Codeofchina.com is in charge of this English translation. In case of any doubt about the English translation, the Chinese original shall be considered authoritative.
This document is developed in accordance with the rules given in GB/T 1.1-2020 Directives for standardization - Part 1: Rules for the structure and drafting of standardizing documents.
Attention is drawn to the possibility that some of the elements of this document may be the subject of patent rights. The issuing body of this document shall not be held responsible for identifying any or all such patent rights.
This standard was proposed by and is under the jurisdiction of the Ministry of Industry and Information Technology of the People's Republic of China.
Critical network devices security common requirements
1 Scope
This document specifies the common security function requirements and security assurance requirements of the critical network devices.
This document is applicable to the critical network devices, which can provide a basis for network operators to purchase the critical network devices, and is also applicable to guide the research and development and testing of the critical network devices.
2 Normative references
The following documents contain provisions which, through reference in this text, constitute provisions of this document. For dated references, only the edition cited applies. For undated references, the latest edition of the referenced document (including any amendments) applies.
GB/T 25069 Information security technology - Glossary
3 Terms and definitions
For the purposes of this document, the terms and definitions given in GB/T 25069 and the following apply.
3.1
component
module or assembly consisting of several parts and capable of realizing specific functions
3.2
malicious program
program specially designed to attack a system, damage or destroy the system’s confidentiality, integrity or availability
Note: Common malicious programs include viruses, worms, Trojans, spyware, etc.
3.3
vulnerability
weaknesses in assets or controls that may be used by a threat
[Source: GB/T 29246-2017, 2.89, modified]
3.4
sensitive data
data that may endanger network security once leaked, illegally provided or abused
Note: Common sensitive data of critical network device includes passwords, keys, critical configuration information, etc.
3.5
robustness
the degree to which the functions of critical network device or component can keep operating correctly under invalid data input or high-intensity input environment
[Source: GB/T 28457-2012, 3.8, modified]
3.6
private protocol
protocol which is dedicated and uncommon
3.7
critical network device
device that supports networking function and has high performance among similar network devices, which is usually used in important network nodes, important parts or important systems, and may cause major network security risks once damaged
Note: High performance means that the performance index or specification of the device meets the range specified in the Catalogue of critical network devices and special network security products.
3.8
abnormal packet
various packets that fail to meet the standard requirements
3.9
user
user who configures, monitors and maintains the critical network device
3.10
pre-installed software
software installed or provided before device delivery and necessary to ensure the normal use of the device
Note: There are differences in pre-installed software for different types of devices. Pre-installed software for routers and switches usually includes boot firmware and system software, etc., that for servers usually includes out-of-band management software, etc.
4 Abbreviation
For the purposes of this document, the following abbreviations apply.
HTTP Hypertext Transfer Protocol
IP Internet Protocol
MAC Media Access Control
SNMP Simple Network Management Protocol
SSH Secure Shell
TCP Transmission Control Protocol
UDP User Datagram Protocol
5 Security functional requirements
5.1 Device identification security
The identification of critical network device shall meet the following requirements.
a) The complete hardware and main components shall have unique identification.
Note 1: The main components of routers and switches: main control panel card, service board card, switching network board, fan module, power supply, board card of storage system software, hard disk or flash memory card, etc. The main components of servers are: CPU, hard disk, memory, fan module, power supply, etc.
Note 2: Common unique identification method: serial number, etc.
b) Unique identification shall be made for different versions of pre-installed software, service pack/upgrade patch.
Note 3: Common unique identification methods for version: version number, etc.
5.2 Redundancy, backup recovery and anomaly detection
The redundancy, backup recovery and anomaly detection functions of critical network device shall meet the following safety requirements.
a) The complete machine shall support the main/standby switching function, or its critical components shall support the redundancy function. It shall be provided with automatic switching function. If the device or critical components are in abnormal operating state, it shall be switched to redundant device or redundant components to reduce security risks.
Note: The critical components of routers and switches supporting redundancy function: main control panel card, switching network board, power supply module, fan module, etc. The common critical components of servers supporting redundant function: hard disk, power supply module, fan module, etc.
b) It shall support backup and recovery functions for pre-installed software and configuration files, and support the integrity check of pre-installed software and configuration files when using recovery function.
c) It shall support the identification of abnormal state and generate prompt information for relevant errors.
5.3 Prevention of vulnerabilities and malicious programs
Critical network device shall meet the following requirements for preventing vulnerabilities and malicious programs.
a) It shall have no published vulnerabilities, or shall have remedial measures to prevent vulnerability security risks.
b) The pre-installed software, service pack/upgrade patch shall have no malicious programs.
c) It shall have no undeclared functions and access interfaces (including remote commissioning interfaces).
