信息技术日志分析产品安全检验规范Word文档格式.docx

信息技术日志分析产品安全检验规范Word文档格式.docx

《信息技术日志分析产品安全检验规范Word文档格式.docx》由会员分享，可在线阅读，更多相关《信息技术日志分析产品安全检验规范Word文档格式.docx（15页珍藏版）》请在冰豆网上搜索。

3.1.1 

数据源控制

审计系统应该提供对审计数据源的授权控制机制，只有授权的审计数据源发送的审计信息才能被审计系统分析处理。

3.1.2 

获取syslog日志

审计系统应支持在标准端口（udp:

514）接收标准syslog日志。

3.1.3 

基于代理的日志获取

审计系统应提供代理机制获取其审计信息，如操作系统日志，安全设备报警信息等。

3.1.4数据源范围

数据源至少包括：

常见操作系统的系统日志；

路由器，交换机日志；

常见服务器日志（如FTP、WEB服务器）。

3.1.5日志格式的统一

安全审计系统应能对多种日志进行集中分析和处理，审计系统应该能够将各种不同的日志格式表示为统一的日志数据格式。

且统一格式时不能造成字段丢失。

3.1.6日志数据的预处理

审计系统应提供基于一定策略对原始日志数据进行筛选等预处理功能，预处理工作应该在将原始日志存入数据库前完成

3.1.7防止数据丢失

当与审计中心连接出现故障时，要有一定的措施防止审计数据丢失。

确保该时段内的各项审计日志在连接正常之后传输到审计中心。

3.2 

日志分析管理

3.2.1 

日志实时监视

审计系统应能够对部分或者全部数据源所产生的日志进行实时监视。

3.2.2 

审计代理状态监视

审计系统应能够监视审计代理的状态，运行是否正常等。

3.2.3 

条件查询

审计系统应提供基于时间、源地址、目的地址、协议类型、危险级别等字段的组合查询。

3.2.4 

统计报表

审计系统应能够手动或自动生成统计报表。

至少能按各数据源生成报表。

3.2.5 

报表格式

报表应至少支持一种常用的文件格式（如HTML、XLS等），如使用专有报表格式，必须提供报表浏览工具。

3.2.6数据库支持

审计数据存储应支持一个常用的数据库（如MySQL，Oracle等）。

3.2.7 

审计数据管理

应能够对审计数据进行备份/删除。

3.3 

安全功能

3.3.1 

管理员身份鉴别

应保证只有授权管理员和可信主机才有权使用产品的管理功能，对授权管理员和可信主机应进行身份鉴别。

3.3.2 

管理员权限：

a）管理员属性修改（更改密码等）；

b）启动、关闭全部或部分监测功能；

c）修改日志分析产品其它安全策略。

3.4 

审计功能

3.4.1 

审计数据生成

应至少能对下列事件生成日志：

a）日志分析产品的启动和关闭；

b）鉴别成功和失败；

c）其它重要操作，如增加、删除管理员，存档、删除、清空日志等。

应在每一个日志记录中记录事件发生的日期和时间、事件描述。

3.4.2 

审计管理

应提供下列日志管理功能：

a）只允许授权管理员访问日志记录；

b）提供对日志记录的查询功能；

c）授权管理员能存档、删除和清空日志记录。

4.日志分析产品的保证要求

4.1交付和运行

4.1.1交付过程

4.1.1.1开发者行为元素：

a）开发者应将把日志分析产品及其部分交付给用户的程序文档化；

b）开发者应使用交付程序。

4.1.1.2证据元素的内容和表示

交付文档应描述，在给用户方分配日志分析产品的版本时，用以维护安全所必需的所有程序。

4.1.2安装、生成和启动程序

4.1.2.1开发者行为元素

开发者应将日志分析产品安全地安装、生成和启动所必需的程序文档化。

4.1.2.2证据元素的内容和表示

文档应描述日志分析产品安全地安装、生成和启动所必要的步骤。

4.2指导性文档

4.2.1管理员指南

4.2.1.1开发者行为元素

开发者应当提供针对系统管理员的管理员指南。

4.2.1.2 

证据的内容和形式元素：

a）管理员指南应当描述日志分析产品管理员可使用的管理功能和接口；

b）管理员指南应当描述如何以安全的方式管理日志分析产品；

c）管理员指南应当包含在安全处理环境中必须进行控制的功能和权限的警告；

d）管理员指南应当描述所有与日志分析产品的安全运行有关的用户行为的假设；

e）管理员指南应当描述所有受管理员控制的安全参数，合适时，应指明安全值；

f）管理员指南应当描述每一种与需要执行的管理功能有关的安全相关事件，包括改变TSF所控制的实体的安全特性；

g）管理员指南应当与为评估而提供的其他所有文档保持一致；

h）管理员指南应当描述与管理员有关的IT环境的所有安全要求。

4.2.2用户指南

4.2.2.1 

开发者行为元素

开发者应当提供用户指南。

4.2.2.2证据的内容和形式元素：

a）用户指南应该描述日志分析产品的非管理用户可用的功能和接口；

b）用户指南应该描述日志分析产品提供的用户可访问的安全功能的用法；

c）用户指南应该包含受安全处理环境中所控制的用户可访问的功能和权限的警告；

d）用户指南应该清晰地阐述日志分析产品安全运行中用户所必须负的职责，包括有关在日志分析产品安全环境阐述中找得到的用户行为的假设；

e）用户指南应该与为评估而提供的其它所有文档保持一致；

f）用户指南应该描述与用户有关的IT环境的所有安全要求。

信息技术数据库安全审计产品检验规范

为了规范全国数据库安全审计产品的开发与应用，保障公共信息网络安全，根据公安部公共信息网络安全监察局的要求，本规范对数据库安全审计产品提出了自身安全功能要求、安全功能要求和保证要求，作为对其进行检测的依据。

