工业控制系统专业防火墙 安全技术要求

工业控制系统专业防火墙 安全技术要求思维导图，分享了安全功能要求、自身安全要求、性能要求、安全保障要求、安全功能要求、自身安全要求、性能要求、安全保障要求的知识。

工业控制系统专业防火墙要求

• 6.安全技术要求
  • 6.1基本级安全技术要求
    • 6.1.1安全功能要求
      • 6.1.1.1 网络层控制
        • 6.1.1.1.1 包过滤
          • 安全策略应使用默认禁止原则，即除非明确允许，否则就禁止
          • 安全策略应包含基于源IP地址，目的IP地址的访问控制
          • 安全策略应包含基于源端口，目的端口的访问控制
          • 安全策略应包含基于协议类型的访问控制
          • 安全策略应包含基于MAC地址的访问控制
          • 应支持用户自定义的安全策略，安全策略可以是MAC地址，IP地址，端口的部分或全部组合
        • 6.1.1.1.2 NAT
          • 部署域间的工控防火墙应具备NAT功能，具体技术要求如下：
            • 应支持双向NAT：SNAT和DNAT
            • SNATA应至少可实现“多对一”地址转换，使得内部网络主机访问外部网络时，其源IP地址被转换
        • 6.1.1.1.3 状态检测
          • 工控防火墙应具备状态检测功能，支持基于状态检测技术的访问控制
        • 6.1.1.1.4 动态开放端口
          • 工控防火墙具备动态开放端口功能，应至少支持OPC，FTP协议
        • 6.1.1.1.5 IP/MAC地址绑定
          • 工控防火墙应支持自动或手动绑定IP/MAC地址；应能够检测IP地址盗用事件，拦截盗用IP地址的主机经过工控防火墙的各种访问
        • 6.1.1.1.6 抗拒绝服务攻击
          • ICMP FLOOD 攻击
          • UDP FLOOD攻击
          • SYN Flood攻击
          • TearDrop攻击
          • Land攻击
          • 超大ICMP数据攻击
        • 6.1.1.1.7 网络扫描防护
          • 工控防火墙应能够检测和记录扫描行为，包括对受保护网络的扫描
      • 6.1.1.2 应用层控制
        • 6.1.1.2.1应用协议控制
          • 支持HTTP，FTP，Telnet等通用应用层协议
          • 支持常用工业控制协议，如OPC，Modbus TCP ， Profinet ， BACnet，DNP3，IEC104
        • 6.1.1.2.2 工业协议深度内容检测
          • 工控协议格式规约检查，禁止不符合协议规约的通信
          • 对工业协议的操作类型，操作对象，操作范围等参数进行控制
          • 至少支持一种主流工控协议
    • 6.1.2 自身安全要求
      • 6.1.2.1 运维管理
        • 6.1.2.1.1 管理安全
          • 支持对授权管理员的口令鉴别方式，且口令设置满足安全要求
          • 应在所有授权管理员请求执行任何操作之前，对每个授权管理员进行唯一的身份鉴别
          • 应具有登录失败处理功能，身份鉴别在经过一个可设定的鉴别失败最大次数后，工控防火墙应终止管理主机或用户建立的会话
          • 工控防火墙应为每一位规定的授权管理员提供一套唯一的为执行安全策略所必需的安全属性
        • 6.1.2.1.2 管理方式
          • 应支持进行本地管理工控防火墙
          • 应支持通过网络接口进行远程管理，并可限定可进行远程管理的网络接口
          • 远程管理过程中，管理端与工控防火墙之间的所i有通信数据应加密传输
        • 6.1.2.1.3 管理能力
          • 向授权管理员提供设置和修改安全管理相关的数据参数的功能
          • 向授权管理员提供设置，查询和修改各种安全策略的功能
          • 向授权管理员提供管理审计日志的功能
      • 6.1.2.2 安全审计
        • 6.1.2.2.1 记录事件类型
          • 工控防火墙访问控制策略匹配的访问请求
          • 访问控制策略默认禁止的访问请求，包括试图穿越或到达工控防火墙的请求
