信息安全風(fēng)險(xiǎn)評(píng)估

1、服務(wù)器脆弱性識(shí)別表格依據(jù)GB/T20272-2007操作系統(tǒng)安全技術(shù)要求中第三級(jí)-安全標(biāo)記保護(hù)級(jí)所列舉內(nèi)容編制。項(xiàng)目子項(xiàng)內(nèi)容是否符合備注安全 功能身份 鑒別a) 按 GB/T 20271-2006 中 6.3.3.1.1 和以下要求 設(shè)計(jì)和實(shí)現(xiàn)用戶標(biāo)識(shí)功能：凡需進(jìn)入操作系統(tǒng)的用戶，應(yīng)先進(jìn)行標(biāo)識(shí)(建立 賬號(hào))；操作系統(tǒng)用戶標(biāo)識(shí)應(yīng)使用用戶名和用戶標(biāo)識(shí)(UID)，并在操作系統(tǒng)的整個(gè)生存周期實(shí)現(xiàn)用戶的唯 一性標(biāo)識(shí)，以及用戶名或別名、UID等之間的一致性；b)按 GB/T 20271-2006 中 6.3.3.1.2 和以下要求設(shè)計(jì)和實(shí)現(xiàn)用戶鑒別功能：采用強(qiáng)化管理的口令鑒別 /基于令牌的動(dòng)態(tài)口令 鑒別/

2、生物特征鑒別/數(shù)字證書鑒別等機(jī)制進(jìn)行身份鑒 另并在每次用戶登錄系統(tǒng)時(shí)進(jìn)行鑒別；鑒別信息應(yīng)是不可見的，在存儲(chǔ)和傳輸時(shí)應(yīng)按GB/T 20271-2006中的要求，用加密方法進(jìn)行安全保護(hù)；過(guò)對(duì)不成功的鑒別嘗試的值(包括嘗試次數(shù)和時(shí)間的閾值)進(jìn)行預(yù)先定義，并明確規(guī)定達(dá)到該值時(shí) 應(yīng)采取的措施來(lái)實(shí)現(xiàn)鑒別失敗的處理。C) 對(duì)注冊(cè)到操作系統(tǒng)的用戶，應(yīng)按以下要求設(shè)計(jì)和實(shí)現(xiàn)用戶-主體綁定功能：將用戶進(jìn)程與所有者用戶相關(guān)聯(lián)，使用戶進(jìn)程的 行為可以追溯到進(jìn)程的所有者用戶；將系統(tǒng)進(jìn)程動(dòng)態(tài)地與當(dāng)前服務(wù)要求者用戶相關(guān) 聯(lián)，使系統(tǒng)進(jìn)程的行為可以追溯到當(dāng)前服務(wù)的要求者 用戶。自主 訪問(wèn) 控制a)允許命名用戶以用戶的身份規(guī)定并控

3、制對(duì)客體的訪問(wèn)，并阻止非授權(quán)用戶對(duì)客體的訪問(wèn)。b)設(shè)置默認(rèn)功能，當(dāng)一個(gè)主體生成一個(gè)客體時(shí)，在該客體的訪問(wèn)控制表中相應(yīng)地具有該主體的默認(rèn)值；C) 有更細(xì)粒度的自主訪問(wèn)控制，將訪問(wèn)控制的粒度 控制在單個(gè)用戶。對(duì)系統(tǒng)中的每一個(gè)客體， 都應(yīng)能夠?qū)崿F(xiàn)由客體的創(chuàng)建者以用戶指定方式確定其 對(duì)該客體的訪問(wèn)權(quán)限，而別的同組用戶或非同組的用戶和用戶組對(duì)該客體的訪問(wèn)權(quán)則應(yīng)由創(chuàng) 建者用戶授予；d)自主訪問(wèn)控制能與身份鑒別和審計(jì)相結(jié)合，通過(guò)確認(rèn)用戶身份的真實(shí)性和記錄用戶的各種成 功的或不成功的訪冋，使用戶對(duì)自己的行為承擔(dān)明確 的責(zé)任；e)客體的擁有者應(yīng)是唯一有權(quán)修改客體訪問(wèn)權(quán)限的主體，擁有者對(duì)其擁有的客體應(yīng)具有全部控

4、制權(quán)，但是，不允許客體擁有者把該客體的控制權(quán)分 配給其他主體；f) 定義訪問(wèn)控制屬性，并保護(hù)這些屬性。主體的訪 問(wèn)控制屬性至少應(yīng)有：讀、寫、執(zhí)行等；客 體的訪問(wèn)控制屬性應(yīng)包含可分配給主體的讀、寫和執(zhí) 行等權(quán)限；g)定義分配和修改主體和客體的訪問(wèn)控制屬性的規(guī)則，并執(zhí)行對(duì)主體和客體的訪問(wèn)控制屬性的 分配和修改，規(guī)則的結(jié)果應(yīng)達(dá)到只有被授權(quán)的用戶才 允許訪問(wèn)一個(gè)客體；h)定義主體對(duì)客體的訪冋授權(quán)規(guī)則。該規(guī)則應(yīng)基于主體對(duì)客體的訪問(wèn)控制屬性，授權(quán)的范圍應(yīng) 包括主體和客體及相關(guān)的訪問(wèn)控制屬性，同時(shí)應(yīng)指出 主體和客體對(duì)這些規(guī)則應(yīng)用的類型。標(biāo)記a) 米用標(biāo)記的方法為操作系統(tǒng)SSOOS安全功能控制范圍內(nèi)的主體和客

