GB/T 20270—2006信息安全技術 網絡基礎安全技術要求7.4 第四級：結構化保護級
7.4.1 第四級安全功能要求
7.4.1.1 物理層
應采用加密數據流的方法確保所傳送的數據受到應有的保密性和完整性保護，防止其遭受非授權的泄露或破壞。本安全保護等級應按GB/T 20271-2006中6.4.3.10的要求進行傳輸數據加密保護。該層所涉及的用戶數據完整性保護應滿足6.7和GB/T 20271-2006中6.4.3.7的要求。
7.4.1.2 鏈路層
a） 身份鑒別：應根據6.1的描述，按GB/T 20271-2006中6.4.3.1.1和GB/T 20271-2006中6.4.3.1.2的要求，設計和實現鏈路層結構化保護級的身份鑒別功能，提供通信雙方身份的真實性鑒別，即鏈路層實體鑒別；
b） 自主訪問控制：應根據6.2的描述，按GB/T 20271-2006中6.4.3.3的要求，設計和實現鏈路層結構化保護級的自主訪問控制功能，對來自網絡外部的訪問進行控制，允許合法操作，拒絕非法操作；
c） 標記：應根據6.4的描述，按GB/T 20271-2006中6.4.3.5的要求，設計和實現鏈路層結構化保護級的強制訪問控制功能，對來自網絡外部的訪問進行強制性控制，允許合法操作，拒絕非法操作；
e） 數據流控制：應根據6.7的描述，按GB/T 20271-2006中6.4.3.7的要求，設計和實現鏈路層結構化保護級的用戶數據完整性保護功能，保護存儲、傳輸和處理數據的完整性；
g) 用戶數據保密性：應根據6.8的描述，按GB/T 20271-2006中6.4.3.8的要求，設計和實現鏈路層結構化保護級的用戶數據保密性保護功能，保護存儲、傳輸和處理數據的保密性。
7.4.1.3 網絡層
a） 身份鑒別：應根據6.1的描述，按GB/T 20271-2006中6.4.3.1的要求，設計和實現網絡層結構化保護級的身份鑒別功能，提供通信雙方身份的真實性鑒別，即網絡級實體鑒別；
b） 自主訪問控制：應根據6.2的描述，按GB/T 20271-2006中6.4.3.3的要求，設計和實現網絡層結構化保護級的自主訪問控制功能，對來自網絡外部的訪問進行控制，允許合法操作，拒絕非法操作；
c） 標記：應根據6.4的描述，按GB/T 20271-2006中6.4.3.5的要求，設計和實現網絡層結構化保護級的強制訪問控制功能，對來自網絡外部的訪問進行強制性控制，允許合法操作，拒絕非法操作；
e） 數據流控制：應根據6.6的描述，按GB/T 20271-2006中6.4.2.4的要求，設計和實現網絡層結構化保護級的審計功能；
g） 用戶數據完整性：應根據6.7條的描述，按GB/T 20271-2006中6.4.3.7條的要求，設計和實現網絡層結構化保護級的用戶數據完整性保護功能，保護存儲、傳輸和處理數據的完整性；
h) 用戶數據保密性：應根據6.8的描述，按GB/T 20271-2006中6.4.3.8的要求，設計和實現網絡層結構化保護級的用戶數據保密性保護功能，保護存儲、傳輸和處理數據的保密性；
i） 可信路徑：應根據6.10的描述，按GB/T 20271-2006中6.4.3.2的要求，設計和實現網絡層結構化保護級的抗抵賴功能。
7.4.1.4 傳輸層
a） 身份鑒別：應根據6.1的描述，按GB/T 20271-2006中6.4.3.1的要求，設計和實現傳輸層結構化保護級的身份鑒別功能，在首次建立連接時，進行(相互)身份鑒別；
b） 自主訪問控制：應根據6.2的描述，按GB/T 20271-2006中6.4.3.3的要求，設計和實現傳輸層結構化保護級的自主訪問控制功能，對來自網絡外部的訪問進行控制，允許合法操作，拒絕非法操作；
