5.2　基礎功能

5.2.1　安全策略及安全責任管理功能要求

5.2.1.1　組織的機構、角色、責任和權限

平臺應維護組織中信息安全管理的角色、責任和權限等相關信息。

基本級功能要求，包括：

組織機構信息應包括組織中承擔信息安全管理工作機構的信息，具體機構的設置可參考GB/T 20269-2006要求；

角色信息應包括：負責信息安全工作主管領導角色，負責安全管理平臺日常運行的平臺管理員角色信息；

平臺管理員角色包括特權安全管理員角色、系統管理員角色、安全審計員角色，以及特權管理員角色指派并分配的非特權安全管理員角色、系統管理員角色、安全審計員角色，具體人員的設置可參考GB/T 20269-2006要求；

責任和權限信息應包括：各個角色在安全管理平臺中的責任、權限和范圍；

角色行為依據包括：信息安全管理工作中涉及的所有正式文件、會議決議、批示、指令、通知、審批記錄等；

應將上述組織的機構、角色、責任、權限、管理依據及其過程記錄等信息存入管理依據數據集；

增強級功能要求，在基本級要求基礎上無增加要求。

5.2.1.2　組織的安全策略管理

平臺應提供對組織的安全策略管理的支持功能。

基本級功能要求，包括：

a） 平臺應記錄組織批準的信息安全方針：

1) 信息安全方針應關注法律法規、組織業務戰略、合同、當前和預期的信息安全威脅環境等方面產生的要求；

2) 信息安全方針應包括涉及以下內容的陳述：

——信息安全、目標和原則的定義，以指導所有信息安全有關的活動；

——把信息安全管理方面的一般和特定責任的分配給已定義的角色；

——處理偏差和意外的過程；

b） 平臺記錄的信息安全策略應依據組織的信息安全方針制訂，通常由特定主題的策略予以支持，具體在系統部件基本管理功能要求（5.2.2）、安全機制管理功能要求（5.2.3）、審計機制管理功能要求（5.2.4）、平臺功能數據管理功能要求（5.2.5）、平臺系統接口功能要求（5.2.6）、平臺級聯功能要求（5.2.7）中闡述，內容解釋可參見附錄C；

增強級功能要求，在基本級要求基礎上無增加要求。

5.2.1.3　組織的信息安全責任制度管理

平臺應記錄依據信息安全方針要求制訂的信息安全責任制度，作為平臺各類管理員的行為依據，并存入管理依據數據集。

基本級功能要求，包括：

a） 規范安全管理活動中的各類管理內容的安全管理制度；

b） 規范各角色下用戶的日常管理操作所建立的操作規程、信息安全責任制度；

c） 構成全面信息安全管理制度體系的其他相關管理制度、操作規程等。

增強級功能要求，在基本級要求基礎上無增加要求。

5.2.1.4　平臺管理員用戶管理

平臺應對其各類管理員用戶帳戶及權限實現管理的功能。

基本級功能要求，包括：

平臺系統由具有特權的系統管理員負責安裝，在首次啟動后自動產生具有特權的系統管理員、安全管理員、安全審計員三個用戶；

具有特權的系統管理員負責平臺自身的運行，新管理員帳戶的建立，即非特權系統管理員、安全管理員、安全審計員用戶；

具有特權的安全管理員負責為非特權系統管理員、安全管理員、安全審計員用戶授權，如管理對象識別、安全策略設置、安全機制監控、安全事件處置等權限；

具有特權的安全管理員可為非特權系統管理員、安全管理員、安全審計員用戶分配各自對管理對象的管理范圍，如管理哪些系統部件及其安全機制；

具有特權的安全審計員負責對具有特權的系統管理員和安全管理員以及非特權的管理員用戶行為進行審計；

非特權系統管理員、安全管理員、安全審計員分別負責在其授權范圍內進行平臺功能操作；

應將上述管理員用戶信息存儲到平臺管理用戶數據集；

增強級功能要求，在基本級要求基礎上無增加要求。

5.2.1.5　平臺管理員安全責任管理

平臺應依據平臺管理用戶數據集、管理依據數據集中的記錄，判定各類管理員的可操作行為。

基本級功能要求，包括：

a） 系統管理員、安全管理員、安全審計員的操作行為應在授權范圍內，并依據管理依據數據集中的記錄，執行系統管理策略設置、安全管理策略設置、審計管理策略設置等關鍵操作；

b） 對于試圖執行非授權操作或管理依據數據集中沒有記錄的操作時，平臺應不予執行并作為責任違規事件報警；

c） 責任違規報警記錄應存入異常事態記錄數據集。

增強級功能要求，在基本級要求基礎上無增加要求。

5.2.2　系統部件管理功能要求

5.2.2.1　系統策略集中管理

平臺應實現系統策略集中管理的相關功能。系統部件管理功能應實現對信息系統安全保護環境中的計算環境、區域邊界、通信網絡實施集中管理和維護，包括用戶身份管理、資源管理、異常情況處理等。

