【GA公共安全标准】 信息安全技术文档打印安全监控与审计产品安全技术要求

ICS35.240
中华人民共和国公共安全行业标准GA/T1398—2017
信息安全技术
文档打印安全监控与
审计产品安全技术要求
Information security technologySecurity technical requirements fordocument print security monitoring and auditing products2017-04-19发布
中华人民共和国公安部
2017-04-19实施
GA/T1398—2017
规范性引用文件
术语和定义
文档打印安全监控与审计产品描述5
总体说明
5.1安全技术要求分类
安全等级
6安全功能要求
用户认证管理
打印作业申请
打印控制策略
打印控制
打印控制策略不可旁路
安全管理
自身保护功能
远程安全传输
审计功能
安全保障要求
7.1开发
指导性文档
生命周期支持
7.4测试
脆弱性评定
8等级划分要求
8.2安全功能要求等级划分
8.3安全保障要求等级划分
本标准按照GB/T1.1一2009给出的规则起草。本标准由公安部网络安全保卫局提出。本标准由公安部信息系统安全标准化技术委员会归口。GA/T1398—2017
本标准起草单位：公安部计算机信息系统安全产品质量监督检验中心、公安部第三研究所。本标准主要起草人：宋好好、邹春明、顾玮、俞优、陆臻、张笑笑I
HiiKAoNi KAca
1范围
信息安全技术
文档打印安全监控与
审计产品安全技术要求
GA/T1398—2017
本标准规定了文档打印安全监控与审计产品的安全功能要求、安全保障要求及等级划分要求。本标准适用于文档打印安全监控与审计产品的设计、开发及测试。2规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T18336.3一2015信息技术安全技术信息技术安全评估准则第3部分：安全保障组件GB/T25069—2010信息安全技术术语3术语和定义
GB/T18336.3—2015和GB/T25069—2010界定的以及下列术语和定义适用于本文件。3.1
打印客户端printclient
安装在需控制文档打印作业主机上的软件，提供用户身份鉴别、打印作业申请等功能。4文档打印安全监控与审计产品描述文档打印安全监控与审计产品能够实现对文档打印作业的控制、审批及审计，以此来保护文档不被未授权的打印、外传。
文档打印安全监控与审计产品一般由打印客户端、服务器和管理控制台3部分组成。打印客户端安装在需控制文档打印作业的主机上，用户登录打印客户端提交打印申请；服务器端根据打印控制策略对打印申请进行控制和审批，只有符合打印控制策略和审批通过，该文档才能够被成功打印；管理控制台提供服务器管理等功能。此外，文档打印安全监控与审计产品本身及其内部的重要数据也是受保护的资产。
文档打印安全监控与审计产品的典型运行环境见图1。1
HiiKAoNiKAca
GA/T1398—2017
5总体说明
打印客户端
打印客户端
打印客户端
打印机
服务器
管理控制台
图1文档打印安全监控与审计产品的典型运行环境5.1安全技术要求分类
文档打印安全监控与审计产品安全技术要求分为安全功能要求和安全保障要求两类。其中，安全功能要求是对文档打印安全监控与审计产品应具备的安全功能提出具体要求，包括打印作业申请，用户认证管理和打印控制等；安全保障要求针对文档打印安全监控与审计产品的开发和使用文档的内容提出具体的要求，例如开发、指导性文档、生命周期支持、测试、脆弱性评定等。5.2安全等级
按照文档打印安全监控与审计产品安全功能要求强度及按照GB/T18336.3一2015，对文档打印安全监控与审计产品安全等级进行划分。安全等级分为基本级和增强级，安全功能强弱和安全保障要求高低是等级划分的具体依据，安全等级突出安全特性。6
安全功能要求
6.1用户认证管理
6.1.1用户管理
产品应提供创建、修改和删除用户的能力。6.1.2用户唯一性标识
产品应为授权用户提供唯一的身份标识，同时将授权用户的身份标识与该授权用户的所有可审计事件相关联。
HiiKAONniKAca
6.1.3用户属性修改
产品应提供授权用户的属性（至少包括用户口令）的修改能力。6.1.4用户鉴别信息
用户应采用以下鉴别方式：
a）口令、证书或基于生物特征等鉴别信息中的一种；b）口令、证书或基于生物特征等鉴别信息中的两种鉴别形式的组合。6.1.5用户身份鉴别
GA/T1398—2017
当用户请求打印作业时，产品应鉴别用户身份。若采用口令鉴别机制，应不明文显示口令，并在存储时加密保护。
6.1.6用户身份鉴别最少反馈
对用户身份进行鉴别时，产品应仅将最少的信息反馈（如鉴别的成功或失败）提供给被鉴别的用户。6.1.7鉴别失败处理
产品应能为用户身份鉴别设定一个鉴别尝试次数阅值，当用户的鉴别不成功次数超过阅值，产品应能阻止用户进一步的鉴别请求。6.2打印作业申请
