【GA公共安全标准】 信息安全技术信息过滤产品技术要求

ICS35.240
中华人民共和国公共安全行业标准GA/T698—2014
代替GA/T698—-2007
信息安全技术
信息过滤产品技术要求
Information security iechnology--Technical requirements for information filtering products2014-03-24发布
中华人民共和国公安部
2014-03-24实施
规范性引用文件
术语和定义
缩略语
信息过滤产品描述
安全环境
组织安全策略
7安全目的
产品安全目的
环境安全目的
安全功能要求
协议识别
应用过滤功能
策略应用范围
标识与鉴别
鉴别失败处理
超时锁定或注销
安全支撑系统
管理员权限
远程管理安全
审计日志
安全保证要求
配置管理
9.2交付与运行
指导性文档
9.5生命周期支持，
脆弱性评定
GA/T698—2014
GA/T698—2014
技术要求基本原理
10.1安全功能要求基本原理
安全保证要求基本原理
11等级划分要求
安全功能要求等级划分
安全保证要求等级划分
TiiKAoNiKAca
本标准按照GB/T1.1一2009给出的规则起草。本标准代替GA/T698—2007《信息安全技术2007相比，主要技术变化如下：GA/T698—2014
信息过滤产品安全功能要求》。与GA/T698-标准名称改为《信息安全技术信息过滤产品技术要求》（见封面，2007年版的封面）；增加了缩略语（见第4章）；
增加了信息过滤产品描述（见第5章）；增加了安全环境，包括假设、威胁和组织安全策略（见第6章)；增加了安全目的，包括产品安全目的和环境安全目的（见第7章）；-增加了“策略应用范围”的要求（见8.3）；增加了“标识与鉴别”的要求（见8.4）；增加了“远程管理安全”的要求（见8.9）；-增加了安全保证要求（见第9章）；增加了技术要求基本原理，包括安全功能要求基本原理和安全保证要求基本原理（见第10章)；
删除了“网页链接信息过滤”的要求（见2007年版的4.1.5)；删除了“搜索引擎信息过滤”的要求（见2007年版的4.1.6）；删除了“黑名单、白名单”的要求（见2007年版的4.1.8)；删除了“TELNET信息过滤”“即时消息信息过滤”和“聊天室信息过滤”的要求（见2007年版的4.4.2、4.4.4、4.4.5)。
请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。本标准由公安部网络安全保卫局提出。本标准由公安部信息系统安全标准化技术委员会归口。本标准起草单位：公安部计算机信息系统安全产品质量监督检验中心、公安部网络安全保卫局、方正信息产业控股有限公司、蓝盾信息安全技术股份有限公司、公安部第三研究所。本标准主要起草人：顾建新、顾健、陆磊、顾玮、俞优、张奕、吴新丽、杨育斌。本标准所代替标准的历次版本发布情况为：-GA/T698—2007。
iiKAoNiKAca
GA/T698-2014
本标准详细描述了与信息过滤产品安全环境相关的假设、威胁和组织安全策略，定义了信息过滤产品及其支撑环境的安全目的，通过基本原理论证安全功能要求能够追溯并覆盖产品安全目的，安全目的能够追溯并覆盖安全环境相关的假设、威胁和组织安全策略。本标准基本级参照了GB/T18336.3一2008中规定的EAL2级安全保证要求，增强级在EAL4级安全保证要求的基础上，将脆弱性分析要求提升到可以抵御中等攻击潜力的攻击者发起的攻击。本标准仅给出了信息过滤产品应满足的安全技术要求，但对信息过滤产品的具体技术实现方式、方法等不做要求。
TiiKAoNiKAca
1范围
信息安全技术
信息过滤产品技术要求
本标准规定了信息过滤产品的安全功能要求、安全保证要求及等级划分要求。本标准适用于信息过滤产品的设计、开发和检测。2规范性引用文件
GA/T698—2014
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB17859一1999计算机信息系统安全保护等级划分准则GB/T18336—2008（所有部分）信息技术安全技术信息技术安全性评估准则GB/T25069—2010信息安全技术术语3术语和定义
GB17859—1999GB/T18336—2008（所有部分）和GB/T25069—2010界定的术语和定义适用于本文件。
4缩略语
下列缩略语适用于本文件。
FTP：文件传输协议（FileTransferProtocol)HTTP：超文本传输协议（HypertextTransferProtocol）IM：即时通讯（InstantMessenger）IP：因特网协议(InternetProtocol)MAC：介质访问控制（MediaAccessControl）POP3：邮局协议第三版（PostOfficeProtocol3）SMTP：简单邮件传输协议（SimpleMailTransferProtocol）TELNET：远程登录（TelecommunicationNetwork）URL：统一资源定位符（UniversalResourceLocator）5信息过滤产品描述
