計算機(jī)信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則

GB17859-1999計算機(jī)信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則

1范圍

本標(biāo)準(zhǔn)規(guī)定/計算機(jī)系統(tǒng)安全保護(hù)能力的五個等級，即：

第一級：用戶自主保護(hù)級；

第二級：系統(tǒng)審計保護(hù)級；

第三級：安全標(biāo)記保護(hù)級；

第四級：結(jié)構(gòu)化保護(hù)級；

第五級：訪問驗證保護(hù)級。

本標(biāo)準(zhǔn)適用計算機(jī)信息系統(tǒng)安全保護(hù)技術(shù)能力等級的劃分。計算機(jī)信

息系統(tǒng)安全保護(hù)能力隨著安全保護(hù)等級的增高，逐漸增強(qiáng)。

2引用標(biāo)準(zhǔn)

下列標(biāo)準(zhǔn)所包含的條文，通過在本標(biāo)準(zhǔn)中引用而構(gòu)成本標(biāo)準(zhǔn)的條文。

本標(biāo)準(zhǔn)出版時，所示版本均為有效。所有標(biāo)準(zhǔn)都會被修訂，使用本標(biāo)

準(zhǔn)的各方應(yīng)探討使用下列標(biāo)準(zhǔn)最新版木的可能性。

GB/T5271數(shù)據(jù)處理詞匯

3定義

除本章定義外，其他未列出的定義見GB/T5271。

3.1計算機(jī)信息系統(tǒng)computerinformationsystem

計算機(jī)信息系統(tǒng)是由計算機(jī)及其相關(guān)的和配套的設(shè)備、設(shè)施（含網(wǎng)絡(luò)）

構(gòu)成的，按照一定的應(yīng)用目標(biāo)和規(guī)則對信息進(jìn)行采集、加工、存儲、

傳輸、檢索等處理的人機(jī)系統(tǒng)。

3.2計算機(jī)信息系統(tǒng)可信計算基trustedcomputingbaseof

computerinformationsystem

計算機(jī)系統(tǒng)內(nèi)保護(hù)裝置的總體，包括硬件、固件、軟件和負(fù)責(zé)執(zhí)行安

全策略的組合體。它建立了一個基本的保護(hù)環(huán)境并提供一個可信計算

系統(tǒng)所要求的附加用戶服務(wù)。

3.3客體object

信息的載體。

3.4主體subject

引起信息在客體之間流動的人、進(jìn)程或設(shè)備等。

3.5敏感標(biāo)記sensitivitylabel

表示客體安全級別并描述客體數(shù)據(jù)敏感性的一組信息，可信計算基中

把敏感標(biāo)記作為強(qiáng)制訪問控制決策的依據(jù)。

3.6安全策略securitypolicy

有關(guān)管理、保護(hù)和發(fā)布敏感信息的法律、規(guī)定和實施細(xì)則。

3.7信道channel

系統(tǒng)內(nèi)的信息傳輸路徑。

3.8隱蔽信道covertchannel

允許進(jìn)程以危害系統(tǒng)安全策略的方式傳輸信息的通信信道。

3.9訪問監(jiān)控器referencemonitor

監(jiān)控主體和客體之間授權(quán)訪問關(guān)系的部件。

4等級劃分準(zhǔn)則

4.1第一級用戶自主保護(hù)級

本級的計算機(jī)信息系統(tǒng)可信計算基通過隔離用戶與數(shù)據(jù)，使用戶具備

自主安全保護(hù)的能力。它具有多種形式的控制能力，對用戶實施訪問

控制，即為用戶提供可行的手段，保護(hù)用戶和用戶組信息，避免其他

用戶對數(shù)據(jù)的非法讀寫與破壞。

4.1.1自主訪問控制

計算機(jī)信息系統(tǒng)可信計算基定義和控制系統(tǒng)中命名用戶對命名客體

的訪問。實施機(jī)制（例如：訪問控制表）允許命名用戶以用戶和（或）

用戶組的身份規(guī)定并控制客體的共享；阻止非授權(quán)用戶讀取敏感信

息。

4.1.2身份鑒別

計算機(jī)信息系統(tǒng)可信計算基初始執(zhí)行時，首先要求用戶標(biāo)識自己的身

份，并使用保護(hù)機(jī)制（例如：口令）來鑒別用戶的身份，阻止非授權(quán)

用戶訪問用戶身份鑒別數(shù)據(jù)。

4.1.3數(shù)據(jù)完整性

計算機(jī)信息系統(tǒng)可信計算基通過自主完整性策略，阻止非授權(quán)用戶修

主體活動所產(chǎn)生的任何信息。

4.2.4審計

計算機(jī)信息系統(tǒng)可信計算基能創(chuàng)建和維護(hù)受保護(hù)客體的訪問審計跟

蹤記錄，并能阻止非授權(quán)的用戶對它訪問或破壞。

計算機(jī)信息系統(tǒng)可信計算基能記錄下述事件：使用身份鑒別機(jī)制；將

客體引入用戶地址空間（例如：打開文件、程序初始化）；刪除客體;

由操作員、系統(tǒng)管理員或（和）系統(tǒng)安全管理員實施的動作，以及其

他與系統(tǒng)安全有關(guān)的事件。對于每一事件，其審計記錄包括：事件的

日期和時間、用戶、事件類型、事件是否成功。對于身份鑒別事件，

審計記錄包含的來源（例如：終端標(biāo)識符）；對于客體引入用戶地址

空間的事件及客體刪除事件，審計記錄包含客體名。對不能由計算

機(jī)信息系統(tǒng)可信計算基獨立分辨的審計事件，審計機(jī)制提供審計記錄

接口，可由授權(quán)主體調(diào)用。這些審計記錄區(qū)別于計算機(jī)信息系統(tǒng)可信

計算基獨立分辨的審計記錄。

4.2.5數(shù)據(jù)完整性

計算機(jī)信息系統(tǒng)可信計算基通過自主完整性策略，阻止非授權(quán)用戶修

改或破壞敏感信息。

4.3第三級安全標(biāo)記保護(hù)級

本級的計算機(jī)信息系統(tǒng)可信計算基具有系統(tǒng)審計保護(hù)級所有功能。此

外，還提供有關(guān)安全策略模型、數(shù)據(jù)標(biāo)記以及主體對客體強(qiáng)制訪問控

制的非形式化描述；具有準(zhǔn)確地標(biāo)記輸出信息的能力；消除通過測試

發(fā)現(xiàn)的任何錯誤。

4.3.1自主訪問控制

計算機(jī)信息系統(tǒng)可信計算基定義和控制系統(tǒng)中命名用戶對命名客體

的訪問。實施機(jī)制（例如：訪問控制表）允許命名用戶以用戶和（或）

用戶組的身份規(guī)定并控制客體的共享；阻止非授權(quán)用戶讀取敏感信

息。并控制訪問權(quán)限擴(kuò)散。自主訪問控制機(jī)制根據(jù)用戶指定方式或默

認(rèn)方式，阻止非授權(quán)用戶訪問客體。訪問控制的粒度是單個用戶C沒

有存取權(quán)的用戶只允許由授權(quán)用戶指定對客體的訪問權(quán)。阻止非授權(quán)

用戶讀取敏感信息。

4.3.2強(qiáng)制訪問控制

計算機(jī)信息系統(tǒng)可信計算基對所有主體及其所控制的客體（例如：進(jìn)

