[PDF] GB/T 20275-2021 - 自动发货. 英文版
| 标准号码 | 美元 | 购买PDF | 工期 | 标准名称(英文版) |
| GB/T 20275-2021 | 1205 | GB/T 20275-2021 | 9秒内发货PDF | 信息安全技术 网络入侵检测系统技术要求和测试评价方法 |
| 基本信息 | |
|---|---|
| 标准编号 | GB/T 20275-2021 (GB/T20275-2021) |
| 中文名称 | |
| 英文名称 | Information security technology - Technical requirements and testing and evaluation approaches for network-based intrusion detection system |
| 行业 | 国家标准 (推荐) |
| 中标分类 | L80 |
| 字数估计 | 74,780 |
| 发布机构 | 国家市场监督管理总局、中国国家标准化管理委员会 |
GB/T 20275-2021: 信息安全技术 网络入侵检测系统技术要求和测试评价方法
GB/T 20275-2021 英文名称: Information security technology -- Technical requirements and testing and evaluation approaches for network-based intrusion detection system
中华人民共和国国家标准
代替GB/T 20275-2013
信息安全技术 网络入侵检测系统
技术要求和测试评价方法
国 家 市 场 监 督 管 理 总 局
国 家 标 准 化 管 理 委 员 会 发 布
1 范围
本文件规定了网络入侵检测系统的安全技术要求和测试评价方法。
本文件适用于网络入侵检测系统的设计、开发与测评。
2 规范性引用文件
下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中,注日期的引用文
件,仅该日期对应的版本适用于本文件;不注日期的引用文件,其最新版本(包括所有的修改单)适用于
本文件。
6.1.1 要求分类
本文件将网络入侵检测系统安全技术要求分为安全功能、自身安全保护、环境适应性和安全保障要
求四个大类。其中,安全功能要求针对网络入侵检测系统应具备的安全功能提出具体要求,主要包括数
据探测功能要求、入侵分析功能要求、入侵响应功能要求、管理控制功能要求、检测结果处理要求、产品
灵活性要求、性能要求等;自身安全保护要求针对网络入侵检测系统的身份鉴别、管理员管理、安全审
计、数据安全、通信安全、升级安全、运行安全等提出具体要求;环境适应性要求支持纯IPv6网络环境、
IPv6网络环境下自身管理能力和双协议栈等;安全保障要求针对网络入侵检测系统的生命周期过程提
出具体要求,包括开发、指导性文档、生命周期支持、测试和脆弱性评定等。
6.1.2 安全等级
本文件将网络入侵检测系统的安全等级分为基本级和增强级,应符合表1、表2、表3和表4的要
求。安全功能与自身安全保护的强弱、以及安全保障要求的高低是等级划分的具体依据,安全等级突出
安全特性。
6.2.1.6.5 高新建TCP连接速率背景入侵检测能力
百兆系统单口监控每秒新建 TCP连接数≥6万个,千兆系统单口监控每秒新建 TCP连接
数≥10万个,万兆系统单口监控每秒新建TCP连接数≥15万个。支持在IPv6网络环境下工作的系统
的新建TCP连接速率监控能力应满足上述指标。
6.2.2.1.1 管理员鉴别
系统应在管理员执行任何与安全功能相关的操作之前对管理员进行鉴别。
6.2.2.1.2 鉴别信息要求
在采用基于口令的鉴别信息时,系统应对管理员设置的口令进行复杂度检查,确保管理员口令满足
复杂度要求。当存在默认口令时,系统应提示管理员对默认口令进行修改,以减少用户身份被冒用的风
险。系统应提供鉴别信息定期更换功能,当鉴别信息使用时间达到使用期限阈值前,应提示管理员进行
修改。
6.2.2.1.3 鉴别失败的处理
当管理员鉴别尝试失败连续达到指定次数后,系统应阻止管理员进一步的鉴别请求,并将有关信息
生成审计事件。最多失败次数仅由管理员设定。
6.2.2.3.1 审计日志生成
系统应生成以下事件的审计日志:
a) 管理员账户的登录和注销、系统启动、系统升级、重要配置变更、增加/删除/修改管理员、保存/
删除审计日志等;
b) 系统及其模块异常状态的告警。
