路径: 主页 > MISC > 第84页 > GA/T 686-2007 | 标准编号 | GA/T 686-2007 (GA/T686-2007) | | 中文名称 | 信息安全技术 虚拟专用网安全技术要求 | | 英文名称 | Information security technology--Technical requirements of virtual private network security | | 行业 | 公安行业标准 (推荐) | | 中标分类 | A90 | | 国际标准分类 | 35.040 | | 字数估计 | 41,435 | | 发布日期 | 2007-03-20 | | 实施日期 | 2007-05-01 | | 引用标准 | GB 17859-1999; GB/T 18336.1-2001 | | 发布机构 | 公安部 | | 范围 | 本标准规定了GB 17859-1999对虚拟专用网进行安全等级保护划分所需要的详细技术要求。本标准适用于按GB 17859-1999的安全等级保护要求所进行的虚拟专用网的设计和实现。按GB 17859-1999安全等级保护的要求对虚拟专用网进行的测试、管理也可参照使用。 | GA/T 686-2007
Information security technology--Technical requirements of virtual private network security
ICS ３５．０４０
A９０
中华人民共和国公共安全行业标准
GA／T６８６-２００７
信息安全技术
虚拟专用网安全技术要求
２００７-０３-２０发布
２００７-０５-０１实施
中华人民共和国公安部 发 布
目次
前言 Ⅴ
引言 Ⅵ
１ 范围 １
２ 规范性引用文件 １
３ 术语、定义和缩略语 １
４ ＶＰＮ的一般说明 ２
４．１ 概述 ２
４．２ 安全环境 ２
４．２．１ 安全威胁 ２
４．２．２ 安全应用假设 ３
５ 安全功能技术要求 ３
５．１ 标识和鉴别 ３
５．１．１ 用户标识 ３
５．１．２ 用户鉴别 ３
５．１．３ 鉴别失败处理 ４
５．１．４ 用户-主体绑定 ４
５．２ 安全审计 ４
５．２．１ 安全审计的响应 ４
５．２．２ 安全审计数据产生 ４
５．２．３ 安全审计分析 ５
５．２．４ 安全审计查阅 ５
５．２．５ 安全审计事件存储 ５
５．２．６ 网络环境安全审计与评估 ５
５．３ 通信抗抵赖 ６
５．３．１ 抗原发抵赖 ６
５．３．２ 抗接收抵赖 ６
５．４ 标记 ６
５．５ 自主访问控制 ７
５．６ 强制访问控制 ７
５．７ 用户数据存储保护 ７
５．８ 用户数据传输保护 ７
５．８．１ ＶＰＮ内数据传输保护 ７
５．８．２ ＶＰＮ向公用网络输出数据的保护 ７
５．８．３ 公用网络向ＶＰＮ输入数据的保护 ８
５．９ 用户数据完整性保护 ８
５．９．１ 存储数据的完整性 ８
５．９．２ 传输数据的完整性 ８
５．９．３ 处理数据的完整性 ８
GA／T６８６-２００７
５．１０ 剩余信息保护 ８
５．１１ 隐蔽信道分析 ８
５．１１．１ 一般性的隐蔽信道分析 ８
５．１１．２ 系统化的隐蔽信道分析 ９
５．１１．３ 彻底化的隐蔽信道分析 ９
５．１２ 可信路径 ９
５．１３ 密码支持 ９
６ 安全保证技术要求 ９
６．１ ＶＰＮ安全功能自身安全保护 ９
６．１．１ 安全运行测试 ９
６．１．２ 失败保护 ９
６．１．３ 输出ＶＰＮ安全功能数据的可用性 ９
６．１．４ 输出ＶＰＮ安全功能数据的保密性 １０
６．１．５ 输出ＶＰＮ安全功能数据的完整性 １０
６．１．６ ＶＰＮ内ＶＰＮ安全功能数据传输 １０
６．１．７ 物理安全保护 １０
６．１．８ 可信恢复 １０
６．１．９ 重放检测 １１
６．１．１０ 参照仲裁 １１
６．１．１１ 域分离 １１
６．１．１２ 状态同步协议 １１
６．１．１３ 时间戳 １１
６．１．１４ 数据一致性 １１
６．１．１５ 安全功能检测 １１
６．１．１６ 资源利用 １１
６．１．１７ ＶＰＮ安全设施访问控制 １２
６．１．１８ 可信路径／信道 １２
６．２ ＶＰＮ设计和实现 １３
６．２．１ 配置管理 １３
６．２．２ 分发和操作 １４
６．２．３ 开发 １４
６．２．４ 指导性文档 １６
６．２．５ 生命周期支持 １６
６．２．６ 测试 １７
６．２．７ 脆弱性评定 １８
６．３ ＶＰＮ安全设施安全管理 １９
