ICS35040

L80.

中華人民共和國國家標(biāo)準(zhǔn)

GB/T20278—2013

代替

GB/T20278—2006

信息安全技術(shù)

網(wǎng)絡(luò)脆弱性掃描產(chǎn)品安全技術(shù)要求

Informationsecuritytechnology—

Securitytechnicalrequirementsfornetworkvulnerabilityscanners

2013-12-31發(fā)布2014-07-15實(shí)施

中華人民共和國國家質(zhì)量監(jiān)督檢驗(yàn)檢疫總局發(fā)布

中國國家標(biāo)準(zhǔn)化管理委員會(huì)

GB/T20278—2013

目次

前言

…………………………Ⅰ

范圍

1………………………1

規(guī)范性引用文件

2…………………………1

術(shù)語和定義

3………………1

縮略語

4……………………1

網(wǎng)絡(luò)脆弱性掃描產(chǎn)品等級(jí)劃分

5…………2

等級(jí)劃分說明

5.1………………………2

等級(jí)劃分

5.2……………2

使用環(huán)境

6…………………6

基本級(jí)安全技術(shù)要求

7……………………6

安全功能要求

7.1………………………6

自身安全要求

7.2………………………10

安全保證要求

7.3………………………12

增強(qiáng)級(jí)安全技術(shù)要求

8……………………14

安全功能要求

8.1………………………14

自身安全要求

8.2………………………19

安全保證要求

8.3………………………21

GB/T20278—2013

前言

本標(biāo)準(zhǔn)按照給出的規(guī)則起草

GB/T1.1—2009。

本標(biāo)準(zhǔn)代替信息安全技術(shù)網(wǎng)絡(luò)脆弱性掃描產(chǎn)品技術(shù)要求本標(biāo)準(zhǔn)與

GB/T20278—2006《》,

的主要差異如下

GB/T20278—2006:

標(biāo)準(zhǔn)名稱修改為信息安全技術(shù)網(wǎng)絡(luò)脆弱性掃描產(chǎn)品安全技術(shù)要求

———《》;

修改了網(wǎng)絡(luò)脆弱性掃描的定義見

———“”(3.3);

刪除了服務(wù)的脆弱性見版的

———“NIS”(20067.3.1.8);

刪除了數(shù)據(jù)庫脆弱性見版的

———“”(20067.3.1.18);

刪除了端口見版的

———“RPC”(20067.3.4.1);

刪除了服務(wù)見版的

———“NT”(20067.3.4.5);

刪除了報(bào)警功能見版的

———“”(20067.4.4.1);

刪除了安裝與操作控制見版的

———“”(20067.5);

刪除了與產(chǎn)品的互動(dòng)與防火墻產(chǎn)品的互動(dòng)與其他應(yīng)用程序之間的互動(dòng)見

———“IDS”“”“”(2006

版的和

7.7.4.2、7.7.4.3、7.7.4.48);

刪除了性能要求

———“”;

新增了在產(chǎn)品升級(jí)過程中升級(jí)安全措施要求

———;

新增了掃描結(jié)果的比對(duì)分析功能

———;

在產(chǎn)品自身安全要求中新增了鑒別數(shù)據(jù)保護(hù)鑒別失敗處理超時(shí)鎖定或注銷遠(yuǎn)程管理等

———、、、

功能

;

調(diào)整了標(biāo)準(zhǔn)的整體結(jié)構(gòu)按照產(chǎn)品安全功能要求自身安全要求和安全保證要求三部分描述

———,、,

同時(shí)細(xì)化了產(chǎn)品自身安全的要求項(xiàng)明確了審計(jì)功能要求的內(nèi)容

,,。

本標(biāo)準(zhǔn)由全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)提出并歸口

(SAC/TC260)。

本文件某些內(nèi)容可能涉及專利本文件的發(fā)布機(jī)構(gòu)不承擔(dān)識(shí)別這些專利的責(zé)任

,。

本標(biāo)準(zhǔn)起草單位公安部計(jì)算機(jī)信息系統(tǒng)安全產(chǎn)品質(zhì)量監(jiān)督檢驗(yàn)中心啟明星辰信息技術(shù)有限公

:、

司北京中科網(wǎng)威信息技術(shù)有限公司

、。

本標(biāo)準(zhǔn)主要起草人顧建新陸臻俞優(yōu)顧健趙婷王志佳王紅虹明旭

:、、、、、、、。

Ⅰ

GB/T20278—2013

信息安全技術(shù)

網(wǎng)絡(luò)脆弱性掃描產(chǎn)品安全技術(shù)要求

1范圍

本標(biāo)準(zhǔn)規(guī)定了網(wǎng)絡(luò)脆弱性掃描產(chǎn)品的安全功能要求自身安全要求和安全保證要求并根據(jù)安全技

、,

術(shù)要求的不同對(duì)網(wǎng)絡(luò)脆弱性掃描產(chǎn)品進(jìn)行了分級(jí)

。

本標(biāo)準(zhǔn)適用于網(wǎng)絡(luò)脆弱性掃描產(chǎn)品的研制生產(chǎn)和檢測(cè)

、。

2規(guī)范性引用文件

下列文件對(duì)于本文件的應(yīng)用是必不可少的凡是注日期的引用文件僅注日期的版本適用于本文

。,

件凡是不注日期的引用文件其最新版本包括所有的修改單適用于本文件

。,()。

計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則

GB17859—1999

信息技術(shù)信息技術(shù)安全性評(píng)估準(zhǔn)則第部分安全保證要求

GB/T18336.3—20083:

信息安全技術(shù)術(shù)語

GB/T25069—2010

3術(shù)語和定義

和中界定的以及下列術(shù)語和定義適用于本文件

GB17859—1999GB/T25069—2010。

31

.

掃描scan

使用技術(shù)工具對(duì)目標(biāo)系統(tǒng)進(jìn)行探測(cè)查找目標(biāo)系統(tǒng)中存在的安全隱患的過程

,。

32

.

脆弱性vulnerability

網(wǎng)絡(luò)系統(tǒng)中可能被利用并造成危害的弱點(diǎn)