系统应在每一个审计日志记录中记录事件发生的日期、时间、用户标识、事件描述和结果。若采用
远程登录方式还应记录管理主机的IP地址。
6.2.4.1.1 安全架构
开发者应提供产品安全功能和自身安全保护的安全架构描述,安全架构描述应满足以下要求:
a) 与产品设计文档中对安全功能和自身安全保护实施抽象描述的级别一致;
b) 描述与安全功能和自身安全保护要求一致的产品安全功能和自身安全保护的安全域;
c) 描述产品安全功能和自身安全保护初始化过程为何是安全的;
d) 证实产品安全功能和自身安全保护能够防止被破坏;
e) 证实产品安全功能和自身安全保护能够防止安全特性被旁路。
6.2.4.1.2 功能规范
开发者应提供完备的功能规范说明,功能规范说明应满足以下要求:
a) 完全描述产品的安全功能和自身安全保护;
b) 描述所有安全功能和自身安全保护接口的目的与使用方法;
c) 标识和描述每个安全功能和自身安全保护接口相关的所有参数;
d) 描述安全功能和自身安全保护接口相关的安全功能和自身安全保护实施行为;
e) 描述由安全功能和自身安全保护实施行为处理而引起的直接错误消息;
f) 证实安全功能和自身安全保护要求到安全功能和自身安全保护接口的追溯。
6.2.4.1.3 产品设计
开发者应提供产品设计文档,产品设计文档应满足以下要求:
a) 根据子系统描述产品结构;
b) 标识和描述产品安全功能和自身安全保护的所有子系统;
c) 描述安全功能和自身安全保护所有子系统间的相互作用;
d) 提供的映射关系能够证实设计中描述的所有行为能够映射到调用它的安全功能和自身安全保
护接口。
6.2.4.2.1 操作用户指南
开发者应提供明确和合理的操作用户指南,操作用户指南与为评估而提供的其他所有文档保持一
致,对每一种用户角色的描述应满足以下要求:
a) 描述在安全处理环境中被控制的用户可访问的功能和特权,包含适当的警示信息;
b) 描述如何以安全的方式使用产品提供的可用接口;
c) 描述可用功能和接口,尤其是受用户控制的所有安全参数;
d) 明确说明与需要执行的用户可访问功能有关的每一种安全相关事件,包括改变安全功能和自
身安全保护所控制实体的安全特性;
e) 标识产品运行的所有可能状态(包括操作导致的失败或者操作性错误),以及它们与维持安全
运行之间的因果关系和联系;
f) 充分实现安全目的所执行的安全策略。
6.2.4.2.2 准备程序
开发者应提供产品及其准备程序,准备程序描述应满足以下要求:
a) 描述与开发者交付程序相一致的安全接收所交付产品必需的所有步骤;
b) 描述安全安装产品及其运行环境必需的所有步骤。
6.2.4.3.1 配置管理能力
开发者的配置管理能力应满足以下要求:
a) 为产品的不同版本提供唯一的标识;
b) 使用配置管理系统对组成产品的所有配置项进行维护,并唯一标识配置项;
c) 提供配置管理文档,配置管理文档描述用于唯一标识配置项的方法。
6.2.4.3.2 配置管理范围
开发者应提供产品配置项列表,并说明配置项的开发者。配置项列表至少包含产品、安全保障要求
的评估证据和产品的组成部分。
6.2.4.3.3 交付程序
开发者应使用一定的交付程序交付产品,并将交付过程文档化。在给用户方交付产品的各版本时,
交付文档应描述为维护安全所必需的所有程序。
6.2.4.4.1 测试覆盖
开发者应提供测试覆盖文档,测试覆盖描述应表明测试文档中所标识的测试与功能规范中所描述
的产品的安全功能和自身安全保护间的对应性。
6.2.4.4.2 功能测试
开发者应测试产品安全功能和自身安全保护,将结果文档化并提供测试文档。测试文档应包括以
下内容:
a) 测试计划,标识要执行的测试,并描述执行每个测试的方案,这些方案包括对于其他测试结果
的任何顺序依赖性;
b) 预期的测试结果,表明测试成功后的预期输出;
c) 实际测试结果和预期的测试结果的对比。
6.3.1.7.1 误报率
系统应将误报率控制在15%内,不能对正常使用系统产生较大影响。支持在IPv6网络环境下工
作的系统的误报率应满足上述指标。
6.3.1.7.2 漏报率
系统应将漏报率控制在15%内,不能对正常使用系统产生较大影响。支持在IPv6网络环境下工
作的系统的漏报率应满足上述指标。
6.3.1.7.3 高流量背景入侵检测能力
百兆系统单口监控流量≥90Mbps,千兆系统单口监控流量≥0.9Gbps,万兆系统单口监控流
量≥9Gbps。支持在IPv6网络环境下工作的系统的流量监控能力应满足上述指标。
6.3.1.7.4 高并发连接背景入侵检测能力