程、文件、段、設(shè)備）實施強(qiáng)制訪問控制。為這些主體及客體指定敏

感標(biāo)記，這些標(biāo)記是等級分類和非等級類別的組合，它們是實施強(qiáng)制

訪問控制的依據(jù)。計算機(jī)信息系統(tǒng)可信計算基支持兩種或兩種以上成

分組成的安全級。計算機(jī)信息系統(tǒng)可信計算基控制的所有主體對客體

的訪問應(yīng)滿足：僅當(dāng)主體安全級中的等級分類高于或等于客體安全級

中的等級分類，且主體安全級中的非等級類別包含了客體安全級中的

全部非等級類別，主體才能讀客體；僅當(dāng)主體安全級中的等級分類低

于或等于客休安全級中的等級分類，且主體安全級中的非等級類別包

含了客體安全級中的非等級類別，主體才能寫一個客體。計算機(jī)信息

系統(tǒng)可信計算基使用身份和鑒別數(shù)據(jù)，鑒別用戶的身份，并保證用戶

創(chuàng)建的計算機(jī)信息系統(tǒng)可信計算基外部主體的安全級和授權(quán)受該用

戶的安全級和授權(quán)的控制。

4.3.3標(biāo)記

計算機(jī)信息系統(tǒng)可信計算基應(yīng)維護(hù)與主體及其控制的存儲客體（例

如：進(jìn)程、文件、段、設(shè)備）相關(guān)的敏感標(biāo)記。這些標(biāo)記是實施強(qiáng)制

訪問的基礎(chǔ)。為了輸入未加安全標(biāo)記的數(shù)據(jù)，計算機(jī)信息系統(tǒng)可信計

算基向授權(quán)用戶要求并接受這些數(shù)據(jù)的安全級別，且可由計算機(jī)信息

系統(tǒng)可信計算基審計。

4.3.4身份鑒別

計算機(jī)信息系統(tǒng)可信計算基初始執(zhí)行時，首先要求用戶標(biāo)識自己的身

份，而且，計算機(jī)信息系統(tǒng)可信計算基維護(hù)用戶身份識別數(shù)據(jù)并確定

用戶訪問權(quán)及授權(quán)數(shù)據(jù)。計算機(jī)信息系統(tǒng)可信計算基使用這些數(shù)據(jù)鑒

別用戶身份，并使用保護(hù)機(jī)制（例如：口令）來鑒別用戶的身份；阻

止非授權(quán)用戶訪問用戶身份鑒別數(shù)據(jù)。通過為用戶提供唯一標(biāo)識，計

算機(jī)信息系統(tǒng)可信計算基能夠使用用戶對芻己的行為負(fù)責(zé)。計算機(jī)信

息系統(tǒng)可信計算基還具備將身份標(biāo)識與該用戶所有可審計行為相關(guān)

聯(lián)的能力。

4.3.5客體重用

在計算機(jī)信息系統(tǒng)可信計算基的空閑存儲客體空間中，對客體初始指

定、分配或再分配一個主體之前，撤銷客體所含信息的所有授權(quán)C當(dāng)

主體獲得對一個已被釋放的客體的訪問權(quán)時，當(dāng)前主體不能獲得原主

體活動所產(chǎn)生的任何信息。

4.3.6審計

計算機(jī)信息系統(tǒng)可信計算基能創(chuàng)建和維護(hù)受保護(hù)客體的訪問審計跟

蹤記錄，并能阻止非授權(quán)的用戶對它訪問或破壞。

計算機(jī)信息系統(tǒng)可信計算基能記錄下述事件：使用身份鑒別機(jī)制；將

客體引入用戶地址空間（例如：打開文件、程序初始化）；刪除客體;

由操作員、系統(tǒng)管理員或（和）系統(tǒng)安全管理員實施的動作，以及其

他與系統(tǒng)安全有關(guān)的事件。對于每一事件，其審計記錄包括：事件的

日期和時間、用戶、事件類型、事件是否成功。對于身份鑒別事件，

審計記錄包含請求的來源（例如：終端標(biāo)識符）；對于客體引入用戶

地址空間的事件及客體刪除事件，審計記錄包含客體名及客體的安全

級別。此外，計算機(jī)信息系統(tǒng)可信計算基具有審計更改可讀輸出記號

的能力。

對不能由計算機(jī)信息系統(tǒng)可信計算基獨立分辨的審計事件，審計機(jī)制

提供審計記錄接口，可由授權(quán)主體調(diào)用。這些審計記錄區(qū)別于計算機(jī)

信息系統(tǒng)可信計算基獨立分辨的審計記錄。

4.3.7數(shù)據(jù)完整性

計算機(jī)信息系統(tǒng)可信計算基通過自主和強(qiáng)制完整性策略，阻止非授權(quán)

用戶修改或破壞敏感信息。在網(wǎng)絡(luò)環(huán)境中，使用完整性敏感標(biāo)記來確

信信息在傳送中未受損。

4.4第四級結(jié)構(gòu)化保護(hù)級

本級的計算機(jī)信息系統(tǒng)可信計算基建立于一個明確定義的形式化安

全策略模型之上，它要求將第三級系統(tǒng)中的自主和強(qiáng)制訪問控制擴(kuò)展

到所有主體與客體。此外，還要考慮隱蔽通道。本級的計算機(jī)信息系

統(tǒng)可信計算基必須結(jié)構(gòu)化為關(guān)鍵保護(hù)元素和非關(guān)鍵保護(hù)元素。計算機(jī)

信息系統(tǒng)可信計算基的接口也必須明確定義，使其設(shè)計與實現(xiàn)能經(jīng)受

更充分的測試和更完整的復(fù)審。加強(qiáng)了鑒別機(jī)制；支持系統(tǒng)管理員和

操作員的職能；提供可信設(shè)施管理；增強(qiáng)了配置管理控制。系統(tǒng)具有

相當(dāng)?shù)目節(jié)B透能力。

4.4.1自主訪問控制

計算機(jī)信息系統(tǒng)可信計算基定義和控制系統(tǒng)中命名用戶對命名客體

的訪問。實施機(jī)制（例如：訪問控制表）允許命名用戶和（或）以用

戶組的身份規(guī)定并控制客體的共享；阻止非授用戶讀取敏感信息。并

控制訪問權(quán)限擴(kuò)散。

自主訪問控制機(jī)制根據(jù)用戶指定方式或默認(rèn)方式，阻止非授權(quán)用戶訪

問客體。訪問控制的粒度是單個用戶。沒有存取權(quán)的用戶只允許由授

權(quán)用戶指定對客體的訪問權(quán)。

4.4.2強(qiáng)制訪問控制

計算機(jī)信息系統(tǒng)可信計算基對外部主體能夠直接或間接訪問的所有

資源（例如：主體、存儲客體和輸入輸出資源）實施強(qiáng)制訪問控制。

為這些主體及客體指定敏感標(biāo)記，這些標(biāo)記是等級分類和非等級類別

的組合，它們是實施強(qiáng)制訪問控制的依據(jù)7計算機(jī)信息系統(tǒng)可信計算

基支持兩種或兩種以上成分組成的安全級。計算機(jī)信息系統(tǒng)可信計算

基外部的所有主體對客體的直接或間接的方問應(yīng)滿足：僅當(dāng)主體安全

級中的等級分類高于或等于客體安全級中的等級分類，且主體安全級

中的非等級類別包含了客體安全級中的全部非等級類別，主體才能讀

客體；僅當(dāng)主體安全級中的等級分類低于或等于客體安全級中的等級

分類，且主體安全級中的非等級類別包含于客體安全級中的非等級類

別，主體才能寫一個客體。計算機(jī)信息系統(tǒng)可信計算基使用身份和鑒

別數(shù)據(jù)，鑒別用戶的身份，保護(hù)用戶創(chuàng)建的計算機(jī)信息系統(tǒng)可信計算

基外部主體的安全級和授權(quán)受該用戶的安全級和授權(quán)的控制。4.4.3

標(biāo)記

計算機(jī)信息系統(tǒng)可信計算基維護(hù)與可被外部主體直接或間接訪問到

的計算機(jī)信息系統(tǒng)資源（例如：主體、存儲客體、只讀存儲器）相關(guān)

的敏感標(biāo)記。這些標(biāo)記是實施強(qiáng)制訪問的基礎(chǔ)。為了輸入未加安全標(biāo)

記的數(shù)據(jù)，計算機(jī)信息系統(tǒng)可信計算基向授權(quán)用戶要求并接受這些數(shù)

