GB/T 18336.3-2015信息技術(shù)安全技術(shù)信息技術(shù)安全評(píng)估準(zhǔn)則第3部分：安全保障組件

ICS35040

L80.

中華人民共和國(guó)國(guó)家標(biāo)準(zhǔn)

GB/T183363—2015/ISO/IEC15408-32008

.代替:

GB/T18336.3—2008

信息技術(shù)安全技術(shù)

信息技術(shù)安全評(píng)估準(zhǔn)則

第3部分安全保障組件

:

Informationtechnology—Securitytechniques—

EvaluationcriteriaforITsecurity—

Part3Securitassurancecomonents

:yp

(ISO/IEC15408-3:2008,IDT)

2015-05-15發(fā)布2016-01-01實(shí)施

中華人民共和國(guó)國(guó)家質(zhì)量監(jiān)督檢驗(yàn)檢疫總局發(fā)布

中國(guó)國(guó)家標(biāo)準(zhǔn)化管理委員會(huì)

GB/T183363—2015/ISO/IEC15408-32008

.:

目次

前言

…………………………Ⅴ

引言

…………………………Ⅶ

范圍

1………………………1

規(guī)范性引用文件

2…………………………1

術(shù)語(yǔ)和定義

3………………1

概述

4………………………1

本部分的結(jié)構(gòu)

4.1………………………1

保障范型

5…………………2

的基本原則

5.1ISO/IEC15408………………………2

保障方法

5.2……………2

評(píng)估保障尺度

5.3ISO/IEC15408……………………3

安全保障組件

6……………3

安全保障類族和組件結(jié)構(gòu)

6.1、…………3

評(píng)估保障級(jí)結(jié)構(gòu)

6.2……………………7

組合保障包結(jié)構(gòu)

6.3……………………8

評(píng)估保障級(jí)

7………………10

評(píng)估保障級(jí)概述

7.1(EAL)……………11

評(píng)估保障級(jí)細(xì)節(jié)

7.2……………………12

評(píng)估保障級(jí)功能測(cè)試

7.31(EAL1)———……………12

評(píng)估保障級(jí)結(jié)構(gòu)測(cè)試

7.42(EAL2)———……………13

評(píng)估保障級(jí)系統(tǒng)地測(cè)試和檢查

7.53(EAL3)———…………………14

評(píng)估保障級(jí)系統(tǒng)地設(shè)計(jì)測(cè)試和復(fù)查

7.64(EAL4)———、……………15

評(píng)估保障級(jí)半形式化設(shè)計(jì)和測(cè)試

7.75(EAL5)———………………17

評(píng)估保障級(jí)半形式化驗(yàn)證的設(shè)計(jì)和測(cè)試

7.86(EAL6)———………18

評(píng)估保障級(jí)形式化驗(yàn)證的設(shè)計(jì)和測(cè)試

7.97(EAL7)———…………19

組合保障包

8………………21

組合保障包概述

8.1(CAP)……………21

組合保障包細(xì)節(jié)

8.2……………………22

組合保障級(jí)結(jié)構(gòu)組合

8.3A(CAP-A)—………………22

組合保障級(jí)別系統(tǒng)組合

8.4B(CAP-B)—……………23

組合保障級(jí)系統(tǒng)組合測(cè)試和復(fù)查

8.5C(CAP-C)—、………………24

類保護(hù)輪廓評(píng)估

9APE:…………………25

引言

9.1PP(APE_INT)………………26

符合性聲明

9.2(APE_CCL)…………26

安全問題定義

9.3(APE_SPD)………………………28

Ⅰ

GB/T183363—2015/ISO/IEC15408-32008

.:

安全目的

9.4(APE_OBJ)……………29

擴(kuò)展組件定義

9.5(APE_ECD)………………………30

安全要求

9.6(APE_REQ)……………31

類安全目標(biāo)評(píng)估

10ASE:………………33

引言

10.1ST(ASE_INT)……………34

符合性聲明

10.2(ASE_CCL)…………35

安全問題定義

10.3(ASE_SPD)………………………36

安全目的

10.4(ASE_OBJ)……………37

擴(kuò)展組件定義

10.5(ASE_ECD)………………………38

安全要求

10.6(ASE_REQ)……………39

概要規(guī)范

10.7TOE(ASE_TSS)……………………41

類開發(fā)

11ADV:…………………………43

安全架構(gòu)

11.1(ADV_ARC)…………46

功能規(guī)范

11.2(ADV_FSP)……………48

實(shí)現(xiàn)表示

11.3(ADV_IMP)……………56

內(nèi)部

11.4TSF(ADV_INT)…………58

安全策略模型

11.5(ADV_SPM)……………………61

設(shè)計(jì)

11.6TOE(ADV_TDS)…………63

類指導(dǎo)性文檔

12AGD:…………………71

操作用戶指南

12.1(AGD_OPE)……………………71

準(zhǔn)備程序

12.2(AGD_PRE)……………73

類生命周期支持

13ALC:………………74

能力

13.1CM(ALC_CMC)……………75

范圍

13.2CM(ALC_CMS)……………82

交付

13.3(ALC_DEL)…………………86

開發(fā)安全

13.4(ALC_DVS)……………87

缺陷糾正

13.5(ALC_FLR)……………89

生命周期定義

13.6(ALC_LCD)………………………92

工具和技術(shù)