基本級功能要求，包括：

應提供通過系統管理員對系統的資源和運行進行配置、控制和管理的功能，包括用戶身份管理、系統資源配置、系統加載和啟動、系統運行的異常處理，數據和設備的備份與恢復等；

應對系統管理員進行身份鑒別，只允許其在平臺上通過特定的命令或操作界面進行系統管理操作，并對這些操作進行審計。

增強級功能要求，在基本級要求基礎上增加下列要求：

應支持管理本地和異地災難備份與恢復等。

5.2.2.2　系統管理對象識別

平臺應提供系統管理員對系統管理對象識別的操作界面及功能。

基本級功能要求，包括：

a） 應以人工或自動方式識別所有系統管理對象，建立初始的系統部件數據集和用戶管理數據集：

1) 對所有識別的系統管理對象在平臺上建立唯一標識；

2) 與已識別的系統管理對象連接時，應采用受控的口令或具有相應安全強度的其他機制進行身份鑒別；

3) 應將已識別的系統部件的標識、安全等級信息等相關信息存儲到系統部件數據集；

4) 應在2）的基礎上，獲取所有用戶（包括系統用戶和普通用戶）管理信息，將用戶標識及其相關信息存儲到用戶管理數據集；

b） 在建立初始的系統部件數據集和用戶管理數據集后，平臺應及時對新增加系統管理對象（如新接入的系統部件、新開通的用戶）進行識別：

1) 對于經組織批準的新增加的系統管理對象，應按照a）的要求維護相關數據集，并執行平臺對管理對象的其他控制過程；

2) 對于未經組織批準的違規增加的系統管理對象，應將相關信息存儲到異常事態記錄數據集，轉入系統事件響應處置；

增強級功能要求，在基本級要求基礎上增加下列要求：

c） 與已識別的系統管理對象連接時，應采用受控的口令、基于生物特征的數據、數字證書以及其他具有相應安全強度的兩種或兩種以上的組合機制進行身份鑒別；

d） 應對系統部件中的指定進程進行識別。

5.2.1.3　系統管理策略設置

平臺應提供系統管理員對系統管理策略設置的系統管理操作界面及功能。

基本級功能要求，包括：

a） 設定系統管理策略基準和策略規則：

1) 應設置系統部件上的系統管理策略基準；

2) 應按系統管理策略基準形成每個系統部件的相應系統管理策略規則；

3) 應設置系統部件上各個用戶的系統管理策略基準；

4) 應按用戶的系統管理策略基準形成每個用戶的相應系統管理策略規則；

5) 應提供對上述系統管理策略規則與系統管理策略基準的符合性檢查的功能界面，并保存系統管理員的檢查確認信息；

6) 應將設置的系統管理策略基準及策略規則存儲到管理策略數據集；

b） 對每個系統管理對象以人工或自動方式設置系統管理策略規則：

1) 應向系統部件下發系統管理策略規則，完成相應設置并確保其生效；

2) 應向系統部件下發用戶的系統管理策略規則，完成相應設置并確保其生效；

c） 對系統管理對象的策略規則進行完整性驗證：

1) 應能讀取每個系統部件及其用戶已生效的系統管理策略規則信息；

2) 應能將讀取的系統管理策略規則信息與管理策略數據集中的策略規則進行對比驗證；

3) 應對驗證結果發現不一致的進行記錄、提示或報警，報警記錄存儲到策略錯誤數據集；

增強級功能要求，在基本級要求基礎上增加下列要求：

d） 應通過平臺以自動方式向系統部件及其用戶下發系統管理策略規則，并完成設置；

e） 上述系統管理策略規則設置的系統管理對象應細化到指定進程。

5.2.1.4　系統部件運行監控

平臺應提供系統管理員對系統部件運行狀況監控的系統管理操作界面及功能。

基本級功能要求，包括：

a） 設置系統監控規則：

1) 應設置對系統部件及其用戶的監測范圍，如重點、分區、分安全等級監視等；

2) 應設置對系統部件及其用戶的監測方式，如自動或人工監測、監測頻度、并行監測或巡檢等方式；

3) 應將設置的系統監控規則存儲到監控規則數據集；

b） 設置系統異常判斷規則：

1) 應對系統管理對象行為違背所規定的系統管理策略規則判為異常；

2) 應依據系統部件數據集、用戶管理數據集、管理策略數據集，與系統部件及其用戶實際的系統管理策略規則進行比對，出現不一致時判為異常；

3) 應對系統資源（如CPU占用率、存儲空間、網絡流量等）設置異常判斷指標，對違背指標的判為異常；

4) 應將設置的系統異常判斷規則存儲到異常判斷規則數據集；

5) 應對上述異常按GB/Z 20986-2007進行等級劃分；

c） 監控系統管理策略規則及運行狀態：

1) 應獲取系統部件及其用戶的系統管理策略規則及運行狀態信息并記錄，運行狀態如系統加載和啟動、系統資源變動、系統備份及恢復等；

2) 應按照異常判斷規則檢查上述系統管理策略規則及運行狀態信息，對系統異常事態記錄并報警；

3) 應按照異常判斷規則檢查系統部件的數量及屬性變化，對系統異常事態記錄并報警；

4) 應監測新增加系統管理對象（如新接入的系統部件、新開通的用戶），并與系統部件數據集和用戶管理數據集核對，如核對出錯的應將相關信息存儲到異常事態記錄數據集，轉入系統事件響應處置；

