信息系统终端计算机系统安全等级技术要求

信息系统终端计算机系统安全等级技术要求1范围本标准规定了对终端计算机系统进行安全等级保护所需要的安全技术要求，并给出了每一个安全保护等级的不同技术要求。本标准适用于按GB17859—1999的安全保护等级要求所进行的终端计算机系统的设计和实现，对于GB17859—1999的要求对终端计算机系统进行的测试、管理也可参照使用。2规范性引用文件下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注日期的引用文件,其随后所有的修改单,不包括勘误的内容,或修订版均不适用于本标准,然而,鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件,其最新版本适用于本标准。GB17859--1999计算机信息系统安全保护等级划分准则GB/T20271--2006信息安全技术信息系统通用安全技术要求GB/T20272—2006信息安全技术操作系统安全技术要求3术语和定义3.1术语和定义GB17859-1999GB/T20271—2006GB/T20272--2006确立的以及下列术语和定义适用于本标准。3.1.1终端计算机一种个人使用的计算机系统，是信息系统的重要组成部分，为用户访问网络服务器提供支持。终端计算机系统表现为桌面型计算机系统和膝上型计算机两种形态。终端计算机系统一般由硬件系统、操作系统和应用系统（包括为用户方位网络服务器提供支持的攻击软件和其他应用软件）等部分组成。3.1.2可信一种特性，具有该特性的实体总是以预期的行为和方式达到既定目的。3.1.3完整性度量（简称度量）一种使用密码箱杂凑算法对实体计算其杂凑值的过程。3.1.4完整性基准值（简称基准值）实体在可信状态下度量得到的杂凑值，可用来作为完整性校验基准。3.1.5度量根一个可信的实体，是终端计算机系统内进行可信度量的基点。3.1.6动态度量根度量根的一种，支持终端计算机系统对动态启动的程序模块进行实时的可信度量。3.1.7存储根一个可信的实体，是终端计算机系统内进行可存储的基点。3.1.8报告根一个可信的实体，是终端计算机系统内进行可信报告的基点。3.1.9可信根度量根、存储根和报告根的集合，是保证终端计算机系统可信的基础。3.1.10可信硬件模块嵌入终端计算机硬件系统内的一个硬件模块。它必须包含存储根、报告根，能独立提供密码学运算功能，具有受保护的存储空间。3.1.11信任链一种在终端计算机系统启动过程中，基于完整性度量的方法确保终端计算机可信的技术3.1.12可信计算平台基于可信硬件模块或可信软件模块构建的计算平台，支持系统身份标识服务，密码学服务和信任服务，并为系统提供信任链保护和运行安全保护。3.1.13终端计算机系统安全子系统终端计算机系统内安全保护装置的总称，包括硬件、固件、软件和负责执行安全策略的组合体。它建立饿了一个基本的终端计算机系统安全保护环境，并提供终端计算机系统所要求的附加用户服务。终端计算机系统安全子系统应从硬件系统、操作系统、应用系统和系统运行等方面对终端计算机系统进行安全保护。（SSOCS---终端计算机系统安全子系统）3.1.14SSOTCS安全功能正确实施SSOTCS安全策略的全部硬件、固件、软件所提供的功能。每一个安全策略的实现，组成一个安全功能模块。一个SSOTCS的所有安全功能模块共同组成该SSOTCS的安全功能。3.1.15SSOTCS安全控制范围SSOTCS的操作所涉及的主体和客体。3.1.16SSOTCS安全策略对SSOTCS中的资源进行管理、保护和分配的一组规则。一个SSOTCS中可以有一个或多个安全策略。3.2缩略语下列缩略语适用于本标准。SSOTCS终端计算机系统安全子系统SSFSSOTCS安全功能SSCSSOTCS控制范围SSPSSOTCS安全策略TCP可信计算平台4安全功能技术要求4.1物理安全4.1.1设备安全可用根据不同安全等级的不同要求，终端计算机系统的设备安全可用分为：a）基本运行支持：终端计算机系统的社保应提供基本的运行支持，并有必要的容错和故障恢复功能。