百兆系统单口监控并发连接数≥10万个,千兆系统单口监控并发连接数≥100万个,万兆系统单口
监控并发连接数≥150万个。支持在IPv6网络环境下工作的系统的并发连接数监控能力应满足上述
指标。
6.3.1.7.5 高新建TCP连接速率背景入侵检测能力
百兆系统单口监控每秒新建 TCP连接数≥6万个,千兆系统单口监控每秒新建 TCP连接
数≥10万个,万兆系统单口监控每秒新建TCP连接数≥15万个。支持在IPv6网络环境下工作的系统
的新建TCP连接速率监控能力应满足上述指标。
6.3.2.8 支撑系统安全
系统的支撑系统应:
a) 进行必要的裁剪,不提供多余的组件或网络服务;
b) 在重启过程中,安全策略和日志信息不丢失;
c) 不含已知中、高、超危安全漏洞。
6.3.4.1.1 安全架构
开发者应提供产品安全功能和自身安全保护的安全架构描述,安全架构描述应满足以下要求:
a) 与产品设计文档中对安全功能和自身安全保护实施抽象描述的级别一致;
b) 描述与安全功能和自身安全保护要求一致的产品安全功能和自身安全保护的安全域;
c) 描述产品安全功能和自身安全保护初始化过程为何是安全的;
d) 证实产品安全功能和自身安全保护能够防止被破坏;
e) 证实产品安全功能和自身安全保护能够防止安全特性被旁路。
6.3.4.1.2 功能规范
开发者应提供完备的功能规范说明,功能规范说明应满足以下要求:
a) 完全描述产品的安全功能和自身安全保护;
b) 描述所有安全功能和自身安全保护接口的目的与使用方法;
c) 标识和描述每个安全功能和自身安全保护接口相关的所有参数;
d) 描述安全功能和自身安全保护接口相关的安全功能和自身安全保护实施行为;
e) 描述由安全功能和自身安全保护实施行为处理而引起的直接错误消息;
f) 证实安全功能和自身安全保护要求到安全功能和自身安全保护接口的追溯;
g) 描述安全功能和自身安全保护实施过程中,与安全功能和自身安全保护接口相关的所有行为;
h) 描述可能由安全功能和自身安全保护接口的调用而引起的所有直接错误消息。
6.3.4.1.3 实现表示
开发者应提供全部安全功能和自身安全保护的实现表示,实现表示应满足以下要求:
a) 提供产品设计描述与实现表示实例之间的映射,并证明其一致性;
b) 按详细级别定义产品安全功能和自身安全保护,详细程度达到无须进一步设计就能生成安全
功能和自身安全保护的程度;
c) 以开发人员使用的形式提供。
6.3.4.1.4 产品设计
开发者应提供产品设计文档,产品设计文档应满足以下要求:
a) 根据子系统描述产品结构;
b) 标识和描述产品安全功能和自身安全保护的所有子系统;
c) 描述安全功能和自身安全保护所有子系统间的相互作用;
d) 提供的映射关系能够证实设计中描述的所有行为能够映射到调用它的安全功能和自身安全保
护接口;
e) 根据模块描述安全功能和自身安全保护;
f) 提供安全功能和自身安全保护子系统到模块间的映射关系;
g) 描述所有安全功能和自身安全保护实现模块,包括其目的及与其他模块间的相互作用;
h) 描述所有实现模块的安全功能和自身安全保护要求相关接口、其他接口的返回值、与其他模块
间的相互作用及调用的接口;
i) 描述所有安全功能和自身安全保护的支撑或相关模块,包括其目的及与其他模块间的相互
作用。
6.3.4.2.1 操作用户指南
开发者应提供明确和合理的操作用户指南,操作用户指南与为评估而提供的其他所有文档保持一
致,对每一种用户角色的描述应满足以下要求:
a) 描述在安全处理环境中被控制的用户可访问的功能和特权,包含适当的警示信息;
b) 描述如何以安全的方式使用产品提供的可用接口;
c) 描述可用功能和接口,尤其是受用户控制的所有安全参数;
d) 明确说明与需要执行的用户可访问功能有关的每一种安全相关事件,包括改变安全功能和自
身安全保护所控制实体的安全特性;
e) 标识产品运行的所有可能状态(包括操作导致的失败或者操作性错误),以及它们与维持安全
运行之间的因果关系和联系;
f) 充分实现安全目的所执行的安全策略。
6.3.4.2.2 准备程序
开发者应提供产品及其准备程序,准备程序描述应满足以下要求:
a) 描述与开发者交付程序相一致的安全接收所交付产品必需的所有步骤;
b) 描述安全安装产品及其运行环境必需的所有步骤。
6.3.4.3.1 配置管理能力
......
英文网页English: GB/T 20275-2021
相关标准: GB/T 20274.3|GB/T 20274.2|GB/T 20272|GB/T 20274.3|GB/T 20275-2021|GB/T 20275|