信息技术个人防火墙产品安全检验规范.pdfVIP

编号：MSCTC-GFJ-02 信 息 技 术 个 人 防 火 墙 产 品 安 全 检 验 规 范 公安部计算机信息系统安全产品质量监督检验中心 第一版 第 0 次修订 2003 年 11 月01 日颁布 2003 年 12 月01 日实施 GAXXX--2003 前 言 为了规范全国个人防火墙产品的开发与应用，保障公共信息网络安全，根据公安部公 共信息网络安全监察局的要求，本规范对个人防火墙产品提出了安全功能要求和保证要求， 作为对其进行检测的依据。 本规范由中华人民共和国公安部公共信息网络安全监察局提出。 本规范起草单位：公安部计算机信息系统安全产品质量监督检验中心。 公安部计算机信息系统安全产品质量监督检验中心负责对本规范的解释、提升和更改。 i GAXXX--2002 信息技术个人防火墙产品安全检验规范 1 范围 本规范规定了信息技术-个人防火墙产品的安全功能要求和保证要求。 本规范适用于信息技术-个人防火墙产品的生产及检测。 2 术语和定义 2.1 个人防火墙 个人防火墙是一个位于单台 PC 之上的软件。它可以截取 PC 上进行的入站和出站 TCP/IP 网络连接尝试，并使用预先定义的规则允许和禁止其连接。 3 信息技术-个人防火墙产品的安全功能 3.1 IP 数据包过滤 依据 TCP/IP 协议中的网络数据包的数据格式约定，每一条匹配规则应由下列要素组成： a) 数据包方向（连接发起方／接收方）； b) 远程 IP 地址（任何 IP 地址／指定 IP 地址／指定 IP 地址范围）； c) 协议的匹配 具体协议至少应包括： 1） ICMP 数据包过滤 根据 ICMP 网络数据包中的类型和代码字段进行设定，当匹配到相同类型和 代码字段时则按对应规则中的数据包处理方式进行处理； 2 ） UDP 数据包过滤 根据 UDP 网络数据包中的本地端口（包括单一端口和〈或〉端口范围）和 〈或〉 远程端口（包括单一端口和〈或〉端口范围）进行规则匹配。 3 ）TCP 数据包过滤 根据 TCP 网络数据包中的本地端口 （包括单一端口和〈或〉端口范围）和 〈或〉 远程端口（包括单一端口和〈或〉端口范围）、以及 TCP 数据包的标志位进行 规则匹配过滤。 3.2 过滤动作 个人防火墙产品应具有对数据包进行下述过滤动作的能力： a) 拦截； b) 通行； c) 继续匹配下一规则。 3.3 安全规则的修订： 1 GAXXX-2002 a) 用户能选择使用或弃用单机保护防入侵产品提供的安全规则； b) 用户能根据 3.1 中的格式规定添加、删除、修改自定义安全规则。 3.4 对特定网络攻击数据包的拦截： a) 个人防火墙产品应具备对于一些特定攻击的抵挡及防御能力； b) 配合抵御攻击的能力，个人防火墙产品宜具备建立可更新的攻击特征库的能力。 3.5 应用程序网络访问控制 个人防火墙产品的安全功能应能控制每个应用程序使用 Internet 网络权限，对应用程序 网络访问控制包括