ICS 35.040 GB L 80 中华人民共和国国家标准 GB/T 21050--2019 代替GB/T21050—2007 信息安全技术 网络交换机安全技术要求 Information security technology- Security requirements for network switch 2019-08-30 发布 2020-03-01实施 国家市场监督管理总局 发布 中国国家标准化管理委员会 GB/T 21050--2019 目次 前言 范围 2：规范性引用文件 3术语和定义、缩略语 3.1. 术语和定义 3.2缩略语 4：网络交换机描述 5.安全问题定义 5.1 资产 5.2..: 威胁 5.3. 组织安全策略 5.4假设 6安全自的 6.1.. .TOE 安全目的 6.2环境安全自的 7安全要求 7.1扩展组件定义 7.2．安全功能要求… 7.3安全保障要求… 8基本原理 36 8.1安全目的基本原理 8.2安全要求基本原理 8.3组件依赖关系． 参考文献 GB/T 21050--2019 前言 本标准按照 GB/T1.12009 给出的规则起草。 本标准代替GB/T210502007《信息安全技术：网络交换机安全技术要求（评估保证级3）》。：与 GB/T21050--2007相比，除编辑性修改外主要技术变化如下： 对使用范围进行了修改，并增加了关于密码算法的约定（见第1章，2007年版的第1章）； 增加了对术语标准的引用（见第2章，2007年版第2章） 增加了“可信IT产品”术语，删掉了“网络交换机”术语（见第3章，2007年版的第3章）； 修改了网络交换机的描述（见第4.章，2007年版的第4章）； 将安全环境修改为安全问题定义，且归并和修改了假设、威胁、组织安全策略（见第5章，2007年 版的第5.章） 修改和删减了安全日的（见第6章，2007年版的第6章）， 增加了扩展组件，根据GB/T183362015增删了安全要求（见第7章）； 增加了基本原理章(见第8章)。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。 本标准由全国信息安全标准化技术委员会（SAC/TC260）提出并归口。 本标准起草单位：中国信息安全测评中心吉林信息安全测评中心、华为技术有限公司、清华大学、 锐捷网络股份有限公司网神信息技术（北京）股份有限公司 本标准主要起草人李凤娟、张宝峰、刘晖、张斌、贾炜、张骁、庞博、刘昱函、唐喜庆、蒋显岚、 刘班、钟建伟、刘海利、叶晓俊、李玲、徐涛。 本标准所代替标准的历次版本发布情况为： -GB/T 21050--2007. GB/T 21050--2019 信息安全技术 网络交换机安全技术要求 1·范围 本标准规定了网络交换机达到EAL2和EAL3的安全功能要求及安全保障要求，涵盖了安全问题 定义、安全自的、安全要求等内容 本标准适用于网络交换机的测试、评估和采购，也可用于指导该类产品的研制和开发。 2规范性引用文件 下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文 件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。 GB/T18336.12015信息技术安全技术信息技术安全评估准则第1部分：简介和般 模型 GB/T18336.22015：信息技术安全技术信息技术安全评估准则第2部分：安全功能组件 GB/T250692010信息安全技术术语 3术语和定义、缩略语 3.1术语和定义 GB/T250692010和GB/T18336.12015界定的以及下列术语和定义适用于本文件 3.1.1 可信IT产品trusted ITproduct 有与TOE协调管理的安全功能要求，但不属于TOE的其他IT产品，且假定可正确执行自身的安 全功能要求。 3.1.2 可信信道trustedchannel TSF和远程可信IT产品间在必要的信任基础上进行通信的一种通信手段： 3.1.3 可信路径 :trusted path 用户与TSF间在必要的信任基础上进行通信的一种通信手段 3.1.4 可信源trusted source 能够被标识和鉴别的源或节点，从该源或节点发出信息的完整性能够被核实和确认。 3.1.5 客户client 向另一方请求服务的一方。 