网络关键设备安全通用要求GB 40050-2021（20210801）
网络关键设备安全通用要求GB 40050-2021（20210801）
《网络关键设备安全通用要求GB 40050-2021》由国家市场监督管理总局、国家标准化管理委员会于2019年12月17日发布，自发布之日起施行。
目 次
1范围
2规范性引用文件
3术语和定义
4缩略语
5安全功能要求
6安全保障要求
1范 围
本文件规定了网络关键设备的通用安全功能要求和安全保障要求。
本文件适用于网络关键设备，为网络运营者采购网络关键设备时提供依据，还适用于指导网络关键设备的研发、测试、服务等工作。
2规范性引用文件
下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。
GB/T 25069 信息安全技术术语
3术语和定义
GB/T 25069 界定的以及下列术语和定义适用于本文件。
3.1 部件component
由若干装配在一起的零件组成，能够实现特定功能的模块或组件。
3.2 恶意程序 malicious program
被专门设计用来攻击系统，损害或破坏系统的保密性、完整性或可用性的程序。
注：常见的恶意程序包括病毒、蠕虫、木马、间课软件等。
3.3 漏洞 vulnerability
可能被威胁利用的资产或控制的弱点。
[米源：GB/T 29246-2017，2.89，有修改]
3.4 敏感数据 sensitive data
一旦泄露、非法提供或滥用可能危害网络安全的数据。
注：网络关键设备常见的敏感数据包括口令、密钥、关键配置信息等。
3.5 健壮性 robustness
描述网络关键设备或部件在无效数据输入或者在高强度输入等环境下，其各项功能可保持正确运行的程度。
[来源：GB/T 28457-2012，3.8，有修改]
3.6 私有协议private protocol
专用的、非通用的协议。
3.7 网络关键设备 critical network device
支持联网功能，在同类网络设备中具有较高性能的设备，通常应用于重要网络节点、重要部位或重要系统中，一旦遭到破坏，可能引发重大网络安全风险。
注：具有较高性能是指设备的性能指标或规格符合《网络关键设备和网络安全专用产品目录》中规定的范围。
3.8 异常报文 abnormal packet
各种不符合标准要求的报文。
3.9 用户 user
对网络关键设备进行配置、监控、维护等操作的使用者。
3.10 预装软件 pre-installed software
设备出厂时安装或提供的、保障设备正常使用必需的软件。
注：不同类型设备的预装软件存在差异。路由器、交换机的预装软件通常包括引导固件、系统软件等，服务器的预装软件通常包括带外管理软件等。
4缩略语
下列缩略语适用于本文件。
HTTP 超文本传输协议（Hypertext Transfer Protocol）
1P 网间互联协议（Internet Protocol）
MAC 媒体访问控制（Media Access Control）
SNMP 简单网络管理协议（Simple Network Management Protocol）
SSH 安全外壳协议（Secure Shell）
TCP 传输控制协议（Transmission Control Protocol）
UDP 用户数据报协议（User Datagram Protocol）
5安全功能要求
5.1 设备标识安全
网络关键设备的标识应满足以下安全要求。
a）硬件整机和主要部件应具备唯一性标识。
注1：路由器、交换机常见的主要部件：主控板卡、业务板卡、交换网板、风扇模块、电源、存储系统软件的板卡、硬盘或闪存卡等。服务器常见的主要部件：中央处理器、硬盘、内存、风扇模块、电源等。
注2：常见的唯一性标识方式：序列号等。
b）应对预装软件、补丁包/升级包的不同版本进行唯一性标识。
注3：常见的版本唯一性标识方式：版本号等。
5.2 冗余、备份恢复与异常检测
网络关键设备的冗余、备份恢复与异常检测功能应满足以下安全要求。
a）设备整机应支持主备切换功能或关键部件应支持冗余功能，应提供自动切换功能，在设备或关键部件运行状态异常时，切换到冗余设备或冗余部件以降低安全风险。
注：路由器、交换机常见的支持冗余功能的关键部件：主控板卡、交换网板、电源模块、风扇模块等。服务器常见的支持冗余功能的关键部件：硬盘、电源模块、风扇模块等。
