GB T 25068.2-2012 信息技术.安全技术.IT网络安全 第2部分:网络安全体系结构.pdf
《GB T 25068.2-2012 信息技术.安全技术.IT网络安全 第2部分:网络安全体系结构.pdf》由会员分享,可在线阅读,更多相关《GB T 25068.2-2012 信息技术.安全技术.IT网络安全 第2部分:网络安全体系结构.pdf(24页珍藏版)》请在麦多课文档分享上搜索。
1、ICS 35.040 L 80 道昌中华人民ft .、和国国家标准GB/T 25068.2-2012/ISO/IEC 18028-2: 2006 信息技术安全技术IT网络安全第2部分:网络安全体系结构Information technology-Security techniques-IT network security一Part 2: Network security architecture (ISOjIEC 18028-2: 2006 , IDT) 2012-06-29发布2012-10-01实施.,0.10553, . p叫衣飞跑g 码防伪中华人民共和国国家质量监督检验检亵总局中国国
2、家标准化管理委员会发布GB/T 25068.2-2012/ISO/IEC 18028-2: 2006 目次前言.1 引言.El 范围2 规范性引用文件-3 术语和定义4 缩略语25 网络安全参考体系结构.3 6 安全维37 安全层.4 8 安全面69 安全威胁.7 10 对安全维应用于安全层所实现目标的描述.8 参考文献.18G/T 25068.2-2012月SO/IEC18028-2: 2006 目Ui=i GB/T 25068(信息技术安全技术IT网络安全分为以下5个部分:一一第l部分:网络安全管理;一一第2部分:网络安全体系结构;一一第3部分:使用安全网关的网间通信安全保护;第4部分:远
3、程接入的安全保护;一一第5部分:使用虚拟专用网的跨网通信安全保护。本部分为GB/T25068的第2部分。本部分按照GB/T1. 1-2009给出的规则起草。本部分使用翻译法等同采用国际标准ISO/IEC18028-2: 2006(信息技术安全技术IT网络安全第2部分z网络安全体系结构。根据国情和GB/T1. 1的规定,做了如下一些编辑性修改:一一原文CCITTX. 800中的内容已在本部分引用的国家标准GB/T9387.2一1995中体现,故本部分不再引用X.800。一一在原文正文里使用的缩略语没有全部反映在第4章中,本部分在其中做了增补,增加的缩略语在其页边切口用单竖线1指示。一一-为避免干
4、扰章节编号,第5章中几个问题的数字编号改为字母编号。一由于我国尚未有隐私和数据保护的相关法律法规,故在6.8中删掉依据国家隐私和数据保护的法律法规。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。本部分由全国信息安全标准化技术委员会(TC260)提出并归口。本部分起草单位:黑龙江省电子信息产品监督检验院、中国电子技术标准化研究所。本部分主要起草人z黄俊强、王希忠、方舟、马遥、王大萌、张清江、宋超臣、段志鸣、树彬、上官晓丽、许玉娜、王运福。I GB/T 25068.2-2012月SO/IEC18028-2: 2006 51 通信和信息技术业界一直在寻找经济有效的全面
5、安全解决方案。安全的网络应受到保护,免遭恶意和无意的攻击,并且应满足业务对信息和服务的保密性、完整性、可用性、抗抵赖、可核查性、真实性和可靠性的要求。保护网络安全对于适当维护计费或使用信息的准确性也是必要的。产品的安全保护能力对于全网的安全(包括应用和服务)是至关重要的。然而,当更多的产品被组合起来以提供整体解决方案,互操作性将决定这种解决方案的成功与否。安全不一定只是对每种产品或服务的单线关注,而必须以促进全面的端到端安全解决方案中各种安全能力交织的方式来开发。因此,GB/T25068的目的是为IT网络的管理、操作和使用及其互连等安全方面提供详细指南。组织中负责一般IT安全和特定IT网络安全
6、的人员应能够调整GB/T25068中的材料以满足他们的特定要求。GB/T25068的主要目标如下:GB/T 25068. 1定义和描述网络安全的相关概念,并提供网络安全管理指南包括考虑如何识别和分析与通信相关的因素以确立网络安全要求,还介绍可能的控制领域和特定的技术领域(相关内容在GB/T25068的后续部分中涉及); GB/T 25068. 2定义一个标准的安全体系结构,它描述一个支持规划、设计和实施网络安全的一致框架;一-GB/T25068. 3定义使用安全网关保护网络间信息流安全的技术;一-GB/T25068. 4定义保护远程接入安全的技术;GB/T 25068. 5定义对使用虚拟专用网
