GB/T 20010-2005 信息安全技术 包过滤防火墙评估准则

ICS35.020

L09

中华人民共和国国家标准

GB/T20010—2005

信息安全技术

包过滤防火墙评估准则

Informationsecuritytechnology——

Packetfilteringfirewallsevaluationcriteria

2005-11-11发布2006-05-01实施

发布

GB/T20010—2005

目

前言皿

引言N

1范围1

2规范性引用文件1

3术语和定义1

4安全环境1

4.1物理方面1

4.2人员方面2

4.3连通性方面2

5评估内容2

5.1用户自主保护级2

5.1.1访问控制2

5.1.2身份鉴别2

5.1.3数据完整性2

5.1.4配置管理3

5.1.5安全功能开发过程3

5.1.6测试3

5.1.7指导性文档3

5.1.8交付与运行4

5.2系统审计保护级4

5.2.1访问控制4

5.2.2身份鉴别5

5.2.3客体重用5

5.2.4审计5

5.2.5数据完整性6

5.2.6生存周期支持6

5.2.7配置管理6

5.2.8安全功能开发过程6

5.2.9测试7

5.2.10指导性文档7

5.2.11脆弱件分析8

5.2.12交付与运行8

5.3安全标记保护级8

5.3.1访问控制8

5.3.2标记9

5.3.3身份鉴别10

5.3.4客体重用10

5.3.5审计10

5.3.6数据完整性11

5.3.7密码支持11

T

GB/T20010—2005

5.3.8生存周期支持11

5.3.9配置管理11

5.3.10安全功能开发过程12

5.3.11测试13

5.3.12指导性文档13

5.3.13脆弱性分析14

5.3.14交付和运行14

5.4结构化保护级14

5.4.1访问控制14

5.4.2标记16

5.4.3身份鉴別16

5.4.4客体重用16

5.4.5审计16

5.4.6数据完整性17

5.4.7可信路径17

5.4.8密码支持17

5.4.9生存周期支持18

5.4.10配置管理18

5.4.11安全功能开发过程18

5.4.12测试20

5.4.13指导性文档20

5.4.14脆弱性分析21

5.4.15交付与运行21

5.5访问验证保护级21

5.5.1访问控制21

5.5.2标记23

5.5.3身份鉴別23

5.5.4客体重用23

5.5.5审计23

5.5.6数据完整性25

5.5.7可信路径25

5.5.8可信恢复25

5.5.9密码支持25

5.5.10生存周期支持25

5.5.11配置管理26

5.5.12安全功能开发过程26

5.5.13测试28

5.5.14指导性文档28

5.5.15脆弱性分析29

5.5.16交付与运行29

附录A（资料性附录）防火墙面临的威胁和对策31

参考文献32

n

GB/T20010—2005

■1/■■1

刖a

GB17859—1999《计算机信息系统安全保护等级划分准则》是我国计算机信息系统安全等级管理

的重要标准，已于1999年9月13日发布。为促进安全等级管理T作的正常有序开展，特制定一系列相

关的标准。本标准是系列标准之一。

本标准文本中，黑体字表示较低等级中没有出现或增强的评估内容。

本标准的附录A中说明防火墙面临的主要威胁和对策。

本标准的附录A是资料性附录。

本标准由全国信息安全标准化技术委员会提出并归口。

本标准起草单位：北京大学软件工程国家T程中心，公安部公共信息网络安全监察局。

本标准主要起草人:王立福、刘学洋、赵学志、张劲飞、张晰。

m

GB/T20010—2005

引言

防火墙是内部、外部两个网络之间的一个阻隔，通过允许和拒绝经过防火墙的数据流，防止不希望

的、未授权的通信，并实现对进、出内部网络的服务和访问的审计和控制。防火墙对网络用户提供访问

控制服务和通信安全服务，对网络用户基本上是“透明”的，并且只有授权的管理员方可对防火墙进行

管理。

防火墙一般要解决的安全问题可分为被保护系统（即内部网）的安全问题和自身的安全问题。

防火墙产品主要分为两类:包过滤和应用级防火墙。本标准规定了包过滤防火墙的各级安全要求。

包过滤防火墙根据安全功能策略建立包过滤规则。过滤规则的主要要素有源IP地址、目的IP地址、协

