6.5　FRF類：數據流限制

6.5.1 類描述

數據流限制的目的是在網絡與本地通過訪問控制和分區限制不必要的數據流。

6.5.2 FRF_NAC 族：網絡與端口訪問控制

6.5.2.1 族描述

工控系統現場測控設備對網絡和本地端口實施訪問控制，主要用于保證僅限合法上位機、配置工作站、其他現場設備或存儲介質對設備進行訪問。

6.5.2.2 FRF_NAC.1 端口禁用

6.5.2.2.1 要求

工控系統現場測控設備應關閉不使用或訪問控制范圍外通信服務和物理端口。

6.5.2.2.2 要求說明

設備上線后通常不需要使用FTP、HTTP等配置應用，應關閉對應的服務端口，同時也應關閉用于本地配置的固件升級物理網絡端口或串口。開啟的端口和服務均應具備用戶鑒別機制。

6.5.2.2.3 要求加強

無。

6.5.2.2.4 依賴要求

無。

6.5.2.3 FRF_NAC.2 數據流控制

6.5.2.3.1 要求

工控系統現場測控設備應具備對流入設備數據流的源端訪問控制信息進行維護的機制。

6.5.2.3.2 要求說明

設備網絡層面的訪問控制信息包括源IP地址、物理地址、可訪問服務及服務中的內容有效性和合理性，應通過這些內容實現對源端身份合法性的識別。

6.5.2.3.3 要求加強

FRF_NAC.2數據流控制的加強要求包括：

a)設備需維護公鑰、對稱密鑰等基于密碼的設備身份鑒別機制，以證實通信對端的身份。

6.5.2.3.4 依賴要求

FRF_NAC.2數據流控制的依賴要求是FIA_IAM.1。

6.5.2.4 FRF_NAC.3 無線訪問

6.5.2.4.1 要求

使用無線訪問的工控系統現場測控設備，須能支持在物理上關閉無線功能（如硬壓板），且其采用的無線協議須具備安全機制。

6.5.2.4.2 要求說明

關閉設備上的無線訪問物理開關后，將不能通過交換機或軟件配置開啟設備的無線功能。無線協議應具備鑒別、完整性保護和加密等安全機制。

6.5.2.4.3 要求加強

FRF_NAC.3無線訪問的加強要求包括：

a)設備禁用無線通信方式。

6.5.2.4.4 依賴要求

無。

6.5.2.5 FRF_NAC.4 可移動存儲介質

6.5.2.5.1 要求

工控系統現場測控設備應具備對可移動存儲介質（SD卡、U盤等）的使用進行限制的能力。

6.5.2.5.2 要求說明

根據授權限制U盤等可移動存儲介質的使用，如禁用自啟動、對可移動存儲介質傳入/傳出的代碼和數據類型進行限制。

6.5.2.5.3 要求加強

FRF_NAC.4可移動存儲介質的加強要求包括：

a)設備禁用可移動存儲介質。

6.5.2.5.4 依賴要求

無。

6.5.3 FRF_FUP 族：功能分區

6.5.3.1 族描述

工控系統現場測控設備不同功能的分離通過分區與隔離機制實現。

6.5.3.2 FRF_FUP.1 應用分區GB/T XXXXX—XXXX

6.5.3.2.1 要求

工控系統現場測控設備應將數據獲取服務與管理功能分區。

6.5.3.2.2 要求說明

應用分區的手段包括使用不同的處理單元、不同的操作系統實例、不同的網絡地址、不同的端口或其他方法。

6.5.3.2.3 要求加強

無。

6.5.3.2.4 依賴要求

無。

6.5.3.3 FRF_FUP.2 安全功能隔離

6.5.3.3.1 要求

工控系統現場測控設備應將安全功能與非安全功能隔離，使用的方法如控制安全功能的硬件、軟件和固件的完整性和對它們的訪問等。

6.5.3.3.2 要求說明

設備應為每個執行進程維護一個獨立的執行域（比如地址間）。對于一些無法做到該點的老舊工控設備，應在安全計劃中記錄該情況并制定風險緩解方法。

6.5.3.3.3 要求加強

無。

6.5.3.3.4 依賴要求

無。

6.5.3.4 FRF_FUP.3 數據的非可執行性

6.5.3.4.1 要求

工控系統現場測控設備應將數據和可執行代碼分別存儲在不同的內存空間，并能夠阻止數據內存空間內的代碼執行。

6.5.3.4.2 要求說明

可靜態分配內存、使用支持硬件MMU的OS、或者支持分離內存硬件設計的CPU。

6.5.3.4.3 要求加強

無。

6.5.3.4.4 依賴要求

無。