信息安全技术 网络基础安全技术要求
信息安全技术 网络基础安全技术要求
信息安全技术网络基础安全技术要求在当今数字化的时代，网络已经成为了我们生活和工作中不可或缺的一部分。
然而，随着网络的普及和应用的不断拓展，网络安全问题也日益凸显。
信息安全技术中的网络基础安全技术要求成为了保障网络安全的关键。
网络基础安全技术要求涵盖了多个方面，首先是访问控制。
访问控制就像是网络世界的门禁系统，它决定了谁能够进入特定的网络区域，以及他们在其中能够做什么。
通过设置合理的访问权限，比如用户认证、授权和访问策略，可以有效地防止未经授权的人员访问敏感信息或执行关键操作。
这就好比一个公司的办公室，只有拥有工作证的员工才能进入特定的区域，并且根据其职位和职责被赋予相应的权限。
其次，密码技术也是网络基础安全技术的重要组成部分。
密码就像是一把钥匙，用于保护信息的机密性、完整性和可用性。
我们在网络上传输的各种数据，如银行账号、个人隐私信息等，都需要通过加密来防止被窃取或篡改。
而且，密码的强度和管理也非常重要。
一个简单易猜的密码就如同虚掩的房门，很容易被攻破。
因此，我们要使用复杂且独特的密码，并定期更换，以增强安全性。
另外，网络安全审计也不可或缺。
它就像是一个网络世界的监控摄像头，记录着网络中的活动。
通过对网络活动的审计，可以及时发现异常行为和潜在的安全威胁。
比如，突然出现大量来自未知来源的登录尝试，或者某个用户在非工作时间进行了异常的操作。
这些审计记录可以为后续的调查和处理提供重要的依据。
防火墙技术在网络基础安全中也起着关键作用。
防火墙就像是网络的城墙，阻挡着来自外部的非法访问和攻击。
它可以根据预设的规则，对网络流量进行筛选和过滤，只允许合法的流量通过。
同时，防火墙还能够防止内部网络的信息泄露到外部。
除了上述技术，入侵检测与防御系统也是保障网络安全的重要手段。
入侵检测系统能够实时监测网络中的活动，一旦发现可疑的入侵行为，立即发出警报。
而入侵防御系统则不仅能够检测入侵，还能够主动采取措施阻止入侵行为，将威胁扼杀在摇篮里。
信息安全技术 网络安全等级保护基本要求 第3部分：移动互联安全扩展要求
GA/T 1390.3—2017
前言
GA/T 1390《信息安全技术 网络安全等级保护基本要求》已经或计划发布以下部分： ——第1部分：安全通用要求； ——第2部分：云计算安全扩展要求； ——第3部分：移动互联安全扩展要求； ——第4部分：物联网安全扩展要求； ——第5部分：工业控制安全扩展要求； ——第6部分：大数据安全扩展要求。 本部分是GA/T 1390的第3部分。 本部分按照GB/T 1.1-2009给出的规范起草。 本部分由公安部网络安全保卫局提出。 本部分由公安部信息系统安全标准化技术委员会提出并归口。 本部分起草单位：北京鼎普科技股份有限公司、公安部第三研究所、北京工业大学、工业控制系统 信息安全技术国家工程实验室。 本部分主要起草人：王江波、于晴、张宗喜、任卫红、于东升、赵勇、杜静、周颖、谢朝海。
9 第四级安全要求 ..................................................................... 17 9.1 技术要求........................................................................ 17 9.1.1 物理和环境安全 ............................................................. 17 9.1.2 网络和通信安全 ............................................................. 17 9.1.3 设备和计算安全 ............................................................. 18 9.1.4 应用和数据安全 ............................................................. 