议号、源端口、目的端口、连接标志和另外一些IP选项，以及包到达或发出的接口。

GB/T20010—2005

信息安全技术

包过滤防火墙评估准则

1范围

本标准从信息技术方面规定了按照GB17859-1999的五个安全保护等级对采用“传输控制协议/

网间协议（TCP/IP）”的包过滤防火墙产品安全保护等级划分所需要的评估内容。

本标准适用于包过滤防火墙安全保护等级的评估，对于包过滤防火墙的研制、开发、测试和产品采

购也可参照使用。

2规范性引用文件

下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注日期的引用文件，其随后所有

的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究

是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本标准。

GB17859—1999计算机信息系统安全保护等级划分准则

3术语和定义

GB17859—1999确立的以及下列术语和定义适用于本标准。

3.1

王机host

一台与防火墙相互作用的机器，它在防火墙安全功能策略控制下进行通信。

3.2

用户user

一个在防火墙安全功能策略的控制下，通过防火墙访问外部网络或内部网络的人，此人不具有能影

响防火墙安全功能策略执行的特权。

3.3

授权管理员authorizedadministrator

能访问、实施、修改防火墙安全功能策略的个人，其职责仅限定于对防火墙的管理，不包括系统管理

和网络管理。

3.4

可信主机trustedhost

允许授权管理员对防火墙进行远程管理的机器。

3.5

鉴别数据authenticationdata

用来确认授权管理员和可信主机身份的信息。

4安全环境

4.1物理方面

对防火墙资源的处理限定在一些可控制的访问设备内，防止未授权的物理访问。所有与实施防火

1

GB/T20010—2005

墙安全策略相关的硬件和软件应受到保护以免于未授权的物理修改。

4.2人员方面

授权管理员不具敌意并遵守所有的管理员规则。

4.3连通性方面

防火墙是内、外网络之间的唯一连接点，所有内外网络间的通信应经过防火墙。授权管理员可以从

内部或外部网上对防火墙进行远程管理。

5评估内容

本章给出了各级防火墙所需评估的安全功能内容和安全保证内容。包过滤防火墙执行的安全功能

策略称为未鉴別的端到端策略,用来处理防火墙一侧的主体（发送信息的主机）向另一侧客体（接受信息

的主机）发送数据。在主体发送数据之前，未鉴别的端到端策略不需要对主体身份进行鉴別。

5.1用户自主保护级

5.1.1访问控制

5.1.1.1安全属性定义

对于每一个授权管理员、可信主机和主机，防火墙安全功能应为其提供一套唯一的、为了执行安全

功能策略所必需的安全属性。

5.1.1.2属性初始化

防火墙安全功能应提供用默认值对授权管理员、可信主机和主机属性初始化的能力。

5.1.1.3属性修改

防火墙安全功能应仅向授权管理员提供修改下述（包含但不仅限于）参数的能力：

a）标识与角色（例如：配置管理员等）的关系；

）源地址、目的地址、传输层协议和请求的服务（例如：源端口号或目的端□号等访问控制属性）；

c）配置的安全参数（例如：最大鉴别失败次数等数据）。

5.1.1.4属性查询

防火墙安全功能应仅向授权管理员提供以下查询：源地址、目的地址、传输层协议和请求的服务（例

如：源端口号或目的端口号等访问控制属性）。

5.1.1.5访问授权与拒绝

防火墙安全功能应根据主体和客体的安全属性值［源地址、目的地址、传输层协议和请求的服务（例

如：源端口号或目的端口号）等］，提供明确的访问保障能力和拒绝访问能力。

5.1.2身份鉴别

5.1.2.1鉴别数据初始化

防火墙安全功能应根据规定的鉴别机制•提供授权管理员和可信主机鉴别数据的初始化功能.并确

保仅允许授权管理员使用这些功能。

5.1.2.2鉴别时机

在所有授权管理员和可信主机请求执行的任何操作之前，防火墙安全功能应确保对每个授权管理

员和可信主机进行了身份鉴别。

5.1.2.3鉴别失败处理

在经过一定次数的鉴别失败以后，防火墙安全功能应能终止可信主机建立会话的过程。最多失败

次数仅由授权管理员设定。

5.1.3数据完整性