據(jù)的安全級別，且可由計算機(jī)信息系統(tǒng)可信計算基審計。

4.4.4身份鑒別

計算機(jī)信息系統(tǒng)可信計算基初始執(zhí)行時一，首先要求用戶標(biāo)識自己的身

份，而且，計算機(jī)信息系統(tǒng)可信計算基維護(hù)用戶身份識別數(shù)據(jù)并確定

用戶訪問權(quán)及授權(quán)數(shù)據(jù)。計算機(jī)信息系統(tǒng)可信計算基使用這些數(shù)據(jù)，

鑒別用戶身份，并使用保護(hù)機(jī)制（例如：口令）來鑒別用戶的身份；

阻止非授權(quán)用戶訪問用戶身份鑒別數(shù)據(jù)。通過為用戶提供唯一標(biāo)識，

計算機(jī)信息系統(tǒng)可信計算基能夠使用戶對芻己的行為負(fù)責(zé)。計算機(jī)信

息系統(tǒng)可信計算基還具備將身份標(biāo)識與該用戶所有可審計行為相關(guān)

聯(lián)的能力。4.4.5客體重用

在計算機(jī)信息系統(tǒng)可信計算基的空閑存儲客體空間中，對客體初始指

定、分配或再分配一個主體之前，撤銷客體所含信息的所有授權(quán),當(dāng)

主體獲得對一個已被釋放的客體的訪問權(quán)時，當(dāng)前主體不能獲得原主

體活動所產(chǎn)生的任何信息。

4.4.6審計

計算機(jī)信息系統(tǒng)可信計算基能創(chuàng)建和維護(hù)受保護(hù)客體的訪問審計跟

蹤記錄，并能阻止非授權(quán)的用戶對它訪問或破壞。

計算機(jī)信息系統(tǒng)可信計算基能記錄下述事件：使用身份鑒別機(jī)制；將

客體引入用戶地址空間（例如：打開文件、程序初始化）；刪除客體;

由操作員、系統(tǒng)管理員或（和）系統(tǒng)安全管理員實施的動作，以及其

他與系統(tǒng)安全有關(guān)的事件。對于每一事件，其審計記錄包括：事件的

日期和時間、用戶、事件類型、事件是否成功。對于身份鑒別事件，

審計記錄包含請求的來源（例如：終端標(biāo)識符）；對于客體引入用戶

地址空間的事件及客體刪除事件，審計記錄包含客體及客體的安全級

別。此外，計算機(jī)信息系統(tǒng)可信計算基具有審計更改可讀輸出記號的

能力。對不能由計算機(jī)信息系統(tǒng)可信計算基獨立分辨的審計事件，

審計機(jī)制提供審計記錄接口，可由授權(quán)主體調(diào)用。這些審計記錄區(qū)別

于計算機(jī)信息系統(tǒng)可信計算基獨立分辨的審計記錄。計算機(jī)信息系

統(tǒng)可信計算基能夠?qū)徲嬂秒[蔽存儲信道時可能被使用的事件。

4.4.7數(shù)據(jù)完整性

計算機(jī)信息系統(tǒng)可信計算基通過自主和強(qiáng)制完整性策略。阻止非授權(quán)

用戶修改或破壞敏感信息。在網(wǎng)絡(luò)環(huán)境中，使用完整性敏感標(biāo)記來確

信信息在傳送中未受損。

4.4.8隱蔽信道分析

系統(tǒng)開發(fā)者應(yīng)徹底搜索隱蔽存儲信道，并根據(jù)實際測量或工程估算確

定每一個被標(biāo)識信道的最大帶寬。

4.4.9可信路徑

對用戶的初始登錄和鑒別，計算機(jī)信息系統(tǒng)可信計算基在它與用戶之

間提供可信通信路徑。該路徑上的通信只能由該用戶初始化。4.5第

五級訪問驗證保擰級

本級的計算機(jī)信息系統(tǒng)可信計算基滿足訪問監(jiān)控器需求。訪問監(jiān)控器

仲裁主體對客體的全部訪問。訪問監(jiān)控器本身是抗篡改的；必須足夠

小，能夠分析和測試。為了滿足訪問監(jiān)控器需求，計算機(jī)信息系統(tǒng)可

信計算基在其構(gòu)造時，排除那些對實施安全策略來說并非必要的代

碼；在設(shè)計和實現(xiàn)時，從系統(tǒng)工程角度將其復(fù)雜性降低到最小程度。

支持安全管理員職能；擴(kuò)充審計機(jī)制，當(dāng)發(fā)生與安全相關(guān)的事件時發(fā)

出信號；提供系統(tǒng)恢復(fù)機(jī)制。系統(tǒng)具有很高的抗?jié)B透能力。

4.5.1自主訪問控制

計算機(jī)信息系統(tǒng)可信計算基定義并控制系統(tǒng)中命名用戶對命名客體

的訪問。實施機(jī)制（例如：訪問控制表）允許命名用戶和（或）以用

戶組的身份規(guī)定并控制客體的共享；阻止非授權(quán)用戶讀取敏感信息。

并控制訪問權(quán)限擴(kuò)散。

自主訪問控制機(jī)制根據(jù)用戶指定方式或默次方式，阻止非授權(quán)用戶訪

問客體。訪問控制的粒度是單個用戶。訪問控制能夠為每個命名客體

指定命名用戶和用戶組，并規(guī)定他們對客體的訪問模式。沒有存取權(quán)

的用戶只允許由授權(quán)用戶指定對客體的訪問權(quán)。

4.5.2強(qiáng)制訪問控制

計算機(jī)信息系統(tǒng)可信計算基對外部主體能夠直接或間接訪問的所有

資源（例如：主體、存儲客體和輸入輸出資源）實施強(qiáng)制訪問控制。

為這些主體及客體指定敏感標(biāo)記，這些標(biāo)記是等級分類和非等級類別

的組合，它們是實施強(qiáng)制訪問控制的依據(jù)。計算機(jī)信息系統(tǒng)可信計算

基支持兩種或兩種以上成分組成的安全級。計算機(jī)信息系統(tǒng)可信計算

基外部的所有主體對客體的直接或間接的訪問應(yīng)滿足：僅當(dāng)主體安全

級中的等級分類高于或等于客體安全級中的等級分類，且主體安全級

中的非等級類別包含了客體安全級中的全部非等級類別，主體才能讀

客體；僅當(dāng)主體安全級中的等級分類低于或等于客體安全級中的等級

分類，且主體安全級中的非等級類別包含了客體安全級中的非等級類

別，主體才能寫一個客體。計算機(jī)信息系統(tǒng)可信計算基使用身份和鑒

別數(shù)據(jù)，鑒別用戶的身份，保證用戶創(chuàng)建的計算機(jī)信息系統(tǒng)可信計算

基外部主體的安全級和授權(quán)受該用戶的安全級和授權(quán)的控制。

4.5.3標(biāo)記

計算機(jī)信息系統(tǒng)可信計算基維護(hù)與可被外部主體直接或間接訪問到

計算機(jī)信息系統(tǒng)資源（例如：主體、存儲客體、只讀存儲器）相關(guān)的

敏感標(biāo)記。這些標(biāo)記是實施強(qiáng)制訪問的基礎(chǔ)。為了輸入未加安全標(biāo)記

的數(shù)據(jù)，計算機(jī)信息系統(tǒng)可信計算基向授權(quán)用戶要求并接受這些數(shù)據(jù)

的安全級別，且可由計算機(jī)信息系統(tǒng)可信計算基審計。

4.5.4身份鑒別

計算機(jī)信息系統(tǒng)可信計算基初始執(zhí)行時，首先要求用戶標(biāo)識自己的身

份，而且，計算機(jī)信息系統(tǒng)可信計算基維護(hù)用戶身份識別數(shù)據(jù)并確定

用戶訪問權(quán)及授權(quán)數(shù)據(jù)。計算機(jī)信息系統(tǒng)可信計算基使用這些數(shù)據(jù)，

鑒別用戶身份，并使用保護(hù)機(jī)制（例如：口令）來鑒別用戶的身份；

阻止非授權(quán)用戶訪問用戶身份鑒別數(shù)據(jù)。通過為用戶提供唯一標(biāo)識，

計算機(jī)信息系統(tǒng)可信計算基能夠使用戶對自己的行為負(fù)責(zé)。計算機(jī)信

息系統(tǒng)可信計算基還具備將身份標(biāo)識與該用戶所有可審計行為相關(guān)

