GB/T 20270-2006信息安全技術(shù)網(wǎng)絡(luò)基礎(chǔ)安全技術(shù)要求

犐犆犛３５．０４０

犔８０

中華人民共和國國家標(biāo)準(zhǔn)

犌犅／犜２０２７０—２００６

信息安全技術(shù)

網(wǎng)絡(luò)基礎(chǔ)安全技術(shù)要求

犐狀犳狅狉犿犪狋犻狅狀狊犲犮狌狉犻狋狔狋犲犮犺狀狅犾狅犵狔—

犅犪狊犻狊狊犲犮狌狉犻狋狔狋犲犮犺狀犻狇狌犲狊狉犲狇狌犻狉犲犿犲狀狋犳狅狉狀犲狋狑狅狉犽

２００６０５３１發(fā)布２００６１２０１實施

中華人民共和國國家質(zhì)量監(jiān)督檢驗檢疫總局

發(fā)布

中國國家標(biāo)準(zhǔn)化管理委員會

書

犌犅／犜２０２７０—２００６

目次

前言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅴ

引言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅵ

１范圍!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

２規(guī)范性引用文件!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

３術(shù)語、定義和縮略語!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

３．１術(shù)語和定義!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

３．２縮略語!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

４網(wǎng)絡(luò)安全組成與相互關(guān)系!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

５網(wǎng)絡(luò)安全功能基本要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５．１身份鑒別!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５．１．１用戶標(biāo)識!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５．１．２用戶鑒別!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５．１．３用戶—主體綁定!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．１．４鑒別失敗處理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．２自主訪問控制!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．２．１訪問控制策略!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．２．２訪問控制功能!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．２．３訪問控制范圍!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．２．４訪問控制粒度!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．３標(biāo)記!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．３．１主體標(biāo)記!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．３．２客體標(biāo)記!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

５．３．３標(biāo)記完整性!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

５．３．４有標(biāo)記信息的輸出!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

５．４強制訪問控制!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

５．４．１訪問控制策略!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

５．４．２訪問控制功能!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

５．４．３訪問控制范圍!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

５．４．４訪問控制粒度!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

５．４．５訪問控制環(huán)境!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

５．５數(shù)據(jù)流控制!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

５．６安全審計!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

５．６．１安全審計的響應(yīng)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

５．６．２安全審計數(shù)據(jù)產(chǎn)生!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

５．６．３安全審計分析!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

５．６．４安全審計查閱!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

５．６．５安全審計事件選擇!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

５．６．６安全審計事件存儲!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

Ⅰ

書

犌犅／犜２０２７０—２００６

５．７用戶數(shù)據(jù)完整性!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

５．７．１存儲數(shù)據(jù)的完整性!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

５．７．２傳輸數(shù)據(jù)的完整性!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

５．７．３處理數(shù)據(jù)的完整性!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

５．８用戶數(shù)據(jù)保密性!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

５．８．１存儲數(shù)據(jù)的保密性!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

５．８．２傳輸數(shù)據(jù)的保密性!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

５．８．３客體安全重用!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

５．９可信路徑!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

５．１０抗抵賴!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

５．１０．１抗原發(fā)抵賴!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

５．１０．２抗接收抵賴!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

５．１１網(wǎng)絡(luò)安全監(jiān)控!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

６網(wǎng)絡(luò)安全功能分層分級要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

６．１身份鑒別功能!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

６．２自主訪問控制功能!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

６．３標(biāo)記功能!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１２

６．４強制訪問控制功能!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１３

６．５數(shù)據(jù)流控制功能!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１４

６．６安全審計功能!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１５

６．７用戶數(shù)據(jù)完整性保護(hù)功能!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

６．８用戶數(shù)據(jù)保密性保護(hù)功能!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１８

６．９可信路徑功能!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２０

６．１０抗抵賴功能!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２０

６．１１網(wǎng)絡(luò)安全監(jiān)控功能!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２１

７網(wǎng)絡(luò)安全技術(shù)分級要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２２

７．１第一級：用戶自主保護(hù)級!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２２

７．１．１第一級安全功能要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２２

７．１．２第一級安全保證要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２３

７．２第二級：系統(tǒng)審計保護(hù)級!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２４

７．２．１第二級安全功能要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２４

７．２．２第二級安全保證要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２５

７．３第三級：安全標(biāo)記保護(hù)級!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２６

７．３．１第三級安全功能要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２６

７．３．２第三級安全保證要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２９

７．４第四級：結(jié)構(gòu)化保護(hù)級!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３０

７．４．１第四級安全功能要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３０

７．４．２第四級安全保證要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３３

７．５第五級：訪問驗證保護(hù)級!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３４

７．５．１第五級安全功能要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３４

７．５．２第五級安全保證要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３７

附錄Ａ（資料性附錄）標(biāo)準(zhǔn)概念說明!!!!!!!!!!!!!!!!!!!!!!!!!!３９

Ａ．１組成與相互關(guān)系!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３９

Ⅱ

犌犅／犜２０２７０—２００６

Ａ．２關(guān)于網(wǎng)絡(luò)各層協(xié)議主要功能的說明!!!!!!!!!!!!!!!!!!!!!!!!３９

Ａ．３關(guān)于安全保護(hù)等級劃分!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４０

Ａ．４關(guān)于主體和客體!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４０

Ａ．５關(guān)于ＳＳＯＮ、ＳＳＦ、ＳＳＰ、ＳＦＰ及其相互關(guān)系!!!!!!!!!!!!!!!!!!!!!４０

Ａ．６關(guān)于數(shù)據(jù)流控制!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４１