5.4 Startup and update security of pre-installed software
The pre-installed software startup and update function of critical network device shall meet the following security requirements.
a) It shall support the integrity check function at startup to ensure that the system software is not tampered with.
b) It shall support the update function of pre-installed software for device.
c) It shall have the function to ensure the security of software update operation.
Foreword i
1 Scope
2 Normative references
3 Terms and definitions
4 Abbreviation
5 Security functional requirements
5.1 Device identification security
5.2 Redundancy, backup recovery and anomaly detection
5.3 Prevention of vulnerabilities and malicious programs
5.4 Startup and update security of pre-installed software
5.5 User identification and authentication
5.6 Access control security
5.7 Log audit security
5.8 Communication security
5.9 Data security
5.10 Cryptographic requirements
6 Security assurance requirements
6.1 Design and development
6.2 Production and delivery
6.3 Operation and maintenance
Bibliography
ICS 35.040
CCS L 80
GB
中华人民共和国国家标准
GB 40050—2021
网络关键设备安全通用要求
Critical network devices security common requirements
2021-02-20发布 2021-08-01实施
国家市场监督管理总局
国家标准化管理委员会 发布
前 言
本文件按照GB/T1.1—2020《标准化工作导则 第1部分：标准化文件的结构和起草规则》的规定起草。
请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。
本文件由中华人民共和国工业和信息化部提出并归口。
网络关键设备安全通用要求
1 范围
本文件规定了网络关键设备的通用安全功能要求和安全保障要求。
本文件适用于网络关键设备，为网络运营者采购网络关键设备时提供依据，还适用于指导网络关键设备的研发、测试、服务等工作。
2 规范性引用文件
下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注8日期的引用文件，其最新版本(包括所有的修改单)适用于本文件。
GB/T 25069信息安全技术 术语
3 术语和定义
GB/T 25069 界定的以及下列术语和定义适用于本文件。
3.1
部件 component
由若干装配在一起的零件组成，能够实现特定功能的模块或组件。
3.2
恶意程序 malicious program
被专门设计用来攻击系统，损害或破坏系统的保密性、完整性或可用性的程序。
注：常见的恶意程序包括病毒、蠕虫、木马、间谍软件等。
3.3
漏洞 vulnerability
可能被威胁利用的资产或控制的弱点。
[来源：GB/T 29246—2017，2.89，有修改]
3.4
敏感数据 sensitive data
一旦泄露、非法提供或滥用可能危害网络安全的数据。
注：网络关键设备常见的敏感数据包括口令、密钥、关键配置信息等。
3.5
健壮性 robustness
描述网络关键设备或部件在无效数据输入或者在高强度输入等环境下，其各项功能可保持正确运行的程度。
[来源：GB/T 28457—2012，3.8，有修改]
3.6
私有协议 private protocol
