【国家标准(GB)】 路由器安全技术要求

GR/T18018—1999
本标准规定了传输控制协议/网间协议(TCP/IP')互联网络设备一路由器的安企功能要求。
本标准的附录A和附录B均是提示的附录。本标难由国家信息化办公室提出。本标准由会国信息技术标准化技术委员会归口。本标准起草单位：电子部第30研究所，中国国家信息安全测评认证中心本标准主要起草人：张建军、其奇敏、吴世忠、昊娅苔、杜明钰。B30
1范围
中华人民共和国国家标准
路由器安全技术要求
Security requirements for routerGB/T 18018-1999
本标准规定了采用传输控制协议/网间协议(TCP/IF)协议路主器的安全功能技术要求，本标准适用下路由器安全功能的设计、研制、评估和略由器产品的选购。2引用标准
下列标准所包含的条文，通过在本标准中引用而构成为本标准的条文。本标准出版时，所示版本均为有效。所有标准都会被修订，使用本标准的各方应探讨使用下列标推最新版本的可能性。GB/T9387.2—1995信息处理系统：开放系统互连基本考模型第2部分：安全体系结构3定义
下列定义与GB/T9387.2中的定文相同：审订audit
鉴别authenticatian
密钥管理keymanagement
4概述
4.1 路由器使用环境
路由器是一类专用的网络设备，它连接两个或更多的计算机网络，在这些网络之间转发数据包。路由器梗用数据包中的目的地址选择该数据包的下一个发往地点。路由器的典型使用环境如图1 所示。风势
路南总
图1路由器的典型使用环境
国家质量技术监蓄属1999-11-11批准2000-05-01实施
4.2安全目标
GB/T 180181999
为防止经由路由器对网络的攻击和保护路出器自身的安全，要求达到以下全部或部分信息安全目标：
a）网络访间控制
路由器提供对网络访间控制的能力l）管理访间
路由器只能出授权管理员进行授权的管理；e）审
路由器能够记录对路由器的访、操作，提供对网络信息流的记录和统计，d）最小访问范围
路出器只能由管理员在路由器上执行必需的程序；c）用户信息的保护
确保由路由器转发的用户信息的安全和保密，[】支持密钥管理
在需要使用密码算法时，提供密钥管理的功能。4.3安全技术要求的描述方法
安全技术要求由安全功能类、安全功能组和安全组件三部分组成。安余技术要求描述方法的组成如图2所示。安全功能灵A
安全功脂组出
安伞功能组b
图2安全技术要求的描述方法的组成该图表示安全功能类A包括安全功能组和b，各组分别包含1、2两个组件。对功能组a，1、2两个组件具有包含关系，2不仅包括1中的安全要求，而且有所护充，对功能组b，1、2两个组件相互独立，两者都可以满足功能组b的要求。
4.3.1安全功能类
安全功能类的定义包括以下内容：8）功能类的名称
每一个功能类都有一个唯的标识名，并使用三个英文字母表示，本标谁中使用该标识名唯一地标识相应的功能类。
b）功能类的描述
功能炎的描述说明该功能类的内容，符合哪些安全目标的要求，功能类的描述还包括该功能类所包含的安全功能组。
4.3.2、安全功能组
安全功能组的定义包括以下内穿：GB/T 18081999
）功能组的名称
每一…个功能组都有一个准一的标识名，并使用七个守符表尔，其落式为：头兰个字母与该动能组所属功能类相同，后三个字母在该攻类中唯地标识该功能组，前后两组学母之间使用下划线连接，懋准中使用该名称哦一地标识相应的安全政能组。b）功能组的描述
能组的描述说明该功能红的内容，符合哪些安全目标的要求。功能组的描还还包括该功能组所包含的东全密件。
4. 3. 3 安会组件
安全组件的定义包括以下内容：a）安全组件的标识
每一个安全组件都有一个唯一的标识名，以表示该组件所属的安全功能类、案会功能，以及该组件在该中的编号。
b）安全期件的错迹
安全组件描述说明该组件的内容，符合哪些安全的标的要求。~般来说，每一台赔由器在指定的安全功能组中只可能实现一个安全组件。c）依赖关系