本标准中定义的信息过滤产品是指通过分析网络通讯数据，重点对网络上的HTTP、FTP和邮件等应用层协议中的一种或者多种进行实时分析，根据预先定义的规则对其内容进行筛选并拦截。信息过滤产品一般位于访问客户端与目标服务器之间，对过滤策略中定义的流入或流出信息进行控制，并保护信息过滤产品自身及其内部的重要数据。该产品通常以串接或者旁路模式部署在访问客户端所在网络的出口处。
TTTKAONTKAca
GA/T698-2014
图1是信息过滤产品串接部署的典型运行环境。主机1
主机2
主机n
访间客户端
信息过滤产品
FTP服务器
Web服务器
邮件服务器
目标服务端
图1信息过滤产品串接部署运行环境图2是信息过滤产品旁路部署的典型运行环境。主机1
主机n
访问客户端
信息过滤产品
FTP服务器
Web服务器
邮件服务器
目标服务端
图2信息过滤产品旁路部署运行环境6
安全环境
6.1假设
信息过滤产品安全环境相关的假设如表1所示。表1假设
假设名称
物理访问
人员能力
连接性
安全维护
假设描述
产品的处理资源应限定在受控的访问设备内，以防止未授权的物理访问。所有实施产品安全策略相关的硬件和软件都应受到保护，以免受非授权的物理更改授权管理员是无恶意的、训练有素的，并遵循管理员指南部署在访间客户端所在网络的出口处，能够获取到访问客户端与目标服务器之间的通讯数据当产品的应用环境发生变化时，应立即反映在产品的安全策略中并保持其安全功能有效TiiKAoNiKAca
6.2威胁
信息过滤产品安全环境相关的威胁如表2所示。表2威胁
威胁名称
非授权访问
信息泄漏
暴力认证
漏洞攻击
6.3组织安全策略
威胁描述
非授权用户可能试图访问和使用产品提供的安全功能非授权用户可能获取远程授权管理员和产品之间传输的相关安全信息非授权用户可能通过反复猜测鉴别数据的方法，从而获取管理员权限GA/T698-2014
非授权用户可能利用产品自身的安全机制进行攻击，导致产品权限丢失或功能故障信息过滤产品安全环境相关的组织安全策略如表3所示。表3组织安全策略
组织安全策略名称
信息内容过滤控制
安全管理
安全目的
产品安全目的
组织安全策略描述
根据需求对流人流出的信息内容进行过滤控制为追踪所有与安全相关活动的责任，与安全相关的事件应记录、保存和审查产品应为授权管理员提供管理手段，使其以安全的方式进行管理表4定义了产品的安全目的。这些安全目的旨在对应已标识的威胁或组织安全策略。表4产品安全目的
产品安全目的名称
信息内容过滤
身份认证
管理信息安全bzxZ.net
鉴别失败处理
操作系统加固
产品安全目的描述
产品能够分析网络协议，按规则实现对预定义内容的过滤拦截
在允许用户访问产品功能之前，产品应对用户身份进行唯一的标识和鉴别
如果产品允许通过相连网络对其进行远程管理，那么它应保证远程管理信息的保密性产品应具备安全机制，防止恶意用户反复猜测鉴别数据
为更好地防范产品自身的漏洞，产品应确保底层支撑系统的可靠性和稳定性
对应的威胁或
组织安全策略
信息内容过滤控制
非授权访问
信息泄漏
暴力认证
漏洞攻击
TiiKANiKAca
GA/T698—2014
产品安全目的名称
安全管理
环境安全目的
表4（续）
产品安全目的描述
产品应向授权管理员提供以安全方式进行管理的有效手段
产品应记录自身安全相关的事件和信息过滤事件，以便追踪安全相关行为的责任和违法策略的访问行为，并应提供方法审查所记录的数据
对应的威或
组织安全策略
安全管理
表5定义了非技术或程序方法进行处理的安全目的。6.1确定的假设被包含在环境安全目的中。表5环境安全目的
环境安全目的名称
物理访间
人员能力
连接性
安全维护
8安全功能要求
8.1协议识别
环境安全目的描述
产品的处理资源应限定在受控的访间设备内，以防止未授权的物理访问。所有实施产品安全策略相关的硬件和软件都应受到保护，以免受非授权的物理更改管理员是无恶意的、训练有素的，并遵循管理员指南部署在访间客户端所在网络的出口处，能够获取到访间客户端与目标服务器之间的通讯数据当产品的应用环境发生变化时，应立即反应在产品的安全策略中并保持其安全功能有效
对应的假设或威胁
物理访间
人员能力
连接性
安全维护
产品应能够对HTTP、FTP、SMTP和POP3等应用协议(一种或多种）进行分析识别。8.2应用过滤功能
HTTP信息过滤
8.2.1.1网址过滤
产品应能够对预定义网址（URL或IP地址）进行过滤，具体要求如下：配备预定义网址库，可显示网址库的版本和内置的条数等信息；a)
根据用户访问网页的网址属性判断是否为预定义网址，如果是则拦截；预定义网址库的内容应可管理；预定义网址库应能分类。
