信息安全風(fēng)險(xiǎn)評(píng)估-脆弱性識(shí)別-操作系統(tǒng)脆弱性表格-《GBT20272

1、服務(wù)器脆弱性識(shí)別表格依據(jù)GB/T20272-2007操作系統(tǒng)安全技術(shù)要求中第三級(jí)-安全標(biāo)記保護(hù)級(jí)所列舉內(nèi)容編制。項(xiàng)目子項(xiàng)內(nèi)容是否符合備注安全功能身份鑒別a) 按 GB/T 20271-2006 中 6.3.3.1.1 和以下要求設(shè)計(jì)和實(shí)現(xiàn)用戶標(biāo)識(shí)功能： 凡需進(jìn)入操作系統(tǒng)的用戶，應(yīng)先進(jìn)行標(biāo)識(shí)（建立賬號(hào)）； 操作系統(tǒng)用戶標(biāo)識(shí)應(yīng)使用用戶名和用戶標(biāo)識(shí)（UID），并在操作系統(tǒng)的整個(gè)生存周期實(shí)現(xiàn)用戶的唯一性標(biāo)識(shí)，以及用戶名或別名、UID 等之間的一致性； b) 按 GB/T 20271-2006 中 6.3.3.1.2 和以下要求設(shè)計(jì)和實(shí)現(xiàn)用戶鑒別功能： 采用強(qiáng)化管理的口令鑒別/基于令牌的動(dòng)態(tài)口令鑒別/生

2、物特征鑒別/數(shù)字證書(shū)鑒別等機(jī)制進(jìn)行身份鑒別，并在每次用戶登錄系統(tǒng)時(shí)進(jìn)行鑒別； 鑒別信息應(yīng)是不可見(jiàn)的，在存儲(chǔ)和傳輸時(shí)應(yīng)按 GB/T 20271-2006 中 6.3.3.8 的要求，用加密方法進(jìn)行安全保護(hù)； 過(guò)對(duì)不成功的鑒別嘗試的值（包括嘗試次數(shù)和時(shí)間的閾值）進(jìn)行預(yù)先定義，并明確規(guī)定達(dá)到該值時(shí)應(yīng)采取的措施來(lái)實(shí)現(xiàn)鑒別失敗的處理。 c) 對(duì)注冊(cè)到操作系統(tǒng)的用戶，應(yīng)按以下要求設(shè)計(jì)和實(shí)現(xiàn)用戶-主體綁定功能： 將用戶進(jìn)程與所有者用戶相關(guān)聯(lián)，使用戶進(jìn)程的行為可以追溯到進(jìn)程的所有者用戶； 將系統(tǒng)進(jìn)程動(dòng)態(tài)地與當(dāng)前服務(wù)要求者用戶相關(guān)聯(lián)，使系統(tǒng)進(jìn)程的行為可以追溯到當(dāng)前服務(wù)的要求者用戶。 自主訪問(wèn)控制a) 允許命名用

3、戶以用戶的身份規(guī)定并控制對(duì)客體的訪問(wèn)，并阻止非授權(quán)用戶對(duì)客體的訪問(wèn)。b) 設(shè)置默認(rèn)功能，當(dāng)一個(gè)主體生成一個(gè)客體時(shí)，在該客體的訪問(wèn)控制表中相應(yīng)地具有該主體的默認(rèn)值；c) 有更細(xì)粒度的自主訪問(wèn)控制，將訪問(wèn)控制的粒度控制在單個(gè)用戶。對(duì)系統(tǒng)中的每一個(gè)客體，都應(yīng)能夠?qū)崿F(xiàn)由客體的創(chuàng)建者以用戶指定方式確定其對(duì)該客體的訪問(wèn)權(quán)限，而別的同組用戶或非同組的用戶和用戶組對(duì)該客體的訪問(wèn)權(quán)則應(yīng)由創(chuàng)建者用戶授予；d) 自主訪問(wèn)控制能與身份鑒別和審計(jì)相結(jié)合，通過(guò)確認(rèn)用戶身份的真實(shí)性和記錄用戶的各種成功的或不成功的訪問(wèn)，使用戶對(duì)自己的行為承擔(dān)明確的責(zé)任； e) 客體的擁有者應(yīng)是唯一有權(quán)修改客體訪問(wèn)權(quán)限的主體，擁有者對(duì)其擁有的

4、客體應(yīng)具有全部控制權(quán)，但是，不允許客體擁有者把該客體的控制權(quán)分配給其他主體； f) 定義訪問(wèn)控制屬性，并保護(hù)這些屬性。主體的訪問(wèn)控制屬性至少應(yīng)有：讀、寫(xiě)、執(zhí)行等；客體的訪問(wèn)控制屬性應(yīng)包含可分配給主體的讀、寫(xiě)和執(zhí)行等權(quán)限； g) 定義分配和修改主體和客體的訪問(wèn)控制屬性的規(guī)則，并執(zhí)行對(duì)主體和客體的訪問(wèn)控制屬性的分配和修改，規(guī)則的結(jié)果應(yīng)達(dá)到只有被授權(quán)的用戶才允許訪問(wèn)一個(gè)客體； h) 定義主體對(duì)客體的訪問(wèn)授權(quán)規(guī)則。該規(guī)則應(yīng)基于主體對(duì)客體的訪問(wèn)控制屬性，授權(quán)的范圍應(yīng)包括主體和客體及相關(guān)的訪問(wèn)控制屬性，同時(shí)應(yīng)指出主體和客體對(duì)這些規(guī)則應(yīng)用的類(lèi)型。 標(biāo)記a) 采用標(biāo)記的方法為操作系統(tǒng) SSOOS 安全功能控制

