02.07.安全功能审核服务技术白皮书v2.0.docxVIP

绿盟科技安全服务技术白皮书

安全功能审核服务

■文档编号

NSF-2014SI

■密级

内部使用

■版本编号

3.0

■日期

2016/9/26

?DATE\@yyyy2016绿盟科技

■版权声明

本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属DOCPROPERTYCompany绿盟科技所有，受到有关产权及版权法保护。任何个人、机构未经DOCPROPERTYCompany绿盟科技的书面授权许可，不得以任何方式复制或引用本文的任何片断。

■版本变更记录

时间

版本

说明

修改人

2012/05/11

V1.0

文档创建、丰富内容

安全服务部

2014/01/01

V1.1

修订审核

安全服务部

2014/12/12

V2.0

丰富内容

安全服务部

2016/9/26

V3.0

丰富内容

安全服务部

■适用性声明

本文档是主要介绍北京神州绿盟信息安全股份有限公司（以下简称“绿盟科技”）的安全功能审核服务的具体内容和方法，用于客户的相关人员了解绿盟科技的安全功能审核服务。

-PAGE\*ROMAN

-PAGE\*ROMANI-

目录

TOC\h\z\t附录1（绿盟科技）,1,附录2（绿盟科技）,2,附录3（绿盟科技）,3,附录4（绿盟科技）,4,标题1（绿盟科技）,1,标题2（绿盟科技）,2,标题3（绿盟科技）,3一.概述 1

1.1基本概念 1

1.2服务开展情况 2

1.3服务的必要性 2

二.服务的实施标准或原则 2

2.1政策文件或标准 2

2.2服务原则 3

三.绿盟科技安全功能审核服务 3

3.1服务范围 3

3.2服务内容 4

3.3服务流程 4

3.4服务特点 5

3.5服务报告 5

3.6注意事项 5

3.7相关服务 6

四.安全功能审核方法论 6

4.1身份鉴别类 6

4.2授权管理类 7

4.3访问控制类 7

4.4系统安全审计类 7

4.5通信安全类 7

4.6数据安全类 8

4.7抗抵赖类 8

4.8软件容错类 8

4.9资源控制类 8

五.为什么选择绿盟科技 9

绿盟科技安全服务技术白皮书

PAGE

-PAGE9-

?DATE\@yyyy2016绿盟科技 密级：内部使用

概述

伴随着信息技术的快速发展和全面应用，信息安全的重要性也日益凸现出来。IT产品和系统拥有的信息资产是能使组织完成其任务的关键资源，因此，IT产品和系统必须具备充分的安全性来保护IT产品和系统内信息资产的保密性、完整性和可用性。IT产品和系统应该能正常执行它们的功能，对信息进行正确控制以保证它防止诸如不必要的或无保证的分发、更改、遗失等。

许多IT用户缺乏判断其购买或使用的IT产品和系统的安全性的知识和资源，开发者的声明并不能打消IT用户对产品安全功能或安全性的担心和疑虑，这些用户急需通过对IT产品和系统的安全分析来增加他们对其安全措施的信心。

安全功能审核服务正是在上述背景下应运而生的，该服务根据国际信息安全通用准则ISO15408及国家标准GB/T18336以及相关规范，对应用系统的安全功能进行审核，其目的是从标准的角度检查应用系统的安全功能是否完善，其安全功能强度是否达到一定的安全等级，便于系统的使用者对系统的安全状况有一个清晰的认识。

基本概念

绿盟科技根据通用准则ISO15408及国家标准GB/T18336相关内容，结合在信息安全服务中的实践，将标准中11类安全功能11

11类安全功能为：安全审计类、通信类（主要是身份真实性和抗抵赖）、密码支持类、用户数据保护类、标识和鉴别类、安全管理类（与TSF有关的管理）、隐秘类（保护用户隐私）、TSF保护类（TOE自身安全保护）、资源利用类（从资源管理角度确保TSF安全）、TOE访问类（从对TOE的访问控制确保安全性）、可信路径/信道类。（TSF：安全功能模块，TOE：评测对象）

安全功能审核关注应用系统或IT产品的安全功能的完备性和有效性，所谓“安全功能审核”就是通过访谈或检查的方式，对应用系统或IT产品的安全功能有效性和完备性进行检查，结合系统或IT产品的实际情况，判断安全功能的完整性和有效性验证，并根据检查结果对缺失安全功能以及无效安全功能提出整改建议。

安全功能审核内容包括：数据输入输出控制、数据输入输出抗抵赖、数据输入输出完整性检查、数据输入输出可用性检查、数据输入输出保密性保证、操作的正确性验证、数据的恢复、