【GA公共安全标准】 信息安全技术工业控制系统软件脆弱性扫描产品安全技术要求

ICS35.240
中华人民共和国公共安全行业标准GA/T1559—2019
信息安全技术
工业控制系统软件
脆弱性扫描产品安全技术要求
Information security technology-Security technical requirements forindustrial control system software vulnerability scanners2019-04-16发布
中华人民共和国公安部
2019-04-16实施
GA/T1559—2019
规范性引用文件
术语和定义Www.bzxZ.net
缩略语
5总体说明
5.1安全技术要求分类
5.2安全等级划分
6安全功能要求
信息获取
脆弱性扫描内容
扫描结果分析处理
扫描配置
目标对象的安全性
升级能力
扫描IP地址限制
自身安全要求
安全保障要求
指导性文档
生命周期支持
脆弱性评定
8不同安全等级的要求
8.1安全功能要求
安全保障要求
本标准按照GB/T1.1—2009给出的规则起草。本标准由公安部网络安全保卫局提出。本标准由公安部信息系统安全标准化技术委员会归口。本标准起草单位：公安部计算机信息系统安全产品质量监督检验中心。本标准主要起草人：李曦、沈清泓、俞优、邹春明、陆臻、顾健。GA/T1559—2019
1范围
信息安全技术工业控制系统软件脆弱性扫描产品安全技术要求
GA/T1559—2019
本标准规定了工业控制系统软件脆弱性扫描产品的安全功能要求、安全保障要求和等级划分要求本标准适用于工业控制系统软件脆弱性扫描产品的设计、开发和测试。2规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T18336.3一2015信息技术安全技术信息技术安全评估准则第3部分：安全保障组件GB/T25069—2010信息安全技术术语GB/T30976.1—2014工业控制系统信息安全第1部分：评估规范3术语和定义
GB/T25069—2010和GB/T30976.1—2014界定的以及下列术语和定义适用于本文件。3.1
工业控制系统软件
industrial control systemsoftware工业控制系统上位机软件和下位机软件的集合。3.2
vulnerability
脆弱性
系统设计、实现或操作和管理中存在的缺陷或弱点，可被利用来危害系统的完整性或安全策略。3.3
banner
由应用程序发送的一段信息，通常包括欢迎语、应用程序名称和版本等信息。4缩略语
下列缩略语适用于本文件。
DCS：集散控制系统（DistributedControlSystem）HMI：人机接口（HumanMachineInterface）PLC：可编程逻辑控制器（ProgrammableLogicController）SCADA：数据采集与监控系统（SupervisoryControlAndDataAcquisition）1
GA/T1559—2019
5总体说明
5.1安全技术要求分类
本标准将工业控制系统软件脆弱性扫描产品安全技术要求分为安全功能和安全保障要求。其中，安全功能要求是对工业控制系统软件脆弱性扫描产品应具备的安全功能提出具体要求，通过一定的用户标识和鉴别来限制对产品功能的使用和数据访问的控制，使产品具备自主安全保护的能力，保证工业控制系统软件脆弱性扫描产品的正常运行，具备审计功能要求，使得管理员的各项操作行为和扫描事件都是可追踪的。安全保障要求针对工业控制系统软件脆弱性扫描产品的开发和使用文档的内容提出具体的要求，例如开发、测试和指导性文档等。5.2安全等级划分
工业控制系统软件脆弱性扫描产品的安全等级按照其安全功能要求和安全保障要求的强度划分为基本级和增强级，其中安全保障要求参考了GB/T18336.3一2015。6安全功能要求
信息获取
6.1.1支撑系统信息
应能对工业控制系统软件所在支撑平台的操作系统类型、版本号进行探测，能够获取已开启的各项TCP/IP服务的旗标。
