GB/T 32917-2016 영어 PDF (GBT32917-2016)

배송: 3초. 실제 PDF + 송장을 다운로드하세요.
1분 안에 견적을 받으세요: GB/T 32917-2016을 클릭하세요
역사적 버전: GB/T 32917-2016
True-PDF 미리보기 (비어 있으면 다시 로드/스크롤)

GB/T 32917-2016: 정보 보안 기술 - WEB 애플리케이션 방화벽을 위한 보안 기술 요구 사항 및 테스트 및 평가 방법
영국/태국 32917-2016
영국
국가 표준
중화인민공화국
ICS 35.040
리터 80
정보보안기술 - 보안기술
요구 사항 및 테스트 및 평가 접근 방식
웹 애플리케이션 방화벽용
발행일 2016년 8월 29일
2017년 3월 1일에 구현됨
발행처. 품질감독검사총국
건강격리;
중화인민공화국 표준화 관리국.
목차
서문... 4
소개... 5
1 범위... 6
2 규범적 참조... 6
3 용어, 정의 및 약어... 6
3.1 용어 및 정의... 6
3.2 약어... 7
4 보안 기술 요구 사항... 7
4.1 기본 수준... 7
4.1.1 보안 기능 요구 사항...7
4.1.2 자체 보안 보호... 10
4.1.3 보안 보증 요구 사항... 11
4.2 강화된 레벨... 16
4.2.1 보안 기능 요구 사항... 16
4.2.2 자체 보안 보호... 19
4.2.3 보안 보증 요구 사항... 21
4.3 성능 요구 사항... 26
4.3.1 HTTP 처리량... 26
4.3.2 HTTP 최대 요청 속도... 27
4.3.3 동시 HTTP 연결 최대 수... 27
5 시험평가방법... 27
5.1 테스트 환경... 27
5.2 기본 수준... 29
5.2.1 보안기능 요구사항 시험 평가방법... 29
5.2.2 자체보안 보호 시험 평가 방법... 35
5.2.3 보안 보증 요구 사항에 대한 테스트 평가 방법... 40
5.3 강화된 레벨... 49
5.3.1 보안기능 요구사항의 시험평가방법... 49
5.3.2 자기보안 보호 시험 평가 방법... 56
5.3.3 보안보증요구사항의 시험평가방법... 62
5.4 성능시험 평가방법... 72
5.4.1 HTTP 처리량... 72
5.4.2 HTTP 최대 요청 속도... 73
5.4.3 동시 HTTP 연결 최대 수... 73
6 WEB 애플리케이션 방화벽의 보안 기술 요구 사항 분류
... 74
참고문헌... 76
정보보안기술 - 보안기술
요구 사항 및 테스트 및 평가 접근 방식
웹 애플리케이션 방화벽용
1 범위
본 표준은 보안 기능 요구 사항, 자체 보안을 명시합니다.
보호 요구 사항, 성능 요구 사항, 보안 보증
웹 애플리케이션 방화벽의 요구 사항; 해당 테스트 제공
평가 방법.
본 표준은 설계, 생산, 테스트 및 조달에 적용됩니다.
웹 애플리케이션 방화벽.
2 규범적 참조
다음 문서는 이 문서의 적용에 필수적입니다.
날짜가 표시된 문서의 경우 해당 날짜가 표시된 버전만 적용됩니다.
이 문서에; 날짜가 없는 문서의 경우 최신 버전만(다음을 포함함)
(모든 개정사항)은 이 표준에 적용됩니다.
GB/T 25069-2010 정보 보안 기술 - 용어집
3 용어, 정의 및 약어
3.1 용어 및 정의
GB/T 25069-2010에 정의된 용어 및 정의와
다음 용어와 정의는 이 문서에 적용됩니다.
3.1.1
웹 애플리케이션 방화벽
프로토콜 및 컨텐츠를 수행하는 정보보안 제품입니다.
WEB 서버에 대한 모든 WEB 서버 액세스 요청 및 WEB 서버에 대한 모든 WEB 서버 액세스 요청 필터링
사전 정의된 필터링 규칙 및 보안 보호 규칙에 따른 응답
이로써 WEB 서버 및 WEB에 대한 보안 보호 기능을 실현합니다.
b) 이벤트 날짜 및 시간을 포함하여 알람 이벤트를 기록합니다.