b）基本安全可用：终端计算机系统的设备应满足基本安全可用的要求，包括主机、外部设备、网络连接部件及其他辅助部件等均应基本安全可用。c）不间断运行支持：终端计算机系统的社保应通过故障容错和故障恢复等措施，为终端计算机系统的不间断运行提供支持。4.1.2设备防盗防毁根据不同安全等级的不同要求，终端计算机系统的设备防盗防毁分为：a）设备标记要求：终端计算机系统的设备应有的明显的无法除去的标记，以防更换和方便查找。b）主机实体安全：终端计算机系统的主机应有机箱封装保护，防止部件损害或被盗。c）设备的防盗和自销毁要求：终端计算机系统的设备应提供拥有者可控的防盗报警功能和系统自销毁功能。4.1.3设备高可靠根据特殊环境应用要求，终端计算机系统的设备高可靠分为：a）防水要求：终端计算机系统应具有高密封性，防止水滴进入；b）防跌落和防震要求：终端计算机系统应加固保护，防止跌落和震动引起的系统破坏。c）抗高低温与高低气压要求：终端计算机系统应能适应高低温和高低气压环境；d）抗电磁辐射与干扰：终端计算机系统应能抵御电磁干扰和电磁辐射对系统的安全威胁；4.2运行安全4.2.1系统安全性检测分析根据不同安全等级的不同要求，终端计算机系统的安全性检测分析分为：a）操作系统安全性检测分析：应从终端计算机操作系统的角度，以管理员的身份评估文件许可、文件宿主、网络服务设置、账户设置、程序真实性以及一般的与用户相对安全点、入侵迹象等，从而检测和分析操作系统的安全性，发现存在的安全隐患，并提出补救措施。b）硬件系统安全性检查分析：应对支持终端计算机系统运行的硬件系统进行安全性检测，通过扫描硬件系统中与系统运行和数据保护有关的特定安全脆弱性，分析其存在的缺陷和漏洞，提出补救措施。c）应用程序安全性检查分析：应对运行在终端计算机系统中的应用程序进行安全性检测分析，通过扫描应用软件中与鉴别、授权、访问控制和系统完整性有关的特定的安全脆弱性，分析其存在的缺陷和漏洞，提出补救措施。d）电磁泄漏发射检查分析：应对运行中的终端计算机系统环境进行电磁泄漏发射检测，采用专门的检测设备，检查系统运行过程中由于电磁干扰和电磁辐射对终端计算机系统的安全性所造成的威胁，并提出补救措施。4.2.2安全审计4.2.2.1安全审计的响应根据不同安全等级的不同要求，终端计算机系统的安全审计的响应分为：a）记审计日志：当检测得到可能有安全侵害事件时，将审计数据记入审计日志。b）实时报警生成：当检测得到可能有安全侵害事件时，生成实时报警信息。c）违例进程终止：当检测得到可能有安全侵害事件时，将违例进程终止，违例进程可以包括但不限于服务进程、驱动、用户进程。d）用户账户断开与失效：当检测得到可能有安全侵害事件时，将当前的用户账号断开，并使其生效。4.2.2.2安全审计的数据产生根据不同安全等级的不同要求，终端计算机系统的安全审计的数据产生分为：a）为下述可审计事件产生审计记录：审计功能的启动和关闭、终端计算机对用户使用身份鉴别机制、管理员用户和普通用户所实施的与安全相关的操作；b）对于每一个事件，其审计记录应包括：事件的日期和时间、用户、事件类型、事件类别，及其他与审计相关的信息。c）对于身份鉴别事件，审计记录应保护请求的来源；d）将每个可审计事件与引起该事件的用户或进程相关联；e）为下述可审计事件产生审计记录：将客体引入用户地址空间（例如：打开文件、服务初始化）、其他与系统安全有关的事件或专门定义的可审计事件。f）对于客体被引入用户地址空间的事件，审计记录应包含客体名及客体的安全等级。g）对机密性数据的创建、使用与删除事件，审计记录应包含机密性数据的安全标记。4.2.2.3安全审计分析根据不同安全等级的不同要求，终端计算机系统的安全审计分析分为：a）潜在侵害分析：应能用一系列规则去监控审计事件，并根据这些规则指出SSP的潜在危害；b）基于异常检查的描述：应能确立用户或检查的质疑度（或信誉度），该质疑度表示该用户或进程的现行获得与已建立的使用模式的一致性程度。