GB∕T 37096-2018 信息安全技术 办公信息系统安全测试规范.pdf

所需积分/C币:50 2019-09-28 16:56:57 1.1MB PDF
66
收藏 收藏
举报

GB∕T 37096-2018 信息安全技术 办公信息系统安全测试规范
GB/T37096-2018 目次 前言 Ⅲ 引言… 1范围……… 香非 ·非中 2规范性引用文件 3术语和定义……………… 4缩略语 5物理环境测试 6基础硬件产品测试……… 甲···中·,·,曹·中中,·中鲁中,·,·鲁兽·曹·鲁,曹,中· "··········:··········!·········? 6.1服务器…………………………………………………………………………………2 6.2桌面PC ···················?····,···········「···············!····· 7基础软件产品测试……………… ·中···+···“·······“·····“···:··““···“···中 7.1操作系统 香鲁 7.2数据库管理系统………………………………………………… 7,3应用服务器中间件… 7.4办公轶件……………………………………………………………………………………………7 8网络设施测试… 8.1网络设备…………… ……………………………………………………8 8.2安全设备………………………………………………………………………………………9 9应用软件系统测试… 9.1功能性………………………………………………………………………………………………………9 9.2安全性 ,中b看垂看香垂 10 9.3可靠性 维非自道自曲1靠自自自自日自“t自自自非自自自自自曲自翻B自自自自自自自非“自非着自量曲自靠国自自自康 11 9.4易用性… …………11 GB/T37096-2018 前言 本标准按照GB/T1.1—2009给出的规则起草 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。 本标准由全国信息安全标准化技术委员会(SAC/TC260)提出并归口。 本标准主要起草单位:中国电子技术标准化硏究院、工业和信息化部软件与集成电路促进中心、深 圳赛西信息技术有限公司、工业和信息化部电子第五研究所、北京赛西科技发展有限公司、西安电子科 技大学、北京工业大学。 本标准主要起草人:姚相振刘贤刚.范科峰、高林、杨建军、唐一鸿、毕思文、叶润国、许东阳.龚洁屮、 孙康健、刘庀庚、刘帅、莉、李云婷、裴庆祺、杨震 GB/T37096-2018 引 本标准是与GB/T37095—2018相配套的测试标准,用以指导测试人员对办公信息系统安全进行 测试。 夲标准按照GB/T37095—218关于办公信息系统安全基本技术要求,分别从物理环境、基础硬件 产品、基础软件产品、网络设施和应用软件系统等5个方面规定了办公信息系统安全测试规范 GB/T37096-2018 信息安全技术 办公信息系统安全测试规范 范围 夲标准规定了办公信息系统的物理环境测试、基础硬件产品测试、基础软件产品测试、网络设施测 试以及应用软件系统测试的规范。 本标准适用于指导党政部门的办公信息系统建设,包括系统设计、产品采购、系统集成等,涉密办公 信息系统建设管理依据相关国家保密法规和标准要求实施 2规范性引用文件 下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件,仅注日期的版本适用于本文 件。凡是不注日期的引用文件,其最新版本(包括所有的修改单适用于本文件。 GB/T28872011计算机场地通用规范 GB/T18018信息安全技术路由器安全技术要求 GB18030—2005信息技术中文编码字符集 GB/T20272信息安全技术操作系统安全技术要求 GB/T20273信息安全技术数据库管理系统安全技术要求 GB/T202752013信息安全技术网络入侵检测系统技术要求和测试评价方法 GB/T20281—2015信息安全技术防火墙技术要求和测试评价方法 GB/T21028—2007信息安全技术服务器安全技术要求 GB/T21050-—2007信息安全技术网络交换机安全技术要求(评估保证级3) GB/T21052—2007信息安全技术信息系统物理安全技术要求 GB/T250692010信息安全技术术语 GB/T268562011中文办公软件基础要求及符合性测试规范 GB/T28452—2012信息安全技术应用软件系统通用安仝技术要求 GB/T29240—2012信息安全技术终端计算机通用安全技术要求与测试评价方法 GB/T33190—2016电子文件存储与交换格式版式文档 GB/T37095—2018信息安全技术办公信息系统安全基本技术要求 3术语和定义 GB/T250692010和GB/T37095—2018界定的术语和定义适用于本文件 4縮略语 下列缩略语适用于本文件。 BlOS:基本输入输出系统( Basic Input Output System) GB/T37096-2018 CA:认证授权( Certificate authority) CPU:中央处理器( Central Processing Unit IP:网际协议( Internet protocol PC:个人计算机( Personal Computer) 5物理环境测试 5.1测试内容 测试办公信息系统部署、运维的物理环境中机房的建设是否符合GB/T2887-2011的要求、物理 环境是否符合GB/T210522007的要求 5.2测试方法 物理环境测试方法应按表1执行 表1物理环境测试方法 序号 测试项 测试方法 用户在中国大陆境内的办公信息系统部署、运维、 检查其应用服务器、运维服务器、数据库服务器是否 位于中国大偌境内,并提供证明材料。