犐犆犛３５．０４０

犔８０

中華人民共和國國家標準

犌犅／犜２０２７４．２—２００８

信息安全技術

信息系統安全保障評估框架

第２部分：技術保障

犐狀犳狅狉犿犪狋犻狅狀狊犲犮狌狉犻狋狔狋犲犮犺狀狅犾狅犵狔—

犈狏犪犾狌犪狋犻狅狀犳狉犪犿犲狑狅狉犽犳狅狉犻狀犳狅狉犿犪狋犻狅狀狊狔狊狋犲犿狊狊犲犮狌狉犻狋狔犪狊狊狌狉犪狀犮犲—

犘犪狉狋２：犜犲犮犺狀犻犮犪犾犪狊狊狌狉犪狀犮犲

２００８０７１８發布２００８１２０１實施

中華人民共和國國家質量監督檢驗檢疫總局

發布

中國國家標準化管理委員會

書

中華人民共和國

國家標準

信息安全技術

信息系統安全保障評估框架

第２部分：技術保障

ＧＢ／Ｔ２０２７４．２—２００８

中國標準出版社出版發行

北京復興門外三里河北街１６號

郵政編碼：１０００４５

網址ｗｗｗ．ｓｐｃ．ｎｅｔ．ｃｎ

電話：６８５２３９４６６８５１７５４８

中國標準出版社秦皇島印刷廠印刷

各地新華書店經銷

開本８８０×１２３０１／１６印張６．２５字數１８４千字

２００８年１１月第一版２００８年１１月第一次印刷

書號：１５５０６６·１３４９９８

如有印裝差錯由本社發行中心調換

版權專有侵權必究

舉報電話：（０１０）６８５３３５３３

書

犌犅／犜２０２７４．２—２００８

目次

前言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅴ

１范圍!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

２規范性引用文件!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

３術語和定義!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

４本部分的結構!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

５信息安全技術保障!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

５．１安全技術保障概述!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

５．２安全技術體系架構能力級!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

５．３安全技術保障控制要求范例!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

６信息安全技術保障控制結構!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

６．１綜述!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

６．２組件分類!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

７ＦＡＵ類：安全審計!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１０

７．１安全審計自動響應（ＦＡＵ＿ＡＲＰ）!!!!!!!!!!!!!!!!!!!!!!!!!!１１

７．２安全審計數據產生（ＦＡＵ＿ＧＥＮ）!!!!!!!!!!!!!!!!!!!!!!!!!!１１

７．３安全審計分析（ＦＡＵ＿ＳＡＡ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!１２

７．４安全審計查閱（ＦＡＵ＿ＳＡＲ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!１４

７．５安全審計事件選擇（ＦＡＵ＿ＳＥＬ）!!!!!!!!!!!!!!!!!!!!!!!!!!１５

７．６安全審計事件存儲（ＦＡＵ＿ＳＴＧ）!!!!!!!!!!!!!!!!!!!!!!!!!!１５

８ＦＣＯ類：通信!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

８．１原發抗抵賴（ＦＣＯ＿ＮＲＯ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

８．２接收抗抵賴（ＦＣＯ＿ＮＲＲ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１８

９ＦＣＳ類：密碼支持!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１９

９．１密鑰管理（ＦＣＳ＿ＣＫＭ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２０

９．２密碼運算（ＦＣＳ＿ＣＯＰ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２１

１０ＦＤＰ類：用戶數據保護!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２２

１０．１訪問控制策略（ＦＤＰ＿ＡＣＣ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!２４

１０．２訪問控制功能（ＦＤＰ＿ＡＣＦ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!２４

１０．３數據鑒別（ＦＤＰ＿ＤＡＵ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２５

１０．４輸出到ＴＳＦ控制之外（ＦＤＰ＿ＥＴＣ）!!!!!!!!!!!!!!!!!!!!!!!!２６

１０．５信息流控制策略（ＦＤＰ＿ＩＦＣ）!!!!!!!!!!!!!!!!!!!!!!!!!!!２７

１０．６信息流控制功能（ＦＤＰ＿ＩＦＦ）!!!!!!!!!!!!!!!!!!!!!!!!!!!２８

１０．７從ＴＳＦ控制之外輸入（ＦＤＰ＿ＩＴＣ）!!!!!!!!!!!!!!!!!!!!!!!!３０

１０．８ＴＯＥ內部傳輸（ＦＤＰ＿ＩＴＴ）!!!!!!!!!!!!!!!!!!!!!!!!!!!３２

１０．９殘余信息保護（ＦＤＰ＿ＲＩＰ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!３３

１０．１０反轉（ＦＤＰ＿ＲＯＬ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３４

