中华人民共和国国家标准信息安全技术防病毒网关安全技术要求和测试评价方法发布中华人民共和国国家质量监督检验检疫总局中国国家标准化管理委员会实施发布目次前言范围术语和定义缩略语防病毒网关描述技术要求总体说明功能要求性能要求安全要求安全保障要求测试评价方法总体说明功能测试性能测试安全性测试安全保障评估附录资料性附录防病毒网关运行环境与模式附录资料性附录防病毒网关测试环境与工具参考文献前言本标准按照给出的规则起草本标准由全国信息安全标准化技术委员会提出并归口本标准起草单位国家计算机病毒应急处理中心国家信息中心中国电子科技集团公司第十五研究所信息产业信息安全测评中心中国科学院大学北京安天网络安全技术有限公司北京瑞星信息技术股份有限公司亚信科技成都有限公司北京冠群金辰软件有限公司北京网御星云信息技术有限公司网神信息技术北京股份有限公司华为技术有限公司本标准主要起草人陈建民杜振华张瑞刘威曹鹏黄一斌刘健禄凯肖新光叶荣军张玉清王文杰白日高晓立王光宇杨黎鸿刘振华刘彦张泰然张喆邓莹彭立炜孙波李冬舒心张韫菁冯军亮马天成刘杨王文一徐双双信息安全技术防病毒网关安全技术要求和测试评价方法范围本标准规定了防病毒网关的技术要求和测试评价方法本标准适用于防病毒网关的设计开发及检测术语和定义下列术语和定义适用于本文件防病毒网关部署于网络和网络之间通过分析网络层和应用层的通信根据预先定义的过滤规则和防护策略实现对网络内的病毒防护病毒能够影响计算机操作系统应用程序和数据的完整性可用性可控性和保密性的计算机程序或代码包括文件型病毒蠕虫木马程序宏病毒脚本病毒等恶意程序隔离防病毒网关在对病毒进行处理时为保留病毒样本以及受感染的文件而采取将病毒以及受感染的文件存储在一个被称之为隔离区的受限制存储空间的处理方式内部网络通过防病毒网关隔离的可信任区域或保护区域外部网络通过防病毒网关隔离的不可信任区域或非保护区域最大并发连接数防病毒网关所能保持的最大并发连接数量最大新建连接速率防病毒网关在单位时间内所能建立的最大连接数一般是每秒新建的连接数恶意指向的资源中含有病毒的加壳病毒通过特定算法的变换将病毒的编码进行一次或多次的压缩加密产生新的病毒文件与原病毒文件相比文件内容发生变化但功能保持不变可执行病毒样本可以被激活并正常执行其功能的病毒样本文件恶意网页脚本样本含有漏洞利用后门远程控制等恶意代码的恶意网页或脚本病毒样本文件已知病毒样本防病毒网关产品能够检测的病毒样本文件病毒样本库病毒样本文件的集合隧道为实现不同类型网络之间通信的一种网络通信协议封装和加密技术缩略语下列缩略语适用于本文件逗号分隔的文本文件格式命令与控制微软公司文字处理软件文档格式文件传输协议千兆秒超文本标记语言超文本传输协议邮件访问协议互联网协议互联网协议第版互联网协议第版千字节便携式文档格式邮局协议第版简单邮件传输协议传输控制协议统一资源定位符微软公司电子表格文档格式可扩展标记语言防病毒网关描述防病毒网关是一种网络设备用以保护内网进出数据的安全主要体现在病毒的检测隔离过滤阻断等功能同时部分设备也具有一定防火墙的功能这种网关防病毒产品能够检测进出网络内部的数据对多种应用协议的数据进行病毒扫描一旦发现病毒就会采取相应的手段进行隔离或查杀防病毒网关运行环境和工作模式参见和技术要求总体说明技术要求分类防病毒网关技术要求分为功能要求性能要求安全要求和安全保障要求四个大类其中功能要求是对防病毒网关产品应具备的功能提出具体的要求包括防护能力策略自定义响应处理报表和统计升级能力协同联动能力等性能要求是对防病毒网关产品应达到的性能指标做出规定例如协议数据最大