本规范规定了数据库安全审计产品的技术要求，提出了该类产品应具备的功能要求和安全保证要求。

并根据功能和保证要求的不同将数据库安全审计产品进行了分级。

本规范的目的是为数据库安全审计产品的研制、开发、测评和采购提供技术支持和指导。

使用符合本规范的数据库安全审计产品可对数据库操作行为进行隐蔽监视，能对事后发现的安全事件进行会话恢复，为数据库取证提供有效的工具。

本规范不涉及在加密网络中使用的数据库安全审计产品。

本规范规定了在网络中使用的数据库安全审计产品的自身安全功能要求、安全功能要求和保证要求。

本规范适用于数据库安全审计产品的生产及检测。

下列术语和定义适用于本规范：

2.1数据库安全审计 

数据库安全审计产品是对网络中指定数据库的使用状态进行跟踪并记录的产品。

2.2审计日志 

审计日志是指数据库安全审计产品自身审计产生的信息。

2.3审计记录 

审计记录是指跟踪指定数据库的使用状态产生的信息。

2.4审计信息 

审计信息是指所有的审计日志和审计记录的总称。

3.安全审计等级划分规范

3.1自身安全功能要求

3.1.1自主访问控制

3.1.1.1属性定义

产品应为每个管理角色规定与之相关的安全属性，例如管理角色标识、鉴别信息、隶属组、权限等。

3.1.1.2属性初始化

产品应提供使用默认值对创建的每个管理角色的属性进行初始化的能力。

3.1.2身份鉴别

3.1.2.1基本鉴别

产品应在执行任何与授权管理员或用户相关功能之前鉴别授权管理员或用户的身份。

3.1.2.2鉴别失败处理（扩展项）

产品应能在鉴别尝试达到最大失败次数后，终止用户建立会话的过程。

3.1.3可信数据

3.1.3.1远程保密传输

与远程可信组件的传送过程中,安全审计产品应提供保护所有的信息数据不被泄漏的功能。

3.1.3.2审计信息完整性

产品应提供在各种使用情况下，保证所有审计信息完整性的功能：

a）应提供防止非授权用户对审计记录或审计日志内容修改或手工添加的功能；

b）应提供防止未授权的删除本地存储的审计记录或审计日志的功能。

3.2安全功能要求

3.2.1审计记录

3.2.1.1审计记录基本内容

应记录数据库访问的相关信息，每一条记录内容至少应包括：

访问开始时间。

对于网络数据库安全审计产品，还必须对网络数据库通讯的源地址和目标地址进行记录。

3.2.1.2数据库通讯信息采集

应对下列数据库访问内容进行审计

a）用于访问的数据库用户帐号；

b）访问的数据库对象；

c）数据库操作类型；

d）具体数据库操作的内容。

3.2.2审计日志

3.2.2.1审计日志内容

应记录安全审计产品自身的审计，记录内容至少应包括：

a）管理员登陆事件。

b）事件日期与时间、主体身份和事件结果（成功或失败）。

3.2.2.2其他审计日志（扩展项）

a）符合表1中的所有可审计事件；

b）表1细节一栏中指定的附加信息。

表1可审计事件

事件 

细节

所有对审计记录或审计日志的删除或清空 

记录时间

从审计记录或审计日志中读取信息 

在信息采集功能运行时所有对审计配置的修改 

所有鉴别机制的使用 

位置

