GB/T 20279-2006 信息安全技术 网络和终端设备隔离部件安全技术要求

ICS35.040

L80

中华人民共和国国家标准

GB/T20279—2006

信息安全技术

网络和终端设备隔离部件安全技术要求

Informationsecuritytechnology

Securitytechniquesrequirementsofseparationcomponents

ofnetworkandterminalequipment

2006-05-31发布2006-12-01实施

中华人民共和国国家质量监督检验检疫总局

发布

中国国家标准化管理委员会

GB/T20279—2006

目次

前言V

引言VI

1范围1

2规范性引用文件1

3术语和定义1

4安全环境2

4.1物理方面2

4.2人员方面2

4.3连通性方面2

5隔离部件分级安全技术要求2

5.1物理断开隔离部件2

5.1.1基本级要求2

5.1.1.1访问控制2

5.1.1.2配置管理3

5.1.1.3交付与运行3

5.1.1.4安全功能开发过程3

5.1.1.5指导性文档3

5.1.1.6测试4

5.1.1.7生命周期支持4

5.1.2增强级要求4

5.1.2.1访问控制4

5.1.2.2不可旁路5

5.1.2.3客体重用5

5.1.2.4配置管理5

5.1.2.5交付与运行5

5.1.2.6安全功能开发过程5

5.1.2.7指导性文档6

5.1.2.8生命周期支持6

5.1.2.9测试6

5.1.2.10脆弱性评定7

5.2单向隔离部件7

5.2.1基本级要求7

5.2.1.1访问控制7

5.2.1.2配置管理8

5.2.1.3交付与运行8

5.2.1.4安全功能开发过程8

5.2.1.5指导性文档8

5.2.1.6测试9

I

GB/T20279—2006

5.2.1.7生命周期支持9

5.2.2增强级要求9

5.2.2.1访问控制9

5.2.2.2不可旁路10

5.2.2.3客体重用10

5.2.2.4配置管理10

5.2.2.5交付与运行10

5.2.2.6安全功能开发过程10

5.2.2.7指导性文档11

5.2.2.8生命周期支持11

5.2.2.9测试11

5.2.2.10脆弱性评定12

5.3协议隔离部件12

5.3.1第一级12

5.3.1.1访问控制12

5.3.1.2身份鉴别13

5.3.1.3数据完整性13

5.3.1.4配置管理13

5.3.1.5交付与运行13

5.3.1.6安全功能开发过程13

5.3.1.7指导性文档13

5.3.1.8测试14

5.3.1.9生命周期支持14

5.3.2第二级14

5.3.2.1访问控制14

5.3.2.2身份鉴别15

5.3.2.3客体重用16

5.3.2.4审计16

5.3.2.5数据完整性17

5.3.2.6配置管理17

5.3.2.7交付与运行17

5.3.2.8安全功能开发过程17

5.3.2.9指导性文档18

5.3.2.10生命周期支持18

5.3.2.11测试18

5.3.2.12脆弱性评定19

5.3.3第三级19

5.3.3.1访问控制19

5.3.3.2标记20

5.3.3.3身份鉴别20

II

GB/T20279—2006

5.3.3.4客体重用21

5.3.3.5审计21

5.3.3.6数据完整性22

5.3.3.7密码支持22

5.3.3.8配置管理22

5.3.3.9交付和运行22

5.3.3.10安全功能开发过程23

5.3.3.11指导性文档24

5.3.3.12生命周期支持24

5.3.3.13测试25

5.3.3.14脆弱性评定25

5.4网闸隔离部件25

5.4.1第一级25

5.4.1.1访问控制25

5.4.1.2身份鉴别26

5.4.1.3数据完整性26

5.4.1.4配置管理26

5.4.1.5交付与运行26

5.4.1.6安全功能开发过程26

5.4.1.7指导性文档27

5.4.1.8测试27