c） 標記：應根據6.4的描述，按GB/T 20271-2006中6.4.3.5的要求，設計和實現傳輸層結構化保護級強制訪問控制功能，對來自網絡外部的訪問進行強制性控制，允許合法操作，拒絕非法操作；
e） 數據流控制：應根據6.6的描述，按GB/T 20271-2006中6.4.2.4的要求，設計和實現傳輸層結構化保護級的審計功能；
g） 用戶數據完整性：應根據6.7的描述，按GB/T 20271-2006中6.4.3.7的要求，設計和實現傳輸層結構化保護級的用戶數據完整性保護功能，保護存儲、傳輸和處理數據的完整性；
h) 用戶數據保密性：應根據6.8的描述，按GB/T 20271-2006中6.4.3.8的要求，設計和實現傳輸層結構化保護級的用戶數據保密性保護功能，保護存儲、傳輸和處理數據的保密性；
i） 可信路徑：應根據6.10的描述，按GB/T 20271-2006中6.4.3.2的要求，設計和實現傳輸層結構化保護級的抗抵賴功能。
7.4.1.5 會話層
a） 身份鑒別：應根據6.1的描述，按GB/T 20271-2006中6.4.3.1的要求，設計和實現會話層結構化保護級的身份鑒別功能，確保用戶身份的唯一性和真實性；
b） 自主訪問控制：應根據6.2的描述，按GB/T 20271-2006中6.4.3.3的要求，設計和實現會話層結構化保護級的自主訪問控制功能，對來自網絡外部的訪問進行控制，允許合法操作，拒絕非法操作；
c） 標記：應根據6.4的描述，按GB/T 20271-2006中6.4.3.5的要求，設計和實現會話層結構化保護級的強制訪問控制功能，對來自網絡外部的訪問進行強制性控制，允許合法操作，拒絕非法操作；
e） 數據流控制：應根據6.6的描述，按GB/T 20271-2006中6.4.2.4條的要求，設計和實現會話層結構化保護級的審計功能；
g） 用戶數據完整性：應根據6.7的描述，按GB/T 20271-2006中6.4.3.7的要求，設計和實現會話層結構化保護級的用戶數據完整性保護功能，保護存儲、傳輸和處理數據的完整性；
h) 用戶數據保密性：應根據6.8的描述，按GB/T 20271-2006中6.4.3.8的要求，設計和實現會話層結構化保護級的用戶數據保密性保護功能，保護存儲、傳輸和處理數據的保密性；
i） 可信路徑：應根據6.10 的描述，按GB/T 20271-2006中6.4.3.2的要求，設計和實現會話層結構化保護級的抗抵賴功能；
a） 身份鑒別：應根據6.1的描述，按GB/T 20271-2006中6.4.3.1的要求，設計和實現表示層結構化保護級的身份鑒別功能，確保用戶身份的唯一性和真實性；
b） 自主訪問控制：應根據6.2的描述，按GB/T 20271-2006中6.4.3.3的要求，設計和實現表示層結構化保護級的自主訪問控制功能，對來自網絡外部的訪問進行控制，允許合法操作，拒絕非法操作；
c） 標記：應根據6.4的描述，按GB/T 20271-2006中6.4.3.5的要求，設計和實現表示層結構化保護級的強制訪問控制功能，對來自網絡外部的訪問進行強制性控制，允許合法操作，拒絕非法操作；
e） 數據流控制：應根據6.6的描述，按GB/T 20271-2006中6.4.2.4的要求，設計和實現表示層結構化保護級的審計功能；
g） 用戶數據完整性：應根據6.7的描述，按GB/T 20271-2006中6.4.3.7的要求，設計和實現表示層結構化保護級的用戶數據完整性保護功能，保護存儲、傳輸和處理數據的完整性；