专用的、非通用的协议。
3.7
网络关键设备 critical network device
支持联网功能，在同类网络设备中具有较高性能的设备，通常应用于重要网络节点、重要部位或重要系统中，一旦遭到破坏，可能引发重大网络安全风险。
注：具有较高性能是指设备的性能指标或规格符合《网络关键设备和网络安全专用产品目录》中规定的范围。
3.8
异常报文 abnormal packet
各种不符合标准要求的报文。
3.9
用户 user
对网络关键设备进行配置、监控、维护等操作的使用者。
3.10
预装软件 pre-installed software
设备出厂时安装或提供的、保障设备正常使用必需的软件。
注：不同类型设备的预装软件存在差异。路由器.交换机的预装软件通常包括引导固件、系统软件等，服务器的预装软件通常包括带外管理软件等。
4 缩略语
下列缩略语适用于本文件。
HTTP 超文本传输协议(Hypertext Transfer Protocol)
IP 网间互联协议(Internet Protocol)
MAC 媒体访问控制(Media Access Control)
SNMP 简单网络管理协议(Simple Network Management Protocol)
SSH 安全外壳协议(Secure Shell)
TCP 传输控制协议(Transmission Control Protocol)
UDP 用户数据报协议(User Datagram Protocol)
5 安全功能要求
5.1 设备标识安全
网络关键设备的标识应满足以下安全要求。
a) 硬件整机和主要部件应具备唯一性标识。
注1：路由器、交换机常见的主要部件：主控板卡、业务板卡、交换网板、风扇模块、电源、存储系统软件的板卡、硬盘或闪存卡等。服务器常见的主要部件：中央处理器、硬盘、内存、风扇模块、电源等。
注2：常见的唯一性标识方式：序列号等。
b) 应对预装软件、补丁包/升级包的不同版本进行唯一性标识。
注3：常见的版本唯一性标识方式：版本号等。
5.2 冗余、备份恢复与异常检测
网络关键设备的冗余、备份恢复与异常检测功能应满足以下安全要求。
a) 设备整机应支持主备切换功能或关键部件应支持冗余功能，应提供自动切换功能，在设备或关键部件运行状态异常时，切换到冗余设备或冗余部件以降低安全风险。
注：路由器、交换机常见的支持冗余功能的关键部件：主控板卡、交换网板、电源模块、风扇模块等。服务器常见的支持冗余功能的关键部件：硬盘、电源模块、风扇模块等。
b) 应支持对预装软件、配置文件的备份与恢复功能，使用恢复功能时支持对预装软件、配置文件的完整性检查。
c) 应支持异常状态检测，产生相关错误提示信息。
5.3 漏洞和恶意程序防范
网络关键设备应满足以下漏洞和恶意程序防范要求。
a) 不应存在已公布的漏洞，或具备补救措施防范漏洞安全风险。
b) 预装软件、补丁包/升级包不应存在恶意程序。
c) 不应存在未声明的功能和访问接口(含远程调试接口)。
5.4 预装软件启动及更新安全
网络关键设备的预装软件启动及更新功能应满足以下安全要求。
a) 应支持启动时完整性校验功能，确保系统软件不被篡改。
b) 应支持设备预装软件更新功能。
c) 应具备保障软件更新操作安全的功能。
注1：保障软件更新操作安全的功能包括用户授权、更新操作确认、更新过程控制等。例如，仅指定授权用户可实施更新操作，实施更新操作的用户需经过二次鉴别，支持用户选择是否进行更新，对更新操作进行二次确认或延时生效等。
d) 应具备防范软件在更新过程中被篡改的安全功能。
注2：防范软件在更新过程中被篡改安全功能包括采用非明文的信道传输更新数据、支持软件包完整性校验等。
e) 应有明确的信息告知用户软件更新过程的开始、结束以及更新的内容。
5.5 用户身份标识与鉴别
网络关键设备的用户身份标识与鉴别功能应满足以下安全要求。
a) 应对用户进行身份标识和鉴别，身份标识应具有唯一性。
注1：常见的身份鉴别方式：口令、共享密钥、数字证书或生物特征等。
b) 使用口令鉴别方式时，应支持首次管理设备时强制修改默认口令或设置口令，或支持随机的初始口令，支持设置口令生存周期，支持口令复杂度检查功能，用户输入口令时，不应明文回显口令。
c) 支持口令复杂度检查功能，口令复杂度检查包括口令长度检查、口令字符类型检查、口令与账号无关性检查中的至少一项。
注2：不同类型的网络关键设备口令复杂度要求和实现方式不同。常见的口令长度要求示例：口令长度不小于8位；常见的口令字符类型示例：包含数字、小写字母、大写字母、标点符号、特殊符号中的至少两类；常见的口令与账号无关性要求示例：口令不包含账号等。
d) 应支持启用安全策略或具备安全功能，以防范用户鉴别信息猜解攻击。