Ａ．７關(guān)于密碼技術(shù)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４１

Ａ．８關(guān)于安全網(wǎng)絡(luò)的建設(shè)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４１

參考文獻(xiàn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４２

Ⅲ

犌犅／犜２０２７０—２００６

前言

本標(biāo)準(zhǔn)的附錄Ａ是資料性附錄。

本標(biāo)準(zhǔn)由全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會提出并歸口。

本標(biāo)準(zhǔn)起草單位：北京思源新創(chuàng)信息安全資訊有限公司，江南計算技術(shù)研究所技術(shù)服務(wù)中心。

本標(biāo)準(zhǔn)主要起草人：吉增瑞、劉廣明、王志強、陳冠直、景乾元、宋健平。

Ⅴ

犌犅／犜２０２７０—２００６

引言

本標(biāo)準(zhǔn)用以指導(dǎo)設(shè)計者如何設(shè)計和實現(xiàn)具有所需要的安全保護(hù)等級的網(wǎng)絡(luò)系統(tǒng)，主要說明為實現(xiàn)

ＧＢ１７８５９—１９９９中每一個安全保護(hù)等級的安全要求，網(wǎng)絡(luò)系統(tǒng)應(yīng)采取的安全技術(shù)措施，以及各安全技

術(shù)要求在不同安全保護(hù)等級中的具體差異。

網(wǎng)絡(luò)是一個具有復(fù)雜結(jié)構(gòu)、由許多網(wǎng)絡(luò)設(shè)備組成的系統(tǒng)，不同的網(wǎng)絡(luò)環(huán)境又會有不同的系統(tǒng)結(jié)構(gòu)。

然而，從網(wǎng)絡(luò)系統(tǒng)所實現(xiàn)的功能來看，可以概括為“實現(xiàn)網(wǎng)上信息交換”。網(wǎng)上信息交換具體可以分解為

信息的發(fā)送、信息的傳輸和信息的接收。從信息安全的角度，網(wǎng)絡(luò)信息安全可以概括為“保障網(wǎng)上信息

交換的安全”，具體表現(xiàn)為信息發(fā)送的安全、信息傳輸?shù)陌踩托畔⒔邮盏陌踩?，以及網(wǎng)上信息交換的抗

抵賴等。網(wǎng)上信息交換是通過確定的網(wǎng)絡(luò)協(xié)議實現(xiàn)的，不同的網(wǎng)絡(luò)會有不同的協(xié)議。任何網(wǎng)絡(luò)設(shè)備都

是為實現(xiàn)確定的網(wǎng)絡(luò)協(xié)議而設(shè)置的。典型的、具有代表性的網(wǎng)絡(luò)協(xié)議是國際標(biāo)準(zhǔn)化組織的開放系統(tǒng)互

連協(xié)議（ＩＳＯ／ＯＳＩ），也稱七層協(xié)議。雖然很少有完全按照七層協(xié)議構(gòu)建的網(wǎng)絡(luò)系統(tǒng)，但是七層協(xié)議的理

論價值和指導(dǎo)作用是任何網(wǎng)絡(luò)協(xié)議所不可替代的。網(wǎng)絡(luò)安全需要通過協(xié)議安全來實現(xiàn)。通過對七層協(xié)

議每一層安全的描述，可以實現(xiàn)對網(wǎng)絡(luò)安全的完整描述。網(wǎng)絡(luò)協(xié)議的安全需要由組成網(wǎng)絡(luò)系統(tǒng)的設(shè)備

來保障。因此，對七層協(xié)議的安全要求自然包括對網(wǎng)絡(luò)設(shè)備的安全要求。

信息安全是與信息系統(tǒng)所實現(xiàn)的功能密切相關(guān)的，網(wǎng)絡(luò)安全也不例外。網(wǎng)絡(luò)各層協(xié)議的安全與其

在每一層所實現(xiàn)的功能密切相關(guān)。附錄Ａ中Ａ．２關(guān)于網(wǎng)絡(luò)各層協(xié)議主要功能的說明，對物理層、鏈路

層、網(wǎng)絡(luò)層、傳輸層、會話層、表示層、應(yīng)用層等各層的功能進(jìn)行了簡要描述，是確定網(wǎng)絡(luò)各層安全功能要

求的主要依據(jù)。

本標(biāo)準(zhǔn)以ＧＢ／Ｔ２０２７１—２００６關(guān)于信息系統(tǒng)安全等級保護(hù)的通用技術(shù)要求為基礎(chǔ)，圍繞以訪問控

制為核心的思想進(jìn)行編寫，在對網(wǎng)絡(luò)安全的組成與相互關(guān)系進(jìn)行簡要說明的基礎(chǔ)上，第５章對網(wǎng)絡(luò)安全

功能基本技術(shù)分別進(jìn)行了說明，第６章是對第５章網(wǎng)絡(luò)安全功能的分級分層情況的描述。在此基礎(chǔ)上，

本標(biāo)準(zhǔn)的第７章對網(wǎng)絡(luò)安全技術(shù)的分等級要求分別從安全功能技術(shù)要求和安全保證技術(shù)要求兩方面進(jìn)

行了詳細(xì)說明。在第７章的描述中除了引用以前各章的內(nèi)容外，還引用了ＧＢ／Ｔ２０２７１—２００６中關(guān)于

安全保證技術(shù)要求的內(nèi)容。由于