用下摘述该安全组件与其他安全组件之间的关系。4.4璐由器安全功能要求
璐中器安全动能要求
4.5参考文献
中文名称
毕白器管理安余
路由猎要安全
眼务谊问安全
包造滤
虚拟网络
出始化
标识名
中文名称
密码算法
密朝莺理
用户鉴别
审计数据生成
市计数据萨璃
培内容
肯理员权限
管理信息传输
管孕功能访词
肯理界面
监由信息安全
阀络互联访间
运程用产接人
包过您bzxz.net
虚烘网
出厂段置
标限名
标准参考文献见附录B。
5加密功能类
GB/T18018
加密功能类（FEN)包含两个功能组：密码算法功能组和密钥管理功能组。加密是安全技术的基删，也是其他安全功能组件所必须的，是保证路由器安全月标的基础。加密功能类的红成如图3所示。
加器FEN
册好算法ALG
密钢管理KMG
加密功能类的组成
5.1密码算法功能组（FEV_ALG）5.1.1密码算法(FENATG.1)
凡路由器中安全功能实现使用的密码算法，必须通过国家指定机树的审查，本组件依巅于安全功能组FEN_KMG。5.2密钥管理功能组（FEN_KMG)
密钥分配方案和密码算法，必须通过国家指定机构的审查。5.2.1人工分发密钥(FEN_KMG.1)人工分发密销。
5.2.2自动分发密钥(FEV_KMG.2)自动分发密。
6监别功能类
鉴别功能类（FIA）包含一个功能组：用户鉴别功能组，鉴别功能是保证管理访问和访问控制目标的。
鉴别功能类的组成如图4所示，
要划FTA
用户些别UALT
鉴别功能类的组成
6.用户鉴别功能组(FIAUAU)
6. 1. 1 基本鉴别(FIA UAU. 1)GB/1 18018—1999
使用普通的明文口令方式实现鉴别，鉴别信息无安全保护措施。6.1-2强鉴别(FIA_UAU.2)
果用经国家指定机构审批通过的监别协议和算法，所有鉴别信息均有应的安全保护措施，其实现应通过国家指定机构的审查。
审计功能类
审计功能类(FAU)感路由器所有审计功能的基础，确保审计安全目标的实现，审计功能类包括三个功组：审计数据生成、审计数据管理和审计内容，审计功能类的组成如图5所示。
年止数册生成
审计数据理
审计内器
图5律计功能类的组成
7.1审计数据生成功能组（FAU_GEN）7.1.1事件记录生成(FAUGEN.1)
记录以下事件：
a）事计功能的肩动和终止事件，b）其他安全功能所要求记录的审计事件；审计的记录至少包含以下内容：事件发生的时间、事件类型、事件标识、事件内容。7.1.2用户标识生成(FANGEN.2)
用户标识生成要求将审计事件与用户联系起来进行记录。本功能组件依赖于FIA安全功能类，7.2审计数据管理功能组(FAUMGT)7.2.1基本审计数据管理（FAUMGT.1)2
基本审计数据管理提供审计数据的存储、传送、转储的功能，审计数据具有唯一，明确定义的格式。7.2.2安全审计数据管理(FAU_MGT.2)安全计数据管理在审计数据的管理过程中握提供安全保护。本组件依赖FFEN和FIA安全功能类。7.3审计内容安全功能组（FAUCNT)7.3.1审计内容（FAU_CNT.1)
审计内容包指：
GB/T 18018-1999
a）对通过的数据包进行统评，统计内容必须揽供以下儿方面的信息：1）数据包过撼情况：通过的数据包数量，抛弃的数据包数盘：2）用户通信数据量:能够对势定的IP助处或低层地址进行通信数帮量的统坛：3)访间记最：用广和管理员登录路出器的时间,途径，操作记录等。b）统计报置功能：在用户统计值达到管理是设置的报警界限时进行报费。）日忘记录坊能,能够按管理最的要求,以一定的耐间间随生成审针的记录,该记录的大小只受系统资源荫娠制。
数据截获能打：根据管理员的设置，对经出路由器转发的数据包进行监视、愿踪和截获，总供分新和故避诊断。
e）审计信的转储:支持将审计信息转储到其他存储媒体中。8路亩霸普理安全功能类
路由器安全管理功能类FMS)对路出器管理提出安全要求，管理活动的接对象就是路出器。路由器誉理方试可以分为两种，远程管理和本地誉理。远程管理是指~个远程的管理站，采用标准的应用层协议（或者专用的协议)与赔由器通信，实施对究器的管理。
