犐犆犛３５．０４０

犔８０

中華人民共和國國家標準

犌犅／犜２０２７０—２００６

信息安全技術

網絡基礎安全技術要求

犐狀犳狅狉犿犪狋犻狅狀狊犲犮狌狉犻狋狔狋犲犮犺狀狅犾狅犵狔—

犅犪狊犻狊狊犲犮狌狉犻狋狔狋犲犮犺狀犻狇狌犲狊狉犲狇狌犻狉犲犿犲狀狋犳狅狉狀犲狋狑狅狉犽

２００６０５３１發布２００６１２０１實施

中華人民共和國國家質量監督檢驗檢疫總局

發布

中國國家標準化管理委員會

書

犌犅／犜２０２７０—２００６

目次

前言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅴ

引言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅵ

１范圍!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

２規范性引用文件!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

３術語、定義和縮略語!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

３．１術語和定義!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

３．２縮略語!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

４網絡安全組成與相互關系!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

５網絡安全功能基本要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５．１身份鑒別!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５．１．１用戶標識!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５．１．２用戶鑒別!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５．１．３用戶—主體綁定!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．１．４鑒別失敗處理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．２自主訪問控制!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．２．１訪問控制策略!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．２．２訪問控制功能!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．２．３訪問控制范圍!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．２．４訪問控制粒度!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．３標記!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．３．１主體標記!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．３．２客體標記!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

５．３．３標記完整性!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

５．３．４有標記信息的輸出!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

５．４強制訪問控制!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

５．４．１訪問控制策略!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

５．４．２訪問控制功能!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

５．４．３訪問控制范圍!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

５．４．４訪問控制粒度!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

５．４．５訪問控制環境!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

５．５數據流控制!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

５．６安全審計!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

５．６．１安全審計的響應!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

５．６．２安全審計數據產生!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

５．６．３安全審計分析!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

５．６．４安全審計查閱!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

５．６．５安全審計事件選擇!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

５．６．６安全審計事件存儲!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

Ⅰ

書

犌犅／犜２０２７０—２００６

５．７用戶數據完整性!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

５．７．１存儲數據的完整性!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

５．７．２傳輸數據的完整性!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

５．７．３處理數據的完整性!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

５．８用戶數據保密性!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

５．８．１存儲數據的保密性!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

５．８．２傳輸數據的保密性!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

５．８．３客體安全重用!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

５．９可信路徑!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

５．１０抗抵賴!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

５．１０．１抗原發抵賴!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

５．１０．２抗接收抵賴!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

５．１１網絡安全監控!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

６網絡安全功能分層分級要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

６．１身份鑒別功能!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

６．２自主訪問控制功能!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

６．３標記功能!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１２

６．４強制訪問控制功能!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１３

６．５數據流控制功能!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１４

６．６安全審計功能!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１５

６．７用戶數據完整性保護功能!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

６．８用戶數據保密性保護功能!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１８

６．９可信路徑功能!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２０

６．１０抗抵賴功能!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２０

６．１１網絡安全監控功能!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２１

７網絡安全技術分級要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２２

７．１第一級：用戶自主保護級!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２２

７．１．１第一級安全功能要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２２

７．１．２第一級安全保證要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２３

７．２第二級：系統審計保護級!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２４

７．２．１第二級安全功能要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２４

７．２．２第二級安全保證要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２５

７．３第三級：安全標記保護級!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２６

７．３．１第三級安全功能要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２６

７．３．２第三級安全保證要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２９

７．４第四級：結構化保護級!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３０

７．４．１第四級安全功能要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３０

７．４．２第四級安全保證要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３３

７．５第五級：訪問驗證保護級!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３４

７．５．１第五級安全功能要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３４

７．５．２第五級安全保證要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３７

附錄Ａ（資料性附錄）標準概念說明!!!!!!!!!!!!!!!!!!!!!!!!!!３９

Ａ．１組成與相互關系!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３９

Ⅱ

犌犅／犜２０２７０—２００６

Ａ．２關于網絡各層協議主要功能的說明!!!!!!!!!!!!!!!!!!!!!!!!３９

Ａ．３關于安全保護等級劃分!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４０

Ａ．４關于主體和客體!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４０

Ａ．５關于ＳＳＯＮ、ＳＳＦ、ＳＳＰ、ＳＦＰ及其相互關系!!!!!!!!!!!!!!!!!!!!!４０

Ａ．６關于數據流控制!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４１

Ａ．７關于密碼技術!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４１

Ａ．８關于安全網絡的建設!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４１

參考文獻!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４２

Ⅲ

犌犅／犜２０２７０—２００６

前言

本標準的附錄Ａ是資料性附錄。

本標準由全國信息安全標準化技術委員會提出并歸口。

本標準起草單位：北京思源新創信息安全資訊有限公司，江南計算技術研究所技術服務中心。

本標準主要起草人：吉增瑞、劉廣明、王志強、陳冠直、景乾元、宋健平。

Ⅴ

犌犅／犜２０２７０—２００６

引言

本標準用以指導設計者如何設計和實現具有所需要的安全保護等級的網絡系統，主要說明為實現

ＧＢ１７８５９—１９９９中每一個安全保護等級的安全要求，網絡系統應采取的安全技術措施，以及各安全技

術要求在不同安全保護等級中的具體差異。

網絡是一個具有復雜結構、由許多網絡設備組成的系統，不同的網絡環境又會有不同的系統結構。

然而，從網絡系統所實現的功能來看，可以概括為“實現網上信息交換”。網上信息交換具體可以分解為

信息的發送、信息的傳輸和信息的接收。從信息安全的角度，網絡信息安全可以概括為“保障網上信息

交換的安全”，具體表現為信息發送的安全、信息傳輸的安全和信息接收的安全，以及網上信息交換的抗

抵賴等。網上信息交換是通過確定的網絡協議實現的，不同的網絡會有不同的協議。任何網絡設備都

是為實現確定的網絡協議而設置的。典型的、具有代表性的網絡協議是國際標準化組織的開放系統互

連協議（ＩＳＯ／ＯＳＩ），也稱七層協議。雖然很少有完全按照七層協議構建的網絡系統，但是七層協議的理

論價值和指導作用是任何網絡協議所不可替代的。網絡安全需要通過協議安全來實現。通過對七層協

議每一層安全的描述，可以實現對網絡安全的完整描述。網絡協議的安全需要由組成網絡系統的設備

來保障。因此，對七層協議的安全要求自然包括對網絡設備的安全要求。

信息安全是與信息系統所實現的功能密切相關的，網絡安全也不例外。網絡各層協議的安全與其

在每一層所實現的功能密切相關。附錄Ａ中Ａ．２關于網絡各層協議主要功能的說明，對物理層、鏈路

層、網絡層、傳輸層、會話層、表示層、應用層等各層的功能進行了簡要描述，是確定網絡各層安全功能要

求的主要依據。

本標準以ＧＢ／Ｔ２０２７１—２００６關于信息系統安全等級保護的通用技術要求為基礎，圍繞以訪問控

制為核心的思想進行編寫，在對網絡安全的組成與相互關系進行簡要說明的基礎上，第５章對網絡安全

功能基本技術分別進行了說明，第６章是對第５章網絡安全功能的分級分層情況的描述。在此基礎上，

本標準的第７章對網絡安全技術的分等級要求分別從安全功能技術要求和安全保證技術要求兩方面進

行了詳細說明。在第７章的描述中除了引用以前各章的內容外，還引用了ＧＢ／Ｔ２０２７１—２００６中關于

安全保證技術要求的內容。由于