产品应支持授权用户提交打印作业申请。6.3打印控制策略
6.3.1打印限制
产品应支持：
a）打印文件类型限制：打印作业的文件类型不能包含预定义的范围：b）打印文件内容限制：打印作业的文件（文本）内容不能包含预定义的范围。6.3.2打印作业审批
产品应具备对用户提交的打印作业申请进行人工审批的能力，允许或拒绝授权用户的打印作业申请。
6.4打印控制
产品应能依据打印控制策略，控制打印作业：a）禁止打印非授权用户的打印作业；b）允许打印符合打印控制策略的打印作业：c）禁止打印违反打印控制策略的打印作业。6.5打印控制策略不可旁路
产品应确保安装打印客户端主机上所有文档的打印都要受到打印控制策略的制约。3
HiiKAoNniKAca
GA/T1398—2017
6.6安全管理
6.6.1管理员属性初始化
产品应提供授权管理员属性的初始化能力。6.6.2管理员唯一性标识
产品应为授权管理员提供唯一的身份标识，同时将授权管理员的身份标识与该授权管理员的所有可审计事件相关联。
6.6.3管理员属性修改
产品应提供授权管理员的属性（至少包括管理员口令）的修改能力。6.6.4管理员身份鉴别
产品应在执行任何与安全功能相关的操作之前应鉴别任何声称要履行授权管理员职责的管理员身份。
6.6.5管理员身份鉴别最少反馈
对管理员身份进行鉴别时，产品应仅将最少的信息反馈（如鉴别的成功或失败）提供给被鉴别的管理员。
6.6.6管理员身份鉴别失败处理
当对授权管理员鉴别失败的次数达到指定國值后，产品应阻止授权管理员进一步的鉴别请求。6.6.7管理能力
产品应提供授权管理员配置和管理产品安全功能的能力，至少包括：a）打印控制策略管理：
b）查阅和管理审计日志；
c）允许或拒绝用户的打印作业申请。6.6.8管理角色
产品应能对管理员角色进行区分：a）具有至少两种不同权限的管理员角色：b）根据不同的功能模块，自定义各种不同权限角色，并可对管理员分配角色。6.7自身保护功能
产品应能对打印客户端提供一定的保护措施，防止非授权用户进行以下操作：a）强行终止打印客户端运行：
b）强制取消打印客户端在产品启动时自动加载：c）强行卸载、删除或修改打印客户端。6.8远程安全传输
应对产品组件间通过网络传输的数据进行保护，防止被非授权获取。4
HiiKANni KAca
审计功能
6.9.1审计数据生成
产品应能对下列事件生成审计记录：授权管理员鉴别成功和失败；
用户身份鉴别成功和失败；
管理员鉴别尝试不成功的次数超出了设定的限制导致会话连接终止；c
用户身份鉴别尝试不成功的次数超出了设定的限制导致会话连接终止：e)
用户对打印作业的所有请求；
产品对打印申请的打印控制结果（成功打印或拒绝打印）；管理员的重要操作，如增加、删除管理员，用户管理，备份日志等；g)
打印的输出的页数、打印作业的完成状态、打印文档名等。h
GA/T1398—2017
应在每一个审计记录中记录事件发生的日期和时间、事件主体身份，事件描述，事件结果的标志。6.9.2审计日志存储
产品应提供以下功能对审计日志进行存储：a）存储在掉电非易失性存储介质中；b）当存储空间达到阅值时，能通知授权管理员。6.9.3审计日志管理
产品应提供以下功能对审计目志进行管理：a）只允许授权管理员访问审计日志；按日期、时间、用户标识、主机资源标识等条件对审计日志进行组合查询；b)
c）对审计日志进行备份。
7安全保障要求
7.1开发
7.1.1安全架构
开发者应提供产品安全功能的安全架构描述，安全架构描述应满足以下要求：a）与产品设计文档中对安全功能实施抽象描述的级别一致；b）描述与安全功能要求一致的产品安全功能的安全域；描述产品安全功能初始化过程为何是安全的：d）证实产品安全功能能够防止被破坏：证实产品安全功能能够防止安全特性被旁路。e)
7.1.2功能规范
开发者应提供完备的功能规范说明，功能规范说明应满足以下要求：a）完全描述产品的安全功能：
b）描述所有安全功能接口的目的与使用方法；c
标识和描述每个安全功能接口相关的所有参数d）描述安全功能接口相关的安全功能实施行为：5
GA/T1398—2017
e）描述由安全功能实施行为处理而引起的直接错误消息；证实安全功能要求到安全功能接口的追溯；f)i
描述安全功能实施过程中，与安全功能接口相关的所有行为；g)
h）描述可能由安全功能接口的调用而引起的所有直接错误消息。7.1.3实现表示
开发者应提供全部安全功能的实现表示，实现表示应满足以下要求：a）提供产品设计描述与实现表示实例之间的映射，并证明其一致性b）按详细级别定义产品安全功能，详细程度达到无需进一步设计就能生成安全功能的程度；c）以开发人员使用的形式提供。7.1.4产品设计
开发者应提供产品设计文档，产品设计文档应满足以下要求：a)
根据子系统描述产品结构；
标识和描述产品安全功能的所有子系统；描述安全功能所有子系统间的相互作用；c