5、體設(shè)置敏感標(biāo)記。這些敏 感標(biāo)記構(gòu)成多級(jí)安全模型的的屬性庫(kù)。操作系統(tǒng)主、 客體的敏感標(biāo)記應(yīng)以默認(rèn)方式生成或由安全員進(jìn)行建立、維護(hù)和管理；b)當(dāng)信息從 SSOOS控制范圍之內(nèi)向 SSOOS控制范圍之外輸出時(shí)，可帶有或不帶有敏感標(biāo)記；當(dāng) 信息從 SSOOS控制范圍之外向SSOOS控制范圍之內(nèi)輸入時(shí)，應(yīng)通過(guò)標(biāo)記標(biāo)明其敏感標(biāo)記。強(qiáng)訪 問(wèn)控 制a)由專門設(shè)置的系統(tǒng)安全員統(tǒng)一管理操作系統(tǒng)中與強(qiáng)制訪問(wèn)控制等安全機(jī)制有關(guān)的事件和信 息，并將系統(tǒng)的常規(guī)管理、與安全有關(guān)的管理以及審 計(jì)管理，分別由系統(tǒng)管理員、系統(tǒng)安全員和系統(tǒng)審計(jì) 員來(lái)承擔(dān)，按職能分割原則分別授予它們各自為完成 自己所承擔(dān)任務(wù)所需的權(quán)限，并形成相互制

6、約關(guān)系；b)強(qiáng)制訪問(wèn)控制應(yīng)與用戶身份鑒別、標(biāo)記等安全功能密切配合，使系統(tǒng)對(duì)用戶的安全控制包含從用戶進(jìn) 入系統(tǒng)到退出系統(tǒng)的全過(guò)程，對(duì)客體的控制范圍涉及 操作系統(tǒng)內(nèi)部的存儲(chǔ)、處理和傳輸過(guò)程；c) 運(yùn)行于網(wǎng)絡(luò)環(huán)境的分布式操作系統(tǒng)，應(yīng)統(tǒng)一實(shí)現(xiàn)強(qiáng)制訪問(wèn)控制功能；d) 運(yùn)行于網(wǎng)絡(luò)環(huán)境的多臺(tái)計(jì)算機(jī)系統(tǒng)上的網(wǎng)絡(luò)操 作系統(tǒng)，在需要進(jìn)行統(tǒng)一管理時(shí)，應(yīng)考慮各臺(tái)計(jì)算機(jī) 操作系統(tǒng)的主、客體安全屬性設(shè)置的一致性，并實(shí)現(xiàn) 跨網(wǎng)絡(luò)的SSOOS間用戶數(shù)據(jù)保密性和完整性保護(hù)數(shù)據(jù) 流控 制對(duì)于以數(shù)據(jù)流方式實(shí)現(xiàn)數(shù)據(jù)交換的操作系統(tǒng)，一般應(yīng)按 GB/T 20271-2006 中 6.3.3.6 的要求，設(shè)計(jì) 和實(shí)現(xiàn)操作系統(tǒng)的數(shù)據(jù)流控制功

7、能。安全審計(jì)a） 安全審計(jì)功能應(yīng)與身份鑒別、自主訪問(wèn)控制、標(biāo) 記、強(qiáng)制訪問(wèn)控制及完整性控制等安全功能緊密結(jié)合；b） 提供審計(jì)日志、實(shí)時(shí)報(bào)警生成，潛在侵害分析、 基于異常檢測(cè)，基本審計(jì)查閱、有限審計(jì)查閱和可選 審計(jì)查閱，安全審計(jì)事件選擇，以及受保護(hù)的審計(jì)蹤 跡存儲(chǔ)和審計(jì)數(shù)據(jù)的可用性確保等功能；c） 能夠生成、維護(hù)及保護(hù)審計(jì)過(guò)程，使其免遭修改、 非法訪問(wèn)及破壞，特別要保護(hù)審計(jì)數(shù)據(jù)，要嚴(yán)格限制 未經(jīng)授權(quán)的用戶訪問(wèn)；d）能夠創(chuàng)建并維護(hù)一個(gè)對(duì)受保護(hù)客體訪問(wèn)的審計(jì)跟蹤，保護(hù)審計(jì)記錄不被未授權(quán)的訪問(wèn)、修改和破壞；e） 指出可記錄的審計(jì)事件的最少類型，包括建立會(huì)話登錄成功和失敗，使用的系統(tǒng)接口，系統(tǒng)數(shù)據(jù)庫(kù)管

