TCOSOCC 010-2024 信息安全技術 面向服務架構類應用安全要求

求Informationsecuritytechnology—Securityrequirementsforservice-orI 0 0 0 5 6 6 6 6 8 9本文件按照GB/T1.1—2020《標準化工作導則第1部分：標準化文件的結構和起草規(guī)則》的規(guī)定技有限公司、北京軒宇信息技術有限公司、中科可控信息產業(yè)有限公司、嵩嘉標鄭竹萌、毛峰、趙敬宇、王向章、張德保、王新亮、姜冰、張紅艷、邱天0信息安全技術面向服務架構類應用安全要求本文件規(guī)定了面向服務架構方法的應用安全要求和安全應用管理要求。本文件適用于指導用戶對面向服務架構的應用系統(tǒng)進行安全管理和安全運行保障。2規(guī)范性引用文件下列文件對于本文件的應用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本(包括所有的修改單)適用于本文件。3術語和定義GB/T25069界定的以及下列術語和定義適用于本文件。可運行于服務端的測試或線上環(huán)境，以及客戶端的軟件和數(shù)據(jù)的集合，包括應用軟件包、應用數(shù)據(jù)及運行環(huán)境配置。消減現(xiàn)有應用的編碼、配置、架構、數(shù)據(jù)、內容風險，并持續(xù)保障其安全性處于高安全水平的方法論，實施過程、技術手段、管理措施的集合。為保護某一系統(tǒng)及其信息的機密性、完整性、可用性，而對信息系統(tǒng)所選擇并施加的管理、操作和技術等方面的控制。經過正式評審并通過的規(guī)約，作為后續(xù)管理操作的基礎。只有通過正式的變更規(guī)程方可對其進行變環(huán)境感知environmentawarene采集終端物理硬件、網(wǎng)絡、操作系統(tǒng)、應用程序的安全要素，分析終端可信狀態(tài)的過程。對主體訪問客體進行權限分配，分配后的訪問權限即為授權策略。授權策略為規(guī)則和關系的表達，在給定主體、目的(任務)、客體和環(huán)境屬性的情況下，根據(jù)授權策略確定訪問請求是否被允許。記錄和審查主體操作客體活動的過程，記錄的內容包括操作時間、動作、主體、客體。審計的目的主要在于及時發(fā)現(xiàn)、反饋、終止違規(guī)訪問應用、數(shù)據(jù)的行為，威懾和警示潛在攻擊者或非法操作者。任務是一項原子服務，可以屬于某一項工作，也可以單獨存在，通常是為了完成某一個工作的服務。1面向服務架構service-orientedarchitecture面向服務架構是軟件設計和軟件架構的一種模式，它將應用程序的不同功能單元通過定義良好的接口和協(xié)議進行組合。這些應用程序單元被稱為服務，這些服務是獨立的、可重復的。4縮略語下列縮略語適用于本文件。API:應用程序編程接口(ApplicationProgrammingInterface)CPU:中央處理器(CentralProcessingUnit)DDoS:分布式拒絕服務攻擊(DistributionDenialofService)SSL:安全套接層協(xié)議(SecureSocketsLayer)URL:統(tǒng)一資源定位符(UniformResourceLocator)VPN:虛擬專用網(wǎng)絡(VirtualPrivateNetwork)Web:全球廣域網(wǎng)或萬維網(wǎng)(WorldWideWeb)本文件針對面向服務架構方法設計的應用系統(tǒng)，給出了在其運行過程中應具備的安全技術要求包括技術要求和安全應用管理要求，其中應用安全要求包括：應用運營安全防護、動態(tài)訪問控制以及密碼服務；安全應用管理要求包括安全防護能力配置、應用訪問控制和運行維護。本文件凡涉及采用密碼技術解決保密性、完整性、真實性、不可否認性的需求遵循密碼相關國家標準和行業(yè)標準。