19 9.2 管理要求........................................................................ 20 9.2.1 安全策略和管理制度 ......................................................... 20 9.2.2 安全管理机构和人员 ......................................................... 20 9.2.3 安全建设管理 ............................................................... 21 9.2.4 安全运维管理 ............................................................... 22
《信息安全技术网络安全等级保护基本要求》
《信息安全技术网络安全等级保护基本要
求》。
《信息安全技术网络安全等级保护基本要求》是国家信息安全技术标准的核心文件之一，也是实施网络安全等级保护的基础性依据。
它规定了建立和完善网络安全等级保护体系的相关要求，以及我国实施网络安全等级保护的组织、责任、管理等基本要求，为保护网络安全提供了重要指导。
《信息安全技术网络安全等级保护基本要求》提出，要求建立和完善网络安全等级保护体系，建立有效的网络安全等级保护管理体系，实施网络安全等级保护，以及定期对网络安全等级保护体系进行检查和评价，以有效控制网络安全风险。
要求实施网络安全等级保护的组织，完善和落实网络安全等级保护的管理制度、制定规章制度，建立网络安全风险评估机制，落实网络安全等级保护的实施责任，建立网络安全等级保护培训机制，建立网络安全等级保护的检查机制，以及建立和完善网络安全等级保护的考核机制等。
《信息安全技术网络安全等级保护基本要求》还提出了网络安全等级保护体系的实施要求，即网络安全等级保护体系的实施必须遵循安全可靠、实用性强、易于实施和管理的原则，必须依据网络安全风险评估结果，采取有效的安全措施，确保网络安全等级保护体系的正确性。
《信息安全技术网络安全等级保护基本要求》是实施网络安全等级保护的重要依据，它提出了建立和完善网络安全等级保护体系的要求，以及实施网络安全等级保护的组织、责任、管理等基本要求，并且提出了实施网络安全等级保护的实施要求，为保护网络安全提供了重要的指导。
希望各方加强网络安全等级保护工作，共同为保护网络安全作出贡献。
信息安全技术 关键信息基础设施安全保护要求
信息安全技术关键信息基础设施安全保护要求1. 引言1.1 概述在数字化时代，信息安全问题日益突出，特别是对于关键信息基础设施的保护要求更加迫切。
关键信息基础设施包括电力、交通、通信等重要领域的核心系统和网络。
这些系统和网络的安全性直接关系到国家经济发展、社会稳定以及人民生活的正常运行。
本文将深入探讨关键信息基础设施安全保护的要求，并分析了其重要性和面临的威胁。
同时，将介绍一些可行的安全保护措施和技术解决方案，以帮助各个部门、企事业单位提升关键信息基础设施的安全性。
1.2 文章结构本文分为五个部分进行论述。
首先，在引言部分概述了文章所涉及的问题，并说明了文章结构。
接下来，将详细介绍关键信息基础设施安全保护的要求，包括定义关键信息基础设施、重要性和威胁、以及相应的安全保护要求。
随后，在第三部分中探讨了信息安全技术在解决这些问题上所起到的作用，并分析了关键挑战和难点。
为了提供实用的解决方案，本文还将推荐一些解决方案和措施。
第四部分将重点介绍实施关键信息基础设施安全保护的重要策略和方法。
具体而言，我们将讨论制定完善的安全政策和管理体系、建立强大的身份认证与访问控制机制以及加强网络和系统防护措施。
最后，在结论部分对本文进行总结，并提出未来研究方向和发展趋势。
1.3 目的本文旨在提高人们对于关键信息基础设施安全保护问题的认识，并向相关领域提供一些建议性的措施和技术方案，以应对日益增长的威胁和风险。
通过深入理解关键信息基础设施的定义、重要性和面临的挑战，我们可以更好地保护这些关键系统与网络，确保其稳定运行，并为未来发展提供良好的环境。
2. 关键信息基础设施安全保护要求：2.1 定义关键信息基础设施：关键信息基础设施（Critical Information Infrastructure，CII）是指在国家中具有重要性和战略意义的信息系统、网络以及其他相关设施。
