GBT18336.2-2015 信息技术 安全技术 信息技术安全评估准则 第2部分：安全功能组件.pdf

图3以框图形式示意了功能类的结构。 每个功能 括类名、类介绍和一个或多个功能族。

类名提供标识和划分功能类所必需的信息。每个功能类都有一个唯一的名称，分类信息由三 简名组成。类的简名也用于该类中族的简名规范中

类介绍描述广这些族满足安全自的的通用意图或方法。功能类的定义不反映要求规范中的任何正 式分类法。 类介绍用图的形式来描述类中的族以及每个族中组件的层次结构，见6.2的解释

图4以框图形式示意了功能族的结构

市政图纸、图集[6.1.2.1 族名

6.1.2.2 族行为

族行为是对功能族的叙述性描述，陈述其安全目的，并且是功能要求的概括描述。以下是更详细的 描述： a） 族的安全目的描述了一个安全问题，该问题可通过T()E利用该族中的一个组件予以解决； D 功能要求的描述概述了组件中包含的所有要求。该描述是面向PP、ST和功能包的作者的 他们希望评价该族是否与他们的特定要求相关，

6.1.2.3组件层次

功能族包含个或多个组件，任何一个组件都可被选出来包含到PP、ST和功能包中。本条的目的 是，当族一旦被确定为是表达用户安全要求的一个必须的或有用的部分时，为用户选取合适的功能组件 提供信息。 功能族描述部分的本条内容描述了可使用的组件以及它们的基本原理。组件的详细细节包含在每 个组件中。 功能族内组件间的关系可能是分级的。如果一个组件相对另一个组件提供更多的安全性，那么该 组件对另一个组件来说是更高级的 如6.2所述，族的描述提供了族中组件间层次结构的一个图示

管理包含PP/ST作者认为是给定组件管理活动的一些信息。此条款参考管理类（FMT：的组件： 并提供关于通过操作这些组件可能应用的潜在管理活动的指导。 PP/ST作者可以选择已明示的管理要求，也可以选择其他没有列出的管理要求以细化管理活动 因而这些信息是提示性的

图5示意了功能组件的结构。

6.1.3.1组件标识

组件标识部分提供识别、分类、注册和交义引用组件所必需的描述性信息。 下列各项作为母不功能 件的部分： 个唯一的名称，该名字反映了组件的目的。 一个简名，即功能组件名的唯一简写形式。简名作为组件分类、注册和交叉引用的主要引用 名。简名反映出组件所属的类和族以及在族中组件的编号。 一个从属于列表。这个组件所从属于的其他组件列表，以及该组件能用于满足与所列组件间 的依赖关系

6. 1.3.2 功能元素

6.1.3.3依赖关系

本部分中组件的分组不代表任何正式的分类法。 本部分包含了族和组件的分类，它们是基于相关功能和目的进行的粗略分组，并且按字均顺序给 出。每个类的开始部分都有一个提示性框图，指出该类的分类法、类中的族和族中的组件。这个图对于 指明可能会存在于组件间的层次关系是有用的。 在功能组件的描述中，有一段文字指出了该组件和任何其他组件之间的依赖关系。 在每个类中，都有一个与图6类似的描述族层次关系的图。在图6中，第1个族（族1)包括了三个 有从属关系的组件，其中组件2和组件3都可以用来满足对组件1的依赖关系。组件3从属于组件2， 并且可以用来满足对组件2的依赖关系

在族2中有三个组件，这三个组件不全都有从属关系。组件1和组件2不从属于其他组件。组件 3从属于组件2，可以用来满足对组件2的依赖关系，但不能满足对组件1的依赖关系。 在族3中，组件2、3、4都从属于组件1。组件2和组件3也都从属于组件1，但无可比性、组件4 从属于组件2和组件3。 这些图的目的是补充族中的文字说明，使关系的识别更容易。它们并不能取代每个组件中的“从 属于：”的注释，这些注释是对每个组件从属关系的强制性声明

6.2.1突出表示组件变化

族中组件的关系约定以粗体字突出表示。在此约定所有新的要求用粗体表示。对于有从属关 ，当要求被增强或修改而超出前一组件的要求时，要用粗体字表示。另外，超出前一组件的任 增强的允许操作，也使用粗体字突出表示，

安全审计包括识别、记录、存储和分析那些与安全相关活动（即由TSP控制的活动）有关的信息。 可通过检查审计记录结果确定发生了哪些安全相关活动以及哪个用户要对这些活动负责。本类的组件 构成分解如图7所示。

本族定义了在检测到潜在安全侵害事件时所作出的响应

FMT中的管理功能可考虑下列行为

ZA14 FAUARP1审讯

7.1.5FAUARP.1安全告警

图7FAU.安全审计类分解

7.1.5.1FAU ARP.1.1

7.2安全审计数据产生（FAU GEN

本族定义了一些在TSF控制下对安全相关事件的发生情况进行记录的要求。本族识别审计 举TSF可审计的事件类型，以及标识在各种审计记录内应提供的审计相关信息的最小集合。

尚无预见的管理活动！

7.2.4 FAU GEN.1FAU GEN.2审计

7.2.5FAU GEN.1审计数据产生

7.2.5.1FAU GEN.1.1

TSF应能为下述可审计事件产生审计记录： a）审计功能的开启和关闭； b）有关［选择，选取一个：最小级、基本级、详细级、未规定审计级别的所有可审计事件； C）「赋值：其他专门定义的可审计事件1

a）审计功能的开启和关闭； b）有关［选择，选取一个：最小级、基本级、详细级、未规定审计级别的所有可审计事件； C）「赋值：其他专门定义的可审计事件1

Z.2.5.2FAU GEN12

TSF应在每个审计记录中至少记录下列信息： 事件的日期和时间、事件类型、主体身份（如果适用）、事件的结果（成功或失效）； b）对每种审计事件类型，基于PP/ST中功能组件的可审计事件的定义，[赋值：其他审计相关 信息工。