13.7(ALC_TAT)………………………94

類測(cè)試

14ATE:…………………………97

覆蓋

14.1(ATE_COV)………………98

深度

14.2(ATE_DPT)………………100

功能測(cè)試

14.3(ATE_FUN)…………103

獨(dú)立測(cè)試

14.4(ATE_IND)…………105

類脆弱性評(píng)定

15AVA:………………108

應(yīng)用注釋

15.1…………………………108

脆弱性分析

15.2(AVA_VAN)………………………109

類組合

16ACO:…………………………113

組合基本原理

16.1(ACO_COR)……………………116

開發(fā)證據(jù)

16.2(ACO_DEV)…………116

依賴部件的依賴性

16.3(ACO_REL)………………119

Ⅱ

GB/T183363—2015/ISO/IEC15408-32008

.:

組合測(cè)試

16.4TOE(ACO_CTT)…………………121

組合脆弱性分析

16.5(ACO_VUL)…………………123

附錄資料性附錄開發(fā)

A()(ADV)……………………127

附錄資料性附錄組合

B()(ACO)……………………140

附錄資料性附錄保障組件依賴關(guān)系的交叉引用

C()………………145

附錄資料性附錄和保障組件的交叉引用

D()PP……………………150

附錄資料性附錄和保障組件的交叉引用

E()EAL…………………151

附錄資料性附錄和保障組件的交叉引用

F()CAP…………………152

Ⅲ

GB/T183363—2015/ISO/IEC15408-32008

.:

前言

信息技術(shù)安全技術(shù)信息技術(shù)安全評(píng)估準(zhǔn)則分為以下三部分

GB/T18336《》:

第部分簡(jiǎn)介和一般模型

———1:;

第部分安全功能組件

———2:;

第部分安全保障組件

———3:。

本部分是的第部分

GB/T183363。

本部分按照給出的規(guī)則起草

GB/T1.1—2009。

本部分代替信息技術(shù)安全技術(shù)信息技術(shù)安全評(píng)估準(zhǔn)則第部分安

GB/T18336.3—2008《3:

全保證要求

》。

本部分與的主要差異如下

GB/T18336.3—2008:

將保證改為保障

———“”(assurance)“”;

將安全保證要求改為安全保障組件

———“6”“6”;

刪除了保護(hù)輪廓和安全目標(biāo)評(píng)估準(zhǔn)則類結(jié)構(gòu)本部分中術(shù)語(yǔ)的用法保

———“6.3”、“6.4”、“6.5

證分類保證類和族概況

”、“6.6”;

將結(jié)構(gòu)調(diào)整為本部分的評(píng)估保障級(jí)結(jié)構(gòu)

———“6.1.5EAL”“6.2”;

增加了組合保障包結(jié)構(gòu)

———“6.3”;

刪除了保護(hù)輪廓與安全目標(biāo)評(píng)估準(zhǔn)則保證類族和組件

———“7”、“11、”;

增加了組合保障包

———“8”;

刪除了描述

———“8.1TOE”;

增加了符合性聲明

———“9.2”;

將安全環(huán)境明確陳述的安全要求改為本部分的安全問題定義

———“8.2”、“8.6IT”“9.3”、

擴(kuò)展組件定義

“9.5”;

刪除了描述聲明

———“9.1TOE”、“9.5PP”;

增加了符合性聲明

———“10.2”;

將安全環(huán)境明確陳述的安全要求改為本部分的安全問題定義

———“9.2”、“9.7IT”“10.3”、

擴(kuò)展組件定義

“10.5”;

刪除了類開發(fā)中的高層設(shè)計(jì)低層設(shè)計(jì)表示對(duì)應(yīng)

———“ADV:”“(ADV_HLD)”、“(ADV_LLD)”、“

性

(ADV_RCR)”;

在類開發(fā)中增加了安全架構(gòu)設(shè)計(jì)

———“ADV:”“(ADV_ARC)”、“TOE(ADV_TDS)”;

將類的管理員指南和用戶指南調(diào)整為本部分的操作用

———AGD“(AGD_ADM)”“(AGD_USR)”“

戶指南和準(zhǔn)備程序

(AGD_OPE)”“(AGD_PRE)”;

將類的能力范圍類的交付

———ACM“CM(ACM_CAP)”、“CM(ACM_SCP)”,ADO“(ADO_DEL)”

合到了類中

ALC;

刪除了類配置管理中的自動(dòng)化

———“ACM:”“CM(ACM_AUT)”;

刪除了類交付和運(yùn)行中的安裝生成和啟動(dòng)

———“ADO:”“、(ADO_IGS)”;

將測(cè)試覆蓋改為覆蓋將測(cè)試深度改為深度

———“(ATE_COV)”“(ATE_COV)”,“(ATE_DPT)”“

(ATE_DPT)”;