防火墙安全功能应保护储存的鉴别数据和过滤策略不受未授权修改和破坏。

2

GB/T20010—2005

5.1.4配置管理

开发者应为防火墙产品的不同版本提供唯一的标识。

防火墙产品的每个版本应当使用它们的唯一标识作为标签。

5.1.5安全功能开发过程

5.1.5.1功能规约

开发者应提供防火墙的安全功能规约。

功能规约应以非形式方法来描述安全功能与其外部接口.并描述使用外部安全功能接口的目的与

方法，在需要的时候，还要提供例外情况和错误信息的细节。

安全功能规约应是内在一致的并能完备地表示安全功能。

5.1.5.2表示对应性

开发者应在防火墙安全功能表示的所有相邻对之间提供对应性分析。

对于防火墙安全功能表示的每个相邻对•分析应阐明：较为抽象的安全功能表示的所有相关安全功

能，应在较具体的安全功能表示中得到正确而完备地细化。

5.1.6测试

5.1.6.1功能测试

开发者应测试安全功能.将结果文档化并提供测试文档。

测试文档应包括测试计划、测试过程、预期的测试结果和实际测试结果。测试计划应标识要测试的

安全功能，并描述测试的目标。测试过程应标识要执行的测试，并描述每个安全功能的测试概况.这些

概况包括对其他测试结果的顺序依赖性。期望的测试结果应表明测试成功后的预期输出。实际测试结

果应表明每个被测试的安全功能能按照规定进行运作。

5.1.6.2覆盖分析

开发者应提供测试覆盖的分析结果。

测试覆盖的分析结果应表明测试文档中所标识的测试与安全功能规约中所描述的安全功能是对

应的。

5.1.7指导性文档

5.1.7.1管理员指南

开发者应提供系统管理员使用的管理员指南。

管理员指南应说明以下内容：

a）防火墙管理员可以使用的管理功能和接口；

）怎样安全地管理防火墙；

c）在安全处理环境中应进行控制的功能和权限；

d）所有对与防火墙的安全操作有关的用户行为的假设；

e）所有受管理员控制的安全参数，如果可能，应指明安全值；

f）每一种与管理功能有关的安全相关事件，包括对安全功能所控制的实体的安全特性进行的

改变；

g）所有与系统管理员有关的IT环境的安全要求。

管理员指南应与为评估而提供的其他所有文件保持一致。

5.1.7.2用户指南

开发者应提供用户指南。

用户指南应说明以下内容：

a）防火墙的非管理用户可使用的安全功能和接口；

3

GB/T20010—2005

）防火墙提供给用户的安全功能和接口的用法；

c）用户可获取但应受安全处理环境控制的所有功能和权限；

d）防火墙安全操作中用户所应承担的职责；

e）与用户有关的IT环境的所有安全要求。

用户指南应与为评估而提供的其他所有文件保持一致。

5.1.8交付与运行

开发者应提供文档说明防火墙的安装、生成和启动的过程。

5.2系统审计保护级

5.2.1访问控制

5.2.1.1安全属性定义

对于每一个授权管理员、可信主机和主机，防火墙安全功能应为其提供一套唯一的、为了执行安全

功能策略所必需的安全属性。

5.2.1.2属性初始化

防火墙安全功能应提供用默认值对授权管理员、可信主机和主机属性初始化的能力。

5.2.1.3属性修改

防火墙安全功能应仅向授权管理员提供修改下述（包含但不仅限于）参数的能力：

a）标识与角色（例如：审计管理员等）的关系；

b）源地址、目的地址、传输层协议和请求的服务（例如：源端口号或目的端口号等访问控制属

性）；

c）配置的安全参数（例如：最大鉴別失败次数、最大审计存储容量等数据）。

5.2.1.4属性查询

防火墙安全功能应仅向授权管理员提供以下查询：源地址、冃的地址、传输层协议和请求的服务（例

如：源端口号或目的端口号等访问控制属性）。

5.2.1.5访问授权与拒绝

防火墙安全功能应根据主体和客体的安全属性值［:源地址、目的地址、传输层协议和请求的服务（例

如：源端口号或目的端口号）等］，提供明确的访问保障能力和拒绝访问能力。

5.2.1.6不可旁路

在与安全有关的操作（例如安全属性的修改、外部网络主机向内部网络主机发送信息等）被允许执

行之前，防火墙安全功能应确保其通过安全功能策略的检查。

5.2.1.7区分安全管理角色

防火墙安全功能：

a）应将与安全相关的管理功能与其他功能区分开；

）应包括安装、配置和管理防火墙安全功能本身所需的所有功能•其中至少应包括：增加和删除

主体（发送信息的主机）和客体（接受信息的主机）•查阅安全属性.分配、修改和撤销安全属性.

