：a)
用户登录成功和失败；
对安全策略进行更改；
对管理员进行增加、删除和属性修改；c)
因鉴别失败的次数超出了设定值，导致的会话连接终止；d)
对事件记录、审计日志的操作；e)
管理员的其他操作。
每一条审计日志至少应包括事件发生的日期、时间、用户标识、事件描述和结果。若采用远程登录方式对产品进行管理，还应记录管理主机的地址。审计日志存储
审计日志应存储于掉电非易失性存储介质中。7
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。