注3：常见的防范用户鉴别信息猜解攻击的安全策略或安全功能包括默认开启口令复杂度检查功能、限制连续的非法登录尝试次数或支持限制管理访问连接的数量、双因素鉴别(例如口令＋证书、口令＋生物鉴别等)等措施，当出现鉴别失败时，设备提供无差别反馈，避免提示“用户名错误”“口令错误”等类型的具体信息。
e) 应支持启用安全策略或具备安全功能，以防止用户登录后会话空闲时间过长。
注4：常见的防止用户登录后会话空闲时间过长的安全策略或安全功能包括登录用户空闲超时后自动退出等。
f) 应对用户身份鉴别信息进行安全保护，保障用户鉴别信息存储的保密性，以及传输过程中的保密性和完整性。
5.6 访问控制安全
网络关键设备的访问控制功能应满足以下安全要求。
a) 默认状态下应仅开启必要的服务和对应的端口，应明示所有默认开启的服务、对应的端口及用途，应支持用户关闭默认开启的服务和对应的端口。
b) 非默认开放的端口和服务，应在用户知晓且同意后才可启用。
c) 在用户访问受控资源时，支持设置访问控制策略并依据设置的控制策略进行授权和访问控制，确保访问和操作安全。
注1：受控资源指需要授予相应权限才可访问的资源。
注2：常见的访问控制策略包括通过IP地址绑定、MAC地址绑定等安全策略限制可访问的用户等。
d) 提供用户分级分权控制机制。对涉及设备安全的重要功能，仅授权的高权限等级用户使用。
注3：常见的涉及设备安全的重要功能包括补丁管理、固件管理、日志审计、时间同步等。
5.7 日志审计安全
网络关键设备的日志审计功能应满足以下安全要求。
a) 应提供日志审计功能，对用户关键操作行为和重要安全事件进行记录，应支持对影响设备运行安全的事件进行告警提示。
注1：常见的用户关键操作包括增/删账户、修改鉴别信息、修改关键配置、文件上传/下载、用户登录/注销、用户权限修改、重启/关闭设备、编程逻辑下载、运行参数修改等。
b) 应提供日志信息本地存储功能，支持日志信息输出。
c) 日志审计功能应记录必要的日志要素，为查阅和分析提供足够的信息。
注2：常见的日志要素包括事件发生的日期和时间、主体、类型、结果、源IP地址等。
d) 应具备对日志在本地存储和输出过程进行保护的安全功能，防止日志内容被未经授权的查看、输出或删除。
注3：常见的日志保护安全功能包括用户授权访问控制等。
e) 应提供本地日志存储空间耗尽处理功能。
注4：本地日志存储空间耗尽时常见的处理功能包括剩余存储空间低于阈值时进行告警、循环覆盖等。
f) 不应在日志中明文或者弱加密记录敏感数据。
注5：常见的弱加密方式包括信息摘要算法(MD5)、Base64等。
5.8 通信安全
网络关键设备应满足以下通信安全要求。
a) 应支持与管理系统(管理用户)建立安全的通信信道/路径，保障通信数据的保密性、完整性。
b) 应满足通信协议健壮性要求，防范异常报文攻击。
注1：网络关键设备使用的常见的通信协议包括IPv4/IPv6、TCP、UDP等基础通信协议，SNMP、SSH、HTTP等网络管理协议，路由协议、工业控制协议等专用通信协议，以及其他网络应用场景中的专用通信协议。
c) 应支持时间同步功能。
d) 不应存在未声明的私有协议。
e) 应具备抵御常见重放类攻击的能力。
注2：常见的重放类攻击包括各类网络管理协议的身份鉴别信息重放攻击、设备控制数据重放攻击等。
5.9 数据安全
网络关键设备应满足以下数据安全要求。
a) 应具备防止数据泄露、数据非授权读取和修改的安全功能，对存储在设备中的敏感数据进行保护。
b) 应具备对用户产生且存储在设备中的数据进行授权删除的功能，支持在删除前对该操作进行确认。
注：用户产生且存储在设备中的数据通常包括日志、配置文件等。
5.10 密码要求
本文件凡涉及密码算法的相关内容，按国家有关规定实施。
6 安全保障要求
6.1 设计和开发
网络关键设备提供者应在网络关键设备的设计和开发环节满足以下要求。
a) 应在设备设计和开发环节识别安全风险，制定安全策略。
注：设备设计和开发环节的常见安全风险包括开发环境的安全风险、第三方组件引入的安全风险、开发人员导致的安全风险等。
b) 应建立设备安全设计和开发操作规程，保障安全策略落实到设计和开发的整个过程。
c) 应建立配置管理程序及相应配置项清单，配置管理系统应能跟踪内容变更，并对变更进行授权和控制。
d) 应采取措施防范设备被植入恶意程序。
e) 应采取措施防范设备被设置隐蔽的接口或功能模块。
f) 应采取措施防范第三方关键部件、固件或软件可能引入的安全风险。
g) 应采用漏洞扫描、病毒扫描、代码审计、健壮性测试、渗透测试和安全功能验证的方式对设备进行安全性测试。
h) 应对已发现的安全缺陷、漏洞等安全问题进行修复，或提供补救措施。
6.2 生产和交付
网络关键设备提供者应在网络关键设备的生产和交付环节满足以下要求。
a) 应在设备生产和交付环节识别安全风险，制定安全策略。