          • 检测到的攻击行为
          • 试图登录工控防火墙管理端口和管理身份鉴别请求
          • 对工控防火墙系统重要管理配置操作，如增加/删除/修改管理员，保存/删除审计日志，更改安全策略和配置参数等
          • 其他应记录的事件类型
        • 6.1.2.2.2 日志内容
          • 事件发生的日期时间，日期应包括年，月，日，时间应包括时，分，秒
          • 访问控制日志应包括数据包的协议类型，源地址，目标地址，源端口，目标端口，允许或禁止
          • 工控协议的深度内容检查信息
          • 管理日志应包括事件主体，事件客体，事件描述
        • 6.1.2.2.3 日志管理
          • 应只允许授权审计员对日志进行读取，存档，导出，删除和清空等操作
          • 应提供日志查阅工具，具备对审计事件以时间，日期，主体标识等条件检索的能力，并且只允许授权审计源使用查阅工具
          • 审计事件应存储于掉电非易失性存储介质中，且在存储空间达到阈值时通知授权管理源进行处理
      • 6.1.2.3 安全管理
        • 6.1.2.3.1 安全支撑系统
          • 不提供多余的网络服务
          • 不含任何导致产品权限丢失，拒绝服务等的安全漏洞
        • 6.1.2.3.2 异常处理机制
          • 工控防火墙在非正常关机（掉电，强行关机）在重新启动后，应满足如下技术要求
            • 安全策略恢复到关机前的状态
            • 日志信息不会丢失
            • 管理员重新鉴别
      • 6.1.2.4 高可用性
        • 6.1.2.4.1 可用性保障
          • 部署在现场控制层的工控防火墙应具备Bypass功能，当工控防火墙自身出现断电故障时，应使工控防火墙内部接口与外部接口物理连通，保持内部网络与外部网络之间的正常通信，并及时告警。
        • 6.1.2.4.2 设备自检
          • 在初始化或启动期间，应能对设备硬件，程序或功能模块，重要配置文件等进行检测，当发现异常时能够及时告警
          • 在运行期间，应能在授权管理员的要求下或者周期性的对提供安全功能的模块或进程进行检测，当出现异常时能够及时告警
        • 6.1.2.4.3 运行模式
          • 支持学习模式，工控防火墙记录运行过程中经过防火墙的所有策略，资产的信息，形成白名单策略
          • 支持验证模式或测试模式，该模式下工控防火墙对禁止策略进行警告，但不拦截
          • 支持正常工作模式，工控防火墙的正常工作模式，严格按照防护策略进行过滤等动作保护
        • 6.1.2.4.4 安全策略更新
          • 工控防火墙安全策略应用时不应该影响正常的数据通信
        • 6.1.2.4.5 时间同步
          • 工控防火墙应支持与时钟服务器自动同步时间的功能
        • 6.1.2.4.6 电源冗余
          • 部署现场控制层的工控防火墙应提供双电源冗余功能
        • 6.1.2.4.7 散热方式
          • 部署现场控制层的工控防火墙应采取自然散热，无风扇方式设计
    • 6.1.3 性能要求
      • 6.1.3.1 吞吐量
        • 部署在域间的工控防火墙
          • 对64字节短包，百兆公开防火墙应不小于线速的30%，千兆公开防火墙应不小于线速40%
          • 对256字节短包，百兆公开防火墙应不小于线速的70%，千兆公开防火墙应不小于线速80%
          • 对512字节短包，百兆公开防火墙应不小于线速的90%，千兆公开防火墙应不小于线速95%
        • 部署在现场控制层设备前的工控防火墙
          • 对64字节短包，百兆公开防火墙应不小于线速的10%，千兆公开防火墙应不小于线速20%
          • 对256字节短包，百兆公开防火墙应不小于线速的30%，千兆公开防火墙应不小于线速40%
          • 对512字节短包，百兆公开防火墙应不小于线速的50%，千兆公开防火墙应不小于线速70%
      • 6.1.3.2 延迟
        • 部署在域间的工控防火墙
          • 对64字节短包，256字节中长包，512字节长包，百兆工控防火墙平均延时不应超过1ms
