GB/T 20009-2005 信息安全技术 数据库管理系统安全评估准则

ICS35.020

L09石黔

中华人民共和国国家标准

GB/T20009-2005

信息安全技术

数据库管理系统安全评估准则

Informationsecuritytechnology-

Databasemanagementsystemssecurityevaluationcriteria

2005-11-11发布2006-05-01实施

中华人民共和国国家质量监督检验检疫总局发布

中国国家标准化管理委员会

GB/T20009-2005

目次

V

9Ua习

1范围

规范性引用文件

术语和定义……

4安全环境…

4.1物理方面

4.2人员方面

4.3连通性方面

5评估内容二

5.1用户自主保护级

5.11自主访问控制

5.I2身份鉴别

数据完整性

n

:_{_:乙

数据传输

Q

5.1.5资源利用乙

肖

5.1.6安全功能保护乙

n

安全管理J

八

5.1.8配置管理n

6

5.1.9安全功能开发过程·…口

﹃

5.1.10测试···············……内

5.1.11指导性文档······……

5.1.12交付和运行······……

5.2系统审计保护级····……

5,2,1自主访问控制

5.2.2身份鉴别，，，，··……

5.2.3客体重用

5.2.4审计…“·’‘”‘“”’”‘’’‘

5.2.5数据完整性·········一

5.2.6数据传输········……”

5.2.7资源利用············一

5.2.8安全功能保护·····一·

5.2.9安全管理···········…

5.2.10生存周期支持···…·…

5.2.n配置管理·········……

5.2,12安全功能开发过程一

5.2.13测试······一·““”‘””

5.2.14指导性文档·······……

GB/T20009-2005

5.2.15交付和运行····························································……，·······.·········.……7

53安全标记保护级·····，，···············，·············，············，············，，·············，············，·，··…7

5.3.1自主访问控制······································，，·····················.·.····，……，..·····.·……7

5.3.2强制访问控制·，··，，，···，41‘·。。4········，，，，，·······，·······一·，，·····.·.·……，，.，.7

5.3.3标记··················，，·····························，····························，························一7

5.3.4身份鉴别··························，·····························，·······································.·.……7

5.3.5客体重用·················，·············，····················································，..···...……8

5.3.6审计················，····················，·······，····················，，·····，····························，·……8

5.3.7数据完整性·······，···，··············，·····‘·······，···············，········，，二，，..············.····一，，，..…9

5.3.8数据传输··············，···························，····························，，，，··········……，9

S.3.9密码支持···············，···································································‘···········……9

5.3.10资源利用··‘························，····································································……10

5.3.11安全功能保护··，·················，··············，······················································……10

5.3.12安全管理················，····················································...······················.……10

5.3.13生存周期支持··，···································，，·················································，·…11

5.3.14配置管理·······，······················‘·‘······，····························，，············.……，，，，，.11

5.3,15安全功能开发过程···················。。··，·，，，，··，·，············，，，，，·，·········11······，，11

5.3.16测试·············12

5.3.17指导性文档···························································································，，，·…12

5.3.18脆弱性·······，···，·············，，··················，，···············，············，···················...……12

5.3.19交付和运行··································，····，······················，············，·················……12

5.4结构化保护级·········，，，························································，························，，，，二12

5.4.1自主访问控制.·，二12

5.4.2强制访问控制·····，，···，，，····················································，····，··········，，，，，13

5.4.3标记·········，····································，····························，··························……13

5.4.4身份鉴别··································································································……，13

5.4.5客体重用································································.···············.·.······……，……14

5.4.6审计············，·································，························································，··…14

5.4.7数据完整性·········，，·················································……，…，·······.··……，，.14

5.4.8数据传输··卜·········，，，·，······1····，，，，·······················，，，，，，，········‘1·，……15

S.4.9密码支持···········，，，，·，，············，····································，，，··，·····················……15

5.4.10资源利用··································‘·····，···············································‘··，·，…16

5.4.11安全功能保护··························，······························································……16

5.4.12安全管理················································，···············································……16

5.4.13生存周期支持·············，···················，·······················，····，，···························，…17

5.4.14配置管理···，···，···，，，···，，···············································，，····，···········，·····。··，……17

5.4.15安全功能开发过程·，，，·········1‘··1············，，········‘·-··，，···········11··········，·…18

5.4.16测试·············································，，，··············································‘·，……18

5.4.17指导性文档·····，···············，································，······，·····························……19

5.4.18脆弱性·································································································……19

5.4.19交付和运行······，，·························，·············，··········································。···一·19

5.5访问验证保护级······，，·························，···，····················，······························……19

5.5.1自主访问控制··1·，，·，······，·····1····，，······，，············。···，，，··，··，·····················，·…19

口

GB/T20009-2005

5.5.2强制访问控制·····，·······················································································……20

5.5.3标记···········································································································，一20

5.5.4身份鉴别·········································································，························……20

5.5.5客体重用·········································，·························································……21

5.5.6审计·················································，·······················································……21

5.5.7数据完整性···················，·······，····································································……22

5.5.8数据传输······································，······，·····················································……22

5.5.9密码支持··································································································……22

