《《數(shù)據(jù)泄漏防護產(chǎn)品安全評價規(guī)范》（2017RB012）-征求意見稿》由會員分享，可在線閱讀，更多相關《《數(shù)據(jù)泄漏防護產(chǎn)品安全評價規(guī)范》（2017RB012）-征求意見稿（26頁珍藏版）》請在裝配圖網(wǎng)上搜索。

ICS 點擊此處添加中國標準文獻分類號 RB 中華人民共和國認證認可行業(yè)標準 RB/T XXXXX—XXXX 數(shù)據(jù)泄露防護產(chǎn)品安全評價規(guī)范 Security evaluation specifications for data leakage prevention product 點擊此處添加與國際標準一致性程度的標識 （征求意見稿） （本稿完成日期：2018.12.28） XXXX - XX - XX發(fā)布 XXXX - XX - XX實施 中華人民共和國國家市場監(jiān)督管理總局 國家認證認可監(jiān)督管理委員會發(fā)布 RB/T XXXXX—XXXX 目次 前言 2 1　范圍 3 2　規(guī)范性引用文件 3 3　術(shù)語、定義和縮略語 3 3.1　術(shù)語和定義 3 3.2　縮略語 4 4　評價過程 4 4.1　總體說明 4 4.2　評價的主要環(huán)節(jié) 4 4.3　結(jié)果判定 5 5　評價要求 5 5.1　總體說明 5 5.2　功能要求 5 5.3　安全要求 6 5.4　安全保障要求 8 6　評價方法 10 6.1　總體說明 10 6.2　檢測環(huán)境與工具 10 6.3　功能檢測方法 11 6.4　安全要求檢測方法 13 6.5　安全保障要求評估方法 19 前言 本規(guī)范按照GB/T 1.1-2009的規(guī)則起草。 本規(guī)范由國家認證認可監(jiān)督管理委員會提出并歸口。 本規(guī)范起草單位：中國網(wǎng)絡安全審查技術(shù)與認證中心、信息產(chǎn)業(yè)信息安全測評中心、北京億賽通科技發(fā)展有限責任公司、北京北信源軟件股份有限公司。 本規(guī)范主要起草人： 數(shù)據(jù)泄露防護產(chǎn)品安全評價規(guī)范 1　 范圍 本規(guī)范規(guī)定了數(shù)據(jù)泄露防護產(chǎn)品的安全評價要求及評價方法。 本規(guī)范適用于第三方認證機構(gòu)和檢測機構(gòu)對數(shù)據(jù)泄露防護產(chǎn)品的評價，數(shù)據(jù)泄露防護產(chǎn)品的設計和實現(xiàn)也可參照。 2　 規(guī)范性引用文件 下列文件對于本文件的應用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。 GB/T 18336-2015（所有部分） 信息技術(shù) 安全技術(shù) 信息技術(shù)安全評估準則 GB/T 25069 信息安全技術(shù) 術(shù)語 3　 術(shù)語、定義和縮略語 3.1　 術(shù)語和定義 GB/T 18336-2015和GB/T 25069界定的以及下列術(shù)語和定義適用于本標準。 3.1.1　 數(shù)據(jù)泄露防護產(chǎn)品（data leakage prevention, DLP） 數(shù)據(jù)泄露防護產(chǎn)品是指以統(tǒng)一策略為基礎，采用深層內(nèi)容分析技術(shù)對數(shù)據(jù)的傳輸、存儲進行即時的識別、監(jiān)控和防護的安全產(chǎn)品。 3.1.2　 確切數(shù)據(jù)匹配（exact data matching） 是指對于結(jié)構(gòu)化數(shù)據(jù)的數(shù)據(jù)組合進行內(nèi)容識別的一種匹配技術(shù)，結(jié)構(gòu)化的數(shù)據(jù)比如數(shù)據(jù)庫中的數(shù)據(jù)或以表格形式存儲的數(shù)據(jù)。例如：查找“名字”、“身份證號”和“電話號碼”三項同時出現(xiàn)的情況，可能就是一條EDM匹配策略。 3.1.3　 電子公告板系統(tǒng)(Bulletin Board System) 一種電子信息服務系統(tǒng)。它向用戶提供了一塊公共電子白板，提供非常豐富的web訪問方式，每個用戶都可以在上面發(fā)布信息或提出看法。典型的應用包括發(fā)文、即時消息、信件、Blog等。 3.1.4　 社會性網(wǎng)絡服務（Social Networking Services） 也叫“社交網(wǎng)站”或“社交網(wǎng)”，通常指基于分布式技術(shù)構(gòu)建的以個人為中心的服務。網(wǎng)絡中的個人用戶能夠通過該服務在網(wǎng)絡中共享他們的想法、圖片、文章、活動、事件，滿足其參與、分享和互動的真實需求，同時建立人與人之間的社交網(wǎng)絡或社交關系的連接。國內(nèi)主流SNS有人人網(wǎng)、QQ空間、開心網(wǎng)、豆瓣、天涯等。 3.1.5　 受控（Controlled） 本規(guī)范中特指授權(quán)用戶通過終端軟件注冊并使用的。 3.2　 縮略語 以下縮略語適用于本文件。 DLP Data Loss Prevention 數(shù)據(jù)泄露防護 EDM Exact Data Matching 確切數(shù)據(jù)匹配 4　 評價過程 4.1　 總體說明 認證機構(gòu)在接收到認證申請資料并審查合格后安排實驗室進行檢測。認證機構(gòu)收到檢測報告并審查合格后，組織現(xiàn)場核查。認證機構(gòu)對文檔審核、檢測、現(xiàn)場核查結(jié)果進行綜合評價。 4.2　 評價的主要環(huán)節(jié) 4.2.1　 文檔審核 認證機構(gòu)對申請方提交的資料和文檔依據(jù)產(chǎn)品技術(shù)規(guī)范進行審核。文檔審核的項目、要求及方法在本規(guī)范中條款號的對應關系如下。 表1　 文檔審核對應關系表 序號 項目 要求 方法 1 開發(fā) 5.4.1 6.5.1 2 指導性文檔 5.4.2 6.5.2 3 生命周期支持 5.4.3 6.5.3 4 測試 5.4.4 6.5.4 注：開發(fā)、生命周期等部分內(nèi)容需要在現(xiàn)場核查環(huán)節(jié)進行驗證。 4.2.2　 檢測 檢測實驗室對申請方送樣的產(chǎn)品依據(jù)產(chǎn)品技術(shù)規(guī)范進行檢測。檢測的項目、要求及方法在本規(guī)范中條款號的對應關系如下。 表2　 檢測對應關系表 序號 項目 要求 方法 1 功能要求 5.2 6.3 2 安全要求 5.3 6.4 4.2.3　 現(xiàn)場核查 認證機構(gòu)指派檢查員對工廠的信息安全保障能力進行檢查，檢查內(nèi)容涉及研發(fā)和生產(chǎn)環(huán)境?，F(xiàn)場核查的項目、要求及方法在本規(guī)范中條款號的對應關系如下。 