5) 應通過網絡流量的監測，發現網絡存在的異常和威脅；

6) 應將系統異常事態記錄存儲到異常事態記錄數據集；

7) 應支持系統管理員對發現的系統異常事態及報警采取應對措施；

d） 應提供對系統監控規則、系統異常判斷規則、系統異常事態記錄等監測記錄的查詢、統計，及報表輸出功能；

增強級功能要求，在基本級要求基礎上增加下列要求：

e） 應對系統管理策略規則及運行狀態監控發現的異常事態及報警采取自動應對措施；

f） 應對監測記錄的查詢統計提供一定的輔助統計分析工具和風險分析工具；

g） 上述系統運行狀況監控的系統管理對象應細化到指定進程。

5.2.1.5　系統事件響應處置

平臺應提供系統管理員對系統事件響應處置的操作界面及功能。

基本級功能要求，包括：

a） 應提供設置系統事件處置預案的模板：

1) 預案框架符合GB/T 24363-2009要求；

2) 預案對系統管理中出現的事件按GB/Z 20986-2007進行分類分級；

3) 預案內容包括啟動條件、執行人及其聯系方式；

4) 編制完成的預案存儲到事件處置預案數據集；

b） 當系統運行狀況監控產生報警時，應提供響應處置界面，并展示審計產生的安全事件記錄信息，以支持判定啟動系統事件相應處置預案的決策（如由系統管理員確認）并記錄；

c） 對違規增加的系統管理對象（如違規接入的系統部件、違規開通的用戶），應提供阻止其接入或開通的功能；

d） 應參照b）提供接受人工報警和系統事件處置的功能；

e） 應對系統事件處置過程及結果進行記錄，形成處置報告，并存儲到事件處置報告數據集；

增強級功能要求，在基本級要求基礎上無增加要求。

5.2.1.6　系統變更管理

平臺應提供系統管理員對系統變更管理的操作界面及功能。

基本級功能要求，包括：

a） 應支持對以下系統變更進行管理，包括平臺已投入運行的系統管理策略（含平臺和系統管理對象上的策略基準、策略規則），系統監控規則、系統異常判斷規則、系統事件處置預案、系統備份和恢復策略等的變更，以及系統部件的系統軟件升級、補丁和特征庫等相關數據更新；

b） 對已投入運行的系統管理策略進行變更后，應驗證系統管理對象上變更后的策略規則得到有效執行；

c） 應對變更過程產生記錄，包括變更的發起者、審批者、變更時間及其他相關信息，并保存變更前和變更后的數據，存儲到審計記錄數據集；

d） 在系統變更不成功或有回退要求時，應能回退到變更前狀態并記錄；

e） 應對系統變更影響范圍內的用戶進行提示或通報。

增強級功能要求，在基本級要求基礎上無增加要求。

5.2.1.7　災難備份及恢復管理

平臺應提供系統管理員對系統災難備份及恢復的操作界面及功能。

基本級功能要求：無；

增強級功能要求：

a） 應提供管理本地和異地災難備份與恢復策略設置；

b） 應提供管理本地和異地災難備份操作的提示功能；

c） 應對本地和異地災難備份和恢復過程進行記錄，存儲到備份記錄數據集；

d） 應提供本地和異地災難備份和恢復檢測和狀態查詢等功能；

e） 可支持本地和異地災難備份和恢復操作。

5.2.3　安全機制管理功能要求

5.2.3.1　安全策略集中管理

平臺應實現安全策略集中管理的相關功能。安全機制管理功能應作為信息系統的安全控制中樞，主要實施標記管理、授權管理及策略管理等，通過制定相應的系統安全策略，要求計算環境、區域邊界和通信網絡中系統部件的安全機制有效執行，從而實現對整個信息系統的集中管理。

基本級功能要求，包括：

a） 應提供安全管理員對系統部件中訪問控制的主體進行授權，配置一致的安全策略的功能，并確保授權和安全策略的完整有效；

b） 對安全機制的安全管理策略設置，應覆蓋到系統管理對象的具有設置功能的所有安全機制；對安全機制的監測，應覆蓋到系統管理對象的所有安全機制；

c） 應對安全管理員進行身份鑒別，只允許其通過特定的命令或操作界面進行安全管理操作，并進行審計；

d） 信息系統中聯網的辦公設備安全管理策略應符合GB/T 29244-2012要求；

增強級功能要求，在基本級要求基礎上增加下列要求：

e） 應在對安全管理員進行身份鑒別和權限控制的基礎上，通過特定操作界面進行安全標記（即對系統中訪問控制的主體、客體設置統一的敏感標記），并確保安全標記、授權和安全策略的完整有效；

