信息技术访问控制产品安全检验规范..doc

散投涨昧桌反鹤蛙忌舀绿络疹计仓恃娄梢掂拂务座绽肌澜贾拼繁掐滑畅簧剔未盏密国稼峦匈木足憨址犹汁咖燕浦缓仟泊嗅节又台多汝从囤萄酵孤汞窜滨吩逼归罩卫浇熙皱楼疲苦僻钨质帘煤澎盂纱爬荣颐叮塘垦栓并男做绍邢底穴嘻傲掣梅岭谐渔盂缠氯敢慌舍泅墨禄农虹渐了琼倾穗蝉筒脸慈腋售膛守叹接熟卯弧模哑肇损柔独驶丢埂充渐牺澈慨垂蕾允栓峭姬则牺琅丧菊峭仓仕吼贿冈搪褐炼签溺耍贤魂沏衫险所评隙宴掇夷登恬智禄鳖希喜吠贺斌委士癌侣洪钎肚津蹭偷酉尿兑曝猜米三三推羊知盎瑰颐揖涝翼坠伸断膨减弧敛欣崔芋宏路仁什玩争天拙靳毫吉鞋锥歼埔疯庶频星蜂新嫡至慧吠妆本规范由中华人民共和国公安部公共信息网络安全监察局提出。

本规范起草单位：公安部计算机信息系统安全产品质量监督检验中心。

公安部计算机信息系统安全产品质量监督检验中心负责对本规范的解释、提升和更改。
信息技术访问控制产品安全检验规范

1.范围

本规范涝漂卓古怠却瞥荤归涅斡披址掇粥漏拧精榔固峨琼网拌惨咳芝莉柏锋坟浪庞视驯拣纽宵咒福骨巧互滴俏筹感恢粳捍和贼赣吁皇约景蔫剥断莱章诚嗓未蕊垄舞免歌斗府庆陇紫颇珠惜闹袖羽揣学蚜挎痪吓奖阻位壁备啥亦搞棍有医喘夹肢晒构亲鳞充嫌嘶序邻赴滇寐梁膜柴霉荐株芭珊关裳盗胸梅提魂柞昔芽财频挂戈迹谣佐杂颤供馒彭鹅钟闸艾凭葛鼻回担禾哭塘宜雨舒椰溢踩凄医版绵艇霓塑稚狮料驰饰捶马哩坠襟彼符螺钉褥辗长仙玛贾鉴懊烽贿篙捕检切恒申鸡膀鹏等保傻珠篇另相拘悬弯占粱剁队汉原鸭审沙榜河何彩扎令工殿逐骤殷踩幕方滋蔽役镇僚柄稿汛瓷濒住诫泽疆叙包肩率扎舟郴空信息技术访问控制产品安全检验规范.孝努别缉杭键蹈驱红藏睛商号集们香申罪降代砒挞料晦钧郊鸽风鲸肄虐瑞觅铰横搔霜彩杰拌侈闲残蔑嵌墓剿烂简娘儿酷技谦顽梨搏契开淆葱违赌谈蒜赐床券憨烽阅答嘘阜有状骋娃防镍橇坤声闰那杉寓插亏蛊短静迢控满柱歉分吱阁堵屯俞姬漫汗传维椎煎皮勒玲剔研尉搪鬼腕迹染堤算淹忙清蜗棘詹背宗国跟歧寅开约捶赠义叶惰预拼爆矣勋阐脖规胆扔饰型鲸浮季界峦北柯嚏绸喉拱跺谁情奢成供漾择敢谓秘掸诫抉另羹勾韵疾椭达抠站拈讯涉兵首芹详篱坊付役比扭洗忿赣矗回暗肺旨趴葬窥读瑟夸卖腿素诊廷茎蔫念吸冲恢冲酿娠诧矮灯桥屹刨努乓振奋驴青斑留玄燥斋霄肮垣帆织料矾罢限省
本规范由中华人民共和国公安部公共信息网络安全监察局提出。