６．３．１ 功能管理 １９
６．３．２ 安全属性的管理 １９
６．３．３ ＶＰＮ安全功能数据的管理 １９
６．３．４ 安全角色管理 １９
６．３．５ 时限授权 ２０
６．３．６ 撤销 ２０
７ ＶＰＮ安全保护等级划分要求 ２０
GA／T６８６-２００７
７．１ 第一级：用户自主保护级 ２０
７．１．１ 安全功能技术要求 ２０
７．１．２ 安全保证技术要求 ２０
７．２ 第二级：系统审计保护级 ２１
７．２．１ 安全功能技术要求 ２１
７．２．２ 安全保证技术要求 ２２
７．３ 第三级：安全标记保护级 ２３
７．３．１ 安全功能技术要求 ２３
７．３．２ 安全保证技术要求 ２４
７．４ 第四级：结构化保护级 ２５
７．４．１ 安全功能技术要求 ２５
７．４．２ 安全保证技术要求 ２６
７．５ 第五级：访问验证保护级 ２８
７．５．１ 安全功能技术要求 ２８
７．５．２ 安全保证技术要求 ２９
附录Ａ（资料性附录） 标准概念说明 ３１
Ａ．１ 组成与相互关系 ３１
Ａ．２ ＶＰＮ安全等级的划分 ３１
Ａ．３ 关于ＶＰＮ中的主体与客体 ３３
Ａ．４ 关于ＶＰＮ中的安全设施、安全功能和安全功能策略 ３３
Ａ．５ 关于密码技术 ３４
参考文献 ３５
GA／T６８６-２００７
前言
本标准从信息技术方面详细规定了各安全保护级别的ＶＰＮ系统所应具有的安全功能要求和安全
保证要求。
本标准的附录Ａ为资料性附录。
本标准由公安部公共信息网络安全监察局提出。
本标准由公安部信息系统安全标准化技术委员会归口。
本标准起草单位：中国科学院研究生院信息安全国家重点实验室。
本标准主要起草人：荆继武、冯登国、夏鲁宁、聂晓峰、黄敏、王琼霄、许良玉、高能、林瞡锵、吕欣、
廖洪銮。
GA／T６８６-２００７
引 言
本标准用以指导设计者如何设计和实现具有所需要的安全等级的虚拟专用网产品，主要从对虚拟
专用网的安全保护等级进行划分的角度来说明其技术要求，即主要说明为实现GB １７８５９-１９９９中每
一个安全保护等级的安全要求对虚拟专用网应采取的安全技术措施，以及各安全技术要求在不同安全
保护等级中具体实现上的差异。
本标准对虚拟专用网系统安全等级保护所涉及的安全功能技术要求和安全保证技术要求做了比较
全面的描述，按GB １７８５９-１９９９五个安全保护等级的划分，对每一个安全保护等级的安全功能技术要
求和安全保证技术要求做了详细描述。文中每一级别比上一级别新增的要求以加粗字表示。
GA／T６８６-２００７
信息安全技术
虚拟专用网安全技术要求
１ 范围
本标准规定了按GB １７８５９-１９９９对虚拟专用网进行安全等级保护划分所需要的详细技术要求。
本标准适用于按GB １７８５９-１９９９的安全等级保护要求所进行的虚拟专用网的设计和实现。按
GB １７８５９-１９９９安全等级保护的要求对虚拟专用网进行的测试、管理也可参照使用。
２ 规范性引用文件
下列文件中的条款通过本标准的引用而成为本标准的条款。凡是标注日期的引用文件，其随后所
有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研
究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本标准。
GB １７８５９-１９９９ 计算机信息系统 安全保护等级划分准则
GB/T １８３３６．１-２００１ 信息技术 安全技术 信息技术安全性评估准则 第１部分：简介和一般
模型
３ 术语、定义和缩略语
３．１ 术语和定义
GB １７８５９-１９９９和GB/T １８３３６．１-２００１确立的以及下列术语、定义适用于本标准。
３．１．１
虚拟专用网，又称虚拟私人网络。ＶＰＮ是一门网络技术，它为我们提供了一种像使用安全专用网
络一样使用公用网络（例如互联网）的能力。在公共的、不可信的通信基础设施上，ＶＰＮ通过设备间建
立安全通信通道来保护两个通信实体间传送的数据的安全。安全通信通道通过使用加密、数字签名、鉴
别、认证和访问控制等安全机制建立。安全通信通道可以建立在局域网、城域网、私有广域网和公用广
域网（例如互联网）之上。
３．１．２
在ＶＰＮ中，ＶＰＮ安全设施是ＶＰＮ中保护装置的总称，包括硬件、固件、软件和负责执行安全策略
的组合体。它建立一个基本的保护环境，并提供ＶＰＮ所要求的附加服务。ＶＰＮ中，ＶＰＮ安全设施是
一个物理上分散，逻辑上统一的分布式安全设施。
３．１．３
对ＶＰＮ安全设施......
|