f） 應按安全標記和強制訪問控制規則，對確定主體訪問客體的操作進行控制，且強制訪問控制主體的粒度為用戶級，客體的粒度為文件或數據庫表級；

g） 應確保安全計算環境內的所有主、客體具有一致的敏感標記信息，并實施相同的強制訪問控制規則。

5.2.3.2　安全管理對象識別

平臺應提供安全管理員對系統管理對象的安全機制識別的操作界面及功能。

基本級功能要求，包括：

a） 應對已識別的系統管理對象的安全機制進行識別并唯一標識；

b） 應對已識別的系統管理對象的安全機制標識等相關信息存儲到系統部件數據集；

c） 應在連接系統管理對象并通過身份鑒別后，能夠讀取安全機制的安全策略規則等信息；

d） 應在連接系統管理對象并通過身份鑒別后，獲取所有用戶（包括系統用戶和普通用戶）安全管理信息，并存儲到用戶管理數據集；

增強級功能要求，在基本級要求基礎上增加下列要求：

e） 應對系統管理對象中有關安全機制的指定進程進行識別。

5.2.1.3　安全管理策略設置

平臺應提供安全管理員對安全管理策略設置的操作界面及功能。

基本級功能要求，包括：

a） 設定安全管理策略基準和策略規則：

1) 應設置系統部件安全機制的安全管理策略基準；

2) 應按安全管理策略基準形成每個系統部件安全機制的相應安全管理策略規則；

3) 應設置系統部件上各個用戶的安全管理策略基準；

4) 應按用戶安全管理策略基準形成每個用戶的相應安全管理策略規則；

5) 應提供對上述安全管理策略規則與安全管理策略基準的符合性檢查的功能界面，并保存安全管理員的檢查確認信息；

6) 應將設置的安全策略基準及安全策略規則存儲到管理策略數據集；

b） 對每個安全管理對象以人工或自動方式設置安全管理策略規則：

1) 應向系統部件下發安全管理策略規則，完成相應設置并確保其生效；

2) 應向系統部件下發用戶安全管理策略規則，完成相應設置并確保其生效；

c） 對安全管理對象的安全管理策略規則以人工或自動方式進行完整性驗證：

1) 應讀取每個系統部件安全機制已生效的安全管理策略規則和每個用戶已生效的安全管理策略規則；

2) 應將讀取的安全管理策略規則與管理策略數據集中相應策略規則進行比對驗證并記錄；

3) 應對驗證結果發現不一致的進行記錄、提示或報警，報警記錄存儲到策略錯誤數據集；

增強級功能要求，在基本級要求基礎上增加下列要求：

d） 應以自動方式對系統部件下發安全機制的安全管理策略規則，對每個用戶下發安全管理策略規則，并完成設置；

e） 應以自動方式驗證安全管理策略規則設置的完整性；

f） 應為安全管理員提供安全標記和強制訪問控制安全管理策略設置功能；

g） 上述安全管理策略規則設置的安全管理對象應細化到指定進程。

5.2.3.4　安全機制運行監控

平臺應提供安全管理員對安全機制運行監控的操作界面及功能。

基本級功能要求，包括：

a） 設置安全監控規則：

1) 應設置系統部件的安全機制、用戶等監測范圍，如重點、分區、分安全等級監視等；

2) 應設置系統部件的安全機制、用戶等監測方式，如自動或人工監測、監測頻度、并行監測或巡檢等方式；

3) 應將設置的安全監控規則存儲到監控規則數據集；

b） 設置安全異常判斷規則：

1) 應對安全管理對象行為違背所規定的安全管理策略規則判為異常；

2) 應依據系統部件數據集、用戶管理數據集、管理策略數據集，與系統部件及其用戶實際的安全管理策略規則進行比對，出現不一致時判為異常；

3) 應將設置的安全異常判斷規則存儲到異常判斷規則數據集；

4) 應對上述異常按GB/Z 20986-2007進行等級劃分；

c） 監控安全管理策略規則的完整性及其執行狀態：

1) 應獲取系統部件的安全管理策略規則，按照安全異常判斷規則檢查并記錄，發現異常則生成安全異常事態記錄并報警；

2) 應獲取安全機制的運行狀態（安全管理策略規則的執行狀態），按照安全異常判斷規則檢查并記錄，發現異常則生成安全異常事態記錄并報警；

3) 應監測系統部件安全機制的數量及屬性變化，按照異常判斷規則檢查并記錄，發現異常則生成安全異常事態記錄并報警；

4) 應將安全異常事態記錄存儲到異常事態記錄數據集；

5) 應支持安全管理員對發現的安全異常事態及報警采取應對措施；

d） 應提供對安全監控規則、安全異常判斷規則、安全異常事態記錄等監測記錄的查詢、統計，及報表輸出功能；

增強級功能要求，在基本級要求基礎上增加下列要求：

a） 應對安全管理策略規則及安全機制運行狀態監控發現的異常事態及報警采取自動應對措施；

b） 應對監測記錄的查詢統計提供一定的輔助統計分析工具和風險分析工具；

c） 應提供對安全標記和強制訪問控制執行狀態的監測功能；

d） 上述安全機制運行狀況監控的安全管理對象應細化到指定進程。

5.2.3.5　安全事件響應處置

平臺應提供安全管理員對安全事件響應處置的操作界面及功能。

基本級功能要求，包括：

a） 應提供設置安全事件處置預案的模板：

1) 預案框架符合GB/T 24363-2009要求；

2) 預案對安全管理中出現的事件按GB/Z 20986-2007進行分類分級；

3) 預案內容包括啟動條件、執行人及其聯系方式；

4) 編制完成的預案存儲到事件處置預案數據集；

b） 當安全機制運行監控產生報警時，應提供響應處置界面，并展示審計產生的安全事件記錄信息，以支持判定啟動安全事件相應處置預案的決策（如由安全管理員確認）并記錄；

c） 應參照b）提供人工報警和安全事件處置的功能；

d） 應對安全事件處置過程及結果進行記錄，形成處置報告，并存儲到事件處置報告數據集；

增強級功能要求，在基本級要求基礎上無增加要求。

5.2.3.6　安全變更管理

平臺應提供安全管理員對安全變更管理的操作界面及功能。

基本級功能要求，包括：

a） 安全變更范圍包括平臺已投入運行的安全管理策略（包括平臺和安全管理對象上的策略基準、策略規則），安全監控規則、安全異常判斷規則、安全事件處置預案等的變更；

f） 對已投入運行的安全管理策略進行變更后，應驗證安全管理對象上變更后的策略規則得到有效執行；

g） 安全變更時，應對變更過程產生記錄，包括變更的發起者、審批者、變更時間及其他相關信息，并保存變更前和變更后的數據，存儲到審計記錄數據集；

a） 安全變更不成功或有需求時，應回退到變更前狀態并記錄；

b） 應對安全變更影響范圍內的用戶進行提示或通報；

增強級功能要求，在基本級要求基礎上無增加要求。

5.2.4　審計機制管理功能要求

5.2.4.1　審計策略集中管理

平臺應實現審計策略集中管理的相關功能。審計機制管理功能應作為信息系統的監督中樞，通過制定審計策略，要求計算環境、區域邊界、通信網絡中的審計機制有效執行，實現對整個信息系統的行為審計，確保用戶無法抵賴違反系統安全策略的行為，同時為應急處理提供依據。

