GA/T 1560-2019 信息安全技术 工业控制系统主机安全防护与审计监控产品安全技术要求

ICS35.240

A.90

GA

中华人民共和国公共安全行业标准

GA/TXXXX—XXXX

信息安全技术工业控制系统主机安全防护

与审计监控产品安全技术要求

InformationsecuritytechnologySecuritytechnicalrequirementsforsecurity

protectingandauditmonitoringproductsforindustrialcontrolsystemhost

（报批稿）

XXXX-XX-XX发布XXXX-XX-XX实施

中华人民共和国公安部发布

GA/TXXXX—XXXX

目次

前言II

1范围1

2规范性引用文件1

3术语和定义1

4工业控制系统主机安全防护与审计监控产品描述2

5安全功能要求2

5.1访问控制2

5.2操作行为审计与监控2

5.3数据安全交换3

5.4信息显示与数据分析3

5.5时间同步3

5.6用户标识3

5.7身份鉴别4

5.8安全审计4

5.9安全管理功能5

5.10硬件失效处理5

5.11网络性能要求5

6安全保障要求5

6.1开发5

6.2指导性文档6

6.3生命周期支持6

6.4测试7

6.5脆弱性评定7

7安全等级划分及要求8

7.1等级划分8

7.2安全功能要求8

7.3安全保障要求9

I

GA/TXXXX—XXXX

前言

本标准按照GB/T1.1-2009给出的规则起草。

本标准由公安部网络安全保卫局提出。

本标准由公安部信息系统安全标准化技术委员会归口。

本标准起草单位：公安部计算机信息系统安全产品质量监督检验中心、公安部第三研究所。

本标准主要起草人：田晓鹏、沈清泓、邹春明、顾健、张艳、赵婷。

II

GA/TXXXX—XXXX

信息安全技术工业控制系统主机安全防护与审计监控产品安全技

术要求

1范围

本标准规定了工业控制系统主机安全防护与审计监控产品的安全功能要求、安全保障要求及等级划

分要求。

本标准适用于工业控制系统主机安全防护与审计监控产品的设计、开发与测试。

2规范性引用文件

下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。

凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。

GB/T18336.3-2015信息技术安全技术信息技术安全评估准则第3部分：安全保障组件

GB/T25069-2010信息安全技术术语

GB/T32919-2016信息安全技术工业控制系统安全控制应用指南

3术语和定义

GB/T18336.3-2015、GB/T25069－2010和GB/T32919-2016界定的以及下列术语和定义适用于本文

件。

3.1

工业控制系统主机industrialcontrolsystemhost

应用于工业控制系统领域，主要用于监控管理的计算机，包括工业控制系统上位机等。

3.2

安全防护装置securityprotectingdevice

监控被防护主机键盘输入、鼠标操作、移动存储介质拷贝和显示器画面的装置。

3.3

安全防护平台securityprotectingplatform

接收安全防护装置上传的审计与监控数据，并进行数据分析及安全策略配置的平台。

3.4

数据摆渡dataferrying

利用安全防护装置，实现工业控制系统主机与移动存储介质之间进行数据交换的一种机制，内外接

口在物理链路上不能同时与安全防护装置连通，利用摆渡方式完成信息传输。

1

GA/TXXXX—XXXX

4工业控制系统主机安全防护与审计监控产品描述

工业控制系统主机安全防护与审计监控产品在结构上主要由安全防护装置、安全防护平台等组件构

成，主要用于对工业控制系统主机进行安全防护与审计监控。

图1为该产品的典型部署环境，其中安全防护装置利用铠甲式方式部署，主要用于连接工程师站、

操作员站等工业控制系统主机的各类外设接口，如：VGA接口、USB接口、PS/2接口等，实现对工业

控制系统主机外设接口的接入控制；安全防护平台通过网络方式连接安全防护装置，主要用于接收安全

防护装置上传的审计与监控数据，并支持下发安全策略，实现数据摆渡、数据分析等功能。此外，该产

品提供恶意代码防御服务器，提供对摆渡数据的恶意代码查杀和数据封装等功能。

显示器鼠标键盘

移动存储介质恶意代码防御

服务器

外设接口

安全防护装置安全防护平台

工业控制网络

工程师站/操作员站

图1工业控制系统主机安全防护与审计监控产品典型部署环境

5安全功能要求

5.1访问控制

针对主体、客体以及主客体之间的所有操作，产品应能够执行以下访问控制策略：

a)支持根据主体（如：访问用户等）、客体（如：被防护主机等）、访问权限设置访问控制策略；

b)主客体之间发送和接收的信息流均经过安全策略允许后传输；

c)主体访问权限至少包括：被防护主机管理权限、审计数据查询、访问控制策略等。

5.2操作行为审计与监控

5.2.1操作行为审计

产品应记录操作行为，包括但不限于：

a)提供工业控制系统主机图形化实时监视功能；

b)记录工业控制系统主机通过键盘、鼠标进行输入的操作行为；

c)记录工业控制系统主体通过移动存储交换介质进行数据交换的操作行为；

d)记录工业控制系统主机通过网络进行运维管理的操作行为。

5.2.2操作行为响应

产品应对违反访问控制策略的操作行为进行响应，如日志审计、对话框报警等响应策略。

2

GA/TXXXX—XXXX

5.2.3操作事件回溯

产品应支持操作事件回溯，包括：

a)支持回溯用户通过移动存储交换介质进行数据交换的过程；

b)支持选择指定节点进行回溯操作，并可按事件发生时间、审计事件类别、主体、客体等进行查