刪除了類脆弱性評(píng)定中的隱蔽信道分析誤用

———“AVA:”“(AVA_CCA)”、“(AVA_MSU)”、

安全功能強(qiáng)度

“TOE(AVASOF)”;

Ⅴ

GB/T183363—2015/ISO/IEC15408-32008

.:

將脆弱性分析改為脆弱性分析

———“(AVA_VLA)”“(AVA_VAN)”;

增加了類組合

———“16ACO:”;

增加了附錄開發(fā)附錄組合附錄和保障組件的交叉引

———“A(ADV)”、“B(ACO)”、“DPP

用附錄和保障組件的交叉引用

”、“FCAP”;

將附錄保證組件依賴關(guān)系的交叉引用調(diào)整為附錄保障組件依賴關(guān)系的交叉引

———“A”“C

用將附錄和保證組件的交叉引用調(diào)整為附錄和保障組件的交叉

”,“BEAL”“EEAL

引用

”。

本部分使用翻譯法等同采用信息技術(shù)安全技術(shù)信息技術(shù)安全評(píng)估準(zhǔn)

ISO/IEC15408-3:2008《

則第部分安全保障組件

3:》。

與本部分中規(guī)范性引用的國(guó)際文件有一致性對(duì)應(yīng)關(guān)系的我國(guó)文件如下

:

信息技術(shù)安全技術(shù)信息技術(shù)安全評(píng)估準(zhǔn)則第部分簡(jiǎn)介和一般模型

———GB/T18336.11:

(GB/T18336.1—2015,ISO/IEC15408-1:2009,IDT)

信息技術(shù)安全技術(shù)信息技術(shù)安全評(píng)估準(zhǔn)則第部分安全功能組件

———GB/T18336.22:

(GB/T18336.2—2015,ISO/IEC15408-2:2008,IDT)

本部分由全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)提出并歸口

(SAC/TC260)。

本部分起草單位中國(guó)信息安全測(cè)評(píng)中心信息產(chǎn)業(yè)信息安全測(cè)評(píng)中心公安部第三研究所

:、、。

本部分主要起草人張翀斌郭穎石竑松畢海英張寶峰高金萍王峰楊永生李國(guó)俊董晶晶

:、、、、、、、、、、

謝蒂王鴻嫻張怡顧健邱梓華宋好好陳妍楊元原許源饒華一吳毓書毛軍捷

、、、、、、、、、、、。

本部分所代替標(biāo)準(zhǔn)的歷次版本發(fā)布情況為

:

———GB/T18336.3—2001

———GB/T18336.3—2008

Ⅵ

GB/T183363—2015/ISO/IEC15408-32008

.:

引言

本部分定義的安全保障組件是在保護(hù)輪廓或安全目標(biāo)中描述安全保障要求的基礎(chǔ)

(PP)(ST)。

這些要求建立了一種描述評(píng)估對(duì)象保障要求的標(biāo)準(zhǔn)方法本部分列出了一組保障組件族

(TOE)。、

和類還定義了評(píng)估和的準(zhǔn)則定義了評(píng)估保障級(jí)別來描述中預(yù)定義的

,PPST,(EAL)ISO/IEC15408

用于評(píng)定保障要求滿足情況的尺度

TOE。

本部分的目標(biāo)讀者主要包括安全產(chǎn)品的消費(fèi)者開發(fā)者和評(píng)估者提供了關(guān)

IT、。ISO/IEC15408-1

于的目標(biāo)讀者以及目標(biāo)讀者群體如何使用的補(bǔ)充信息這些讀者群

ISO/IEC15408,ISO/IEC15408。

體可以如下方式使用本部分

:

消費(fèi)者在選取組件描述保障要求以滿足或中提出的安全目的以及確定所需的安全

a),,PPST,

保障級(jí)別時(shí)都可使用本部分

;

開發(fā)者在構(gòu)造以響應(yīng)實(shí)際的或預(yù)想的消費(fèi)者安全要求時(shí)可參考本部分以解釋保障要

b),TOE,

求陳述并確定的保障方法

TOE;

評(píng)估者在確定的保障級(jí)別以及評(píng)估和時(shí)使用本部分所定義的保障要求作為評(píng)

c),TOEPPST,

估準(zhǔn)則的強(qiáng)制性陳述

。

Ⅶ

GB/T183363—2015/ISO/IEC15408-32008

.:

信息技術(shù)安全技術(shù)

信息技術(shù)安全評(píng)估準(zhǔn)則

第3部分安全保障組件

:

1范圍

的本部分定義了保障要求包括評(píng)估保障級(jí)為度量部件的保障定

GB/T18336,:(EAL)———TOE

義了一種尺度組合保障包為度量組合的保障提供了一種尺度組成保障級(jí)和保障包

;(CAP)———TOE;

的單個(gè)保障組件和的評(píng)估準(zhǔn)則

;PPST。

2規(guī)范性引用文件

下列文件對(duì)于本文件的應(yīng)用是必不可