5.4.1.9生命周期支持28

5.4.2第二级28

5.4.2.1访问控制28

5.4.2.2身份鉴别29

5.4.2.3客体重用29

5.4.2.4审计29

5.4.2.5数据完整性30

5.4.2.6配置管理30

5.4.2.7交付与运行30

5.4.2.8安全功能开发过程30

5.4.2.9指导性文档31

5.4.2.10生命周期支持32

5.4.2.11测试32

5.4.2.12脆弱性评定32

5.4.3第三级32

5.4.3.1访问控制32

5.4.3.2标记34

5.4.3.3身份鉴别34

III

GB/T20279—2006

5.4.3.4客体重用34

5.4.3.5审计34

5.4.3.6数据完整性35

5.4.3.7密码支持35

5.4.3.8配置管理35

5.4.3.9交付和运行36

5.4.3.10安全功能开发过程36

5.4.3.11指导性文档37

5.4.3.12生命周期支持38

5.4.3.13测试38

5.4.3.14脆弱性评定39

参考文献40

IV

GB/T20279—2006

前言

（略）

V

GB/T20279—2006

引言

本标准是信息安全等级保护技术要求系列标准的重要组成部分，用以指导设计者如何设计和实现

具有所需要的安全等级的隔离部件，主要从对隔离部件的安全保护等级进行划分的角度来说明其技术

要求，即主要说明为实现基于GB17859-1999的各个保护等级的安全要求对隔离部件应采取的安全技

术措施，以及各安全技术要求在不同安全级中具体实现上的差异。

本标准以GB17859-1999的安全等级的划分为基础，针对隔离部件的技术特点，对相应安全等级

的安全功能技术要求和安全保证技术要求做了详细描述。

在本标准文本中，加粗字体表示较高等级中新出现或增强的功能要求。

VI

GB/T20279—2006

信息安全技术

网络和终端设备隔离部件安全技术要求

1范围

本标准规定了对隔离部件进行安全保护等级划分所需要的详细技术要求，并给出了每一个安全保

护等级的不同技术要求。

本标准适用于隔离部件的设计和实现，对隔离部件进行的测试、管理也可参照使用。

2规范性引用文件

下列文件中的有关条款通过引用而成为本标准的条款。凡注日期或版次的引用文件，其后的任何

修改单（不包括勘误的内容）或修订版本都不适用于本标准，但提倡使用本标准的各方探讨使用其最

新版本的可能性。凡不注日期或版次的引用文件，其最新版本适用于本标准。

GB17859-1999计算机信息系统安全保护等级划分准则

GB/TBBBB-XXXX信息安全技术计算机信息系统安全等级保护通用技术要求

3术语和定义

GB17859-1999和GB/TBBBB-XXXX中确立的以及下列术语和定义适用于本标准。

3.1

物理断开physicaldisconnection

指处于不同安全域的网络之间不能以直接或间接的方式相连接。在一个物理网络环境中，实施不

同安全域的网络物理断开，在技术上应确保信息在物理传导、物理存储上的断开。

3.2

协议转换protocolconversion

在隔离部件中，协议转换的定义是协议的剥离和重建。在所属某一安全域的隔离部件一端，把基

于网络的公共协议中的应用数据剥离出来，封装为系统专用协议传递至所属其他安全域的隔离部件另

一端，再将专用协议剥离，并封装成需要的格式。

3.3

协议隔离protocolseparation

指处于不同安全域的网络在物理上是有连线的，通过协议转换的手段保证受保护信息在逻辑上是

隔离的，只有被系统要求传输的、内容受限的信息可以通过。

3.4

信息摆渡informationferry

信息交换的一种方式，物理传输信道只在传输进行时存在。信息传输时，信息先由信息源所在安

全域一端传输至中间缓存区域，同时物理断开中间缓存区域与信息目的所在安全域的连接；随后接通

中间缓存区域与信息目的所在安全域的传输信道，将信息传输至信息目的所在安全域，同时在信道上

物理断开信息源所在安全域与中间缓存区域的连接。在任一时刻，中间缓存区域只与一端安全域相连。

