GB/T 20010-2005信息安全技術(shù)包過濾防火墻評估準(zhǔn)則

ICS35.020L09中華人民共和國國家標(biāo)準(zhǔn)GB/T20010—2005信息安全技術(shù)包過濾防火墻評估準(zhǔn)則InformationsecuritytechnologyPacketfilteringfirewalsevaluationcriteria2005-11-11發(fā)布2006-05-01實施中華人民共和國國家質(zhì)量監(jiān)督檢驗檢疫總局發(fā)布中國國家標(biāo)準(zhǔn)化管理委員會

GB/T20010-2005前言引言范圍2規(guī)范性引用文件3術(shù)語和定義4安全環(huán)境4.1物理方面4.2人員方面4.3連通性方面5評估內(nèi)容5.1用戶自主保護級5.1.1防問控制5.1.2身份鑒別5.1.3數(shù)據(jù)完整性5.1.4配置管理·5.1.5安全功能開發(fā)過程5.1.6測試5.1.7指導(dǎo)性文檔5.1.8交付與運行5.2系統(tǒng)審計保護級5.2.1仿問控制5.2.2身份鑒別5.2.3客體重用5.2.4審計5.2.5數(shù)據(jù)完整性5.2.6生存周期支持5.2.7T配置管理…….5.2.8安全功能開發(fā)過程5.2.9測試5.2.10指指導(dǎo)性文檔……….5.2.11脆弱性分析…5.2.12交付與運行·5.3安全標(biāo)記保護級5.3.1防問控制5.3.2標(biāo)記5.3.3身份鑒別··..．.·5.3.4客體重用……5.3.5審計?………·5.3.6數(shù)據(jù)完整性…5.3.7碼支持………

GB/T20010-20055.3.8生存周期支持·5.3.9配置管理………5.3.10安全功能開發(fā)過程5.3.115.3.12指導(dǎo)性文檔5.3.13脆弱性分析5.3.14交付和運行.4結(jié)構(gòu)化保護級·.5.4.1仿問控制….5.4.2標(biāo)記…….5.4.3身份鑒別·…………·5.4.4客體重用…5.4.5審計……….5.4.6數(shù)據(jù)完整性…5.4.7可信路徑……175.4.8雷碼支持·5.4.9生生存周期支持;185.4.10配置管理185.4.11安全功能開發(fā)過程185.4.12測試20指導(dǎo)性文檔5.4.135.4.14脆弱性分析5.4.15交付與運行5.5訪問驗證保護級.防問控制…..5.5.1215.5.2標(biāo)記…..…..23身份鑒別·5.5.328客體重用…5.5.45.5.5數(shù)據(jù)完整性·5.5.6255.5.7可信路徑5.5.8可信恢復(fù)·富碼支持…5.5.95.5.10生存周期支持5.5.11配配置管理26安全功能開發(fā)過程5.5.12265.5.135.5.14指導(dǎo)性文檔脆弱性分析5.5.1520交付與運行5.5.1629附錄A（資料性附錄）防火墻面臨的威脅和對策參考文獻32

GB/T20010—2005前GB17859—1999《計算機信息系統(tǒng)安全保護等級劃分準(zhǔn)則》是我國計算機信息系統(tǒng)安全等級管理的重要標(biāo)準(zhǔn).已于1999年9月13日發(fā)布。為促進安全等級管理工作的正常有序開展，特制定一系列相關(guān)的標(biāo)準(zhǔn)。本標(biāo)準(zhǔn)是系列標(biāo)準(zhǔn)之一。本標(biāo)準(zhǔn)文本中.黑體字表示較低等級中沒有出現(xiàn)或增強的評估內(nèi)容。本標(biāo)準(zhǔn)的附錄A中說明防火墻面臨的主要威脅和對策。本標(biāo)準(zhǔn)的附錄A是資料性附錄。本標(biāo)準(zhǔn)由全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會提出并歸口本標(biāo)準(zhǔn)起草單位：北京大學(xué)軟件工程國家工程中心，公安部公共信息網(wǎng)絡(luò)安全監(jiān)察局。本標(biāo)準(zhǔn)主要起草人：王立福、劉學(xué)洋、趙學(xué)志、張勁飛、張晰，

GB/T20010—2005防火墻是內(nèi)部、外部兩個網(wǎng)絡(luò)之間的一個阻隔，通過允許和拒絕經(jīng)過防火墻的數(shù)據(jù)流，防止不希望的、未授權(quán)的通信.并實現(xiàn)對進、出內(nèi)部網(wǎng)絡(luò)的服務(wù)和訪問的審計和控制。防火墻對網(wǎng)絡(luò)用戶提供訪問控制服務(wù)和通信安全服務(wù).對網(wǎng)絡(luò)用戶基本上是"透明”的.并且只有授權(quán)的管理員方可對防火墻進行管理。防火墻一般要解決的安全問題可分為被保護系統(tǒng)(即內(nèi)部網(wǎng))的安全問題和自身的安全問題防火墻產(chǎn)品主要分為兩類：包過濾和應(yīng)用級防火墻。本標(biāo)準(zhǔn)規(guī)定了包過濾防火墻的各級安全要求包過濾防火墻根據(jù)安全功能策略建立包過濾規(guī)則。過濾規(guī)則的主要要素有源IP地址、目的IP地址、協(xié)議號、源端口、目的端口、連接標(biāo)志和另外一些IP選項,以及包到達或發(fā)出的接口。

GB/T20010—2005信息安全技術(shù)包過濾防火墻評估準(zhǔn)則1范圍本標(biāo)準(zhǔn)從信息技術(shù)方面規(guī)定了按照GB17859—1999的五個安全保護等級對采用"傳輸控制協(xié)議)網(wǎng)間協(xié)議（TCP/IP)"的包過濾防火墻產(chǎn)品安全保護等級劃分所需要的評估內(nèi)容。本標(biāo)準(zhǔn)適用于包過濾防火墻安全保護等級的評估，對于包過濾防火墻的研制、開發(fā)、測試和產(chǎn)品采購也可參照使用。2規(guī)范性引用文件下列文件中的條款通過本標(biāo)準(zhǔn)的引用而成為本標(biāo)準(zhǔn)的條款。凡是注日期的引用文件,其隨后所有的修改單(不包括勒誤的內(nèi)容)或修訂版均不適用于本標(biāo)準(zhǔn).然而，鼓勵根據(jù)本標(biāo)準(zhǔn)達成協(xié)議的各方研究是否可使用這些文件的最新版本。凡是不注日期的引用文件，其最新版本適用于本標(biāo)準(zhǔn)。GB17859—1999計算機信息系統(tǒng)安全保護等級劃分準(zhǔn)則術(shù)語和定義GB17859-—1999確立的以及下列術(shù)語和定義適用于本標(biāo)準(zhǔn)。主機host一臺與防火墻相互作用的機器,它在防火墻安全功能策略控制下進行通信。32用戶uSer一個在防火墻安全功能策略的控制下，通過防火墻訪問外部網(wǎng)絡(luò)或內(nèi)部網(wǎng)絡(luò)的人·此人不具有能影響防火墻安全功能策略執(zhí)行的特權(quán)。3.3授權(quán)管理員：uthorizedadministrator能訪問、實施、修改防火墻安全功能策略的個人,其職責(zé)僅限定于對防火墻的管理，不包括系統(tǒng)管理和網(wǎng)絡(luò)管理3.4可信主機trustedh