b）应支持对预装软件、配置文件的备份与恢复功能，使用恢复功能时支持对预装软件、配置文件的完整性检查。
c）应支持异常状态检测，产生相关错误提示信息。
5.3 漏洞和恶意程序防范
网络关键设备应满足以下漏洞和恶意程序防范要求。
a）不应存在已公布的漏洞，或具备补救措施防范漏洞安全风险。
b）预装软件、补丁包/升级包不应存在恶意程序。
c）不应存在未声明的功能和访问接口（含远程调试接口）。
5.4 预装软件启动及更新安全
网络关键设备的预装软件启动及更新功能应满足以下安全要求。
a）应支持启动时完整性校验功能，确保系统软件不被篡改。
b）应支持设备预装软件更新功能。
c）应具备保障软件更新操作安全的功能。
注1：保障软件更新操作安全的功能包括用户授权、更新操作确认、更新过程控制等。例如，仅指定授权用户可实施更新操作，实施更新操作的用户需经过二次鉴别，支持用户选择是否进行更新，对更新操作进行二次确认或延时生效等。
d）应具备防范软件在更新过程中被篡改的安全功能。
注2：防范软件在更新过程中被篡改安全功能包括采用非明文的信道传输更新数据、支持软件包完整性校验等。
c）应有明确的信息告知用户软件更新过程的开始、结束以及更新的内容。
5.5 用户身份标识与鉴别
网络关键设备的用户身份标识与鉴别功能应满足以下安全要求。
a）应对用户进行身份标识和鉴别，身份标识应具有唯一性。
注1：常见的身份鉴别方式：口令、共享密钥、数字证书或生物特征等。
b）使用口令鉴别方式时，应支持首次管理设备时强制修改默认口令或设置口令，或支持随机的初始口令，支持设置口令生存周期，支持口令复杂度检查功能，用户输入口令时，不应明文回显口令。
c）支持口令复杂度检查功能，口令复杂度检查包括口令长度检查、口令字符类型检查、口令与账号无关性检查中的至少一项。
注2：不同类型的网络关键设备口令复杂度要求和实现方式不同。常见的口令长度要求示例：口令长度不小于8位；常见的口令字符类型示例：包含数字、小写字母、大写字母、标点符号、特殊符号中的至少两类；常见的口令与账号无关性要求示例：口令不包含账号等。
d）应支持启用安全策略或具备安全功能，以防范用户鉴别信息猜解攻击。
注3：常见的防范用户鉴别信息猜解攻击的安全策略或安全功能包括默认开启口令复杂度检查功能、限制连续的非法登录尝试次数或支持限制管理访问连接的数量、双因素鉴别（例如口令+证书、口令+生物鉴别等）等措施，当出现鉴别失败时，设备提供无差别反馈，避免提示“用户名错误”“口令错误”等类型的具体信息。
e）应支持启用安全策略或具备安全功能，以防止用户登录后会话空闲时间过长。
注4：常见的防止用户登录后会话空闲时间过长的安全策略或安全功能包括登录用户空闲超时后自动退出等。
f）应对用户身份鉴别信息进行安全保护，保障用户鉴别信息存储的保密性，以及传输过程中的保密性和完整性。
5.6 访问控制安全
网络关键设备的访问控制功能应满足以下安全要求。
a）默认状态下应仅开启必要的服务和对应的端口，应明示所有默认开启的服务、对应的端口及用途，应支持用户关闭默认开启的服务和对应的端口。
b）非默认开放的端口和服务，应在用户知晓且同意后才可启用。
c）在用户访问受控资源时，支持设置访问控制策略并依据设置的控制策略进行授权和访问控制，确保访问和操作安全。
注1：受控资源指需要授子相应权限才可访问的资源。
注2：常见的访问控制策略包括通过IP地址绑定、MAC地址绑定等安全策略限制可访问的用户等。
d）提供用户分级分权控制机制。对涉及设备安全的重要功能，仅授权的高权限等级用户使用。
注3：常见的涉及设备安全的重要功能包括补丁管理、固件管理、日志审计、时间同步等。
5.7 日志审计安全
网络关键设备的日志审计功能应满足以下安全要求。
a）应提供口志审计功能，对用户关键操作行为和重要安全事件进行记录，应支持对影响设备运行安全的事件进行告警提示。
注1：常见的用户关键操作包括增/删账户、修改鉴别信息、修改关键配置、文件上传/下载、用户登录/注销、用户权限修改、重启/关闭设备、编程逻辑下载、运行参数修改等。
b）应提供日志信息本地存储功能，支持口志信息输出。
c）日志审计功能应记录必要的日志要素，为查阅和分析提供足够的信息。
注2：常见的日志要素包括事件发生的日期和时间、主休、类型、结果、源IP地址等。