h) 用戶數據保密性：應根據6.8的描述，按GB/T 20271-2006中6.4.3.8的要求，設計和實現表示層結構化保護級的用戶數據保密性保護功能，保護存儲、傳輸和處理數據的保密性；
i） 可信路徑：應根據6.10的描述，按GB/T 20271-2006中6.4.3.2的要求，設計和實現表示層結構化保護級的抗抵賴功能；
a） 身份鑒別：應根據6.1的描述，按GB/T 20271-2006中6.4.3.1的要求，設計和實現應用層結構化保護級的身份鑒別功能，確保用戶身份的唯一性和真實性；
b） 自主訪問控制：應根據6.2的描述，按GB/T 20271-2006中6.4.3.3的要求，設計和實現應用層結構化保護級的自主訪問控制功能，對來自網絡外部的訪問進行控制，允許合法操作，拒絕非法操作；
c） 標記：應根據6.4的描述，按GB/T 20271-2006中6.4.3.5的要求，設計和實現應用層結構化保護級的強制訪問控制功能，對來自網絡外部的訪問進行強制性控制，允許合法操作，拒絕非法操作；
e） 數據流控制：應根據6.6的描述，按GB/T 20271-2006中6.4.2.4的要求，設計和實現應用層結構化保護級的審計功能；
g） 用戶數據完整性：應根據6.7的描述，按GB/T 20271-2006中6.4.3.7的要求，設計和實現應用層結構化保護級的用戶數據完整性保護功能，保護存儲、傳輸和處理數據的完整性；
h) 用戶數據保密性：應根據6.8的描述，按GB/T 20271-2006中6.4.3.8的要求，設計和實現應用層結構化保護級的用戶數據保密性保護功能，保護存儲、傳輸和處理數據的保密性；
i） 可信路徑：應根據6.10 的描述，按GB/T 20271-2006中6.4.3.2的要求，設計和實現應用層結構化保護級的抗抵賴功能；
7.4.2.1 SSON自身安全保護
a) SSF物理安全保護：應按GB/T 20271-2006中6.4.4.1的要求，實現網絡系統結構化保護級SSF的物理安全保護；
b) SSF運行安全保護：應按GB/T 20271-2006中6.4.4.2的要求，實現網絡系統結構化保護級SSF的運行安全保護；
c) SSF數據安全保護：應按GB/T 20271-2006中6.4.4.3的要求，實現網絡系統結構化保護級SSF的數據按保護；
d) 資源利用：應按GB/T 20271-2006中6.4.4.4的要求，實現網絡系統結構化保護級的資源利用；
e) SSON訪問控制：應按GB/T 20271-2006中6.4.4.5的要求，實現網絡系統結構化保護級的SSON訪問控制。
7.4.2.2 SSON設計和實現
a) 配置管理：應按GB/T 20271-2006中6.4.5.1的要求，實現網絡系統結構化保護級的配置管理；
b) 分發和操作：應按GB/T 20271-2006中6.4.5.2的要求，實現網絡系統結構化保護級的分發和操作；
c) 開發：應按GB/T 20271-2006中6.4.5.3的要求，實現網絡系統結構化保護級的開發；
d) 文檔要求：應按GB/T 20271-2006中6.4.5.4的要求，實現網絡系統結構化保護級的文檔設計；
e) 生存周期支持：應按GB/T 20271-2006中6.4.5.5的要求，實現網絡系統結構化保護級的生存周期支持；
f) 測試：應按GB/T 20271-2006中6.4.5.6的要求，實現網絡系統結構化保護級的測試；
g) 脆弱性評定： 應按GB/T 20271-2006中6.4.5.7的要求，實現網絡結構化保護級的脆弱性評定。
7.4.2.3 SSON安全管理
應按GB/T 20271-2006中6.4.6的要求，實現網絡系統結構化保護級的SSON安全管理。
推薦文章：