表3　 現(xiàn)場核查 序號 項目 要求 方法 1 信息安全保障能力 開發(fā) 5.4.1 6.5.1 2 生命周期支持 5.4.3 6.5.3 4.3　 結(jié)果判定 文檔審核、檢測、現(xiàn)場核查的所有項目均通過，總體結(jié)果判定為通過。 5　 評價要求 5.1　 總體說明 評價要求包括對產(chǎn)品的功能要求、安全要求和安全保障要求。 5.2　 功能要求 5.2.1　 數(shù)據(jù)泄露識別與告警 a) 產(chǎn)品應能根據(jù)策略識別以下內(nèi)容中是否包含重要數(shù)據(jù)： 1) 壓縮的/未壓縮的非結(jié)構(gòu)化文檔，支持包括但不限于word、excel、pdf文檔格式； 2) 常用應用協(xié)議，支持包括但不限于下列協(xié)議：SMTP、POP3/IMAP、HTTP、FTP； 3) 經(jīng)BBS、SNS發(fā)布的； 4) 數(shù)據(jù)庫中存儲的，支持包括但不限于下列數(shù)據(jù)庫：SQL Server、Oracle、MySQL； b) 產(chǎn)品應支持被動監(jiān)測或主動掃描等多種數(shù)據(jù)識別方式； c) 當識別到重要數(shù)據(jù)時，應進行包括但不限于下列行為：記錄告警日志、即時告警（彈窗等）、無明示告警、發(fā)送告警郵件、發(fā)送SMS消息。 5.2.2　 數(shù)據(jù)泄露防護 產(chǎn)品應通過如下方式防止重要數(shù)據(jù)發(fā)生泄露： a) 禁用外設，如：光驅(qū)、打印機、網(wǎng)卡、無線網(wǎng)卡WIFI、串口、紅外設備、藍牙設備； b) 對重要數(shù)據(jù)內(nèi)容進行替換、刪除等操作； c) 僅允許授權(quán)用戶能夠使用受控的移動存儲設備； d) 中斷傳輸過程； e) 對于郵件方式，應額外提供包括但不限于下列動作：過濾敏感詞、剝離附件、增加刪除收件人、刪除收件人、正文替換、郵件轉(zhuǎn)發(fā)、郵件審批。 5.2.3　 統(tǒng)計報表 a) 產(chǎn)品應支持對指定時間段內(nèi)產(chǎn)生的重要事件違規(guī)情況進行統(tǒng)計及分析的能力，支持多種統(tǒng)計結(jié)果展現(xiàn)方式，如：列表、柱狀圖、折線圖或餅狀圖等。 b) 產(chǎn)品應支持報表的導出功能。 5.2.4　 管理功能 a) 產(chǎn)品應提供預定義的重要數(shù)據(jù)，并支持重要數(shù)據(jù)的自定義功能； b) 產(chǎn)品應支持對重要數(shù)據(jù)泄露識別規(guī)則的設置功能，包括但不限于：關鍵字匹配、正則表達式、指紋、確切數(shù)據(jù)匹配、其他屬性。 c) 產(chǎn)品應支持集中或分布式的管理方式。 5.3　 安全要求 5.3.1　 標識與鑒別 5.3.1.1　 用戶屬性定義 數(shù)據(jù)泄露防護產(chǎn)品應維護每個用戶的安全屬性，屬性可包括：用戶標識、授權(quán)信息或用戶組信息、其他安全屬性等。 5.3.1.2　 唯一性標識 數(shù)據(jù)泄露防護產(chǎn)品應保證任何用戶都具有全局唯一的標識。 5.3.1.3　 鑒別的時機 數(shù)據(jù)泄露防護產(chǎn)品應要求每個用戶在執(zhí)行與數(shù)據(jù)泄露防護產(chǎn)品安全相關的任何其他操作之前，都已被成功鑒別。 5.3.1.4　 鑒別失敗處理 a) 數(shù)據(jù)泄露防護產(chǎn)品應能檢測用戶的不成功的鑒別嘗試； d) 在達到或超過最大連續(xù)鑒別失敗嘗試次數(shù)閾值后，數(shù)據(jù)泄露防護產(chǎn)品應采取措施阻止進一步的鑒別嘗試，直至滿足已定義的條件才允許進行重新鑒別； e) 應僅由授權(quán)管理員設置未成功鑒別嘗試次數(shù)閾值。 5.3.1.5　 受保護的鑒別反饋 鑒別進行時，數(shù)據(jù)泄露防護產(chǎn)品安全功能應僅向用戶提供非鑒別數(shù)據(jù)（如圓點、星號等）作為鑒別數(shù)據(jù)輸入的反饋。 5.3.2　 用戶數(shù)據(jù)保護 5.3.2.1　 基于屬性的訪問控制 數(shù)據(jù)泄露防護產(chǎn)品應支持基于用戶角色、IP等安全屬性實現(xiàn)訪問控制。 5.3.3　 安全審計 5.3.3.1　 審計數(shù)據(jù)產(chǎn)生 a) 數(shù)據(jù)泄露防護產(chǎn)品如果支持以下事件，應能為其產(chǎn)生審計記錄： 1) 數(shù)據(jù)泄露防護產(chǎn)品的啟動和關閉； 2) 導出、另存和刪除審計日志； 3) 設置鑒別嘗試次數(shù)； 4) 鑒別機制的使用； 5) 用戶的創(chuàng)建、修改、刪除與授權(quán)； 6) 其他系統(tǒng)參數(shù)配置和管理安全功能行為的操作。 f) 數(shù)據(jù)泄露防護產(chǎn)品應在每個審計記錄中至少記錄下列信息： 1) 事件發(fā)生的日期和時間； 2) 事件類型； 3) 事件主體身份標識； 4) 事件描述及結(jié)果。 5.3.3.2　 審計數(shù)據(jù)查閱 a) 數(shù)據(jù)泄露防護產(chǎn)品應為授權(quán)用戶提供讀取審計記錄的功能； b) 數(shù)據(jù)泄露防護產(chǎn)品應以便于用戶理解的方式提供審計記錄。 5.3.3.3　 限制審計查閱 除明確允許讀訪問的用戶外，TSF應禁止所有用戶對審計記錄的讀訪問。 5.3.3.4　 可選審計查閱 數(shù)據(jù)泄露防護產(chǎn)品應提供根據(jù)條件對審計數(shù)據(jù)進行查詢或排序的功能。 5.3.3.5　 審計數(shù)據(jù)保護 a) 數(shù)據(jù)泄露防護產(chǎn)品應保護存儲的審計記錄免遭未授權(quán)的刪除； b) 數(shù)據(jù)泄露防護產(chǎn)品應禁止對審計記錄的修改。 5.3.4　 安全管理 5.3.4.1　 安全功能行為管理 數(shù)據(jù)泄露防護產(chǎn)品應僅限于授權(quán)管理員對下述功能具有允許、禁止或修改的能力。 a) 審計功能的開關； b) 其它安全功能行為的管理。 5.3.4.2　 安全屬性管理 數(shù)據(jù)泄露防護產(chǎn)品應僅限于已標識的授權(quán)角色能夠執(zhí)行如下屬性管理操作： a) 用戶的維護（如刪除、修改、添加等）； b) 鑒別數(shù)據(jù)的管理； c) 用戶與角色的維護； d) 其它安全屬性的管理操作。 5.3.4.3　 安全角色管理 a) 數(shù)據(jù)泄露防護產(chǎn)品應能夠?qū)Π踩巧M行維護，根據(jù)實際情況設置管理員、審計員和普通用戶角色； b) 應將安全角色和權(quán)限進行關聯(lián)，并禁止權(quán)限交叉。 5.3.4.4　 TSF數(shù)據(jù)的管理 數(shù)據(jù)泄露防護產(chǎn)品應僅允許授權(quán)管理員執(zhí)行下列操作： a) 設置鑒別嘗試次數(shù)和/或鑒別失敗事件中采取的動作； b) 設置訪問控制屬性，如：IP地址； c) 其他系統(tǒng)參數(shù)配置操作，如：系統(tǒng)時間。 