基本級功能要求，包括：

a） 應提供通過安全審計員對分布在系統各個組成部分的安全審計機制進行集中管理的功能，包括根據安全審計策略對審計記錄進行分類，提供按時間段開啟和關閉相應類型的安全審計機制，對各類審計記錄進行存儲、管理和查詢等，能對確認的違規行為及特定安全事件及時進行報警；

b） 應對安全審計員進行身份鑒別，并只允許其通過特定的命令或操作界面進行安全審計操作；

增強級功能要求，在基本級要求基礎上增加下列要求：

c） 應終止安全事件涉及的違例進程；

d） 應支持對審計記錄應進行分析，并根據分析結果進行及時處理。

5.2.4.2　審計管理對象識別

平臺應提供安全審計員對審計管理對象識別的操作界面及功能。

基本級功能要求，包括：

a） 應對已識別的系統管理對象及其安全機制的審計機制進行識別并唯一標識；

b） 應對已識別的系統管理對象及其安全機制的審計機制標識等相關信息存儲到系統部件數據集；

c） 應在連接系統管理對象并通過身份鑒別后，能夠讀取審計機制的審計管理策略規則等信息；

d） 應在c）的基礎上，獲取所有用戶（包括系統用戶和普通用戶）審計管理信息，并存儲到用戶管理數據集；

增強級功能要求，在基本級要求基礎上增加下列要求：

e） 應對系統管理對象及其安全機制中審計對象的指定進程進行識別；

5.2.4.3　審計管理策略設置

平臺應提供安全審計員對審計管理策略設置的操作界面及功能。

基本級功能要求，包括：

a） 設定審計管理策略基準和策略規則：

1) 應設置系統部件審計機制的審計管理策略基準；

2) 應按安全管理策略基準形成每個系統部件審計機制的相應審計管理策略規則；

3) 應設置系統部件上各個用戶的審計管理策略基準；

4) 應按用戶審計管理策略基準形成每個用戶審計管理策略規則;

5) 應提供對上述審計管理策略規則與審計管理策略基準的符合性檢查的功能界面，并保存安全審計員的檢查確認信息；

6) 應將設置的審計管理策略基準及策略規則存儲到管理策略數據集；

b） 對每個審計管理對象以人工或自動方式設置審計管理策略規則：

1) 應向系統部件下發審計管理策略規則，完成相應設置并確保其生效；

2) 應向系統部件下發用戶審計管理策略規則，完成相應設置并確保其生效；

c） 對審計管理對象的審計管理策略規則以人工或自動方式進行完整性驗證：

1) 應讀取每個系統部件審計機制已生效的審計管理策略規則和每個用戶已生效的審計管理策略規則；

2) 應將讀取的審計管理策略規則與管理策略數據集中相應策略規則進行比對驗證并記錄，對發現不一致的應提示或報警，報警記錄存儲到策略錯誤數據集；

增強級功能要求，在基本級要求基礎上增加下列要求：

d） 應以自動方式對系統部件下發審計機制的審計管理策略規則，對每個用戶下發審計管理策略規則，并完成設置；

e） 上述審計管理策略規則設置的審計管理對象應細化到指定進程。

5.2.4.4　審計機制運行監控

平臺應提供安全審計員對審計機制運行監控的操作界面及功能。

基本級功能要求，包括：

a） 設置審計監控規則：

1) 應設置系統部件的審計機制的監測范圍，如服務器及終端計算機操作系統、網絡設備、應用軟件、數據庫系統的審計機制等，以及一般監控目標、重點監控目標和不同安全等級監控目標等；