政府驻外机构 数据备份的物理位置应位于中国大陆境内 依据相关部门要求执行 办公信息系统部署、运维的机房建设对于 检查满足GBT2887-2011的证明材料 GB/T28872011的标准符合性测试 办公信息系统鄯署、运维的物理环境对于 检查满足GBT210522007的证明材料 GB/T21052-2007的标准符合性测试 6基础硬件产品测试 6.1服务器 6.1.1测试内容 测试办公信息系统所采用的服务器硬件产品的硬件指标、BIOS基本功能 6.1.2测试方法 服务器测试方法应按表2执行 表2服务器测试方法 序号 测试项 测试方法 检查服务器硬件指标是否符合GB/T210282007检查服务器硬仁产品符合GB/T21028200中第三 屮第三级及以上安全要求 级及以上安全要求的证明材料 2测试BOS的中文显示能力 检查BIOS具有中文显示能力且内容正确 GB/T37096-2018 表2(续) 序号 测试项 测试方法 通过BIOS自动检测升级工具,检查BIOS固件版本信 息及其对旧版本的更新能力,包括:安全度量、安全恢 测试BIOS支持固件软件安全升级的能力 复、安全认证、安全引导、数据加密、配置管理等安全 功能的相关测试 针对CPU及芯片组固件驱动、操作系统内核等,测试系统启动加载过程必须与底层BOS的安全验证 4Bs应支持上述设备经过国家认可的第三方CA接口进行基于证书的认证,经BOS验证通过后系统 机构颁发的代码签名验证 方可启动引导加载过程 62桌面PC 62.1测试内容 测试办公信息系统所采用的桌面PC硬件产品的硬件指标、BIOS基本功能以及厂商所提供的技术 资料的完整性。 62.2测试方法 桌面PC测试方法应按表3执行。 表3桌面PC测试方法 「序号 测试项 测试方法 检查桌面PC硬件指标是否符合GB/T29240检查桌面PC硬件产品符合GB/T292402012中安 2012中安全技术要求第三级及以上要求 全技术要求第三级及以上要求的证明材料 测试提供禁止无线网络模块红外模块、蓝牙模块、测试禁止无线网络模块、红外模块、蓝牙模块、USB设 USB设备功能 备功能是否正常 3测试BOS的中文显示能力 检查BOS是否具有中文显示能力 通过BIOS自动检测升级工具,检查BIOS固件版本信 4测试BOS支持固件软件升级的能力 息及其对旧版本的更新能力,包括:安全度量、安全恢 复、安仝认证、安仝引导、数据加密、配置管理等安全 功能的相关测试 针对CPU及芯片组固件驱动、操作系统内核等,测试系统肩动加载过程必须与底层BOS的安全验证 HOS应支持上述设备绘过国家认可的第三方CA接口进行基于证书的认证,经BOS验证通过后系统 机构颁发的代码签名验证 方可启动引导加载过程 7基础软件产品测试 7.1操作系统 7.1.1测试内容 测试办公信息系统所釆用的操作系统的功能、认证机制、安全性以及厂商所提供的技术资料的完 整性。 GB/T37096-2018 7.1.2测试方法 操作系统测试方法应按表4执行。 表4操作系统测试方法 序号 测试项 测试方法 检查操作系统的宇符编码是否符合GB18030- 检査符合GB18030—2005的证明材料 2005的要求 检查操作系统及操作系统相关的安全部件是否符检查操作系统及操作系统相关的安全部件符合 合GB/T20272中的三级发以上要求 B/T20272中的三级及以上要求的证明材料 测试查看文件系统信息,包含扃速缓仔买大小,文件 系统使用过程事件记录,测试文件系统具有记录事件 的日志系统和基于页的高速缓存能力 测试访问控制结构,测试文件系统完整性检查工具 通过桌面程序或终端程序测试重要的文件和目录发 生的改变事件是否能够被正确监视,并记录到系统日 志中 测试能够依据网络上传输的每个IP包所含的源地址、 日的地址、端口以及包形态等信息,对包进行过滤,控 测试是否攴持操作系统防火墙配置工具 制封包的流通与否 测试能够控操作系统防火墙网络接口,设定允许进 出网络接口的条件以防止网络入侵 测试至少支持以下2种或2种以上的认证机制: 測试操作系统对用户口令进行强化管理,如对用户名 和口令进行分开管理,实现强化管理的口令鉴别 5测试是否支持多种认证机制 测试操作系统能够采用动态口令鉴别机制,如动态 测试操作系统能够使用生物特征鉴别方式,如指纹、 虹膜、人脸等生物特征 测试操作系统提供数字证书鉴别机制,如 USB Key 测试系统启动加载过程应与底层BIOS的安仝验证接 6测试是否支持底层BOs的安全验证陵启动 口进行基于证书的认证,经BOS验证通过后系统方 可启动引导加载过程 通过模拟安装不带有有效证书签名的软件和固件组 测试操作系统不应自行安装不带有有效证书签名 的软件和固件组件 件的测试,验证系统对于不带有有效证书签名的软件 和固件组件的安装策略的有效性、完备性 验证操作系统是否支持管理员手动创建、修改、配置、 测试是否建立策略来管理软件的安装防止未授权/除组策略,通过组策略命令行工具,检测面向特定 用户或计算机策咯设置的有效性.设置新的散列规则 软件安装 或修改旧的散列规则,检测其是否能阻止未擾权软件 的安装

...展开详情
试读 20P GB∕T 37096-2018 信息安全技术 办公信息系统安全测试规范.pdf
立即下载 身份认证VIP会员低至7折
一个资源只可评论一次,评论内容不能少于5个字
您会向同学/朋友/同事推荐我们的CSDN下载吗?
谢谢参与!您的真实评价是我们改进的动力~
  • 签到新秀

关注 私信
上传资源赚钱or赚积分
最新推荐
GB∕T 37096-2018 信息安全技术 办公信息系统安全测试规范.pdf 50积分/C币 立即下载
1/20
GB∕T 37096-2018 信息安全技术 办公信息系统安全测试规范.pdf第1页
GB∕T 37096-2018 信息安全技术 办公信息系统安全测试规范.pdf第2页
GB∕T 37096-2018 信息安全技术 办公信息系统安全测试规范.pdf第3页
GB∕T 37096-2018 信息安全技术 办公信息系统安全测试规范.pdf第4页

试读结束, 可继续读2页

50积分/C币 立即下载