ICS 35.040 CCS L 80 辽 DB21 宁 省 地 方 标 准 DB21/T 3440—2021 虚拟化软件系统安全测评技术规范 2021 - 06 - 30 发布 辽宁省市场监督管理局 2021 - 07 - 30 实施 发布 DB21/T 3440—2021 目 次 前 言 ............................................................................. II 引 言 ............................................................................ III 1 范围 ................................................................................ 1 2 规范性引用文件 ...................................................................... 1 3 术语和定义 .......................................................................... 1 4 安全测评 ............................................................................ 1 4.1 安全性测试 ........................................................................ 1 4.1.1 身份鉴别 ........................................................................ 1 4.1.2 数据安全存储 .................................................................... 2 4.1.3 日志审计 ........................................................................ 2 4.1.4 数据安全 ........................................................................ 3 4.1.5 虚拟机独立性 .................................................................... 3 4.2 保证要求测试 ...................................................................... 3 4.2.1 配置管理 ........................................................................ 3 4.2.2 交付和运行 ...................................................................... 4 4.2.3 安全功能开发过程 ................................................................ 4 4.2.4 指导性文档 ...................................................................... 5 4.2.5 脆弱性评定 ...................................................................... 6 I DB21/T 3440—2021 前 言 本文件的编制依据GB/T 1.1—2020《标准化工作导则 第1部分：标准化文件的结构和起草规则》 的要求进行。 本文件由中共辽宁省委网络安全和信息化委员会办公室提出。 本文件由中共辽宁省委网络安全和信息化委员会办公室归口。 本文件起草单位：辽宁省先进装备制造业基地建设工程中心、辽宁省信息安全与软件测评认证中心、 沈阳赛宝科技服务有限公司。 本文件主要起草人：张震、朱在田、郭剑锋、张雪、姚壮、赵英科、吕天昊、刘奇、赵云志、孟祥 丽、金鑫、王友民。 本文件发布日期：属首次发布。 本文件发布实施后，任何单位和个人如有问题和意见建议，均可以通过来电和来函等方式进行反馈， 我们将及时答复并认真处理，根据实际情况依法进行评估及复审。 归口管理部门通信地址：沈阳市和平区光荣街26号甲。 归口管理部门联系电话：024-81680031 标准起草单位通讯地址：辽宁省沈阳市和平区太原北街2号综合楼。 标准起草单位联系电话：024-23447409。 II DB21/T 3440—2021 引 言 虚拟化是一个广义的术语，在计算机方面通常是指软件在虚拟的基础上而不是真实的基础上运行， 一台物理计算机上同时运行多个独立的操作系统以及相互独立的应用。