GBT412692022英文版网络关键 [复制链接]

GB/T-英文版网络关键设备安全技术要求路由器设备

提供更多标准英文版。

1范围

本文件规定了列入网络关键设备目录的路由器设备的安全功能要求和安全保障要求。本文件适用于列入网络关键设备目录的路由器设备。

规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中,注日期的引用文件,仅该日期对应的版本适用于本文件;不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件。

GB/T信息安全技术术语

GB——网络关键设备安全通用要求

3术语和定义

GB/T界定的以及下列术语和定义适用于本文件。

3.1

路由器router

用来建立和控制不同网络间数据流的网络设备。

注:路由器基于路由协议机制和算法来选择路径或路由以实现建立和控制网络间的数据流,网络自身可以基于不

同的网络协议.

3.2

故障隔离faultisolation

设备内部相互独立的部件中任一部件出现故障,不影响其他部件正常工作的一种机制。

4缩略语

下列缩略语适用于本文件。

ARP:地址解析协议(AddressResolutionProtocolBGP:边界网关协议(BorderGatewayProtocol)

DHCP:动态主机配置协议(DynamicHostConfigurationProtocol)FTP:文件传输协议(FileTransferProtocol)

HTTP:超文本传输协议(HyperTextTransferProtocol)

HTTPS:安全套接字层超文本传输协议(HyperTextTransferProtocoloverSecureSocketLayer)ICMP:互联网控制报文协议(InternetControlMessageProtocol)

IP:互联网协议(InternetProtocol)

MAC:媒体访问控制(MediaAccessControl)

5安全功能要求

5.1设备标识安全

路由器设备应支持以下标识安全要求/p>

a〉硬件整机应具备唯一性标识;

b)设备的主控板卡、业务板卡、交换网板、风扇模块、电源、存储系统软件的板卡、硬盘或闪存卡等主要部件应具备唯一性标识;

应对预装软件、补丁包/升级包的不同版本进行唯一性标识;

d)应标识每一个物理接口,并说明其功能,不得预留未向用户声明的物理接口﹔

e)用户登录通过鉴别前的提示信息应避免包含设备软件版本、型号等敏感信息﹐例如可通过支持关闭提示信息或者用户自定义提示信息等方式实现。

5.2冗余、备份恢复与异常检测

路由器设备应支持以下冗余、备份恢复安全要求和异常检测安全要求。

a)设备整机应支持主备切换功能或关键部件应支持冗余功能,路由器设备支持冗余功能的关键

部件通常包括主控板卡,交换网板、电源模块,风扇模块等。路由器设备应提供自动切换功能，在设备或关键部件运行状态异常时,切换到冗余设备或冗余部件以降低安全风险。

b)部分关键部件,如主控板卡、交换网板﹑业务板卡、电源、风扇等应支持热插拔功能。

c)支持对预装软件﹑配置文件的备份与恢复功能,使用恢复功能时支持对预装软件、配置文件的完整性检查。

d)应支持异常状态检测,产生相关错误提示信息v支持故障的告警、定位等功能。

e)支持主控板卡、交换网板、业务板卡,电源,风扇等部分关键部件故障隔离功能。

f应提供独立的管理接口,实现设备管理和数据转发的隔离。

5.3漏洞与缺陷管理安全

路由器设备应支持以下漏洞与缺陷管理安全要求/p>

a)不应存在已公布的漏洞,或具备补救措施防范漏洞安全风险;

b)预装软件、补丁包/升级包不应存在恶意程序﹔

c)不应存在未声明的功能和访问接口(含远程调试接口)。

5.4预装软件启动及更新安全

路由器设备的预装软件启动及更新功能应支持以下安全要求:a)应支持启动时完整性校验功能,确保系统软件不被篡改;

5.5―默认状态安全

路由器设备在默认状态下应支持以下安全要求/p>

a)默认状态下应仅开启必要的服务和对应的端口,应明示所有默认开启的服务,对应的端口及用途,应支持用户关闭默认开启的服务和对应的端口﹔

b)非默认开放的端口和服务﹐应在用户知晓且同意后才可启用;

c)使用Telnet,SNMPv1/SNMPv2c、HTTP等明文传输协议的网络管理功能应默认关闭;d)对于存在较多版本的远程管理协议,应默认关闭安全性较低的版本﹐例如设备支持SSH协议时,应默认关闭SSHv1。