2) 應設置系統部件的審計機制的監測方式，如按時間啟動或關閉審計機制等；

3) 應將設置的審計監控規則存儲到監控規則數據集；

b） 設置審計異常判斷規則：

1) 應對審計發現結果中的審計管理對象行為違背所規定的審計管理策略規則判為異常；

2) 應依據系統部件數據集、用戶管理數據集、管理策略數據集，與系統部件及其用戶實際的審計管理策略規則進行比對，出現不一致時判為異常；

3) 應將設置的審計異常判斷規則存儲到異常判斷規則數據集；

4) 應對上述異常按GB/Z 20986-2007進行等級劃分；

c） 審計記錄的保存

1) 應根據審計管理策略規則，對獲取的所有系統部件及其用戶的審計記錄，集中存儲到平臺的審計記錄數據集，或分布式存放；

2) 應根據審計管理策略規則，對獲取的所有系統部件及其用戶的審計記錄保存一定期限；

d） 監控審計管理策略規則的完整性及其執行狀態：

1) 應獲取系統部件及其用戶的審計管理策略規則，按照審計異常判斷規則檢查并記錄，發現異常則生成審計異常事態記錄并報警；

2) 應獲取審計機制的運行狀態，按照審計異常判斷規則檢查并記錄，發現異常則生成審計異常事態記錄并報警；

3) 應監測系統部件及其用戶的審計機制的數量及屬性變化，按照審計異常判斷規則檢查并記錄，發現異常則生成審計異常事態記錄并報警；

4) 應將審計異常事態記錄存儲到異常事態記錄數據集；

5) 應支持安全審計員對發現的審計異常事態及報警采取應對措施；

e） 監控被審計的系統管理對象、安全管理對象的行為：

1) 當出現異常事態報警時，結合異常事態記錄數據集，確定違規的系統管理對象或安全管理對象；

2) 讀取確定的違規管理對象（即系統部件及其用戶）的審計記錄，形成相應管理對象違規行為的事件記錄信息；

3) 當并發出現多個異常事態報警時，應按報警等級的優先順序，由相應系統管理員或安全管理員處理；

4) 應將1)、2）產生的安全事件信息存儲到安全事件記錄數據集；

5) 應支持安全審計員對被審計的系統管理對象、安全管理對象的違規行為采取阻止措施；

f） 應提供支持威脅識別和分析功能：

1) 分析平臺收集的相關入侵檢測日志、防火墻日志、系統日志、防病毒日志和安全事件歷史記錄等，識別已發生和正在發生的威脅；

2) 對照平臺已定義的威脅列表，對威脅相關要素進行適合性分析，識別系統可能面臨的安全威脅；

3) 通過平臺已發現管理對象的脆弱性，反推利用該脆弱性的威脅在當前安全控制措施下是否存在；

g） 應提供對審計監控規則、審計異常判斷規則、審計異常事態記錄、審計記錄、事件記錄信息等監測記錄的查詢、統計，及報表輸出功能；

增強級功能要求，在基本級要求基礎上增加下列要求：

h） 應對審計管理策略規則及審計機制運行狀態監控發現的審計異常事態及報警采取自動應對措施；

i） 應對被審計的系統管理對象、安全管理對象的違規行為采取自動阻止措施；

j） 上述審計機制運行狀況監控的審計管理對象應細化到指定進程。

5.2.4.5　審計事件響應處置

平臺應提供安全審計員對審計事件響應處置的操作界面及功能。

基本級功能要求，包括：

a） 應提供設置審計事件處置預案的模板：

1) 預案框架符合GB/T 24363-2009要求；

2) 預案對審計管理中出現的事件按GB/Z 20986-2007進行分類分級；

3) 預案內容包括啟動條件、執行人及其聯系方式；

4) 編制完成的預案存儲到事件處置預案數據集；

b） 當審計機制運行監控產生報警時，應提供響應處置界面，以支持判定啟動審計事件相應處置預案的決策（如由安全審計員確認）并記錄；

c） 應參照b）提供人工報警和審計事件處置的功能；

d） 應對審計事件處置過程及結果進行記錄，形成處置報告，并存儲到事件處置報告數據集；

增強級功能要求，在基本級要求基礎上無增加要求。

5.2.4.6　審計變更管理

平臺應提供安全審計員對審計變更管理的操作界面及功能。

基本級功能要求，包括：

a） 審計變更范圍包括平臺已投入運行的審計管理策略（包括平臺和審計管理對象上的策略基準、策略規則），審計監控規則、審計異常判斷規則、審計事件處置預案等的變更；

b） 對已投入運行的審計管理策略進行變更后，應驗證審計管理對象上變更后的策略規則得到有效執行；

h） 審計變更時，應對變更過程產生記錄，包括變更的發起者、審批者、變更時間及其他相關信息，并保存變更前和變更后的數據，存儲到審計記錄數據集；

i） 審計變更不成功，應回退到變更前狀態并記錄；

j） 應對審計變更影響范圍內的用戶進行提示或通報；

增強級功能要求，在基本級要求基礎上無增加要求。

5.2.5　平臺功能數據管理功能要求

5.2.5.1　數據策略集中管理

平臺應實現平臺功能數據策略集中管理的相關功能。

基本級功能要求，包括：

a） 應提供對從各個管理對象、級聯平臺收集到的數據及自身產生的數據（統稱平臺功能數據）進行集中管理的功能；

b） 應通過系統管理員、安全管理員、安全審計員在各自權限范圍內對不同類型數據分別進行管理；

c） 應對系統管理員、安全管理員、安全審計員進行身份鑒別，并只允許其通過特定的命令或操作界面進行數據管理操作；

增強級功能要求，在基本級要求基礎上增加下列要求：

d） 應支持對數據進行分析處理，并能根據分析結果發現異常；

e） 可支持數據備份恢復、災備系統操作的集中管理。

5.2.5.2　數據分類

平臺功能數據分為運行保障數據、安全管理數據、安全審計數據三類。其中，部分重要數據結構應參照GB/T 25070-2010中附錄B的“B.3 重要數據結構”的規范制定。

基本級功能要求，包括：

a） 運行保障數據由系統管理員負責維護，包括用戶管理數據集、系統部件數據集、管理策略數據集、策略錯誤數據集、異常判斷規則數據集、異常事態記錄數據集、事件處置預案數據集、事件處置報告數據集、備份記錄數據集、邏輯接口數據集、管理依據數據集、平臺管理用戶數據集、平臺級聯數據集等系統部件管理相關部分內容；

b） 安全管理數據由安全管理員負責維護，包括用戶管理數據集、系統部件數據集、管理策略數據集、策略錯誤數據集、異常判斷規則數據集、異常事態記錄數據集、事件處置預案數據集、事件處置報告數據集等安全機制管理相關部分內容；

c） 安全審計數據由安全審計員負責維護，包括用戶管理數據集、系統部件數據集、管理策略數據集、策略錯誤數據集、異常判斷規則數據集、異常事態記錄數據集、事件處置預案數據集、事件處置報告數據集等審計機制管理相關部分內容；