对角色中用户组的修改 

修改后的用户身份

安全审计系统组件的启动与关闭 

3.2.3审计查阅

应提供查询审计记录或审计日志的功能。

3.2.4可理解的格式

应使审计结果为人所理解。

3.2.5防止审计数据丢失（扩展项）

3.2.5.1产品应将生成的审计记录和审计日志储存于一个永久性的介质中。

3.2.5.2当审计存储耗尽/失败/受攻击情况发生时，产品应确保审计记录和审计日志不被破坏。

3.2.5.3产品应能够制定某种策略，具体处理当审计存储接近最大存储空间时的情况。

（例如：

安全审计产品可“忽略可审计事件”或“覆盖所存储的最早的审计记录”或“阻止产生所有可审计事件（除有特权的授权用户外）”，并发送一个告警信息。

）

3.2.6可选择查阅（扩展项）

应提供可选择查阅工具，可供用户进行如下查询：

a）应能根据3.2.1.1和3.2.1.2所列各项条件，对审计记录进行单项选择查询；

b）应能根据3.2.1.1和3.2.1.2所列各项条件，对审计记录进行任意组合选择查询；

c）应能对查询所得结果进行排序。

3.2.7分析结果处理（扩展项）

3.2.7.1审计跟踪管理

授权管理员应能对审计记录进行创建、删除和清空。

3.2.7.2报表功能

产品应能根据审计记录进行统计和分析，并且能根据预先定义的模板生成报表。

4.数据库安全审计产品的保证要求

4.1交付和运行

a）开发者应将把数据库安全审计产品及其部分交付给用户的程序文档化；

交付文档应描述，在给用户方分配数据库安全审计产品的版本时，用以维护安全所必需的所有程序。

开发者应将数据库安全审计产品安全地安装、生成和启动所必需的程序文档化。

文档应描述数据库安全审计产品安全地安装、生成和启动所必要的步骤。

4.2.1.2证据的内容和形式元素：

a）管理员指南应当描述数据库安全审计产品管理员可使用的管理功能和接口；

b）管理员指南应当描述如何以安全的方式管理数据库安全审计产品；

d）管理员指南应当描述所有与数据库安全审计产品的安全运行有关的用户行为的假设；

4.2.2.1开发者行为元素

4.2.2.2 

a）用户指南应该描述数据库安全审计产品的非管理用户可用的功能和接口；

b）用户指南应该描述数据库安全审计产品提供的用户可访问的安全功能的用法；

d）用户指南应该清晰地阐述数据库安全审计产品安全运行中用户所必须负的职责，包括有关在数据库安全审计产品安全环境阐述中找得到的用户行为的假设；

5.数据库安全审计产品安全技术要求的等级划分

依据信息技术-数据库安全审计产品的开发、生产现状及实际应用情况，我们对数据库安全审计产品的安全功能要求划分成二个等级。

数据库安全审计产品安全技术要求等级划分如表2所示。

表2 

安全功能等级划分判定准则

基本要求：

为数据库安全审计产品的最底安全级别。

扩展要求：

为进一步提升产品安全功能的附加要求。

信息技术Web过滤防护产品安全检验规范

1范围

本规范规定了信息技术-Web过滤防护产品的安全功能要求和保证要求。

本规范适用于信息技术-Web过滤防护产品的生产及检测。

2术语和定义

2.1Web过滤防护

