GA/T 1484-2018 信息安全技术 交换机安全技术要求和测试评价方法

ICS35.040

A90

中华人民共和国公共安全行业标准

/—

GAT14842018

代替/—和/—

GAT6842007GAT6852007

信息安全技术交换机安全技术要求和

测试评价方法

—

InformationsecurittechnoloSecurittechnicalreuirementsandtestinand

ygyyqg

evaluationmethodsforswitch

2018-05-07发布2018-05-07实施

中华人民共和国公安部发布

/—

GAT14842018

目次

前言…………………………Ⅲ

1范围………………………1

2规范性引用文件…………………………1

3术语和定义………………1

4缩略语……………………1

5交换机描述………………1

6安全技术要求……………2

6.1总体说明……………2

6.1.1安全技术要求分类……………2

6.1.2安全等级………………………2

6.2安全功能要求………………………2

6.2.1访问控制………………………2

6.2.2划分虚拟局域网………………2

6.2.3身份鉴别………………………3

6.2.4安全审计………………………3

6.2.5安全管理………………………4

6.3安全保障要求………………………5

6.3.1开发……………5

6.3.2指导性文档……………………6

6.3.3生命周期支持…………………6

6.3.4测试……………7

6.3.5脆弱性评定……………………8

7测试评价方法……………8

7.1安全功能测试………………………8

7.1.1访问控制………………………8

7.1.2划分虚拟局域网………………9

7.1.3身份鉴别………………………9

7.1.4安全审计………………………11

7.1.5安全管理………………………12

7.2安全保障测试………………………14

7.2.1开发……………14

7.2.2指导性文档……………………15

7.2.3生命周期支持…………………15

7.2.4测试……………17

7.2.5脆弱性评定……………………18

8安全等级划分要求………………………18

Ⅰ

/—

GAT14842018

8.1概述…………………18

8.2安全技术要求等级划分……………18

8.2.1安全功能要求等级划分………………………18

8.2.2安全保障要求等级划分………………………19

Ⅱ

/—

GAT14842018

前言

本标准按照/—给出的规则起草。

GBT1.12009

/—《》/—《

本标准代替信息安全技术交换机安全技术要求和信息安

GAT6842007GAT6852007

》,/—/—:

全技术交换机安全评估准则与和相比主要技术变化如下

GAT6842007GAT6852007

———,(,/—

修改了等级划分要求将等级划分为基本级和增强级见第章的第章

8GAT68420074~

第章和,/—的第章第章);

6A.1GAT68520074~6

———“”“”“”“”,“”(,/—

删除了等缩略语增加了缩略语见第章

IDSIPSecMPLSVPNTOS4GAT684

的第章);

20073

———“”();

增加了交换机描述见第章

5

———“”();

增加了总体说明见6.1

———“”(、,/—,

修改了自主访问控制功能和测试评价方法见的

.1GAT68420076.1.1

/—的);

GAT68520076.1.1

———“”(、,/—,

修改了划分虚拟局域网功能和测试评价方法见的

.2GAT68420076.1.5

/—的);

GAT68520076.1.5

———“”(、,/—,/—

修改了身份鉴别功能和测试评价方法见的

.3GAT68420076.1.2GAT685

的);

20076.1.2

———“”(、,/—,/—

修改了安全审计功能和测试评价方法见的

.4GAT68420076.1.4GAT685

的);

20076.1.4

———“”(、,/—,/—

修改了安全管理功能和测试评价方法见的

.5GAT68420076.1.3GAT685

的);

20076.1.3

———(、,/—、、,/—

修改了安全保障要求和测试评价方法见的

6.37.2GAT6842007GAT685

的、、);