3.5

物理断开隔离部件physicaldisconnectionseparationcomponents

在端上实现信息物理断开的信息安全部件，如物理隔离卡。

1

GB/T20279—2006

3.6

单向隔离部件unilateralseparationcomponents

在端上依靠由硬件访问控制信息交换分区实现信息在不同的安全域信息单向流动的信息安全部

件。

3.7

协议隔离部件protocolseparationcomponents

位于两个不同安全域之间，实现协议隔离的信息安全部件。其信息流一般是专用应用数据。

3.8

网闸gap

该信息安全部件位于两个不同安全域之间，通过协议转换的手段，以信息摆渡的方式实现数据交

换，且只有被系统明确要求传输的信息可以通过。其信息流一般是通用应用服务。

4安全环境

4.1物理方面

对隔离部件资源的处理限定在一些可控制的访问设备内，防止未授权的物理访问。所有与实施隔

离部件安全策略相关的硬件和软件应受到保护以免于未授权的物理修改。

4.2人员方面

授权管理员不具敌意并遵守所有的管理员规则。

4.3连通性方面

隔离部件是处于不同安全域网络之间的唯一连接点。对于物理断开隔离部件，不存在任何安全域

网间的信息传输；对于单向隔离部件，信息可以从低级安全域向高级安全域通过断电非逸失性存储设

备进行单向传输，反之则不能；对于协议隔离部件与网闸部件，所有安全域网络间的信息传输应经过

隔离部件；授权管理员可以从高级安全域网络对隔离部件进行远程管理。

5隔离部件分级安全技术要求

5.1物理断开隔离部件

5.1.1基本级要求

5.1.1.1访问控制

5.1.1.1.1安全属性定义

对于信息存储与传输部件（主要是处于不同安全域的存储设备、网络接入设备），物理断开隔离

部件应为其设定唯一的、为了执行安全功能策略所必需的安全属性。

5.1.1.1.2属性修改

物理断开隔离部件安全功能应向端设备用户提供修改与安全相关属性的参数的能力。

5.1.1.1.3属性查询

物理断开隔离部件安全功能应向端设备用户提供安全属性查询的能力。

5.1.1.1.4访问授权与拒绝

物理断开隔离部件的安全功能应对被隔离的计算机信息资源提供明确的访问保障能力和访问拒

绝能力。在技术上确保：

a)在信息物理传导上使内外网络隔断，确保外部网不能通过网络连接侵入内部网；同时阻止内

部网信息通过网络连接泄露到外部网；

2

GB/T20279—2006

b)在信息物理存储上隔断两个网络环境，对于断电后会逸失信息的部件，如内存、寄存器等暂

存部件，要在网络转换时作清零处理，防止遗留信息窜网；对于断电后不会逸失信息的设备，

如磁带机、硬盘等存储设备，内部网与外部网信息要以不同存储设备分开存储；对移动存储

介质，如光盘、软盘、USB硬盘等，应在网络转换前提示用户干预或禁止在双网都能使用这

些设备。

5.1.1.2配置管理

开发者应为隔离部件产品的不同版本提供唯一的标识。

隔离部件产品的每个版本应当使用它们的唯一标识作为标签。

5.1.1.3交付与运行

5.1.1.3.1交付

开发者应使用一定的交付程序交付物理断开隔离部件，并将交付过程文档化。

交付文档应描述在给用户方交付物理断开隔离部件的各版本时，为维护安全所必需的所有程序。

5.1.1.3.2安装生成

开发者应提供文档说明物理断开隔离部件的安装、生成和启动的过程。

5.1.1.4安全功能开发过程

5.1.1.4.1功能设计

开发者应提供隔离部件产品的安全功能设计。

功能设计应以非形式方法来描述安全功能与其外部接口，并描述使用外部安全功能接口的目的与

方法，在需要的时候，还要提供例外情况和错误信息的细节。

安全功能设计应是内在一致的并能完备地表示安全功能。

5.1.1.4.2表示对应性

开发者应在隔离部件安全功能表示的所有相邻对之间提供对应性分析。

对于隔离部件安全功能表示的每个相邻对，分析应阐明：较为抽象的安全功能表示的所有相关安

全功能，应在较具体的安全功能表示中得到正确而完备地细化。

5.1.1.5指导性文档

