7.2 增強級要求

7.2 增強級要求

7.2.1　訪問控制

7.2.1.1　基于白名單的訪問控制

產品應采用白名單的訪問控制策略，即非訪問控制策略明確允許的訪問，需默認禁止。

7.2.1.2　網絡層訪問控制

產品應支持基于源IP、源端口、目的IP、目的端口、傳輸層協議等要求進行訪問控制。

7.2.1.3　IP/MAC地址綁定

產品應支持自動或管理員手工綁定與其進行通信的設備的IP/MAC地址，當通信的IP、MAC地址與綁定列表不符時，應阻止通信。

7.2.1.4　應用層訪問控制

產品應支持應用層的訪問控制：
a) 支持HTTP、FTP、TELNET等應用的識別與訪問控制；

7.2.1.5　工業控制協議深度檢查

產品應支持對工業控制協議內容進行深度分析和訪問控制：
a) 對所支持的工業控制協議進行協議規約檢查，明確拒絕不符合協議規約的訪問；
b) 應支持對工業控制協議的操作類型、操作對象、操作范圍等參數進行訪問控制；
c) 若支持OPC協議：應支持基于控制點名稱、讀寫操作等要素進行控制；

7.2.2　協議隔離

所有主客體之間發送和接收的信息流均執行網絡層協議剝離，還原成應用層數據，在兩機之間以非TCP/IP的私有協議格式傳輸。

7.2.3　信息擺渡

設備雙機之間應采用專用隔離部件，并確保數據傳輸鏈路物理上的時分切換，即設備的雙機在物理鏈路上不能同時與專用隔離部件連通，并完成信息擺渡。

7.2.4　殘余信息保護

在為所有內部或外部網絡上的主機連接進行資源分配時，安全功能應保證其分配的資源中不提供以前連接活動中所產生的任何信息內容。

7.2.5　不可旁路

在與安全有關的操作（例如安全屬性的修改、內部網絡主機向外部網絡主機傳送信息等）被允許執行之前，安全功能應確保其通過安全功能策略的檢查。

7.2.6　抗攻擊

產品應具備一定的抗拒絕服務攻擊能力：
a) SYN Flood攻擊、UDP Flood攻擊、ICMP Flood攻擊、Pingofdeath攻擊等；

7.2.7　雙機熱備

產品應具備雙機熱備的能力，當主設備出現故障時或者主設備鏈路故障時，備設備應能及時接管進行工作。

7.2.8　自身安全功能要求

7.2.8.1　標識和鑒別

7.2.8.1.1　唯一性標識

產品應保證任何用戶都具有唯一的標識。

7.2.8.1.2　管理員屬性定義

產品應為每個管理員規定與之相關的安全屬性，如管理員標識、鑒別信息、隸屬組、權限等，并提供使用默認值對創建的每個管理員的屬性進行初始化的功能。

7.2.8.1.3　管理員角色

產品應為管理角色進行分級，使不同級別的管理角色具有不同的管理權限。各管理角色的權限應形成互相制約關系。

7.2.8.1.4　基本鑒別

產品應保證任何用戶在執行安全功能前都要進行身份鑒別。若其采用網絡遠程方式管理，還應對可管理的地址進行限制。

7.2.8.1.5　多鑒別

產品應能向管理角色提供除口令身份鑒別機制以外的其他身份鑒別機制（如證書、智能IC卡、指紋等鑒別機制）。

7.2.8.1.6　超時鎖定或注銷

當已通過身份鑒別的管理角色空閑操作的時間超過規定值，在該管理角色需要執行管理功能前，產品應對該管理角色的身份重新進行鑒別。

7.2.8.1.7　鑒別失敗處理

產品應為管理員登錄設定一個授權管理員可修改的鑒別嘗試閾值，當管理員的不成功登錄嘗試超過閾值，系統應通過技術手段阻止管理員的進一步鑒別請求。

7.2.8.2　安全管理

7.2.8.2.1　接口及管理安全

產品應保證業務接口、管理接口、管理界面的安全：
a) 應支持業務接口和管理接口應采用不同的網絡接口；

7.2.8.2.2　管理信息傳輸安全

產品需要通過網絡進行管理時，產品應能對管理信息進行保密傳輸。

7.2.8.2.3　安全狀態監測

產品應能夠監測產品自身及組件狀態，包括：
a) 對產品CPU、內存、存儲空間等系統資源使用狀態進行監測；

7.2.8.3　數據完整性

安全功能應保護儲存于設備中的鑒別數據和信息傳輸策略不受未授權查閱、修改和破壞。

7.2.8.4　時間同步

產品應支持與外部時間服務器進行時間同步。

7.2.8.5　高可用性

7.2.8.5.1　容錯

產品應具備一定的容錯能力：
a) 重要程序及文件被破壞時，設備重啟后能夠自恢復；

7.2.8.5.2　安全策略無擾下裝

進行訪問控制安全策略下裝應用時不應影響正常的數據通信。

7.2.8.6　審計日志

7.2.8.6.1　業務日志生成

產品應對其提供的業務功能生成審計日志：
a) 訪問控制策略匹配的訪問請求，包括允許及禁止的訪問請求；

7.2.8.6.2　業務日志內容

業務日志內容至少包括：
a) 日期、時間、源目的MAC、源目的IP、源目的端口、協議類型；
b) 工業控制協議的操作類型、操作對象、操作值等相關參數；

7.2.8.6.3　系統日志生成

產品應對與自身安全相關的以下事件生成審計日志：
a) 身份鑒別，包括成功和失敗；
b) 因鑒別失敗次數超過閾值而采取的禁止進一步嘗試的措施；
c) 訪問控制策略的增加、刪除、修改；
d) 管理員的增加、刪除、修改；
e) 時間同步；
f) 超過保存時限的審計記錄和自身審計日志的自動刪除；
g) 審計日志和審計記錄的備份與恢復；
h) 存儲空間達到閾值報警；

7.2.8.6.4　系統日志內容

系統日志內容至少應包括日期、時間、事件主體、事件客體、事件描述等。

7.2.8.6.5　審計日志管理

應支持日志管理功能，具體技術要求如下：
a) 應只允許授權管理員能夠對審計日志進行讀取、存檔、導出、刪除和清空等操作；
b) 應提供能查閱日志的工具，支持多條件對審計日志進行組合查詢；
c) 審計事件應存儲于掉電非易失性存儲介質中，且在存儲空間達到閾值時至少能夠通知授權審計員；