2007

———(/—、/—

删除了附加安全功能和评估准则见的第章的第

GAT68420077GAT6852007

7章)。

本标准由公安部网络安全保卫局提出。

本标准由公安部信息系统安全标准化技术委员会归口。

:、。

本标准起草单位公安部计算机信息系统安全产品质量监督检验中心公安部第三研究所

:、、、、、。

本标准主要起草人杨元原俞优陈玉成张笑笑邹春明顾玮

本标准的历次版本发布情况为:

———/—、/—。

GAT6842007GAT6852007

Ⅲ

/—

GAT14842018

信息安全技术交换机安全技术要求和

测试评价方法

1范围

、。

本标准规定了交换机的安全技术要求测试评价方法及安全等级划分

、。

本标准适用于交换机的设计开发与测试

2规范性引用文件

。,

下列文件对于本文件的应用是必不可少的凡是注日期的引用文件仅注日期的版本适用于本文

。,()。

件凡是不注日期的引用文件其最新版本包括所有的修改单适用于本文件

/—:

信息技术安全技术信息技术安全评估准则第部分安全保障组件

GBT18336.320153

/—信息安全技术术语

GBT250692010

3术语和定义

/—和/—界定的以及下列术语和定义适用于本文件。

GBT18336.32015GBT250692010

3.1

交换机switch

,,、

工作于开放式系统互联模型第二层可基于数据链路层信息转发数据包并提供信息流控制划分

、、。

虚拟局域网身份鉴别安全审计等安全功能的网络设备

4缩略语

下列缩略语适用于本文件。

:()

ACL访问控制列表AccessControlList

:()

MAC介质访问控制MediaAccessControl

:()

VLAN虚拟局域网VirtualLocalAreaNetwork

:()

TOS服务类型TeofService

yp

5交换机描述

、,,

交换机除具备联通多个小型网络或子网提供数据交换平台的功能外为抵御网络安全威胁还具

、、、。

备访问控制划分虚拟局域网身份鉴别安全审计和安全管理等能力

交换机通过对不同子网发送的数据包进行过滤转发来防止广播风暴和网络拥塞等安全威胁。

,,

交换机保护的资产是其连接的不同的子网数据此外交换机本身及其内部的重要数据也是受保

护的资产。

1

/—

GAT14842018

6安全技术要求

6.1总体说明

6.1.1安全技术要求分类

。,

本标准将交换机安全技术要求分为安全功能要求和安全保障要求两大类其中安全功能要求是

,、、、

对交换机应具备的安全功能提出具体要求包括访问控制划分虚拟局域网身份鉴别安全审计和安全

;,、、

管理安全保障要求针对交换机的开发和使用文档的内容提出具体要求例如开发指导性文档生命周

期支持和测试等。

6.1.2安全等级

,/—

本标准按照交换机安全功能的强度划分安全功能要求的级别参照GBT18336.32015划分安

。,,

全保障要求的级别安全等级突出安全特性分为基本级和增强级安全功能要求强弱和安全保障要求

高低是等级划分的具体依据。

6.2安全功能要求

6.2.1访问控制

信息流控制

,:

产品安全策略应维护一个ACL列表并能够依据以下规则进行信息流控制

)、;

安全策略应包含基于源地址目的地址的访问控制

aIPIP

)、;

b安全策略应包含基于源MAC地址目的MAC地址的访问控制

)安全策略应包含基于的访问控制;

cVLAN

)、;

d安全策略应包含基于源端口目的端口的访问控制

)(/);

e安全策略应包含基于传输层协议类型如TCPUDP的访问控制

)安全策略可包含基于优先级字段的访问控制;

fTOS

g)安全策略可包含基于802.1P优先级的访问控制;

h)安全策略可包含基于时间的访问控制;