          • 对64字节短包，256字节中长包，512字节长包，千兆工控防火墙平均延时不应超过200us
        • 部署在现场控制层设备前的工控防火墙
          • 对64字节短包，256字节中长包，512字节长包，百兆工控防火墙平均延时不应超过500us
          • 对64字节短包，256字节中长包，512字节长包，千兆工控防火墙平均延时不应超过200us
      • 6.1.3.3 最大并发连接数
        • 百兆工控防火墙的最大并发连接数应不小于60000个
        • 千兆工控防火墙的最大并发连接数应不小于300000个
      • 6.1.3.4 最大连接速率
        • 百兆工控防火墙的最大连接速率应不小于1500个/s
        • 千兆工控防火墙的最大连接速率应不小于5000个/s
    • 6.1.4 安全保障要求
      • 6.1.4.1 开发
        • 6.1.4.1.1 安全架构
          • 与产品设计文档中对安全功能的描述一致
          • 描述与安全功能要求一致的安全域
          • 描述产品安全功能初始化的过程与安全措施
          • 证实产品安全功能能够防止被破坏
          • 证实产品安全功能能够防止安全策略被旁路
        • 6.1.4.1.2 功能规范
          • 完整描述产品的安全功能
          • 描述所有安全功能接口的目的与使用方法
          • 标识和描述每个安全功能接口相关的所有参数
          • 描述安全功能接口相关的安全功能实施行为
          • 描述由安全功能实施行为而引起的直接错误消息
          • 证实安全功能要求到到安全功能接口的
        • 6.1.4.1.3 产品设计
          • 根据子系统描述产品结构，并标识和描述产品安全功能的所有子系统
          • 描述安全功能所有子系统间的相互作用
          • 提供的映射关系能够证实设计中描述的所有行为能够映射到调用他的安全功能接口
      • 6.1.4.2 指导性文档
        • 6.1.4.2.1 操作用户指南
          • 描述授权用户可访问的功能和特权，包含适当的警示信息
          • 描述如何以安全的方式使用产品提供的接口
          • 描述可用功能和接口，尤其是受用户控制的所有安全参数，适当时指明安全值
          • 明确说明与需要执行的用户可访问功能有关的每一种安全相关时间，包括改变安全功能所控制实体的安全特性
          • 标识产品运行的所有可能状态（包括操作导致的失败或者操作性错误），以及它们与维持安全运行之间的因果关系和联系
          • 实现安全目的所应执行的安全策略
        • 6.1.4.2.2 准备程序
          • 描述与开发者交付程序相一致的安全接收所交付产品必需的所有步骤
          • 描述安全安装产品及其运行环境必需的所有步骤
      • 6.1.4.3 生命周期支持
        • 6.1.4.3.1 配置管理能力
          • 为产品的不同版本提供唯一的标识
          • 使用配置管理系统对组成产品的所有配置项进行维护，并唯一标识各配置项
          • 提供配置管理文档，配置管理文档描述用于唯一标识配置项的方法
        • 6.1.4.3.2 配置管理范围
          • 开发者应提供产品配置列表，并说明配置项的开发者。配置项列表至少包括产品，安全保障要求的评估证据和产品的组成部分
        • 6.1.4.3.3 交付程序
          • 开发者应使用一定的交付程序交付产品，并将交付过程文档化。在给用户方交付产品的各版本时，交付文档应描述为维护安全所必需的所有程序
        • 6.1.4.3.4 支撑系统安全保障
          • 若产品以软件形态提交，应在交付文档中详细描述支撑操作系统的兼容性，可靠性，安全性要求
          • 若产品以硬件形态提交，应选取和采用安全可靠的支撑操作系统，以最小化原则选取必要的系统组件，并采取一定的加固措施
        • 6.1.4.3.5 硬件安全保障
          • 产品应采用具有高可靠性，满足性能指标要求的硬件平台
          • 若硬件平台为外购，应制定相应程序对硬件提供商进行管理，对采购的硬件平台或部件进行验证测试。并要求硬件提供商提供合格证明及必要的第三方环境适用性测试报告