5、范圍內(nèi)的主體和客體設(shè)置敏感標(biāo)記。這些敏感標(biāo)記構(gòu)成多級(jí)安全模型的的屬性庫(kù)。操作系統(tǒng)主、客體的敏感標(biāo)記應(yīng)以默認(rèn)方式生成或由安全員進(jìn)行建立、維護(hù)和管理；b) 當(dāng)信息從 SSOOS 控制范圍之內(nèi)向 SSOOS 控制范圍之外輸出時(shí)，可帶有或不帶有敏感標(biāo)記；當(dāng)信息從 SSOOS 控制范圍之外向 SSOOS 控制范圍之內(nèi)輸入時(shí)，應(yīng)通過(guò)標(biāo)記標(biāo)明其敏感標(biāo)記。 強(qiáng)訪問(wèn)控制a) 由專門(mén)設(shè)置的系統(tǒng)安全員統(tǒng)一管理操作系統(tǒng)中與強(qiáng)制訪問(wèn)控制等安全機(jī)制有關(guān)的事件和信息，并將系統(tǒng)的常規(guī)管理、與安全有關(guān)的管理以及審計(jì)管理，分別由系統(tǒng)管理員、系統(tǒng)安全員和系統(tǒng)審計(jì)員來(lái)承擔(dān)，按職能分割原則分別授予它們各自為完成自己所承擔(dān)任務(wù)所需的權(quán)限

6、，并形成相互制約關(guān)系； b) 強(qiáng)制訪問(wèn)控制應(yīng)與用戶身份鑒別、標(biāo)記等安全功能密切配合，使系統(tǒng)對(duì)用戶的安全控制包含從用戶進(jìn)入系統(tǒng)到退出系統(tǒng)的全過(guò)程，對(duì)客體的控制范圍涉及操作系統(tǒng)內(nèi)部的存儲(chǔ)、處理和傳輸過(guò)程； c) 運(yùn)行于網(wǎng)絡(luò)環(huán)境的分布式操作系統(tǒng)，應(yīng)統(tǒng)一實(shí)現(xiàn)強(qiáng)制訪問(wèn)控制功能； d) 運(yùn)行于網(wǎng)絡(luò)環(huán)境的多臺(tái)計(jì)算機(jī)系統(tǒng)上的網(wǎng)絡(luò)操作系統(tǒng)，在需要進(jìn)行統(tǒng)一管理時(shí)，應(yīng)考慮各臺(tái)計(jì)算機(jī)操作系統(tǒng)的主、客體安全屬性設(shè)置的一致性，并實(shí)現(xiàn)跨網(wǎng)絡(luò)的 SSOOS 間用戶數(shù)據(jù)保密性和完整性保護(hù)數(shù)據(jù)流控制對(duì)于以數(shù)據(jù)流方式實(shí)現(xiàn)數(shù)據(jù)交換的操作系統(tǒng)，一般應(yīng)按 GB/T 20271-2006 中 6.3.3.6 的要求，設(shè)計(jì)和實(shí)現(xiàn)操作系統(tǒng)的數(shù)

7、據(jù)流控制功能。 安全審計(jì)a) 安全審計(jì)功能應(yīng)與身份鑒別、自主訪問(wèn)控制、標(biāo)記、強(qiáng)制訪問(wèn)控制及完整性控制等安全功能緊密結(jié)合； b) 提供審計(jì)日志、實(shí)時(shí)報(bào)警生成，潛在侵害分析、基于異常檢測(cè)，基本審計(jì)查閱、有限審計(jì)查閱和可選審計(jì)查閱，安全審計(jì)事件選擇，以及受保護(hù)的審計(jì)蹤跡存儲(chǔ)和審計(jì)數(shù)據(jù)的可用性確保等功能； c) 能夠生成、維護(hù)及保護(hù)審計(jì)過(guò)程，使其免遭修改、非法訪問(wèn)及破壞，特別要保護(hù)審計(jì)數(shù)據(jù)，要嚴(yán)格限制未經(jīng)授權(quán)的用戶訪問(wèn)； d) 能夠創(chuàng)建并維護(hù)一個(gè)對(duì)受保護(hù)客體訪問(wèn)的審計(jì)跟蹤，保護(hù)審計(jì)記錄不被未授權(quán)的訪問(wèn)、修改和破壞； e) 指出可記錄的審計(jì)事件的最少類(lèi)型，包括建立會(huì)話登錄成功和失敗，使用的系統(tǒng)接口，系統(tǒng)

