【GA公共安全标准】 信息安全技术工业控制 系统边界安全专用网关产品安全技术要求

ICS35.040
中华人民共和国公共安全行业标准GA/T 1562—2019
信息安全技术
工业控制系统边界安全
专用网关产品安全技术要求
Information security technologySecurity technical requirements for boundarysecurity special gateway products of industrial control system2019-05-05发布
中华人民共和国公安部
2019-05-05实施
规范性引用文件
3术语和定义
缩略语
总体说明
安全技术要求分类
安全等级划分
6安全功能要求
基于白名单策略的访问控制
控制功能防护
攻击响应处理
时间校对
业务审计
工业控制协议支持
适用于多种现场环境
时间同步
双机热备
支持IPv4/IPv6
协议自定义
管理控制功能
身份鉴别
管理员管理
安全审计·
事件数据安全
通信安全
自我监测
性能要求
吞吐量
数据传输可靠性
可保护节点数
8安全保障要求
指导性文档
生命周期支持
GA/T1562—2019
GA/T1562—2019
脆弱性评定
9不同安全等级的要求
9.1安全功能要求
性能要求
安全保障要求
本标准按照GB/T1.1一2009给出的规则起草。本标准由公安部网络安全保卫局提出。本标准由公安部信息系统安全标准化技术委员会归口。本标准起草单位：公安部计算机信息系统安全产品质量监督检验中心。本标准主要起草人：沈清泓、邹春明、刘瑞、顾健。GA/T1562—2019
1范围
信息安全技术工业控制系统边界安全专用网关产品安全技术要求
GA/T1562—2019
本标准规定了工业控制系统边界安全专用网关产品的安全功能要求、性能要求和安全保障要求。本标准适用于工业控制系统边界安全专用网关产品的设计、开发及检测。2规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T18336.3—2015信息技术安全技术信息技术安全性评估准则1第3部分：安全保障
GB/T25069—2010信息安全技术术语3术语和定义
GB/T18336.3—2015和GB/T25069—2010界定的以及下列术语和定义适用于本文件。3.1
网关gateway
在网络或各子网之间，在不同安全域内的软件应用系统之间，一种旨在按照给定的安全策略来保护网络的连接点。
4缩略语
下列缩略语适用于本文件。
DCS：集散控制系统（DistributedControlSystem）IP：网际协议（InternetProtocol)OSI：开放式系统互联（OpenSystemInterconnection）PLC：可编程逻辑控制器（ProgrammableLogicController）SCADA：数据采集与监控系统（SupervisoryControlAndDataAcquisition）5总体说明
5.1安全技术要求分类
本标准将工业控制系统边界安全专用网关产品安全技术要求分为安全功能、性能、安全保障三个大类。其中，安全功能要求是对工业控制系统边界安全专用网关产品应具备的安全功能提出具体要求，例如：基于白名单策略的访问控制、控制功能防护、攻击响应处理、时间校对、业务审计、工业控制协议支1
GA/T1562—2019
持、适用于多种现场环境、时间同步、双机热备、支持IPv6/IPv4、协议自定义、管理控制功能、身份鉴别、管理员管理、安全审计、事件数据安全、通信安全、自我监测等；性能是对工业控制系统边界安全专用网关产品的性能提出具体要求，例如吞吐量、延迟、数据传输可靠性、可保护节点数等；安全保障要求针对工业控制系统边界安全专用网关产品的开发和使用文档的内容提出具体的要求，例如开发、指导性文档、生命周期支持和测试等。
5.2安全等级划分