      • 6.1.4.4 测试
        • 6.1.4.4.1 测试覆盖
          • 开发者应提供测试覆盖文档，测试覆盖描述应表明测试文档中所标识的测试与功能规范中所描述的产品的安全功能间的对应性
        • 6.1.4.4.2 功能测试
          • 测试计划，标识要执行的测试，并描述执行每个测试的方案。这些方案包括对于其他测试结果的任何顺序依赖性
          • 预期的测试结果，表明测试成功后的预期输出
          • 实际测试结果和预期测试结果一致
        • 6.1.4.4.3 性能测试
          • 测试计划，标识要执行的性能测试指标，并描述执行每个测试的方案，这些方案包括产品的安全参数及安全
          • 测试结果，记录各条件下测试得性能指标值
        • 6.1.4.4.4 独立测试
          • 开发者应提供一组与其自测安全功能时使用得同等资源，以用于安全功能得抽样测试
      • 6.1.4.5 脆弱性评定
        • 基于已标识的潜在脆弱性，产品能够抵抗基本的攻击
  • 6.2 增强级安全技术要求
    • 6.2.1 安全功能要求
      • 6.2.1.1 网络层控制
        • 6.2.1.1.1 包过滤
          • 安全策略应使用默认禁止原则，即除非明确允许，否则就禁止
          • 安全策略应包含基于源IP地址，目的IP地址的访问控制
          • 安全策略应包含基于源端口，目的端口的访问控制
          • 安全策略应包含基于协议类型的访问控制
          • 安全策略可包含基于MAC地址控制
          • 安全策略可包含基于时间的访问控制
          • 应支持用户自定义的安全策略，安全策略可以是MAC地址，IP地址，端口，协议类型和时间的部分或全部组合
        • 6.2.1.1.2 NAT
          • 应支持双向NAT：SNAT和DNAT
          • SNAT应至少可实现“多对一”地址转换，使得内部网络主机访问外部网络时，其源IP地址被转换
          • DNAT应至少可实现“一对多”地址转换，将DMZ的IP地址/端口映射为外部网络合法IP地址/端口，使外部网络主机通过访问映射地址和端口实现对DMZ服务器的访问
        • 6.2.1.1.3 状态检测
          • 工控防火墙应具备状态检测功能，支持基于状态检测技术的访问控制
        • 6.2.1.1.4 动态开发端口
          • 工控防火墙应基本动态开放端口功能，应至少支持OPC，FTP协议
        • 6.2.1.1.5 IP/MAC地址绑定
          • 工控防火墙应支持自动或手动绑定IP/MAC地址；应能够检测IP地址盗用事件，拦截盗用IP地址的主机经过工控防火墙的各种访问
        • 6.2.1.1.6 流量监控
          • 能够通过IP地址，网络服务，时间和协议类型等参数或它们的组合对流量进行正确的统计
          • 能够实时或者以报表形式输出流量统计结果
          • 能够对流量超过预警值的行为进行警告
        • 6.2.1.1.7 宽带管理
          • 部署域间的工控防火墙应具备宽带保障功能，使得在宽带出现拥堵时，能够保障重要终端的网络通信
        • 6.2.1.1.8 抗拒绝服务攻击
          • ICMP Flood攻击
          • UDP Flood攻击
          • SYN Flood攻击
          • TearDrop攻击
          • Land 攻击
          • 超大ICMP数据攻击
        • 6.2.1.1.9 网络扫描防护
          • 工控防火墙应能够检测和记录扫描行为，包括对工控防火墙自身和受保护网络的扫描
      • 6.2.1.2 应用层控制
        • 6.2.1.2.1 应用协议控制
          • 支持HTTP，FTP，Telnet等通用应用层协议
          • 支持常用工业控制协议，如OPC，Modbus TCP ， Profinet，DNP3，IEC104等
          • 自定义应用类型
        • 6.2.1.2.2 工业协议深度内容检测
          • 工控协议格式规约检查，禁止不符合协议规约的通信
          • 对工业协议的操作类型，操作对象，操作范围等参数进行控制
