首页 > 国家标准(GB) > GB/T 20270-2006 信息安全技术 网络基础安全技术要求
GB/T 20270-2006

基本信息

标准号: GB/T 20270-2006

中文名称:信息安全技术 网络基础安全技术要求

标准类别:国家标准(GB)

标准状态:现行

发布日期:2006-05-31

实施日期:2006-12-01

出版语种:简体中文

下载格式:.rar.pdf

下载大小:2308279

相关标签: 信息安全 技术 网络 基础 安全

标准分类号

标准ICS号:信息技术、办公机械设备>>35.040字符集和信息编码

中标分类号:电子元器件与信息技术>>信息处理技术>>L80数据加密

关联标准

出版信息

出版社:中国标准出版社

书号:155066.1-28083

页数:49

标准价格:21.0 元

计划单号:20030020-T-312

出版日期:2006-08-11

相关单位信息

首发日期:2006-05-31

起草人:吉增瑞、刘广明、王志强、陈冠直、景乾元、宋健平

起草单位:北京思源新创信息安全资讯有限公司、江南计算技术研究所技术服务中心

归口单位:全国信息安全标准化技术委员会

提出单位:全国信息安全标准化技术委员会

发布部门:中华人民共和国国家质量监督检验检疫总局 中国国家标准化管理委员会

主管部门:国家标准化管理委员会

标准简介

本标准规定了各个安全等级的网络系统所需要的基础安全技术的要求。本标准适用于按等级化要求进行的网络系统的设计和实现。 GB/T 20270-2006 信息安全技术 网络基础安全技术要求 GB/T20270-2006 标准下载解压密码:www.bzxz.net

标准图片预览

GB/T 20270-2006 信息安全技术 网络基础安全技术要求
GB/T 20270-2006 信息安全技术 网络基础安全技术要求
GB/T 20270-2006 信息安全技术 网络基础安全技术要求
GB/T 20270-2006 信息安全技术 网络基础安全技术要求
GB/T 20270-2006 信息安全技术 网络基础安全技术要求