8、理的改變（改變用戶賬戶屬性、 審計(jì)跟蹤設(shè)置和分析、 為程序分配設(shè)置用戶ID、附加或改變系統(tǒng)程序或進(jìn)程、改變?nèi)掌诤蜁r(shí)間等），超級(jí)用戶命令改變用戶身份、 將某個(gè)客體引入某個(gè)用戶的地址空間（如打開文件）、刪除客體及計(jì)算機(jī)操作員、系統(tǒng)管理員與系統(tǒng)安全管 理員進(jìn)程的操作等。當(dāng)審計(jì)激活時(shí)應(yīng)確保審計(jì)跟蹤事 件的完整性；應(yīng)提供一個(gè)機(jī)制來(lái)顯示當(dāng)前選擇的審計(jì) 事件，這個(gè)機(jī)制的使用者應(yīng)是有限的授權(quán)用戶；f）每個(gè)事件的數(shù)據(jù)記錄，應(yīng)包括的信息有：事件發(fā)生 的日期和時(shí)間、觸發(fā)事件的用戶、事件的類型、事件 成功或失敗等。對(duì)于身份標(biāo)識(shí)和鑒別事件，應(yīng)記錄請(qǐng) 求的源（如末端號(hào)或網(wǎng)絡(luò)地址）；對(duì)于創(chuàng)建和刪除客體 的事件，應(yīng)記錄客體的

9、名字和客體的安全屬性；g）應(yīng)提供一個(gè)受保護(hù)的打開和關(guān)閉審計(jì)的機(jī)制。該 機(jī)制能選擇和改變審計(jì)事件，并在系統(tǒng)工作時(shí)處于默 認(rèn)狀態(tài)；該機(jī)制的使用應(yīng)受到系統(tǒng)管理員的授權(quán)限制， 系統(tǒng)管理員應(yīng)能夠選擇一個(gè)或多個(gè)基于身份鑒別或客 體屬性的用戶的審計(jì)活動(dòng)；審計(jì)工具應(yīng)能夠授權(quán)個(gè)人 監(jiān)察和瀏覽審計(jì)數(shù)據(jù)，同時(shí)數(shù)據(jù)應(yīng)得到授權(quán)的使用、 修改和刪除；應(yīng)提供對(duì)審計(jì)跟蹤管理功能的保護(hù)，使 之可以完成審計(jì)跟蹤的創(chuàng)建、破壞、騰空和存檔；系 統(tǒng)管理員應(yīng)能夠定義超過(guò)審計(jì)跟蹤極限的閾值；當(dāng)存 儲(chǔ)空間被耗盡時(shí)，應(yīng)能按管理員的指定決定采取的措 施，包括：報(bào)警并丟棄未記錄的審計(jì)信息、暫停審計(jì)、覆蓋以前的審計(jì)記錄等。用戶 數(shù)據(jù) 完整 性a）應(yīng)

10、為操作系統(tǒng) SSOOS安全功能控制范圍內(nèi)的主體和客體設(shè)置完整性標(biāo)簽（IL ），并建立完整性保護(hù)策略模型，保護(hù)用戶數(shù)據(jù)在存儲(chǔ)、傳輸和處理過(guò)程中 的完整性；b）在對(duì)數(shù)據(jù)進(jìn)行訪冋操作時(shí)，檢查存儲(chǔ)在存儲(chǔ)介質(zhì)上的用戶數(shù)據(jù)是否出現(xiàn)完整性錯(cuò)誤，并在檢測(cè)到完整 性錯(cuò)誤時(shí)進(jìn)行恢復(fù)?？赏ㄟ^(guò)密碼支持系統(tǒng)所提供的完 整性功能，對(duì)加密存儲(chǔ)的數(shù)據(jù)進(jìn)行完整性保護(hù)。操作 系統(tǒng)對(duì)磁盤設(shè)備中存儲(chǔ)的數(shù)據(jù)，可通過(guò)增加磁盤掃描 程序?qū)崿F(xiàn)以下功能：自動(dòng)檢查文件與磁盤表面是否完好；將磁盤表面的問(wèn)題自動(dòng)記錄下來(lái)；隨時(shí)檢查、診斷和修復(fù)磁盤上的錯(cuò)誤；修復(fù)扇區(qū)交錯(cuò)和扇區(qū)流失；將數(shù)據(jù)移到好的扇區(qū)；可增加硬盤數(shù)據(jù)備份和修復(fù)程序，將硬盤中的數(shù) 據(jù)壓縮、

11、備份，并在必要時(shí)恢復(fù)；c) 在操作系統(tǒng)內(nèi)部傳輸?shù)挠脩魯?shù)據(jù)，如進(jìn)程間的通信，應(yīng)提供保證用戶數(shù)據(jù)完整性的功能。完 整性標(biāo)簽應(yīng)隨數(shù)據(jù)一起流動(dòng)，系統(tǒng)應(yīng)保證低完整性的 數(shù)據(jù)不能插入、覆蓋到高完整性的數(shù)據(jù)；d) 對(duì)操作系統(tǒng)中處理的數(shù)據(jù)，應(yīng)按回退的要求設(shè)計(jì) 相應(yīng)的SSOOS安全功能模塊，進(jìn)行異常情況 的操作序列回退，以確保用戶數(shù)據(jù)的完整性。系統(tǒng)應(yīng) 保證在處理過(guò)程中不降低數(shù)據(jù)完整性的級(jí)別。用戶 數(shù)據(jù) 保密 性a) 應(yīng)確保動(dòng)態(tài)分配與管理的資源，在保持信息安全的情況下被再利用，主要包括：確保非授權(quán)用戶不能查找使用后返還系統(tǒng)的記錄 介質(zhì)中的信息內(nèi)容；確保非授權(quán)用戶不能查找系統(tǒng)現(xiàn)已分配給他的記 錄介質(zhì)中以前的信息內(nèi)容