          • 至少支持三种主流工控协议
            •  
            • Modbus TCP协议
            • OPC协议
            • S7协议
            • Ethernet/IP
            • FINS
    • 6.2.2 自身安全要求
      • 6.2.2.1 运维管理
        • 6.2.2.1.1 管理安全
          • 支持对授权管理员的口令鉴别方式，且口令设置满足安全要求
          • 应在所有授权管理员请求执行任何操作之前，对每个授权管理员进行唯一的身份鉴别
          • 应对授权管理员选择两种或两种以上组合的鉴别技术进行身份鉴别
          • 应具有登录失败处理功能，身份鉴别在经过一个可设定的鉴别失败最大次数后，工控防火墙应终止管理主机或用户建立的会话
          • 工控防火墙应为每一个规定的授权管理员提供一套唯一的为执行安全策略所必需的安全属性
        • 6.2.2.1.2 管理方式
          • 应支持进行本地管理工控防火墙
          • 应支持通过安全管理平台方式对工控防火墙进行集中管理
          • 应支持通过网络接口进行远程管理，并可限定可进行远程管理的网络接口
          • 应支持对可远程管理的主机地址（IP或MAC）进行限制
          • 应支持通过标准协议（如SNMP）对工控防火墙的状态进行监测，如CPU，内存使用率，接口状态等
          • 远程管理过程中，管理主机与工控防火墙之间的所有通信数据应加密传输
        • 6.2.2.1.3 管理能力
          • 向授权管理员提供设置和修改安全管理相关的数据参数的功能
          • 向授权管理员提供设置，查询和修改各种安全策略的功能
          • 向授权管理员提供管理审计日志的功能
          • 工控防火墙应支持将管理用户权限进行分离
      • 6.2.2.2 安全审计
        • 6.2.2.2.1 记录事件类型
          • 工控防火墙访问控制策略匹配的访问请求
          • 访问控制策略默认禁止的访问请求，包括试图穿越或达到工控防火墙的访问请求
          • 检测到的攻击行为
          • 试图登录工控防火墙管理端口和管理身份鉴别请求
          • 对工控防火墙系统重要管理配置操作，如增加/删除/修改管理员，保持/删除审计日志，更改安全策略和配置参数登录
          • 其他应记录的事件类型
        • 6.2.2.2.2 日志内容
          • 事件发生的日期事件，日期应包括年，月，日，时间应包括时分秒
          • 访问控制日志应包括数据包的协议类型，源地址，目标地址，源端口，目标端口，允许或禁止
          • 工控协议的深度内容检查信息
          • 管理日志应包括事件主体，事件客体，事件描述
          • 应根据日志内容设置日志级别，包括但不限于调试，信息，警告，错误等多个级别
        • 6.2.2.2.3 日志管理
          • 应只允许授权审计员对日志进行读取，存档，导出，删除和清空等操作
          • 应提供日志查阅工具，具备对审计事件以时间，日期，主体标识，客体标识等条件检索的能力，并且只允许授权的管理员使用查阅工具。
          • 审计事件应存储于掉电非易失性存储介质中，且在存储空间达到阈值时通知授权管理员进行处理
          • 应支持第三方日志管理系统对工控防火墙日志信息进行集中收集，存储
      • 6.2.2.3 安全管理
        • 6.2.2.3.1 安全支撑系统
          • 不提供多余的网络服务
          • 不含任何导致产品权限丢失，拒绝服务等中高风险的安全漏洞
        • 6.2.2.3.2 异常处理机制
          • 工控防火墙在非正常关机（比如掉电，强行关机）再重新启动后，应满足如下技术要求
            • 安全策略恢复到关机前的状态
            • 日志信息不会丢失
            • 管理员重新鉴别
      • 6.2.2.4 高可用性
        • 6.2.2.4.1 可用性保障
          • 部署在现场控制层的工控防火墙应具备Bypass功能，当工控防火墙自身出现断电或其他软硬件故障时，应使工控防火墙内部接口与外部接口直接物理连通，保持内部网络与外部网络之间的正常通信，并及时告警