查阅和管理审计数据；

c）应把执行与安全相关的管理功能的能力限定为一种安全管理职责.该职责具有一套特别授权

的功能和响应的责任；

d）应能把授权执行管理功能的授权管理员和可信主机与使用防火墙的所有其他个人或系统

分开；

e）应仅允许授权管理员和可信主机承担安全管理职责；

f）应在提出一个明确的请求以后•才会让授权管理员和可信主机承担安全管理职责。

4

GB/T20010—2005

5.2.1.8管理功能

防火墙安全功能应向授权管理员提供如下管理功能：

a）能设置和更新与安全相关的数据；

）能执行防火墙的安装及初始化、系统启动和关闭、备份和恢复的能力，备份能力应有自动工具

的支持；

c）如果防火墙安全功能支持外部或内部接口的远程管理•那么它应：

1）具有对两个接口或其中之一关闭远程管理的选择权；

2）能限制那些可进行远程管理的地址；

3）能通过加密来保护远程管理对话。

5.2.2身份鉴别

5.2.2.1鉴别数据初始化

防火墙安全功能应根据规定的鉴别机制，提供授权管理员和可信主机鉴别数据的初始化功能，并确

保仅允许授权管理员使用这些功能。

5.2.2.2鉴别时机

在所有授权管理员和可信主机请求执行的任何操作之前，防火墙安全功能应确保对每个授权管理

员和可信主机进行了身份鉴别。

5.2.2.3最少反馈

当进行鉴别时，防火墙安全功能应仅将最少的反馈（如：打入的字符数，鉴别的成功或失败）提供给

用户。

5.2.2.4鉴别失败处理

在经过一定次数的鉴别失败以后，防火墙安全功能应能终止可信主机建立会话的过程。最多失败

次数仅由授权管理员设定。

5.2.3客体重用

在为所有内部或外部网上的主机连接进行资源分配时，防火墙安全功能应保证不提供以前连接的

任何信息内容。

5.2.4审计

5.2.4.1审计数据生成

防火墙安全功能应能对下列可审计事件生成一个审计记录：

a）审计功能的启动和关闭；

）任何对审计记录进行操作的尝试.包括关闭审计功能或子系统，以及受影响客体的标识；

c）任何读取、修改、破坏审计记录的尝试；

d）所有对防火墙规则覆盖的客体（内部或外部网络上的主机）执行操作的请求，以及受影响客体

的标识；

e）修改安全属性的所有尝试.以及修改后安全属性的新值；

f）所有使用安全功能中鉴别数据管理机制的请求；

g）所有访问鉴别数据的请求，以及访问请求的目标；

h）所有使用标识机制的尝试；

i）任何对鉴别机制的使用；

j）所有对安全功能配置参数的修改（设置和更新），无论成功与否，以及配置参数的新值。

对于每一个审计记录，防火墙安全功能应至少记录以下信息：事件发生的日期和时间，事件的类型，

主体身份和成功或失败事件。

5

GB/T20010—2005

5.2.4.2审计记录管理

防火墙安全功能应使授权管理员能创建、存档、删除和清空审计记录。

5.2.4.3可理解的格式

防火墙安全功能应使存储于永久性审计记录中的所有审计数据可为人所理解。

5.2.4.4限制审计记录访问

防火墙安全功能应仅允许授权管理员访问审计记录。

5.2.4.5可选择查阅审计

防火墙安全功能应提供能按主体ID（标识符）、客体ID、日期、时间以及这些参数的逻辑组合等参

数对审计数据进行查找和排序的审计查阅工具。

5.2.4.6防止审计数据丢失

防火墙安全功能应把生成的审计记录储存于一个永久性的审计记录中，并应限制由于故障和攻击