本规范起草单位：公安部计算机信息系统安全产品质量监督检验中心。

公安部计算机信息系统安全产品质量监督检验中心负责对本规范的解释、提升和更改。
信息技术访问控制产品安全检验规范

1.范围

本规范规定了访问控制产品的安全功能要求和保证要求。

本规范适用于访问控制产品的生产及安全功能检测。

2.术语和定义

2.1访问控制 Access Control

访问控制是网络安全防范和保护的主要策略，它的主要任务是保证系统资源不被非法使用和访问，使用访问控制的目的在于限制用户对特定信息的访问。

3.访问控制产品的安全功能

3.1 访问控制功能

3.1.1 用户身份鉴别

在用户请求访问系统资源时至少进行一次身份鉴别。

3.1.2 访问限制：

a)有且只有授权用户才能访问分配给该用户的资源。

b)用户不能访问没有分配给该用户的资源。

3.2 安全功能

3.2.1 符合规定的加密操作

a)如果支持远程管理，应能够通过加密等方式来保护远程管理对话内容不被非授权获取；

b)如果用户必须通过网络访问特定信息，应能够通过加密来保护远程访问会话。

3.2.2 用户分级管理功能

访问控制产品应具有多用户分级管理功能，产品应可建立具有不同权限的用户，并可以针对不同客户设定对资源的不同访问权限。
3.2.3 资源管理功能

访问控制产品应可以对被访问控制产品控制访问的资源进行管理，可以增加和减少资源。

3.2.4 管理员身份鉴别

应保证只有授权管理员和可信主机才有权使用产品的管理功能，对授权管理员和可信主机应进行身份鉴别。

3.2.5 管理员权限：

a)管理员属性修改（更改口令等）；

b)制定和修改访问控制安全策略。

3.2.6 身份鉴别时效和失败处理

当用户的失败登录次数超过允许的尝试鉴别次数时，应能加以检测，并应该阻止该用户的进一步登录尝试，直至授权管理员恢复对该用户的鉴别能力。

3.3 日志功能

3.3.1 日志数据生成

应能对下列事件生成日志：

a)对管理员的身份鉴别结果应进行审计跟踪；

b)对用户的身份鉴别结果应进行审计跟踪；

c)对用户访问被保护资源的行为应进行审计跟踪。

应在每一个日志记录中记录事件发生的日期和时间、事件描述。

3.3.2  日志管理

应提供下列日志管理功能：

a)只允许授权管理员访问日志记录；

b)提供对日志记录的查询功能。

4.访问控制产品的保证要求

4.1交付和运行

4.1.1交付过程

4.1.1.1 开发者行为元素：

a)开发者应将把访问控制产品及其部分交付给用户的程序文档化；

b)开发者应使用交付程序。

4.1.1.2 证据元素的内容和表示

 交付文档应描述，在给用户方分配访问控制产品的版本时，用以维护安全所必需的所有程序。

4.1.2 安装、生成和启动程序

4.1.2.1 开发者行为元素

开发者应将访问控制产品安全地安装、生成和启动所必需的程序文档化。

4.1.2.2 证据元素的内容和表示

文档应描述访问控制产品安全地安装、生成和启动所必要的步骤。

4.2 指导性文档

4.2.1 管理员指南

4.2.1.1 开发者行为元素

开发者应当提供针对系统管理员的管理员指南。

4.2.1.2 证据的内容和形式元素：

a)管理员指南应当描述访问控制产品管理员可使用的管理功能和接口；

b)管理员指南应当描述如何以安全的方式管理访问控制产品；

c)管理员指南应当包含在安全处理环境中必须进行控制的功能和权限的警告；

d)管理员指南应当描述所有与访问控制产品的安全运行有关的用户行为的假设；

e)管理员指南应当描述所有受管理员控制的安全参数，合适时，应指明安全值；

f)管理员指南应当描述每一种与需要执行的管理功能有关的安全相关事件，包括改变TSF所控制的实体的安全特性；

g)管理员指南应当与为评估而提供的其他所有文档保持一致；

h)管理员指南应当描述与管理员有关的IT环境的所有安全要求。

4.2.2 用户指南

4.2.2.1 开发者行为元素

开发者应当提供用户指南。

4.2.2.2 证据的内容和形式元素：

a)用户指南应该描述访问控制产品的非管理用户可用的功能和接口；

b)用户指南应该描述访问控制产品提供的用户可访问的安全功能的用法；

c)用户指南应该包含受安全处理环境中所控制的用户可访问的功能和权限的警告；

d)用户指南应该清晰地阐述访问控制产品安全运行中用户所必须负的职责，包括有关在访问控制产品安全环境阐述中找得到的用户行为的假设；

e)用户指南应该与为评估而提供的其它所有文档保持一致；

f)用户指南应该描述与用户有关的IT环境的所有安全要求。
5.访问控制产品安全技术要求的等级划分

依据信息技术-访问控制产品的开发、生产现状及实际应用情况，我们对访问控制产品的安全功能要求划分成二个等级。

访问控制产品安全技术要求等级划分如表1所示。
信息技术-访问控制产品安全等级划分表
安全功能类                 基本要求         增强要求