5.3.5　 TSF保護 5.3.5.1　 內(nèi)部TSF數(shù)據(jù)傳送的基本保護 數(shù)據(jù)泄露防護產(chǎn)品應防止與管理員之間的安全功能數(shù)據(jù)在傳送過程中被泄漏。 5.3.5.2　 可靠的時間戳 數(shù)據(jù)泄露防護產(chǎn)品的安全功能應能為自身的應用提供可靠的時間戳。 5.3.5.3　 TSF原發(fā)會話終止 數(shù)據(jù)泄露防護產(chǎn)品的安全功能應在達到一定的用戶不活動的時間間隔之后終止一個交互式會話。 5.4　 安全保障要求 5.4.1　 開發(fā) 5.4.1.1　 安全架構(gòu)描述 開發(fā)者應設計并實現(xiàn)TOE及其TSF，確保TSF的安全特性不可旁路、防止不可信主體破壞，提供的TSF安全架構(gòu)描述應滿足如下要求： a) 安全架構(gòu)的描述應與在TOE設計文檔中對SFR-執(zhí)行的抽象描述的級別一致； g) 安全架構(gòu)的描述應描述與安全功能要求一致的TSF安全域； h) 安全架構(gòu)的描述應描述TSF初始化過程為何是安全的； i) 安全架構(gòu)的描述應證實TSF可防止被破壞； j) 安全架構(gòu)的描述應證實TSF可防止SFR-執(zhí)行的功能被旁路。 5.4.1.2　 安全執(zhí)行功能規(guī)范 開發(fā)者應提供一個功能規(guī)范，并提供功能規(guī)范到安全功能要求的追溯關系，滿足如下要求： a) 功能規(guī)范應完整地描述TSF； b) 功能規(guī)范應描述所有的TSFI的目的和使用方法； c) 功能規(guī)范應識別和描述每個TSFI相關的所有參數(shù)； d) 對于每個SFR-執(zhí)行TSFI，功能規(guī)范應描述TSFI相關的SFR-執(zhí)行行為； e) 對于SFR-執(zhí)行TSFI，功能規(guī)范應描述由SFR-執(zhí)行行為相關處理而引起的直接錯誤消息； f) 功能規(guī)范應證實安全功能要求到TSFI的追溯。 5.4.1.3　 基礎設計 開發(fā)者應提供TOE的設計，并提供從功能規(guī)范的TSFI到TOE設計中獲取到的最低層分解的映射，滿足如下要求： a) 設計應根據(jù)子系統(tǒng)描述TOE的結(jié)構(gòu)； b) 設計應標識TSF的所有子系統(tǒng)； c) 設計應對每一個SFR-支撐或SFR-無關的TSF子系統(tǒng)的行為進行足夠詳細的描述，以確定它不是SFR-執(zhí)行； d) 設計應概括SFR-執(zhí)行子系統(tǒng)的SFR-執(zhí)行行為； e) 設計應描述TSF的SFR-執(zhí)行子系統(tǒng)間的互相作用和TSF的SFR-執(zhí)行子系統(tǒng)與其他TSF子系統(tǒng)間的相互作用； f) 映射關系應證實TOE設計中描述的所有行為能夠映射到調(diào)用它的TSFI。 5.4.2　 指導性文檔 5.4.2.1　 操作用戶指南 開發(fā)者應提供操作用戶指南，其內(nèi)容應滿足如下要求： a) 操作用戶指南應對每一種用戶角色進行描述，在安全處理環(huán)境中應被控制的用戶可訪問的功能和特權(quán)，包含適當?shù)木拘畔ⅲ? b) 操作用戶指南應對每一種用戶角色進行描述，怎樣以安全的方式使用TOE提供的可用接口； c) 操作用戶指南應對每一種用戶角色進行描述，可用功能和接口，尤其是受用戶控制的所有安全參數(shù)，適當時應指明安全值； d) 操作用戶指南應對每一種用戶角色明確說明，與需要執(zhí)行的用戶可訪問功能有關的每一種安全相關事件，包括改變TSF所控制實體的安全特性； e) 操作用戶指南應標識TOE運行的所有可能狀態(tài)（包括操作導致的失敗或者操作性錯誤），它們與維持安全運行之間的因果關系和聯(lián)系； f) 操作用戶指南應對每一種用戶角色進行描述，為了充分實現(xiàn)ST中描述的運行環(huán)境安全目的所必須執(zhí)行的安全策略； g) 操作用戶指南應是明確和合理的。 5.4.2.2　 準備程序 開發(fā)者應提供TOE的準備程序，其內(nèi)容應滿足如下要求： a) 準備程序應描述與開發(fā)者交付程序相一致的安全接收所交付TOE所必需的所有步驟； b) 準備程序應描述安全安裝TOE以及安全準備與ST中描述的運行環(huán)境安全目的一致的運行環(huán)境必需的所有步驟。 5.4.3　 生命周期支持 5.4.3.1　 CM系統(tǒng)的使用 開發(fā)者應使用CM系統(tǒng)，并提供CM文檔，其內(nèi)容應滿足如下要求： a) 應給TOE標注唯一參照號； b) CM文檔應描述用于唯一標識配置項的方法； c) CM系統(tǒng)應唯一標識所有配置項。 5.4.3.2　 部分TOE CM覆蓋 開發(fā)者應提供TOE配置項列表，其內(nèi)容應滿足如下要求： a) 配置項列表應包括：TOE本身、安全保障要求的評估證據(jù)和TOE的組成部分； b) 配置項列表應唯一標識配置項； c) 對于每一個TSF相關的配置項，配置項列表應簡要說明該配置項的開發(fā)者。 5.4.3.3　 交付程序 開發(fā)者應將把TOE或其部分交付給消費者的程序文檔化，交付文檔應描述：在向消費者分發(fā)TOE版本時，用以維護安全性所必需的所有程序。 5.4.4　 測試 5.4.4.1　 覆蓋證據(jù) 開發(fā)者應提供測試覆蓋的證據(jù)，覆蓋證據(jù)應表明測試文檔中的測試與功能規(guī)范中的TSF接口之間的對應性。 5.4.4.2　 功能測試 開發(fā)者應測試TSF，并文檔化測試結(jié)果，其內(nèi)容應滿足如下要求： a) 測試文檔應包括測試計劃、預期的測試結(jié)果和實際的測試結(jié)果； b) 測試計劃應標識要執(zhí)行的測試并描述執(zhí)行每個測試的方案，這些方案應包括對于其他測試結(jié)果的任何順序依賴性； c) 預期的測試結(jié)果應指出測試成功執(zhí)行后的預期輸出； d) 實際的測試結(jié)果應與預期的測試結(jié)果一致。 5.4.4.3　 獨立測試-抽樣 開發(fā)者應提供用于測試的TOE，應滿足如下要求： a) TOE應適合測試； b) 開發(fā)者應提供一組與開發(fā)者TSF功能測試中同等的一系列資源。 5.4.5　 脆弱性評定 5.4.5.1　 脆弱性分析 開發(fā)者應提供適合用于執(zhí)行穿透性測試的TOE。 6　 評價方法 6.1　 總體說明 評價方法與評價要求一一對應，它給出具體的方法來驗證數(shù)據(jù)泄露防護產(chǎn)品是否滿足評價要求。評價過程分為檢測和評估，其中，檢測內(nèi)容為功能要求及安全要求，評估內(nèi)容為安全保障要求，評估的主要方式為文件審核和現(xiàn)場核查。 6.2　 檢測環(huán)境與工具 6.2.1　 檢測環(huán)境 檢測環(huán)境如圖1所示： 圖1　 功能及安全要求檢測環(huán)境圖 6.2.2　 檢測工具 檢測所需的檢測計算機、交換機、服務器、數(shù)據(jù)包截取工具等。 