5.1.1.5.1管理员指南

开发者应提供系统管理员使用的管理员指南。

管理员指南应说明以下内容：

a)隔离部件可以使用的管理功能和接口；

b)怎样安全地管理隔离部件；

c)在安全处理环境中应进行控制的功能和权限；

d)所有对与隔离部件的安全操作有关的用户行为的假设；

e)所有受管理员控制的安全参数，如果可能，应指明安全值；

f)每一种与管理功能有关的安全相关事件，包括对安全功能所控制的实体的安全特性进行的改

变；

g)所有与系统管理员有关的IT环境的安全要求。

管理员指南应与为评估而提供的其他所有文档保持一致。

5.1.1.5.2用户指南

开发者应提供用户指南。

3

GB/T20279—2006

用户指南应说明以下内容：

a)隔离部件的非管理用户可使用的安全功能和接口；

b)隔离部件提供给用户的安全功能和接口的用法；

c)用户可获取但应受安全处理环境控制的所有功能和权限；

d)隔离部件安全操作中用户所应承担的职责；

e)与用户有关的IT环境的所有安全要求。

用户指南应与为评估而提供的其他所有文档保持一致。

5.1.1.6测试

5.1.1.6.1范围

开发者应提供测试覆盖的分析结果。

测试覆盖的分析结果应表明测试文档中所标识的测试与安全功能设计中所描述的安全功能是对

应的。

5.1.1.6.2功能测试

开发者应测试安全功能，将结果文档化并提供测试文档。

测试文档应包括测试计划、测试过程、预期的测试结果和实际测试结果。测试计划应标识要测试

的安全功能，并描述测试的目标。测试过程应标识要执行的测试，并描述每个安全功能的测试概况，

这些概况包括对其它测试结果的顺序依赖性。期望的测试结果应表明测试成功后的预期输出。实际测

试结果应表明每个被测试的安全功能能按照规定进行运作。

5.1.1.7生命周期支持

开发者应提供开发安全文件。

开发安全文件应描述在隔离部件的开发环境中，为保护隔离部件设计和实现的机密性和完整性，

而在物理上、程序上、人员上以及其他方面所采取的必要的安全措施。开发安全文件还应提供在隔离

部件的开发和维护过程中执行安全措施的证据。

5.1.2增强级要求

5.1.2.1访问控制

5.1.2.1.1安全属性定义

对于信息存储与传输部件（主要是处于不同安全域的存储设备、网络接入设备），物理断开隔离部

件应为其设定唯一的、为了执行安全功能策略所必需的安全属性。

5.1.2.1.2属性修改

物理断开隔离部件安全功能应向端设备用户提供修改与安全相关属性的参数的能力。

5.1.2.1.3属性查询

物理断开隔离部件安全功能应向端设备用户提供安全属性查询的能力。

5.1.2.1.4访问授权与拒绝

物理断开隔离部件的安全功能应对被隔离的计算机信息资源提供明确的访问保障能力和访问拒绝

能力。在技术上确保：

a)在信息物理传导上使内外网络隔断，确保外部网不能通过网络连接侵入内部网；同时阻止内

部网信息通过网络连接泄露到外部网；

b)在信息物理存储上隔断两个网络环境，对于断电后会逸失信息的部件，如内存、寄存器等暂

存部件，要在网络转换时作清零处理，防止遗留信息窜网；对于断电后不会逸失信息的设备，

如磁带机、硬盘等存储设备，内部网与外部网信息要以不同存储设备分开存储；对移动存储

4

GB/T20279—2006

介质，如光盘、软盘、USB硬盘等，应在网络转换前提示用户干预或禁止在双网都能使用这

些设备。

5.1.2.2不可旁路

在与安全有关的操作（例如安全属性的修改）被允许执行之前，物理断开隔离部件安全功能应确

保其通过安全功能策略的检查。

5.1.2.3客体重用

在为所有内部或外部网上的主机连接进行资源分配时，物理断开隔离部件安全功能应保证不提供

以前连接的任何信息内容。

5.1.2.4配置管理

5.1.2.4.1配置管理能力

开发者应使用配置管理系统并提供配置管理文档，以及为隔离部件产品的不同版本提供唯一的标

识。

配置管理系统应对所有的配置项作出唯一的标识，并保证只有经过授权才能修改配置项。

配置管理文档应包括配置清单和配置管理计划。在配置清单中，应对每一配置项给出相应的描述；