8、數(shù)據(jù)庫(kù)管理的改變（改變用戶賬戶屬性、審計(jì)跟蹤設(shè)置和分析、為程序分配設(shè)置用戶 ID、附加或改變系統(tǒng)程序或進(jìn)程、改變?nèi)掌诤蜁r(shí)間等），超級(jí)用戶命令改變用戶身份、將某個(gè)客體引入某個(gè)用戶的地址空間（如打開(kāi)文件）、刪除客體及計(jì)算機(jī)操作員、系統(tǒng)管理員與系統(tǒng)安全管理員進(jìn)程的操作等。當(dāng)審計(jì)激活時(shí)應(yīng)確保審計(jì)跟蹤事件的完整性；應(yīng)提供一個(gè)機(jī)制來(lái)顯示當(dāng)前選擇的審計(jì)事件，這個(gè)機(jī)制的使用者應(yīng)是有限的授權(quán)用戶；f) 每個(gè)事件的數(shù)據(jù)記錄，應(yīng)包括的信息有：事件發(fā)生的日期和時(shí)間、觸發(fā)事件的用戶、事件的類(lèi)型、事件成功或失敗等。對(duì)于身份標(biāo)識(shí)和鑒別事件，應(yīng)記錄請(qǐng)求的源（如末端號(hào)或網(wǎng)絡(luò)地址）；對(duì)于創(chuàng)建和刪除客體的事件，應(yīng)記錄客體的名字和客

9、體的安全屬性； g) 應(yīng)提供一個(gè)受保護(hù)的打開(kāi)和關(guān)閉審計(jì)的機(jī)制。該機(jī)制能選擇和改變審計(jì)事件，并在系統(tǒng)工作時(shí)處于默認(rèn)狀態(tài)；該機(jī)制的使用應(yīng)受到系統(tǒng)管理員的授權(quán)限制，系統(tǒng)管理員應(yīng)能夠選擇一個(gè)或多個(gè)基于身份鑒別或客體屬性的用戶的審計(jì)活動(dòng)；審計(jì)工具應(yīng)能夠授權(quán)個(gè)人監(jiān)察和瀏覽審計(jì)數(shù)據(jù)，同時(shí)數(shù)據(jù)應(yīng)得到授權(quán)的使用、修改和刪除；應(yīng)提供對(duì)審計(jì)跟蹤管理功能的保護(hù)，使之可以完成審計(jì)跟蹤的創(chuàng)建、破壞、騰空和存檔；系統(tǒng)管理員應(yīng)能夠定義超過(guò)審計(jì)跟蹤極限的閾值；當(dāng)存儲(chǔ)空間被耗盡時(shí)，應(yīng)能按管理員的指定決定采取的措施，包括：報(bào)警并丟棄未記錄的審計(jì)信息、暫停審計(jì)、覆蓋以前的審計(jì)記錄等。 用戶數(shù)據(jù)完整性a) 應(yīng)為操作系統(tǒng) SSOOS 安

10、全功能控制范圍內(nèi)的主體和客體設(shè)置完整性標(biāo)簽（IL），并建立完整性保護(hù)策略模型，保護(hù)用戶數(shù)據(jù)在存儲(chǔ)、傳輸和處理過(guò)程中的完整性； b) 在對(duì)數(shù)據(jù)進(jìn)行訪問(wèn)操作時(shí)，檢查存儲(chǔ)在存儲(chǔ)介質(zhì)上的用戶數(shù)據(jù)是否出現(xiàn)完整性錯(cuò)誤，并在檢測(cè)到完整性錯(cuò)誤時(shí)進(jìn)行恢復(fù)?？赏ㄟ^(guò)密碼支持系統(tǒng)所提供的完整性功能，對(duì)加密存儲(chǔ)的數(shù)據(jù)進(jìn)行完整性保護(hù)。操作系統(tǒng)對(duì)磁盤(pán)設(shè)備中存儲(chǔ)的數(shù)據(jù)，可通過(guò)增加磁盤(pán)掃描程序?qū)崿F(xiàn)以下功能： 自動(dòng)檢查文件與磁盤(pán)表面是否完好； 將磁盤(pán)表面的問(wèn)題自動(dòng)記錄下來(lái)； 隨時(shí)檢查、診斷和修復(fù)磁盤(pán)上的錯(cuò)誤； 修復(fù)扇區(qū)交錯(cuò)和扇區(qū)流失； 將數(shù)據(jù)移到好的扇區(qū)； 可增加硬盤(pán)數(shù)據(jù)備份和修復(fù)程序，將硬盤(pán)中的數(shù)據(jù)壓縮、備份，并在必要時(shí)恢復(fù)；

11、c) 在操作系統(tǒng)內(nèi)部傳輸?shù)挠脩魯?shù)據(jù)，如進(jìn)程間的通信，應(yīng)提供保證用戶數(shù)據(jù)完整性的功能。完整性標(biāo)簽應(yīng)隨數(shù)據(jù)一起流動(dòng)，系統(tǒng)應(yīng)保證低完整性的數(shù)據(jù)不能插入、覆蓋到高完整性的數(shù)據(jù)； d) 對(duì)操作系統(tǒng)中處理的數(shù)據(jù)，應(yīng)按回退的要求設(shè)計(jì)相應(yīng)的 SSOOS 安全功能模塊，進(jìn)行異常情況的操作序列回退，以確保用戶數(shù)據(jù)的完整性。系統(tǒng)應(yīng)保證在處理過(guò)程中不降低數(shù)據(jù)完整性的級(jí)別。用戶數(shù)據(jù)保密性 a) 應(yīng)確保動(dòng)態(tài)分配與管理的資源，在保持信息安全的情況下被再利用，主要包括： 確保非授權(quán)用戶不能查找使用后返還系統(tǒng)的記錄介質(zhì)中的信息內(nèi)容； 確保非授權(quán)用戶不能查找系統(tǒng)現(xiàn)已分配給他的記錄介質(zhì)中以前的信息內(nèi)容；b) 在單用戶系統(tǒng)中，存儲(chǔ)器