12、；b) 在單用戶系統(tǒng)中，存儲(chǔ)器保護(hù)應(yīng)防止用戶進(jìn)程影 響系統(tǒng)的運(yùn)行；c) 在多用戶系統(tǒng)中，存儲(chǔ)器保護(hù)應(yīng)保證系統(tǒng)內(nèi)各個(gè) 用戶之間互不干擾；d) 存儲(chǔ)器保護(hù)應(yīng)包括：對(duì)存儲(chǔ)單元的地址的保護(hù)，使非法用戶不能訪問(wèn) 那些受到保護(hù)的存儲(chǔ)單元；對(duì)被保護(hù)的存儲(chǔ)單元的操作提供各種類型的保 護(hù)，最基本的保護(hù)類型是“讀 /寫”和“只讀”，不能讀/寫的存儲(chǔ)單元，若被用戶讀 /寫時(shí)，系統(tǒng) 應(yīng)及時(shí)發(fā)出警報(bào)或中斷程序執(zhí)行；可采用邏輯隔離的方法進(jìn)行存儲(chǔ)器保護(hù)，具體有：界限地址寄存器保護(hù)法、內(nèi)存標(biāo)志法、鎖保護(hù)法和特征位保護(hù)法等。SSOOS自身 安全 保護(hù)SSF物 理安 全保 護(hù)一般應(yīng)按 GB/T 20271-2006中的要求，實(shí)現(xiàn)

13、SSF的物理安全保護(hù)，通過(guò)對(duì)物理攻擊的檢查和自動(dòng)報(bào)告，及時(shí)發(fā)現(xiàn)以物理方式的攻擊對(duì)SSF造成的威脅和破壞。SSF運(yùn) 行安 全保 護(hù)a)系統(tǒng)在設(shè)計(jì)時(shí)不應(yīng)留有"后門”。即不應(yīng)以維護(hù)、支持或操作需要為借口，設(shè)計(jì)有違反或繞過(guò)安全規(guī)則 的任何類型的入口和文檔中未說(shuō)明的任何模式的入口；b)安全結(jié)構(gòu)應(yīng)是一個(gè)獨(dú)立的、嚴(yán)格定義的系統(tǒng)軟件的一個(gè)子集，并應(yīng)防止外部干擾和破壞，如修改其代 碼或數(shù)據(jù)結(jié)構(gòu)；c) 操作系統(tǒng)程序與用戶程序要進(jìn)行隔離。一個(gè)進(jìn)程的虛地址空間至少應(yīng)被分為兩個(gè)段：用戶空間和系統(tǒng) 空間，兩者的隔離應(yīng)是靜態(tài)的。駐留在內(nèi)存中的操作 系統(tǒng)應(yīng)由所有進(jìn)程共享。用戶進(jìn)程之間應(yīng)是彼此隔離 的。應(yīng)禁止在用戶模

14、式下運(yùn)行的進(jìn)程對(duì)系統(tǒng)段進(jìn)行寫 操作，而在系統(tǒng)模式下運(yùn)行時(shí)，應(yīng)允許進(jìn)程對(duì)所有的 虛存空間進(jìn)行讀、與操作；d) 提供設(shè)置和升級(jí)配置參數(shù)的安裝機(jī)制。在初始化和對(duì)與安全有關(guān)的數(shù)據(jù)結(jié)構(gòu)進(jìn)行保護(hù)之前，應(yīng)對(duì)用戶和管理員的安全策略屬性應(yīng)進(jìn)行定義；e) 應(yīng)區(qū)分普通操作模式和系統(tǒng)維護(hù)模式；f)應(yīng)防止一個(gè)普通用戶從未經(jīng)允許的系統(tǒng)進(jìn)入維護(hù)模式，并應(yīng)防止一個(gè)普通用戶與系統(tǒng)內(nèi)維護(hù) 模式交互。從而保證在普通用戶訪問(wèn)系統(tǒng)之前，系統(tǒng) 能以一個(gè)安全的方式進(jìn)行安裝和配置；g) 對(duì)備份或不影響 SSOOS的常規(guī)的系統(tǒng)維護(hù)，不 要求所有的系統(tǒng)維護(hù)都在維護(hù)模式中執(zhí)行；h)當(dāng)操作系統(tǒng)安裝完成后，在普通用戶訪問(wèn)之前，系統(tǒng)應(yīng)配置好初始用戶和管