TSF应在每个审计记录中至少记录下列信息： a）事件的日期和时间、事件类型、主体身份（如果适用）、事件的结果（成功或失效）； b）对每种审计事件类型，基于PP/ST中功能组件的可审计事件的定义，[赋值：其他审计相关 信息工。

7.2.6FAUGEN.2用户身份关联

7.2.6.1 FAU GEN.2.1

对于已标识身份的用卢的行为所产生的审计事件，TSF应能将每个可审计事件与引起该事件的用

Z.3安全审计分析（FAUSAA

7.3.3FAU SAA.1管理

中的管理功能可考虑采取下列行为： 通过（添加、修改、删除）规则集中的规则来维护

Z.3.4FAU SAA.2管理

中的管理功能可考虑下列行为： 对轮廊目标组中的用户组进行维护（删除、修改

7.3.5FAUSAA.3管理

FMT中的管理功能可考虑下列行为： ）对系统事件的子集进行维护（删除、修改、添加）。

7.3.6FAU SAA.4管理

FMT中的管理功能可考虑下列行为： a）对系统事件的子集进行维护（删除、修改、添加）； b）对系统事件的序列集进行维护（删除、修改、添加）

列行为应是可审计的： a）最小级：开启和关闭任何分析机制 b）最小级：通过工具软件实现自动响应

7.3.8.1 FAU SAA.1.1

Z.3.8.2 FAU SAA.1.2

TSF应执行下列规则监测审计事件： 已知的用来指示潜在安全侵害的[赋值：已定义的可审计事件的子集］的累积或组合 b）「赋值：任何其他规则]

7.3.9FAUSAA.2基于轮廓的异常检测

7:3.9.1 FAU SAA.2. 1

TSF应能维护系统使用轮廓。在这里单个轮廓代表由[赋值：轮廓目标组］成员完成的历史

7.3.9.2 FAU SAA.2.2

用户的活动已记录在轮廓中。在这里，置 表用户当前活动与轮廓中 致的程度

7.3.9.3 FAU SAA.2.3

当用户的置疑等级超过门限条件L赋值：TSF报告异常活动的条件】时，TSF应能指出对SFR 能侵害即将发生，

7.3.10FAUSAA.3简单攻击探测

从属于：无其他组件。 依赖关系：无依赖关系。

7.3.10.1 FAU SAA.3.1

7.3.10.2 FAU SAA.3.2

TSF应能对照特征事件比对系统活动记录，系统活动可以通过检查[赋值：用来确定系统活动的信 息而辨明

TSF应能对照特征事件比对系统活动记录，系统活动可以通过检查[赋值：用来确定系统活动的信 息而辨明

7.3.10.3FAU SAA.3.

当发现一个系统事件与一个预示可能潜在违反SFR实施的特征事件匹配时，TSF应能指出潜在违

反SFR实施的事件即将发生。

FAUSAA.4复杂攻击探

7.3.11.1FAUSAA.4.1

Z.3.11.2 FAU SAA.4.2

TSF应能对照特征事件和事件序列比对系统活动记录，这里系统活动可以通过检查L赋值：用来确 定系统活动的信息7而辨明，

7.4安全审计查阅（FAUSAR）

本族定义了一些有关审计工具的要求，授权用户可使用这些审计工具查阅审计数据

Z.4.3FAUSAR.1管理

FMT中的管理功能可考虑下列行为： a）维护（删除、修改、添加）对审计记录有读访问权的用户组。

7.4.4FAUSAR.2、FAUSAR.3管理

7.4.5FAU SAR.1审计

7.4.6FAUSAR.2审计

下列行为应是可审计的 a）基本级：从审计记录中读取信息的未成功尝试。

Z.4.7 FAU SAR.3 审计

7.4.8FAUSAR.1审计查阅

从属于：无其他组件。 依赖关系：FAU.GEN.1审计数据产生

7.4.8.1 FAU SAR.1.1

Z.4.8.2 FAU SAR.1.2

ISF应以便于用户理解的方式提供审计记录。

4.9FAUSAR.2限制审

从属于：无其他组件。 依赖关系：FAUSAR.1审计查阅

7.4.9.1 FAU SAR.2.1

除明确准许读访问的用户外，TSF应禁止所有用户对审计记录的读访问。

除明确准许读访问的用户外，TSF应禁止所有用户对审计记录的读访问

7.4.10FAUSAR.3可选审计查阅

.5安全审计事件选择（FAUSEL）

本族定义在TOE运行期间从所有审计事件集合中选取被审计事件的要求

7.5.3FAU SEL.1管理

FMT中的管理功能可考虑下列行为：

FMT中的管理功能可考虑下列行为 a）维护查阅/修改审计事件的权限。

人防标准规范范本Z.5.4 FAU SEL.1 审计

7.5.5FAU SEL.1选择性审计

Z.5.5.1 FAU SEL.1.1

TSF应能根据以下属性从所有审计事件集合中选择可审计事件： ）【选择：客体身份、用户身份、主体身份、主机身份、事件类型］ b）「赋值：审计选择所依据的附加属性表1

本族定义一些1SF能够创建开 十迹的要求。存储的审计记录是指在审计迹 记录，而不是指经过选择持

学校标准7.6.4FAU STG.2管理

FMT中的管理功能可考虑下列行为 a）维护控制审计存储能力的参数。

FMT中的管理功能可考虑下列行为：