本地管理是指路由器与管理站使用专用的物理接口违接，该接口只供管理使用。管理安全功能类包含四个功能组：管理权限、管理信息传送、管理功能访间及管理界面。路由器管理安全功能类的组戒如图6所示。路由娠管型安全 FMB
管项信良传赖
管理功能访间
臀理果面
图6由器管理安全功朗类的组成
B 1管理员权限功能组(MRIG)
管理员叔需指普理员对路由器所能实施的管理范医的限谢。8 1. 1 三级管理(FMSRIG.1)
此奖管理设置高，中，低三个级别的穿理员：e）低级别管理员只能对路由器的运行实施蓝视：b）中管理员可以对路由器的运行实施监视，连谢路由器监前的配优，c）高级射管座员可以对路由器的运行实施监视，查间路出器当前的配配，对路由器进行配罩。8.1.2二级管理(FMSRIG.2)
此类管理设督高.低两个级别的普理员：a）低级别管理员可以对路由器的行实监视，查询路由器当前的配量：836
GB/T 18018 —1999
b）高级别管理员可以对路由器的运行实施监视，查询路由器当前的配置，对路由器进行配置。8. 1.3 分工管理(FMS_RIG.3)
类管理将管理员分为若干组，每一组的管理员只能完成某·方面的管理工作，每个组成员的管理.工.作不能相互替代。每一组内的管理员权限还可进一步细分。8.2管理信息传输安全功能组(FMS_TRA)誉理信息传输是指管理信息在管理站与路由器之间的传输。8.2.1安全传输(FMS_TRA.1)
路由器具有对管理信息传输安余的保障。对支持施拟专网的路由器，在使用手册中必须以醒目方式握醒用户以虚拟专网方式传输管理信息，本组件依赖于FEN.FIA、FVN功能类。8.3普理功能访问功能组（FMS_FAC）管理功能的访间是指路由器只能由授权的管理站和管理员进行管理。B. 3. 1 管理身份鉴别(FMS FAC. 1)对于远程普理，路由器必须实现对管理站的身份鉴别和管理员的身份鉴别。对下本地管理，路由署必须实现对管理员身份的鉴别。本安全组件依概于FEN和FIA安全功能组。8.4管理界面安全功能组(FMS_INT）管理界面是指管理员用于实施路由器管理的人机界面，本标准只规定由路由器直接提供的管理界面的安全要求。
B.4.1基本普理界面(FMSIVT.1)
基本管理界面提供以下界面功能：a）管理员录；
b）界面超过规定时间后仍无操作时，自动降低管理员级别至最低级别、或锁定界而，或退出管界面。时间可由管理员设置：
c）不同级别或不同职责的管理员其可以使用的命令相互间不可见。本组件依赖于FEN、FIA安全功能类。8.4.2扩充管理界面（FMS_INT.2)扩充管理界面除FMSINT.1的功能外，还提供以下功能：a）周期性要求管理员确认身份，b）周期性提醒管理员惨改出厂赋认配置。本组件依赖于FEN、FIA安全功能类。9路由信息安全功能类
路由信息是路由器有效工作的重要组战部分，确保路由俏息的正确性、有效性是路由信息安全的目路由信息安全功能类（FRS)包含一个功能组：路由信息安全。路由信息安全功能类的组成如函7所示。837
路由信息安企功能类FIRS
CB/T18018—1999
路由信息安全功能组RIS
9.1路由信息安全功能组(FRSRIS)9. 1. 1 路由信息鉴别(FRS R1S. 1)路由器提供对路由信息的鉴别。本组件依赖于FIA功能类。
9.1.2路由信息加密(FRS_RIS.2)路由器提供对路由信息的加密。本组件依赖于 FEN 功能类。
路由信息安全功能类
9.1.3路由信息的监别和加密(FRS_RIS.3)路由器提供对路由信息的鉴别和加密。本组件依赖于FEN、FIA功能类。10服务访问安全功能类
路由器提供两类服务：网络互联和用户远程接人服务。服务访间安全功能类（FAS）包含两个功能组：网络互联和远茬用户接入。服务访问安全功能类的组或如图8所示。服务访问安全FAS
网喆互
远程用户接人
图8服务访间安全功能类