这些基础设施涉及能源、交通、金融、通信等领域，一旦遭到破坏或失效，将对国家的经济、社会和国防安全产生严重影响。
信息安全技术网络基础安全技术要求
信息安全技术网络基础安全技术要求
1、介绍
1.1 目的：本文档旨在指导组织建立和维护网络基础安全技术，保障信息系统的安全性。
1.2 背景：随着信息技术的快速发展，网络基础安全技术对于保护信息的机密性、完整性和可用性变得越来越重要。
2、网络防火墙要求
2.1 防火墙规则管理
2.2 防火墙配置备份
2.3 防火墙日志记录与分析
3、网络入侵检测与防御要求
3.1 入侵检测系统
3.1.1 硬件和软件要求
3.1.2 规则配置和管理
3.1.3 入侵检测日志记录与分析
3.2 入侵防御系统
3.2.1 威胁情报收集
3.2.2 弱点扫描与漏洞修复
4、网络访问控制要求
4.1 基于角色的访问控制
4.1.1 用户管理
4.1.2 角色定义和授权
4.1.3 口令策略和安全教育
4.2 安全策略与网络访问控制列表
5、网络设备安全配置要求
5.1 路由器安全配置
5.2 交换机安全配置
5.3 无线网络安全配置
6、网络安全监测与响应要求
6.1 安全事件监测
6.1.1 安全事件日志记录和分析 6.1.2 安全事件响应与处置
6.2 应急处置计划
6.2.1 应急响应流程和责任分工
6.2.2 系统备份和恢复
7、附件
本文档涉及的附件详见附件部分。
8、法律名词及注释
本文档涉及的法律名词及对应的注释详见附件中的法律名词及注释部分。
请注意，这个文档范本仅供参考，具体的内容和章节可以根据实际需求进行调整和补充。
同时，附件内容和法律名词的注释需要根据所涉及组织和地区的具体情况进行定制和补充。
7、信息安全标准组织及相关标准
1、信息安全标准组织简介国际组织国际上信息安全标准化工作兴起于20世纪70年代中期，80年代有了较快的发展，90年代引起了世界各国的普遍关注。
目前世界上有近300个国际和区域性组织制定标准或技术规则，与信息安全标准化有关的组织主要有以下4个：国内组织国内的安全标准组织主要有信息技术安全标准化技术委员会(CITS)以及中国通信标准化协会(CCSA)下辖的网络与信息安全技术工作委员会。
2、IETF PKIX (“PKI 使用X.509”)标准PKI on X.509:包含一系列协议，主要定义基于X.509的PKI模型框架，定义X.509证书在Internet上的使用。
包括证书的生成、发布和获取，各种产生和分发密钥的机制，以及怎样实现这些协议的轮廓结构等。
制订基于X.509的PKI标准支持各种应用，包括Web、email、IPSec等，已提交10多个RFC文档，含盖PKI的方方面面。
具体见/html.charters/pkix-charter.html。
PKIX标准清单标准草案Internet X.509公开密钥基础设施时间戳协议（TSP）Internet X.509公开密钥基础设施Internet X.509公开密钥基础设施身份验证用Internet属性证书结构Internet X.509公开密钥基础设施操作协议-LDAPv3简单证书有效性协议Internet X.509公开密钥基础设施证书和CRL结构Internet X.509公开密钥基础设施抗抵赖服务的技术要求Internet X.509公开密钥基础设施证书管理协议Internet X.509公开密钥基础设施永久识别符CMP传输协议Internet X.509公开密钥基础设施PKI和PMI的附加LDAP构架Internet X.509公开密钥基础设施证书和CRL算法和标识符授权路径有效性在线证书状态协议第2版在线证书状态协议PostScript版OCSP授权路径的发现Internet X.509公开密钥基础设施证书请求报文格式（CRMF）PKIX用户组名和通用名类型Internet X.509公开密钥基础设施扮演证书结构CMS的证书管理报文RFC标准Internet X.509公开密钥基础设施证书和CRL结构（RFC 2459）Internet X.509公开密钥基础设施证书管理协议（RFC 2510）Internet X.509证书请求报文格式（RFC 