标准内容

ICS 35.040
中华人民共和国国家标准
GB/T20270—2006
信息安全技术
网络基础安全技术要求
Information security technology-Basis sccurity techniques requirement for network2006-05-31发布
中华人民共和国国家质量监督检验检疫总局中国国家标准化管理委员会
2006-12-01实施
1范围
2规范性引用文件
3术语、定义和缩略语…
3. 1 术语和定义
3.2缩略语
网络安全组成与相互关系
网络安全功能基本要求
5. 1 身份鉴别
用广标识
用户鉴别
用户一主体绑定
鉴别失败处理
自主访问控制
访问控制策略
访问控制功能
访问控制范制·
访间控制粒度
5.3标记
主体标记
客体标记
标记完整性
有标记信息的输出
5.1·强制访问控制
访问控制策略
访问控制功能…
5.4.3讨间控制范用
访问控制粒度
访问控制环境
数拼流控制
安全审计
安全市让的响应
安全审计数据产生
安全审计分析
安全审计查阅
安全审计事件选择
安全审计事件存储
YYKANKAa
GB/T20270—2006
GB/T20270—2006
5.7用户数据完整性
5.7.1存储数据的完整性
5.7.2传输数据的完整性
5.7.3处理数据的完整性
5.8用户数据保密性
5.8.1存数据的保密性
5.8.2传输数据的保密性
5.8.3客体安全重用
5.9可信路径
5.10抗抵
5.10.1抗原发抵赖
5.10.2抗接收抵赖..
5.11网络安全监控--
6网络安全功能分层分级要求
身份鉴别功能
自主访问控制功能·
标记功能·
强制访问控制功能…
数据流控制功能·
安全计功能
用户数据完整性保护功能
用户数据保密性保护功能
可信路径功能·
6.10抗抵赖功能
网络安全监控功能
7网络安全投术分级要求bzxz.net
7.1第级:用户自主保护级
7.1.1第-级安全功能要求
7.1.2第一级安全保证要求……
7.2第二级:系统审计保护级
7.2.1.第二级安全功能要求
7.2.2第二级安全保证费求.
7.3第二级:安全标记保护级
7.3.1第三级安全功能要求
7.3.2第三级安全保证要求
7.4第四级:结构化保护级
7.1.1第四级安全功能要求
7.4.2第四级安全保证要求
7.5第五级:访问验证保护级
7.5.1第五级安企功能要求
7.5.2第五级安企保证要求
附录A(资料性附录)标准概念说明A,1组成与相互关系
A,2关于网络各层协议主要功能的说明A.3美于安全保护等级划分
A.4关于主体和客体
A. 5关于 SSON、SSF、SSP,SFP 放其相互关系A,6关于数据流控制
A.7关于密玛技术
A.8美于安企网络的建设
参考文献
YYKANKAa
GB/T 20270—2006
本标准的附录A是资料性附录。
本标准由全国信息安全标准化技术委员会提出并归口。GB/T20270—2006
本标准起草单位:北京思源新创信息安全资讯有限公司,江南计算技术研究所技术服务中心。本标准主要起草人:吉增瑞、刘广明、王志强、陈冠直、景乾元、宋健平。GB/T20270—2006
TYYKAONTKAa
本标准用以指导设计者如何设计和实现具有所需要的安全保护等级的网络系统,主要说明为实现GB17859一1999中特个安全保扩等级的安全要求,网络系统应采取的安全技术措施,以及各安全技术要求在不同安全保护等级中的具体差异。网络是一个具有复杂结构、山许多网络设备组成的系统,不同的网络环境又会有不间的系统结构。然而,从网络系统所实现的功能来看,可以概括为“实现网上信息交接”。网上信息交换具体可以分解为信息的发送,信息的传输和信总的接收。从信息安全的角度,网络信息安全可以概括为“保障网上信息交换的安全”,其体表现为信息发送的安全、信息传输的安全和信息接收的安全,以及网上信息交换的抗抵赖等。网上信息交换是通过确定的网络协议实现的,不同的网络会有不间的协议。任何网络设备都是为实现确定的网络协议而设的。典型的、具有代表性的网络协议是国际标准化红织的开放系统互连协议(ISO/OSI),也称七层协议。虽然很少有完全按照七层协议构建的网络系统,但是七层协议的班论价值和指导作用是任何网络协议所不可替代的。网络安全需要通过协议安全来实现。通过对七层协议每一层安全的描述,可以实现对网终安全的完整述。网络协议的安企需要由组成网络系统的设备来保障。因此,对七层协议的安全要求白然包括对网络设备的安全要求。信息安企是与信息系统所实现的功能密切相关的,网络安全也不例外。网络各层协议的安全与其在每一层所实现的功能密切相关。附录A中A,2关于网络各层协议主要功能的说明,对物理层、链路层、网络层、传输层、会话层、表示层、应用层等各层的功能进行了筒要描述,是确定网络各层安全功能要求的主要依据。