处理能力协议数据最大处理能力等安全要求是对防病毒网关自身安全和防护能力提出具体的要求例如异常流量处理故障信息告警标识与鉴别安全支撑系统安全管理审计日志失效保护功能双机热备数据完整性等安全保障要求则针对防病毒网关开发者和防病毒网关自身提出具体的要求例如开发指导性文档生命周期支持测试脆弱性评定等安全等级安全等级分为基本级和增强级安全等级划分标准主要依据产品的功能特性对基本级产品的性能不作要求增强级产品除需满足基本级产品的技术要求外还需满足增强级中列出的其他技术要求功能要求基本级防护能力静态病毒防护当处于静态非激活的各类病毒在被监控网络中传播时产品应具有相应的响应处理能力并且不应对正常的系统文件和文档报警多种类型网络应用场景支持产品应能够支持多种网络应用场景应支持纯网络应用场景应用协议支持产品应支持对使用以下应用协议的网络请求和响应进行过滤协议协议协议协议策略自定义产品应能根据中所述的要求添加修改和删除过滤策略响应处理病毒检测产品应能根据防护策略对病毒文件进行检测和告警病毒阻断产品应能根据防护策略对病毒文件进行准确阻断病毒隔离产品应能根据防护策略对病毒文件进行隔离保存告警信息产品应能对病毒传播行为过滤防护等提供报警功能报警信息应至少包括以下内容病毒告警信息病毒传播来源地址病毒传播来源端口号病毒传播目的地址病毒传播目的端口号病毒传播协议病毒文件名病毒名称事件发生的日期和时间过滤防护告警网络请求源地址网络请求来源端口号网络请求目的地址网络请求目的端口号过滤阻断原因事件发生的日期和时间告警方式产品告警应采用屏幕实时提示邮件告警短信告警和声音告警等一种或多种方式事件记录产品应能对病毒传播行为恶意访问过滤防护等安全事件及时生成事件记录事件记录应存储于掉电非易失性存储介质中且在存储空间达到阈值时能够通知授权管理员报表和统计报表生成产品应能对事件记录进行统计并根据以下模板生成报表缺省报表模板自定义报表模板报表导出产品报表应能输出成方便阅读的文件格式至少支持以下报表文件格式中的一种或多种等统计功能产品应提供基于流量协议病毒传播行为等进行统计的功能升级能力产品应支持手动或自动的方式进行升级包括对病毒特征库策略文件以及服务程序等进行更新增强级防护能力动态病毒防护防病毒网关应有效阻止已激活病毒在网络内部的传播并且阻止与该病毒相关的恶意网络通讯如违规外联通讯等逃避检测防护产品应能支持识别以下特殊格式的病毒文件以此发现逃避检测的病毒传播行为无口令保护的压缩格式文件包括等无口令保护的多层层以上压缩格式的病毒文件加壳格式的病毒文件恶意防护对于含有病毒木马等病毒的恶意产品应具有相应的响应处理能力多种类型网络应用场景支持产品应能够支持多种网络应用场景应支持以下与共存的网络应用场景产品支持与双协议栈产品支持隧道技术应用协议支持产品应支持对使用协议的网络请求和响应进行过滤响应处理恶意阻断产品应能根据防护策略对恶意的访问请求进行阻断告警信息产品应能对恶意访问等提供报警功能报警信息应至少包括以下内容恶意地址访问恶意地址的地址恶意描述事件发生的日期和时间升级能力产品应支持增量升级协同联动能力产品应支持与其他安全产品的协同联动功能具体要求如下防病毒网关应按照一定的安全协议与其他安全产品协同联动并支持手工与自动方式来配置联动策略防病毒网关应在建立协同联动前与其联动的安全产品进行身份鉴别性能要求基本级无增强级协议数据最大处理能力防病毒网关的协议数据最大处理能力视不同应用场景有所不同带宽环境下具体指标要求如下最大并发连接数不小于个最大新建连接数不小于个协议数据最大处理能力防病毒网关的协议数据最大处理能力