6.3　 功能檢測方法 6.3.1　 數(shù)據(jù)泄露識別與告警 a) 檢測要求 1) 產(chǎn)品應能根據(jù)策略識別以下內(nèi)容中是否包含重要數(shù)據(jù)： · 壓縮的/未壓縮的非結(jié)構(gòu)化文檔，支持包括但不限于word、excel、pdf（圖片，音視頻？）文檔格式； · 常用應用協(xié)議，支持包括但不限于下列協(xié)議：SMTP、POP3/IMAP、HTTP、FTP； · 經(jīng)BBS、SNS發(fā)布的； · 數(shù)據(jù)庫中存儲的，支持包括但不限于下列數(shù)據(jù)庫：SQL Server、Oracle、MySQL； 2) 產(chǎn)品應支持被動監(jiān)測和主動掃描等多種數(shù)據(jù)識別方式； 3) 當識別到重要數(shù)據(jù)時，應進行包括但不限于下列行為：記錄告警日志、即時告警（彈窗等）、無明示告警、發(fā)送告警郵件、發(fā)送SMS消息。 b) 檢測方法 1) 以授權(quán)管理員身份登錄產(chǎn)品，配置數(shù)據(jù)泄露識別策略，設置數(shù)據(jù)識別關鍵字； 2) 確認產(chǎn)品支持的告警方式，并設置相應的告警策略； 3) 在文件服務器上存儲包含重要數(shù)據(jù)的文檔，文檔類型包括Word、Excel、PPT、PDF； 4) 在文件服務器上存儲經(jīng)過壓縮及嵌套壓縮的包含關鍵字的文檔，壓縮格式包括RAR、ZIP； 5) 執(zhí)行重要數(shù)據(jù)掃描操作，檢查產(chǎn)品是否能夠識別； 6) 從測試機上，通過郵件、FTP、HTTP等方式直接傳輸或壓縮后傳輸包含重要數(shù)據(jù)的文檔，檢查產(chǎn)品是否能夠識別； 7) 從測試機上瀏覽帶有重要數(shù)據(jù)的頁面、發(fā)送帶有關鍵字的郵件，檢查產(chǎn)品是否能夠識別； 8) 從測試機上通過BBS、SNS發(fā)布帶有重要數(shù)據(jù)的信息，檢查產(chǎn)品是否能夠識別； 9) 在數(shù)據(jù)庫中存儲帶有重要數(shù)據(jù)的信息，執(zhí)行重要數(shù)據(jù)掃描操作，檢查產(chǎn)品是否能夠識別； 10) 確認設置的告警策略是否生效。 c) 結(jié)果判定 1) 產(chǎn)品支持識別策略和識別關鍵字的設置； 2) 產(chǎn)品可以對告警方式進行設置，應至少支持評價要求中的一種或多種； 3) 產(chǎn)品能夠識別直接或經(jīng)過壓縮后存儲在文件服務器上的包含重要數(shù)據(jù)的文檔； 4) 產(chǎn)品能夠識別經(jīng)過HTTP、FTP、SMTP/IMAP4等協(xié)議發(fā)送的重要數(shù)據(jù)； 5) 產(chǎn)品能夠識別通過BBS、SNS發(fā)布的重要數(shù)據(jù)； 6) 產(chǎn)品能夠發(fā)現(xiàn)數(shù)據(jù)庫中存儲的重要數(shù)據(jù)； 7) 產(chǎn)品應能根據(jù)設置的告警策略實施告警。 1）-7）項均滿足為“符合”，其他情況為“不符合”。 6.3.2　 數(shù)據(jù)泄露防護 a) 檢測要求 產(chǎn)品應通過如下方式防止重要數(shù)據(jù)發(fā)生泄露： 1) 禁用外設，如：光驅(qū)、打印機、網(wǎng)卡、無線網(wǎng)卡WIFI、串口、紅外設備、藍牙設備； 2) 對重要數(shù)據(jù)內(nèi)容進行替換、刪除等操作； 3) 僅允許授權(quán)用戶能夠使用受控的移動存儲設備； 4) 中斷傳輸過程； 5) 對于郵件方式，應額外提供包括但不限于下列動作：過濾重要詞、剝離附件、增加刪除收件人、刪除收件人、正文替換、郵件轉(zhuǎn)發(fā)、郵件審批。 b) 檢測方法 1) 以授權(quán)管理員登錄產(chǎn)品，檢查是否能夠配置相應的外設管控策略，并檢查策略是否生效（外設如：如對光驅(qū)、打印機、網(wǎng)卡、無線網(wǎng)卡WIFI、串口、紅外設備、藍牙設備、USB存儲設備）； 2) 通過HTTP、FTP、郵件、BBS、SNS發(fā)送產(chǎn)品可以識別的帶有重要數(shù)據(jù)的信息，檢查是否可根據(jù)策略對重要數(shù)據(jù)進行替換或刪除； 3) 通過HTTP、FTP、郵件、BBS、SNS發(fā)送產(chǎn)品可以識別的帶有重要數(shù)據(jù)的信息，檢查是否可根據(jù)策略進行阻斷； 4) 在測試機上嘗試使用未經(jīng)注冊的移動存儲設備，驗證是否不能使用； 5) 在測試機上使用權(quán)限范圍外的經(jīng)過注冊的移動存儲設備，驗證是否不能使用； 6) 在測試機上使用授權(quán)范圍內(nèi)的經(jīng)過注冊的移動鵆設備，驗證是否可以正常使用； 7) 在測試機上，通過郵件客戶端發(fā)送帶有重要數(shù)據(jù)的郵件，驗證產(chǎn)品是否能夠根據(jù)策略執(zhí)行相關操作。 c) 結(jié)果判定 1) 產(chǎn)品應能有效實施對終端外設進行管控； 2) 產(chǎn)品應能根據(jù)策略替換或刪除發(fā)現(xiàn)的重要數(shù)據(jù)； 3) 產(chǎn)品應能根據(jù)策略阻斷帶有重要數(shù)據(jù)的信息傳輸操作； 4) 僅經(jīng)過授權(quán)且注冊的移動存儲設備才能在終端商使用。 1）-7）項均滿足為“符合”，其他情況為“不符合”。 6.3.3　 統(tǒng)計報表 a) 檢測要求 1) 產(chǎn)品應支持對指定時間段內(nèi)產(chǎn)生的重要事件違規(guī)情況進行統(tǒng)計及分析的能力，支持多種統(tǒng)計結(jié)果展現(xiàn)方式，如：列表、柱狀圖、折線圖或餅狀圖等。 2) 產(chǎn)品應支持報表的導出功能。 b) 檢測方法 1) 以授權(quán)管理員身份登錄產(chǎn)品，檢查產(chǎn)品支持的統(tǒng)計分析圖表類型； 2) 執(zhí)行統(tǒng)計分析操作，檢查是否能夠生成相應的統(tǒng)計分析報表。 c) 結(jié)果判定 1) 產(chǎn)品應支持列表、柱狀圖、折線圖、餅狀圖中的一種或多種； 2) 產(chǎn)品應能正確生成報表。 1）-2）項均滿足為“符合”，其他情況為“不符合”。 6.3.4　 管理功能 a) 檢測要求 1) 產(chǎn)品應提供預定義的重要數(shù)據(jù)，并支持重要數(shù)據(jù)的自定義功能； 2) 產(chǎn)品應支持對重要數(shù)據(jù)泄露識別規(guī)則的設置功能，包括但不限于：關鍵字匹配、正則表達式、指紋、屬性、確切數(shù)據(jù)匹配（EDM）等。 3) 產(chǎn)品應支持集中或分布式的管理方式。 