10.1网络互联访尚安全功能组（FAS_RRA)10.1.1低层协议鉴别(FASRRA.1)利用低层协议提供的鉴别机制实现网络互联路由器之间的鉴别。10.1.2虚拟专网鉴别(FACRRA.2)利用虚拟专网技术实现路由器之闻的鉴别。本组件依赖于FVN功能类。
10.2远程用户接入安全功能组(RUA）10.2.1选程用户鉴别(FASRUA.1)路由器提供对远程用户身份的鉴别。N38
本组件依赖于FIA功能类。
CB/T18018—1999
10.2.2远程用户数据加密（FAS_RUA.2）路由器提供对远程用户数据的加密。本组件依熟T FEN 功能类。
10.2,3远程用户身份的鉴别和数据加密（FA5RUA.3)路由器提供对远程用户身份的鉴别和数据加案。本组件依赖于 FIA,FEN 功能类。11包过滤功能类
包过糖功能类FPF)包含个功能组：包过滤。包过滤功能类的组成如图9所示。包过动能类FPF
包过魂功组
图9包过滤安全功能类
11.1包过滤安全功能组（FPFFIE）11. 1. 1 IP 包过滤(FPF FI1.. 1)支持IP包过滤功能的路由器，必须清足以下要求：a）实现基于IP地址的过滤。用户可以使用地通配符进行过滤表的投暨，实现对网间协议（IP)、传输控制协议（TCP）、用户数据报协议（UDP）互连控制消息协议（ICMP）和相应协议端口的过滤：b）具有识别内外网络地址的能力，防止外部网络冒用内部地址；c）具有识别低层网络地址假胃的功能：d）能够设置告警策略：
e）过滤表的人小只受系统资源的限制：f）具有以下功能，并且管理员可以设置其是否起作用：1）禁止分段过小的数据包通过，最小长度可以设置，并有一个建议值，在管理员设置值小于该值时予以提示；
2）获止源端路由的数据包通过；3）禁此数据包分段偏移值异常的数据包通过，异常偏移值可以设置，并有一个建议值，在管理员设登值小于该值时予以提示。12虚拟专网动能类
虚拟专网功能类(FVN)包含一个功能组：虚拟专网。虚拟专网功能类的组成如图10所示。839
净根专网功能类 FVV
CB/T 18018 --1999
随拟专降动能组
整拟专网安全功能类
12.1虚拟专网功能组(FVNVPN）
12.1.1 IP鉴别(FVN VPN.1)
路由器使用1P包鉴别技术实现虚拟网络。本组件依赖于FIA功能类。
12.1.2IP净荷加密(FVN_VPN.2)
路由器使用IP净椅加密技术（只对用户数据包中的数据加密）实现虚网络。本组件依赖于FEN功能类。
12.1.3IP承裁加密(FVNVIN.3)
路由器使用IP承载加密技术（对完整用户数据包加密，并添加新的数据包头）实现虚拟网络。本组件依赖于FEN功能类。
12.1.4IP加密和鉴别(FVN_VPN.4)路由器同时使用IP加密和鉴别技术实现虚拟网络。本组件依懒于FIA,FEN安企功能类。13路由初始化安全功能类
路由器初始化安全功能类（FIN)包括两个功能组：引导和出厂配置路由器初始化安全功能类的组成如图11所示。路出初始化FIN
！配量
路由器初始化安全功能类
13.1引导安仑功能组（FIVBOT）15
13.1.1引导(FINBT.1)
GB/T18018-1999
引导，路由器的引导必须满足以下要求：）路由器必须具有自引导功能，不能使用网络引导，尤其不能在路由器的自身安全功能发挥作用之前从树络获取引导信息1
b）路出器引导应用程序必须同路由器的肾理相关，并H管理员可以根据需要开放或关闭基些应用程序
13.2出厂配置安余功能组（FINIEF）13.2.1出厂配叠(FIN_DEF,1)
路巾器所有的配置参数（比其是安全配置参数）要有出厂配置，用户安装路由器后应及时提醒用户修改。在路由器使用手册中必须明确列出所有的出」“默认配置参数，并提醒用户修改这些配置参数。14路由器安全级别的划分
路由器安全级别的划分应依据路由器安全功能的实现情况。本标准提供一个建议性的划分规则，见附录 A。
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。