12、保護(hù)應(yīng)防止用戶進(jìn)程影響系統(tǒng)的運(yùn)行； c) 在多用戶系統(tǒng)中，存儲(chǔ)器保護(hù)應(yīng)保證系統(tǒng)內(nèi)各個(gè)用戶之間互不干擾； d) 存儲(chǔ)器保護(hù)應(yīng)包括: 對(duì)存儲(chǔ)單元的地址的保護(hù)，使非法用戶不能訪問(wèn)那些受到保護(hù)的存儲(chǔ)單元； 對(duì)被保護(hù)的存儲(chǔ)單元的操作提供各種類(lèi)型的保護(hù)，最基本的保護(hù)類(lèi)型是“讀/寫(xiě)”和“只讀”，不能讀/寫(xiě)的存儲(chǔ)單元，若被用戶讀/寫(xiě)時(shí)，系統(tǒng)應(yīng)及時(shí)發(fā)出警報(bào)或中斷程序執(zhí)行； 可采用邏輯隔離的方法進(jìn)行存儲(chǔ)器保護(hù)，具體有：界限地址寄存器保護(hù)法、內(nèi)存標(biāo)志法、鎖保護(hù)法和特征位保護(hù)法等。 SSOOS 自身安全保護(hù) SSF 物理安全保護(hù) 一般應(yīng)按 GB/T 20271-2006 中 的要求，實(shí)現(xiàn) SSF 的物理安全保護(hù)，通過(guò)

13、對(duì)物理攻擊的檢查和自動(dòng)報(bào)告，及時(shí)發(fā)現(xiàn)以物理方式的攻擊對(duì) SSF 造成的威脅和破壞。 SSF 運(yùn)行安全保護(hù)a) 系統(tǒng)在設(shè)計(jì)時(shí)不應(yīng)留有“后門(mén)”。即不應(yīng)以維護(hù)、支持或操作需要為借口，設(shè)計(jì)有違反或繞過(guò)安全規(guī)則的任何類(lèi)型的入口和文檔中未說(shuō)明的任何模式的入口； b) 安全結(jié)構(gòu)應(yīng)是一個(gè)獨(dú)立的、嚴(yán)格定義的系統(tǒng)軟件的一個(gè)子集，并應(yīng)防止外部干擾和破壞，如修改其代碼或數(shù)據(jù)結(jié)構(gòu)； c) 操作系統(tǒng)程序與用戶程序要進(jìn)行隔離。一個(gè)進(jìn)程的虛地址空間至少應(yīng)被分為兩個(gè)段：用戶空間和系統(tǒng)空間，兩者的隔離應(yīng)是靜態(tài)的。駐留在內(nèi)存中的操作系統(tǒng)應(yīng)由所有進(jìn)程共享。用戶進(jìn)程之間應(yīng)是彼此隔離的。應(yīng)禁止在用戶模式下運(yùn)行的進(jìn)程對(duì)系統(tǒng)段進(jìn)行寫(xiě)操作，而

14、在系統(tǒng)模式下運(yùn)行時(shí)，應(yīng)允許進(jìn)程對(duì)所有的虛存空間進(jìn)行讀、寫(xiě)操作；d) 提供設(shè)置和升級(jí)配置參數(shù)的安裝機(jī)制。在初始化和對(duì)與安全有關(guān)的數(shù)據(jù)結(jié)構(gòu)進(jìn)行保護(hù)之前，應(yīng)對(duì)用戶和管理員的安全策略屬性應(yīng)進(jìn)行定義；e) 應(yīng)區(qū)分普通操作模式和系統(tǒng)維護(hù)模式；f) 應(yīng)防止一個(gè)普通用戶從未經(jīng)允許的系統(tǒng)進(jìn)入維護(hù)模式，并應(yīng)防止一個(gè)普通用戶與系統(tǒng)內(nèi)維護(hù)模式交互。從而保證在普通用戶訪問(wèn)系統(tǒng)之前，系統(tǒng)能以一個(gè)安全的方式進(jìn)行安裝和配置；g) 對(duì)備份或不影響 SSOOS 的常規(guī)的系統(tǒng)維護(hù)，不要求所有的系統(tǒng)維護(hù)都在維護(hù)模式中執(zhí)行； h) 當(dāng)操作系統(tǒng)安裝完成后，在普通用戶訪問(wèn)之前，系統(tǒng)應(yīng)配置好初始用戶和管理員職責(zé)、根目錄、審計(jì)參數(shù)、系統(tǒng)審計(jì)跟