１０．１１存儲數據的完整性（ＦＤＰ＿ＳＤＩ）!!!!!!!!!!!!!!!!!!!!!!!!!３５

１０．１２ＴＳＦ間用戶數據傳輸的保密性保護（ＦＤＰ＿ＵＣＴ）!!!!!!!!!!!!!!!!!!３５

Ⅰ

書

犌犅／犜２０２７４．２—２００８

１０．１３ＴＳＦ間用戶數據傳輸的完整性保護（ＦＤＰ＿ＵＩＴ）!!!!!!!!!!!!!!!!!!３６

１１ＦＩＡ類：標識和鑒別!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３８

１１．１鑒別失敗（ＦＩＡ＿ＡＦＬ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３９

１１．２用戶屬性定義（ＦＩＡ＿ＡＴＤ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!３９

１１．３秘密的規范（ＦＩＡ＿ＳＯＳ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４０

１１．４用戶鑒別（ＦＩＡ＿ＵＡＵ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４０

１１．５用戶標識（ＦＩＡ＿ＵＩＤ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４３

１１．６用戶＿主體綁定（ＦＩＡ＿ＵＳＢ）!!!!!!!!!!!!!!!!!!!!!!!!!!!４４

１２ＦＭＴ類：安全管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４４

１２．１ＴＳＦ中功能的管理（ＦＭＴ＿ＭＯＦ）!!!!!!!!!!!!!!!!!!!!!!!!!４５

１２．２安全屬性的管理（ＦＭＴ＿ＭＳＡ）!!!!!!!!!!!!!!!!!!!!!!!!!!４６

１２．３ＴＳＦ數據的管理（ＦＭＴ＿ＭＴＤ）!!!!!!!!!!!!!!!!!!!!!!!!!!４７

１２．４撤消（ＦＭＴ＿ＲＥＶ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４８

１２．５安全屬性到期（ＦＭＴ＿ＳＡＥ）!!!!!!!!!!!!!!!!!!!!!!!!!!!４９

１２．６安全管理角色（ＦＭＴ＿ＳＭＲ）!!!!!!!!!!!!!!!!!!!!!!!!!!!５０

１３ＦＰＲ類：隱秘!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５１

１３．１匿名（ＦＰＲ＿ＡＮＯ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５１

１３．２假名（ＦＰＲ＿ＰＳＥ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５２

１３．３不可關聯性（ＦＰＲ＿ＵＮＬ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!５３

１３．４不可觀察性（ＦＰＲ＿ＵＮＯ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!５４

１４ＦＰＴ類：ＴＳＦ保護!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５５

１４．１根本抽象機測試（ＦＰＴ＿ＡＭＴ）!!!!!!!!!!!!!!!!!!!!!!!!!!５７

１４．２失敗保護（ＦＰＴ＿ＦＬＳ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５７

１４．３輸出ＴＳＦ數據的可用性（ＦＰＴ＿ＩＴＡ）!!!!!!!!!!!!!!!!!!!!!!!５７

１４．４輸出ＴＳＦ數據的保密性（ＦＰＴ＿ＩＴＣ）!!!!!!!!!!!!!!!!!!!!!!!５８

１４．５輸出ＴＳＦ數據的完整性（ＦＰＴ＿ＩＴＩ）!!!!!!!!!!!!!!!!!!!!!!!!５８

１４．６ＴＯＥ內ＴＳＦ數據的傳輸（ＦＰＴ＿ＩＴＴ）!!!!!!!!!!!!!!!!!!!!!!!５９

１４．７ＴＳＦ物理保護（ＦＰＴ＿ＰＨＰ）!!!!!!!!!!!!!!!!!!!!!!!!!!!６１

１４．８可信恢復（ＦＰＴ＿ＲＣＶ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６２

１４．９重放檢測（ＦＰＴ＿ＲＰＬ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６４

１４．１０參照仲裁（ＦＰＴ＿ＲＶＭ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６４

１４．１１域分離（ＦＰＴ＿ＳＥＰ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６５

１４．１２狀態同步協議（ＦＰＴ＿ＳＳＰ）!!!!!!!!!!!!!!!!!!!!!!!!!!!６６

１４．１３時間戳（ＦＰＴ＿ＳＴＭ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６７

１４．１４ＴＳＦ間ＴＳＦ數據的一致性（ＦＰＴ＿ＴＤＣ）!!!!!!!!!!!!!!!!!!!!!６７

１４．１５ＴＯＥ內ＴＳＦ數據復制的一致性（ＦＰＴ＿ＴＲＣ）!!!!!!!!!!!!!!!!!!!６８

１４．１６ＴＳＦ自檢（ＦＰＴ＿ＴＳＴ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６８

１５ＦＲＵ類：資源利用!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６９

１５．１容錯（ＦＲＵ＿ＦＬＴ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７０

１５．２服務優先級（ＦＲＵ＿ＰＲＳ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７０

１５．３資源分配（ＦＲＵ＿ＲＳＡ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７１

１６ＦＴＡ類：ＴＯＥ訪問!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７２