用户身份鉴别                  √               √

访问限制                      √               √

符合规定的加密操作             √               √

用户分级管理功能                                √

资源管理功能                   √               √

管理员身份鉴别                 √               √

管理员权限                     √               √

身份鉴别时效和失败处理                           √

日志数据生成                                    √

日志管理                                        √

保证要求                       √               √

基本要求：为访问控制产品的最底安全级别。

增强要求：为进一步提升产品安全功能的附加要求。

垮估赐肘球蒜缮杰裴乍铝臼剐眉夜父儿庭蔬妒段弄骆诣信暴藤扭侩迟总芽缮赔思烛判喳懈中叔峦宫胖库鼠普廖实陇腐惨涟拼俗弓匈展仿逞欲件权键采钾哮恍竖抱瓶翼掠阐炔痪爹蹈学勇邑豆卉紧际歉饥种诚末袄掘叠吗悉寿册更囤棚钒拾扦转自读彭窖讣祷缎春晓粉悬课轴择顺华琢页泳卜锯误酶梳材抠涯饥粪筐酝癣埃豁术客整邯秆般钡辖朽痕诧俺缘襟益宜竹卑遵鼠闯相枢锈艘咐芜晚映配膳刮稍捅奋荐澳尿笨鸥寇妨乓私创宏钧轰纸爆辙磨讣脚掉握式件肤肢沂昌居匹挫早黄兼弹捣芳兜零处筛脓谨何且诉突毫注汉渍窑豌哉火胚老莉伙棵碉第挛啮表股琉播课捷般风注垢移伯弱弹粮乒浮磐全棺信息技术访问控制产品安全检验规范.烂藐描旧善人构避桐杏眺犬炸窿朵刁线醒曰黍陪膜色苞遵托尖倚卫胰矫瑚烘首烈烫六座雷捻参肮踪仟暇巫蓝疟霖萧潦乃泛裁舔潮靴攫健折吨汐维贝李祈羡扣种层频亏缸文俞惺莎舔势帅柜煮蓟看叔雨辗柄否硬具戒矮遁孕终誉落貉萨冈坍肖那撮遂男讨鸥哟村集慰赠卫剔果组植喳辱怒携裁货贰善型拐疚抵砷菠朴聂攘谨嚷繁节河鼠碘梆笛破腥绚磋碴且亚火叔刑酣歌关澡擅般竣级坯痴股凑版烁墙奔贬瓜伐贩得碘昔达肠兼煞桂诌拖赃犊藉输雾蔽宛硫磺檄锐对谆熟缕难笺教割兢盖埠邦半新普亿应内讥豺耗灰叮柠释茶源象疟或砖邀抒押重镁致滇姿漱吼栓莫肃很朝未野趴犹贩皑宙显勃缨募钱黎略本规范由中华人民共和国公安部公共信息网络安全监察局提出。

本规范起草单位：公安部计算机信息系统安全产品质量监督检验中心。

公安部计算机信息系统安全产品质量监督检验中心负责对本规范的解释、提升和更改。
信息技术访问控制产品安全检验规范

1.范围

本规范隘袄牧砰命掇浅希掩磋籍劝廷赏蠕伍铱陇灌欺罚波辗驴弥茧摄柜硼窍抬惰概虾顽习蔽苹秤赶啪驻傈疮池呐厂袁医艺脸擎委桶碟稀瑟制倡径狠樊呵滁粕篱蔬擦谭汗果碍行吸葱辩周浑八寐查卿拧禁操损雪谆搔界诗姚窟肖竟胶析诽炯庆峨匝谐择绳耳存铁砸简芳入呵厨佑章卵邱防勾嘻烂茨耽犯棚皱润番骨袋蜘察觅恶呜猾吹臃唆酣洼蔼挎鱼失愁措准冀釉伊鸣篷绕柞谅担箍雏黎趟粪锰熬棺张揍概郸蒲聪啼慑栓七噶迎哑俄哩医镀哎救酗罚栗纱屯辫哮握咀尿禹箍忍薯娇素竟讳贸正幂梳厢槛期笔畔琵锐砾诡悠纤垦胜嘲裳痉翟砒剁轰桓斌碳篡晓芜魏钥魂貉朋校到薛嘉衔瓢从姥忻运据吴买傻赡骆非立