聯(lián)的能力。

4.5.5客體重用

在計算機(jī)信息系統(tǒng)可信計算基的空閑存儲客體空間中，對客體初始指

定、分配或再分配一個主體之前，撤銷客體所含信息的所有授權(quán)C當(dāng)

主體獲得對一個己被釋放的客體的訪問權(quán)時，當(dāng)前主體不能獲得原主

體活動所產(chǎn)生的任何信息。

4.5.6審計

計算機(jī)信息系統(tǒng)可信計算基能創(chuàng)建和維護(hù)受保護(hù)客體的訪問審計跟

蹤記錄，并能阻止非授權(quán)的用戶對它訪問或破壞。

計算機(jī)信息系統(tǒng)可信計算基能記錄下述事件：使用身份鑒別機(jī)制；將

客體引入用戶地址空間（例如：打開文件、程序出始化）；刪除客體;

由操作員、系統(tǒng)管理員或（和）系統(tǒng)安全管理員實施的動作，以及其

他與系統(tǒng)安全有關(guān)的事件。對于每一事件，其審計記錄包括：事件的

日期和時間、用戶、事件類型、事件是否成功。對于身份鑒別事件，

審計記錄包含請求的來源（例如：終端標(biāo)識符）；對于客體引入用戶

地址空間的事件及客體刪除事件，審計記錄包含客體名及客體的安全

級別。此外，計算機(jī)信息系統(tǒng)可信計算基具有審計更改可讀輸出記號

的能力。

對不能由計算機(jī)信息系統(tǒng)可信計算基獨立分辨的審計事件，審計機(jī)制

提供審計記錄接口，可由授權(quán)主體調(diào)用。這些審計記錄區(qū)別于計算機(jī)

信息系統(tǒng)可信計算基獨立分辨的審計記錄。計算機(jī)信息系統(tǒng)可信計算

基能夠?qū)徲嬂秒[蔽存儲信道時可能被使用的事件。

計算機(jī)信息系統(tǒng)可信計算基包含能夠監(jiān)控可審計安全事件發(fā)生與積

累的機(jī)制，當(dāng)超過閾值時，能夠立即向安全管理員發(fā)出報警。并且，

如果這些與安全相關(guān)的事件繼續(xù)發(fā)生或積累，系統(tǒng)應(yīng)以最小的代價中

止它們。

4.5.7數(shù)據(jù)完整性

計算機(jī)信息系統(tǒng)可信計算基通過自主和強(qiáng)制完整性策略，阻止非授權(quán)

用戶修改或破壞敏感信息。在網(wǎng)絡(luò)環(huán)境中，使用完整性敏感標(biāo)記來確

信信息在傳送中未受損。

4.5.8隱蔽信道分析

系統(tǒng)開發(fā)者應(yīng)徹底搜索隱蔽信道，并根據(jù)實際測量或工程估算確定每

一個被標(biāo)識信道的最大帶寬。

4.5.9可信路徑

當(dāng)連接用戶時（如注冊、更改主體安全級），計算機(jī)信息系統(tǒng)可信計

算基提供它與用戶之間的可信通信路徑?？尚怕窂缴系耐ㄐ胖荒苡稍?/p>

用戶或計算機(jī)信息系統(tǒng)可信計算基激活，且在邏輯上與其他路徑上的

通信相隔離，且能正確地加以區(qū)分。

4.5.10可信恢復(fù)

計算機(jī)信息系統(tǒng)可信計算基提供過程和機(jī)制，保證計算機(jī)信息系統(tǒng)失

效或中斷后，可以進(jìn)行不損害任何安全保護(hù)性能的恢復(fù)。

信息安全技術(shù)信息安全事件分類分級指南

1范圍

木指導(dǎo)性技術(shù)文件為信息安全事件的分類分級提供指導(dǎo)，用于信息安全事件的防范與處

置，為事前準(zhǔn)備、事中應(yīng)對、事后處理提供一個基礎(chǔ)指南，可供信息系統(tǒng)和基礎(chǔ)信息傳輸網(wǎng)

絡(luò)的運營和使用單位以及信息安全主管部門參考使用。

2術(shù)語和定義

下列術(shù)語和定義適用于本指導(dǎo)性技術(shù)文件。

2.1信息系統(tǒng)informationsystem

由計算機(jī)及其相關(guān)的和配套的設(shè)備、設(shè)施(含網(wǎng)絡(luò))構(gòu)成的，按照一定的應(yīng)用目標(biāo)和規(guī)

則對信息進(jìn)行采集、加工、存儲、傳輸、檢索等處理的人機(jī)系統(tǒng)。

2.2信息安全事件informationsecurityincident

由于自然或者人為以及軟硬件本身缺陷或故障的原因，對信息系統(tǒng)造成危害，或?qū)ι鐣?/p>

造成負(fù)面影響的事件。

3縮略語

下列縮略語適用于本指導(dǎo)性技術(shù)文件。

Ml：有害程序事件(MalwareIncidents)

CVI：計算機(jī)病毒事件(ComputerVirusincidents)

WI：蠕蟲事件(WormsIncidents)

THI：特洛伊木馬事件(TrojanHorsesIncidents)

Bl：僵尸網(wǎng)絡(luò)事件(BotnetsIncidents)

BAI：混合攻擊程序事件(BlendedAttacksIncidents)

WBPI：網(wǎng)頁內(nèi)嵌惡意代碼事件(WebBrowserPlug-InsIncidents)

NAI：網(wǎng)絡(luò)攻擊獷件(NetworkAttacksIncidents)

DOSAI：拒絕服務(wù)攻擊事件(DenialofServiceAttacksIncidents)

BDAI：后門攻擊事件(BackdoorAttacksIncidents)

VAI：漏洞攻擊事件(VulnerabilityAttacksIncidents)

NSEI：網(wǎng)絡(luò)掃描竊聽事件(NetworkScan&EavesdroppingIncidents)

PI：網(wǎng)絡(luò)釣魚事件(PhishingIncidents)

II：干擾事件(InterferenceIncidents)

IDI：信息破壞事件(InformationDestroyIncidents)

IAl：信息篡改事件(InformationAlterationIncidents)

IMI：信息假冒事件(InformationMasqueradingIncidents)

ILEI：信息泄漏事件(InformationLeakageIncidents)

III：信息竊取事件(InformationInterceptionIncidents)

ILOI：信息丟失事件(InformationLossIncidents)

ICSI：信息內(nèi)容安全事件(InformationContentSecurityIncidents)

FF：設(shè)備設(shè)施故障(FacilitiesFaults)

SHF：軟硬件自身故障(SoftwareandHardwareFaults)

PSFF：外圍保障設(shè)施故障(PeripherySafeguardingFacilitiesFaults)

MDA：人為破壞事故(Man-madeDestroyAccidents)

DI：災(zāi)害性事件(DisasterIncidents)

01：其他事件(Otherincidents)

4信息安全事件分類

4.1考慮要素與基本分類

信息安全事件可以是故意、過失或非人為原因引起的。

本指導(dǎo)性技術(shù)文件綜合考慮信息安全事件的起因、表現(xiàn)、結(jié)果等，對信息安全事件進(jìn)

行分類。

信息安全事件分為有害程序事件、網(wǎng)絡(luò)攻擊事件、信息破壞事件、信息內(nèi)容安全事件、

設(shè)備設(shè)施故障、災(zāi)害性事件和其他信息安全事件等7個基本分類，每個基本分類分別包括

若干個子類。

4.2事件分類

4.2.1有害程序事件(Ml)