5.5.10资源利用················，···············································································……23

5.5.11安全功能保护··························，········································，······················……23

5.5.12安全管理·，······························································································……24

5.5.13生存周期支持···························，，················································，···········……24

5.5.14配置管理································································································……25

5.5.15安全功能开发过程·················，·································································……25

5.5.16测试···········，·······························，········，·························.·……，二，...……26

5.5.17指导性文档·····························································································……26

5.5.18脆弱性·····························，······································，·····························……26

5.5.19交付和运行··························，··································································……27

附录A(资料性附录)数据库管理系统面临的威胁和对策··························..·.·……28

GB/T20009-2005

月U舌

GB17559-1999《计算机信息系统安全保护等级划分准则》是我国计算机信息系统安全等级管理

的重要标准，已于1999年9月13日发布为促进安全等级管理工作的正常有序开展，特制定一系列相

关的标准。本标准是系列标准之一。

本标准文本中，黑体字表示较低等级中没有出现或增强的评估内容。

本标准的附录A中说明数据库管理系统面临的主要威胁和对策。

本标准的附录A是资料性附录。

本标准由全国信息安全标准化技术委员会提出并归1〔。

本标准起草单位:北京大学软件工程国家工程中心、东软股份有限公司、公安部公共信息网络安全

监察局。

本标准主要起草人:王立福，赵学志，程万军，刘学洋，葛佳。

GB/T20009-2005

引言

数据库管理系统是为数据库的建立、使用和维护而配置的软件。它建立在操作系统的基础上，对数

据库进行统一的管理和控制。用户使用的各种数据库命令以及应用程序的执行，都要通过数据库管理

系统。数据库管理系统还提供对数据库的维护支持，按照系统管理人员的规定要求，保证数据库的安

全性。

数据库管理系统可以帮助不同用户共享一个公共数据集合的软件系统并维护各数据项之间语义上

的关联。

数据库管理系统负责在用户应用中存储、格式化、维护和管理用户数据。数据库管理系统通过其内

在的功能，以适当的结构来存储数据并通过维护机制来维护这些数据的逻辑关系和完整性，为应用提供

一致、完整、安全、可靠的服务。

GB/T20009-2005

信息安全技术

数据库管理系统安全评估准则

范围

本标准从信息技术方面规定了按照GB17859-1999的五个安全保护等级对数据库管理系统安全

保护等级划分所需要的评估内容。

本标准适用于数据库管理系统的安全保护等级的评估，对于数据库管理系统安全功能的研制、开发

和测试亦可参照使用。

2规范性引用文件

下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注日期的引用文件，其随后所有

的修改单(不包括勘误的内容)或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究

是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本标准。

GB17859-1999计算机信息系统安全保护等级划分准则

GB/T18336.1-2001信息技术安全技术信息技术安全性评估准则第1部分:简介和一般

模型(idtISO/IEC15408-1:1999)