视不同应用场景有所不同带宽环境下无延迟请求响应处理能力具体指标要求如下长度为的响应包最大新建连接速率不小于个长度为的响应包最大新建连接速率不小于个长度为的响应包最大新建连接速率不小于个安全要求基本级异常流量处理产品应对于以下几种异常流量进行有效的处理碎片包畸形报文其他异常流量故障信息告警产品应具备软硬件故障告警功能能够在软件硬件出现故障时通过屏幕实时提示邮件告警短信告警声音告警等一种或多种方式进行告警标识与鉴别管理员标识属性定义产品应为每个授权管理员规定与之相关的安全属性如标识鉴别信息隶属组权限等属性初始化产品应提供使用默认值对创建的每个授权管理员的属性进行初始化的能力唯一性标识产品应为授权管理员提供唯一标识并能将标识与该授权管理员的所有可审计事件相关联身份鉴别基本鉴别产品应在执行任何与安全功能相关的操作之前采用一种身份鉴别方式鉴别授权管理员的身份鉴别失败处理当对同一授权管理员连续鉴别失败的次数达到指定次数产品应能终止该管理员的访问默认的指定次数不应超过次鉴别数据保护产品应保证鉴别数据不被未授权查阅或修改安全支撑系统产品的底层支撑系统包括产品正常运行所需的操作系统应用系统数据存储系统和中间件等应确保不提供多余的网络服务安全管理安全功能管理授权管理员应能对产品进行以下管理操作查看修改相关安全属性启动关闭全部或部分安全功能制定和修改各种安全策略安全管理方式产品应向授权管理员提供以下安全管理方式通过接口进行本地管理通过网络接口进行远程管理审计日志审计日志生成产品应对与自身安全相关的以下事件生成审计日志管理员登录成功和失败对安全策略进行更改对管理员进行增加删除和属性修改因鉴别失败的次数超出了设定值导致的会话连接终止对事件记录审计日志的操作管理员的其他操作每一条审计日志至少应包括事件发生的日期时间管理员标识事件描述和结果若采用远程登录方式对产品进行管理还应记录管理主机的地址审计日志存储审计日志应存储于掉电非易失性存储介质中审计日志管理产品应提供以下审计日志管理功能只允许授权管理员访问审计日志提供对审计日志的查询功能保存并导出审计日志增强级失效保护功能产品应具备失效保护功能能够在断电故障等异常情况下保持网络连通双机热备产品应具备双机热备功能当主防病毒网关设备出现断电或其他故障时备防病毒网关设备应及时发现并接管进行工作接管过程耗时不应超过标识与鉴别产品应在执行任何与安全功能相关的操作之前对同一授权管理员采用两种或两种以上组合的身份鉴别方式鉴别授权管理员的身份数据完整性产品应确保授权管理员信息策略信息关键程序和病毒特征库的数据完整性应采取必要的手段对其完整性自动进行检验安全支撑系统产品的底层支撑系统包括产品正常运行所需的操作系统应用系统数据存储系统和中间件等应不含导致产品权限丢失拒绝服务信息泄露等的安全漏洞安全管理安全角色权限分离产品应能对特权角色和权限进行区分产品应至少具有两种不同权限的安全角色如管理员和审计员产品应对特权角色采用最小授权原则如管理员不能对审计员负责的审计功能进行管理审计员也不能对管理员负责的功能进行管理安全管理方式产品应采取保密措施保障远程管理的信息传输安全远程保密传输产品应具备以下远程保密传输能力若产品通过网络进行升级更新应采取保密措施保障产品与远程服务器间数据传输的安全若产品组件间通过网络进行通讯应采取保密措施保障组件间数据传输的安全远程管理主机若控制台提供远程管理功能应能对可远程管理的主机地址进行限制安全保障要求基本级开发安全架构描述开发者应提供产品安全功能安全架构的描述安全架构的描述应满足以下要求应与在产品设计文档中对安全功能要求执行