15、理員職責(zé)、根目錄、審計(jì)參數(shù)、系統(tǒng)審計(jì)跟蹤設(shè)置以及對(duì)文件和目錄 的合適的訪問(wèn)控制；i)執(zhí)行系統(tǒng)所提供的實(shí)用程序，應(yīng)(默認(rèn)地)限定于對(duì)系統(tǒng)的有效使用，只允許系統(tǒng)管理員修 改或替換系統(tǒng)提供的實(shí)用程序；j) 操作環(huán)境應(yīng)為用戶提供一個(gè)機(jī)制，來(lái)控制命令的 目錄/路徑的查找順序；k)提供一個(gè)實(shí)用程序來(lái)校驗(yàn)文件系統(tǒng)和磁盤的完整性。此實(shí)用程序應(yīng)由操作系統(tǒng)自動(dòng)執(zhí)行；1)為操作系統(tǒng)安全管理人員提供一種機(jī)制，來(lái)產(chǎn)生安全參數(shù)值的詳細(xì)報(bào)告；m) 在SSOOS失敗或中斷后，應(yīng)確保其以最小的 損害得到恢復(fù)。并按失敗保護(hù)中所描述的內(nèi)容， 實(shí)現(xiàn)對(duì)SSF出現(xiàn)失敗時(shí)的處理。系統(tǒng)因故障或其它 原因中斷后，應(yīng)有一種機(jī)制去恢復(fù)系統(tǒng)。系統(tǒng)應(yīng)

16、提供在管理維護(hù)狀態(tài)中運(yùn)行的能力，管理維護(hù) 狀態(tài)只能被系統(tǒng)管理員使用，各種安全功能全部失效；n） 操作系統(tǒng)環(huán)境應(yīng)控制和審計(jì)系統(tǒng)控制臺(tái)的使用 情況；0） 補(bǔ)丁的發(fā)布、管理和使用：補(bǔ)丁是對(duì)操作系統(tǒng)安 全漏洞進(jìn)行修補(bǔ)的程序的總稱。操作系統(tǒng)的開發(fā)者應(yīng)針對(duì)發(fā)現(xiàn)的漏洞及時(shí)發(fā)布補(bǔ)丁。操作系統(tǒng)的 管理者應(yīng)及時(shí)獲取、統(tǒng)一管理并及時(shí)運(yùn)用補(bǔ)丁對(duì)操作系統(tǒng)的漏洞進(jìn)行修補(bǔ)。SSF數(shù)據(jù) 安全 保護(hù)a）實(shí)現(xiàn)對(duì)輸出 SSF數(shù)據(jù)可用性、保密性、和完整性保護(hù)；b）實(shí)現(xiàn)SSOOS內(nèi)SSF數(shù)據(jù)傳輸?shù)幕颈Ｗo(hù)、數(shù)據(jù) 分離傳輸、數(shù)據(jù)完整性保護(hù)；c）實(shí)現(xiàn) SSF間的SSF數(shù)據(jù)的一致性和 SSOOS內(nèi) SSF數(shù)據(jù)復(fù)制的一致性保護(hù)。資源利用a）應(yīng)

17、通過(guò)一定措施確保當(dāng)系統(tǒng)出現(xiàn)某些確定的故障 情況時(shí)，SSF也能維持正常運(yùn)行，如系統(tǒng)應(yīng) 檢測(cè)和報(bào)告系統(tǒng)的服務(wù)水平已降低到預(yù)先規(guī)定的最小 值；b）應(yīng)采取適當(dāng)?shù)牟呗?，有限服?wù)優(yōu)先級(jí)提供主體使 用TSC內(nèi)某個(gè)資源子集的優(yōu)先級(jí)，進(jìn)行SSOOS資源的管理和分配；c）應(yīng)按資源分配中最大限額的要求，進(jìn)行SSOOS資源的管理和分配，要求配額機(jī)制確保用戶和主體將不 會(huì)獨(dú)占某種受控的資源；d）系統(tǒng)應(yīng)確保在被授權(quán)的主體發(fā)出請(qǐng)求時(shí)，資源能 被訪問(wèn)和利用；e）當(dāng)系統(tǒng)資源的服務(wù)水平降低到預(yù)先規(guī)定的最小值 時(shí)，應(yīng)能檢測(cè)和發(fā)出報(bào)告；f）系統(tǒng)應(yīng)提供維護(hù)狀態(tài)中運(yùn)行的能力，在維護(hù)狀態(tài) 下各種安全性能全部失效，系統(tǒng)只允許由系統(tǒng)管理員 使