增強級功能要求，在基本級要求基礎上無增加要求。

5.2.5.3　數據存儲

平臺應提供平臺功能數據的存儲功能。

基本級功能要求，包括：

a） 應提供平臺功能數據的數據結構，可采用數據庫管理系統、文件管理系統等存儲數據；

b） 應根據安全策略為數據量較大的數據集（如異常事態記錄數據集、審計記錄數據集）設定存儲策略（如時間段），并提供足夠存儲空間；

c） 當數據集存儲空間達到指定閾值時，應報警并提供導出到其他存儲設備的措施；

d） 對獲取的所有系統部件及其用戶的審計記錄采取分布式存放時，應在平臺審計記錄數據集中維護和保存相應的數據索引；

增強級功能要求，在基本級要求基礎上增加下列要求：

e） 應支持采用加密方式進行數據存儲；

f） 應支持采用壓縮、聚類機制對數據進行存儲；

g） 應支持平臺存儲數據的備份恢復的集中管理。

5.2.5.4　數據應用

平臺應為系統管理員、安全管理員、安全審計員提供平臺功能數據的相關應用功能。

基本級功能要求，包括：

a） 應提供授權的系統管理員進行運行保障數據查詢、統計、分析的功能；

b） 應提供授權的安全管理員進行安全管理數據查詢、統計、分析的功能；

c） 應提供授權的安全審計員進行審計數據查詢、統計、分析的功能；

d） 應提供通過數據查詢、統計、分析結果形成數據分析報告的功能；

增強級功能要求，在基本級要求基礎上增加下列要求：

e） 應提供輔助分析處理工具，支持對數據進行分析處理，并能根據分析結果發現異常態勢；

f） 應支持根據標識、用戶行為等特征進行檢索及關聯分析。

5.2.5.5　信息可視化管理

平臺應基于平臺功能數據提供平臺功能相關可視化管理功能，將數據信息和知識轉化為一種視覺形式，充分利用信息系統管理者對可視模式快速識別的自然能力。

基本級功能要求，包括：

a） 應按照平臺的系統管理、安全管理、審計管理功能中的對象識別、策略設置、安全監控、事件處置過程，包括平臺功能數據等信息描述和平臺及其管理對象系統結構的可視化、過程可視化和結果可視化；

b） 平臺提供的可視化管理，應明確告知管理者：

1) 平臺及其管理對象系統結構、工作過程的變化，便于早期發現異常情況；

2) 操作要點及步驟，防止人為失誤或遺漏，并始終維持正常狀態；

3) 直觀顯示異常情況，使安全事態等現象容易暴露，便于事先預防和消除各類安全隱患；

c） 應在平臺功能及其工作過程中提供交互和可視化控制操作界面。

增強級功能要求，在基本級要求基礎上無增加要求。

5.2.6　平臺系統接口功能要求

5.2.6.1　平臺接口策略集中管理

平臺應實現接口策略集中管理的相關功能。有關接口的具體功能、類型及其數據結構，可作為接口規范另行制定。

基本級功能要求，包括：

a） 應具備面向管理對象接口、平臺操作人機接口、平臺級聯接口等獨立的物理接口，以及內部的擴展功能接口；

b） 面向管理對象接口應有若干個，用于平臺與信息系統的系統部件等的網絡連接，通過該接口實現對各個管理對象的系統部件管理功能、安全機制管理功能、審計機制管理功能，每個接口對應信息系統中一個安全等級的系統；

c） 平臺操作人機接口用于平臺與系統管理員、安全管理員、安全審計員終端計算機或平臺自身控制臺的連接，實現各個管理員的系統部件管理、安全機制管理、審計機制管理操作；