6.1.2开放端口
应能探测到工业控制系统软件所在操作系统开放的TCP、UDP端口，并能判断相应端口对应的通用服务或使用的协议
6.1.3协议支持
应能支持典型工业控制协议，如MODBUSTCP、OPC、西门子S7、IEC60870-5-104、IEC61850等。6.2脆弱性扫描内容
6.2.1漏洞发现
应能发现公开的工业控制系统软件的安全脆弱性问题。6.2.2漏洞挖掘
应能发现未知的工业控制系统软件的安全脆弱性问题。6.2.3弱口令
应能采用字典或穷举等方法检查系统用户口令的健壮性，检查项目应包括：系统是否使用了用户名称经过简单变换后的口令；a）
b）系统是否使用了易猜测口令。2
6.2.4文件共享
应能检查文件共享机制，发现危险的设置，检查项目应包括：a）重要目录被共享；
b）共享目录可被匿名用户写人；c）是否使用了缺省或过于简单的共享口令。3扫描结果分析处理
扫描结果浏览及导出
应提供扫描结果浏览功能，并支持对扫描结果数据进行导出操作。6.3.2
2报告生成
能根据扫描结果生成相应的报告，报告具备要求包括如下内容：a）各脆弱点的漏洞名称、漏洞描述、影响范围等；目标的风险等级评估，将扫描脆弱点按风险严重程度分级，并明确标出；b）
c）多个目标扫描后的结果的总体报告；d）对脆弱性扫描信息可生成摘要报告；e)
应可输出为通用的文档格式。
6.3.3报告定制
应提供报告内容定制功能。
6.3.4脆弱性修补建议
能对发现的脆弱性提出修补建议，脆弱性修补建议满足下列要求：a）对不同的安全脆弱性问题提出针对性的脆弱性修补方法；b）脆弱性描述应详细，提供的脆弱性修补方法应确保其合理性和可用性。6.3.5结果比对
GA/T1559—2019
应提供对同一目标多次扫描结果或者不同主机间扫描结果的比对功能，并能根据比对结果生成比对报告。
6.4扫描配置
6.4.1扫描策略
应提供方便的定制策略的方法，可以指定扫描地址范围、端口范围、脆弱性类型等。6.4.2向导功能
应提供向导功能，方便用户进行扫描策略配置。6.4.3计划任务
应能定制扫描计划，可以定时启动或者按周期执行扫描任务。6.4.4：已知账号/口令扫描
应能使用目标系统的已知账号/口令对其进行更有效的扫描。3
GA/T1559—2019
6.5目标对象的安全性
应支持以下方式，避免影响目标对象及其所在网络的正常工作：支持采用版本探测与漏洞库比对方式进行扫描，避免漏洞验证方式对系统的影响；a）
通过调整扫描线程、进程数目或请求数量等方法，提供合理的扫描速度。6.6升级能力
应能够对脆弱性特征库进行更新：a）支持手动或者自动升级操作；b）具备升级安全措施。
6.7扫描IP地址限制
应提供对产品扫描范围进行限制的手段。6.8自身安全要求
6.8.1标识和属性
6.8.1.1唯一性标识
应为用户提供唯一标识，同时将用户的身份标识与该用户的所有可审计能力相关联。6.8.1.2属性定义
应为每个管理角色规定与之相关的安全属性，例如管理角色标识、鉴别信息、隶属组、权限等。6.8.1.3属性初始化
应提供使用默认值对创建的每个管理角色的属性进行初始化的能力。6.8.2身份鉴别
6.8.2.1基本鉴别
应在执行任何与管理员相关功能之前鉴别用户的身份。6.8.2.2
2鉴别数据保护
应保证鉴别数据不被未授权查阅或修改。3鉴别失败处理
应提供一定的鉴别失败处理措施，当鉴别失败次数达到设定值时，应能阻止该用户的进一步鉴别尝试。
6.8.2.4超时锁定或注销
应具有登录超时锁定或注销功能，在设定的时间段内没有任何操作的情况下，能锁定或终止会话，需要再次进行身份鉴别才能重新操作，最大超时时间仅由授权管理员设定。4
3安全管理
安全管理功能
应保证授权管理员具备以下管理权限：a）查看安全属性；
b）修改安全属性；
启动、关闭全部或部分安全功能；c)
制定和修改各种安全策略。
6.8.3.2角色管理
能对管理员角色进行区分：
a）具有至少两种不同权限的管理员角色，如操作员、安全员、审计员等：GA/T1559—2019