7、(VPN)建立的网络间连接进行安全保护的技术。GB/T 25068. 1与涉及拥有、操作或使用网络的所有人员相关。除了对信息安全(lS)和/或网络安全及网络操作负有特定责任的、或对组织的全面安全规划和安全策略开发负有责任的管理者和管理员外,还包括高级管理者和其他非技术性管理者或用户。GB/T 25068. 2与涉及规划、设计和实施网络安全体系结构方面的所有人员(例如IT网络管理者、管理员、工程师和IT网络安全主管)相关。GB/T 25068. 3与涉及详细规划、设计和实施安全网关的所有人员(例如IT网络管理者、管理员、工程师和IT网络安全主管)相关。GB/T 25068. 4与涉及详细规划、设
8、计和实施远程接人安全的所有人员(例如IT网络管理者、管理员、工程师和IT网络安全主管)相关。GB/T 25068. 5与涉及详细规划、设计和实施VPN安全的所有人员(例如IT网络管理者、管理员、工程师和IT网络安全主管)相关。E GB/T 25068.2-2012/ISO/IEC 18028-2 :2006 1 范围信息技术安全技术IT网络安全第2部分:网络安全体系结构GB/T 25068的本部分规定了用于提供端到端网络安全的网络安全体系结构。本部分适用于体系结构能应用于关注端到端安全且独立于网络下层技术的各种类型的网络。其目的是作为开发详细的端到端网络安全建议的基础。2 规范性引用文件下列文
9、件对于本文件的应用是必不可少的。凡是注日期的引用文件,仅注日期的版本适用于本文件。凡是不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件。GB/T 9387.2-1995信息处理系统开放系统互连基本参考模型第2部分z安全体系结构。SO7498号:1989,IDT)。3 术语和定义3. 1 3.2 3.3 3.4 3.5 ,、:.0 GB/T 9387. 2-1995中界定的下列术语和定义适用于本文件。访问控制access control 防止未授权使用资源,包括防止以未授权方式使用某一资源。数据原发鉴别data origin authentication 确认接收到的数据的来源是所
10、声称的。对等实体鉴别peer-entity authentication 确认某一关联中的对等实体是所声称的实体。可用性availability 已授权实体一旦需要就可访问和使用的特性。保密性confidentiality 使信息不世漏给未授权的个人、实体或过程或不使信息为其利用的特性。组据完整性data integrity 数据未经未授权方式修改或破坏的特性。1 GB/T 25068.2-2012/ISO/IEC 18028-2: 2006 3. 7 3.8 3.9 原发证据抗抵赖non-repudiation with proof of origin 为数据接收方提供数据源证据的安全服务。
11、注1:这将防范发送方否认发送数据或其内容的任何企图。注2:改编自GB/T9387.2-1995. 交付证据抗抵赖non-repudiation with proof of delivery 为数据发送方提供数据交付证据的安全服务。注1:这将防范接收方否认接收数据或其内容的任何后续企图。注2:改编自GB/T9387.2-1995. 隐私privacy 每个人都享有的控制或影响与其相关的什么信息可被收集和存储以及这些信息可被何人或对何人泄露的权利。4 缩暗语2 ASP ATM DHCP DNS DS-3 Ipsec 应用服务提供商(ApplicationService Provider) 异步传输
12、模式(AsynchronousTransfer Mode) 动态主机配置协议(DynamicHost Configuration Protocol) 域名系统(DomainName System) DS3数字信号攻击基础设施安全8个安全维对安全层应用安全维图1基础设施安全层基础设施安全层由通过安全维实施的机制所保护的网络传输设施和单个的网络元素组成。基础设施安全层代表网络、网络服务及应用的基本构建块。属于基础设施安全层的组件实例有单个路由器、交换机和服务器以及单个路由器、交换机和服务器之间的通信链路。7. 1 服务安全层服务安全层处理服务提供商提供给客户的服务的安全。这些服务的范围从基本传输和