虚拟化使用软件的方法重新定义 划分IT资源，可以实现IT资源的动态分配、灵活调度、跨域共享，提高IT资源利用率，使IT资源能够真 正成为社会基础设施，服务于各行各业中灵活多变的应用需求。 目前我国发布了针对虚拟化技术的国家标准，包括GB/T 35292—2017《信息技术 开放虚拟化格式 (OVF)规范》等，但针对虚拟化软件系统的安全性技术规范和测试方法方面存在空白，还没有一个针对 性、规范化的操作标准，因此特制订本文件。 本文件用来约束和规定虚拟化软件系统的安全测评。 III DB21/T 3440—2021 虚拟化软件系统安全测评技术规范 1 范围 本文件规定了政务云平台和私有云平台使用的虚拟化软件系统的安全测评方法和判定规则。 本文件适用于政务云平台和私有云平台使用的虚拟化软件的安全测评，规定了身份鉴别、数据安全 存储、日志审计、数据安全、虚拟机独立性、配置管理、交付和运行、安全功能开发、指导性文档、脆 弱性的安全测评过程，对虚拟化软件的测试可参照使用。 2 规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件， 仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本 文件。 GB/T 35292–2017 信息技术 开放虚拟化格式（OVF）规范 3 术语和定义 3.1 虚拟服务器 Virtual Server 虚拟服务器指通过各种虚拟化技术，为用户提供的与原有物理服务器类似的不同操作系统和应用程 序运行环境的统称。虚拟服务器通常使用物理服务器的部分资源，在用户看来它与物理服务器的使用完 全相同。 ［来源：GB/T 35292—2017，有修改］ 3.2 虚拟机 Virtual Machine 一种虚拟的数据处理系统，是在某个特定用户的独占使用下，但其功能是通过共享数据处理系统的 各种资源得以实现的。 ［来源：GB/T 35292—2017］ 3.3 保证要求 Guarantee Requirements 保证系统运行的基本要求。 4 安全测评 4.1 安全性测试 4.1.1 身份鉴别 4.1.1.1 用户鉴别 4.1.1.1.1 测评项 1 DB21/T 3440—2021 在任何用户执行管理功能前，虚拟化软件都应对该管理角色身份进行鉴别。 4.1.1.1.2 测评实施 a) b) 查看产品说明手册，记录产品支持的用户鉴别方式； 验证产品声称支持的用户鉴别方式，验证任何用户执行管理功能前，产品都应对该管理角色身 份进行鉴别。 4.1.1.1.3 结果判定 若产品同时符合4.1.1.1.2 a）和b），则满足此项要求。 4.1.1.2 重鉴别 4.1.1.2.1 测评项 当已通过身份鉴别的管理角色空闲操作时间超过规定值后，虚拟化软件应对该管理角色身份重新进 行鉴别。 4.1.1.2.2 测评实施 验证已通过身份鉴别的管理角色空闲操作时间超过规定值后，产品是否对该管理角色身份重新进行 鉴别。 4.1.1.2.3 结果判定 若产品符合4.1.1.2.2，则满足此项要求。 4.1.2 数据安全存储 4.1.2.1 测评项 产品应对产生的审计记录数据进行保护，防止其被泄露、篡改和丢失。 4.1.2.2 测评实施 a) b) c) d) 审查产品说明手册声称的审计记录安全措施，对声称的措施进行核实； 使用非授权管理员尝试对审计记录进行查看，检测产品防止泄露的功能； 使用授权管理员尝试对审计记录进行修改和编辑，检测产品防止篡改的功能； 管理员尝试对审计记录进行删除操作，检测产品防止丢失的功能。 4.1.2.3 结果判定 a) b) c) d) 产品应对产生的审计记录数据进行保护； 能够防止审计记录被泄露； 能够防止审计记录被篡改； 能够防止审计记录被丢失。 e）a）－d）项均满足为符合；其他情况判定为不符合。 4.1.3 日志审计 4.1.3.1 审计事件类型 4.1.3.1.1 测评项 a) 软件应能为下述可审计事件产生日志审计记录： b) 用户角色创建、删除和属性修改； c) 用户登录、注销产品； d) 创建、删除和修改策略等策略操作； e) 用户身份鉴别失败事件； f) 查看、导入导出和删除日志等审计日志操作； g) 产品升级操作。 4.1.3.1.2 测评实施 2 DB21/T 3440—2021 验证产品是否能够对上述可审计事件产生日志审计记录。 4.1.3.1.3 结果判定 若产品符合4.1.3.1.3，则满足此项要求。 4.1.3.2 日志记录内容 4.1.3.2.1 测评项 日志审计记录应至少包含事件日期和时间、事件类型、事件主体和事件内容描述。 4.1.3.2.2 测评实施 查看产品产生的日志审计记录是否包含事件日期和时间、事件类型、事件主体和事件内容描述。 4.1.3.2.3 结果判定 若产品符合4.1.3.2.2，则满足此项要求。 4.1.4 数据安全 4.1.4.1 测评项 虚拟化软件应提供安全机制保护安全策略、审计日志、身份鉴别等数据免遭未经授权的查阅、修改 或删除。 4.1.4.2 测评实施 a) b) 查看产品说明手册，记录产品数据安全机制； 验证产品声称的数据安全机制，是否提供安全机制保护安全策略、审计日志、身份鉴别等数据 免遭未经授权的查阅、修改或删除。 4.1.4.3 结果判定