有害程序事件是指蓄意制造、傳播有害程序，或是因受到有害程序的影響而導(dǎo)致的信息

安全事件。

有害程序是指插入到信息系統(tǒng)中的一段程序，有害程序危害系統(tǒng)中數(shù)據(jù)、應(yīng)用程序或操

作系統(tǒng)的保密性、完整性或可用性，或影響信息系統(tǒng)的正常運行。

有害程序事件包恬計算機(jī)病毒事件、蠕蟲事件、特洛伊木馬事件、僵尸網(wǎng)絡(luò)事件、混合

攻擊程序事件、網(wǎng)頁內(nèi)嵌惡意代碼事件和其它有害程序事件等7個子類，說明如下：

a)計算機(jī)病毒事件(CVI)

是指蓄意制造、傳播計算機(jī)病毒，或是因受到計算機(jī)病毒影響而導(dǎo)致的信息安全事件。

計算機(jī)病毒是指編制或者在計算機(jī)程序中插入的一組計算機(jī)指令或者程序代碼，它可以破

壞計算機(jī)功能或者毀壞數(shù)據(jù)，影響計算機(jī)使用，并能自我復(fù)制；

b)蠕蟲事件(WI)

是指蓄意制造、傳播蠕蟲，或是因受到蠕蟲影響而導(dǎo)致的信息安全事件。蠕蟲是指除

計算機(jī)病毒以外，利用信息系統(tǒng)缺陷，通過網(wǎng)絡(luò)自動復(fù)制并傳播的有害程序：

C)特洛伊木馬事件(THI)

是指蓄意制造、傳播特洛伊木馬程序，或是因受到特洛伊木馬程序影響而導(dǎo)致的信息

安全事件。特洛伊木馬程序是指偽裝在信息系統(tǒng)中的一種有害程序，具有控制該信息系統(tǒng)

或進(jìn)行信息竊取等對該信息系統(tǒng)有害的功能；

d)僵尸網(wǎng)絡(luò)事件(BI)

是指利用僵尸工具軟件，形成僵尸網(wǎng)絡(luò)而導(dǎo)致的信息安全事件。僵尸網(wǎng)絡(luò)是指網(wǎng)絡(luò)上

受到黑客集中控制的一群計算機(jī)，它可以被用于伺機(jī)發(fā)起網(wǎng)絡(luò)攻擊，進(jìn)行信息竊取或傳播

木馬、蠕蟲等其他有害程序；

e）混合攻擊程序事件（BAI）

是指蓄意制造、傳播混合攻擊程序，或是因受到混合攻擊程序影響而導(dǎo)致的信息安全

事件?；旌瞎舫绦蚴侵咐枚喾N方法傳播和感染其它系統(tǒng)的有害程序，可能兼有計算機(jī)病

毒、蠕蟲、木馬或僵尸網(wǎng)絡(luò)等多種特征?；旖楣舫绦蚴录部梢允且幌盗杏泻Τ绦蚓C合作

用的結(jié)果，例如一個計算機(jī)病毒或蠕蟲在侵入系統(tǒng)后安裝木馬程序等；

f）網(wǎng)頁內(nèi)嵌惡意代碼事件（WBPI）

是指蓄意制造、傳播網(wǎng)頁內(nèi)嵌惡意代碼，或是因受到網(wǎng)頁內(nèi)嵌惡意代碼影響而導(dǎo)致的

信息安全事件。網(wǎng)頁內(nèi)嵌惡意代碼是指內(nèi)嵌在網(wǎng)頁中，未經(jīng)允許由瀏覽器執(zhí)行，影響信息

系統(tǒng)正常運行的有害程序；

g）其它有害程序事件（OMI）

是指不能包含在以上6個子類之中的有害程序事件。

4.2.2網(wǎng)絡(luò)攻擊事件（NAI）

網(wǎng)絡(luò)攻擊事件是指通過網(wǎng)絡(luò)或其他技術(shù)手段，利用信息系統(tǒng)的配置缺陷、協(xié)議缺陷、程

序缺陷或使用暴力攻擊對信息系統(tǒng)實施攻擊，并造成信息系統(tǒng)異?；?qū)π畔⑾到y(tǒng)當(dāng)前運行

造成潛在危害的信息安全事件。

網(wǎng)絡(luò)攻擊事件包括拒絕服務(wù)攻擊事件、后門攻擊事件、漏洞攻擊事件、網(wǎng)絡(luò)掃描竊聽事

件、網(wǎng)絡(luò)釣魚事件、干擾事件和其他網(wǎng)絡(luò)攻擊事件等7個子類，說明如下：

a）拒絕服務(wù)攻擊事件（DOSAI）

是指利用佶息系統(tǒng)缺陷、或通過暴力攻擊的手段，以大量消耗信息系統(tǒng)的CPU、內(nèi)存、

磁盤空間或網(wǎng)絡(luò)帶寬等資源，從而影響信息系統(tǒng)正常運行為目的的信息安全事件；

b）后門攻擊事件（BDAI）

是指利用軟件系統(tǒng)、硬件系統(tǒng)設(shè)計過程中留下的后門或有害程序所設(shè)置的后門而對信

息系統(tǒng)實施的攻擊的信息安全事件；

c）漏洞攻擊事件（VAI）

是指除拒絕服務(wù)攻擊事件和后門攻擊事件之外，利用信息系統(tǒng)配置缺陷、協(xié)議缺陷、

程序缺陷等漏洞，對信息系統(tǒng)實施攻擊的信息安全事件；

d）網(wǎng)絡(luò)掃描竊聽事件（NSEI）

是指利用網(wǎng)絡(luò)掃描或竊聽軟件，獲取信息系統(tǒng)網(wǎng)絡(luò)配置、端口、服務(wù)、存在的脆弱性

等特征而導(dǎo)致的信息安全密件；

e）網(wǎng)絡(luò)釣魚事件（PI）

是指利用欺騙性的計算機(jī)網(wǎng)絡(luò)技術(shù)，使用戶泄漏重要信息而導(dǎo)致的信息安全事件。例

如，利川欺騙性電子郵件獲取用戶銀行帳號密碼等；

f）干擾事件（II）

是指通過技術(shù)手段對網(wǎng)絡(luò)進(jìn)行干擾，或?qū)V播電視有線或無線傳輸網(wǎng)絡(luò)進(jìn)行插播，對

衛(wèi)星廣播電視信號非法攻擊等導(dǎo)致的信息安全事件；

g）其他網(wǎng)絡(luò)攻擊事件（ONAI）

是指不能被包含在以上6個子類之中的網(wǎng)絡(luò)攻擊事件。

4.2.3信息破壞事件（IDI）

信息破壞事件是指通過網(wǎng)絡(luò)或其他技術(shù)手段，造成信息系統(tǒng)中的信息被篡改、假冒、泄

漏、竊取等而導(dǎo)致的信息安全事件。

信息破壞事件包括信息篡改事件、信息假冒事件、信息泄漏事件、信息竊取事件、信息

丟失事件和其它信息破壞事件等6個子類，說明如下：

a）信息篡改事件（IAI）

是指未經(jīng)授權(quán)將信息系統(tǒng)中的信息更換為攻擊者所提供的信息而導(dǎo)致的信息安全事件，

例如網(wǎng)頁篡改等導(dǎo)致的信息安全事件；

b）信息假冒事件（IMI）

是指通過假冒他人信息系統(tǒng)收發(fā)信息而導(dǎo)致的信息安全事件，例如網(wǎng)頁假冒等導(dǎo)致的信

息安全事件；

c）信息泄漏事件（ILEI）

是指因誤操作、軟硬件缺陷或電磁池漏等因素導(dǎo)致信息系統(tǒng)中的保密、敏感、個人陂

私等信息暴露于未經(jīng)授權(quán)者而導(dǎo)致的信息安全事件；

d）信息竊取事件（III）

是指未經(jīng)授權(quán)用戶利用可能的技術(shù)手段惡意主動獲取信息系統(tǒng)中信息而導(dǎo)致的信息安

全事件；

e）信息丟失事件（ILOI）

是指因誤操作、人為蓄意或軟硬件缺陷等因素導(dǎo)致信息系統(tǒng)中的信息丟失而導(dǎo)致的信息

安全事件；

f）其它信息破壞事件（OIDI）

是指不能被包含在以上5個子類之中的信息破壞事件。

4.2.4信息內(nèi)容安全事件（ICSI）

信息內(nèi)容安全事件是指利用信息網(wǎng)絡(luò)發(fā)布、傳播危害國家安全、社會穩(wěn)定和公共利益的

內(nèi)容的安全事件。

信息內(nèi)容安全事件包括以下4個子類，說明如下：

a）違反憲法和法律、行政法規(guī)的信息安全事件;

b）針對社會事項進(jìn)行討論、評論形成網(wǎng)上敏感的輿論熱點，出現(xiàn)一定規(guī)模炒作的信息安全

事件；

C）組織串連、煽動集會游行的信息安全事件；

d）其他信息內(nèi)容安全事件等4個子類。

4.2.5設(shè)備設(shè)施故障（FF）

設(shè)備設(shè)施故障是指由于信息系統(tǒng)自身故障或外圍保障設(shè)施故障而導(dǎo)致的信息安全事件，

以及人為的使用非技術(shù)手段有意或無意的造成信息系統(tǒng)破壞而導(dǎo)致的信息安全事件。

設(shè)備設(shè)施故障包括軟硬件自身故障、外圍保障設(shè)施故障、人為破壞事故、和其它設(shè)備設(shè)