提供的映射关系能够证实设计中描述的所有行为能够映射到调用它的安全功能接口：d)
根据模块描述安全功能；
提供安全功能子系统到模块间的映射关系；描述所有安全功能实现模块，包括其目的及与其他模块间的相互作用；g）
描述所有实现模块的安全功能要求相关接口，其他接口的返回值，与其他模块间的相互作用及调用的接口；
描述所有安全功能的支撑或相关模块，包括其目的及与其他模块间的相互作用。i
指导性文档
7.2.1操作用户指南
开发者应提供明确和合理的操作用户指南，操作用户指南与为评估而提供的其他所有文档保持一致，对每一种用户角色的描述应满足以下要求：描述在安全处理环境中被控制的用户可访问的功能和特权，包含适当的警示信息；a)
b）描述如何以安全的方式使用产品提供的可用接口；c
措述可用功能和接口，尤其是受用户控制的所有安全参数，适当时指明安全值：dwwW.bzxz.Net
明确说明与需要执行的用户可访问功能有关的每一种安全相关事件，包括改变安全功能所控制实体的安全特性
标识产品运行的所有可能状态（包括操作导致的失败或者操作性错误），以及它们与维持安全e)
运行之间的因果关系和联系；
f）充分实现安全目的所必须执行的安全策略。7.2.2准备程序
开发者应提供产品及其准备程序，准备程序描述应满足以下要求描述与开发者交付程序相一致的安全接收所交付产品必需的所有步骤；a
b）描述安全安装产品及其运行环境必需的所有步骤。6
7.3生命周期支持
7.3.1配置管理能力
开发者的配置管理能力应满足以下要求：a）为产品的不同版本提供唯一的标识。b）使用配置管理系统对组成产品的所有配置项进行维护，并唯一标识配置项。提供配置管理文档，配置管理文档描述用于唯一标识配置项的方法。c
GA/T1398—2017
配置管理系统提供一种自动方式来支持产品的生成，通过该方式确保只能对产品的实现表示进行已授权的改变。
配置管理文档包括一个配置管理计划，配置管理计划描述如何使用配置管理系统开发产品。e)
实施的配置管理与配置管理计划相一致。f）配置管理计划描述用来接受修改过的或新建的作为产品组成部分的配置项的程序。7.3.2配置管理范围
开发者应提供产品配置项列表，并说明配置项的开发者。配置项列表应包含以下内容：a）产品，安全保障要求的评估证据和产品的组成部分：b）实现表示、安全缺陷报告及其解决状态。7.3.3交付程序
开发者应使用一定的交付程序交付产品，并将交付过程文档化。在给用户方交付产品的各版本时，交付文档应描述为维护安全所必需的所有程序。7.3.4开发安全
开发者应提供开发安全文档。开发安全文档应描述在产品的开发环境中，为保护产品设计和实现的保密性和完整性所必需的所有物理的，程序的，人员的和其他方面的安全措施7.3.5生命周期定义
开发者应建立一个生命周期模型对产品的开发和维护进行的必要控制，并提供生命周期定义文档描述用于开发和维护产品的模型。7.3.6工具和技术
开发者应明确定义用于开发产品的工具，并提供开发工具文档无歧义地定义实现中每个语句的含义和所有依赖于实现的选项的含义。7.4测试
7.4.1测试覆盖
开发者应提供测试覆盖文档，测试覆盖描述应满足以下要求：a）表明测试文档中所标识的测试与功能规范中所描述的产品的安全功能间的对应性；b）表明上述对应性是完备的，并证实功能规范中的所有安全功能接口都进行了测试。7.4.2测试深度
开发者应提供测试深度的分析。测试深度分析描述应满足以下要求：7
GA/T1398—2017
a）证实测试文档中的测试与产品设计中的安全功能子系统和实现模块之间的一致性；b）证实产品设计中的所有安全功能子系统、实现模块都已经进行过测试。7.4.3功能测试
开发者应测试产品安全功能，将结果文档化并提供测试文档。测试文档应包括以下内容：测试计划，标识要执行的测试，并描述执行每个测试的方案，这些方案包括对于其他测试结果a
的任何顺序依赖性；
预期的测试结果，表明测试成功后的预期输出；b)
实际测试结果和预期的测试结果相一致。7.4.4
独立测试
开发者应提供一组与其自测安全功能时使用的同等资源，以用于安全功能的抽样测试。7.5脆弱性评定
基于已标识的潜在脆弱性，产品能够抵抗以下攻击行为：具有基本攻击潜力的攻击者的攻击；a)
b）具有增强型基本攻击潜力的攻击者的攻击。8等级划分要求
8.1概述
依据文档打印安全监控与审计产品的开发、生产现状及实际应用情况，将安全功能要求和安全保障要求划分成两个等级。
8.2安全功能要求等级划分
文档打印安全监控与审计产品的安全功能要求等级划分如表1所示。表1文档打印安全监控与审计产品安全功能要求等级划分安全功能要求
用户管理
用户唯一性标识
用户认证
管理访问
打印控
制策略
用户属性修改
用户鉴别信息
用户身份鉴别
用户身份鉴别最少反馈
鉴别失败处理
打印作业申请
打印内容限制
打印作业审批
打印控制
基本级
增强级
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。