b) 檢測方法 1) 以授權(quán)管理員身份登錄，查看是否支持預定義的重要數(shù)據(jù)可直接用于規(guī)則添加； 2) 查看是否支持重要數(shù)據(jù)的自定義功能； 3) 查看產(chǎn)品支持的識別規(guī)則，并對匹配規(guī)則進行設置； 4) 發(fā)送帶有重要數(shù)據(jù)的訪問，查看設置的規(guī)則是否生效； 5) 確認產(chǎn)品支持的管理方式。 c) 結(jié)果判定 1) 產(chǎn)品應有預定義的重要數(shù)據(jù)，并可自定義重要數(shù)據(jù)； 2) 產(chǎn)品應能設置重要數(shù)據(jù)的匹配規(guī)則； 3) 產(chǎn)品設置的規(guī)則應正確生效； 4) 產(chǎn)品應支持分布式或集中式的管理。 1）-4）項均滿足為“符合”，其他情況為“不符合”。 6.4　 安全要求檢測方法 6.4.1　 標識與鑒別 6.4.1.1　 用戶屬性定義 a) 檢測要求 數(shù)據(jù)泄露防護產(chǎn)品應維護每個用戶的安全屬性，屬性可包括：用戶標識、授權(quán)信息或用戶組信息、其他安全屬性等。 b) 檢測方法 1) 查看產(chǎn)品是否為每一個用戶保存其安全屬性表，屬性可包括：用戶標識、授權(quán)信息或用戶組信息、其他安全屬性等； 2) 以不同的授權(quán)用戶身份登錄數(shù)據(jù)泄露防護產(chǎn)品，執(zhí)行其權(quán)限范圍內(nèi)的操作，檢查該用戶可執(zhí)行的操作與其安全屬性（如用戶標識、授權(quán)信息等）的要求是否一致； 3) 修改用戶的部分安全屬性后，檢查該用戶可執(zhí)行的操作與其被修改后的安全屬性的要求是否一致。 c) 結(jié)果判定 1) 產(chǎn)品支持為每一個用戶定義及維護其安全屬性表； 2) 用戶可執(zhí)行的操作與其安全屬性（如用戶標識、授權(quán)信息等）的要求一致； 3) 用戶可執(zhí)行的操作與其被修改后的安全屬性（如授權(quán)信息等）的要求一致。 1）—3）項滿足為“符合”，其他情況為“不符合”。 6.4.1.2　 唯一性標識 a) 檢測要求 數(shù)據(jù)泄露防護產(chǎn)品應保證任何用戶都具有全局唯一的標識。 b) 檢測方法 1) 以授權(quán)用戶身份登錄數(shù)據(jù)泄露防護產(chǎn)品，查看用戶信息； 2) 嘗試新建一個相同用戶標識的用戶，檢查操作是否能夠成功。 c) 結(jié)果判定 1) 產(chǎn)品不能新建相同用戶標識的用戶。 1）項滿足為“符合”，其他情況為“不符合”。 6.4.1.3　 鑒別的時機 a) 檢測要求 數(shù)據(jù)泄露防護產(chǎn)品應要求每個用戶在執(zhí)行與數(shù)據(jù)泄露防護產(chǎn)品安全相關的任何其他操作之前，都已被成功鑒別。 b) 檢測方法 1) 查看用戶在未被成功鑒別前，是否被拒絕執(zhí)行任何安全相關的操作； 2) 查看產(chǎn)品是否拒絕錯誤的鑒別信息的用戶登錄； 3) 以正確的鑒別信息登錄并進行安全相關操作，驗證產(chǎn)品是否允許登錄，是否允許進行安全相關操作。 c) 結(jié)果判定 1) 用戶被成功鑒別前，不能執(zhí)行任何與安全相關的操作； 2) 輸入錯誤鑒別信息，產(chǎn)品不允許登錄； 3) 輸入正確的鑒別信息，能夠成功登錄，并執(zhí)行安全相關操作。 1）—3）項滿足為“符合”，其他情況為“不符合”。 6.4.1.4　 鑒別失敗處理 a) 檢測要求 1) 數(shù)據(jù)泄露防護產(chǎn)品應能檢測用戶的不成功的鑒別嘗試； 2) 在達到或超過最大連續(xù)鑒別失敗嘗試次數(shù)閾值后，數(shù)據(jù)泄露防護產(chǎn)品應采取措施阻止進一步的鑒別嘗試，直至滿足已定義的條件才允許進行重新鑒別； 3) 應僅由授權(quán)管理員設置未成功鑒別嘗試次數(shù)閾值。 b) 檢測方法 1) 以錯誤的鑒別信息嘗試登錄數(shù)據(jù)泄露防護產(chǎn)品，檢查是否被拒絕進入系統(tǒng)； 2) 繼續(xù)進行一定次數(shù)的登錄嘗試，驗證在達到允許的鑒別失敗嘗試次數(shù)后，數(shù)據(jù)泄露防護產(chǎn)品是否使該用戶賬號或登錄點失效； 3) 查看達到數(shù)據(jù)泄露防護產(chǎn)品已定義的解鎖條件后，失效的用戶賬號或登錄點是否可以重新進行鑒別操作； 4) 檢查未成功鑒別嘗試次數(shù)閾值是否僅由授權(quán)管理員設置。 c) 結(jié)果判定 1) 錯誤口令的用戶登錄嘗試被拒絕； 2) 在連續(xù)登錄鑒別嘗試失敗連續(xù)達到指定次數(shù)后，用戶賬號或登錄點失效； 3) 達到解鎖條件后，失效的用戶賬號或登錄點能夠重新進行鑒別操作； 4) 未成功鑒別嘗試次數(shù)閾值僅由授權(quán)管理員能夠進行設置。 1）—4）項滿足為“符合”，其他情況為“不符合”。 6.4.1.5　 受保護的鑒別反饋 a) 檢測要求 鑒別進行時，數(shù)據(jù)泄露防護產(chǎn)品安全功能應僅向用戶提供非鑒別數(shù)據(jù)（如圓點、星號等）作為鑒別數(shù)據(jù)輸入的反饋。 b) 檢測方法 1) 執(zhí)行用戶登錄操作，輸入用戶鑒別數(shù)據(jù)，檢查數(shù)據(jù)泄露防護產(chǎn)品是否僅顯示用戶輸入的鑒別數(shù)據(jù)的字符數(shù)，但不顯示鑒別數(shù)據(jù)本身。 c) 結(jié)果判定 1) 鑒別數(shù)據(jù)輸入的反饋僅為用戶輸入的字符數(shù)，不顯示鑒別數(shù)據(jù)本身。 1）項滿足為“符合”，其他情況為“不符合”。 6.4.2　 用戶數(shù)據(jù)保護 6.4.2.1　 基于安全屬性的訪問控制 a) 檢測要求 數(shù)據(jù)泄露防護產(chǎn)品應支持基于用戶角色或IP等安全屬性實現(xiàn)訪問控制。 b) 檢測方法 1) 查看產(chǎn)品說明文檔有關訪問控制的相關描述，檢查是否支持基于用戶角色、IP等安全屬性的訪問控制； 2) 以授權(quán)用戶身份登錄數(shù)據(jù)泄露防護產(chǎn)品，驗證設置的基于用戶角色、IP等安全屬性的訪問控制功能是否有效。 c) 結(jié)果判定 1) 能夠設置基于用戶角色或IP等安全屬性的訪問控制策略，并且有效。 1）項滿足為“符合”，其他情況為“不符合”。 6.4.3　 安全審計 6.4.3.1　 審計數(shù)據(jù)產(chǎn)生 a) 檢測要求 1) 數(shù)據(jù)泄露防護產(chǎn)品如果支持以下事件，應能為下述事件的發(fā)生產(chǎn)生審計記錄： ¨ 數(shù)據(jù)泄露防護產(chǎn)品的啟動和關閉； ¨ 導出、另存和刪除審計日志； ¨ 設置鑒別嘗試次數(shù)； ¨ 設置審計跡門限值； ¨ 鑒別機制的使用； ¨ 用戶的創(chuàng)建、修改、刪除與授權(quán)； ¨ 其他系統(tǒng)參數(shù)配置和管理安全功能行為的操作。 1) 數(shù)據(jù)泄露防護產(chǎn)品應在每個審計記錄中至少記錄下列信息： ¨ 事件發(fā)生的日期和時間； ¨ 事件類型； ¨ 事件主體身份標識； ¨ 事件描述及結(jié)果。 