工业控制系统边界安全专用网关产品的安全等级按照其安全功能要求、性能要求和安全保障要求的强度划分为基本级和增强级，其中安全保障要求参考了GB/T18336.3一2015，6安全功能要求
6.1基于白名单策略的访问控制
产品应支持基手白名单策略的访问控制，包括网络层和应用层。6.2控制功能防护
产品应为受保护的工控系统和设备提供控制功能防护，阻断非正常操作，同时保证正常操作的稳定运行。
6.3攻击响应处理
当产品可能受到攻击时，能够自动记录攻击发起人的IP地址及攻击的时间。产品安全功能应：a）生成实时报警信息；
b）阻断发起攻击的IP地址的再次访问。6.4时间校对
产品应为其自身应用提供可靠的时间校对机制。6.5业务审计
产品应具备业务事件审计的功能，审计的内容包括协议检查、过滤、交换、阻断等内容，包括正常操作和异常操作。每一条审计日志至少应包括事件发生的日期、时间、源IP、目的IP、协议、事件描述和结果。
6.6工业控制协议支持
产品应具备工业控制专有协议以及多种状态或指令主流格式数据的检查、过滤、交换、阻断等功能，支持协议数量如下：
a）基本级至少支持2种工业控制协议；b）增强级至少支持5种工业控制协议。6.7适用于多种现场环境
产品应适用于集散控制系统（DCS)、数据采集与监视控制系统（SCADA)或现场总线等现场环境。6.8时间同步
产品应为其自身应用提供可靠的与时间服务器进行时间同步机制。2
6.9双机热备
产品应具备双机热备功能，具体技术要求如下：GA/T1562—2019
a）支持物理设备状态检测。当主网关自身出现断电或其他故障时，备用网关及时发现并接管主网关进行工作。
b）具备基于链路状态检测的双机热备功能。当主网关直接相连的链路发生故障而无法正常工作时，备用网关及时发现并接管主网关进行工作。6.10支持IPv4/IPv6
6.10.1支持IPv4/IPv6网络环境下的产品自身管理产品的组件（如果有多个组件，包括远程管理终端）间的通讯应支持IPv6及过渡环境。6.10.2支持IPv4/IPv6网络环境下的对工控系统进行防护产品对工控系统进行防护时，应支持IPv6及过渡环境。6.11协议自定义
除支持献认的工控协议集外，产品还应充许授权管理员定义新的协议，或对协议的端口进行重新定义。
6.12管理控制功能
6.12.1分布式部署
产品应具有本地或异地分布式部署、远程管理的能力。6.12.2集中管理
应设置集中管理中心，对分布式、多级部署的产品进行统一集中管理，形成多级管理结构。6.12.3端口分离
产品应配备不同的端口分别用于产品管理和提供服务。6.12.4多级管理bzxz.net
产品应具有多级管理的能力。
6.13身份鉴别
6.13.1管理员鉴别
产品应在管理员执行任何与安全功能相关的操作之前对管理员进行鉴别。6.13.2鉴别失败处理
当管理员鉴别尝试失败连续达到指定次数后，产品应锁定该帐号或登录IP。最多失败次数仅由授权管理员设定。
6.13.3鉴别数据保护
产品应保护鉴别数据不被未授权查阅和修改。3
GA/T1562—2019
6.13.4超时设置
产品应具有管理员登录超时重新鉴别功能。在设定的时间段内没有任何操作的情况下，终止会话，需要再次进行身份鉴别才能够重新管理产品。最大超时时间仅由授权管理员设定。6.13.5多鉴别机制
产品应提供多种鉴别方式，或者允许授权管理员执行自定义的鉴别措施，以实现多重身份鉴别措施。多鉴别机制应同时使用。
6.13.6会话锁定
产品应允许管理员锁定自已的交互会话，锁定后需要再次进行身份鉴别才能够重新管理产品。6.14管理员管理
标识唯一性
产品应保证所设置的管理员标识全局唯一。6.14.2用户属性定义
产品应为每一个管理员保存安全属性表，属性包括但不限于：管理员标识、鉴别数据、授权信息或管理组信息。
6.14.3安全行为管理
应仅限于指定授权角色对产品的功能具有禁止、修改的能力。6.14.4管理员角色
产品应设置多个角色，不同的管理角色具有不同的管理权限。6.14.5安全属性管理