2511）Internet X.509公开密钥基础设施证书策略和证书作业框架（RFC 2527）Internet X.509公开密钥基础设施密钥交换算法表述（RFC 2528）Internet X.509公开密钥基础设施操作协议LDAPv2（RFC 2559）Internet X.509公开密钥基础设施操作协议FTP和HTTP（RFC 2585）Internet X.509公开密钥基础设施LDAPv2构架（RFC 2587）Internet X.509公开密钥基础设施在线证书状态协议OCSP（RFC 2560）CMS的证书管理报文（RFC 2797）Diffie-Hellman Proof-of-Possession 算法（RFC 2875）Internet X.509公开密钥基础设施合格证书结构（RFC 3039）Internet X.509公开密钥基础设施数据有效性和认证服务协议（RFC 3029）3、PKCS系列标准PKCS是由美国RSA数据安全公司及其合作伙伴制定的一组公钥密码学标准，其中包括证书申请、证书更新、证书作废表发布、扩展证书内容以及数字签名、数字信封的格式等方面的一系列相关协议。
信息安全技术 网络安全等级保护大数据基本要求
信息安全技术网络安全等级保护大数据基本要求1 范围本标准规定了网络安全等级保护第一级到第四级大数据等级保护对象的安全保护要求，对第五级大数据等级保护对象的安全要求不在本标准中描述。
本标准适用于指导分等级的非涉密大数据等级保护对象的安全建设和监督管理。
注：第五级大数据等级保护对象是非常重要的监督管理对象，对其有特殊的管理模式和安全要求，所以不在本标准中进行描述。
2 规范性引用文件下列文件对于本文件的应用是必不可少的。
凡是注日期的引用文件，仅所注日期的版本适用于本文件。
凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。
GB/T 22239-2019 信息安全技术网络安全等级保护基本要求GB/T 35274-2017 信息安全技术大数据服务安全能力要求GB/T 35295-2017 信息技术大数据术语GB/T 35589-2017 信息技术大数据技术参考模型3 术语和定义GB/T 22239-2019、GB/T 35274-2017、GB/T 35295-2017界定的以及下列术语和定义适用于本文件。
为了便于使用，以下重复列出了GB/T 35274-2017、GB/T 35295-2017中的某些术语和定义。
3.1大数据 bigdata具有数量巨大、来源多样、生成极快、且多变等特征并且难以用传统数据体系结构有效处理的包含大量数据集的数据。
[GB/T 35295-2017，定义2.1.1]3.2数据生命周期 data lifecycle数据从产生，经过各种生存形态（包括数据采集、数据传输、数据存储、数据处理（如计算、分析、可视化等）、数据交换等），直至数据销毁的演变过程。
[GB/T 35274-2017，定义3.2]4 概述大数据的特征是体量大、种类多、聚合快、价值高，受到破坏、泄露或篡改会对国家安全、社会秩序或公共利益造成影响，大数据安全保护的原则以数据为核心，关注数据全生命周期包括数据采集、数据传输、数据存储、数据处理、数据交换和数据销毁等环节的安全。
信息安全技术 网络基础安全技术要求
GB/T20270-2006信息安全技术网络基础安全技术要求Information security technology—Basis security techniques requirements for network自2006-12-1 起执行目次前言引言1 范围2 规范性引用文件3 术语、定义和缩略语3.1 术语和定义3.2 缩略语4 网络安全组成与相互关系5 网络安全功能基本要求5.1 身份鉴别5.1.1 用户标识5.1.2 用户鉴别5.1.3 用户—主体绑定5.1.4 鉴别失败处理5.2 自主访问控制5.2.1 访问控制策略5.2.2 访问控制功能5.2.3 访问控制范围5.2.4 访问控制粒度5.3 标记5.3.1 主体标记5.3.2 客体标记5.3.3 标记完整性5.3.4 有标记信息的输出5.4 强制访问控制5.4.1 