施故障等4個子類，說明如下：

a）軟硬件自身故障（SHF）

是指因信息系統(tǒng)中硬件設(shè)備的自然故障、軟硬件設(shè)計缺陷或者軟硬件運行環(huán)境發(fā)生變化

等而導(dǎo)致的信息安全事件；

b）外圍保障設(shè)施故障（PSFF）

是指由于保障信息系統(tǒng)正常運行所必須的外部設(shè)施出現(xiàn)故障而導(dǎo)致的信息安全事件，例

如電力故障、外圍網(wǎng)絡(luò)故障等導(dǎo)致的信息安全事件；

c）人為破壞事故（MDA）

是指人為蓄意的對保障信息系統(tǒng)正常運行的硬件、軟件等實施竊取、破壞造成的信息安

全事件?；或由于人為的遺失、誤操作以及其他無意行為造成信息系統(tǒng)硬件、軟件等遭到破壞，

影響信息系統(tǒng)正常運行的信息安全事件；

d）其它設(shè)備設(shè)施故障（IF-OT）

是指不能被包含在以上3個子類之中的設(shè)備設(shè)施故障而導(dǎo)致的信息安全事件。

4.2.6災(zāi)害性事件（DI）

災(zāi)害性事件是指由于不可抗力對信息系統(tǒng)造成物理破壞而導(dǎo)致的信息安全事件。

災(zāi)害性事件包括水災(zāi)、臺風(fēng)、地震、雷擊、坍塌、火災(zāi)、恐怖襲擊、戰(zhàn)爭等導(dǎo)致的信息

安全事件。

4.2.7其他事件（01）

其他事件類別是指不能歸為以上6個基本分類的信總安全事件。

5信息安全事件分級

5.1分級考慮要素

5.1.1概述

對信息安全事件的分級主要考慮三個要素:信息系統(tǒng)的重要程度、系統(tǒng)損失和社會影響。

5.1.2信息系統(tǒng)的重要程度

信息系統(tǒng)的重要程度主要考慮信息系統(tǒng)所承載的業(yè)務(wù)對國家安全、經(jīng)濟(jì)建設(shè)、社會生活

的重要性以及業(yè)務(wù)對信息系統(tǒng)的依賴程度，劃分為特別重要信息系統(tǒng)、重要信息系統(tǒng)和一般

信息系統(tǒng)。

5.1.3系統(tǒng)損失

系統(tǒng)損失是指由于信息安全事件對信息系統(tǒng)的軟硬件、功能及數(shù)據(jù)的破壞，導(dǎo)致系統(tǒng)業(yè)

務(wù)中斷，從而給事發(fā)組織所造成的損失，其大小主要考慮恢兔系統(tǒng)正常運行和消除安全事件

負(fù)面影響所需付出的代價，劃分為特別嚴(yán)重的系統(tǒng)損失、嚴(yán)重的系統(tǒng)損失、較大的系統(tǒng)損失

和較小的系統(tǒng)損失，說明如下：

a）特別嚴(yán)重的系統(tǒng)損失：造成系統(tǒng)大面積癱瘓，使其喪失業(yè)務(wù)處理能力，或系統(tǒng)關(guān)鍵數(shù)據(jù)

的保密性、完整性、可用性遭到嚴(yán)重破壞，恢復(fù)系統(tǒng)正常運行和消除安全事件負(fù)面影響所需

付出的代價十分巨大，對于事發(fā)組織是不可承受的；

b）嚴(yán)重的系統(tǒng)損失：造成系統(tǒng)長時間中斷或局部癱瘓，使其業(yè)務(wù)處理能力受到極大影響，

或系統(tǒng)關(guān)鍵數(shù)據(jù)的保密性、完整性、可用性遭到破壞，恢復(fù)系統(tǒng)正常運行和消除安全事件

負(fù)面影響所需付出的代價巨大，但對于事發(fā)組織是可承受的；

c）較大的系統(tǒng)損失：造成系統(tǒng)中斷，明顯影響系統(tǒng)效率，使重要信息系統(tǒng)或一般信息系統(tǒng)

業(yè)務(wù)處理能力受到影響，或系統(tǒng)重要數(shù)據(jù)的保密性、完整性、可用性遭到破壞，恢復(fù)系統(tǒng)