TiiKANiKAca
8.2.1.2网址库升级
产品应能够对预定义网址库进行升级更新，并记录升级的日志。8.2.1.3网质内容信息过滤
GA/T698-2014
产品应能够对网页中的文本内容进行过滤，即通过设置预定义内容，以有效的方式判断该网页中是否包含预定义内容，如果是则拦截，所支持的网页类型包括：a）普通网页；
b）压缩网页；
网页快照。
8.2.1.4网页内容信息过滤扩展功能产品应具备一定的网页内容信息过滤扩展功能，具体要求如下：能够对网页内容信息过滤策略进行制定和修改，以提高内容信息过滤的管理控制能力；a)
b）对所设定的过滤内容的近义、同义内容实现有效的过滤。8.2.1.5预定义网址库自动添加
产品应能够根据网页中的文本内容判断该网页是否存在需要过滤的内容，对于满足条件的网页网址可根据需要自动添加到预定义网址库中。8.2.1.6图像过滤
产品应能够利用图像辨识技术对网页上出现的特定内容图像进行计算，根据计算结果判断该图像是否为预定义图像，如果是则过滤。8.2.1.7传输文件过滤
产品应能够针对HTTP方式上传、下载的文件实现有效的过滤拦截，具体可根据以下要求作为条件实现过滤：
a）文件类型；
b）文件名；
文件内容；
图片内容。
邮件信息过滤
邮件解码
产品应能够对邮件编码（如base64)进行解析，至少支持对中文和英文邮件的内容识别。8.2.2.2邮件内容信息过滤
产品应能够通过设置策略，实现对邮件收发内容的过滤，过滤规则的条件包括以下内容：a）邮件主题包含设定关键字；
b）发件人字段包含设定关键字；收件人字段包含设定关键字：
d）信体包含设定关键字；
GA/T698—2014
附件的文件名包含设定关键字；f)
未加密和未压缩的字符型文件附件的内容包含设定关键字；未加密的特殊格式文件附件内容包含设定关键字，如doc、xls、wps等类型文件：g）
未加密的压缩文件附件内容包含设定关键学，如rar、zip等类型文件；i)
邮件正文或附件中的图片内容包含设定条件，比如图像或文学。邮件内容信息过滤扩展功能
产品应具备一定的邮件内容信息过滤扩展功能，具体要求如下：能够对邮件内容信息过滤策略进行制定和修改，以提高对邮件内容信息过滤的管理控制能力；a)
b）对所设定的过滤内容的近义、同义内容实现有效的过滤。8.2.3FTP信息过滤
网络地址过滤
产品应能够通过设置策略，对可访问的FTP服务器地址进行过滤。2服务命令过滤
产品应能够对预定义的FTP服务命令进行过滤。3FTP内容信息过滤
产品应能够对FTP方式上传、下载的文件内容进行过滤，具体可根据以下要求作为条件实现过滤：a）文件类型；
文件名；
文件内容；
图片内容。
FTP内容信息过滤扩展功能
产品应具备一定的FTP内容信息过滤扩展功能，具体要求如下：a)
能够对FTP上传、下载的文件内容信息过滤策略进行制定和修改，以提高文件内容信息过滤的管理控制能力；
对所设定的过滤内容的近义、同义内容实现有效的过滤。b）
8.2.4其他信息过滤
产品应能够针对其他类型的应用层协议进行分析识别，根据设定特征值对传输内容进行有效的匹配过滤。
8.3策略应用范围
产品应能指定应用过滤策略的终端主机范围。8.4标识与鉴别
8.4.1用户标识
产品应保证任何用户都具备全局唯一的标识。6
8.4.2管理角色
产品应将用户按角色进行划分，使不同权限的用户角色具有不同的权限。8.4.3身份鉴别
GA/T698—2014
产品应保证在任何用户执行管理功能前都要对其进行身份鉴别。若其采用网络远程方式管理，还应对用户所在主机进行识别。
8.4.4鉴别数据保护
产品应保证鉴别数据不被未授权查阅或修改。8.5鉴别失败处理
产品应提供鉴别失败处理功能，用户鉴别尝试连续失败达到设定的次数后，阻止用户进一步的鉴别请求。最大失败次数仅由授权管理员设定。8.6超时锁定或注销
产品应提供用户登录超时锁定或注销功能，用户在设定的时间段内没有任何操作的情况下，终止其当前管理会话，需要再次进行身份鉴别才能够重新进行管理操作。最大超时时间仅由授权管理员设定。8.7安全支撑系统
产品的底层支撑系统应满足以下要求：a）确保其支撑系统不提供多余的网络服务；b）不含任何导致产品权限丢失、拒绝服务等的安全漏洞。8.8
管理员权限
授权管理员应具备的管理权限如下：管理员属性修改（更改密码等）；a）
启动、关闭全部或部分过滤功能；b)
修改信息过滤产品的安全策略。8.9
远程管理安全
产品如果支持远程管理，应通过采取保密措施来保护远程管理对话。8.10审计日志
审计日志生成
产品应能够至少对下列事件生成日志：a）产品过滤策略的启动和关闭；b)
产品对预定义内容的过滤和拦截行为；管理员登录事件；
管理员的各种操作。
每一条审计日志中至少应包括事件主体，事件发生的日期、时间，事件描述和结果。7
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。