Web过滤防护是一个Web服务器上的软件。

它可以过滤任何客户端对Web服务器的HTTP请求，并使用预先定义的规则允许和禁止其连接，防护Web服务器。

3信息技术-Web过滤防护的安全功能 

3.1HTTP请求的过滤功能

3.1.1允许/禁止HTTP各种请求

应能够根据HTTP的请求类型允许或者禁止。

3.1.2HTTP协议头各个字段的长度

对HTTP协议头的各部分长度进行设置，防止缓冲区溢出攻击。

3.1.3URL关键字过滤

对所请求的URL中所包含的关键字进行过滤。

3.1.4后缀名过滤

对所请求的WEB服务器文件后缀名进行过滤

3.1.5禁止WEB服务器的返回内容

对WEB服务器返回的内容进行过滤

3.1.6所支持的网站类型

至少能够支持静态网站，以及ASP、PHP、JSP等动态网站中的两个及以上

3.2管理及审计功能

3.2.1过滤规则库管理

3.2.1.1用户能根据3.1中的格式规定添加、删除、修改自定义过滤规则。

3.2.1.2具有一定的设置好的初始模板。

3.2.2安全属性的设置

管理员能够设置所有安全相关的属性

3.2.3审计数据生成

a）审计应包括所有被过滤的事件

b）每个事件发生的日期、时间，对方IP地址，所请求的URL，所匹配的规则

3.2.4日志清空

应提供对审计事件的清空功能

3.2.5可理解的格式

所有审计事件能被理解

3.2.6防止审计数据丢失

日志信息应存储在永久性存储介质中等

4Web过滤防护产品的保证要求

a）开发者应将把Web过滤防护产品及其部分交付给用户的程序文档化；

b）开发者应使用交付程序。

交付文档应描述，在给用户方分配Web过滤防护产品的版本时，用以维护安全所必需的所有程序。

开发者应将Web过滤防护产品安全地安装、生成和启动所必需的程序文档化。

文档应描述Web过滤防护产品安全地安装、生成和启动所必要的步骤。

a）管理员指南应当描述Web过滤防护产品管理员可使用的管理功能和接口；

b）管理员指南应当描述如何以安全的方式管理Web过滤防护产品；

c）管理员指南应当包含在安全处理环境中必须进行控制的功能和权限的警告；

d）管理员指南应当描述所有与Web过滤防护产品的安全运行有关的用户行为的假设；

e）管理员指南应当描述所有受管理员控制的安全参数，合适时，应指明安全值；

f）管理员指南应当描述每一种与需要执行的管理功能有关的安全相关事件，包括改变TSF所控制的实体的安全特性；

g）管理员指南应当与为评估而提供的其他所有文档保持一致；

h）管理员指南应当描述与管理员有关的IT环境的所有安全要求。

a）用户指南应该描述Web过滤防护产品的非管理用户可用的功能和接口；

b）用户指南应该描述Web过滤防护产品提供的用户可访问的安全功能的用法；

c）用户指南应该包含受安全处理环境中所控制的用户可访问的功能和权限的警告；

d）用户指南应该清晰地阐述Web过滤防护产品安全运行中用户所必须负的职责，包括有关在Web过滤防护产品安全环境阐述中找得到的用户行为的假设；

e）用户指南应该与为评估而提供的其它所有文档保持一致；

f）用户指南应该描述与用户有关的IT环境的所有安全要求。