6.3 標記功能

應按照主體標記和客體標記所描述的要求進行標記設計。

在網絡環境中，帶有特定標記的數據應能被安全策略禁止通過某些子網、鏈路或中繼。連接的發起者(或無連接數據單元的發送者)可以指定路由選擇說明，請求回避某些特定的子網、鏈路或中繼。

包含數據項的資源應具有與這些數據相關聯的敏感標記。敏感標記可能是與被傳送的數據相連的附加數據，也可能是隱含的信息，例如使用一個特定密鑰加密數據所隱含的信息或由該數據的上下文所隱含的信息，可由數據源或路由來隱含。明顯的敏感標記必須是清晰可辨認的，以便對它們作適當的驗證。此外，它們還必須安全可靠地依附于與之關聯的數據。

對于在通信期間要移動的數據項，發起通信的進程與實體，響應通信的進程與實體，在通信時被用到的信道和其他資源等，都可以用各自的敏感信息來標記。安全策略應指明如何使用敏感信息以提供必要的安全性。當安全策略是基于用戶身份時，不論直接或通過進程訪問數據，敏感標記均應包含有關用戶身份的信息。用于特定標記的那些規則應該表示在安全管理信息庫中的一個安全策略中，如果需要，還應與端系統協商。標記可以附帶敏感信息，指明其敏感性，說明處理與分布上的隱蔽處，強制定時與定位，以及指明對該端系統特有的要求。

采用的安全策略決定了標記所攜帶的敏感信息及其含義，不同的網絡會有差異。

表4給出了從安全標記保護級到訪問驗證保護級對標記功能的分層分級要求。