在配置管理计划中，应描述配置管理系统是如何使用的。实施的配置管理应与配置管理计划相一致。

配置管理文档还应描述对配置项给出唯一标识的方法，并提供所有的配置项得到有效地维护的证

据。

5.1.2.4.2配置管理范围

开发者应提供配置管理文档。

配置管理文档应说明配置管理系统至少能跟踪：隔离部件实现表示、设计文档、测试文档、用户

文档、管理员文档和配置管理文档，并描述配置管理系统是如何跟踪配置项的。

5.1.2.5交付与运行

5.1.2.5.1交付

开发者应使用一定的交付程序交付物理断开隔离部件，并将交付过程文档化。

交付文档应描述在给用户方交付物理断开隔离部件的各版本时，为维护安全所必需的所有程序。

5.1.2.5.2安装生成

开发者应提供文档说明物理断开隔离部件的安装、生成和启动的过程。

5.1.2.6安全功能开发过程

5.1.2.6.1功能设计

开发者应提供隔离部件的安全功能设计。

功能设计应以非形式方法来描述安全功能与其外部接口，并描述使用外部安全功能接口的目的与

方法，在需要的时候，还要提供例外情况和错误信息的细节。

安全功能设计应是内在一致的并能完备地表示安全功能。

5.1.2.6.2高层设计

开发者应提供隔离部件安全功能的高层设计。

高层设计应以非形式方法表述并且是内在一致的。为说明安全功能的结构，高层设计应将安全功

能分解为各个安全功能子系统进行描述，并阐明如何将有助于加强隔离部件安全功能的子系统和其它

子系统分开。对于每一个安全功能子系统，高层设计应描述其提供的安全功能，标识其所有接口以及

哪些接口是外部可见的，描述其所有接口的使用目的与方法，并提供安全功能子系统的作用、例外情

5

GB/T20279—2006

况和错误信息的细节。高层设计还应标识安全功能要求的所有基础性的硬件、固件和软件，并且支持

由这些硬件、固件或软件所实现的保护机制。

5.1.2.6.3表示对应性

开发者应在隔离部件安全功能表示的所有相邻对之间提供对应性分析。

对于隔离部件安全功能表示的每个相邻对，分析应阐明：较为抽象的安全功能表示的所有相关安

全功能，应在较具体的安全功能表示中得到正确而完备地细化。

5.1.2.7指导性文档

5.1.2.7.1管理员指南

开发者应提供系统管理员使用的管理员指南。

管理员指南应说明以下内容：

a)隔离部件管理员可以使用的管理功能和接口；

b)怎样安全地管理隔离部件；

c)在安全处理环境中应进行控制的功能和权限；

d)所有对与隔离部件的安全操作有关的用户行为的假设；

e)所有受管理员控制的安全参数，如果可能，应指明安全值；

f)每一种与管理功能有关的安全相关事件，包括对安全功能所控制的实体的安全特性进行的改

变；

g)所有与系统管理员有关的IT环境的安全要求。

管理员指南应与为评估而提供的其他所有文档保持一致。

5.1.2.7.2用户指南

开发者应提供用户指南。

用户指南应说明以下内容：

a)隔离部件的非管理用户可使用的安全功能和接口；

b)隔离部件提供给用户的安全功能和接口的用法；

c)用户可获取但应受安全处理环境控制的所有功能和权限；

d)隔离部件安全操作中用户所应承担的职责；

e)与用户有关的IT环境的所有安全要求。

用户指南应与为评估而提供的其他所有文档保持一致。

5.1.2.8生命周期支持

开发者应提供开发安全文件。

开发安全文件应描述在隔离部件的开发环境中，为保护隔离部件设计和实现的机密性和完整性，而在

物理上、程序上、人员上以及其他方面所采取的必要的安全措施。开发安全文件还应提供在隔离部件

的开发和维护过程中执行安全措施的证据。

5.1.2.9测试

5.1.2.9.1范围

开发者应提供测试覆盖的分析结果。

测试覆盖的分析结果应表明测试文档中所标识的测试与安全功能设计中所描述的安全功能是对应

的，且该对应是完备的。

5.1.2.9.2测试深度

开发者应提供测试深度的分析。

6

GB/T20279—2006

在深度分析中，应说明测试文档中所标识的对安全功能的测试，足以表明该安全功能和高层设计

是一致的。

5.1.2.9.3功能测试