15、蹤設(shè)置以及對(duì)文件和目錄的合適的訪問(wèn)控制；i) 執(zhí)行系統(tǒng)所提供的實(shí)用程序，應(yīng)（默認(rèn)地）限定于對(duì)系統(tǒng)的有效使用，只允許系統(tǒng)管理員修改或替換系統(tǒng)提供的實(shí)用程序； j) 操作環(huán)境應(yīng)為用戶提供一個(gè)機(jī)制，來(lái)控制命令的目錄/路徑的查找順序；k) 提供一個(gè)實(shí)用程序來(lái)校驗(yàn)文件系統(tǒng)和磁盤(pán)的完整性。此實(shí)用程序應(yīng)由操作系統(tǒng)自動(dòng)執(zhí)行； l) 為操作系統(tǒng)安全管理人員提供一種機(jī)制，來(lái)產(chǎn)生安全參數(shù)值的詳細(xì)報(bào)告； m) 在 SSOOS 失敗或中斷后，應(yīng)確保其以最小的損害得到恢復(fù)。并按失敗保護(hù)中所描述的內(nèi)容，實(shí)現(xiàn)對(duì) SSF 出現(xiàn)失敗時(shí)的處理。系統(tǒng)因故障或其它原因中斷后，應(yīng)有一種機(jī)制去恢復(fù)系統(tǒng)。系統(tǒng)應(yīng)提供在管理維護(hù)狀態(tài)中運(yùn)行的能力

16、，管理維護(hù)狀態(tài)只能被系統(tǒng)管理員使用，各種安全功能全部失效； n) 操作系統(tǒng)環(huán)境應(yīng)控制和審計(jì)系統(tǒng)控制臺(tái)的使用情況； o) 補(bǔ)丁的發(fā)布、管理和使用：補(bǔ)丁是對(duì)操作系統(tǒng)安全漏洞進(jìn)行修補(bǔ)的程序的總稱。操作系統(tǒng)的開(kāi)發(fā)者應(yīng)針對(duì)發(fā)現(xiàn)的漏洞及時(shí)發(fā)布補(bǔ)丁。操作系統(tǒng)的管理者應(yīng)及時(shí)獲取、統(tǒng)一管理并及時(shí)運(yùn)用補(bǔ)丁對(duì)操作系統(tǒng)的漏洞進(jìn)行修補(bǔ)。 SSF 數(shù)據(jù)安全保護(hù) a) 實(shí)現(xiàn)對(duì)輸出 SSF 數(shù)據(jù)可用性、保密性、和完整性保護(hù)； b) 實(shí)現(xiàn) SSOOS 內(nèi) SSF 數(shù)據(jù)傳輸?shù)幕颈Ｗo(hù)、數(shù)據(jù)分離傳輸、數(shù)據(jù)完整性保護(hù)； c) 實(shí)現(xiàn) SSF 間的 SSF 數(shù)據(jù)的一致性和 SSOOS 內(nèi) SSF 數(shù)據(jù)復(fù)制的一致性保護(hù)。資源利用 a） 應(yīng)

17、通過(guò)一定措施確保當(dāng)系統(tǒng)出現(xiàn)某些確定的故障情況時(shí)，SSF 也能維持正常運(yùn)行，如系統(tǒng)應(yīng)檢測(cè)和報(bào)告系統(tǒng)的服務(wù)水平已降低到預(yù)先規(guī)定的最小值； b） 應(yīng)采取適當(dāng)?shù)牟呗?，有限服?wù)優(yōu)先級(jí)提供主體使用 TSC 內(nèi)某個(gè)資源子集的優(yōu)先級(jí)，進(jìn)行 SSOOS資源的管理和分配； c） 應(yīng)按資源分配中最大限額的要求，進(jìn)行 SSOOS 資源的管理和分配，要求配額機(jī)制確保用戶和主體將不會(huì)獨(dú)占某種受控的資源； d） 系統(tǒng)應(yīng)確保在被授權(quán)的主體發(fā)出請(qǐng)求時(shí)，資源能被訪問(wèn)和利用； e） 當(dāng)系統(tǒng)資源的服務(wù)水平降低到預(yù)先規(guī)定的最小值時(shí)，應(yīng)能檢測(cè)和發(fā)出報(bào)告； f） 系統(tǒng)應(yīng)提供維護(hù)狀態(tài)中運(yùn)行的能力，在維護(hù)狀態(tài)下各種安全性能全部失效，系統(tǒng)只允許