注1：生产和交付环节的常见安全风险包括自制或采购的组件被篡改、伪造等风险，生产环境存在的安全风险、设备被植入的安全风险、设备存在漏洞的安全风险、物流运输的风险等。
b) 应建立并实施规范的设备生产流程，在关键环节实施安全检查和完整性验证。
c) 应建立和执行规范的设备完整性检测流程，采取措施防范自制或采购的组件被篡改、伪造等风险。
d) 应对预装软件在安装前进行完整性校验。
e) 应为用户提供验证所交付设备完整性的工具或方法，防范设备交付过程中完整性被破坏的风险。
注2：验证所交付设备完整性的常见工具或方法包括防拆标签、数字签名/证书等。
f) 应为用户提供操作指南和安全配置指南等指导性文档，以说明设备的安装、生成和启动的过程，并对设备功能的现场调试运行提供详细的描述。
g) 应提供设备服务与默认端口的映射关系说明。
h) 应声明设备中存在的通过设备外部接口进行通信的私有协议并说明其用途，私有协议不应存在所声明范围之外的用途。
i) 交付设备前，发现设备存在已知漏洞应当立即采取补救措施。
6.3 运行和维护
网络关键设备提供者应在网络关键设备的运行和维护环节满足以下要求。
a) 应识别在运行环节存在的设备自身安全风险(不包括网络环境安全风险)，以及对设备进行维护时引入的安全风险，制定安全策略。
b) 应建立并执行针对设备安全事件的应急响应机制和流程，并为应急处置配备相应的资源。
c) 在发现设备存在安全缺陷、漏洞等安全风险时，应采取修复或替代方案等补救措施，按照有关规定及时告知用户并向有关主管部门报告。
d) 在对设备进行远程维护时，应明示维护内容、风险以及应对措施，应留存不可更改的远程维护日志记录，记录内容应至少包括维护时间、维护内容、维护人员、远程维护方式及工具。
注1：常见的远程维护包括对设备的远程升级、配置修改、数据读取、远程诊断等操作。
e) 在对设备进行远程维护时，应获得用户授权，并支持用户中止远程维护，应留存授权记录。
注2：常见的获得用户授权的方式包括鉴别信息授权、书面授权等。
f) 应为用户提供对补丁包/升级包的完整性、来源真实性进行验证的方法。
g) 应为用户提供对废弃(或退役)设备中关键部件或数据进行不可逆销毁处理的方法。
h) 应为用户提供废弃(或退役)设备回收或再利用前的关于数据泄漏等安全风险控制方面的注意事项。
i) 对于维修后再销售或提供的设备或部件，应对设备或部件中的用户数据进行不可逆销毁。
应在约定的期限内，为设备提供持续的安全维护，不应以业务变更、产权变更等原因单方面中断或终止安全维护。
k) 应向用户告知设备生命周期终止时间。
参考文献
[1] GB/T 18018—2019 信息安全技术 路由器安全技术要求
[2] GB/T 18336—2015(所有部分) 信息技术 安全技术 信息技术安全评估准则
[3] GB/T 20011—2005 信息安全技术 路由器安全评估准则
[4] GB/T 21028—2007 信息安全技术 服务器安全技术要求
[5] GB/T 21050—2019 信息安全技术 网络交换机安全技术要求
[6] GB/T 25063—2010 信息技术安全 服务器安全测评要求
[7] GB/T 28457—2012 SSL协议应用测试规范
[8] GB/T 29246—2017 信息技术 安全技术 信息安全管理体系 概述和词汇
[9] GB/T 33008.1—2016 工业自动化和控制系统网络安全 可编程序控制器(PLC) 第1部分：系统要求
[10] GB/T 36470—2018 信息安全技术 工业控制系统现场测控设备通用安全功能要求
[11] YD/T 1359—2005 路由器设备安全技术要求——高端路由器(基于IPv4)
[12] YD/T 1439—2006 路由器设备安全测试方法——高端路由器(基于IPv4)
[13] YD/T 1629—2007 具有路由功能的以太网交换机设备安全技术要求
[14] YD/T 1630—2007 具有路由功能的以太网交换机设备安全测试方法
[15] YD/T 1906—2009 IPv6网络设备安全技术要求——核心路由器
[16] YD/T 2042—2009 IPv6网络设备安全技术要求——具有路由功能的以太网交换机
[17] YD/T 2043—2009 IPv6网络设备安全测试方法——具有路由功能的以太网交换机
[18] YD/T 2045—2009 IPv6网络设备安全测试方法——核心路由器
[19] 3GPP TS 33.117 Catalogue of general security assurance requirements
[20] ITU-T X.805 Security architecture for systems providing end-to-end communications
[21] 国家互联网信息办公室等.网络关键设备和网络安全专用产品目录[Z].2017-06-01