开发者应测试安全功能，将结果文档化并提供测试文档。

测试文档应包括测试计划、测试过程、预期的测试结果和实际测试结果。测试计划应标识要测试

的安全功能，并描述测试的目标。测试过程应标识要执行的测试，并描述每个安全功能的测试概况，

这些概况包括对其它测试结果的顺序依赖性。期望的测试结果应表明测试成功后的预期输出。实际测

试结果应表明每个被测试的安全功能能按照规定进行运作。

5.1.2.9.4独立性测试

开发商应提供用于适合测试的部件，且提供的测试集合应与其自测产品功能时使用的测试集合相

一致。

5.1.2.10脆弱性评定

5.1.2.10.1指南检查

开发者应提供指南性文档。

在指南性文档中，应确定对隔离部件的所有可能的操作方式（包括失败和操作失误后的操作）、

它们的后果以及对于保持安全操作的意义。指南性文档中还应列出所有目标环境的假设以及所有外部

安全措施（包括外部程序的、物理的或人员的控制）的要求。指南性文档应是完备的、清晰的、一致

的、合理的。

5.1.2.10.2脆弱性分析

开发者应从用户可能破坏安全策略的明显途径出发，对隔离部件的各种功能进行分析并提供文

档。对被确定的脆弱性，开发者应明确记录采取的措施。

对每一条脆弱性，应有证据显示在使用隔离部件的环境中该脆弱性不能被利用。在文档中，还需

证明经过标识脆弱性的隔离部件可以抵御明显的穿透性攻击。

5.2单向隔离部件

5.2.1基本级要求

5.2.1.1访问控制

5.2.1.1.1安全属性定义

对于信息存储与传输部件（主要是处于不同安全域的存储设备、网络接入设备），单向隔离部件

应为其设定唯一的、为了执行安全功能策略所必需的安全属性。

5.2.1.1.2属性修改

单向隔离部件安全功能应向端设备用户提供修改与安全相关属性的参数的能力。

5.2.1.1.3属性查询

单向隔离部件安全功能应向端设备用户提供安全属性查询的能力。

5.2.1.1.4访问授权与拒绝

单向隔离部件的安全功能应对被隔离的计算机信息资源提供明确的访问保障能力和访问拒绝能

力。在技术上确保：

a)在信息物理传导上使内外网络隔断，确保内部网不能通过网络连接到外部网；同时保证限定

外部网信息只能通过特定存储区域转移至内部网存储区域，从而阻止内部网信息通过网络连

接泄露到外部网。

7

GB/T20279—2006

b)在信息物理存储上隔断两个网络环境，对于断电后会逸失信息的部件，如内存、寄存器等暂

存部件，要在网络转换时作清零处理，防止遗留信息窜网；对于断电后不会逸失信息的设备，

如磁带机、硬盘等存储设备，内部网与外部网信息要分开存储并以硬件手段保证其特定的访

问控制；对移动存储介质，如光盘、软盘、USB硬盘等，应在网络转换前提示用户干预。

5.2.1.2配置管理

开发者应为隔离部件产品的不同版本提供唯一的标识。

隔离部件产品的每个版本应当使用它们的唯一标识作为标签。

5.2.1.3交付与运行

5.2.1.3.1交付

开发者应使用一定的交付程序交付单向隔离部件，并将交付过程文档化。

交付文档应描述在给用户方交付单向隔离部件的各版本时，为维护安全所必需的所有程序。

5.2.1.3.2安装生成

开发者应提供文档说明单向隔离部件的安装、生成和启动的过程。

5.2.1.4安全功能开发过程

5.2.1.4.1功能设计

开发者应提供隔离部件产品的安全功能设计。

功能设计应以非形式方法来描述安全功能与其外部接口，并描述使用外部安全功能接口的目的与

方法，在需要的时候，还要提供例外情况和错误信息的细节。

安全功能设计应是内在一致的并能完备地表示安全功能。

5.2.1.4.2表示对应性

开发者应在隔离部件安全功能表示的所有相邻对之间提供对应性分析。

对于隔离部件安全功能表示的每个相邻对，分析应阐明：较为抽象的安全功能表示的所有相关安

全功能，应在较具体的安全功能表示中得到正确而完备地细化。

5.2.1.5指导性文档

5.2.1.5.1管理员指南

开发者应提供系统管理员使用的管理员指南。

管理员指南应说明以下内容：

a)隔离部件可以使用的管理功能和接口；

b)怎样安全地管理隔离部件；

