ICS35.040L 80中华人民共和国国家标准GB/T XXXXXXXX代替GB/T 210282007GB/T 250632010信息安全技术 服务器安全技术要求和测评准则Information security technologyTechnique requirements and evaluation criteria for server security（征求意见稿）XXXX - XX - XX发布XXXX - XX - XX实施GB/T XXXXXXXXX目次前言I1 范围12 规范性引用文件13 术语、定义和缩略语13.1 术语和定义13.2 缩略语24 概述25 安全技术要求25.1 安全功能要求25.1.1 设备标签25.1.2 硬件接口安全25.1.3 固件安全25.1.4 驱动程序安全35.1.5 可靠运行支持35.1.6 自身安全管理35.2 安全保障要求45.2.1 开发45.2.2 指导性文档55.2.3 生命周期支持55.2.4 测试65.2.5 脆弱性评定65.2.6 维护66 安全测评准则76.1 测试环境76.2 安全功能要求测评76.2.1 设备标签76.2.2 硬件接口安全76.2.3 固件安全86.2.4 驱动程序安全96.2.5 可靠运行支持96.2.6 自身安全管理106.3 安全保障要求测评136.3.1 开发136.3.2 指导性文档146.3.3 生命周期支持156.3.4 测试176.3.5 脆弱性评定186.3.6 维护19附 录 A （资料性附录） 服务器操作系统安全要求20附 录 B （资料性附录） 服务器安全等级划分21参考文献22I前言本标准按照GB/T 1.12009给出的规则起草。本标准代替GB/T 210282007信息安全技术 服务器安全技术要求和GB/T 250632010信息安全技术 服务器安全测评要求。本标准与GB/T 210282007和GB/T 250632010相比，主要变化如下：整合了GB/T 210282007和GB/T 250632010两项标准内容，修改标准名称为信息安全技术 服务器安全技术要求和测评准则；修改了服务器安全等级划分，由原来的五级调整为基本级和增强级（见第5章，GB/T 210282007的第5章和GB/T 250632010中的第4章至第8章）；增加了安全功能要求中的固件安全技术要求和对应的测评准则（见5.1.3和6.2.3）；增加了安全功能要求中的自身安全管理安全技术要求和对应的测评准则（见5.1.6和6.2.6）；修改了操作系统安全技术要求（见附录A，GB/T 210282007中的5.1.1.2、5.2.1.2、5.3.1.2、5.4.1.2、5.5.1.2和GB/T 250632010中的4.2、5.2、6.2、7.2）；删除了数据库管理系统的具体安全要求和相应的测评要求（见GB/T 210282007中的5.1.1.3、5.2.1.3、5.3.1.3、5.4.1.3、5.5.1.3和GB/T 250632010中的4.3、5.3、6.3、7.3）；删除了应用系统的具体安全要求和相应的测评要求（见GB/T 210282007中的5.1.1.4、5.2.1.4、5.3.1.4、5.4.1.4、5.5.1.4和GB/T 250632010中的4.4、5.4、6.4、7.4）。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。本标准由全国信息安全标准化技术委员会（SAC/TC 260）提出并归口。本标准主要起草单位：浪潮电子信息产业股份有限公司、联想（北京）有限公司、华为技术有限公司、新华三技术有限公司、中国信息通信研究院、蓝盾信息安全技术股份有限公司、中国网络安全审查技术与认证中心、中国电力科学研究院、公安部第三研究所、中国信息安全测评中心、中国电子技术标准化研究院、国家计算机网络与信息安全管理中心、曙光信息产业（北京）有限公司、苏州浪潮智能科技有限公司。本标准主要起草人：刘刚、李汝鑫、庞婷、万晓兰、张治兵、刘强、申永波、张东、宋桂香、王恩东、赵江、宋好好、孙彦、毛军捷、李凌、严敏辉、葛小宇、杜克宏、雷鸣、陈向明、倪平、方帅、陆臻、邓雨、张宝峰、孙亚飞、孔玉婷、白欣璐、王晖、曹柱、查丽。本标准所代替标准的历次发布版本发布情况为：GB/T 210282007；GB/T 250632010。21信息安全技术 服务器安全技术要求和测评准则1 范围本标准规定了服务器的安全技术要求和测评准则。本标准适用于服务器的研制、生产、维护和测评。2 规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T 20272 信息安全技术 操作系统安全技术要求GB/T 25069 信息安全技术 术语3 术语、定义和缩略语3.1 术语和定义GB/T 20272和GB/T 25069界定的以及下列术语和定义适用于本文件。3.1.1服务器 server网络环境下为客户端计算机提供特定应用服务的计算机系统。注1：本标准计算机系统指服务器硬件系统部分，主要包含独立计算单元、存储单元、网络传输单元、监控管理单元、供电单元及驱动程序等。注2：改写GB/T 9813.32017,定义3.1。