d）应具备对日志在本地存储和输出过程进行保护的安全功能，防止日志内容被未经授权的查看、输出或删除。
注3：常见的日志保护安全功能包括用户授权访问控制等。
e）应提供本地口志存储空间耗尽处理功能。
注4：本地日志存储空间耗尽时常见的处理功能包括剩余存储空间低于阀值时进行告警、循环覆盖等。
f）不应在日志中明文或者弱加密记录敏感数据。
注5：常见的弱加密方式包括信息摘要算法（MD5）、Basc64等。
5.8 通信安全
网络关键设备应满足以下通信安全要求。
a）应支持与管理系统（管理用户）建立安全的通信信道/路径，保障通信数据的保密性、完整性。
b）应满足通信协议健壮性要求，防范异常报文攻击。
注1：网络关键设备使用的常见的通信协议包括IPv4/IPv6、TCP、UDP等基础通信协议，SNMP、SSH、HTTP等网络管理协议，路由协议、工业控制协议等专用通信协议，以及其他网络应用场景中的专用通信协议。
c）应支持时间同步功能。
d）不应存在未声明的私有协议。
c）应具备抵御常见重放类攻击的能力。
注2：常见的重放类攻击包括各类网络管理协议的身份鉴别信息重放攻击、设备控制数据重放攻击等。
5.9 数据安全
网络关键设备应满足以下数据安全要求。
a）应具备防止数据泄露、数据非授权读取和修改的安全功能，对存储在设备中的敏感数据进行保护。
b）应具备对用户产生且存储在设备中的数据进行授权删除的功能，支持在删除前对该操作进行确认。
注：用户产生且存储在设备中的数据通常包括日志、配置文件等。
5.10 密码要求
本文件凡涉及密码算法的相关内容，按国家有关规定实施。
6安全保障要求
6.1 设计和开发
网络关键设备提供者应在网络关键设备的设计和开发环节满足以下要求。
a）应在设备设计和开发环节识别安全风险，制定安全策略。
注：设备设计和开发环节的常见安全风险包括开发环境的安全风险、第三方组件引入的安全风险、开发人员导致的安全风险等。
b）应建立设备安全设计和开发操作规程，保障安全策略落实到设计和开发的整个过程。
c）应建立配置管理程序及相应配置项清单，配置管理系统应能跟踪内容变更，并对变更进行授权和控制。
d）应采取措施防范设备被植入恶意程序。
e）应采取措施防范设备被设置隐蔽的接口或功能模块。
f）应采取措施防范第三方关键部件、固件或软件可能引入的安全风险。
g）应采用漏洞扫描、病毒扫描、代码审计、健壮性测试、渗透测试和安全功能验证的方式对设备进行安全性测试。
h）应对已发现的安全缺陷、漏洞等安全问题进行修复，或提供补救措施。
6.2 生产和交付
网络关键设备提供者应在网络关键设备的生产和交付环节满足以下要求。
a）应在设备生产和交付环节识别安全风险，制定安全策略。
注1：生产和交付环节的常见安全风险包括自制或采购的组件被篡改、伪造等风险，生产环境存在的安全风险、设备被植入的安全风险、设备存在漏洞的安全风险、物流运输的风险等。
b）应建立并实施规范的设备生产流程，在关键环节实施安全检查和完整性验证。
c）应建立和执行规范的设备完整性检测流程，采取措施防范自制或采购的组件被篡改、伪造等风险。
d）应对预装软件在安装前进行完整性校验。
e）应为用户提供验证所交付设备完整性的工具或方法，防范设备交付过程中完整性被破坏的风险。
注2：验证所交付设备完整性的常见工具或方法包括防拆标签、数字签名/证书等。
f）应为用户提供操作指南和安全配置指南等指导性文档，以说明设备的安装、生成和启动的过程，并对设备功能的现场调试运行提供详细的描述。
g）应提供设备服务与默认端口的映射关系说明。
h）应声明设备中存在的通过设备外部接口进行通信的私有协议并说明其用途，私有协议不应存在所声明范围之外的用途。
i）交付设备前，发现设备存在已知漏洞应当立即采取补救措施。
6.3 运行和维护
网络关键设备提供者应在网络关键设备的运行和维护环节满足以下要求。
a）应识别在运行环节存在的设备自身安全风险（不包括网络环境安全风险），以及对设备进行维护时引入的安全风险，制定安全策略。
b）应建立并执行针对设备安全事件的应急响应机制和流程，并为应急处置配备相应的资源。
c）在发现设备存在安全缺陷、漏洞等安全风险时，应采取修复或替代方案等补救措施，按照有关规定及时告知用户并向有关主管部门报告。
d）在对设备进行远程维护时，应明示维护内容、风险以及应对措施，应留存不可更改的远程维护日志记录，记录内容应至少包括维护时间、维护内容、维护人员、远程维护方式及工具。注1：常见的远程维护包括对设备的远程升级、配置修改、数据读取、远程诊断等操作。