),、、、、

应支持用户自定义的安全策略安全策略可以是地址地址端口传输层协

iIPMACVLAN

、。

议优先级和时间的部分或全部组合

自主访问控制

,,

产品应执行自主访问控制策略通过管理员属性表控制不同管理员对产品的配置数据和其他数据

、,,。

的查看修改以及对产品程序的执行应阻止非授权人员进行上述活动

残余信息保护

产品应确保访问控制范围之内的客体敏感资源被释放或再分配给其他用户前得到完全清除。

6.2.2划分虚拟局域网

虚拟局域网标识

,。

产品应具备划分虚拟局域网的能力应在帧结构中对虚拟局域网进行标识

2

/—

GAT14842018

虚拟局域网划分机制

产品应支持基于以下条件的虚拟局域网划分方式:

)物理端口;

a

b)硬件MAC地址;

)网络层协议。

c

6.2.3身份鉴别

管理员鉴别

,:

产品应在管理员执行任何与安全功能相关的操作前对管理员进行鉴别应支持以下身份鉴别机制

)基于静态口令的身份鉴别机制;

a

b)采用两种或两种以上组合鉴别技术的身份鉴别机制。

鉴别失败处理

,。

当管理员鉴别尝试连续失败达到指定次数后产品应锁定该账号最多失败次数仅由授权管理员

设定。

受保护的鉴别信息反馈

,。

当进行鉴别时产品应仅将最少的反馈提供给用户

鉴别数据保护

,。

鉴别数据应是不可见的并在存储和传输时进行保护

超时退出

,

产品应在设定的时间段内没有任何操作的情况下终止会话需要再次进行身份鉴别才能够重新操

。。

作最大超时时间仅由授权管理员设定

6.2.4安全审计

审计数据生成

,:

产品应具备安全审计功能具体技术要求如下

)记录事件类型:

a

)审计功能的启动和终止;

1

)账户管理;

2

)登录事件;

3

)系统事件;

4

)配置文件的修改。

5

b)审计记录内容:

),、、,、、;

1事件发生的日期和时间日期包括年月日时间包括时分秒

)事件的详细描述;

2

),;

3对于用户行为产生的审计事件应包括用户的身份

)事件的结果;

4

)根据事件类型所需的其他信息。

5

3

/—

GAT14842018

审计数据查阅

,:

产品应具备审计数据查阅功能具体技术要求如下

)应只允许授权管理员访问审计记录;

a

b)审计记录的内容应容易理解;

),、、,

应提供能查阅审计记录的工具具备对审计事件以时间日期用户等为条件检索的能力

cID

并且只允许授权管理员使用查阅工具。

审计数据保护

,:

产品应具备审计数据保护功能具体技术要求如下

),;

a应能保护已存储的审计记录并能监测和防止对审计记录的修改

),

b审计事件应存储于掉电非易失性存储介质中且在存储空间达到阈值时至少能够通知授权管

理员。

审计跟踪管理

授权管理员应能够对审计记录进行存档和清空。

潜在侵害分析

,。,,

产品应能监控可审计行为并指出潜在侵害在检测到可能有安全侵害发生时应作出响应如通

,。

知管理员向管理员提供一组遏制侵害的或采取矫正的行动

6.2.5安全管理

用户管理

,(、),

产品应能够设定多个角色具备划分管理员级别和权限如监视维护配置等的能力能够限定每

,。

个用户的管理范围和权限防止非法用户和非法操作

安全功能管理

产品应具备以下安全管理功能:

)审计功能的启动和终止;

a

b)信息流控制规则管理;

)路由表/表管理;

cMAC

d)其他安全功能的管理。

安全属性管理

,:

产品应允许授权管理员对产品的安全属性进行管理包括

)、;

a与产品访问控制身份鉴别相关的安全属性管理

b)与一般的安装和配置有关的安全属性的管理。

远程管理

,:

产品应具备远程管理功能具体技术要求如下

),;

a应支持通过网络接口进行远程管理并可限定可进行远程管理的网络接口

),。

b远程管理过程中管理端与产品之间的所有通信数据应非明文传输

4

/—

GAT14842018

异常处理机制

(、),:

产品在非正常条件如掉电强行关机下关机再重新启动后