13、连通性直到提供互联网访问(如鉴别、授权和计费服务、动态主机配置服务、域名服务等)所必需的服务使能器以及免费电话服务、QoS、VPN、定位服务、即时消息等增值服务。服务安全层用于保护服务提供商及其客户,这两者均为潜在的安全威胁目标。例如,攻击者可能试图否认服务提供商提供服务的能力,或者他们可能试图中断服务提供商(如企业)对某个客户的服务。7.2 应用安全层应用安全层关注被服务提供商的客户访问的、基于网络的应用的安全。这些应用被网络服务使用且包括基本的文件传输(如FTP)和万维网浏览应用、目录、基于网络的语音消息和电子邮件之类的基本应用以及客户关系管理、电子/移动商务、基于网络的培训、视频协同之类
14、的高端应用。基于网络的应用可由第三方应用服务提供商USP).也起到ASP作用的服务提供商吱fI:!在自R的(戎相用的)数据中心运营它们的企业来提供。在这一层中有4个潜在的安全攻击目标:应用用户、应用提供商、由第三方集成者提供的中间件(如万维网代管服务)以及服务提供商。5 7.3 GB/T 25068.2-2012/ISO/IEC 18028-2: 2006 安全面安全面是由为安全维实施的机制所保护的某种类型的网络活动。这一参考体系结构定义3个安全面来表示网络中发生的三种受到保护的活动。这些安全面包括:(1)管理安全面;(2)控制安全面;(3)终端用户安全面。这些安全面相应地处理与网络管理活动、
15、网络控制或信令活动和终端用户活动相关的特定安全需求。网络系统宜用这样一种方式设计z一个安全面上的事态被尽可能多地保存并与其他安全面适当隔离。例如,由终端用户请求发起的终端用户安全面上的DNS查询洪泛,不宜把允许管理员改正问题的管理安全面中的OAM&P界面排除在外。图2说明包含安全面的参考体系结构。每种描述网络活动的类型都有其自身特定的安全需求。安全面的概念允许与那些活动相关的特定安全关注和独立处理它们的能力之间有差异。例如,考虑由服务安全层处理的VoIP服务。VoIP服务管理(如配置用户)的安全保护必须独立于服务控制(如SIP之类的协议)的安全保护,也必须独立于正在由服务传输的终端用户数据(如
16、用户语音)的安全保护。8 |且时量|威胁II墨犁剧栩Mhm唱摇斜阳啊时属也圆明划髓恳附带领5|E 喜剧冉霍熔币s攻击基础设施安全8个安全维终端用户安全面控制安全面管理安全面安全面反映不同类型的网络活动圈2管理安全面管理安全面涉及网络元素、传输设施、后台系统(运行支持系统、业务支持系统、客户服务系统等等)和数据中心的OAM&P功能的保护。管理安全面支持故障、容量、管理、配置和安全(FCAPS)功能。宜注意的是,就服务提供商的用户通信流而言,承载这些活动通信流的网络可以是带内或带外的。8. 1 控制安全面控制安全面从事于使能穿越网络高效交付信息、服务和应用的活动保护。它通常包含机器对机器的信息通信
17、,以允许机器(如交换机或路由器)确定如何最好地选择路由或交换穿越下层传输网络的通信流。这种类型信息有时被称作控制或信令信息。就服务提供商的用户通信流而言,承载这些类型消息的网络可是带内或带外的。例如.IP网络系统在带内承载其控制信息,而PSTN在一个分离的带外信令网络(SS7网络)中承载其控制信息。这种类型通信流的实例包括路由协议、DNS、SIP、SS7和8.2 GB/T 25068.2-2012月SO/IEC18028-2: 2006 Megaco/H.248等。8.3 终端用户安全面终端用户安全面处理客户访问和使用服务提供商网络的安全。这个平面也涉及实际终端用户数据流的保护。终端用户可使用
18、只提供连通性的网络,他们可使用它来提供VPN之类的增值服务,或者可使用它来访问基于网络的应用。9 安全威胁这一参考体系结构定义一个规划和一套原则以描述端到端安全解决方案的安全结构。为防止有意威胁以及偶然威胁,该体系结构识别需要被处理的安全问题。下列威胁在GB/T9387.2-1995中描述:a) 信息和/或其他资源的破坏zb) 信息的损坏或修改;c) 信息和/或其他资源的窃取、移动或丢失;d) 信息泄漏;e) 服务中断。每个安全层与每个安全面的交集表示一个安全维应用于对抗威胁的安全视图。表1提供一个安全维至安全威胁的映射。该映射对每个安全视图相同。表格的行与列的交集所形成单元中的字母Y表示特定