e）在对设备进行远程维护时，应获得用户授权，并支持用户中止远程维护，应留存授权记录。
注2：常见的获得用户授权的方式包括鉴别信息授权、书面授权等。
f）应为用户提供对补丁包/升级包的完整性、米源真实性进行验证的方法。
g）应为用户提供对废弃（或退役）设备中关键部件或数据进行不可逆销毁处理的方法。
h）应为用户提供废弃（或退役）设备回收或再利用前的关于数据泄漏等安全风险控制方面的注意事项。
i）对于维修后再销售或提供的设备或部件，应对设备或部件中的用户数据进行不可逆销毁。
j）应在约定的期限内，为设备提供持续的安全维护，不应以业务变更、产权变更等原因单方面中断或终止安全维护。
k）应向用户告知设备生命周期终止时间。
·参考文献
[1] GB/T 18018-2019 信息安全技术路由器安全技术要求
[2] GB/T 18336-2015 （所有部分）信息技术安全技术信息技术安全评估准则
[3] GB/T 20011-2005 信息安全技术路由器安全评估准则
[4] GB/T 21028-2007 信息安全技术服务器安全技术要求
[5] GB/T 21050-2019 信息安全技术网络交换机安全技术要求
[6] GB/T 25063-2010 信息技术安全服务器安全测评要求
[7] GB/T 28457-2012SSL 协议应用测试规范
[8] GB/T 29246-2017 信息技术安全技术信息安全管理体系概述和词汇
[9] GB/T 33008.1-2016 工业自动化和控制系统网络安全可编程序控制器（PLC）第1部
分：系统要求
[10] GB/T 36170-2018 信息安全技术工业控制系统现场测控设备通用安全功能要求
[11] YD/T 1359-2005 路由器设备安全技术要求——高端路由器（基于IPv4）
[12] YD/T 1439-2006 路由器设备安全测试方法——高端路由器（基于1Pv4）
[13] YD/T 1629-2007 具有路由功能的以太网交换机设备安全技术要求
[14] YD/T 1630-2007 具有路由功能的以太网交换机设备安全测试方法
[15] YD/T 1906-2009 IPv6网络设备安全技术要求——核心路由器
[16] YD/T 2042-2009 IPv6网络设备安全技术要求——具有路由功能的以太网交换机
[17] YD/T 2043-2009 IPv6网络设备安全测试方法——具有路由功能的以太网交换机
[18] YD/T 2045-2009 IPv6网络设备安全测试方法——核心路由器
[19] 3GPP TS 33.117 Catalogue of general security assurance requirements
[20] ITU-TX.805 Sccurity architecture for systems providing end-to-end communications
[21] 国家互联网信息办公室等.网络关键设备和网络安全专用产品目录[Z].2017-06-01
戴卫祥 律师
戴卫祥，男，高级律师，辽宁东亚律师事务所合伙人、副主任，工学、法学学士。现任辽宁省律师协会政府法律顾问专业委员会委员、辽宁省省级人民监督员、大连仲裁委员会（大连国际仲裁院）仲裁员、大连市律师协会房地产与建设工程法律专业委员会副主任。2017年5月至2020年5月担任大连市司法局法律顾问；2020年被辽宁省律师协会评定为2018—2019年度“辽宁省优秀律师”，被大连市律师协会评定为2019年度“优秀律师”。2001年从事法律工作，具有多年律师执业经验及4年工程建设现场管理经验，先后担任恒大集团大连公司、辽宁公司监察室主任。执业以来，代理过建设工程鉴定、刑事鉴定、机动车交通事故鉴定、医疗损害及医疗产品质量鉴定、消防工程鉴定、环境损害鉴定等各类司法鉴定案件，积累了丰富的司法鉴定办案经验，并成功代理过多起通过司法鉴定确定无罪的刑事、司法鉴定行政确认等案件，在司法鉴定专业有深入、系统的研究和实践。
戴卫祥律师联系方式
电话：13940919059
微信号码：dailvshi9
大连市中山区鲁迅路58号天通金融大厦1616
郑重推荐
睿法在线，精英律师团队打造，倡导并推行律师执业标准化、规范化，并提供专业法律服务。
睿法在线
更多内容，敬请关注