b) 檢測方法 1) 以授權(quán)用戶身份登錄數(shù)據(jù)泄露防護產(chǎn)品執(zhí)行檢測要求1）中相關的操作，查看審計記錄，檢查系統(tǒng)是否對操作進行了審計記錄； 2) 查看審計記錄內(nèi)容中是否包括事件發(fā)生的日期和時間、事件類型、主體身份標識、事件描述及結(jié)果等信息。 c) 結(jié)果判定 1) 產(chǎn)品對支持的事件發(fā)生產(chǎn)生了審計記錄； 2) 審計記錄內(nèi)容中包括事件發(fā)生的日期和時間、事件類型、主體身份標識、事件描述及結(jié)果等信息。 1）—2）項滿足為“符合”，其他情況為“不符合”。 6.4.3.2　 審計數(shù)據(jù)查閱 a) 檢測要求 1) 數(shù)據(jù)泄露防護產(chǎn)品應為授權(quán)用戶提供讀取審計記錄的功能； 2) 數(shù)據(jù)泄露防護產(chǎn)品應以便于用戶理解的方式提供審計記錄。 b) 檢測方法 1) 以授權(quán)用戶身份登錄數(shù)據(jù)泄露防護產(chǎn)品，查看系統(tǒng)是否為授權(quán)用戶提供讀取審計記錄的功能； 2) 查看審計記錄是否便于用戶理解。 c) 結(jié)果判定 1) 授權(quán)用戶能夠讀取審計記錄，審計記錄的內(nèi)容便于用戶理解。 1）項滿足為“符合”，其他情況為“不符合”。 6.4.3.3　 限制審計查閱 a) 檢測要求 除明確允許讀訪問的用戶外，TSF應禁止所有用戶對審計記錄的讀訪問。 b) 檢測方法 1) 檢查授權(quán)用戶是否能夠讀取其權(quán)限范圍內(nèi)的審計信息； 2) 檢查非授權(quán)用戶是否不能讀取任何審計信息。 c) 結(jié)果判定 1) 授權(quán)用戶能夠讀取其權(quán)限范圍內(nèi)的審計信息； 2) 非授權(quán)用戶不能讀取任何審計信息。 1）-2）項滿足為“符合”，其他情況為“不符合”。 6.4.3.4　 可選審計查閱 a) 檢測要求 數(shù)據(jù)泄露防護產(chǎn)品應提供根據(jù)條件對審計數(shù)據(jù)進行查詢或排序的功能。 b) 檢測方法 1) 以授權(quán)用戶身份登錄數(shù)據(jù)泄露防護產(chǎn)品，以一定的條件對審計數(shù)據(jù)進行查詢或排序操作，檢查查詢或排序結(jié)果是否正確。 c) 結(jié)果判定 1) 產(chǎn)品根據(jù)條件對審計數(shù)據(jù)進行查詢或排序的結(jié)果正確。 1）項滿足為“符合”，其他情況為“不符合”。 6.4.3.5　 審計數(shù)據(jù)保護 a) 檢測要求 1) 數(shù)據(jù)泄露防護產(chǎn)品應保護存儲的審計記錄免遭未授權(quán)的刪除； 2) 數(shù)據(jù)泄露防護產(chǎn)品應禁止對審計記錄的修改。 b) 檢測方法 1) 分別以授權(quán)用戶和非授權(quán)用戶身份執(zhí)行刪除審計記錄的操作，驗證數(shù)據(jù)泄露防護產(chǎn)品是否僅允許授權(quán)用戶執(zhí)行刪除審計記錄的操作； 2) 查看數(shù)據(jù)泄露防護產(chǎn)品是否能夠防止修改審計記錄的操作。 c) 結(jié)果判定 1) 只有授權(quán)用戶才能夠刪除審計記錄； 2) 審計記錄不能修改。 1）—2）項滿足為“符合”，其他情況為“不符合”。 6.4.4　 安全管理 6.4.4.1　 安全功能行為管理 a) 檢測要求 數(shù)據(jù)泄露防護產(chǎn)品應僅限于授權(quán)管理員對下述功能具有允許、禁止或修改的能力。 1) 審計功能的開關； 2) 其它安全功能行為的管理。 b) 檢測方法 1) 分別以不同身份用戶登錄數(shù)據(jù)泄露防護產(chǎn)品，嘗試執(zhí)行下述功能： ¨ 審計功能的開啟和停用； ¨ 其他管理安全功能行為的功能； 驗證是否只有授權(quán)用戶能夠執(zhí)行上述功能。 c) 結(jié)果判定 1) 只有授權(quán)用戶能夠執(zhí)行上述功能。 1）項滿足為“符合”，其他情況為“不符合”。 6.4.4.2　 安全屬性管理 a) 檢測要求 數(shù)據(jù)泄露防護產(chǎn)品應僅限于已標識的授權(quán)角色能夠執(zhí)行如下屬性管理操作： 1) 用戶角色與權(quán)限的維護； 2) 其它安全屬性的管理操作。 b) 檢測方法 1) 分別以不同身份用戶登錄數(shù)據(jù)泄露防護產(chǎn)品，嘗試執(zhí)行如下屬性的管理操作： ¨ 用戶角色與權(quán)限的維護； ¨ 其它安全屬性的管理操作。 驗證是否只有授權(quán)用戶能夠執(zhí)行上述操作。 c) 結(jié)果判定 1) 只有授權(quán)用戶能夠執(zhí)行上述管理操作。 1）項滿足為“符合”，其他情況為“不符合”。 6.4.4.3　 安全角色管理 a) 檢測要求 數(shù)據(jù)泄露防護產(chǎn)品應能夠?qū)Π踩巧M行維護，并將用戶和角色進行關聯(lián)。 b) 檢測方法 1) 查看授權(quán)用戶所能執(zhí)行的操作與其角色的授權(quán)操作是否一致； 2) 修改該用戶的角色為系統(tǒng)允許的其他角色后，查看用戶所能執(zhí)行的操作與修改后的角色的授權(quán)操作是否一致。 c) 結(jié)果判定 1) 系統(tǒng)可維護安全角色； 2) 系統(tǒng)能夠把用戶與角色進行關聯(lián)。 1）—2）項滿足為“符合”，其他情況為“不符合”。 6.4.4.4　 TSF數(shù)據(jù)的管理 a) 檢測要求 數(shù)據(jù)泄露防護產(chǎn)品應僅允許授權(quán)管理員執(zhí)行下列操作： 1) 設置鑒別嘗試次數(shù)； 2) 設置審計跡門限值； 3) 設置會話超時時間； 4) 其他系統(tǒng)參數(shù)配置操作。 b) 檢測方法 1) 分別以不同身份用戶登錄數(shù)據(jù)泄露防護產(chǎn)品，嘗試執(zhí)行如下管理操作： ¨ 設置鑒別嘗試次數(shù)； ¨ 設置審計跡門限值； ¨ 設置會話超時時間； ¨ 其他系統(tǒng)參數(shù)配置操作。 驗證是否只有授權(quán)用戶能夠執(zhí)行上述操作。 c) 結(jié)果判定 1) 只有授權(quán)用戶能夠執(zhí)行上述操作。 1）項滿足為“符合”，其他情況為“不符合”。 6.4.5　 TSF保護 6.4.5.1　 內(nèi)部TSF數(shù)據(jù)傳送的基本保護 a) 檢測要求 數(shù)據(jù)泄露防護產(chǎn)品應防止與授權(quán)用戶之間的安全功能數(shù)據(jù)在傳送過程中被泄漏。 b) 檢測方法 1) 以授權(quán)用戶身份登錄數(shù)據(jù)泄露防護產(chǎn)品，執(zhí)行修改系統(tǒng)配置、修改安全策略等操作，同時使用抓包工具截取數(shù)據(jù)進行分析，查看數(shù)據(jù)是否不為明文。 