18、由系統(tǒng)管理員使用； g） 系統(tǒng)應(yīng)以每個(gè)用戶或每個(gè)用戶組為基礎(chǔ)，提供一種機(jī)制，控制他們對(duì)磁盤(pán)的消耗和對(duì) CPU 的使用； h） 系統(tǒng)應(yīng)提供軟件及數(shù)據(jù)備份和復(fù)原的過(guò)程，在系統(tǒng)中應(yīng)加入再啟動(dòng)的同步點(diǎn)，以便于系統(tǒng)的復(fù)原； i） 操作系統(tǒng)應(yīng)能提供用戶可訪問(wèn)的系統(tǒng)資源的修改歷史記錄； j） 系統(tǒng)應(yīng)提供能用于定期確認(rèn)系統(tǒng)正確操作的機(jī)制和過(guò)程，這些機(jī)制或過(guò)程應(yīng)涉及系統(tǒng)資源的監(jiān)督、硬件和固件單元的正確操作、對(duì)可能在全系統(tǒng)內(nèi)傳播的錯(cuò)誤狀態(tài)的檢測(cè)以及超過(guò)用戶規(guī)定的門(mén)限的通訊差錯(cuò)的檢測(cè)等內(nèi)容。SSOOS 訪問(wèn)控制 a) 按會(huì)話建立機(jī)制的要求，對(duì)會(huì)話建立的管理進(jìn)行設(shè)計(jì)。在建立 SSOOS 會(huì)話之前，應(yīng)鑒別用戶的身份。登

19、錄機(jī)制不允許鑒別機(jī)制本身被旁路； b) 按多重并發(fā)會(huì)話限定中基本限定的要求，進(jìn)行會(huì)話管理的設(shè)計(jì)。在基于基本標(biāo)識(shí)的基礎(chǔ)上，SSF 應(yīng)限制系統(tǒng)的并發(fā)會(huì)話的最大數(shù)量，并應(yīng)利用默認(rèn)值作為會(huì)話次數(shù)的限定數(shù)； c) 按可選屬性范圍限定的要求，選擇某種會(huì)話安全屬性的所有失敗的嘗試 ，對(duì)用來(lái)建立會(huì)話的安全屬性的范圍進(jìn)行限制； d) 成功登錄系統(tǒng)后，SSOOS 應(yīng)記錄并向用戶顯示以下數(shù)據(jù)： 日期、時(shí)間、來(lái)源和上次成功登錄系統(tǒng)的情況； 上次成功訪問(wèn)系統(tǒng)以來(lái)身份鑒別失敗的情況； 應(yīng)顯示口令到期的天數(shù)； 成功或不成功的事件次數(shù)的顯示可以用整數(shù)計(jì)數(shù)、時(shí)間戳列表等表述方法； e) 在規(guī)定的未使用時(shí)限后，系統(tǒng)應(yīng)斷開(kāi)會(huì)話或重

20、新鑒別用戶，系統(tǒng)應(yīng)提供時(shí)限的默認(rèn)值； f) 系統(tǒng)應(yīng)提供鎖定用戶鍵盤(pán)的機(jī)制，鍵盤(pán)開(kāi)鎖過(guò)程應(yīng)要求驗(yàn)證用戶； g) 當(dāng)用戶鑒別過(guò)程不正確的次數(shù)達(dá)到系統(tǒng)規(guī)定的次數(shù)時(shí)，系統(tǒng)應(yīng)退出登錄過(guò)程并終止與用戶的交互； h) 系統(tǒng)應(yīng)提供一種機(jī)制，能按時(shí)間、進(jìn)入方式、地點(diǎn)、網(wǎng)絡(luò)地址或端口等條件規(guī)定哪些用戶能進(jìn)入系統(tǒng)。 g) 當(dāng)用戶鑒別過(guò)程不正確的次數(shù)達(dá)到系統(tǒng)規(guī)定的次數(shù)時(shí)，系統(tǒng)應(yīng)退出登錄過(guò)程并終止與用戶的交互； h) 系統(tǒng)應(yīng)提供一種機(jī)制，能按時(shí)間、進(jìn)入方式、地點(diǎn)、網(wǎng)絡(luò)地址或端口等條件規(guī)定哪些用戶能進(jìn)入系統(tǒng)。 SSOOS 設(shè)計(jì)和實(shí)現(xiàn) 配置管理 a) 在配置管理能力方面應(yīng)實(shí)現(xiàn)對(duì)版本號(hào)、配置項(xiàng)、授權(quán)控制等方面的要求； b)

21、在配置管理自動(dòng)化方面要求部分的配置管理自動(dòng)化； c) 在 SSOOS 的配置管理范圍方面，應(yīng)將 SSOOS 的實(shí)現(xiàn)表示、設(shè)計(jì)文檔、測(cè)試文檔、用戶文檔、管理員文檔以及配置管理文檔等置于配置管理之下，要求實(shí)現(xiàn)對(duì)配置管理范圍內(nèi)的問(wèn)題跟蹤，特別是安全缺陷問(wèn)題進(jìn)行跟蹤； d) 在系統(tǒng)的整個(gè)生存期，即在它的開(kāi)發(fā)、測(cè)試和維護(hù)期間，應(yīng)有一個(gè)軟件配置管理系統(tǒng)處于保持對(duì)改變?cè)创a和文件的控制狀態(tài)。只有被授權(quán)的代碼和代碼修改才允許被加進(jìn)已交付的源碼的基本部分。所有改變應(yīng)被記載和檢查，以確保未危及系統(tǒng)的安全。在軟件配置管理系統(tǒng)中，應(yīng)包含從源碼產(chǎn)生出系統(tǒng)新版本、鑒定新生成的系統(tǒng)版本和保護(hù)源碼免遭未授權(quán)修改的工具和規(guī)程。通