当用户或进程的质疑等级超过门限条件时，SSF应能指出将要发生对安全性的威胁；c）简单攻击探测：应能检测到对SSF实施由重大威胁的签名事件的出现，并能通过对一个或多个事件的对比分析或综合分析，预测一个攻击的出现以及出现的事件或方式。为此，SSF应维护支出对SSF侵害的签名事件的内部表示，并将检测到的系统行为记录与签名事件进行比较，当发现两者匹配时，支出一个对SSF的攻击即将到来;d）复杂攻击探测：在上述简单攻击探测的基础上，要求SSF应能检测到多步入侵情况，并能根据已知的事件序列模拟出完整的入侵情况，还应支出发现对SSF的潜在危害的签名事件或事件序列的时间。4.2.2.4安全审计查阅根据不同安全等级的不同要求，终端计算机系统的安全审计查阅分为：a）审计查阅：提供从审计记录中读取信息的能力，即要求SSF为授权用户提供获得和解释审计信息的能力；b）受控审计查阅：审计查阅工具应只允许授权用户读取审计信息，并根据某舟逻辑关系的标准提供对审计数据进行搜索、分类、排序的能力。4.2.2.5安全审计事件选择应根据以下属性选择终端急死俺叫系统的可审计事件：a）客体身份、用户身份、主体身份、主机身份、事件类型；b）作为审计选择性依据的附加属性。4.2.2.6安全审计事件存储根据不同安全等级的不同要求，终端计算机系统的安全审计事件存储分为：a）受保护的审计踪迹存储：要求审计踪迹的存储收到应有的保护，应能检测或防止对审计记录的修改；b）审计数据的可用性确保在以为情况出现时，应能检测或防止对审计记录的修改，以及在发生审计存储已满。存储失败或存储收到攻击以及意外情况出现时，应采取相应的保护措施，确保有时效性的审计记录不被破坏。c）审计数据可能丢失情况下的措施：当审计跟踪超过预定的门限时，应采取相应的措施，进行审计数据可能丢失情况的处理。d）防止审计数据丢失：在审计踪迹存储已满或超过预定的门限时，应采取相应措施，防止审计数据丢失。4.2.3信任链应通过在终端计算机系统启动过程中提供的信任链支持，确保终端计算机系统的运行处于真实可信状态。根据不同安全等级的不同要求，信任链功能分为：a）静态信任链建立：利用终端计算机系统上的度量根，在系统启动过程中对BIOS、MBR、OS部件模块进行完整性度量。每个部件模块在假装前应确保其真实性和完整性。b）静态信任链中操作系统（OS）的完整性度量基准值接受国家专门机构管理，支持在线或离线校验。c）动态信任链建立：利用终端计算机系统上的胴体度量根，对操作系统上应用程序进行实时的完整性度量，确保每个应用晨曦在启动和运行中的真实性和完整性；d）动态信任链中应用晨曦的完整性度量基准值接受国家专门机构管理，支持在线或离线校验。e）信任链模块修复：支持在被授权的情况下，对信任链建立过程中出现的不可信模块进行实时修复。f）信任链模块升级：支持在被授权的情况下，对信任链建立过程中涉及的各个部件的模块进行升级。每个升级模块均应确保其真实性和完整性。4.2.4运行时防护4.2.4.1恶意代码防护恶意代码是对用户使用终端计算机系统造成破坏或影响的程序代码，比如：病毒、蠕虫、特洛伊木马和恶意软件等。根据不同安全等级的不同要求，终端计算机系统的恶意代码防护分为：a）外来借助使用控制：样控制各种外来借助的使用，防止恶意代码通过介质传播；b）特征码扫描：对文件系统和内存采用特征码扫描，并根据扫描结果采取相应的措施，清除或隔离恶意代码。恶意代码特征库应及时更新；c）基于CPU的数据执行保护：防止缓冲区溢出，组织从受保护的内存位置执行恶意代码；d）进行隔离：采用进程逻辑隔离或物理隔离的方法，保护进程免受恶意代码破坏；e）进程行为分析：基于专家系统，对进程行为的危险程度进行等级评估，根据评估结果，采取相应的防护措施。4.2.4.2网络攻击防护终端计算机系统应采取必要措施监控主机与外部网络的数据通信，确保系统免受外部网络侵害或恶意远程控制。应该采取的措施包括：a）