3术语和定义

GB17859-1999和GB/T18336.1-2001确立的术语和定义适用于本标准。

4安全环境

4.1物理方面

数据库管理系统所处的物理环境是安全的。对数据库管理系统资源的处理限定在一些可控制的访

问设备内，防止未授权的物理访问。所有有关安全策略实施的系统硬件和软件受到保护以免于未授权

的物理修改。

42人员方面

有一个或多个能胜任的授权用户来管理数据库管理系统和它所包含信息的安全。管理员应经过一

定培训，以便能正确有效地建立和维护安全策略。被授权的管理员能严格遵从系统管理员文档的要求

进行操作，不会蓄意破坏数据库管理系统，不会蓄意违反操作规程。授权用户具备必要的授权来访问由

数据库管理系统管理的最少量的信息

4.3连通性方面

数据库管理系统在系统管理员的配置下正常运行，用户可以通过网络远程访问和使用数据库管理

系统。授权用户可以获得他们希望得到的适当服务。

5评估内容

5.1用户自主保护级

5.1.1自主访问控制

数据库管理系统安全功能定义和控制系统中命名用户对命名客体的访问。自主访问控制的实施机

制允许用户指定和控制客体的共享，并具备限制访问权限扩散的控制能力。自主访问控制机制根据用

t

GB/T20009-2005

户指定或默认的方式，阻止未授权用户对客体访问对于每个命名客体，自主访问控制机制提供授权访

问和不授权访问的访问控制表。只允许授权用户将访问许可授予未拥有某客体访问权限的用户。

数据库管理系统的安全功能应实施安全机制(如:利用访问控制表)，控制用户对客体的访问

5.1.2身份鉴别

5.1.2.1用户属性定义

数据库管理系统安全功能应给出每个用户与标识相关的安全属性，如:标识符、组等。如果数据库

管理系统安全功能维护自己的标识与鉴别数据，那么它应保证每个用户个体在数据库管理系统和其他

系统安全功能中的信息相一致。

5.1.2.2用户标识

数据库管理系统的安全功能应预先设定数据库管理系统代表用户执行的、与安全功能相关的动作，

在标识之前，安全功能允许数据库管理系统执行这些预设动作。在其他的安全功能引起的操作动作之

前，数据库管理系统的安全功能应成功地标识每个用户。

5.1.2.3用户鉴别

数据库管理系统的安全功能应预先设定数据库管理系统代表用户执行的、与安全功能相关的动作，

在用户被鉴别之前，允许数据库管理系统执行这些预设动作在其他的安全功能引起的操作动作之前，

数据库管理系统的安全功能应成功地鉴别每个用户。

5.1.2.4鉴别失败处理

数据库管理系统的安全功能应检测到与鉴别事件相关的不成功的鉴别尝试，当不成功鉴别尝试的

次数达到或超过了定义的界限时，安全功能应终止会话建立的进程。

5.1.2.5访问历史

在会话成功建立的基础上，数据库管理系统的安全功能应显示用户上一次成功会话建立的日期、时

间、方法、位置等。

5.1.3数据完整性

数据库管理系统的安全功能允许在规定的客体上执行特定操作的回退

5.1.4数据传输

5.1.4.1内部传输

在数据库管理系统物理分隔的各部分之间传递用户数据时，数据库管理系统的安全功能应执行特

定的安全功能策略。

5.1.4.2数据外部输出

向数据库管理系统安全功能控制范围之外输出用户数据时，数据库管理系统安全功能应在访问控

制机制允许的前提下，执行特定的安全功能策略，进行用户数据输出。

5.1.4.3数据外部输入

当用户数据从数据库管理系统安全功能控制范围之外输入时，数据库管理系统的安全功能应执行

特定的安全功能策略。

5.1.5资源利用

数据库管理系统的安全功能应限制属干同一用户的并发会话的最大数目。

5.1.6安全功能保护

5.1.6.1时间戳

数据库管理系统的安全功能应为自身的应用提供可靠的时间戳

5.1.6.2安全功能数据传输

在数据库管理系统的分离部分间传输安全功能数据时，数据库管理系统的安全功能应保护安全功

能数据不被泄露或修改。当依靠其他系统的安全功能实现安全传输时，应提供其他系统的数据传输保

护功能的可信性证据。

GB/T20009-2005

5.1.7安全管理

5.1.7.1功能管理

数据库管理系统的安全功能应限制管理员对安全功能的启动、关闭和修改的能力。

5.1.7.2属性管理

数据库管理系统的安全功能应依据访问控制策略，限制授权管理员查询、修改或删除安全属性的

能力。

5.1.7.3安全功能数据管理

数据库管理系统的安全功能应限制管理员查询、修改或删除安全功能数据的能力，仅允许授权管理

员管理这些数据

5.1.8配置管理

开发者提供的配置管理文档应以版本号做标签，为数据库管理系统提供引用，使一个版本号对应数

据库管理系统的唯一版本。

5.1.9安全功能开发过程

开发者提供的数据库管理系统安全功能的功能规约应描述安全功能及其与外部的接口。

5.1.10测试

5.1.10.1功能测试

开发者提供的测试文档应包含测试计划、测试过程描述、预期的测试结果和实际测试结果，其中的

测试计划应标识要测试的安全功能、描述要执行的测试目标，测试过程描述应标识要执行的测试、测试

概况

5.1.10.2般盖分析

开发者提供的测试覆盖的证据应表明测试文档中所标识的测试和功能规约中所描述的安全功能之

间的对应性。

5.1.11指导性文档

5.1.11.1管理员指南

开发者提供的管理员指南应描述对于授权安全管理角色可使用的管理功能和接口、安全管理数据

库管理系统的方式、受控制的安全参数以及与安全操作有关的用户行为的假设，并描述与为评估而提供

的其他所有文件的一致性。

5.l.11.2用户指南

开发者提供的用户指南，应描述用户可获取的安全功能和接口的用法以及安全操作中用户的职责

(包括:用户行为假设)。同时，应描述与为评估而提供的其他所有文件的一致性

5.1.12交付和运行

开发者提供的安装过程的文档应说明用于数据库管理系统的安全安装、生成和启动的过程所必需

的步骤。并应描述一个启动程序，它包含了用以生成数据库管理系统的选项，从而能决定数据库管理系

统是如何以及何时产生的

5.2系统审计保护级

5.2.1自主访问控制

数据库管理系统安全功能定义和控制系统中命名用户对命名客体的访问。自主访问控制的实施机

制允许用户指定和控制客体的共享，并具备限制访问权限扩散的控制能力。自主访问控制机制根据用

户指定或默认的方式，阻止未授权用户对客体访问。对于每个命名客体，自主访问控制机制提供授权访

问和不授权访问的访问控制表。只允许授权用户将访问许可授予未拥有某客体访问权限的用户。

数据库管理系统的安全功能应实施安全机制(如:利用访问控制表)，控制用户对客体的访问。

5.2.2身份鉴别

5.2.2.1用户属性定义

GB/T20009-2005

数据库管理系统安全功能应给出每个用户与标识相关的安全属性，如:标识符、组等。如果数据库

管理系统安全功能维护自己的标识与鉴别数据，那么它应保证每个用户个体在数据库管理系统和其他

系统安全功能中的信息相一致。

5.2.2.2用户标识

数据库