１６．１可選屬性范圍限定（ＦＴＡ＿ＬＳＡ）!!!!!!!!!!!!!!!!!!!!!!!!!７２

Ⅱ

犌犅／犜２０２７４．２—２００８

１６．２多重并發會話限定（ＦＴＡ＿ＭＣＳ）!!!!!!!!!!!!!!!!!!!!!!!!!７３

１６．３會話鎖定（ＦＴＡ＿ＳＳＬ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７４

１６．４ＴＯＥ訪問旗標!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７５

１６．５ＴＯＥ訪問歷史（ＦＴＡ＿ＴＡＨ）!!!!!!!!!!!!!!!!!!!!!!!!!!!７６

１６．６ＴＯＥ會話建立（ＦＴＡ＿ＴＳＥ）!!!!!!!!!!!!!!!!!!!!!!!!!!!７６

１７ＴＰ類：可信路徑／信道!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７７

１７．１ＴＳＦ間可信信道（ＦＴＰ＿ＩＴＣ）!!!!!!!!!!!!!!!!!!!!!!!!!!!７７

１７．２可信路徑（ＦＴＰ＿ＴＲＰ）!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７８

１８安全技術架構能力成熟度級!!!!!!!!!!!!!!!!!!!!!!!!!!!!７８

１８．１概述!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７８

１８．２安全技術架構能力成熟度級說明!!!!!!!!!!!!!!!!!!!!!!!!!７９

附錄Ａ（資料性附錄）安全技術要求應用注釋!!!!!!!!!!!!!!!!!!!!!!８１

Ａ．１注釋的結構!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８１

Ａ．１．１類結構!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８１

Ａ．１．２子類結構!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８１

Ａ．１．３組件結構!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８２

Ａ．２依賴關系表!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８２

附錄Ｂ（資料性附錄）分層多點信息系統安全體系結構!!!!!!!!!!!!!!!!!!８９

Ｂ．１概述!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８９

Ｂ．２信息技術系統ＴＯＥ的分析模型!!!!!!!!!!!!!!!!!!!!!!!!!!８９

Ｂ．３分層多點安全技術體系架構介紹!!!!!!!!!!!!!!!!!!!!!!!!!９０

參考文獻!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９２

圖１安全技術保障控制要求范例（單個ＴＯＥ）!!!!!!!!!!!!!!!!!!!!!!２

圖２分布式ＴＯＥ內的安全功能圖!!!!!!!!!!!!!!!!!!!!!!!!!!!３

圖３用戶數據和ＴＳＦ數據的關系!!!!!!!!!!!!!!!!!!!!!!!!!!!５

圖４“鑒別數據”和“秘密”的關系!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

圖５安全技術保障控制類結構!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

圖６安全技術保障控制子類結構!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

圖７安全技術保障控制組件結構!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

圖８示范類分解圖!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

圖９安全審計類分解!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１０

圖１０通信類分解!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

圖１１密碼支持類分解!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１９

圖１２用戶數據保護類分解!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２３

圖１３標識和鑒別類分解!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３８

圖１４安全管理類分解!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４５

圖１５隱秘類分解!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５１

圖１６ＴＳＦ保護類分解!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５６

圖１７資源利用類分解!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６９

圖１８ＴＯＥ訪問類分解!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７２

圖１９可信路徑／信道類分解圖!!!!!!!!!!!!!!!!!!!!!!!!!!!!７７

Ⅲ

犌犅／犜２０２７４．２—２００８

圖Ａ．１安全技術保障控制類結構!!!!!!!!!!!!!!!!!!!!!!!!!!!８１

圖Ａ．２安全技術保障控制子類結構!!!!!!!!!!!!!!!!!!!!!!!!!!８１

圖Ａ．３安全技術保障控制組件結構!!!!!!!!!!!!!!!!!!!!!!!!!!８２

圖Ｂ．１信息技術系統分析模型!!!!!!!!!!!!!!!!!!!!!!!!!!!!９０

圖Ｂ．２分層多點安全技術體系結構!!!!!!!!!!!!!!!!!!!!!!!!!!９１

表Ａ．１安全技術保障控制組件依賴關系表!!!!!!!!!!!!!!!!!!!!!!!８３

Ⅳ

犌犅／犜２０２７４．２—２００８