TAF-WG9-AS0038-V1.0.0-2019網(wǎng)絡關鍵設備安全技術要求交換機設備

電信終端產(chǎn)業(yè)協(xié)會標準電信終端產(chǎn)業(yè)協(xié)會發(fā)布I言 II 2規(guī)范性引用文件 13術語和定義 13.1交換機switch 13.2惡意程序malware 13.3預裝軟件presetsoftware 13.4故障隔離faultisolation 14安全技術要求 14.1標識安全 2用性 24.3漏洞與缺陷管理安全 24.4軟件更新安全 24.5默認狀態(tài)安全 34.6抵御常見攻擊能力 34.7身份標識與鑒別 34.8訪問控制安全 44.9日志審計安全 44.10通信安全 44.11數(shù)據(jù)安全 5 參考文獻 8前言《網(wǎng)絡關鍵設備安全技術要求路由器設備》等共同構成支撐網(wǎng)絡關鍵設備安全檢測工作的系列團體標本標準對交換機設備提出安全技術要求。對列入網(wǎng)絡關鍵設備目錄的交換機，除滿足本標準要求，TAFWGASV網(wǎng)絡關鍵設備安全技術要求通用要求》。本標準/本部分由電信終端產(chǎn)業(yè)協(xié)會(TAF)提出并歸口。引言按照《中華人民共和國網(wǎng)絡安全法》(以下稱《網(wǎng)絡安全法》)有關要求，國家互聯(lián)網(wǎng)信息辦公室用產(chǎn)品目錄(第一批)》，對列入目錄的設備和產(chǎn)品，應當按照相關國家標準的強制性要求，由具備資格本規(guī)范對交換機設備提出安全技術要求。對列入網(wǎng)絡關鍵設備目錄的交換機，除滿足本標準要求，TAFWGASV網(wǎng)絡關鍵設備安全技術要求通用要求》。1網(wǎng)絡關鍵設備安全技術要求交換機設備本標準適用于在我國境內(nèi)銷售或提供的交換機設備，也可為網(wǎng)絡運營者采購交換機設備時提供依據(jù)，還適用于指導交換機設備的研發(fā)、測試等工作。2規(guī)范性引用文件凡是不注日期的引用文件，其最新版本(包括所有的修改單)適用于本文件。GB/T25069-2010信息安全技術術語TAF-WG9-AS0029-V1.0.0:2018網(wǎng)絡關鍵設備安全技術要求通用要求3術語和定義GB/T25069-2010中界定的以及下列術語和定義適用于本文件。3.1交換機switch3.2惡意程序malware。3.3預裝軟件presetsoftware3.4故障隔離faultisolation相互獨立的硬件模塊或者部件之間，任一模塊或部件出現(xiàn)故障，不影響其他模塊或部件的正常工作。4安全技術要求24.1標識安全d4.2可用性de故障隔離功能；f)應提供獨立的管理接口，實現(xiàn)設備管理和數(shù)據(jù)轉(zhuǎn)發(fā)的隔離。4.3漏洞與缺陷管理安全b漏洞安全風險；c)第三方組件或部件存在暫未修復的已知漏洞或安全缺陷時，應明確告知用戶風險及防范措施；d)預裝軟件、補丁包/升級包應不包含惡意程序；e)應不存在未向用戶聲明的功能和隱蔽通道。4.4軟件更新安全a)對于更新操作，應僅限于授權用戶可實施，應不支持自動更新；b)對于存在導致設備重啟等影響設備運行安全的實施更新操作應由用戶確認后實施；d)應支持軟件更新包完整性校驗；e)應支持軟件更新包簽名機制，抗抵賴攻擊，簽名應使用安全性較高的算法，如SHA256，避免g)對于采用遠程更新的，應支持非明文通道傳輸更新數(shù)據(jù)；h穩(wěn)定可用的渠道提供軟件更新源。34.5默認狀態(tài)安全a4.6抵御常見攻擊能力c)應支持開啟生成樹協(xié)議等功能，防范廣播風暴攻擊；支持關閉生成樹協(xié)議，或支持啟用RootGuard、BPDUGuard等功能，防范針對生成樹協(xié)議的攻擊；e4.7身份標識與鑒別a)應不存在未向用戶公開的身份鑒別信息；b)應對訪問控制主體進行身份標識和鑒別；c4j。4.8訪問控制安全4.9日志審計安全a)應提供日志記錄功能，對用戶關鍵操作，如增/刪賬戶、修改鑒別信息、修改關鍵配置、開啟/見攻擊行為例如SYNFlood、ICMPFlood、UDPFlood、IPFlood、IP地址掃描、端口掃描、and4.10通信安全a)管理系統(tǒng)(管理用戶)與設備之間的通信信道/路徑應保證數(shù)據(jù)的機密性和完整性；g)IPv4/v6、TCP、UDP、ICMPv4/v6等基礎通信協(xié)議應滿足一定的通信協(xié)議健壯性要求，防范異5h)SNMPv1/v2c/v3、SSHv1/v2、HTTP/HTTPS、FTP、TFTP、NTP、netconf、Openflow等應用層協(xié)i)如果支持路由功能，則OSPFv2/v3、BGP4/4+等路由控制協(xié)議應滿足一定的通信協(xié)議健壯性要4.11數(shù)據(jù)安全b能的，應當向用戶明示并取得同意。6附錄A(規(guī)范性附錄)標準修訂歷史修訂內(nèi)容修訂內(nèi)容意見，修訂標準，形成征求意見稿見，修訂標準，形成送審稿見，修訂標準，形成報批稿修訂后版本號V1.0.0V1.0.1V1.1.0V1.2.0修訂時間10-182018-11-72019-1-102019-4-107附錄B(資料性附錄)用戶信息說明8參考文獻1)ITU-TX.805端到端通信服務安全框架2)GB/T18336-201