18、用；g）系統(tǒng)應(yīng)以每個(gè)用戶或每個(gè)用戶組為基礎(chǔ)，提供一 種機(jī)制，控制他們對(duì)磁盤的消耗和對(duì)CPU的使用；h）系統(tǒng)應(yīng)提供軟件及數(shù)據(jù)備份和復(fù)原的過(guò)程，在系 統(tǒng)中應(yīng)加入再啟動(dòng)的同步點(diǎn)，以便于系統(tǒng)的復(fù)原；i）操作系統(tǒng)應(yīng)能提供用戶可訪問(wèn)的系統(tǒng)資源的修改 歷史記錄；j）系統(tǒng)應(yīng)提供能用于定期確認(rèn)系統(tǒng)正確操作的機(jī)制 和過(guò)程，這些機(jī)制或過(guò)程應(yīng)涉及系統(tǒng)資源的監(jiān)督、硬 件和固件單元的正確操作、對(duì)可能在全系統(tǒng)內(nèi)傳播的 錯(cuò)誤狀態(tài)的檢測(cè)以及超過(guò)用戶規(guī)定的門限的通訊差錯(cuò) 的檢測(cè)等內(nèi)容。SSOOS訪問(wèn)a） 按會(huì)話建立機(jī)制的要求，對(duì)會(huì)話建立的管理進(jìn)行設(shè)計(jì)。在建立SSOOS會(huì)話之前，應(yīng)鑒別用戶的身份。制一登錄機(jī)制不允許鑒別機(jī)制本身被旁

19、路；b) 按多重并發(fā)會(huì)話限定中基本限定的要求，進(jìn)行會(huì)話管理的設(shè)計(jì)。在基于基本標(biāo)識(shí)的基礎(chǔ)上，SSF應(yīng)限制系統(tǒng)的并發(fā)會(huì)話的最大數(shù)量，并應(yīng)利用默認(rèn)值作為 會(huì)話次數(shù)的限定數(shù)；c) 按可選屬性范圍限定的要求，選擇某種會(huì)話安全 屬性的所有失敗的嘗試，對(duì)用來(lái)建立會(huì)話的安全屬性的范圍進(jìn)行限制；d) 成功登錄系統(tǒng)后，SSOOS應(yīng)記錄并向用戶顯示 以下數(shù)據(jù)：日期、時(shí)間、來(lái)源和上次成功登錄系統(tǒng)的情況； 上次成功訪問(wèn)系統(tǒng)以來(lái)身份鑒別失敗的情況； 應(yīng)顯示口令到期的天數(shù)；成功或不成功的事件次數(shù)的顯示可以用整數(shù)計(jì) 數(shù)、時(shí)間戳列表等表述方法；e) 在規(guī)定的未使用時(shí)限后，系統(tǒng)應(yīng)斷開會(huì)話或重新 鑒別用戶，系統(tǒng)應(yīng)提供時(shí)限的默認(rèn)值；

20、f) 系統(tǒng)應(yīng)提供鎖定用戶鍵盤的機(jī)制，鍵盤開鎖過(guò)程 應(yīng)要求驗(yàn)證用戶；g) 當(dāng)用戶鑒別過(guò)程不正確的次數(shù)達(dá)到系統(tǒng)規(guī)定的 次數(shù)時(shí)，系統(tǒng)應(yīng)退出登錄過(guò)程并終止與用戶的交互；h) 系統(tǒng)應(yīng)提供一種機(jī)制，能按時(shí)間、進(jìn)入方式、地 點(diǎn)、網(wǎng)絡(luò)地址或端口等條件規(guī)定哪些用戶能進(jìn)入系統(tǒng)。g) 當(dāng)用戶鑒別過(guò)程不正確的次數(shù)達(dá)到系統(tǒng)規(guī)定的 次數(shù)時(shí)，系統(tǒng)應(yīng)退出登錄過(guò)程并終止與用戶的交互；h) 系統(tǒng)應(yīng)提供一種機(jī)制，能按時(shí)間、進(jìn)入方式、地 點(diǎn)、網(wǎng)絡(luò)地址或端口等條件規(guī)定哪些用戶能進(jìn)入系統(tǒng)。SSOOS設(shè)計(jì) 和實(shí) 現(xiàn)配置管理a) 在配置管理能力方面應(yīng)實(shí)現(xiàn)對(duì)版本號(hào)、配置項(xiàng)、 授權(quán)控制等方面的要求；b)在配置管理自動(dòng)化方面要求部分的配置管理自動(dòng)

21、化；c) 在SSOOS的配置管理范圍方面，應(yīng)將SSOOS的實(shí)現(xiàn)表示、設(shè)計(jì)文檔、測(cè)試文檔、用戶文檔、管理 員文檔以及配置管理文檔等置于配置管理之下，要求 實(shí)現(xiàn)對(duì)配置管理范圍內(nèi)的問(wèn)題跟蹤，特別是安全缺陷 問(wèn)題進(jìn)行跟蹤；d) 在系統(tǒng)的整個(gè)生存期，即在它的開發(fā)、測(cè)試和維護(hù)期間，應(yīng)有一個(gè)軟件配置管理系統(tǒng)處于保持對(duì)改變 源碼和文件的控制狀態(tài)。只有被授權(quán)的代碼和代碼修 改才允許被加進(jìn)已交付的源碼的基本部分。所有改變 應(yīng)被記載和檢查，以確保未危及系統(tǒng)的安全。在軟件 配置管理系統(tǒng)中，應(yīng)包含從源碼產(chǎn)生出系統(tǒng)新版本、 鑒定新生成的系統(tǒng)版本和保護(hù)源碼免遭未授權(quán)修改的 工具和規(guī)程。通過(guò)技術(shù)、物理和保安規(guī)章三方面的結(jié)合，