d） 平臺級聯接口用于本級平臺與上下級平臺的連接；

e） 擴展功能接口用于平臺基礎功能與擴展功能之間的連接，所有擴展功能的實現應基于基礎功能中的安全控制措施，使其不能直接訪問管理對象；

增強級功能要求，在基本級要求基礎上無增加要求。

5.2.6.2　面向管理對象接口

面向管理對象接口應具備以下管理功能：

基本級功能要求，包括：

a） 應提供多個獨立物理接口，對各接口定義相應的安全等級，且僅對應信息系統中一個安全等級的系統的管理對象的連接；

b） 物理接口之間應相互隔離，確保信息系統中各個不同安全等級的系統之間互聯所采取的安全隔離策略不受影響；

c） 應提供與系統部件連接的邏輯接口，該邏輯接口是與各種類型系統部件連接的專用程序；

d） 邏輯接口應提供對相應管理對象的識別、策略部署、監測信息收集、控制等功能，以及對管理對象中的用戶進行管理和監控的功能；

e） 應提供邏輯接口與各種類型系統部件連接有關信息的配置功能；

f） 應將邏輯接口信息存儲到邏輯接口數據集；

g） 應對流經各邏輯接口的數據流具有識別和監測功能，對不符合邏輯接口定義的數據阻止并報警，產生審計記錄，存儲到審計記錄數據集；

h） 邏輯接口應與相應的管理對象端邏輯接口間采用專用通信協議，并對系統部件采取認證等安全控制措施；

增強級功能要求，在基本級要求基礎上增加下列要求：

i） 應按照GB/T 29828-2013要求，建立面向管理對象接口與相應的管理對象端接口間的可信連接；

5.2.6.3　平臺操作人機接口

平臺操作人機接口應具備以下管理功能：

基本級功能要求，包括：

a） 應具有用于連接管理員終端計算機的獨立物理接口，并與平臺的其他物理接口具有隔離措施；

b） 應定義管理員邏輯接口，用于實現平臺與系統管理員、安全管理員、安全審計員終端計算機或平臺自身控制臺之間操作控制以及相關信息交換；

c） 應提供與管理員終端計算機有關信息的配置功能，包括管理員終端計算機設備認證及MAC地址綁定；

d） 應將管理員邏輯接口信息記錄到邏輯接口數據集；

e） 根據管理員邏輯接口定義，對流經接口的數據流應具有監測和識別功能，對不符合邏輯接口定義的數據阻止并報警，產生審計記錄，存儲到審計記錄數據集；

增強級功能要求，在基本級要求基礎上增加下列要求：

f） 應按照GB/T 29828-2013要求，建立平臺操作人機接口與管理員終端計算機的可信連接；

5.2.6.4　平臺級聯接口

平臺應有一個與上級平臺級聯的獨立物理接口，多個與下級平臺級聯的獨立物理接口。平臺的級聯接口應具備以下管理功能：

基本級功能要求，包括：

a） 與上級平臺級聯接口：

1) 與上級平臺級聯的獨立物理接口應與平臺的其他物理接口具有隔離措施；

2) 應具有接收上級平臺相關管理策略部署，并將接收的相關管理策略存儲到管理策略數據集；

3) 應具有向上級平臺發送相關信息（如監控信息等）的功能；

4) 應提供與上級平臺連接有關信息的配置功能，包括與上級平臺設備認證及MAC地址綁定；

b） 與下級平臺級聯接口：

1) 與下級平臺級聯的獨立物理接口應與平臺的其他物理接口具有隔離措施；

2) 應具有接收下級平臺的相關信息（如監控信息等），并將接收的相關信息分別存儲到本級安全管理平臺的相關數據集；

3) 應具有向下級平臺發送相關管理策略部署的功能，對擬下發的相關管理策略存儲到管理策略數據集；

4) 應提供與下級平臺連接有關信息的配置功能，包括與下級平臺設備認證及MAC地址綁定；

c） 級聯接口監測：

1) 對流經接口的數據流應具有監測和識別功能；

2) 對不符合平臺級聯相關安全策略的數據應阻止并報警，產生審計記錄，存儲到審計記錄數據集；

增強級功能要求，在基本級要求基礎上增加下列要求：

d） 應按照GB/T 29828-2013要求，建立平臺級聯接口與上下級平臺的可信連接。

5.2.6.5　擴展功能接口

平臺的擴展功能接口是安全管理平臺內部接口，應具備以下管理功能：

基本級功能要求，包括：

a） 擴展功能接口應由一組基礎功能調用的專用程序組成，受平臺安全功能控制及保護；

b） 應提供支持擴展功能實現的基礎功能調用的專用程序接口，以確保擴展功能不對管理對象直接訪問；

增強級功能要求，在基本級要求基礎上無增加要求。

5.2.6.6　管理對象端接口

管理對象端接口應提供與平臺連接的邏輯接口，該邏輯接口是系統部件自身原有的功能模塊,或是由平臺提供并在系統部件上安裝運行的代理程序，應具備以下功能：

基本級功能要求，包括：

a） 應支持平臺對其識別的功能，對平臺發出的識別信息作出正確應答，向平臺發送系統部件自身的標識信息；

b） 應支持平臺部署策略規則的功能，接受平臺發來的策略規則部署信息，并自動完成相關策略規則設置并執行；

c） 應具有向平臺發送監測信息的功能，依據平臺發來的監測策略向平臺發送系統部件中的相關實際配置及監測記錄信息；

d） 應具有接受平臺控制的功能，依據平臺發來的控制指令執行相應操作；

e） 應支持平臺對管理對象中的用戶進行管理和監控的功能；

f） 與平臺之間的連接，應采用專用通信協議；

g） 應支持平臺對系統部件認證的安全控制措施；

增強級功能要求，在基本級要求基礎上增加下列要求：

h） 應按照GB/T 29828-2013要求，建立平臺端面向管理對象邏輯接口與相應的管理對象端邏輯接口間的可信連接。

5.2.7　平臺級聯功能要求

5.2.7.1　平臺級聯策略集中管理

級聯是上下級平臺之間的連接，通過級聯接口實現，完成上級平臺對下級多個平臺管理的信息系統的集中管理，可允許多層級聯。

基本級功能要求，包括：

a） 平臺應建立和維護平臺級聯關系信息并存儲到平臺級聯數據集，包括本平臺的上級平臺和所有下級平臺的標識信息及相關配置信息；

b） 平臺應具備設置平臺級聯安全策略并存儲到管理策略數據集，以及向指定下級平臺下發策略基準和策略規則的功能；

c） 平臺應具備接收上級平臺下發的策略基準和策略規則的功能，并提供執行上級策略的操作界面；

d） 平臺應具備根據上級平臺的監控規則向上級平臺發送相關監控信息，以及接收下級平臺發送的監控信息的功能；

增強級功能要求，在基本級要求基礎上增加下列要求：

e） 下級平臺具有對接收到的策略基準和策略規則自動執行的功能；

5.2.7.2　管理策略下發

平臺級聯管理策略下發應具備以下功能。

基本級功能要求，包括：

a） 平臺應根據相應管理員指令向指定的下級平臺發送系統管理策略基準及策略規則、安全管理策略基準及策略規則、審計管理策略基準及策略規則，并記錄下發行為，存儲在本級平臺的審計記錄數據集；

b） 平臺應接收由上級平臺下發的系統管理策略基準及策略規則、安全管理策略基準及策略規則、審計管理策略基準及策略規則，并存儲在本級平臺相應的管理策略數據集；

c） 平臺應根據收到的策略基準和策略規則，由相應管理員在指定時間內完成操作，將結果記錄并上報；

增強級功能要求，在基本級要求基礎上增加下列要求：

d） 平臺接收到上級平臺下發的策略基準和策略規則，應在指定時間內自動執行，將結果記錄并上報。

5.2.7.3　監控信息上傳

平臺級聯監控信息上傳應具備以下功能。

基本級功能要求，包括：

a） 平臺應根據上級平臺監控規則向上級平臺發送系統、安全、審計等相關監控信息, 并記錄上傳行為；

b） 平臺應接收由下級平臺傳來的系統、安全、審計等相關監控信息，并存儲在本級平臺的審計記錄數據集，對于其中的安全事件記錄到安全事件數據集；

c） 平臺應及時向上級平臺發送本平臺和所有下級平臺的相關配置的變更信息；

d） 平臺應對接收到的監控信息按照審計響應處置要求執行；

增強級功能要求，在基本級要求基礎上無增加要求。

5.2.7.4　級聯數據存儲

平臺級聯數據存儲應具備以下功能。

基本級功能要求，包括：

a） 平臺應保存本平臺的上級平臺和所有下級平臺的標識信息及相關配置信息，并存儲到平臺級聯數據集；

b） 平臺接收到下級平臺的相關配置的變更信息，應存儲到平臺級聯、系統部件設備、管理策略等相關數據集；

c） 當采取分級存儲或在管理對象中存儲的數據存儲方式時，本平臺應建立和維護數據存儲索引信息，并存儲到平臺級聯數據集。

增強級功能要求，在基本級要求基礎上無增加要求。