c)在安全处理环境中应进行控制的功能和权限；

d)所有对与隔离部件的安全操作有关的用户行为的假设；

e)所有受管理员控制的安全参数，如果可能，应指明安全值；

f)每一种与管理功能有关的安全相关事件，包括对安全功能所控制的实体的安全特性进行的改

变；

g)所有与系统管理员有关的IT环境的安全要求。

管理员指南应与为评估而提供的其他所有文档保持一致。

5.2.1.5.2用户指南

开发者应提供用户指南。

用户指南应说明以下内容：

a)隔离部件的非管理用户可使用的安全功能和接口；

8

GB/T20279—2006

b)隔离部件提供给用户的安全功能和接口的用法；

c)用户可获取但应受安全处理环境控制的所有功能和权限；

d)隔离部件安全操作中用户所应承担的职责；

e)与用户有关的IT环境的所有安全要求。

用户指南应与为评估而提供的其他所有文档保持一致。

5.2.1.6测试

5.2.1.6.1范围

开发者应提供测试覆盖的分析结果。

测试覆盖的分析结果应表明测试文档中所标识的测试与安全功能设计中所描述的安全功能是对

应的。

5.2.1.6.2功能测试

开发者应测试安全功能，将结果文档化并提供测试文档。

测试文档应包括测试计划、测试过程、预期的测试结果和实际测试结果。测试计划应标识要测试

的安全功能，并描述测试的目标。测试过程应标识要执行的测试，并描述每个安全功能的测试概况，

这些概况包括对其它测试结果的顺序依赖性。期望的测试结果应表明测试成功后的预期输出。实际测

试结果应表明每个被测试的安全功能能按照规定进行运作。

5.2.1.7生命周期支持

开发者应提供开发安全文件。

开发安全文件应描述在隔离部件的开发环境中，为保护隔离部件设计和实现的机密性和完整性，

而在物理上、程序上、人员上以及其他方面所采取的必要的安全措施。开发安全文件还应提供在隔离

部件的开发和维护过程中执行安全措施的证据。

5.2.2增强级要求

5.2.2.1访问控制

5.2.2.1.1安全属性定义

对于信息存储与传输部件（主要是处于不同安全域的存储设备、网络接入设备），单向隔离部件应

为其设定唯一的、为了执行安全功能策略所必需的安全属性。

5.2.2.1.2属性修改

单向隔离部件安全功能应向端设备用户提供修改与安全相关属性的参数的能力。

5.2.2.1.3属性查询

单向隔离部件安全功能应向端设备用户提供安全属性查询的能力。

5.2.2.1.4访问授权与拒绝

单向隔离部件的安全功能应对被隔离的计算机信息资源提供明确的访问保障能力和访问拒绝能

力。在技术上确保：

a)在信息物理传导上使内外网络隔断，确保内部网不能通过网络连接到外部网；同时保证限定

外部网信息只能通过特定存储区域转移至内部网存储区域，从而阻止内部网信息通过网络连

接泄露到外部网。

b)在信息物理存储上隔断两个网络环境，对于断电后会逸失信息的部件，如内存、寄存器等暂

存部件，要在网络转换时作清零处理，防止遗留信息窜网；对于断电后不会逸失信息的设备，

如磁带机、硬盘等存储设备，内部网与外部网信息要以不同存储设备分开存储；对移动存储

9

GB/T20279—2006

介质，如光盘、软盘、USB硬盘等，应在网络转换前提示用户干预或禁止在双网都能使用这

些设备。

5.2.2.2不可旁路

在与安全有关的操作（例如安全属性的修改）被允许执行之前，隔离部件安全功能应确保其通过

安全功能策略的检查。

5.2.2.3客体重用

在为所有内部或外部网上的主机连接进行资源分配时，隔离部件安全功能应保证不提供以前连接

的任何信息内容。

5.2.2.4配置管理

5.2.2.4.1配置管理能力

开发者应使用配置管理系统并提供配置管理文档，以及为隔离部件产品的不同版本提供唯一的标

识。

配置管理系统应对所有的配置项作出唯一的标识，并保证只有经过授权才能修改配置项。

配置管理文档应包括配置清单和配置管理计划。在配置清单中，应对每一配置项给出相应的描述；

在配置管理计划中，应描述配置管理系统是如何使用的。实施的配置管理应与配置管理计划相一致。

配置管理文档还应描述对配置项给出唯一标识的方法，并提供所有的配置项得到有