产品应仅限于指定授权角色可以对指定安全属性进行查询、修改、删除、改变其款认值等操作。6.15安全审计
6.15.1审计数据生成
产品应能为下述可审计事件产生审计记录：审计功能的启动和关闭，审计级别以内的所有可审计事件（如鉴别失败等重大事件)等。产品应在每条审计记录中至少记录如下信息：事件的日期和时间，事件类型，主体身份，事件的结果(成功或失败)等。
6.15.2审计数据易用性
审计数据的记录方式应便于管理员理解。6.15.3审计查阅
产品应为授权管理员提供从审计记录中读取全部审计信息的功能4
6.15.4受限的审计查阅
GA/T1562—2019
除了具有明确的读访问权限的授权管理员之外，产品应禁止所有非授权管理员对审计记录的读访间。
6.15.5可选的审计查阅
产品应支持按照一定条件对审计日志进行检索或排序。6.16事件数据安全
6.16.1安全数据管理
产品应仅限于指定的授权角色访问事件数据，禁止其他管理员对事件数据的操作。6.16.2数据保护
在遭受攻击时，产品应能完整保留已经保存的事件数据。6.16.3数据存储安全
在发生事件数据存储器空间将耗尽等情况时，产品应采取措施避免最新事件数据丢失。6.16.4数据存储告警
在发生事件数据存储器空间将耗尽等情况时，产品应自动产生告警，并采取措施避免事件数据丢失。产生告警的剩余存储空间大小应由授权管理员自主设定。6.17通信安全
6.17.1通信完整性
产品应确保各组件之间传输的数据（如配置和控制信息、告警和事件数据等）不被套改。6.17.2通信稳定性
产品应采取点到点协议等保证通信稳定性的方法，保证各部件和控制台之间传递的信息不因网络故障而丢失或延迟。
6.17.3升级安全
产品应确保事件库和版本升级时的通信安全，并确保升级包是由开发商提供的。6.18
3自我监测
产品在启动和正常工作时，应周期性地，或者按照授权管理员的要求执行自检，以验证产品自身执行的正确性。
7性能要求
7.1吞吐量
在开启应用层防护的情况下，产品的吞吐量应达到线速水平。5
GA/T1562—2019
7.2延迟
产品的最大延迟不应超过100ms。7.3数据传输可靠性
产品的数据传输可靠性应达到100%，具体指标包括：a）5亿位数据传输的误码率为0；b）12h数据传输的丢包率为0。
7.4可保护节点数
产品可保护节点数不应少于500点。8安全保障要求
8.1开发
8.1.1安全架构
开发者应提供产品安全功能的安全架构描述，安全架构描述应满足以下要求：与产品设计文档中对安全功能实施抽象描述的级别一致；a
描述与安全功能要求一致的产品安全功能的安全域：描述产品安全功能初始化过程为何是安全的；c
证实产品安全功能能够防止被破坏；d)
证实产品安全功能能够防止安全特性被旁路。e
8.1.2功能规范
开发者应提供完备的功能规范说明，功能规范说明应满足以下要求：a)
完全描述产品的安全功能；
描述所有安全功能接口的自的与使用方法；c
标识和描述每个安全功能接口相关的所有参数；描述安全功能接口相关的安全功能实施行为；描述由安全功能实施行为处理而引起的直接错误消息；e
证实安全功能要求到安全功能接口的追溯；描述安全功能实施过程中，与安全功能接口相关的所有行为；g)
描述可能由安全功能接口的调用而引起的所有直接错误消息。8.1.3
实现表示
开发者应提供全部安全功能的实现表示，实现表示应满足以下要求：提供产品设计描述与实现表示实例之间的映射，并证明其一致性；a)
按详细级别定义产品安全功能，详细程度达到无须进一步设计就能生成安全功能的程度；b)
以开发人员使用的形式提供。
8.1.4产品设计
开发者应提供产品设计文档，产品设计文档应满足以下要求：6
根据子系统描述产品结构：
标识和描述产品安全功能的所有子系统；c
描述安全功能所有子系统间的相互作用；GA/T1562—2019
提供的映射关系能够证实设计中描述的所有行为能够映射到调用他的安全功能接口；d)
根据模块描述安全功能；
提供安全功能子系统到模块间的映射关系；描述所有安全功能实现模块，包括其目的及与其他模块间的相互作用；g)