c) 結(jié)果判定 1) 獲取的安全功能數(shù)據(jù)不為明文。 1）項滿足為“符合”，其他情況為“不符合”。 6.4.5.2　 可靠的時間戳 a) 檢測要求 數(shù)據(jù)泄露防護產(chǎn)品的安全功能應能為自身的應用提供可靠的時間戳。 b) 檢測方法 1) 查看產(chǎn)品說明文檔，檢查是否描述了可靠時間戳來源； 2) 以授權(quán)用戶身份分別執(zhí)行與時間戳相關的功能，分析其時間戳來源與文檔描述的時間戳來源是否一致。 c) 結(jié)果判定 1) 數(shù)據(jù)泄露防護產(chǎn)品使用了可靠的時間戳。 1）項滿足為“符合”，其他情況為“不符合”。 6.4.5.3　 TSF原發(fā)會話終止 a) 檢測要求 數(shù)據(jù)泄露防護產(chǎn)品的安全功能應在達到一定的用戶不活動的時間間隔之后終止一個交互式會話。 b) 檢測方法 1) 以授權(quán)用戶身份登錄數(shù)據(jù)泄露防護產(chǎn)品后停止操作，檢查經(jīng)過一段時間間隔后，該用戶是否不能繼續(xù)執(zhí)行授權(quán)操作。 c) 結(jié)果判定 1) 在達到一定的用戶不活動的時間間隔之后，數(shù)據(jù)泄露防護產(chǎn)品終止交互式會話，不能繼續(xù)執(zhí)行授權(quán)操作。 1）項滿足為“符合”，其他情況為“不符合”。 6.5　 安全保障要求評估方法 6.5.1　 開發(fā) 6.5.1.1　 安全架構(gòu)描述 a) 評估要求 1) 開發(fā)者行為元素： ¨ 開發(fā)者應設計并實現(xiàn)TOE，確保TSF的安全特性不可旁路； ¨ 開發(fā)者應設計并實現(xiàn)TSF，以防止不可信主體的破壞； ¨ 開發(fā)者應提供TSF安全架構(gòu)的描述。 2) 內(nèi)容和形式元素： ¨ 安全架構(gòu)的描述應與在TOE設計文檔中對SFR-執(zhí)行的抽象描述的級別一致； ¨ 安全架構(gòu)的描述應描述與安全功能要求一致的TSF安全域； ¨ 安全架構(gòu)的描述應描述TSF初始化過程為何是安全的； ¨ 安全架構(gòu)的描述應證實TSF可防止被破壞； ¨ 安全架構(gòu)的描述應證實TSF可防止SFR-執(zhí)行的功能被旁路。 b) 評估方法 評估者應確認提供的信息滿足證據(jù)的內(nèi)容和形式的所有要求。 c) 結(jié)果判定 1) 開發(fā)者提供了TSF安全架構(gòu)的描述； 2) 開發(fā)者提供的TSF安全架構(gòu)的描述滿足證據(jù)的內(nèi)容和形式的所有要求。 1）—2）項均滿足為“符合”，其他情況為“不符合”。 6.5.1.2　 安全執(zhí)行功能規(guī)范 a) 評估要求 1) 開發(fā)者行為元素： ¨ 開發(fā)者應提供一個功能規(guī)范； ¨ 開發(fā)者應提供功能規(guī)范到安全功能要求的追溯關系。 2) 內(nèi)容和形式元素： ¨ 功能規(guī)范應完整地描述TSF； ¨ 功能規(guī)范應描述所有的TSFI的目的和使用方法； ¨ 功能規(guī)范應識別和描述每個TSFI相關的所有參數(shù)； ¨ 對于每個SFR-執(zhí)行TSFI，功能規(guī)范應描述TSFI相關的SFR-執(zhí)行行為； ¨ 對于SFR-執(zhí)行TSFI，功能規(guī)范應描述由SFR-執(zhí)行行為相關處理而引起的直接錯誤消息； ¨ 功能規(guī)范應證實安全功能要求到TSFI的追溯。 b) 評估方法 1) 評估者應確認所提供的信息滿足證據(jù)的內(nèi)容和形式的所有要求； 2) 評估者應確定功能規(guī)范是安全功能要求的一個準確且完備的實例化。 c) 結(jié)果判定 1) 開發(fā)者提供了功能規(guī)范文檔； 2) 開發(fā)者提供的功能規(guī)范文檔滿足證據(jù)的內(nèi)容和形式的所有要求； 3) 開發(fā)者提供的功能規(guī)范是安全功能要求的一個準確且完備的實例化。 1）—3）項均滿足的為“符合”；其他情況為“不符合”。 6.5.1.3　 基礎設計 a) 評估要求 1) 開發(fā)者行為元素： ¨ 開發(fā)者應提供TOE的設計； ¨ 開發(fā)者應提供從功能規(guī)范的TSFI到TOE設計中獲取到的最低層分解的映射。 2) 內(nèi)容和形式元素： ¨ 設計應根據(jù)子系統(tǒng)描述TOE的結(jié)構(gòu)； ¨ 設計應標識TSF的所有子系統(tǒng)； ¨ 設計應對每一個SFR-支撐或SFR-無關的TSF子系統(tǒng)的行為進行足夠詳細的描述，以確定它不是SFR-執(zhí)行； ¨ 設計應概括SFR-執(zhí)行子系統(tǒng)的SFR-執(zhí)行行為； ¨ 設計應描述TSF的SFR-執(zhí)行子系統(tǒng)間的互相作用和TSF的SFR-執(zhí)行子系統(tǒng)與其他TSF子系統(tǒng)間的相互作用； ¨ 映射關系應證實TOE設計中描述的所有行為能夠映射到調(diào)用它的TSFI。 b) 評估方法 1) 評估者應確認提供的信息滿足證據(jù)的內(nèi)容與形式的所有要求； 2) 評估者應確定設計是所有安全功能要求的正確且完備的實例。 c) 結(jié)果判定 1) 開發(fā)者提供了TOE設計文檔； 2) 開發(fā)者提供的TOE設計文檔滿足證據(jù)的內(nèi)容和形式的所有要求； 3) 開發(fā)者提供的設計是所有安全功能要求的正確且完備的實例。 1）—3）項均滿足的為“符合”；其他情況為“不符合”。 6.5.2　 指導性文檔 6.5.2.1　 操作用戶指南 a) 評估要求 1) 開發(fā)者行為元素： ¨ 開發(fā)者應提供操作用戶指南。 2) 內(nèi)容和形式元素： ¨ 操作用戶指南應對每一種用戶角色進行描述，在安全處理環(huán)境中應被控制的用戶可訪問的功能和特權(quán)，包含適當?shù)木拘畔ⅲ? ¨ 操作用戶指南應對每一種用戶角色進行描述，怎樣以安全的方式使用TOE提供的可用接口； ¨ 操作用戶指南應對每一種用戶角色進行描述，可用功能和接口，尤其是受用戶控制的所有安全參數(shù)，適當時應指明安全值； ¨ 操作用戶指南應對每一種用戶角色明確說明，與需要執(zhí)行的用戶可訪問功能有關的每一種安全相關事件，包括改變TSF所控制實體的安全特性； ¨ 操作用戶指南應標識TOE運行的所有可能狀態(tài)（包括操作導致的失敗或者操作性錯誤），它們與維持安全運行之間的因果關系和聯(lián)系； ¨ 操作用戶指南應對每一種用戶角色進行描述，為了充分實現(xiàn)ST中描述的運行環(huán)境安全目的所必須執(zhí)行的安全策略； ¨ 操作用戶指南應是明確和合理的。 b) 評估方法 1) 評估者應確認所有提供的信息滿足證據(jù)的內(nèi)容和形式的所有要求。 c) 結(jié)果判定 1) 開發(fā)者提供了操作用戶指南； 2) 開發(fā)者提供的操作用戶指南滿足證據(jù)的內(nèi)容和形式的所有要求。 