1 范圍

      本標準依據(jù)GB/T 20273-2019規(guī)定了數(shù)據(jù)庫管理系統(tǒng)安全評估總則、評估內(nèi)容和評估方法。

      本標準適用于數(shù)據(jù)庫管理系統(tǒng)的測試和評估，也可用于指導數(shù)據(jù)庫管理系統(tǒng)的研發(fā)。

      注：本標準規(guī)定的EAL2級、EAL3級、EAL4級的評估內(nèi)容和評估方法既適用于基于GB/T 18336-2015所有部分的數(shù)據(jù)庫管理系統(tǒng)安全性測評，同樣適用于基于GB17859-1999的數(shù)據(jù)庫第二級系統(tǒng)審計保護級、第三級安全標記保護級、第四級結(jié)構(gòu)化保護級的數(shù)據(jù)庫管理系統(tǒng)安全性測評，相關(guān)對應(yīng)關(guān)系參見附錄A中A.1。

2 規(guī)范性引用文件

      下列文件對于本文件的應(yīng)用是必不可少的。凡是注日期的引用文件，僅注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改版）適用于本文件。

      GB/T 18336.1～18336.3-2015 信息技術(shù) 安全技術(shù) 信息技術(shù)安全評估準則

      GB/T 20273-2019 信息安全技術(shù) 數(shù)據(jù)庫管理系統(tǒng)安全技術(shù)要求

      GB/T 25069-2010 信息安全技術(shù) 術(shù)語

      GB/T 30270-2013 信息技術(shù) 安全技術(shù) 信息技術(shù)安全性評估方法

3 術(shù)語和定義、縮略語

3.1 術(shù)語和定義

      GB/T 25069-2010、GB/T 30270-2013和GB/T 20273-2019界定的術(shù)語和定義適用于本文件。

3.2 縮略語

      下列縮略語適用于本文件。

      CC：通用準則（Common Criteria）

      CEM：通用準則評估方法（Common Criteria Evaluation Methodology）

      CM：配置管理（Configuration Management）

      DBMS：數(shù)據(jù)庫管理系統(tǒng)（DataBase Management System）

      EAL：評估保障級（Evaluation Assurance Level）

      ETR：評估技術(shù)報告（Evaluation Technical Report）

      LBAC：基于標簽的訪問控制（Label Based Access Control）

      OR：觀察報告（Observation Report）

      PP：保護輪廓（Protection Profile）

      SFP：安全功能策略（Security Function Policy）

      SQL：結(jié)構(gòu)化查詢語言（Structured Query Language）

      ST：安全目標（Security Target）

      TOE：評估對象（Target Of Evaluation）

      TSC：TSF控制范圍（TSF Scope of Control）

      TSF：TOE安全功能（TOE Security Functionality）

      TSFI：TSF接口（TSF Interface）

      TSP：TOE安全策略（TOE Security Policy）

      TSS：TOE概要規(guī)范（TOE Summary Specification）

4 評估總則

4.1 概述

      本標準依據(jù)GB/T 30270-2013給出了GB/T 20273-2019定義的數(shù)據(jù)庫管理系統(tǒng)（DBMS）評估對象（TOE）安全功能組件和安全保障組件的評估內(nèi)容和評估方法。

4.2 評估要求

      在對數(shù)據(jù)庫管理系統(tǒng)進行安全評估時，首先依照GB/T 30270-2013的安全目標評估方法完成對DBMS ST的評估，在此基礎(chǔ)上對DBMS的安全功能和安全保障進行評估：

      a）安全功能評估目標是保證GB/T 20273-2019定義的安全功能組件設(shè)計與實現(xiàn)的完整性和正確性，一般通過對DBMS發(fā)起者提供的評估證據(jù)分析和TOE安全功能（TSF）獨立性測試，確保DBMS安全功能滿足其安全目標聲稱的功能要求。獨立性測試應(yīng)依據(jù)數(shù)據(jù)庫產(chǎn)品廠商提供的一系列評估證據(jù)（如分析、設(shè)計與測試文檔）和TOE安全策略（TSP），由評估者按照ST中的TSS對DBMS開發(fā)者提供的評估對象證據(jù)材料進行分析，并按照評估保障級的不同對DBMS安全功能組件進行抽樣測試，或評估者自己設(shè)計相應(yīng)的測試用例，獨立地完成DBMS安全功能組件的功能測試，驗證TSF的實現(xiàn)符合數(shù)據(jù)庫管理系統(tǒng)概要規(guī)范。