b）应根据不同的功能模块，自定义各种不同权限角色，并可对管理员分配角色。6.8.3.3远程安全管理
若产品提供远程管理功能：
a）应能保护远程管理对话内容不被非授权获取；b）应能对可远程管理的主机地址进行限制。审计日志
审计日志生成
应能对以下事件生成日志：
a）管理员的登录成功和失败；
b）对安全策略进行更改的操作：因鉴别尝试不成功的次数超出了设定的限值，导致的会话连接终止；d）对管理员、管理角色进行增加、删除和属性修改的操作；e）对审计日志的导出和删除操作；f）扫描任务的启动、暂停和停止等操作。每一条审计日志中至少应包括事件主体、事件发生的日期、时间，事件描述和结果。若采用远程登录方式对产品进行管理还应记录管理主机的地址。2审计日志保存
审计日志应能存储于掉电非易失介质中。6.8.4.3审计日志管理
提供下列审计日志管理功能：
a）只允许授权管理员访问审计日志；b）提供对审计日志的查询功能；c）授权管理员应能导出审计日志；d)
提供对审计日志的按条件查询和排序功能。5
GA/T1559—2019
6.8.4.4审计存储安全
应提供数据存储空间耗尽处理功能，当剩余存储空间达到國值时，提供告警功能。7安全保障要求
7.1开发
7.1.1安全架构
开发者应提供产品安全功能的安全架构描述，安全架构描述应满足以下要求：a）与产品设计文档中对安全功能实施抽象描述的级别一致；b）描述与安全功能要求一致的产品安全功能的安全域：描述产品安全功能初始化过程为何是安全的；d）证实产品安全功能能够防止被破坏：e）证实产品安全功能能够防止安全特性被旁路。7.1.2功能规范
开发者应提供完备的功能规范说明，功能规范说明应满足以下要求：完全描述产品的安全功能；
b）描述所有安全功能接口的目的与使用方法；标识和描述每个安全功能接口相关的所有参数；c
d）描述安全功能接口相关的安全功能实施行为；描述由安全功能实施行为处理而引起的直接错误消息；e
证实安全功能要求到安全功能接口的追溯；描述安全功能实施过程中，与安全功能接口相关的所有行为；g)
h）描述可能由安全功能接口的调用而引起的所有直接错误消息。7.1.3实现表示
开发者应提供全部安全功能的实现表示，实现表示应满足以下要求：提供产品设计描述与实现表示实例之间的映射，并证明其一致性；a)
b）按详细级别定义产品安全功能，详细程度达到无须进一步设计就能生成安全功能的程度；以开发人员使用的形式提供。
7.1.4产品设计
开发者应提供产品设计文档，产品设计文档应满足以下要求：根据子系统描述产品结构；
标识和描述产品安全功能的所有子系统：c
描述安全功能所有子系统间的相互作用：提供的映射关系能够证实设计中描述的所有行为能够映射到调用它的安全功能接口；d)
根据模块描述安全功能：
提供安全功能子系统到模块间的映射关系；描述所有安全功能实现模块，包括其目的及与其他模块间的相互作用；g）
描述所有实现模块的安全功能要求相关接口、其他接口的返回值、与其他模块间的相互作用及h）
调用的接口；
GA/T1559—2019
i）描述所有安全功能的支撑或相关模块，包括其目的及与其他模块间的相互作用。7.2指导性文档
7.2.1操作用户指南
开发者应提供明确和合理的操作用户指南，操作用户指南与为评估而提供的其他所有文档保持一致，对每一种用户角色的描述应满足以下要求：描述在安全处理环境中被控制的用户可访问的功能和特权，包含适当的警示信息；a)
b）描述如何以安全的方式使用产品提供的可用接口；c）
描述可用功能和接口，尤其是受用户控制的所有安全参数，适当时指明安全值；d)
明确说明与需要执行的用户可访问功能有关的每一种安全相关事件，包括改变安全功能所控制实体的安全特性；
标识产品运行的所有可能状态（包括操作导致的失败或者操作性错误），以及它们与维持安全运行之间的因果关系和联系；
f）充分实现安全目的所必需执行的安全策略。7.2.2
准备程序
开发者应提供产品及其准备程序，准备程序描述应满足以下要求：描述与开发者交付程序相一致的安全接收所交付产品必需的所有步骤：a)