本标准以GB/T20271—2006关于信息系统安全等级保扩的通用技术要求为格础,围绕以访问控制为梭心的思想逃行缩写,在对网络安全的组成与相瓦关系进行简要说明的基础上,第5章对网络安全功能基本技术分别进行了说明,第6章是对第5章网络安全功能的分级分层情说的描述。在此基础上,本标准的第7章对网络安全技术的分等级要求分别从安全功能技术要求和安全保证技术要求两方面进行r详细说明。在第7章的描述中除了引用以前各章的内容外,还引用了GB/120271—-2006中关丁安全保证技术要求的内穿。由于GB/T20271一2006的安全保证技术要求,对网络而言没有需要特别说阴的内容、所以在网络基本技术及其分级分层的描述中没有及这方而的内容。1范围
信息安全技术
网络基础安全技术要求
GB/T 20270—2006
本标准依措GB 17859一1999 的五个安全保护等级的划分,根据网络系统在信息系统的作用,规定了各个安全等级的网络系统所需要的基础安全技术的要求,本标准遇用于按等级化的要求迹行的网络系统的设计和实现,对按等级化要求进行的网络系统安全的测试和管理可参照使用。
2规范性引用文件
下列文件的条款通过本标症的引用而成为本标谁的条款。凡是注明门期的引用文件,其随后的所有修改单(不包括勘误的内容)或修订版均不适用丁本标谁,然而,鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本,凡是不注日期的引用义件,其最新版本适用丁本标准,GB178591999计算机信息系统安企保护等级划分准则GB/T20271—2006信息安全技术信息系统通用安全技术要求3术语、定义和缩略语
3.1术语和定义
GB17859—1999确立的以及下列术语和定义适用于本标准。3. 1. 1
网络安全networksecurity
网络环境下存储、传输和处理的信息的保密性、完整性和可用性的表征。3. 1.2
网络安全基础技术hasis technology of network security实现各种类型的网络系统安全露要的所有基础性安全技术。3. 1.3
网络安全子系统security subsystem of netwark网络中安全保护装置的总称,包括硬件、固件、软件和负资执行安全策路的组合体。它建立了一个基本的网络安全保扩环境,并提供安全网络所要求的附加用户服务。注:按照CB17859—1999对 TCB:可信计算坐)的定义SSON(网络安全子系统)就是网络的ICB。3. 1.4
SSON 安全策略 SSON security poliey对SSON中的资源进行管理,保护和分配的一组规期。一个 SSON 中可以有一个或多个安全策略。
安全功能策略securityfunctionpoliey为实现 SSOV安全要素要求的功能所采用的安全策略。3.1.6
安全要素security element
本标推中各安企保护等级的安全技术要求所包含的安全内容的经成成份。CB/T 20270--2006
SSoN安全功能SSoN securityfunelion-YYKANKAa
正确实施SSON安金策略的全部硬件、固件、软件所提供的功能。每·-个安全策略的实现,组成一个SSON安全功能模块。一个SSON的所有安全功能模块共同组成该SSON的安全功能,3. 1. 8
SSF控制范围SSFscopeofcentrolSSOV的操作所涉及的主体和客体的范固。3.2缩略语
下列缩略语适用于本标准:
安全功能策略
SSF控制范
SSON安全功能
SSON安全策略
secutity function policy
SSF scope of contrul
SsON security function
SSON security policy
security suhsystem of nctwork网络安全子系统
网络安金组威与相互关系
根据0SI参考模型和GB17859-1999所规定的安全保护等级和安全要素,网络安全的组成与相左关系如表1所示。
对于网络系统的物理层、链路层、网络层、传输层,会话层,表示层和应用层,可分别按GB1789-1999的各个安全等级的要求进行设计。在各协议层中,安全要素的实现方法可有所不同。本标准恭于各项安全要素对各协议层在各个安全保护等级中应采用的安全技术和机制提出要求。表1安全保护等级、网络层次与安全要素的相互关系安全要索
安全等级和
网络层饮
物理层
链路层
网络层
传输层
会话层
农示层
应用层
物理层
链路层
两络层
传输层
会话层
裁示层
自主访间
牙份鉴圳
照制访问数据疏控
安市证
数据完
数据保
可倍路径抗抵赖
网路安全
安企等级和
网络层饮
物斑层
铠路层
网络层
传输层
会话屋
表示层
应用层
鹤路层
网络层
传输层
会话层
表示层
应川层
物理层
链路层
网洛层
传输层
表示层
身舒些别
自主访间
表1(续)
安全要素
强制访问数据流控
安全审计
数据究
数据保
GB/T20270--2006
可信降租抗抵赖
网络安全