3.1.2服务器引导固件 server boot firmware负责服务器芯片组的初始化和配置，收集、汇总硬件资源信息并引导进入操作系统的程序。3.1.3带外管理模块 out-of-band management module通过专用物理通道对服务器进行控制管理和维护的独立管理单元。示例：x86平台的BMC、Power平台的FSP等。3.1.4带外管理模块固件 out-of-band management module firmware存在于带外管理模块中，用于实现其功能的程序。3.1.5驱动程序 driver program为操作系统或应用程序提供操作或控制服务器中特定设备的软件程序。3.2 缩略语下列缩略语适用于本文件。CPU：中央处理器（central processing unit）4 概述服务器的安全要求对提高其业务运行能力，保证其服务提供的安全性和可持续性至关重要。由于服务器整体安全受到如硬件系统、操作系统等多方面的约束，任何一方面安全保护能力的不足或互补不到位都将影响服务器整体的安全性。本标准主要对服务器硬件系统提出了安全技术要求和安全测评准则，服务器配置的操作系统相关安全要求参见附录A。服务器安全技术要求分为安全功能要求和安全保障要求。其中安全功能要求是对服务器应具备的安全功能提出的具体要求，包括设备标签、硬件接口安全、固件安全、驱动程序安全、可靠运行支持和自身安全管理等；安全保障要求是对服务器生命周期过程提出的具体要求，包括开发、指导性文档、生命周期支持、测试、脆弱性评定和维护等。根据安全技术要求，本标准给出了相应的安全测评准则。根据服务器安全技术发展情况及应用需求，结合服务器安全功能的强弱，以及安全保障要求的高低，本标准将服务器安全技术要求划分为基本级和增强级，其中增强级的新增部分用“宋体加粗”表示。附录B以表格的形式列举了第5章基本级和增强级的安全技术要求。5 安全技术要求5.1 安全功能要求5.1.1 设备标签应在服务器显著位置设置标签，以标识服务器设备信息（包括设备型号、设备唯一识别码、生产厂商等）。5.1.2 硬件接口安全应对具备维护或调试功能的外部硬件接口采取安全控制措施，如采用专用工具、认证等。5.1.3 固件安全5.1.3.1 完整性保护完整性保护功能应满足以下要求：a） 对服务器引导固件、带外管理模块固件提供存储区完整性保护机制；b） 访问服务器引导固件时，应先进行授权控制；c）基于可信根，在服务器启动时，对于服务器引导固件和主引导分区/初始化程序加载器进行完整性检测，并在检测到其完整性被破坏后，采取相应安全措施，如停止启动、自动恢复、报警等。5.1.3.2 更新安全更新安全功能应满足以下要求：a） 提供服务器引导固件和带外管理模块固件更新的用户授权机制，应在获得用户授权后方可进行；b） 服务器引导固件和带外管理模块固件更新时，应对其镜像文件的真实性和完整性进行校验，验证通过后方可允许更新；c）基于可信根，对待更新的服务器引导固件镜像文件进行校验，验证通过后方可允许更新。5.1.3.3 固件恢复固件恢复功能应满足以下要求：a） 提供服务器引导固件和带外管理模块固件手动恢复机制；b）提供服务器引导固件和带外管理模块固件自动恢复机制，在检测到固件被破坏后，采取相应的自动恢复措施，如替换已破坏的固件，启用备用固件等。5.1.4 驱动程序安全应具备服务器驱动程序的真实性和完整性验证机制。注：驱动程序是指由服务器厂商提供的驱动程序。5.1.5 可靠运行支持可靠运行支持应满足以下要求：a） 对服务器的电源、风扇、硬盘等部分关键部件进行冗余设计，硬盘、风扇、电源支持热插拔功能；b） 对服务器部分关键部件的温度、电压，以及风扇转速等进行安全监控，当监测数值超过预先设定的阈值时应报警；c）提供服务器CPU、硬盘、内存等部分关键部件故障定位的机制；d）对服务器硬盘、内存等部分关键部件提供故障隔离机制，当某一部件出现故障时，服务器仍可提供计算服务。5.1.6 自身安全管理5.1.6.1 身份标识与鉴别5.1.6.1.1带外管理模块固件中身份标识与鉴别功能应满足以下要求：a） 对用户身份进行标识和鉴别，身份标识具有唯一性；b） 提供默认口令修改机制；c） 用户设置口令时，应对口令的复杂度进行验证，确保口令长度不少于8位，包含的字符类型不少于2种；d） 具备鉴别失败处理功能，如限制连续的非法登录尝试次数措施；e） 具备登录连接超时自动退出机制；f） 鉴别信息采取加密方式存储。5.1.6.1.2服务器引导固件中身份标识与鉴别功能应满足以下要求：a） 提供默认口令修改机制；b） 鉴别信息采取加密方式存储。5.1.6.2 授权与访问控制5.1.6.2.1带外管理模块固件中授权与访问控制安全功能应满足以下要求：a） 依据最小权限的原则，为默认用户预置访问控制策略；b） 在用户访问受控资源或功能时，依据设置的控制策略进行授权和访问控制；c） 不存在未声明的功能接口。5.1.6.2.2服务器引导固件不存在未声明的功能接口。5.1.6.3 安全审计带外管理模块固件中安全审计功能应满足以下要求：a） 审计事件至少包括：1） 用户的登录和注销、系统开关机、用户创建、删除、口令修改；2） 核心安全配置的变更，如访问控制策略、自动更新策略、安全监控策略等；3） 固件更新和恢复记录。b） 在审计记录中至少包括以下内容：事件发生日期和时间、用户名、事件描述（包括类型、操作