访问控制策略5.4.2 访问控制功能5.4.3 访问控制范围5.4.4 访问控制粒度5.4.5 访问控制环境5.5 数据流控制5.6 安全审计5.6.1 安全审计的响应5.6.2 安全审计数据产生5.6.3 安全审计分析5.6.4 安全审计查阅5.6.5 安全审计事件选择5.6.6 安全审计事件存储5.7 用户数据完整性5.7.1 存储数据的完整性5.7.2 传输数据的完整性5.7.3 处理数据的完整性5.8 用户数据保密性5.8.1 存储数据的保密性5.8.2 传输数据的保密性5.8.3 客体安全重用5.9 可信路径5.10 抗抵赖5.10.1 抗原发抵赖5.10.2 抗接收抵赖5.11 网络安全监控6 网络安全功能分层分级要求6.1 身份鉴别功能6.2 自主访问控制功能6.3 标记功能6.4 强制访问控制功能6.5 数据流控制功能6.6 安全审计功能6.7 用户数据完整性保护功能6.8 用户数据保密性保护功能6.9 可信路径功能6.10 抗抵赖功能6.11 网络安全监控功能7 网络安全技术分级要求7.1 第一级：用户自主保护级7.1.1 第一级安全功能要求7.1.2 第一级安全保证要求7.2 第二级：系统审计保护级7.2.1 第二级安全功能要求7.2.2 第二级安全保证要求7.3 第三级：安全标记保护级7.3.1 第三级安全功能要求7.3.2 第三级安全保证要求7.4 第四级：结构化保护级7.4.1 第四级安全功能要求7.4.2 第四级安全保证要求7.5 第五级：访问验证保护级7.5.1 第五级安全功能要求7.5.2 第五级安全保证要求附录A(资料性附录) 标准概念说明A.1 组成与相互关系A.2 关于网络各层协议主要功能的说明A.3 关于安全保护等级划分A.4 关于主体和客体A.5 关于SSON、SSF、SSP、SFP及其相互关系A.6 关于数据流控制A.7 关于密码技术A.8 关于安全网络的建议参考文献前言本标准的附录A是资料性附录.本标准由全国信息安全标准化技术委员会提出并归口。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
GB/T20270-2006信息安全技术网络基础安全技术要求Information security technology—Basis security techniques requirements for network自 2006-12-1 起执行目次前言引言1 范围2 规范性引用文件3 术语、定义和缩略语3.1 术语和定义3.2 缩略语4 网络安全组成与相互关系5 网络安全功能基本要求5.1 身份鉴别5.1.1 用户标识5.1.2 用户鉴别5.1.3 用户—主体绑定5.1.4 鉴别失败处理5.2 自主访问控制5.2.1 访问控制策略5.2.2 访问控制功能5.2.3 访问控制范围5.2.4 访问控制粒度5.3 标记5.3.1 主体标记5.3.2 客体标记5.3.3 标记完整性5.3.4 有标记信息的输出5.4 强制访问控制5.4.1 访问控制策略5.4.2 访问控制功能5.4.3 访问控制范围5.4.4 访问控制粒度5.4.5 访问控制环境5.5 数据流控制5.6 安全审计5.6.1 安全审计的响应5.6.2 安全审计数据产生5.6.3 安全审计分析5.6.4 安全审计查阅5.6.5 安全审计事件选择5.6.6 安全审计事件存储5.7 用户数据完整性5.7.1 存储数据的完整性5.7.2 传输数据的完整性5.7.3 处理数据的完整性5.8 用户数据保密性5.8.1 存储数据的保密性5.8.2 传输数据的保密性5.8.3 客体安全重用5.9 可信路径5.10 抗抵赖5.10.1 抗原发抵赖5.10.2 抗接收抵赖5.11 网络安全监控6 网络安全功能分层分级要求6.1 身份鉴别功能6.2 自主访问控制功能6.3 标记功能6.4 强制访问控制功能6.5 数据流控制功能6.6 安全审计功能6.7 用户数据完整性保护功能6.8 用户数据保密性保护功能6.9 可信路径功能6.10 抗抵赖功能6.11 网络安全监控功能7 网络安全技术分级要求7.1 第一级：用户自主保护级7.1.1 第一级安全功能要求7.1.2 第一级安全保证要求7.2 第二级：系统审计保护级7.2.1 