ICS 35.040 GB L 80 中华人民共和国国家标准 GB/T 209452013 代替GB/T20945-2007 信息安全技术 信息系统安全审计产品 技术要求和测试评价方法 Information security technology--Technical requirements, testing and evaluation approaches for information system security audit product 2013-12-31发布 2014-07-15实施 中华人民共和国国家质量监督检验检疫总局 发布 中国国家标准化管理委员会 GB/T 20945--2013 目 次 前言 范围 规范性引用文件 2. 3术语和定义 4：缩略语 5产品等级划分 5.1等级划分说明 5.2等级划分表 6技术要求． 6.1基本级技术要求 6.2增强级技术要求 7．测试评价方法· 7.1基本级测试评价方法 7.2增强级测试评价方法 20 参考文献 GB/T 20945--2013 前言 本标准按照GB/T1.1-2009给出的规则起草。 本标准代替GB/T20945--2007信息安全技术 信息系统安全审计产品技术要求和测试评价方 法》，本标准与GB/T209452007的主要差异如下： 修改了“审计事件生成”功能（见2007版的5.1.1)； 修改了“统计分析”功能； 删除了联动”（见2007版的5.1.4.3)功能； 删除了“升级”功能； 删除了“监管要求”功能（见2007版的5.6）； 增加了“数据备份与恢复”功能 删除了“性能要求”（见2007.版的第7章）。 本标准由全国信息安全标准化技术委员会（SAC/TC260）提出并归口。 本文件某些内容可能涉及专利，本文件的发布机构不承担识别这些专利的责任。 本标准起草单位公安部计算机信息系统安全产品质量监督检验中心、深信服科技有限公司、蓝盾 信息安全技术股份有限公司、厦门市美亚柏科信息股份有限公司。 本标准主要起草人：王志佳、沈亮、顾健、顾玮、邹春明、顾建新、赵云、胡维娜。 GB/T 20945--2013 信息安全技术信息系统安全审计产品 技术要求和测试评价方法 1范围 本标准规定了信息系统安全审计产品的技术要求和测试评价方法，技术要求包括安全功能要求、自 身安全功能要求和安全保证要求，并提出了信息系统安全审计产品的分级要求。 本标准适用于信息系统安全审计产品的设计、开发、测试和评价。 2.规范性引用文件 下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文 件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。 GB17859-1999计算机信息系统：安全保护等级划分准则 GB/T25069—2010信息安全技术：术语 3术语和定义 GB17859-1999和GB/T25069-2010界定的以及下列术语和定义适用于本文件。 3.1 事件incident 试图改变目标状态，并造成或可能造成损害的行为的发生。 3.2 安全审计： : security audit 对事件进行记录和分析，并针对特定事件采取相应比较的动作。 3.3 信息系统安全审计产品 information system security audit product 对信息系统的事件进行记录和分析，并针对特定事件采取相应比较动作的产品。 3.4 审计记录 audit recordation 审计产品记录审计目标事件得到的信息。 3.5 审计日志：audit log 审计产品记录自身事件得到的信息。 3.6 审计中心audit center 审计产品中记录、分析、处理审计代理发送的事件的功能部件。 3.7 审计代理 audit agent 审计产品中采集事件并发送给审计中心的功能部件。 GB/T 20945-2013 4 : 缩略语 下列缩略语适用于本文件。 CPU:中央处理器 (Central Processing Unit) DoS:拒绝服务:(Denial of Service) FTP:文件传输协议(File Transfer Protocol) HTML:超文本置标语言（Hyper Text Markup Language) HTTP:超文本传输协议(Hypertext Transfer Protocol) IM即时通讯(Instant Messenger) IP：因特网协议(InternetProtocol) IT：信息技术 (Information Technology) PDF：可移植文档格式(PortableDocumentFormat) POP3：邮局协议第三版（PostOfficeProtocol3） SMTP.