1）—2）項均滿足的為“符合”；其他情況為“不符合”。 6.5.2.2　 準備程序 a) 評估要求 1) 開發(fā)者行為元素： ¨ 開發(fā)者應提供TOE，包括它的準備程序。 2) 內(nèi)容和形式元素： ¨ 準備程序應描述與開發(fā)者交付程序相一致的安全接收所交付TOE所必需的所有步驟； ¨ 準備程序應描述安全安裝TOE以及安全準備與ST中描述的運行環(huán)境安全目的一致的運行環(huán)境必需的所有步驟。 b) 評估方法 1) 評估者應確認所提供的信息滿足證據(jù)的內(nèi)容和形式的所有要求； 2) 評估者應運用準備程序確認TOE運行能被安全的準備。 c) 結(jié)果判定 1) 開發(fā)者提供了TOE以及它的準備程序； 2) 開發(fā)者提供的準備程序滿足證據(jù)的內(nèi)容和形式的所有要求； 3) 運用準備程序能夠確認TOE運行能被安全的準備。 1）—3）項均滿足的為“符合”；其他情況為“不符合”。 6.5.3　 生命周期支持 6.5.3.1　 CM系統(tǒng)的使用 a) 評估要求 1) 開發(fā)者行為元素： ¨ 開發(fā)者應提供TOE及其參照號； ¨ 開發(fā)者應提供CM文檔； ¨ 開發(fā)者應使用CM系統(tǒng)。 2) 內(nèi)容和形式元素： ¨ 應給TOE標注唯一參照號； ¨ CM文檔應描述用于唯一標識配置項的方法； ¨ CM系統(tǒng)應唯一標識所有配置項。 b) 評估方法 1) 評估者應確認所提供的信息滿足證據(jù)的內(nèi)容和形式的所有要求。 c) 結(jié)果判定 1) 開發(fā)者提供了TOE，并為其標注唯一參照號； 2) 開發(fā)者提供了配置管理文檔，且文檔滿足證據(jù)的內(nèi)容和形式的所有要求； 3) 開發(fā)者使用了配置管理系統(tǒng)，且配置管理系統(tǒng)滿足證據(jù)的內(nèi)容和形式的所有要求。 1）—3）項均滿足的為“符合”，其他情況為“不符合”。 6.5.3.2　 部分TOE CM覆蓋 a) 評估要求 1) 開發(fā)者行為元素： ¨ 開發(fā)者應提供TOE配置項列表。 2) 內(nèi)容和形式元素： ¨ 配置項列表應包括：TOE本身、安全保障要求的評估證據(jù)和TOE的組成部分； ¨ 配置項列表應唯一標識配置項； ¨ 對于每一個TSF相關的配置項，配置項列表應簡要說明該配置項的開發(fā)者。 b) 評估方法 1) 評估者應確認所提供的信息滿足證據(jù)的內(nèi)容和形式的所有要求。 c) 結(jié)果判定 1) 開發(fā)者提供了產(chǎn)品配置項列表； 2) 開發(fā)者提供的產(chǎn)品配置項列表滿足證據(jù)的內(nèi)容和形式的所有要求。 1）—2）項均滿足的為“符合”；其他情況為“不符合”。 6.5.3.3　 交付程序 a) 評估要求 1) 開發(fā)者行為元素： ¨ 開發(fā)者應將把TOE或其部分交付給消費者的程序文檔化； ¨ 開發(fā)者應使用交付程序。 2) 內(nèi)容和形式元素： ¨ 交付文檔應描述，在向消費者分發(fā)TOE版本時，用以維護安全性所必需的所有程序。 b) 評估方法 1) 評估者應確認所提供的信息滿足證據(jù)的內(nèi)容和形式的所有要求。 c) 結(jié)果判定 1) 開發(fā)者提供了交付文檔； 2) 開發(fā)者提供的交付文檔和使用交付文檔的證據(jù)滿足證據(jù)的內(nèi)容和形式的所有要求。 1）—2）項均滿足的為“符合”；其他情況為“不符合”。 6.5.4　 測試 6.5.4.1　 覆蓋證據(jù) a) 評估要求 1) 開發(fā)者行為元素： ¨ 開發(fā)者應提供測試覆蓋的證據(jù)。 2) 內(nèi)容和形式元素： ¨ 測試覆蓋的證據(jù)應表明測試文檔中的測試與功能規(guī)范中的TSF接口之間的對應性。 b) 評估方法 1) 評估者應確認所提供的信息滿足證據(jù)的內(nèi)容和形式的所有要求。 c) 結(jié)果判定 1) 開發(fā)者提供了測試覆蓋的相關證據(jù)； 2) 測試覆蓋的相關證據(jù)的內(nèi)容滿足要求。 1）—2）項均滿足的為“符合”；其他情況為“不符合”。 6.5.4.2　 功能測試 a) 評估要求 1) 開發(fā)者行為元素： ¨ 開發(fā)者應測試TSF，并文檔化測試結(jié)果； ¨ 開發(fā)者應提供測試文檔。 2) 內(nèi)容和形式元素： ¨ 測試文檔應包括測試計劃、預期的測試結(jié)果和實際的測試結(jié)果； ¨ 測試計劃應標識要執(zhí)行的測試并描述執(zhí)行每個測試的方案，這些方案應包括對于其他測試結(jié)果的任何順序依賴性； ¨ 預期的測試結(jié)果應指出測試成功執(zhí)行后的預期輸出； ¨ 實際的測試結(jié)果應與預期的測試結(jié)果一致。 b) 評估方法 1) 評估者應確認所提供的信息滿足證據(jù)的內(nèi)容和形式的所有要求。 c) 結(jié)果判定 1) 開發(fā)者提供了測試文檔； 2) 開發(fā)者提供的測試文檔的內(nèi)容滿足證據(jù)的內(nèi)容和形式的所有要求。 1）—2）項均滿足的為“符合”；其他情況為“不符合”。 6.5.4.3　 獨立測試-抽樣 a) 評估要求 1) 開發(fā)者行為元素： ¨ 開發(fā)者應提供用于測試的TOE。 2) 內(nèi)容和形式元素： ¨ TOE應適合測試； ¨ 開發(fā)者應提供一組與開發(fā)者TSF功能測試中同等的一系列資源。 b) 評估方法 1) 評估者應確認所提供的信息滿足證據(jù)的內(nèi)容和形式的所有要求； 2) 評估者應執(zhí)行測試文檔中的測試樣本，以驗證開發(fā)者的測試結(jié)果； 3) 評估者應測試TSF的一個子集以確認TSF按照規(guī)定運行。 c) 結(jié)果判定 1) 開發(fā)者提供的產(chǎn)品適合測試； 2) 開發(fā)者為產(chǎn)品測試提供了必要的資源； 3) 通過執(zhí)行測試文檔中的測試樣本，開發(fā)者測試文檔中的測試結(jié)果正確； 4) TSF能夠按照規(guī)定運行。 1）—4）項均滿足的為“符合”；其他情況為“不符合”。 6.5.5　 脆弱性評定 6.5.5.1　 脆弱性分析 a) 評估要求 1) 開發(fā)者行為元素： ¨ 開發(fā)者應提供用于測試的TOE。 2) 內(nèi)容和形式元素： ¨ TOE應適合測試。 b) 評估方法 1) 評估者應確認所提供的信息滿足證據(jù)的內(nèi)容和形式的所有要求； 2) 評估者應執(zhí)行公共領域的調(diào)查以標識TOE的潛在脆弱性； 3) 評估者應基于已標識的潛在脆弱性實施穿透性測試，判定TOE能抵抗具有基本攻擊潛力的攻擊者的攻擊。 c) 結(jié)果判定 1) 開發(fā)者提供了適合測試的產(chǎn)品； 2) 通過實施的穿透性測試確認TOE能夠抵抗具有基本攻擊潛力的攻擊者的攻擊。 1）—2）項均滿足的為“符合”；其他情況為“不符合”。 _________________________________ 25