犐犆犛３５．０４０

犃９０

中華人民共和國公共安全行業(yè)標準

犌犃／犜６８３—２００７

信息安全技術

防火墻安全技術要求

犐狀犳狅狉犿犪狋犻狅狀狊犲犮狌狉犻狋狔狋犲犮犺狀狅犾狅犵狔—

犜犲犮犺狀犻犮犪犾狉犲狇狌犻狉犲犿犲狀狋狊犳狅狉犳犻狉犲狑犪犾犾狊犲犮狌狉犻狋狔

２００７０３２０發(fā)布２００７０５０１實施

中華人民共和國公安部發(fā)布

書

犌犃／犜６８３—２００７

目次

前言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅴ

引言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅵ

１范圍!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

２規(guī)范性引用文件!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

３術語、定義和縮略語!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

３．１術語和定義!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

３．２縮略語!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

４第一級安全要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

４．１安全功能要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

４．１．１防火墻自身自主訪問控制!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

４．１．２身份鑒別!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

４．１．３安全管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

４．１．４訪問控制功能!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

４．１．５網(wǎng)絡地址轉換（ＮＡＴ）功能!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

４．１．６策略路由!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

４．１．７流量統(tǒng)計!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

４．１．８報表!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

４．２安全保證要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

４．２．１配置管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

４．２．２交付和運行!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

４．２．３開發(fā)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

４．２．４指導性文檔!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

４．２．５生命周期支持!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

４．２．６測試!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５第二級安全要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．１安全功能要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．１．１防火墻自身自主訪問控制!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．１．２身份鑒別!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．１．３安全管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．１．４訪問控制功能!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

５．１．５審計!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

５．１．６網(wǎng)絡地址轉換（ＮＡＴ）功能!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

５．１．７策略路由!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

５．１．８流量統(tǒng)計!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

５．１．９帶寬管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

５．１．１０報表!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

５．１．１１抗攻擊功能!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

Ⅰ

書

犌犃／犜６８３—２００７

５．１．１２動態(tài)開放端口!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

５．１．１３可靠性!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

５．２安全保證要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

５．２．１配置管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

５．２．２交付和運行!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

５．２．３開發(fā)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

５．２．４指導性文檔!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

５．２．５生命周期支持!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

５．２．６測試!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

５．２．７脆弱性評定!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

６第三級安全要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

６．１安全功能要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

６．１．１防火墻自身自主訪問控制!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

６．１．２身份鑒別!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

６．１．３安全管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

６．１．４訪問控制功能!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

６．１．５標記!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

６．１．６審計!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

６．１．７簡單網(wǎng)絡管理協(xié)議（ＳＮＭＰ）的保護!!!!!!!!!!!!!!!!!!!!!!!!１０

６．１．８網(wǎng)絡地址轉換（ＮＡＴ）功能!!!!!!!!!!!!!!!!!!!!!!!!!!!１０

６．１．９策略路由!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１０

６．１．１０流量統(tǒng)計!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１０

６．１．１１帶寬管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１０

６．１．１２報表!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

６．１．１３抗攻擊功能!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

６．１．１４非正常關機!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

６．１．１５動態(tài)開放端口!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

６．１．１６可靠性!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

６．２安全保證要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

６．２．１配置管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

６．２．２交付和運行!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１２

６．２．３開發(fā)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１２

６．２．４指導性文檔!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１２

６．２．５生命周期支持!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１２

６．２．６測試!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１３

６．２．７脆弱性評定!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１３

７附加安全功能!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１３

７．１虛擬專用網(wǎng)（ＶＰＮ）功能!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１３

７．２與ＩＤＳ聯(lián)動功能!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１３

７．３防病毒網(wǎng)關功能!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１３

７．４反垃圾郵件功能!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１４

Ⅱ

犌犃／犜６８３—２００７

附錄Ａ（資料性附錄）安全要求對照表!!!!!!!!!!!!!!!!!!!!!!!!!１５

Ａ．１組成與相互關系!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１５

Ａ．２防火墻安全等級的劃分!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１５

Ａ．３附加安全功能!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１６

參考文獻!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

Ⅲ

犌犃／犜６８３—２００７

前言

本標準是從信息技術方面詳細規(guī)定了各安全保護級別的防火墻所應具有的安全功能要求和安全保

證要求。

本標準中附錄Ａ為資料性附錄。

本標準由公安部公共信息網(wǎng)絡安全監(jiān)察局提出。

本標準由公安部信息系統(tǒng)安全標準化技術委員會歸口。

本標準起草單位：中國科學院研究生院信息安全國家重點實驗室。

本標準主要起草人：戴英俠、何申、左曉棟。

Ⅴ

犌犃／犜６８３—２００７

引言

防火墻是重要的網(wǎng)絡邊界保護設備，制定公共安全行業(yè)防火墻安全技術要求對于指導防火墻產(chǎn)品

的研發(fā)、采購和部署，保障公共安全行業(yè)網(wǎng)絡安全具有重要的意義。

本標準對公共安全行業(yè)使用的防火墻提出了分等級的安全技術要求。

本標準僅對一到三級安全保護等級做了技術要求，與ＧＢ１７８５９—１９９９《計算機信息系統(tǒng)安全保

護等級劃分準則》的對應關系是，第一級對應用戶自主保護級，第二級對應系統(tǒng)審計保護級，第三級對應

安全標記保護級。

本標準文本中，加粗字體表示較低等級中沒有出現(xiàn)或增強的技術要求。

Ⅵ

犌犃／犜６８３—２００７

信息安全技術