第二级安全功能要求7.2.2 第二级安全保证要求7.3 第三级：安全标记保护级7.3.1 第三级安全功能要求7.3.2 第三级安全保证要求7.4 第四级：结构化保护级7.4.1 第四级安全功能要求7.4.2 第四级安全保证要求7.5 第五级：访问验证保护级7.5.1 第五级安全功能要求7.5.2 第五级安全保证要求附录A(资料性附录) 标准概念说明A.1 组成与相互关系A.2 关于网络各层协议主要功能的说明A.3 关于安全保护等级划分A.4 关于主体和客体A.5 关于SSON、SSF、SSP、SFP及其相互关系A.6 关于数据流控制A.7 关于密码技术A.8 关于安全网络的建议参考文献前言本标准的附录A是资料性附录.本标准由全国信息安全标准化技术委员会提出并归口。
本标准起草单位：北京思源新创信息安全资讯有限公司，江南计算技术研究所技术服务中心。
本标准主要起草人：吉增瑞、刘广明、王志强、陈冠直、景乾元、宋健平。
引言本标准用以指导设计者如何设计和实现具有所需要的安全保护等级的网络系统，主要说明为实现GB 17859—1999中每一个安全保护等级的安全要求，网络系统应采取的安全技术措施，以及各安全技术要求在不同安全保护等级中的具体差异。
网络是一个具有复杂结构、由许多网络设备组成的系统，不同的网络环境又会有不同的系统结构。
然而，从网络系统所实现的功能来看，可以概括为“实现网上信息交换”。
网上信息交换具体可以分解为信息的发送、信息的传输和信息的接收。
从信息安全的角度，网络信息安全可以概括为“保障网上信息交换的安全”，具体表现为信息发送的安全、信息传输的安全和信息接收的安全，以及网上信息交换的抗抵赖等。
网上信息交换是通过确定的网络协议实现的，不同的网络会有不同的协议。
任何网络设备都是为实现确定的网络协议而设置的。
典型的、具有代表性的网络协议是国际标准化组织的开放系统互连协议(ISO/OSI)，也称七层协议。
虽然很少有完全按照七层协议构建的网络系统，但是七层协议的理论价值和指导作用是任何网络协议所不可替代的。
网络安全需要通过协议安全来实现。
通过对七层协议每一层安全的描述，可以实现对网络安全的完整描述。
网络协议的安全需要由组成网络系统的设备来保障。
因此，对七层协议的安全要求自然包括对网络设备的安全要求。
信息安全是与信息系统所实现的功能密切相关的，网络安全也不例外。
网络各层协议的安全与其在每一层所实现的功能密切相关。
附录A中A.2关于网络各层协议主要功能的说明，对物理层、链路层、网络层、传输层、会话层、表示层、应用层等各层的功能进行了简要描述，是确定网络各层安全功能要求的主要依据。
本标准以GB/T20271-2006关于信息系统安全等级保护的通用技术要求为基础，围绕以访问控制为核心的思想进行编写，在对网络安全的组成与相互关系进行简要说明的基础上，第5章对网络安全功能基本技术分别进行了说明，第6章是对第5章网络安全功能的分级分层情况的描述。
在此基础上，本标准的第7章对网络安全技术的分等级要求分别从安全功能技术要求和安全保证技术要求两方面进行了详细说明。
在第7章的描述中除了引用以前各章的内容外，还引用了GB/T20271-2006中关于安全保证技术要求的内容。
由于GB/T20271-2006的安全保证技术要求，对网络而言没有需要特别说明的内容，所以在网络基本技术及其分级分层的描述中没有涉及这方面的内容。
信息安全技术网络基础安全技术要求1 范围本标准依据GB17859-1999的五个安全保护等级的划分，根据网络系统在信息系统中的作用，规定了各个安全等级的网络系统所需要的基础安全技术的要求。
本标准适用于按等级化的要求进行的网络系统的设计和实现，对按等级化要求进行的网络系统安全的测试和管理可参照使用。
2 规范性引用文件下列文件中的条款通过本标准的引用而成为本标准的条款。
凡是注明日期的引用文件，其随后的所有修改单(不包括勘误的内容)或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。
凡是不注日期的引用文件，其最新版本适用于本标准。
GB17859-1999计算机信息系统安全保护等级划分准则GB/T20271-2006 信息安全技术信息系统通用安全技术要求3 术语、定义和缩略语3.1 术语和定义GB17859-1999确立的以及下列术语和定义适用于本标准。