        • 6.2.2.4.2 设备自检
          • 在初始化或启动期间，应能对设备硬件，程序或功能模块，重要配置文件等进行检测，当发现异常时能够及时告警，并对程序文件或者配置文件的异常提供一定的恢复功能
          • 在运行期间，应能在授权管理员的要求下或者周期性的对提供安全功能的模块或进程进行检测，当出现异常时能够及时告警，并自动恢复功能模块或者进程的运行
        • 6.2.2.4.3 运行模式
          • 支持学习模式 工控防火墙记录运行过程中经过防火墙的所有策略，资产等信息，形成白名单策略集
          • 应支持工控协议的深度内容检测学习策略，学习深度与工业协议深度内容检测深度一致
          • 支持验证模式或测试模式，该模式下工控防火墙对禁止策略进行告警，但不拦截
          • 支持正常工作模式，工控防火墙的正常工作模式，严格按照防护策略进行过滤等动作保护
        • 6.2.2.4.4 安全策略更新
          • 工控防火墙安全策略应用时不影响正常的数据通信
        • 6.2.2.4.5 时间同步
          • 工控防火墙应支持与时钟服务器自动同步时间功能
        • 6.2.2.4.6 电源冗余
          • 部署现场控制层的工控防火墙应提供双电源冗余功能
        • 6.2.2.4.7 散热方式
          • 部署现场控制层的工控防火墙应采取自然散热，无风扇方式设计
        • 6.2.2.4.8 双机热备
          • 部署域间的工控防火墙应具备双机热备份的能力，当主防火墙自身出现断电或其他软硬件故障时，备防火墙应及时发现并接管主防火墙进行工作
    • 6.2.3 性能要求
      • 见6.1.3
    • 6.2.4 安全保障要求
      • 6.2.4.1 开发
        • 6.2.4.1.1 安全架构
          • 与产品设计文档中对安全功能的描述一致
          • 描述与安全功能要求一致的安全域
          • 描述产品安全功能初始化的过程与安全措施
          • 证实产品安全功能能够防止被破坏
          • 证实产品安全功能能够防止安全策略被旁路
        • 6.2.4.1.2 功能规范
          • 完整描述产品的安全功能
          • 描述所有安全功能接口的目的与使用方法
          • 标识和描述每个安全功能接口相关的所有参数
          • 描述安全功能接口相关的安全功能实施行为
          • 描述由安全功能实施行为而引起的直接错误消息
          • 证实安全功能要求到到安全功能接口的追溯
          • 描述安全功能实施过程中，与安全功能接口相关的所有行为
          • 描述可能由安全功能接口的调用而引起的所有错误消息
        • 6.2.4.1.3 实现表示
          • 提供产品设计描述与实现表示实例之间的映射，并证明其一致性
          • 详细定义产品安全功能，达到无须进一步设计就能生成安全功能的程度
          • 实现表示以开发人员使用的形式提供
        • 6.2.4.1.4 产品设计
          • 根据子系统描述产品结构，并标识和描述产品安全功能的所有子系统
          • 描述安全功能所有子系统间的相互作用
          • 提供的映射关系能够证实设计中描述的所有行为能够映射到调用它的安全功能接口
          • 根据模块描述安全功能，并提供安全功能子系统到模块间的映射关系
          • 描述所有安全功能实现模块，包括其目的及与其他模块间的相互关系
          • 描述所有模块的安全功能要求相关接口与其他相邻接口的调用参数及返回值
          • 描述所有安全功能的支撑或相关模块，包括其目的及与其他模块间的相互作用
      • 6.2.4.2 指导性文档
        • 6.2.4.2.1 操作用户指南
          • 描述授权用户可访问的功能和特权，包含适当的警示信息
          • 描述如何以安全的方式使用产品提供的接口
          • 描述可用功能和接口，尤其是受用户控制的所有安全参数，适当时指明安全值
          • 明确说明与需要执行的用户可访问功能有关的每一种安全相关事件，包括改变安全功能所控制实体的安全特性