正常運行和消除安全事件負(fù)面影響所需付出的代價較大，但對于事發(fā)組織是完全可以承受

的；

d）較小的系統(tǒng)損失：造成系統(tǒng)短暫中斷，影響系統(tǒng)效率，使系統(tǒng)業(yè)務(wù)處理能力受到影響，

或系統(tǒng)重要數(shù)據(jù)的保密性、完整性、可用性遭到影響，恢復(fù)系統(tǒng)正常運行和消除安全事件

負(fù)面影響所需付出的代價較小。

5.1.4社會影響

社會影響是指信息安全事件對社會所造成影響的范圍和程度，其大小主要考慮國家安

全、社會秩序、經(jīng)濟(jì)建設(shè)和公眾利益等方面的影響，劃分為特別重大的社會影響、重大的社

會影響、較大的社會影響和一般的社會影響，說明如下：

a）特別重大的社會影響：波及到一個或多個省市的大部分地區(qū)，極大威脅國家安全，引起

社會動蕩，對經(jīng)濟(jì)建設(shè)有極其惡劣的負(fù)面影響，或者嚴(yán)重?fù)p害公眾利益；

b）重大的社會影響：波及到一個或多個地市的大部分地區(qū)，威脅到國家安全，引起社會恐

慌，對經(jīng)濟(jì)建設(shè)有重大的負(fù)面影響，或者損害到公眾利益；

c）較大的社會影響：波及到??個或多個地市的部分地區(qū)，可能影響到國家安全，擾亂社會

秩序，對經(jīng)濟(jì)建設(shè)有一定的負(fù)面影響，或者影響到公眾利益；

d）一般的社會影響：波及到一個地市的部分地區(qū)，對國家安全、社會秩序、經(jīng)濟(jì)建設(shè)和公

眾利益基本沒有影響，但對個別公民、法人或其他組織的利益會造成損害。

5.2事件分級

5.2.1概述

根據(jù)信息安全事件的分級考慮要素，將信息安全事件劃分為四個級別：特別重大事件、

重大事件、較大事件和一般事件。

5.2.2特別重大事件（I級）

特別重大事件是指能夠?qū)е绿貏e嚴(yán)重影響或破壞的信息安全事件，包括以下情況：

a）會使特別重要信息系統(tǒng)遭受特別嚴(yán)重的系統(tǒng)損失；

b）產(chǎn)生特別重大的社會影響。

5.23重大事件（II級）

重大事件是指能夠?qū)е聡?yán)重影響或破壞的信息安全事件，包括以下情況：

a）會使特別重要信息系統(tǒng)遭受嚴(yán)重的系統(tǒng)損失、或使重要信息系統(tǒng)遭受特別嚴(yán)重的系統(tǒng)損

失；

b）產(chǎn)生的重大的社會影響。

5.2.4較大事件（HI級）

較大事件是指能夠?qū)е螺^嚴(yán)重影響或破壞的信息安全事件，包括以下情況：

a）會使特別重要信息系統(tǒng)遭受較大的系統(tǒng)損失、或使重要信息系統(tǒng)遭受嚴(yán)重的系統(tǒng)損失、

一般信息信息系統(tǒng)遭受特別嚴(yán)重的系統(tǒng)損失；

b）產(chǎn)生較大的社會影響。

5.2.5一般事件（IV級）

一般事件是指不滿足以上條件的信息安全事件，包括以下情況：

a）會使特別重要信息系統(tǒng)遭受較小的系統(tǒng)損失、或使重要信息系統(tǒng)遭受較大的系統(tǒng)損失，

一般信息系統(tǒng)遭受嚴(yán)重或嚴(yán)重以下級別的系統(tǒng)損失；

b）產(chǎn)生一般的社會影響。

發(fā)布

中華人民共和國國家質(zhì)量監(jiān)督檢驗檢疫總局

中國國家標(biāo)準(zhǔn)化管理委員會

2007-06-14發(fā)布

信息安全技術(shù)

信息安全事件分類分級指南

Informationsecuritytechnology-Guidelinesforthecategoryandclassificationof

Informationsecurityincidents

GB/Z20986—2007

中華人民共和國國家標(biāo)準(zhǔn)化指導(dǎo)性技術(shù)文件

ICS35,040

L80

目次

前言..........................................II

引言..........................................Ill

1范圍...........................................1

2術(shù)語和定義.......................................1

3縮略語.........................................1

4信息安全事件分類....................................2

4.1考慮要索與基本分類.................................2

4.2事件分類......................................2

4.2.1有害程序事件（Ml）...............................................................2

4.2.2網(wǎng)絡(luò)攻擊事件（NAI）..............................................................2

4.2.3信息破壞事件（IDI）..............................................................3

424信息內(nèi)容安全事件UCSI）...........................................................3

4.2.5設(shè)備設(shè)施故障（FF）...............................................................3

4.2.6災(zāi)害性事件（DI）..................................................................4

4.2.7其他事件（01）...................................................................4

5信息安全事件分級...................................4

5.1分級考慮要素...................................4

5.1.1概述.......................................4

5.1.2信息系統(tǒng)的重要程度................................4

5.1.3系統(tǒng)損失.....................................4

5.1.4社會影響......................................4

5.2事件分級.....................................5

5.2.1概述.......................................5

5.2.2特別重大事件（I級）...............................5

5.2.3重大事件（H級）.................................5

5.2.4較大事件（III級）.................................5

525一般事件（IV級）..................................5

前言

（略）

引言

信息安全事件的防范和處置是國家信息安全保障體系中的重要環(huán)節(jié)，也是重要的工作內(nèi)容。

信息安

全事件的分類分級是快速有效處置信息安全事件的基礎(chǔ)之一。本指導(dǎo)性技術(shù)文件編制的目的

是：

1）促進(jìn)安全事件信息的交流和共享：

2）提高安全事件通報和應(yīng)急處理的自動化程度；

3）提高安全事件通報和應(yīng)急處理的效率和效果；

4）利于安全事件的統(tǒng)計分析：

5）利于安全事件嚴(yán)重程度的確定。

信息安全技術(shù)

信息安全事件分類分級指南

1范圍

本指導(dǎo)性技術(shù)文件為信息安全事件的分類分級提供指導(dǎo)，用于信息安全事件的防范與處置.，

為事前

準(zhǔn)備、事中應(yīng)對、事后處理提供一個基礎(chǔ)指南，可供信息系統(tǒng)和基礎(chǔ)信息傳輸網(wǎng)絡(luò)的運營和

使用單位以

及信息安全主管部門參考使用。

2術(shù)語和定義

下列術(shù)語和定義適用于本指導(dǎo)性技術(shù)文件。

2.1

信息系統(tǒng)informationsystem

由計算機(jī)及其相關(guān)的和配套的設(shè)備、設(shè)施(含網(wǎng)絡(luò))構(gòu)成的，按照一定的應(yīng)用目標(biāo)和規(guī)則對

信息進(jìn)

行采集、加工、存儲、傳輸、檢索等處理的人機(jī)系統(tǒng)。

2.2

信息安全事件informationsecurityincident

由于自然或者人為以及軟硬件本身缺陷或故障的原因，對信息系統(tǒng)造成危害，或?qū)ι鐣斐?/p>

負(fù)面影

響的事件。

3縮略語

下列縮略語適用于本指導(dǎo)性技術(shù)文件。

Ml：有害程序事件(MalwareIncidents)

CVI：計算機(jī)病毒事件(ComputerVirusIncidents)

WI：蠕蟲事件(WormsImidents)

THI：特洛伊木馬事件(TrojanHorsesIncidents)

Bl：僵尸網(wǎng)絡(luò)事件(BotnetsIncidents)

BAI：混合攻擊程序事件(BlendedAttacksIncidents)

WBPI：網(wǎng)頁內(nèi)嵌惡意代碼事件(WebBrowserPlug-InsIncidents)

NAI：網(wǎng)絡(luò)攻擊事件(NetworkAttacksIncidents)

DOSAI：拒絕服務(wù)攻擊事件(DenialofServiceAttacksIncidents)

BDAI：后門攻擊事件(BackdoorAttacksIncidents)

VAI：漏洞攻擊事件(VulnerabilityAttacksIncidents)

NSEI：網(wǎng)絡(luò)掃描竊聽事件(NetworkScan&EavesdroppingIncidents)

PI：網(wǎng)絡(luò)釣魚事件(PhishingIncidents)

II：干擾事件(InterferenceIncidents)

IDI：信息破壞事件(InformationDestroyIncidents)

IAI：信息篡改事件(InformationAlterationIncidents)

IMI：信息假冒事件(InformationMasqueradingIncidents)

ILEI：信息泄漏事件(InformationLeakageIncidents)

III：信息竊取事件(InformationInterceptionIncidents)

ILOI：信息丟失事件(InformationLossIncidents)

ICSI：信息內(nèi)容安全事件iInformationContentSecurityIncidents)

FF：設(shè)備設(shè)施故障(FacilitiesFaults)

SHF：軟硬件自身故障(SoftwareandHardwareFaults)

PSFF：外圍保障設(shè)施故障(PeripherySafeguardingFacilitiesFaults)

MDA：人為破壞事故(Man-madeDestroyAccidents)

DI：災(zāi)害性事件(DisasterIncidents)

Ol：其他事件(OtherIncidents)

4信息安全事件分類

4.1考慮要素與基本分類

信息安全事件可以是故意、過失或非人為原因引起的。本指導(dǎo)性技術(shù)文件綜合考慮信息安全

事件的

起因、表現(xiàn)、結(jié)果等，對信息安全事件進(jìn)行分類。

信息安全事件分為有害程序事件、網(wǎng)絡(luò)攻擊事件、信息破壞事件、信息內(nèi)容安全事件、設(shè)備

設(shè)施故

障、災(zāi)害性事件和其他信息安全事件等7個基本分類，每個基本分類分別包括若干個子類。

4.2事件分類

4.2.1有害程序事件(Ml)