3.1.1网络安全 network security网络环境下存储、传输和处理的信息的保密性、完整性和可用性的表征。
3.1.2网络安全基础技术 basis technology of network security实现各种类型的网络系统安全需要的所有基础性安全技术。
3.1.3网络安全子系统 security subsystem of network网络中安全保护装置的总称，包括硬件、固件、软件和负责执行安全策略的组合体。
它建立了一个基本的网络安全保护环境，并提供安全网络所要求的附加用户服务。
注：按照GB17859-1999对TCB(可信计算基)的定义，SSON(网络安全子系统)就是网络的TCB。
3.1.4SSON安全策略 SSON security policy对SSON中的资源进行管理、保护和分配的一组规则。
一个SSON中可以有一个或多个安全策略。
3.1.5安全功能策略 security function policy为实现SSON安全要素要求的功能所采用的安全策略。
3.1.6安全要素 security element本标准中各安全保护等级的安全技术要求所包含的安全内容的组成成份。
3.1.7SSON安全功能 SSON security function正确实施SSON安全策略的全部硬件、固件、软件所提供的功能。
每一个安全策略的实现，组成一个SSON安全功能模块。
一个SSON的所有安全功能模块共同组成该SSON的安全功能。
3.1.8SSF控制范围 SSF scope of controlSSON的操作所涉及的主体和客体的范围。
3.2 缩略语下列缩略语适用于本标准：SFP 安全功能策略 Security function policySSC SSF控制范围 SSF scope of controlSSF SSON安全功能 SSON security functionSSP SSON安全策略 SSON security policySSON 网络安全子系统 security subsystem of network4 网络安全组成与相互关系根据OSI参考模型和GB 17859—1999所规定的安全保护等级和安全要素，网络安全的组成与相互关系如表1所示。
表1 安全保护等级、网络层次与安全要素的相互关系对于网络系统的物理层、链路层、网络层、传输层、会话层、表示层和应用层，可分别按GB 17859—1999的各个安全等级的要求进行设计。
在各协议层中，安全要素的实现方法可有所不同。
本标准基于各项安全要素对各协议层在各个安全保护等级中应采用的安全技术和机制提出要求。
5 网络安全功能基本要求5.1 身份鉴别5.1.1 用户标识a) 基本标识：应在SSF实施所要求的动作之前，先对提出该动作要求的用户进行标识。
b) 唯一性标识：应确保所标识用户在信息系统生存周期内的唯一性，并将用户标识与安全审计相关联。
c) 标识信息管理：应对用户标识信息进行管理、维护，确保其不被非授权地访问、修改或删除。
5.1.2 用户鉴别a) 基本鉴别：应在SSF实施所要求的动作之前，先对提出该动作要求的用户成功地进行鉴别。
b) 不可伪造鉴别：应检测并防止使用伪造或复制的鉴别数据。
一方面，要求SSF应检测或防止由任何别的用户伪造的鉴别数据，另一方面，要求SSF应检测或防止当前用户从任何其他用户处复制的鉴别数据的使用。
c) 一次性使用鉴别：应能提供一次性使用鉴别数据操作的鉴别机制，即SSF应防止与已标识过的鉴别机制有关的鉴别数据的重用。
d) 多机制鉴别：应能提供不同的鉴别机制，用于鉴别特定事件的用户身份，并且SSF 应根据所描述的多种鉴别机制如何提供鉴别的规则，来鉴别任何用户所声称的身份。
e) 重新鉴别：应有能力规定需要重新鉴别用户的事件，即SSF应在需要重鉴别的条件表所指示的条件下，重新鉴别用户。
例如，用户终端操作超时被断开后，重新连接时需要进行重鉴别。
5.1.3 用户—主体绑定在SSON安全功能控制范围之内，对一个已标识和鉴别的用户，为了要求SSF完成某个任务，需要激活另一个主体(如进程)，这时，要求通过用户—主体绑定将该用户与该主体相关联，从而将用户的身份与该用户的所有可审计行为相关联。