22、過(guò)技術(shù)、物理和保安規(guī)章三方面的結(jié)合，可充分保護(hù)生成系統(tǒng)所用到的源碼免遭未授權(quán)的修改和毀壞。分發(fā)和操作 a) 以文檔形式提供對(duì) SSOOS 安全地進(jìn)行分發(fā)的過(guò)程，并對(duì)修改檢測(cè)的過(guò)程進(jìn)行說(shuō)明，最終生成安全的配置。文檔中所描述的內(nèi)容應(yīng)包括： 提供分發(fā)的過(guò)程； 安全啟動(dòng)和操作的過(guò)程； 建立日志的過(guò)程； 修改內(nèi)容的檢測(cè)； 對(duì)任何安全加強(qiáng)功能在啟動(dòng)、正常操作維護(hù)時(shí)能被撤消或修改的闡述； 在故障或硬件、軟件出錯(cuò)后恢復(fù)系統(tǒng)至安全狀態(tài)的規(guī)程； 對(duì)含有加強(qiáng)安全性的硬件部件，應(yīng)說(shuō)明用戶或自動(dòng)的診斷測(cè)試的操作環(huán)境和使用方法； 所有診斷測(cè)試過(guò)程中，為加強(qiáng)安全性的硬件部件所提供例證的結(jié)果； 在啟動(dòng)和操作時(shí)產(chǎn)生審計(jì)蹤跡輸出

23、的例證； b) 對(duì)系統(tǒng)的未授權(quán)修改的風(fēng)險(xiǎn)，應(yīng)在交付時(shí)控制到最低限度。在包裝及安全分送和安裝過(guò)程中，這種控制應(yīng)采取軟件控制系統(tǒng)的方式，確認(rèn)安全性會(huì)由最終用戶考慮，所有安全機(jī)制都應(yīng)以功能狀態(tài)交付； c) 所有軟件應(yīng)提供安全安裝默認(rèn)值，在客戶不做選擇時(shí)，默認(rèn)值應(yīng)使安全機(jī)制有效地發(fā)揮安全功能； d) 隨同系統(tǒng)交付的全部默認(rèn)用戶標(biāo)識(shí)碼，應(yīng)在交付時(shí)處于非激活狀態(tài)，并在使用前由管理員激活； e) 用戶文檔應(yīng)同交付的軟件一起包裝，并應(yīng)有一套規(guī)程確保當(dāng)前送給用戶的系統(tǒng)軟件是嚴(yán)格按最新的系統(tǒng)版本來(lái)制作的； f) 以安全方式開(kāi)發(fā)并交付系統(tǒng)后，仍應(yīng)提供對(duì)產(chǎn)品的長(zhǎng)期維護(hù)和評(píng)估的支持，包括產(chǎn)品中的安全漏洞和現(xiàn)場(chǎng)問(wèn)題的解決

24、； g) 應(yīng)采用書(shū)面說(shuō)明的方式向客戶通告新的安全問(wèn)題。 h) 對(duì)可能受到威脅的所有的安全問(wèn)題，均應(yīng)描述其特點(diǎn)，并作為主要的問(wèn)題對(duì)待，直到它被解決或在用戶同意下降級(jí)使用； i) 為了支持已交付的軟件的每個(gè)版本，對(duì)所有已有的安全漏洞都應(yīng)有文檔書(shū)面說(shuō)明，并且用戶能在限制的基礎(chǔ)上得到該文檔；j) 對(duì)安全漏洞的修改不必等到系統(tǒng)升級(jí)到下一個(gè)版本。安全功能的增加和改進(jìn)應(yīng)獨(dú)立于系統(tǒng)版本的升級(jí)，也就是說(shuō)，應(yīng)存在適應(yīng)性獨(dú)立于系統(tǒng)其它功能的改進(jìn)； k) 只有經(jīng)過(guò)客戶授權(quán)，才允許在生產(chǎn)性運(yùn)行的系統(tǒng)上進(jìn)行新特性和簡(jiǎn)易原型的開(kāi)發(fā)、測(cè)試和安裝；l) 新的版本應(yīng)避免違反最初的安全策略和設(shè)想，也應(yīng)避免在維護(hù)、增加或功能升級(jí)中引

25、入安全漏洞，所有功能的改變和安全結(jié)構(gòu)設(shè)置的默認(rèn)值都應(yīng)作記錄。在新版本交付給用戶使用前，用戶應(yīng)能得到相應(yīng)的文檔。 文檔要求a) 應(yīng)為最終用戶提供簡(jiǎn)單概要、分章節(jié)或手冊(cè)形式的文檔，保證用戶擁有進(jìn)行安全操作所需要的所有信息。與安全有關(guān)的信息應(yīng)包含在一個(gè)特別的手冊(cè)中或許多標(biāo)準(zhǔn)的文本集中，提供用戶查閱所有的安全功能。這些信息可隨系統(tǒng)發(fā)送，也可明確指出它包含在哪個(gè)文本當(dāng)中； b) 應(yīng)通過(guò)提供所要求文檔，將如何安全使用和維護(hù)操作系統(tǒng)的信息交付給系統(tǒng)的用戶、系統(tǒng)管理員和系統(tǒng)安全員。對(duì)文檔的總體要求是： 應(yīng)對(duì)所有的安全訪問(wèn)和相關(guān)過(guò)程、特權(quán)、功能等適當(dāng)?shù)墓芾砑右躁U述； 應(yīng)闡述安全管理和安全服務(wù)的交互，并提供新的