5.6抵御常见攻击能力

路由器设备应支持以下低于常见攻击能力/p>

a)应具备抵御目的为路由器自身的大流量攻击的能力﹐例如目的为路由器管理接口或业务接口的ICMPv4/ICMPv6PingrequestFlood攻击、TCPv4/TCPv6SYNFlood攻击等;

b)应支持防范ARP/ND欺骗攻击功能,如通过MAC地址绑定等功能实现;

c)应支持连续的非法登录尝试次数限制或其他安全策略,以防范用户凭证猜解攻击﹔d应支持限制用户会话连接的数量,以防范资源消耗类拒绝服务攻击﹔

e)在支持Web管理功能时,应具备抵御常见Web攻击的能力,例如注入攻击、重放攻击,权限绕过攻击,非法文件上传等﹔

f)在支持SNMP管理功能时,应具备抵御常见攻击的能力,例如权限绕过、信息泄露等;g)在支持SSH管理功能时,应具备抵御常见攻击的能力,例如权限绕过﹑拒绝服务攻击等﹔h)在支持Telnet管理功能时,应具备抵御常见攻击的能力,例如权限绕过﹑拒绝服务攻击等;i)在支持NETCONF管理功能时,应具备抵御常见攻击的能力,例如权限绕过,拒绝服务攻击等;

j)在支持FTP功能时,应具备抵御常见攻击的能力,例如目录遍历,权限绕过等。k)在支持DHCP功能时,应具备防范DHCP拒绝服务攻击等能力。

5.7用户身份标识与鉴别

路由器设备用户身份标识与鉴别功能应支持以下安全要求:a)应对用户进行身份标识和鉴别,用户身份标识应具有唯一性;b应不存在未向用户公开的身份鉴别信息;

c)使用口令鉴别方式时,应支持首次管理设备时强制修改默认口令或设置口令,或支持随机的初始口令,支持设置口令生存周期;

5.8访问控制安全

路由器设备应支持以下访问控制安全要求:a)应提供用户分级分权控制机制﹔

b)对涉及设备安全的重要功能如补丁管理、固件管理、日志审计、时间同步、端口镜像、流采样等，应仅授权的高等级权限用户可使用;

c)应支持基于源IPv4/IPv6地址、目的IPv4/IPv6地址,源端口,目的端口,协议类型等的访问控制列表功能,支持基于源MAC地址的访问控制列表功能﹔

d)应支持对用户管理会话进行过滤,限制非授权用户访问和配置设备,例如通过访问控制列表功能限制可对设备进行管理(包括Telnet,SSH,SNMP,Web等管理方式)的用户IPv4/1Pv6地址。

5.9日志审计安全

路由器设备应支持以下日志审计安全要求/p>

a)应提供日志审计功能,对用户关键操作,如增/删账户,修改鉴别信息﹑修改关键配置,用户登录/注销﹑用户权限修改、重启/关闭设备、软件更新等行为进行记录;对重要安全事件进行记录,对影响设备运行安全的事件进行告警提示﹔

b)应提供日志信息本地存储功能,当日志记录存储达到极限时,应采取告警﹑循环覆盖旧的记录等措施;

c)应支持日志信息输出功能﹔

d应提供安全功能,保证设备异常断电恢复后,已记录的日志不丢失;

e)日志审计记录中应记录必要的日志要素，至少包括事件发生日期和时间、主体(如登录账号等)事件描述(如类型,操作结果等)、源IP地址(采用远程管理方式时)等,为查阅和分析提供足够的信息﹔

f)应具备对日志在本地存储和输出过程进行保护的安全功能,防止日志内容被未经授权的查看、输出或删除﹔

g〉不应在日志中明文或弱加密记录敏感数据,如用户口令,SNMP团体名、Web会话ID以及私钥等。

5.10通信安全

路由器设备应支持以下通信安全要求:

a)应支持与管理系统(管理用户)建立安全的通信信道/路径,保障通信数据的保密性、完整性﹔b)在支持Web管理时,应支持HTTPS;

c)在支持SSH管理时,应支持SSHv2;d在支持SNMP管理时,应支持SNMPv3;

e)应支持使用至少一种非明文数据传输协议对设备进行管理,如HTTPS.SSHv2,SNMPv3等;

5.11数据安全

路由器设备应支持以下数据安全要求:

a)应具备防止数据泄露﹑数据非授权读取和修改的安全功能,对存储在设备中的敏感数据进行保护;

b)应具备对用户产生且存储在设备中的数据(如日志.配置文件等)进行授权删除的功能,支持在删除前对该操作进行确认。

5.12密码要求

路由器设备密码要求应符合GB—中5.10的规定。

6安全保障要求

路由器设备安全保障要求应符合GB——中第6章的规定。