犐犆犛３５．０４０

犃９０

中華人民共和國公共安全行業標準

犌犃／犜６８１—２００７

信息安全技術網關安全技術要求

犐狀犳狅狉犿犪狋犻狅狀狊犲犮狌狉犻狋狔狋犲犮犺狀狅犾狅犵狔—犜犲犮犺狀犻犮犪犾狉犲狇狌犻狉犲犿犲狀狋狊狅犳犵犪狋犲狑犪狔

２００７０３２０發布２００７０５０１實施

中華人民共和國公安部發布

書

犌犃／犜６８１—２００７

目次

前言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅰ

引言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅱ

１范圍!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

２規范性引用文件!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

３術語和定義!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

４網關的一般說明!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

４．１概述!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

４．２安全環境!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

５安全功能要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５．１標識和鑒別!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５．２審計!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．３通信抗抵賴!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

５．４標記!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

５．５自主訪問控制!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

５．６強制訪問控制!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

５．７數據存儲保護!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

５．８數據傳輸保護!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

５．９數據完整性保護!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

５．１０剩余信息保護!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

５．１１隱蔽信道分析!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

５．１２用戶與網關間的可信路徑!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

５．１３密碼支持!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

６安全保證技術要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

６．１網關安全功能自身安全保護!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

６．２網關安全設施設計和實現!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

６．３網關安全管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

７網關安全保護等級劃分!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１８

７．１第一級用戶自主保護級!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１８

７．２第二級系統審計保護級!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２０

７．３第三級安全標記保護級!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２２

７．４第四級結構化保護級!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２５

７．５第五級訪問驗證保護級!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２８

附錄Ａ（資料性附錄）標準概念說明!!!!!!!!!!!!!!!!!!!!!!!!!!３１

Ａ．１組成與相互關系!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３１

Ａ．２網關安全等級的劃分!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３１

Ａ．３關于網關中的主體與客體!!!!!!!!!!!!!!!!!!!!!!!!!!!!３３

Ａ．４關于網關中的ＴＣＢ、網關安全功能和網關安全功能策略!!!!!!!!!!!!!!!３３

Ａ．５關于密碼技術和數據加密!!!!!!!!!!!!!!!!!!!!!!!!!!!!３３

參考文獻!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３４

書

犌犃／犜６８１—２００７

前言

本標準從信息技術方面詳細規定了各安全保護級別的網關系統所應具有的安全功能要求和安全保

證要求。

本標準的附錄Ａ為資料性附錄。

本標準由公安部公共信息網絡安全監察局提出。

本標準由公安部信息系統安全標準化技術委員會歸口。

本標準起草單位：中國科學院研究生院信息安全國家重點實驗室。

本標準主要起草人：荊繼武、馮登國、夏魯寧、王瓊霄、許良玉、聶曉峰、黃敏、高能、林瞡鏘、呂欣、

廖洪鑾。

Ⅰ

犌犃／犜６８１—２００７

引言

本標準用以指導設計者如何設計和實現具有所需安全等級的網關產品，主要從對網關的安全保護

等級進行劃分的角度來說明其技術要求，即主要說明為實現ＧＢ１７８５９—１９９９中每一個安全保護等級

的安全要求對網關應采取的安全技術措施，以及各安全技術要求在不同安全保護等級中的具體差異。

本標準按ＧＢ１７８５９—１９９９五個安全保護等級的劃分，對每一個安全保護等級的安全功能技術要

求和安全保證技術要求做了詳細描述。文中每一級別比上一級別新增的要求以加粗字表示。

Ⅱ

犌犃／犜６８１—２００７

信息安全技術網關安全技術要求

１范圍

本標準規定了按ＧＢ１７８５９—１９９９對網關進行安全等級保護劃分所需要的詳細技術要求。

本標準適用于按ＧＢ１７８５９—１９９９的要求所進行的網關的設計和實現。按ＧＢ１７８５９—１９９９的要

求對網關進行的測試、配置也可參照使用。

２規范性引用文件

下列文件中的條款通過本標準的引用而成為本標準的條款。凡是注日期的引用文件，其隨后所有

的修改單（不包括勘誤的內容）或修訂版均不適用于本標準，然而，鼓勵根據本標準達成協議的各方研究

是否可使用這些文件的最新版本。凡是不注日期的引用文件，其最新版本適用于本標準。

ＧＢ１７８５９—