22、 可充分保護(hù)生成系統(tǒng)所用到的源碼免遭 未授權(quán)的修改和毀壞。分發(fā) 和操 作a) 以文檔形式提供對(duì)SSOOS安全地進(jìn)行分發(fā)的過(guò)程，并對(duì)修改檢測(cè)的過(guò)程進(jìn)行說(shuō)明，最終生成安全 的配置。文檔中所描述的內(nèi)容應(yīng)包括：提供分發(fā)的過(guò)程； 安全啟動(dòng)和操作的過(guò)程；建立日志的過(guò)程；修改內(nèi)容的檢測(cè)；對(duì)任何安全加強(qiáng)功能在啟動(dòng)、正常操作維護(hù)時(shí)能 被撤消或修改的闡述；在故障或硬件、軟件出錯(cuò)后恢復(fù)系統(tǒng)至安全狀態(tài) 的規(guī)程；對(duì)含有加強(qiáng)安全性的硬件部件，應(yīng)說(shuō)明用戶或自 動(dòng)的診斷測(cè)試的操作環(huán)境和使用方法；所有診斷測(cè)試過(guò)程中，為加強(qiáng)安全性的硬件部件 所提供例證的結(jié)果；在啟動(dòng)和操作時(shí)產(chǎn)生審計(jì)蹤跡輸出的例證；b) 對(duì)系統(tǒng)的未授權(quán)修改的風(fēng)險(xiǎn)，

23、應(yīng)在交付時(shí)控制到最低限度。在包裝及安全分送和安裝過(guò)程中，這種控 制應(yīng)采取軟件控制系統(tǒng)的方式，確認(rèn)安全性會(huì)由最終 用戶考慮，所有安全機(jī)制都應(yīng)以功能狀態(tài)交付；c) 所有軟件應(yīng)提供安全安裝默認(rèn)值，在客戶不做選擇時(shí)，默認(rèn)值應(yīng)使安全機(jī)制有效地發(fā)揮安全功能；d)隨同系統(tǒng)交付的全部默認(rèn)用戶標(biāo)識(shí)碼，應(yīng)在交付時(shí)處于非激活狀態(tài)，并在使用前由管理員激活；e)用戶文檔應(yīng)冋交付的軟件一起包裝，并應(yīng)有一套規(guī)程確保當(dāng)前送給用戶的系統(tǒng)軟件是嚴(yán)格按最新的系 統(tǒng)版本來(lái)制作的；f) 以安全方式開發(fā)并交付系統(tǒng)后，仍應(yīng)提供對(duì)產(chǎn)品 的長(zhǎng)期維護(hù)和評(píng)估的支持，包括產(chǎn)品中的安全漏洞和 現(xiàn)場(chǎng)問(wèn)題的解決；g) 應(yīng)采用書面說(shuō)明的方式向客戶通告新的安

24、全問(wèn) 題。h) 對(duì)可能受到威脅的所有的安全問(wèn)題，均應(yīng)描述其特點(diǎn)，并作為主要的問(wèn)題對(duì)待，直到它被解決或在用 戶同意下降級(jí)使用；i) 為了支持已交付的軟件的每個(gè)版本，對(duì)所有已有 的安全漏洞都應(yīng)有文檔書面說(shuō)明，并且用戶能在限制 的基礎(chǔ)上得到該文檔；j) 對(duì)安全漏洞的修改不必等到系統(tǒng)升級(jí)到下一個(gè)版 本。安全功能的增加和改進(jìn)應(yīng)獨(dú)立于系統(tǒng)版本的升級(jí)， 也就是說(shuō)，應(yīng)存在適應(yīng)性獨(dú)立于系統(tǒng)其它功能的改進(jìn)；k)只有經(jīng)過(guò)客戶授權(quán)，才允許在生產(chǎn)性運(yùn)行的系統(tǒng)上 進(jìn)行新特性和簡(jiǎn)易原型的開發(fā)、測(cè)試和安裝；1)新的版本應(yīng)避免違反最初的安全策略和設(shè)想，也應(yīng) 避免在維護(hù)、增加或功能升級(jí)中引入安全漏洞，所有 功能的改變和安全結(jié)構(gòu)設(shè)

25、置的默認(rèn)值都應(yīng)作記錄。在 新版本交付給用戶使用前， 用戶應(yīng)能得到相應(yīng)的文檔。文檔要求a) 應(yīng)為最終用戶提供簡(jiǎn)單概要、分章節(jié)或手冊(cè)形式 的文檔，保證用戶擁有進(jìn)行安全操作所需要的所有信息。與安全有關(guān)的信息應(yīng)包含在一個(gè)特別的 手冊(cè)中或許多標(biāo)準(zhǔn)的文本集中，提供用戶查閱所有的安全功能。這些信息可隨系統(tǒng)發(fā)送，也 可明確指出它包含在哪個(gè)文本當(dāng)中；b) 應(yīng)通過(guò)提供所要求文檔，將如何安全使用和維護(hù) 操作系統(tǒng)的信息交付給系統(tǒng)的用戶、系統(tǒng)管理員和系 統(tǒng)安全員。對(duì)文檔的總體要求是：應(yīng)對(duì)所有的安全訪問(wèn)和相關(guān)過(guò)程、特權(quán)、功能等 適當(dāng)?shù)墓芾砑右躁U述；應(yīng)闡述安全管理和安全服務(wù)的交互，并提供新的SSOOS安全生成的指導(dǎo)；應(yīng)詳細(xì)