19、安全威胁被相应的安全维对抗。表1安全维至安全威胁的映射安全威胁安全维信息或其他信息的损信息和其他资源的信息服务资源的破坏坏或修改窃取、移动或丢失泄漏中断访问控制Y Y Y Y 鉴别Y Y 抗抵赖Y Y Y Y Y 数据保密性Y Y 通信流安全Y Y 数据完整性Y Y 可用性Y Y 隐私Y 图3说明具有所示体系结构元素的参考体系结构并指出前面描述的安全威胁。此图描述用每个安全层的每个安全面上的安全维来保护网络的概念以提供全面的安全解决方案。宜注意的是,根据一个给定网络的安全要求,可能不必让所有的体系结构元素(即具有一稳套安令维、安舍层和安全面)都得到实施。7 GB/T 25068.2-2012/
20、ISO/IEC 18028-2: 2006 r 安全层/ /飞/飞应用安全 严|嘉轩件已|数通数访抗据信据服务安全问鉴抵保流Y主E俨甲|控别赖密安整制性全性日中基础设施安全G雪雪2-./ 终端用户安全面控制安全面管理安全面图3端到端网络安全参考体系结构10 对安全维应用于安全层所实现目标的描述可用隐性私、严该参考体系结构能应用于图4中所描述的安全项目的所有方面和阶段。如图4所示,安全项目除技术外还包括策略和规程,并且贯穿其生命期过程的3个阶段:(1)定义和规划阶段;(2)实施阶段;(3)维护阶段。该参考体系结构连同ISO/IEC13335的指南能跨越安全项目的所有3个阶段,应用于安全策略和规程
21、以及技术。网络体系结构、策略定义、事件响应和恢复规划基于业务要求而确定。在此过程中,该参考体系结构能够通过在定义和规划阶段考虑每个安全层和安全面上的安全维,来指导全面安全策略定义、事件响应和恢复计划及技术体系结构的开发。随着策略和规程的推行和技术的部署,该参考体系结构也能用作安全评估的基础,用以检验安全项目的实施如何处理安全维、安全层和安全面。一旦安全项目被部署,就必须得到维护以使其在不断变化的安全环境中保持更新。该参考体系结构能通过确保对安全项目的修改处理每个安全层和安全面上的每个安全维,从而帮助管理安全策略和规程、事件响应和恢复规划及技术体系结构。8 4 能够应用于整个网络安全生命周期/
22、。因时,Mmog-M|NO-M由皂白二。NEMHMOOf飞f飞广f飞、威胁|( 破坏) ( j;:j; ) C豆豆二二 中断) 攻击._; .1 .1 .1 .1.1 .1 .1、电 / I I / 8个安全维I / ./ 安全层应用安全隐私可用性数据完整性通信流安全数据保密性抗抵赖鉴别访问控制| P| |I 一时, f 脆弱性终端用户安全而细一面安一全制一安控一理管应用参考安全架构的安全程序图4 GB/T 25068.2-2012月SO/IEC18028-2:2006 此外,该参考体系结构能够应用于任一级协议榜上的任一种网络。例如,在驻留于协议校第3层的IP网络中,基础设施安全层是指单个的路
23、由器、路由器(如SONET、ATMPVC等)之间的点对点通信链路以及用于提供IP网络所要求的支持服务的服务器平台。服务安全层是指基本IP服务本身(如互联网连通性)、IP支持服务(如AAA、DNS、DHCP等)以及服务提供商提供的高级增值服务(如VoIP、QoS、VPN等)。最后,应用安全层是指经由IP网络访问的用户应用(如电子邮件等)安全。同样,对于驻留于协议枝第2层的ATM网络,基础设施安全层是指单个的交换机和交换机之间的点对点通信链路(承载设施,例如DS3数字信号)。服务安全层是指ATM服务提供的不同的传输种类(固定比特率、可变比特率(实时)、可变比特率(非实时)、可用比特率和未指定比特率
- 1.请仔细阅读文档,确保文档完整性,对于不预览、不比对内容而直接下载带来的问题本站不予受理。
- 2.下载的文档,不会出现我们的网址水印。
- 3、该文档所得收入(下载+内容+预览)归上传者、原创作者;如果您是本文档原作者,请点此认领!既往收益都归您。
下载文档到电脑,查找使用更方便
5000 积分 0人已下载
下载 | 加入VIP,交流精品资源 |
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- GB 25068.2 2012 信息技术 安全技术 IT 网络安全 部分 体系结构

链接地址:http://www.mydoc123.com/p-220780.html