GB/T 21050--2019 [GB/T 11457---2006 定义 2.214] 3.1.6 网络审计管理员network audit management operator 仅具有查看权限，是负责收集、分析和查看网络行为数据的网络管理角色。 注：网络市计管理员可查看网络交换机配置、信息流策略等。 3.1.7 网络配置管理员... network management administrator 备网络审计管理员的能力。 注：网络配置管理员可配置管理网络系统，利用权限解决网络故障等 3.1.8 网络安全管理员“network security administrator 具有所有管理级别的访问权限，可以访问网络交换机的各个区域，同时具备网络配置管理员和网络 审计管理员的能力的管理角色 注：网络安全管理员可创建、修改和存取访问控制列表、加载密钥、限制应用程序的执行，以及维护网络管理审计日 志等能力的网络管理角色。 3.1.9 节点node 计算机网络系统中可以对信息进行存储和（或转发的设备 3.2缩略语 下列缩略语适用于本文件。 BGP:边界网关协议(Border Gateway Protocol) EAL,评估保障级(Evaluation Assurance Level) HTTP:超文本传输协议(Hyper Text Transfer Protocol) IP：互联网协议(Internet Protocol) IT：信息技术(Information Technology) LDP 标签分发协议(Label Distribution Protocol) MD5:报文摘要算法(Message:Digest 5) OSI:开放系统互联参考模型(Open System Interconnect) OSPF:开放式最短路径优先(Open Shortest Path First) RSVP资源预留协议(Resource ReserVation Protocol) RMON:远距离监控(Remote MONitoring) SNMP.简单网络管理协议(Simple Network Management Protocol) ST:安全标(Security Target) TOE：评估对象(TargetOf Evaluation) TSF TOE 安全功能(TOE Security Function) 4:网络交换机描述 网络交换机是一种连接网络的设备，用于连接各个节点或其他网络设备，能够在通信系统中完成信 息交换功能的设备。从技术角度看，网络交换机运行在OSI模型的数据链路层、网络层甚至传输层。 虽然IP、光交换有各自不同的特性，但是它们的处理和控制方式是相似的：可信路径建立在网络交换 2 GB/T 21050--2019 机和管理系统之间，可信信道建立在网络交换机与可信IT实体之间，通过可信路径可进行管理信息的 交换，通过可信信道可进行网络控制信息（如：许可动态连接建立和包路由选择信息）的交换。网络控制 信息由特定的请求和指令组成，如目的地址、路由选择控制和信令信息等。在IP环境下，控制信息可以 包括 OSPF、BGP、RSVP和 LDP。 网络交换机一般包括接口卡，端口、软件，以及驻留在其上的数据等：与网络交换机相关的所有电 路都属于网络交换机的一部分，其中包括管理链路。虽然网络管理系统是必需的部件，但是它不属于本 标准的规范范围，而且连接到网络交换机的其他网络部件也不属于本标准的规范范围。例如，交叉连接 的数字传送系统、光传送系统、加密装置等。 ，然而，网络交换机可以支持加密或具有连接加密装置的接 口，用于加密用户数据、管理和控制信息。网络交换机具有保护网络管理和进行网络控制的功能，充许 通过网络可靠传递用户信息，并具有可靠的质量和及时性 网络交换机的主要安全特性包括安全审计、安全管理、用户数据保护、用户鉴别和认证加密支持、 数据传输和存储安全等。图1为网络交换机典型应用环境。 nternet 了网 图1网络交换机典型应用环境 5安全问题定义 5.1资产 本标准中保护的资产包括以下方面： 审计数据（审计数据由网络交换机执行安全审计功能时产生）： 认证数据（用于用户和外部实体访问交互时的鉴别和认证） 配置数据（网络交换机的配置信息网络连接信息、固件更新数据等）； 密码数据（用于交换机实施数字签名或加解密的数据，如密钥等）； 表数据（用于网络转发和路由相关的列表，如网络层路由表、链路层地址解析表、链路层MAC 地址表,BGP/OSPF数据库等数据） 应用说明：ST编写者应根据具体的应用情况细化对资产的描述