      b）安全保障評估目標是發(fā)現(xiàn)DBMS在設(shè)計與實現(xiàn)中的缺陷或脆弱性，以便在評估過程中要求開發(fā)者糾正評估對象相應(yīng)的錯誤，從而減少DBMS在發(fā)布后運行過程中安全功能失效發(fā)生的可能性。因此安全性評估要求測試人員在模擬真實應(yīng)用環(huán)境下，測試DBMS是否能抵御各種安全攻擊，以確定該評估對象是否存在潛在的安全弱點或安全漏洞。穿透性測試技術(shù)是消除DBMS在設(shè)計或?qū)崿F(xiàn)中的缺陷或脆弱性的有效方法。測試人員需依照數(shù)據(jù)庫產(chǎn)品的通信協(xié)議、結(jié)構(gòu)化查詢語言、數(shù)據(jù)庫開發(fā)接口、存儲過程/函數(shù)等安全攻擊面評估證據(jù)資料，通過模糊測試等穿透性測試技術(shù)對安全功能組件實現(xiàn)機制的可信性進行測試以確保安全功能組件的設(shè)計、實現(xiàn)和測試不存在未知的弱點/缺陷。

4.3 評估環(huán)境

      在不同的網(wǎng)絡(luò)環(huán)境和服務(wù)器環(huán)境支持下，通用數(shù)據(jù)庫產(chǎn)品提供多種安全策略和安全控制機制的解決方案，以滿足評估對象消費者的安全要求。數(shù)據(jù)庫管理系統(tǒng)的測試環(huán)境分為3類：非集群數(shù)據(jù)庫服務(wù)測試環(huán)境和集群數(shù)據(jù)庫服務(wù)測試環(huán)境，集群測試環(huán)境又細分為共享存儲的集群測試環(huán)境和非共享存儲的集群測試環(huán)境。

      應(yīng)根據(jù)GB/T 30270-2013安全評估基本原則、過程和規(guī)程的體系選擇某個測試環(huán)境，對數(shù)據(jù)庫產(chǎn)品安全功能和安全保障進行評估。數(shù)據(jù)庫管理系統(tǒng)安全組件的每個評估活動都包含兩個通用的評估任務(wù)：

      a）評估證據(jù)輸入評估：評估發(fā)起者應(yīng)向安全評估機構(gòu)提供DBMS安全評估所有必需的評估材料：評估發(fā)起者應(yīng)按照GB/T 30270-2013準備或開發(fā)TOE相關(guān)的評估證據(jù)，評估者應(yīng)對這些輸入要求進行評估。

      b）評估結(jié)果輸出評估：安全評估機構(gòu)的輸出任務(wù)評估的目的是評估輸出的觀察報告和評估技術(shù)

報告應(yīng)滿足評估結(jié)果的可重復性和可再現(xiàn)性原則，并應(yīng)保持各種報告信息類型和數(shù)量的一致性。

4.4 評估流程

      根據(jù)GB/T 30270-2013的安全評估過程包括評估準備、評估實施、評估結(jié)果等階段，具體如下：

      a）評估準備階段：評估發(fā)起者應(yīng)按照GB/T 30270-2013給評估者提供安全目標，評估者分析其可行性。評估者可能會需要發(fā)起者提供其他評估相關(guān)的輔助信息。評估發(fā)起者或者ST開發(fā)者會給評估者提供一部分待評估物。評估者審查安全目標，然后告知發(fā)起者對某些內(nèi)容進行必要的補充完善，以方便未來評估過程的實施。當評估者認為評估發(fā)起者對評估所需要的資料都準備齊全了，則評估過程進入下一階段。

      b）評估實施階段：評估者生成包括待評估產(chǎn)品列表，評估活動，以及基于GB/T 30270-2013評估方法的抽樣要求等文檔的可行性研究報告。發(fā)起者和評估者在評估準備階段簽署一項協(xié)議，該協(xié)議包含評估的基本框架，同時要考慮到評估體制的局限性以及國家法律和法規(guī)的任何要求。協(xié)議簽訂后，評估者即可進入評估實施階段。在此階段包含的主要活動內(nèi)容有：