造成的审计事件丢失的数量。

对因故障或存储耗竭而导致审计数据丢失的最大审计存储容量，防火墙的开发者应提供相应的分

析结果。

5.2.5数据完整性

防火墙安全功能应保护储存于设备中的鉴别数据和过滤策略不受未授权修改和破坏。

5.2.6生存周期支持

开发者应提供开发安全文件。

开发安全文件应描述在防火墙的开发环境中，为保护防火墙设计和实现的机密性和完整性.而在物

理上、程序上、人员上以及其他方面所采取的必要的安全措施。开发安全文件还应提供在防火墙的开发

和维护过程中执行安全措施的证据。

5.2.7配置管理

5.2.7.1授权机制

开发者应使用配置管理系统并提供配置管理文档.以及为防火墙产品的不同版本提供唯一的标识。

配置管理系统应对所有的配置项作出唯一的标识.并保证只有经过授权才能修改配置项。

配置管理文档应包括配置清单和配置管理计划。在配置清单中，应对每一配置项给出相应的描述；

在配置管理计划中，应描述配置管理系统是如何使用的。实施的配置管理应与配置管理计划相一致。

配置管理文档还应描述对配置项给出唯一标识的方法，并提供所有的配置项得到有效地维护的

证据。

5.2.7.2配置管理范围

开发者应提供配置管理文档。

配置管理文档应说明配置管理系统至少能跟踪：防火墙实现表示、设计文档、测试文档、用户文档、

管理员文档和配置管理文档，并描述配置管理系统是如何跟踪配置项的。

5.2.8安全功能开发过程

5.2.&1功能规约

开发者应提供防火墙的安全功能规约。

功能规约应以非形式方法来描述安全功能与其外部接口，并描述使用外部安全功能接口的目的与

方法,在需要的时候，还要提供例外情况和错误信息的细节。

安全功能规约应是内在一致的并能完备地表示安全功能。

5.2.&2高层设计

开发者应提供防火墙安全功能的高层设计。

6

GB/T20010—2005

高层设计应以非形式方法表述并且是内在一致的。为说明安全功能的结构，高层设计应将安全功

能分解为各个安全功能子系统进行描述，并阐明如何将有助于加强防火墙安全功能的子系统和其他子

系统分开。对于每一个安全功能子系统•高层设计应描述其提供的安全功能，标识其所有接口以及哪些

接口是外部可见的，描述其所有接口的使用目的与方法，并提供安全功能子系统的作用、例外情况和错

误信息的细节。高层设计还应标识安全功能要求的所有基础性的硬件、固件和软件，并且支持由这些硬

件、固件或软件所实现的保护机制。

5.2.&3表示对应性

开发者应在防火墙安全功能表示的所有相邻对之间提供对应性分析。

对于防火墙安全功能表示的每个相邻对，分析应阐明：较为抽象的安全功能表示的所有相关安全功

能，应在较具体的安全功能表示中得到正确而完备地细化。

5.2.9测试

5.2.9.1功能测试

开发者应测试安全功能，将结果文档化并提供测试文档。

测试文档应包括测试计划、测试过程、预期的测试结果和实际测试结果。测试计划应标识要测试的

安全功能，并描述测试的目标。测试过程应标识要执行的测试，并描述每个安全功能的测试概况，这些

概况包括对其他测试结果的顺序依赖性。期望的测试结果应表明测试成功后的预期输出。实际测试结

果应表明每个被测试的安全功能能按照规定进行运作。

5.2.9.2覆盖分析

开发者应提供测试覆盖的分析结果。

测试覆盖的分析结果应表明测试文档中所标识的测试与安全功能规约中所描述的安全功能是对应