26、SSOOS 安全生成的指導(dǎo)； 應(yīng)詳細(xì)給出每種審計(jì)事件的審計(jì)記錄的結(jié)構(gòu)，以便考察和維護(hù)審計(jì)文件和進(jìn)程； 應(yīng)提供一個(gè)準(zhǔn)則集用于保證附加的說(shuō)明的一致性不受破壞； c) 用戶文檔應(yīng)提供關(guān)于不同用戶的可見(jiàn)的安全機(jī)制以及如何利用它們的信息，描述沒(méi)有明示用戶的保護(hù)結(jié)構(gòu)，并解釋它們的用途和提供有關(guān)它們使用的指南，不應(yīng)包括那些如果公開(kāi)將會(huì)危及系統(tǒng)安全的任何信息； d) 系統(tǒng)管理員文檔應(yīng)提供： 關(guān)于系統(tǒng)的安全開(kāi)機(jī)、操作和重新啟動(dòng)的信息，包括啟動(dòng)系統(tǒng)的過(guò)程（如引導(dǎo)系統(tǒng)進(jìn)入安全方式）、在系統(tǒng)操作失誤時(shí)恢復(fù)安全系統(tǒng)操作的過(guò)程、運(yùn)行軟件和數(shù)據(jù)備份及轉(zhuǎn)儲(chǔ)的方法和過(guò)程； 一個(gè)單獨(dú)的安裝指南，詳細(xì)說(shuō)明設(shè)置系統(tǒng)的配置和初始化過(guò)程

27、，提供一個(gè)新系統(tǒng)版本的安全設(shè)置和安裝文檔，包括對(duì)所有用戶可見(jiàn)的安全相關(guān)過(guò)程、軟件和數(shù)據(jù)文檔的描述； e) 安全管理員文檔應(yīng)提供： 有關(guān)如何設(shè)置、維護(hù)和分析系統(tǒng)安全的詳細(xì)指導(dǎo)，包括當(dāng)運(yùn)行一個(gè)安全設(shè)備時(shí)，需要控制的有關(guān)功能和特權(quán)的警告； 與安全有關(guān)的管理員功能的詳細(xì)描述，包括增加和刪除一個(gè)用戶、改變用戶的安全特征等； 提供關(guān)于所有審計(jì)工具的文檔，包括為檢查和保持審計(jì)文件所推薦的過(guò)程、針對(duì)每種審計(jì)事件的詳細(xì)審計(jì)記錄文件、為周期性備份和刪除審計(jì)記錄所推薦的過(guò)程、為檢查能被目錄文件所利用的磁盤(pán)剩余空間所推薦的過(guò)程； 關(guān)于設(shè)置所有文件和目錄的最低訪問(wèn)許可的建議； 運(yùn)行文件系統(tǒng)或磁盤(pán)完整性檢測(cè)所做的建議；

28、如何進(jìn)行系統(tǒng)自我評(píng)估的章節(jié)（帶有網(wǎng)絡(luò)管理、口令要求、撥號(hào)訪問(wèn)控制、意外事故計(jì)劃的安全報(bào)告），為災(zāi)害恢復(fù)計(jì)劃所做的建議； 描述普通入侵技術(shù)和其它威脅，及查出和阻止它們的方法； f) 安全管理員文檔應(yīng)提供安全管理員了解如何用安全的方式管理系統(tǒng)，除了給出一般的安全忠告，還要明確： 在系統(tǒng)用安全的方法設(shè)置時(shí)，圍繞用戶、用戶賬戶、用戶組成員關(guān)系、主體和客體的屬性等，應(yīng)如何安裝或終止安裝； 在系統(tǒng)的生存周期內(nèi)如何用安全的方法維護(hù)系統(tǒng)，包括為了防止系統(tǒng)被破壞而進(jìn)行的每天、每周、每月的安全常規(guī)備份等； 如何用安全的方法重建部分 SSOOS（如內(nèi)核）的方法（如果允許在系統(tǒng)上重建 SSOOS）； 說(shuō)明審計(jì)跟蹤機(jī)制，使授權(quán)用戶可以有效地使用審計(jì)跟蹤來(lái)執(zhí)行本地的安全策略； 必要時(shí)，如何調(diào)整系統(tǒng)的安全默認(rèn)配置； g) 文檔中不應(yīng)提供任何一旦泄露將會(huì)危及系統(tǒng)安全的信息。有關(guān)安全的指令和文檔應(yīng)劃分等級(jí)分別提供給用戶、系統(tǒng)管理員和系統(tǒng)安全員。這些文檔應(yīng)為獨(dú)立的文檔，或作為獨(dú)立的章節(jié)插入到管理員指南和用戶指南中。文檔也可為硬拷貝、電子文檔或聯(lián)機(jī)文檔。如果是聯(lián)機(jī)文檔應(yīng)控制對(duì)其的訪問(wèn)。 生存周期支持 a) 按標(biāo)準(zhǔn)的生存周期模型和明