      1）評估者檢查發(fā)起者或者開發(fā)者應(yīng)交付的評估物，然后按照GB/T 30270-2013進行必要的評估活動。

      2）在評估階段，評估者可能會撰寫觀察報告。該報告里，評估者會向監(jiān)管者（評審機構(gòu)）詢問如何滿足其監(jiān)管的要求。

      3）監(jiān)管者對評估者的解釋請求進行回應(yīng)，然后允許進行下一步評估。

      4）監(jiān)管者同樣可能確認和指出一些潛在的缺陷或者威脅，然后要求發(fā)起者或者開發(fā)者提供額外的信息資料。

      c）評估最終結(jié)果階段：評估者根據(jù)文檔審核、測試情況、現(xiàn)場檢查結(jié)果，對TOE進行綜合評判，并撰寫評估技術(shù)報告。

5 評估內(nèi)容

5.1 安全功能評估

5.1.1 概述

      在安全功能組件評估內(nèi)容描述中，方括號【】中的黑體字內(nèi)容表示已經(jīng)完成的操作，黑斜體字內(nèi)容表示還需在安全目標中由ST作者確定賦值及選擇項。

5.1.2 安全審計（FAU類）

5.1.2.1 審計數(shù)據(jù)產(chǎn)生（FAU＿GEN.1）

      審計數(shù)據(jù)產(chǎn)生組件應(yīng)按照安全目標設(shè)定的數(shù)據(jù)庫標準審計和細粒度審計策略自動產(chǎn)生相應(yīng)的審計事件記錄信息。該組件安全評估內(nèi)容如下：

      a）應(yīng)測試評估對象提供的不同級別審計策略能產(chǎn)生下述可審計事件記錄：

      1）數(shù)據(jù)庫審計功能的啟動和關(guān)閉；

      2）數(shù)據(jù)庫實例及其組件服務(wù)的啟動和關(guān)閉；

      3）數(shù)據(jù)庫實例配置參數(shù)非缺省值修改事件；

      4）數(shù)據(jù)庫對象結(jié)構(gòu)修改事件；

      5）GB/T 20273-2019列出的數(shù)據(jù)庫審計級別【最小】的可審計事件；

      6）其他面向數(shù)據(jù)庫安全審計員的，可繞過訪問控制策略的特殊定義【賦值：ST作者定義的審計事件】的可審計事件；

      7）未指定審計級別【賦值：數(shù)據(jù)庫對象數(shù)據(jù)操作級別的細粒度審計的事件】的所有可審計事件。

      b）應(yīng)檢查審計記錄中至少包含如下信息：

      1）事件類型、事件發(fā)生日期和時間、主體關(guān)聯(lián)身份/組/角色、涉及的數(shù)據(jù)庫對象、產(chǎn)生審計事件的主機信息、事件操作結(jié)果（成功或失敗）；

      2）應(yīng)根據(jù)評估對象【賦值：ST作者指定的審計事件】和規(guī)定的格式【賦值：數(shù)據(jù)類型與格式】來生成審計數(shù)據(jù)；

      3）對于每個審計事件類型，基于GB/T20273-2019中包括的安全功能組件的可審計事件定義。

      c）應(yīng)檢查數(shù)據(jù)庫管理系統(tǒng)的審計數(shù)據(jù)產(chǎn)生策略配置管理API或工具，確認審計數(shù)據(jù)產(chǎn)生機制與功能有效性。

5.1.2.2 用戶身份關(guān)聯(lián)（FAU＿GEN.2）

      用戶身份關(guān)聯(lián)組件應(yīng)將審計事件與主體身份相聯(lián)系，滿足可審計事件追溯到單個數(shù)據(jù)庫用戶身份上的要求。該組件安全評估內(nèi)容如下：

      a）審計記錄中應(yīng)能查看到每個審計事件是否與引發(fā)審計事件的用戶身份關(guān)聯(lián)信息；

      b）審計記錄中應(yīng)能查看到每個審計事件是否與引發(fā)審計事件的【賦值：ST作者指定的用戶身份鑒別方式】相關(guān)聯(lián)的數(shù)據(jù)庫會話信息；

      c）應(yīng)檢查提供將審計記錄中用戶身份與用戶所屬組/角色身份關(guān)聯(lián)查看輔助視圖或管理API/工具，確認能看到用戶身份關(guān)聯(lián)信息。

以上為標準部分內(nèi)容，如需看標準全文，請到相關(guān)授權(quán)網(wǎng)站購買標準正版。