b）描述安全安装产品及其运行环境必需的所有步骤。7.3生命周期支持
7.3.1配置管理能力
开发者的配置管理能力应满足以下要求：a）为产品的不同版本提供唯一的标识。b）使用配置管理系统对组成产品的所有配置项进行维护，并唯一标识配置项。提供配置管理文档，配置管理文档描述用于唯一标识配置项的方法。c）
配置管理系统提供一种自动方式来支持产品的生成，通过该方式确保只能对产品的实现表示d)
进行已授权的改变。
配置管理文档包括一个配置管理计划，配置管理计划描述如何使用配置管理系统开发产品。e)
实施的配置管理与配置管理计划相一致。f）配置管理计划描述用来接受修改过的或新建的作为产品组成部分的配置项的程序。7.3.2配置管理范围
开发者应提供产品配置项列表，并说明配置项的开发者。配置项列表应包含以下内容：a）产品、安全保障要求的评估证据和产品的组成部分；b）实现表示、安全缺陷报告及其解决状态。7.3.3交付程序
开发者应使用一定的交付程序交付产品，并将交付过程文档化。在给用户方交付产品的各版本时，交付文档应描述为维护安全所必需的所有程序。7
GA/T1559-—2019
7.3.4开发安全
开发者应提供开发安全文档。开发安全文档应描述在产品的开发环境中，为保护产品设计和实现的保密性和完整性所必需的所有物理的、程序的、人员的和其他方面的安全措施。7.3.5生命周期定义
开发者应建立一个生命周期模型对产品的开发和维护进行的必要控制，并提供生命周期定义文档描述用于开发和维护产品的模型。7.3.6工具和技术
开发者应明确定义用于开发产品的工具，并提供开发工具文档无歧义地定义实现中每个语句的含义和所有依赖于实现的选项的含义。7.4测试
7.4.1测试覆盖
开发者应提供测试覆盖文档，测试覆盖描述应满足以下要求：a）表明测试文档中所标识的测试与功能规范中所描述的产品的安全功能间的对应性表明上述对应性是完备的，并证实功能规范中的所有安全功能接口都进行了测试。b）美
7.4.2测试深度
开发者应提供测试深度的分析。测试深度分析描述应满足以下要求：a）证实测试文档中的测试与产品设计中的安全功能子系统和实现模块之间的一致性；b）证实产品设计中的所有安全功能子系统、实现模块都已经进行过测试。7.4.3功能测试
开发者应测试产品安全功能，将结果文档化并提供测试文档。测试文档应包括以下内容：a）测试计划，标识要执行的测试，并描述执行每个测试的方案，这些方案包括对于其他测试结果的任何顺序依赖性；
预期的测试结果，表明测试成功后的预期输出；e
实际测试结果和预期的测试结果的一致性7.4.4独立测试
开发者应提供一组与其自测安全功能时使用的同等资源，以用于安全功能的抽样测试。7.5脆弱性评定
基于已标识的潜在脆弱性，产品能够抵抗以下攻击行为：a）具有基本攻击潜力的攻击者的攻击；b）具有增强型基本攻击潜力的攻击者的攻击。8不同安全等级的要求
8.1安全功能要求
不同安全等级的工业控制系统软件脆弱性扫描产品的安全功能要求如表1所示，8
信息获取
GA/T1559—2019
不同安全等级的工业控制系统软件脆弱性扫描产品的安全功能要求安全功能要求
脆弱性扫描内容
支撑系统信息
开放端口
协议支持
漏洞发现
漏洞挖掘
弱口令
文件共享
扫描结果浏览及导出
报告生成
扫描结果分析处理
扫描配置
报告定制
脆弱性修补建议
结果比对
扫描策略
计划任务
已知账号/口令扫描
目标对象的安全性
升级能力
扫描IP地址限制
标识和属性
身份鉴别
自身安全要求
安全保障要求
安全管理
审计日志
基本级
6.8.3.1、6.8.3.3a)、
6.12.3.4a)
6.8.4.1~6.8.4.3
不同安全等级的工业控制系统软件脆弱性扫描产品的安全保障要求如表2所示。增强级
表2不同安全等级的工业控制系统软件脆弱性扫描产品的安全保障要求安全保障要求
安全架构
功能规范
实现表示
产品设计
基本级
7.1.2a)~f)
7.1.4 a)~d)
增强级
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。