关于GB42250信息安全技术网络安全专用产品安全技术要求详细介绍

《信息安全技术网络安全专用产品安全技术要求》（GB 42250）是我国于2022年12月29日发布的强制性国家标准，规定了网络安全专用产品的安全功能要求、自身安全要求与安全保障要求，适用于指导境内销售或提供的网络安全专用产品的研发、测试、生产、服务以及准入市场的检测和监督等工作。

一、安全功能要求

访问控制
支持配置访问控制策略，策略类型因产品而异：
网络型防火墙：基于源/目的地址、端口、协议等设置策略。
虚拟专用网类产品：基于用户安全属性设置策略。
安全隔离与信息交换类产品：基于应用层协议设置策略。
支持根据策略控制对安全域的访问。
入侵防范
支持对收集的信息进行分析，发现入侵事件。
检测到入侵时，支持记录事件、安全警告或阻断等措施。
安全审计
支持监测、记录审计目标的网络运行状态和安全事件（审计目标包括主机、网络、数据库、应用等）。
支持对事件比较分析，发现违规或异常行为。
日志存储于非易失性介质中，保存时间不少于六个月。
恶意程序防范
支持对存储信息（如主机磁盘、内存、移动存储介质）和传输信息（如通信协议传输的文件或代码）进行恶意程序检测。
支持针对一种或多种恶意程序家族类型检测。
支持对检测到的恶意程序进行阻止、删除、修复或隔离等处理。

二、自身安全要求

标识和鉴别
对用户身份进行唯一性标识和鉴别。
保障身份鉴别信息在传输和存储中的保密性与完整性。
使用口令鉴别时，提供复杂度验证、定期更换功能，并强制首次管理时修改默认口令。
自身访问控制
对用户分配账户和权限，区分管理员角色，实现权限制约。
由授权主体配置访问控制策略，规定主体对客体的访问规则。
自身安全审计
监测、记录产品自身运行状态和重要操作。
保护审计日志，防止未预期的删除、修改或丢失。
日志存储于非易失性介质中，保存时间不少于六个月。
通信安全
提供安全措施保障远程管理网络通信数据的保密性和完整性。
支撑系统安全
不包含已公开的中、高风险漏洞（漏洞等级参照GB/T 30279等标准）。
产品升级
支持升级主程序、特征库、策略库等组件。
保障升级安全，避免错误或伪造的升级包。
用户信息安全
仅收集实现功能必需的用户信息。
处理个人信息时需获得授权（如收集前同意、授权撤回等）。
未授权或撤回授权时，提供与个人信息无关的安全功能。
保障个人信息传输和存储的保密性与完整性。
提供对超出保存期限个人信息的处理功能（如删除或匿名化）。
密码要求
涉及密码使用和管理的内容，按相关标准执行。

三、安全保障要求

供应链安全
制定供应商选择、评定和日常管理程序，确保关键部件满足安全要求，并保存记录。
建立供应链核心要素（如源代码、硬件机箱）的追溯能力。
持续开展安全意识和技能培训。
设计与开发
识别设计和开发环节的安全风险，进行威胁建模，制定安全策略。
制定安全功能和自身安全功能的设计文档，确保与实际功能一致。
为产品确定唯一版本号，为配置项（如源代码、工具）确定唯一标识。
不设置恶意程序、隐蔽接口或未明示功能模块，并通过用户协议告知用户所有功能。
进行安全性测试（如漏洞扫描、渗透测试）。
生产和交付
建立产品完整性检测流程，防范组件被篡改或伪造。
建立交付控制程序，确保产品交付过程中不被破坏。
向用户明示所有功能模块、外部接口、私有协议、预置账户和默认口令。
运维服务保障
在约定期限内提供持续安全维护，不单方面中断服务。
保护用户对软件安装和升级的知情权和选择权。
建立应急响应机制，及时修复安全缺陷和漏洞，并向主管部门报告。
用户信息保护
明示收集用户信息的目的、方式、范围、存储位置和处理方式。
建立用户信息管理制度，保障信息在设计、生产、升级各阶段的安全，不超范围使用。

该标准的实施有助于规范网络安全专用产品的安全要求，提升产品整体安全性，为市场监管和用户选择提供明确依据。

热门标签