注:“计\表示具有该要亲,每个安全级的各层协议所设登的安全要索可以是有选择的。选择的原则是整体上达到安全要求,
网络安全功能基本要求
身份鉴别
用户标识
基本标识,应在SSF实施所要求的动作之前,先对提出该动作要求的用广进行标识。唯性标识,应确保所标识用户在信息系统生存周期内的唯一性,并将用户标识与案全审计b)
相关联。
标识信息管理:应对用广标识信息进行管理、维护,确保其不被非授权地访问,修改或删除。c
用户鉴别
考本鉴别:应在SSF实施所要求的动作之前,先对提山该动作要求的用户成功地进行签别。a
不可伪造鉴别:应检测并防止使用伪造或复制的整别数据。-方而,要求SSF应检测或防止h)
由任何别的用户伪造的鉴别数据,另一方面:要求SSF应检测或防止当前用户从任何其他用3
CB/T 20270—2006
户处复制的鉴别数据的使用。
TYYKAONTKAa
c)一饮性使用鉴别:应能提供一次性偿用鉴别数据操作的鉴别机制,即SSF应防止与已标认过的鉴别机制有关的鉴别数据的重用,多机制鉴别,应能提供不同的鉴别机制,用于鉴别特定事件的用身份,并且SSF应根据所描d
述的多种鉴别机制如何提供鉴判的规则,来鉴别任何用户所声称的身份。再新鉴别:应有能力规定需要重新鉴别用户的事作,即SSF应在需要重鉴别的条件表所指示e)
的条件下,重新鉴别用户。例如,用户终端操作超时被断开后,重新连按时需要进行重鉴别。5. 1. 3 用户一主体定
在SSON安全功能控制范围之内,对一个口标识和鉴别的用户,为了要求SSF完成某个任务,露要激活另一个主体(如进程),这时,要求逆过用主体绑定将该用户与该主体相美联,从而将用广的身份与该而户的所有可审计行对关联5. 1. 4鉴别失败处理
要求SSF为不成功的鉴别尝试次数(包括尝试数目和时间的阅值)定义一个值,以及明确规定达到该值时所应采取的动作。鉴刻失败的处理应包括检测出现相关的不成功鉴别尝试的次数与所规定的数月相同的情况,并进行预先定义的处理。5,2自主访问控制
5.2.1访问控制策略
SSF应按确定的主访问控制安全策略进行设计,实现对策略控制下的主休与客体间操作的控制。可以有多个自主访问控制安全策略,但它们必须独立命名,且不能相互冲突。常用的自主访问控制策略包括:访间控制表访问控制,目录表访问控制、权能表访问控制等。5.2.2访问控制功能
SSF应明确指出采用条命名的访间控制策略所实现的特定功能,说明策略的使用和特征,以及该策略的控制范围。
无论采用何种自上访问控制策路,SSF应有能力提供:在安全后性或命名的安个性组的客体上,执行访问控制SFP;在基于安全性的允诈丰体对客体访问的规则的基础上,允许主体对客体的访问;在基于安全属性的拒绝主体对客体访问的规则的基础上,拒绝主体对客体的访问。5.2.3访问控制范围
网络系统中自主访问控制的覆盖范周分为:&)子集访问控制,要求每个确定的自主访问控制,SSF应覆益网络系统中所定义的主体,客体及其之间的据作:
l)完全访问控制:要求每个确定的白主访问控制,SSF应覆盖网络系统中所有的主佐、客体皮其之间的操作,即要求SSF虚确保SSC内的任意一个主休和任意一个客休之间的所有操作将至少被个确定的访问控制SFP妆盖。5.2.4访问控制粒度
网络系统自主访问控制的粒度分为:a)粗粒度:主体为用户组/用户级,客体为义件、数据序表级:h)
中粒度:主体为用级,客休为文件,数库表级和/惑记录、字段级:c)
独度:主体为用广级,客体为文件,数插表级和或记录,笔段级或儿素级,5.3标记
5.3.1主体标记
应为实施强制访问控制的主体指定敬感标记,这些敏感标记是实施强制访问控制的依据。如:等级分类和非等级类别组合的敏感标记是实施多级安全模型的基础,1
5.3.2客体标记
GB/T 20270—2006
应为实施强制访问控制的客体指定敏感标记,这些敏感标记是实施强制访问控制的依据,如:等级分类和非等级类别组合的数感标记尼实施多级安全模型的基础。5.3.3标记完整性
敏感标记应能准确地表示特定主体或客休的访问控制属性,主体和客体应以比发生关联。当数从SS()V输山时,根据需要,敏感标记应能准确地和明确地表示输山数据的内部标记,并与输出的数据相关联,
5.3.4有标记信息的输出