26、給出每種審計(jì)事件的審計(jì)記錄的結(jié)構(gòu)，以 便考察和維護(hù)審計(jì)文件和進(jìn)程；應(yīng)提供一個(gè)準(zhǔn)則集用于保證附加的說(shuō)明的一致性 不受破壞；c) 用戶文檔應(yīng)提供關(guān)于不冋用戶的可見的安全機(jī) 制以及如何利用它們的信息，描述沒有明示用戶的保 護(hù)結(jié)構(gòu)，并解釋它們的用途和提供有關(guān)它們使用的指 南，不應(yīng)包括那些如果公開將會(huì)危及系統(tǒng)安全的任何 信息；d) 系統(tǒng)管理員文檔應(yīng)提供：關(guān)于系統(tǒng)的安全開機(jī)、操作和重新啟動(dòng)的信息， 包括啟動(dòng)系統(tǒng)的過(guò)程(如引導(dǎo)系統(tǒng)進(jìn)入安全方式)、在系統(tǒng)操作失誤時(shí)恢復(fù)安全系統(tǒng)操作的過(guò) 程、運(yùn)行軟件和數(shù)據(jù)備份及轉(zhuǎn)儲(chǔ)的方法和過(guò)程；一個(gè)單獨(dú)的安裝指南，詳細(xì)說(shuō)明設(shè)置系統(tǒng)的配置 和初始化過(guò)程，提供一個(gè)新系統(tǒng)版本的安全設(shè)

27、置和安 裝文檔，包括對(duì)所有用戶可見的安全相關(guān)過(guò)程、軟件 和數(shù)據(jù)文檔的描述；e) 安全管理員文檔應(yīng)提供：有關(guān)如何設(shè)置、維護(hù)和分析系統(tǒng)安全的詳細(xì)指導(dǎo)， 包括當(dāng)運(yùn)行一個(gè)安全設(shè)備時(shí)，需要控制的有關(guān)功能和 特權(quán)的警告；與安全有關(guān)的管理員功能的詳細(xì)描述，包括增加 和刪除一個(gè)用戶、改變用戶的安全特征等；提供關(guān)于所有審計(jì)工具的文檔，包括為檢查和保持審計(jì)文件所推薦的過(guò)程、針對(duì)每種審計(jì)事件的詳細(xì) 審計(jì)記錄文件、為周期性備份和刪除審計(jì)記錄所推薦 的過(guò)程、為檢查能被目錄文件所利用的磁盤剩余空間 所推薦的過(guò)程；關(guān)于設(shè)置所有文件和目錄的最低訪問(wèn)許可的建 議；運(yùn)行文件系統(tǒng)或磁盤完整性檢測(cè)所做的建議；如何進(jìn)行系統(tǒng)自我評(píng)估的章

28、節(jié)(帶有網(wǎng)絡(luò)管理、 口令要求、撥號(hào)訪問(wèn)控制、意外事故計(jì)劃的安全報(bào)告)， 為災(zāi)害恢復(fù)計(jì)劃所做的建議；描述普通入侵技術(shù)和其它威脅，及查出和阻止它們的方法；f)安全管理員文檔應(yīng)提供安全管理員了解如何用安全的方式管理系統(tǒng)，除了給出一般的安全忠 告，還要明確：在系統(tǒng)用安全的方法設(shè)置時(shí)，圍繞用戶、用戶賬 戶、用戶組成員關(guān)系、主體和客體的屬性等，應(yīng)如何 安裝或終止安裝；在系統(tǒng)的生存周期內(nèi)如何用安全的方法維護(hù)系 統(tǒng)，包括為了防止系統(tǒng)被破壞而進(jìn)行的每天、每周、 每月的安全常規(guī)備份等；如何用安全的方法重建部分SSOOS(如內(nèi)核)的方法(如果允許在系統(tǒng)上重建SSOOS)；說(shuō)明審計(jì)跟蹤機(jī)制，使授權(quán)用戶可以有效地使用 審計(jì)跟蹤來(lái)執(zhí)行本地的安全策略；必要時(shí)，如何調(diào)整系統(tǒng)的安全默認(rèn)配置；g)文檔中不應(yīng)提供任何一旦泄露將會(huì)危及系統(tǒng)安全的信息。有關(guān)安全的指令和文檔應(yīng)劃分等級(jí) 分別提供給用戶、系統(tǒng)管理員和系統(tǒng)安全員。這些文 檔應(yīng)為獨(dú)立的文檔，或作為獨(dú)立的章節(jié)插入到管理員 指南和用戶指南中。文檔也可為硬拷貝、電子文檔或 聯(lián)機(jī)文檔。如果是聯(lián)機(jī)文檔應(yīng)控制對(duì)其的訪問(wèn)。生存 周期 支持a) 按標(biāo)準(zhǔn)的生存周期模