筒单邮件传输协议（SimpleMailTransferProtocol) SNMP:简单网络管理协议 (Simple Network Management Protocol) SQL：结构化查询语言（Structured Query Language) TCP传输控制协议(Transmission Control Protocol) TELNET:远程登录 (Telecommunication Network) UDP：用户数据报协议(User.DatagramProtocol) URL:统一资源定位符(Universal Resource Locator) 5产品等级划分 5.1等级划分说明 根据信息系统安全审计产品应提供的安全功能要求，自身安全功能要求和安全保证要求的强弱，将 产品分为基本级和增强级。基本级规定了产品应提供的基本安全功能要求，自身安全功能要求依据 GB17859一1999第二级：系统审计保护级相关要求。增强级规定了产品除具备基本级要求以外还应增 强的安全功能要求，自身安全功能要求依据GB178591999.第三级：安全标记保护级相关要求。 信息系统安全审计产品的等级划分如表1表2和表3.所示，对产品的等级评定是依据这三个表 格的综合评定得出的，基本级产品应满足表1、表2、表3中所标明的基本级应满足的所有项目；增强级 产品应满足表1、表2、表3中所标明的增强级应满足的所有项目。 5.2等级划分表 5.2.1安全功能要求等级划分 信息系统安全审计产品安全功能要求等级划分如表1所示。 GB/T 20945-2013 表1：安全功能要求等级划分表 安全功能要求 基本级 增强级 数据采集 主机事件审计 网络事件审计 ** 事件审计 数据库事件审计 *: 应用系统事件审计 审计分析 统计 关联分析 统计分析 潜在危害分析 异常事件分析 扩展分析接口 审计记录 审计结果 统计报表 审计查阅 图形界面 管理控制 事件分级 事件告警 注：“*”表示要求该功能；“*”表示要求该功能并有增强要求，””表示不要求该功能。本标准中将基本级和 增强级的技术要求和测试评价方法分别进行描述，其中“加粗字体"表示增强级较基本级增加的内容。 5.2.2 自身安全功能要求等级划分 信息系统安全审计产品自身安全功能要求等级划分如表2所示。 表2自身安全功能要求等级划分表 自身安全要求 基本级 增强级 唯一性标识 属性定义 用户角色 基本鉴别 * 用产与鉴别 多重鉴别机制 * 超时锁定或注销 鉴别失败处理 鉴别数据保护 * 3 GB/T 20945-2013 表2(续) 自身安全要求 基本级 增强级 远程管理保密 数据传输保密 数据传输完整性 数据传输安全 安全状态监测 审计代理安全 分布式部署 时间同步 存储介质 数据库支持 备份与恢复 * 数据存储安全 数据删除 * 存储空间耗尽处理 ** 数据存储完整性 审计日志 注：“*”表示要求该功能“**”表示要求该功能并有增强要求，“”表示不要求该功能。本标准中将基本级和 增强级的技术要求和测试评价方法分别进行描述，其中“加粗字体“表示增强级较基本级增加的内容 5.2.3安全保证要求等级划分 信息系统安全审计产品安全保证要求等级划分如表3所示。 表3：安全保证要求等级划分表 安全保证要求 基本级 增强级 版本号 配置管理能力 配置项 配置管理 授权控制 配置管理覆盖 交付程序 交付与运行 安装生成和启动程序 * * 非形式化功能规范 * 摧述性高层设计 ? 开发 高层设计 安全加强的高层设计 非形式化对应性证实 管理员指南 指导性文档 用户指南 GB/T 20945--2013 表3（续） 安全保证要求 基本级 增强级 生命周期支持 * 覆盖证据 测试覆盖 覆盖分析 * 测试深度 测试 功能测试 一致性 独立测试 抽样 脆弱性分析保证 指南审查 产品安全功能强度评估 脆弱性分析保证 开发者脆弱性分析 注：“*”表示要求该功能；“-“表示不要求该功能。本标准中将基本级和增强级的技术要求和测试评价方法 分别进行描述，其中“加粗字体”表示增强级较基本级增加的内容。 6．技术要求 6.1 基本级技术要求 6.1.1 安全功能要求 6.1.1.1 数据采集 信息系统安全审计产品应至少能够根据审计自标设置数据采集策略。 6.1.1.2 审计分析 6.1.1.2.1 事件审计 6.1.1.2.1.1 主机事件审计 主机审计型信息系统安全审计产品应至少能够审计以下事件中的两种： a): 主机启动和关闭； b): 操作系统日志； c): 网络连接： (p 软硬件配置变更； e) 外围设备使用； f) 文件使用； g) 其他事件。 6.1.1.2.1.2网络事件审计 网络审计型信息系统安全审计产品应能够审计以下事件：