信息安全管理规范-信息系统防火墙规范.doc

XXXXXX企业标准 Q/SL STA-f－2002 1总则 为了减少外部网络对企业内部网络的干扰，为了阻击非法用户进入企业内部网络，为了企业用户更好的利用外部网络，根据《应用级防火墙安全技术要求》，《包过滤级防火墙安全技术要求》，《中华人民共和国信息系统安全保护条列》等国家规定，制定本规范。 2范围 本规范规定了防火墙的安全技术要求。 本规范适用于防火墙安全功能的使用，测试和产品采购。 3规范解释权 本规范的解释权在XXXXXX管理局信息安全管理中心。 4引用标准 GB/T 17900 – 1999 《网络代理服务器的安全技术要求》 GB/T 18019 – 1999 《信息技术 包过滤防火墙安全技术要求》 GB/T 18020 – 1999 《信息技术 应用级防火墙安全技术要求》 GB 9813 – 88 《微型数字电子计算机通用技术条件》 5防火墙类型 应用级别防火墙。 在应用层上根据预先设定的标准判断是否允许对某些应用程序的访问的防 火墙。应用级防火墙检查所有应用层的信息，放行符合预先设定标准的数据包。 包过滤。 采用包过滤技术保护整个网络不受非法入侵的防火墙。它在网络层上简单检查所有进入网络的信息，并将不符合预先设定标准的数据丢掉。 应用代理。 控制两边的应用程序只能通过服务器间接通信的防火墙。此防火墙接受来自一边的通信，检查这一通信是否授权通过，如果是则启动到通信目标的连接。相反则反之。 混合型防火墙。 使用包过滤、应用层控制技术和网络代理的防火墙。 6防火墙安全运行环境 符合本规范的防火墙用于敏感但不保密的信息处理环境。防火墙应提供访问控制策略、身份标识与鉴别、远程管理员会话加密、一定的审计能力以及最基本的安全保证。 6.1安全使用条件 防火墙的使用操作环境及运行环境符合以下条件： 6.1.1连接条件 单一接入：防火墙是内外网络之间的唯一连接点。 6.1.2物理条件 物理访问控制。 防火墙和与其直接相连的控制台在物理上是安全的，而且仅供授权人使用。 通信保护。 信息传输的保护级别应该与信息的敏感性一致（例如：受物理保护的传输媒体，加密），或者明确说明该信息可以明文传输。 6.1.3人员条件 用户服务。 应用级防火墙提供的不是通常意义下的计算能力，对网络用户基本上是“透明”的，只有授权管理员才能直接访问和远程访问防火墙。 授权管理员。 管理员应值得信任、无恶意，能够正确执行各项职责。 6.2安全威胁 符合本标准的防火墙应能阻止以下威胁： 6.2.1未授权逻辑访问 未经授权的人可能在逻辑上访问防火墙。未经授权的人是指除防火墙的授权用户之外，所有已经或可能企图访问这个系统的人。 6.2.2假冒网络地址攻击 一个主体可能假冒成另一个主体获得对特定信息的访问。例如，外部网上的一个用户可能利用假地址伪装成内部网上的用户访问内部资源。 6.2.3针对内部网络的攻击 攻击者利用高层协议和服务，对内部受保护网络或者网上的主机进行攻击，这类攻击可能以拒绝服务和穿透主机或网络结点为目的。 6.2.4审计记录丢失或破坏 攻击者可能采取耗尽审计存储量的方法导致审计记录丢失或破坏。 6.2.5对防火墙的配置和其它与安全相关数据的更改 这类攻击包括所有采用读取或修改防火墙的内部代码或数据结构、以及防火墙的配置参数和与安全相关的数据，对防火墙实施的攻击。 6.2.6绕开身份标识和鉴别机制 这类攻击企图绕过或欺骗身份识别和鉴别机制，假冒成另一个授权管理员侵入已建立的会话连接。例如，拦截鉴别信息（如口令字），重放有效的鉴别交换信息，以及截取会话连接等攻击。 6.3运行环境面临的威胁 下述威胁必须通过物理控制、过程措施或者管理手段来对付。 6.3.1被保护网上的恶意用户试图向外部用户提供信息 这种威胁是指内部网络用户试图给外部网络上的非授权用户发送信息。由于防火墙主要用于保护内部网络免受外部网络的侵害，因此，它们对抵御这种威胁作用不大。 6.3.2受保护网络上的恶意用户攻击同一网络上的计算机 防火墙的主要目的是保护防火墙内部的网络用户免受外部用户的侵害。因此，它无法控制不经过防火墙的通信业务流。属于此范畴的攻击是指来自受保护网络内的对本网络服务功能的攻击，以及对同一网段上的计算机的攻击。 6.3.3攻击高层协议和服务 此类威胁针对传输层以上的协议层（和利用这些协议的服务，如超文本传输协议HTTP）中的漏洞。符合本标准的防火墙可以完全拒绝对特定主机或主机群的访问，但是，如果允许数据包通过的话，那么，仍有可能攻击上述的这些服务。 6.3.4截取传输信息 攻击者可能截取通过防火墙传输的敏感信息。 7防火墙基本原则 7.1过滤不安全服务 基于这个准则，防火墙应封锁所有信息流，然后对希望提供的安全服务逐项开放，对不安全