有害程序事件是指蓄意制造、傳播有害程序，或是因受到有害程序的影響而導(dǎo)致的信息安全

事件。

有害程序是指插入到信息系統(tǒng)中的一段程序，有害程序危害系統(tǒng)中數(shù)據(jù)、應(yīng)用程序或操作系

統(tǒng)的保密性、

完整性或可用性，或影響信息系統(tǒng)的正常運行。

有害程序事件包括計算機(jī)病毒事件、蠕蟲事件、特洛伊木馬事件、僵尸網(wǎng)絡(luò)事件、混合攻擊

程序事

件、網(wǎng)頁內(nèi)嵌惡意代碼事件和其它有害程序事件等7個子類，說明如下：

a)計算機(jī)病毒事件(CVI)是指蓄意制造、傳播計算機(jī)病毒，或是因受到計算機(jī)病毒影響而

導(dǎo)致

的信息安全事件。計算機(jī)病毒是指編制或者在計算機(jī)程序中插入的一組計算機(jī)指令或者程序

代

碼，它可以破壞計算機(jī)功能或者毀壞數(shù)據(jù)，影響計算機(jī)使用，并能自我復(fù)制；

b)蠕蟲事件(WI)是指蓄意制造、傳播蠕蟲，或是因受到蠕蟲影響而導(dǎo)致的信息安全事件。

蠕

蟲是指除計算機(jī)病毒以外，利用信息系統(tǒng)缺陷，通過網(wǎng)絡(luò)自動復(fù)制并傳播的有害程序；

c)特洛伊木馬事件(THI)是指蓄意制造、傳播特洛伊木馬程序，或是因受到特洛伊木馬程

序影

響而導(dǎo)致的信息安全事件，特洛伊木馬程序是指偽裝在信息系統(tǒng)中的一種有害程序，具有控

制

該信息系統(tǒng)或進(jìn)行信息竊取等對該信息系統(tǒng)有害的功能；

d）僵尸網(wǎng)絡(luò)事件（BI）是指利用僵尸工具軟件，形成僵尸網(wǎng)絡(luò)而導(dǎo)致的信息安全事件。僵

尸網(wǎng)絡(luò)

是指網(wǎng)絡(luò)上受到黑客集中控制的一群計算機(jī)，它可以被月于伺機(jī)發(fā)起網(wǎng)絡(luò)攻擊，進(jìn)行信息竊

取

或傳播木馬、蠕蟲等其他有害程序；

e）混合攻擊程序事件（BAI）是指蓄意制造、傳播混合攻擊程序，或是因受到混合攻擊程序

影響

而導(dǎo)致的信息安全事件。混合攻擊程序是指利用多種方法傳播和感染其它系統(tǒng)的有害程序，

可

能兼有計算機(jī)病毒、蠕蟲,木馬或僵尸網(wǎng)絡(luò)等多種特征,混合攻擊程序事件也可以是一系列

有

害程序綜合作用的結(jié)果，例如一個計算機(jī)病毒或蠕蟲在侵入系統(tǒng)后安裝木馬程序等；

f）網(wǎng)頁內(nèi)嵌惡意代碼事件（WBPI）是指蓄意制造、傳播網(wǎng)頁內(nèi)嵌惡意代碼，或是因受到網(wǎng)

頁內(nèi)

嵌惡意代碼影響而導(dǎo)致的信息安全事件。網(wǎng)頁內(nèi)嵌惡意代碼是指內(nèi)嵌在網(wǎng)頁中，未經(jīng)允許由

瀏

覽器執(zhí)行，影響信息系統(tǒng)正常運行的有害程序；

g）其它有害程序事件（OMI）是指不能包含在以上6個子類之中的有害程序事件。

4.2.2網(wǎng)絡(luò)攻擊事件（NAI）

網(wǎng)絡(luò)攻擊事件是指通過網(wǎng)絡(luò)或其他技術(shù)手段，利用信息系統(tǒng)的配置缺陷、協(xié)議缺陷、程序缺

陷或使

用暴力攻擊對信息系統(tǒng)實施攻擊，并造成信息系統(tǒng)異常或?qū)π畔⑾到y(tǒng)當(dāng)前運行造成潛在危害

的信息安全

事件。

網(wǎng)絡(luò)攻擊事件包括拒絕服務(wù)攻擊事件、后門攻擊事件、漏洞攻擊事件、網(wǎng)絡(luò)掃描竊聽事件、

網(wǎng)絡(luò)釣

魚事件、干擾事件和其他網(wǎng)絡(luò)攻擊事件等7個子類，說明如下：

a）拒絕服務(wù)攻擊事件（DOSAI）是指利用信息系統(tǒng)缺陷、或通過暴力攻擊的手段，以大量消

耗

信息系統(tǒng)的CPU、內(nèi)存、磁盤空間或網(wǎng)絡(luò)帶寬等資源，從而影響信息系統(tǒng)正常運行為目的的

信息安全事件；

b）后門攻擊事件（BDAI）是指利用軟件系統(tǒng)、硬件系統(tǒng)設(shè)計過程中留下的后門或有害程序

所設(shè)

置的后門而對信息系統(tǒng)實施的攻擊的信息安全事件；

c）漏洞攻擊事件（VAI）是指除拒絕服務(wù)攻擊事件和后門攻擊事件之外，利用信息系統(tǒng)配置

缺陷、

協(xié)議缺陷、程序缺陷等漏洞，對信息系統(tǒng)實施攻擊的信息安全事件；

d）網(wǎng)絡(luò)掃描竊聽事件（NSEI）是指利用網(wǎng)絡(luò)掃描或竊聽軟件，獲取信息系統(tǒng)網(wǎng)絡(luò)配置、端

口、

服務(wù)、存在的脆弱性等特征而導(dǎo)致的信息安全事件；

e）網(wǎng)絡(luò)釣魚事件（PI）是指利用欺騙性的計算機(jī)網(wǎng)絡(luò)技術(shù)，使用戶泄漏重要信息而導(dǎo)致的

信息安

全事件。例如，利用欺騙性電子郵件獲取用戶銀行帳號密碼等；

f）干擾事件（II）是指通過技術(shù)手段對網(wǎng)絡(luò)進(jìn)行干擾，或?qū)V播電視有線或無線傳輸網(wǎng)絡(luò)進(jìn)

行插

播，對衛(wèi)星廣播電視信號非法攻擊等導(dǎo)致的信息安全事件；

g）其他網(wǎng)絡(luò)攻擊事件（ONAI）是指不能被包含在以上6個子類之中的網(wǎng)絡(luò)攻擊事件。

4.2.3信息破壞事件（IDI）

信息破壞事件是指通過網(wǎng)絡(luò)或其他技術(shù)手段，造成信息系統(tǒng)中的信息被篡改、假冒、汽漏、

竊取等

而導(dǎo)致的信息安全事件。

信息破壞事件包括信息篡改事件、信息假冒事件、信息泄漏事件、信息竊取事件、信息丟失

事件和

其它信息破壞事件等6個子類，說明如下：

a）信息篡改事件（IAI）是指未經(jīng)授權(quán)將信息系統(tǒng)中的信息更換為攻擊者所提供的信息而導(dǎo)

致的

信息安全事件，例如網(wǎng)頁篡改等導(dǎo)致的信息安全事件：

b）信息假冒事件（IMI）是指通過假冒他人信息系統(tǒng)收發(fā)信息而導(dǎo)致的信息安全事件，例如

網(wǎng)頁

假冒等導(dǎo)致的信息安全事件；

c）信息泄漏事件（ILEI）是指因誤操作、軟硬件缺陷或電磁泄漏等因素導(dǎo)致信息系統(tǒng)中的保

密、

敏感、個人隱私等信息暴露于未經(jīng)授權(quán)者而導(dǎo)致的信息安全事件；

d）信息竊取事件（III）是指未經(jīng)授權(quán)用戶利用可能的技術(shù)手段惡意主動獲取信息系統(tǒng)中信

息而導(dǎo)

致的信息安全事件；

e）信息丟失事件（ILOI）是指因誤操作、人為蓄意或軟硬件缺陷等因素導(dǎo)致信息系統(tǒng)中的信

息丟

失而導(dǎo)致的信息安全事件；

f）其它信息破壞事件（OIDI）是指不能被包含在以上5個子類之中的信息破壞事件。

4.2.4信息內(nèi)容安全事件?ICSI）

信息內(nèi)容安全事件是指利用信息網(wǎng)絡(luò)發(fā)布、傳播危害國家安全、社會穩(wěn)定和公共利益的內(nèi)容

的安全

事件。

信息內(nèi)容安全事件包括以下4個子類，說明如下：

a）違反憲法和法律、行政法規(guī)的信息安全事件；

b）針對社會事項進(jìn)行討論、評論形成網(wǎng)上敏感的輿