描述所有实现模块的安全功能要求相关接口、其他接口的返回值、与其他模块间的相互作用及h)
调用的接口；
描述所有安全功能的支撑或相关模块，包括其目的及与其他模块间的相互作用。i）
8.2指导性文档
8.2.1操作用户指南
开发者应提供明确和合理的操作用户指南，操作用户指南与为评估而提供的其他所有文档保持一致，对每一种用户角色的描述应满足以下要求：描述在安全处理环境中被控制的用户可访问的功能和特权，包含适当的警示信息；a)
b）描述如何以安全的方式使用产品提供的可用接口；描述可用功能和接口，尤其是受用户控制的所有安全参数，适当时指明安全值；c
明确说明与需要执行的用户可访问功能有关的每一种安全相关事件，包括改变安全功能所控d)
制实体的安全特性；
标识产品运行的所有可能状态（包括操作导致的失败或者操作性错误），以及他们与维持安全运行之间的因果关系和联系；
f）充分实现安全目的所必需执行的安全策略。8.2.2
准备程序
开发者应提供产品及其准备程序，准备程序描述应满足以下要求：a）描述与开发者交付程序相一致的安全接收所交付产品必需的所有步骤；b）描述安全安装产品及其运行环境必需的所有步骤。8.3生命周期支持
8.3.1配置管理能力
开发者的配置管理能力应满足以下要求，为产品的不同版本提供唯一的标识。a)
使用配置管理系统对组成产品的所有配置项进行维护，并唯一标识配置项。提供配置管理文档，配置管理文档描述用于唯一标识配置项的方法。c）
d）配置管理系统提供一种自动方式来支持产品的生成，通过该方式确保只能对产品的实现表示进行已授权的改变。
配置管理文档包括一个配置管理计划，配置管理计划描述如何使用配置管理系统开发产品。e)
实施的配置管理与配置管理计划相一致。f）配置管理计划描述用来接受修改过的或新建的作为产品组成部分的配置项的程序。7
GA/T1562—2019
8.3.2配置管理范围
开发者应提供产品配置项列表，并说明配置项的开发者。配置项列表应包含以下内容：a）产品、安全保障要求的评估证据和产品的组成部分；b）实现表示、安全缺陷报告及其解决状态。8.3.3交付程序
开发者应使用一定的交付程序交付产品，并将交付过程文档化。在给用户方交付产品的各版本时，交付文档应描述为维护安全所必需的所有程序。8.3.4开发安全
开发者应提供开发安全文档。开发安全文档应描述在产品的开发环境中，为保护产品设计和实现的保密性和完整性所必需的所有物理的、程序的、人员的和其他方面的安全措施。8.3.5生命周期定义
开发者应建立一个生命周期模型对产品的开发和维护进行必要的控制，并提供生命周期定义文档描述用于开发和维护产品的模型。8.3.6工具和技术
开发者应明确定义用于开发产品的工具，并提供开发工具文档无歧义地定义实现中每个语句的含义和所有依赖于实现的选项的含义。8.4测试
8.4.1测试覆盖
开发者应提供测试覆盖文档，测试覆盖描述应满足以下要求：a）表明测试文档中所标识的测试与功能规范中所描述的产品的安全功能间的对应性；b）表明上述对应性是完备的，并证实功能规范中的所有安全功能接口都进行了测试。8.4.2测试深度
开发者应提供测试深度的分析。测试深度分析描述应满足以下要求：a）证实测试文档中的测试与产品设计中的安全功能子系统和实现模块之间的一致性；b）证实产品设计中的所有安全功能子系统、实现模块都已经进行过测试。8.4.3功能测试
开发者应测试产品安全功能，将结果文档化并提供测试文档。测试文档应包括以下内容：a）测试计划，标识要执行的测试，并描述执行每个测试的方案，这些方案包括对于其他测试结果的任何顺序依赖性；
b）预期的测试结果，表明测试成功后的预期输出；c）实际测试结果和预期的测试结果的一致性。8.4.4独立测试
开发者应提供一组与其自测安全功能时使用的同等资源，以用手安全功能的抽样测试。8
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。