          • 标识产品运行的所有可能状态（包括操作导致的失败或者操作性错误），以及它们与维持安全运行之间的因果关系和联系
          • 实现安全目的所应执行的安全策略
        • 6.2.4.2.2 准备程序
          • 描述与开发者交付程序相一致的安全接收所交付产品必需的所有步骤
          • 描述安全安装产品及其运行环境必需的所有步骤
      • 6.2.4.3 生命周期支持
        • 6.2.4.3.1 配置管理能力
          • 为产品的不同版本提供唯一的标识
          • 使用配置管理系统对组成产品的所有配置项进行维护，并唯一标识各配置项
          • 提供配置管理文档，配置管理文档描述用于唯一标识配置项的方法
          • 配置管理系统提供一种自动方式来支持产品的生成，并确保只能对配置项进行已授权的变更
          • 配置管理文档包括配置管理计划，计划中需描述如何使用配置管理系统，并依据该计划实施配置管理
          • 配置管理计划描述配置项的变更（包括新建，修改，删除）控制程序
        • 6.2.4.3.2 配置管理范围
          • 产品，安全保障要求的评估证据和产品的组成部分
          • 实现表示，安全缺陷报告及其解决状态
        • 6.2.4.3.3 交付程序
          • 开发者应使用一定的交付程序交付产品，并将交付过程文档化。在给用户方交付产品的各版本时，交付文档应描述为维护安全所必需的所有程序
        • 6.2.4.3.4 开发安全
          • 应提供开发安全文档，开发安全文档应描述在产品的开发环境中，为保护产品设计和实现的保密性和完整性所必需的所有物理的，程序的，人员的和其他方面的安全措施
        • 6.2.4.3.5 生命周期的定义
          • 开发者应建立一个生命周期模型对产品的开发和维护进行的必要控制，并提供生命周期定义文档描述用于开发和维护产品的模型
        • 6.2.4.3.6 工具和技术
          • 开发者应明确定义用于开发产品的工具，并提供开发工具文档无歧义的定义实现中所有语句的含义和所有依赖选项的含义
        • 6.2.4.3.7 支撑系统安全保障
          • 若产品以软件形态提交，应在交付文档中详细描述支撑操作系统的兼容性，可靠性，安全性要求
          • 若产品以硬件形态提交，应选取和采用安全可靠的支撑操作系统，以最小化原则选取必要的系统组件，并采取一定的加固措施
        • 6.2.4.3.8 硬件安全保障
          • 产品应采用具有高可靠性，满足性能指标要求的硬件平台
          • 若硬件平台为外购，应制定相应程序对硬件提供商进行管理，对采购的硬件平台或i部件进行验证测试。并要求硬件提供商提供合格证明及必要的第三方环境适用性测试报告
      • 6.2.4.4 测试
        • 6.2.4.4.1 测试覆盖
          • 证实测试文档中所标识的测试与功能规范中所描述的产品的安全功能间的对应性
          • 证实功能规范中的所有安全功能接口都进行了测试
        • 6.2.4.4.2 测试深度
          • 证实测试文档中的测试与产品设计中的安全功能子系统和实现模块之间的一致性
          • 证实产品设计中的所有安全功能子系统，实现模块都以及进行过测试
        • 6.2.4.4.3 功能测试
          • 测试计划，标识要执行的测试，并描述执行每个测试的方案，这些方案包括对于其他测试结构的任何顺序依赖性
          • 预期的测试结果，表明测试成功后的预期输出
          • 实际测试结果和预期的测试结果一种
        • 6.2.4.4.4 功能安全测试
          • 开发者应按照GB/T 20438.3-2017中的7.9的要求进行产品软件功能安全测试
        • 6.2.4.4.5 性能测试
          • 测试计划，标识要执行的性能测试指标，并描述执行每个测试的方案，这些方案包括产品的安全参数及安全测试条件，测试工具仪表及其配置参数等
          • 测试结果，记录各个条件下测试的性能指标值
        • 6.2.4.4.6 独立测试
          • 开发者应提供一组与其自测安全功能时使用的同等资源，以用于安全功能的抽样测试
      • 6.2.4.5 脆弱性评定
        • 基于已标识的潜在脆弱性，产品能够抵抗较强的攻击