6應用安全要求6.1應用運營安全防護6.1.1應用安全識別資產發(fā)現(xiàn)資產發(fā)現(xiàn)應符合下列要求：a)支持對無法準確識別的設備類型由管理人員自定義設定設備特征；b)支持自動搜集終端上報的外設信息，包括但不限于以通用串行總線(USB)、串口、并口、紅外、藍牙、無線、高清多媒體接口(HDMI)等方式接入的外設，并根據(jù)內置識別庫對設備自動識別和分類；c)支持終端客戶端自動識別硬件信息，包括：CPU、主板、內存、硬盤、網(wǎng)卡、顯示器等；d)支持終端客戶端自動識別操作系統(tǒng)信息，包括：類型、版本號、賬號、安裝時間等；e)支持終端客戶端自動識別應用軟件信息，包括：名稱、類型、版本號、廠商、安裝時間等；f)支持終端用戶自助進行資產登記，包括：單位、設備類型、設備用途、使用人、聯(lián)系方式、郵箱、物理位置、資產編號等信息；g)支持被動監(jiān)聽網(wǎng)絡流量，并識別存活設備類型及其屬性信息；h)支持發(fā)現(xiàn)設備的動態(tài)資產信息，包括不限于服務端口信息、進程信息；i)支持對設備的CPU、內存條、顯卡、驅動、硬盤、主板、網(wǎng)卡等進行監(jiān)控，變動后告警；j)支持對應用所屬業(yè)務系統(tǒng)識別；k)支持對應用內部所使用組件庫、接口、識別。漏洞掃描漏洞掃描應符合下列要求：a)支持對操作系統(tǒng)等對象的安全掃描；b)支持及時更新漏洞的補丁信息和修補建議，支持對掃描出的漏洞信息進行標注并出漏洞風險2d)支持掃描和識別終端辦公軟件中可能存在的安全漏洞，并提供f)支持生成掃描報告和報告導出功能，支持將掃描結果以報表g)支持設置詳細的掃描參數(shù)，包括端口、弱口令、服務等者刪除默認管理員賬戶，刪除多余賬戶，刪除共文本傳輸協(xié)議（FTP）和Telnet（遠程登陸系統(tǒng)）等網(wǎng)絡連接、i)瀏覽器安全：核查內容包括對瀏覽器的安全設置檢測，如是否禁止運行ja用戶訪問應用服務時，對應用訪問、應用接口、控制信息傳輸?shù)?，應通過國密SSL安全協(xié)議進行加3c)網(wǎng)頁防篡改：支持對網(wǎng)頁內容的完整性進行保護，防c)應用層DDoS攻擊防護：應能夠利用流量基線核查，檢查應用系統(tǒng)的安全配置并提供整改建議，支持自動化或手動基線核查。b)應用簽名信息檢測：具備應用簽名信息檢測能力，能有效識別簽名的真實性；c)應用權限信息檢測：具備應用相關靜態(tài)權限申請b)具備對動態(tài)鏈接庫文件的加載、加固檢測能力；4異常信息并記錄下來，上傳到服務器，分析出現(xiàn)異常誤漏洞、IntentURLSchema攻擊漏洞等a)具備基于簽名或特征的威脅檢測能力，發(fā)現(xiàn)各類已d)支持對網(wǎng)絡流量進行檢測、分析，發(fā)現(xiàn)流量異常、協(xié)議異常、攻擊行為h)具備對應用內存馬注入攻擊進行檢測與阻斷的能系統(tǒng)事件等進行持續(xù)檢測，發(fā)現(xiàn)異常進程、異常行為、橫a)具備網(wǎng)絡攻擊抑制能力，支持網(wǎng)絡流量過濾、阻斷、限流、牽引等5b)具備攻擊誘導能力，支持網(wǎng)絡訪問重定向、廣播路由等方式將攻擊誘導至誘捕環(huán)境；a)具備執(zhí)行備份能力，支持記錄備份安全策略、安全配置、基線變更及響a)具備取證數(shù)據(jù)轉儲能力，支持磁盤快照、內存空間c)具備取證數(shù)據(jù)保全能力，支持基于取證結果的數(shù)字簽名、統(tǒng)一存儲a)具備網(wǎng)絡攻擊溯源能力，包括攻擊主體、攻擊路徑、攻擊方法、攻擊對象等的溯b)具備惡意代碼攻擊溯源能力，包括感染源、感染對象、感染途徑等；具備自動化綜合分析能力通過綜合分析，專業(yè)安全人員可準確定位攻擊者c)支持根據(jù)各認證因子反饋的認證結果進行綜合判定，根據(jù)2)支持通過鑒權請求獲取鑒權條件，依據(jù)鑒權條件動態(tài)返回鑒權結果；3)支持為用戶、機構、應用等授權主體進6b)具備對各類業(yè)務行為進行審計，并提供b)支持環(huán)境風險分析，并向業(yè)務安全策略控制服務上報風險結果。2)應用令牌至少包含應用標識、用戶標識、創(chuàng)建時間和過期時間；身份管理包括用戶身份管理和組織機構身份管理應7b)支持從資源目錄獲取應用列表和應用識別a)認證因子包含但不限于口令、數(shù)字證書、b)認證因子信息包括但不限于認證因子名c)支持認證因子信息的管理，包括但不限于增b)支持自定義錄入或通過其他平臺接收主體環(huán)境要素；b)支持自定義錄入或通過其他平臺接收授權客體；a)支持創(chuàng)建、刪除、編輯角色，定義角色的b)支持關聯(lián)工作流角色生命周期的管理；8a)環(huán)境感知內容管理：支持自定義環(huán)境感知服務的終端環(huán)b)感知策略管理：支持對環(huán)境感知內容進行管理和配審計管理應包含下列內容:b)日志留存時間管理：應用訪問日志的保存時間不少于六個月；安全應用運行維護管理