규칙, 알람 이벤트 설명 등
4.1.2 자체 보안 보호
4.1.2.1 식별 및 인증
4.1.2.1.1 고유식별
승인된 관리자에게는 고유한 신원이 부여되어야 합니다.
시간, 승인된 관리자의 신원은 모든 것과 연관되어야 합니다.
승인된 관리자의 감사 가능한 이벤트.
4.1.2.1.2 신원 인증
보안 기능과 관련된 작업을 수행하기 전에 다음을 식별하세요.
공인 관리자의 직무를 수행한다고 주장하는 관리자.
4.1.2.1.3 인증 데이터 보호
인증 데이터가 접근되거나 수정되지 않도록 보장해야 합니다.
허가 없이.
4.1.2.1.4 인증 실패 처리
관리자가 지정된 인증 횟수에 도달하지 못하는 경우
시도하면 그는 할 수 있을 것이다.
a) 세션을 종료합니다.
4.1.2.2 보안 감사
4.1.2.2.1 감사 데이터 생성
다음 감사 로그가 생성됩니다.
a) 모든 성공 및 실패한 웹 액세스 이벤트에 대해 감사 기록은 다음과 같습니다.
생성됨. 감사 로그 내용에는 날짜, 시간, IP 주소가 포함되어야 합니다.
요청된 URL, 성공 또는 실패 식별, 각각의 일치 규칙
이벤트;
b) 관리자의 성공 및 실패 식별 로그, 감사 로그
내용에는 날짜, 시간, IP 주소, 사용자 이름, 성공 또는
각 이벤트의 실패 식별.
4.1.2.2.2 감사로그 관리 기능
감사데이터의 백업 및 조회 등의 관리기능을 수행하여야 합니다.
제공됩니다.
b) 제품 보안 기능의 보안 도메인을 일관되게 설명하십시오.
보안 기능 요구 사항을 충족합니다.
c) 제품 보안 기능의 초기화 프로세스가 왜 필요한지 설명하세요.
보안됨;
d) 제품 보안 기능이 손상을 방지할 수 있는지 확인하세요.
e) 제품 보안 기능이 보안 기능을 방해할 수 있는지 확인하십시오.
우회되는 것을 방지합니다.
4.1.3.1.2 기능 사양
개발자는 완전한 기능 사양을 제공해야 합니다.
사양은 다음 요구 사항을 충족해야 합니다.
a) 제품의 보안 기능을 자세히 설명하세요.
b) 모든 보안 기능 인터페이스의 목적과 사용법을 설명합니다.
c) 각 보안 기능과 관련된 모든 매개변수를 식별하고 설명합니다.
인터페이스;
d) 보안 기능 요구 사항의 실행 동작을 설명합니다.
보안 기능 인터페이스와 관련됨
e) 보안 기능으로 인해 발생하는 직접적인 오류 메시지를 설명합니다.
구현 동작 및 예외
f) 보안 기능 요구 사항의 지원 및 관련 없는 동작을 설명합니다.
보안 기능 인터페이스와 관련됨
g) 보안 기능에 보안 기능에 대한 추적성이 필요한지 확인하십시오.
인터페이스.
4.1.3.1.3 제품 디자인
개발자는 제품 설계 문서를 제공해야 합니다. 제품 설계
서류는 다음 요구사항을 충족해야 합니다.
a) 하위 시스템에 따른 제품 구조를 설명하세요.
b) 제품 보안 기능의 모든 하위 시스템을 식별합니다.
c) 보안과 관련되지 않은 각 하위 시스템의 동작을 설명하십시오.
기능 요구 사항을 충분히 자세히 설명하여 관련이 없음을 확인합니다.
보안 기능 요구 사항
d) 보안 기능 요구 지원 및 무관한 동작을 요약합니다.
a) 배송된 제품을 안전하게 수령하는 데 필요한 모든 단계를 설명하세요.
개발자의 전달 절차와 일치함
b) 제품과 해당 제품을 안전하게 설치하는 데 필요한 모든 단계를 설명하십시오.
작동 환경.
4.1.3.3 수명주기 지원
4.1.3.3.1 구성 관리 기능
개발자의 구성 관리 기능은 다음을 충족해야 합니다.
요구사항.
a) 제품의 다양한 버전에 대해 고유한 식별 정보를 제공합니다.
b) 구성 관리 시스템을 사용하여 모든 구성을 유지 관리합니다.
제품을 구성하는 항목; 구성 항목을 고유하게 식별합니다.
c) 다음 방법을 설명하는 구성 관리 문서를 제공합니다.