SSON应对每个通信信道和I/设备标明单级成多级。这个标志的任何变化都应由授权用户实现,并可由SSOV审计。SSON应维持并H能够对安企保护等级的任何变化进行中定,或对与通信信道或I/0设备有关的安全保护等级进行安全审计。a)向多级安余设备的输出:当SS()N将一客体信息轮山到一个具有多级安全的I/O设备时,与该客体有关的敏感标记也应输出,并以与输出信息相同的形式(如机器川读或人可读形式)驻留在回一·物现媒体上。当SSON在多级通信信道上输出或输入一客体信息时,该信道使用的协议应在敏感标记和被发送或被接收的有关信息之问提供明确的配对关系。6)间单级安企没各的输出:单级1/0设备和单级通信信道不需要维持其处理信息的敏感标记,SSON应包含一种机制,使SSON与一个授权用户能叫靠地实现指定的安全级的信息通信。这种信息经内单级通信信道或1/0设备输人/输出。e)人可读标记的输出:SSON应标记所有人可读的、编页的、具有人Ⅲ读的敏感标记的硬拷贝输出(如行打印机输出)的开始和结束,以适当地表示输出嫩感性。SS(V应按默认值标记人可读的,编页的,具有人可读的敏感标记的硬拷贝输出(如行打印机输出)每负的顶部和底部,以适当地表示该输出总的敏感性,或表示该页信息的敏感性。SSON应该按歇认值,并以种适当方法标记具有人可读的嫩感标记的其他形式的人可读的输出(如图形),以适当地表示该输出的敏感性。这些标记默认值的任何滥用都应由SSON市计。5.4强制访问控制
5.4.1访问控制策略
网络强制访问控制策略应他括策略控制下的主体、客体,及由策略覆盖的被控制的主体与客体间的摄作。可以有多个访问控制安全策略,但它们必须独立命务,且不能相五冲突。当前常见的强制访问控制策略有:
a)多级安全模型:基本思想是,在对主、客体进行标记的基础上,SSOIS控制范围内的所有上休对客体的直接或间接的访间应满足:一向下读原则:仅当主体标记中的等级分类高于或等于客体标记中的等级分类,月主体标记中的非等级类别包含了客体标记中的全部非等级类别,主体才能读该客体;一向上写原则:仪当主体标记中的等级分类低扩或等于客体标记中的等级分类,且主体标记中的非等级类别包含于容体标记中的非等级类别,主体才能写该客体。h)基于角色的防间控制(3RAC):基本思想是,按的色进行权限的分配和管理;诞过对主体进行角色授子,使主体获得相应角色的权阳;通过撤消主体的角色授了,取消主体所获得的相应危色权限。在基于角色的访问控制中,标记信息足对主体的授权信息。c)特权用户管理:基木思想是,计对特权用权限过于集中所带米的安全忠,对特权用户按最小授权原则进行管理。实现特权用广的权限分离:仅授予特权用广为完成自身任务所需要的最小权限,
5.4.2访问控制功能
SSF应明确指出尽用··条命名的强制访间控制策略所实现的特定功能,SSF应有能力提供:GB/T 20270—2006
一在标记或命名的标记组的客体上,执行访问控制SFF;TYYKAONTKAa
一:按受控主休和受控客休之间的允许访问规则、决定允诈受控主体对受控容体执行受控操作;一按受控主体和受控客体之间的拒绝访问规则,决定拒绝受控主体对受控客体执行受控操作。5.4.3访问控制范围
网络强制访问控制的发盖范用分为:a)子集访间控制:对每个确定的强制访问控制,SSF应覆盖信息系统中山安全功能所定义的上体,客体及其之间的操作;
h)全访问控制:对每个确定的强制访问控制:SSF应覆盖信息系统中所有的主体,客体及其之间的操作,即要求SSF应确保SSC内的任意一个主体和征一个客体之间的操作将至少被个确定的访问控制SFP覆盖。
5.4.4访问控制粒度
网络强制访问控制的粒度分为:a)中粒度:上体为用户级,客体为文件、数据库表级和/或记录、字段级:b)细粒度:体为用户级,客体为文件、数据库表级和/或记录、字段级和/或元素级。5.4.5访问控制环境
a)单一安企域环境:在单一安金域环境实施的强制访问搭制应在该环境中维持统-的标记信息和访问规则。当被控客体输出到安全域以外时,应将其标记信息同时输出:多安全域环境:在多安全城环境实施统一安全策略的强制访问控制时,应在这些安全域中维b)
持统一的标记信息和访问规则。当被控制客体在这些安全域之间移动时,应将其标记信息一起移动:
5.5数据流控制
对网络中以数据流力式实现数据流动的情况,应采用数据流控制机制实现对数据流动的控制,以防止具有高等级安全的数据信息向低等级的区域流动。5.6安全审计
5.6.1安全审计的响应
安全中计SSF应按以下要求响应审计事件:8)记审计日志,当检测到可能有安全侵害事件时,将宦计数据证人审计日志;b)实时报警生成:当检测到可能有安全授害事件时,生成实时报警信息违例进程终止:当检测到可能有安全侵害李件时,将违例进程终止;服务收消:当检测到可能有安全侵害事件时,取消当前的服务;d
用户账号断开与失效,当检测到可能有安全侵害事件时,将当前的用户账号断开,并使其失效。e:
5.6.2安全审计数据产生
SSF应按以下要求产-生审计数据:a)为下述可审计事件产生审计记录:年计功能的启动和关闭:
使用身份鉴别机制;
将客体引入用户地址空间(例如:打开文件、程序初始化);删除客体:
一系统管理员、系统安全员、审计员和·-般搬作员所实施的操作;一其他与系统安全有关的事件或专门定义的可中计事件。1)对于每一个事件,其审计记录应包括:事件的日期和时间、用户、事件炎型、事你是否成块,及其他与市计相关的信。
c)对于身份鉴别事件,审计记录应包含请求的来源(例如,终端标识符)。G
小提示:此标准内容仅展示完整标准里的部分截取内容,若需要完整标准请到上方自行免费下载完整标准文档。