的，且该对应是完备的。

5.2.9.3深度

开发者应提供测试深度的分析。

在深度分析中，应说明测试文档中所标识的对安全功能的测试，足以表明该安全功能和高层设计是

—致的。

5.2.9.4独立性测试

开发者应提供证据证明，开发者提供的防火墙经过独立的第三方测试并通过。

5.2.10指导性文档

5.2.10.1管理员指南

开发者应提供系统管理员使用的管理员指南。

管理员指南应说明以下内容：

a）防火墙管理员可以使用的管理功能和接口；

b）怎样安全地管理防火墙；

c）在安全处理环境中应进行控制的功能和权限；

d）所有对与防火墙的安全操作有关的用户行为的假设；

e）所有受管理员控制的安全参数，如果可能，应指明安全值；

）每一种与管理功能有关的安全相关事件,包括对安全功能所控制的实体的安全特性进行的改变；

g）所有与系统管理员有关的IT环境的安全要求。

管理员指南应与为评估而提供的其他所有文件保持一致。

5.2.10.2用户指南

开发者应提供用户指南。

7

GB/T20010—2005

用户指南应说明以下内容：

a）防火墙的非管理用户可使用的安全功能和接口；

b）防火墙提供给用户的安全功能和接口的用法；

c）用户可获取但应受安全处理环境控制的所有功能和权限；

d）防火墙安全操作中用户所应承担的职责；

e）与用户有关的IT环境的所有安全要求。

用户指南应与为评估而提供的其他所有文件保持一致。

5.2.11脆弱性分析

5.2.11.1指南检查

开发者应提供指南性文档。

在指南性文档中，应确定对防火墙的所有可能的操作方式（包括失败和操作失误后的操作）、它们的

后果以及对于保持安全操作的意义。指南性文档中还应列出所有目标环境的假设以及所有外部安全措

施（包括外部程序的、物理的或人员的控制）的要求。指南性文档应是完备的、清晰的、一致的、合理的。

5.2.11.2脆弱性分析

开发者应从用户可能破坏安全策略的明显途径出发，对防火墙的各种功能进行分析并提供文档。

对被确定的脆弱性.开发者应明确记录采取的措施。

对每一条脆弱性，应有证据显示在使用防火墙的环境中该脆弱性不能被利用。在文档中，还需证明

经过标识脆弱性的防火墙可以抵御明显的穿透性攻击。

5.2.12交付与运行

5.2.12.1交付

开发者应使用一定的交付程序交付防火墙，并将交付过程文档化。

交付文档应描述在给用户方交付防火墙的各版本时.为维护安全所必需的所有程序。

5.2.12.2安装生成

开发者应提供文档说明防火墙的安装、生成和启动的过程。

5.3安全标记保护级

5.3.1访问控制

5.3.1.1安全属性定义

对于每一个授权管理员、可信主机和主机，防火墙安全功能应为其提供一套唯一的、为了执行安全

功能策略所必需的安全属性。

5.3.1.2属性初始化

防火墙安全功能应提供用默认值对授权管理员、可信主机和主机属性初始化的能力。

5.3.1.3属性修改

防火墙安全功能应仅向授权管理员提供修改下述（包含但不仅限于）参数的能力：

a）标识与角色（例如：审计管理员等）的关系；

b）源地址、目的地址、传输层协议和请求的服务（例如：源端口号或目的端口号等访问控制属性）；

c）配置的安全参数（例如：最大鉴別失败次数、最大审计存储容量等数据）。

5.3.1.4属性查询

防火墙安全功能应仅向授权管理员提供以下查询：源地址、目的地址