[转帖]信息技术数据库扫描器产品安全检验规范

翔羽

<p>编号：MSCTC-GFJ-13<br/>信息技术数据库扫描器产品安全检验规范</p><p>公安部计算机信息系统安全产品质量监督检验中心<br/>第一版 第0次修订&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <br/>2004年01月01日颁布&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 2004年02月01日实施</p><p>前&nbsp;&nbsp;&nbsp;&nbsp; 言</p><p>为了规范全国数据库扫描器产品的开发与应用，保障信息安全，根据公安部公共信息网络安全监察局的要求，本规范对数据库扫描器产品提出了安全功能要求，作为对其进行检测的依据。<br/>本规范由中华人民共和国公安部公共信息网络安全监察局提出。<br/>本规范起草单位：公安部计算机信息系统安全产品质量监督检验中心。<br/>公安部计算机信息系统安全产品质量监督检验中心负责对本规范的解释、提升和更改。</p><p>信息技术数据库扫描器产品安全检验规范</p><p>1 范围<br/>本规范规定了在网络中使用的数据库扫描器产品的安全功能要求和保证要求。<br/>本规范适用于数据库扫描器产品的生产及安全功能检测。</p><p>2 定义<br/>下列术语和定义适用于本测评规范：<br/>2.1 数据库扫描器产品&nbsp; Database Scanner product<br/>数据库扫描器产品是指对数据库进行安全漏洞扫描的产品，以发现数据库在安全配置方面存在的安全漏洞，提高数据库的安全。</p><p>3 数据库扫描器产品的安全功能要求<br/>3.1 自身安全功能要求<br/>3.1.1 身份鉴别<br/>只有授权管理员才能使用数据库扫描器产品的完整功能，对于授权管理员至少应采用用户名/口令方式对其进行身份认证。<br/>3.1.2 数据完整性<br/>数据库扫描器产品应确保用户信息、策略信息和关键程序的数据完整性。应采取必要的手段对其完整性自动进行检验。<br/>3.1.3 审计日志<br/>对产品的使用（包括登录、扫描分析等）应产生审计日志记录。<br/>3.2 安全功能要求<br/>3.2.1 身份鉴别机制脆弱性扫描<br/>数据库扫描器产品应检查目标数据库中是否存在身份鉴别机制方面的安全漏洞，如：用户口令强度不够，口令有效期过长等。<br/>3.2.2 用户授权机制脆弱性扫描<br/>数据库扫描器产品应检查目标数据库中是否存在用户授权机制方面的安全漏洞，如：普通用户拥有管理员权限等。<br/>3.2.3 数据安全性扫描<br/>数据库扫描器产品应检查目标数据库中是否存在数据安全性方面的安全漏洞，如：备份设置是否正确等。<br/>3.3 管理功能要求<br/>3.3.1 访问控制<br/>数据库扫描器产品应确保只有授权管理员才能访问数据库扫描器产品，即只允许授权管理员有配置和使用数据库扫描器产品的能力。<br/>3.3.2 扫描结果分析处理<br/>1)&nbsp;结果入库<br/>扫描结果应能写入数据库。<br/>2)&nbsp;结果导入导出<br/>可对结果数据库执行导入导出操作。<br/>3)&nbsp;结果报告<br/>数据库扫描器产品应能对结果数据库进行查询并形成报告，报告可分为下列类别：1.脆弱性报告，包括各脆弱点的详细信息、补救建议等；2.对目标主机扫描后的信息获取结果生成相应的报告；3.脆弱性分析报告，包括：目标的风险等级评估报告； <br/>4)&nbsp;定制报告<br/>报告应能根据用户要求进行定制。<br/>5)&nbsp;报告格式<br/>报告应可输出为通用的文档格式<br/>6)&nbsp;数据库浏览功能<br/>数据库扫描器产品应提供扫描结果数据库浏览功能。<br/>3.3.3 扫描策略定制<br/>1)&nbsp;策略定制<br/>数据库扫描器产品应能定制扫描项目及属性。<br/>2)&nbsp;定制便捷<br/>数据库扫描器产品应提供方便的定制策略的方法。<br/>3.3.4 扫描对象的安全性<br/>1)&nbsp;扫描预通知<br/>在开始进行漏洞扫描前，漏洞扫描产品应向目标主机发送警告信息，通知该主机即将对其进行扫描测试。<br/>2)&nbsp;对目标系统所在网络性能的影响<br/>扫描应不影响网络的正常工作，但可允许网络性能的少量降低。<br/>3)&nbsp;对目标系统的影响<br/>扫描应尽量避免影响目标系统的正常工作。<br/>3.3.5 升级能力<br/>1)&nbsp;升级方式<br/>数据库扫描器产品应具有升级能力。产品体系结构的设计应有利于产品的升级操作。<br/>2)&nbsp;手动升级<br/>对数据库扫描器产品至少可进行手动升级操作，更新漏洞特征库。<br/>4 数据库扫描器产品的保证要求<br/>4.1 交付和运行<br/>4.1.1交付过程<br/>4.1.1.1 开发者行为元素：<br/>a)&nbsp; 开发者应将把数据库扫描器产品及其部分交付给用户的程序文档化；<br/>b)&nbsp; 开发者应使用交付程序。<br/>4.1.1.2 证据元素的内容和表示<br/>&nbsp;交付文档应描述，在给用户方分配数据库扫描器产品的版本时，用以维护安全所必需的所有程序。<br/>4.1.2 安装、生成和启动程序<br/>4.1.2.1 开发者行为元素<br/>&nbsp;开发者应将数据库扫描器产品安全地安装、生成和启动所必需的程序文档化。<br/>4.1.2.2 证据元素的内容和表示<br/>&nbsp;文档应描述数据库扫描器产品安全地安装、生成和启动所必要的步骤。<br/>4.2 指导性文档<br/>4.2.1 管理员指南<br/>4.2.1.1 开发者行为元素<br/>&nbsp;&nbsp;&nbsp; 开发者应当提供针对系统管理员的管理员指南。<br/>4.2.1.2&nbsp; 证据的内容和形式元素：<br/>&nbsp;&nbsp;&nbsp; a)&nbsp; 管理员指南应当描述数据库扫描器产品管理员可使用的管理功能和接口；<br/>&nbsp;&nbsp;&nbsp; b)&nbsp; 管理员指南应当描述如何以安全的方式管理数据库扫描器产品；<br/>&nbsp;&nbsp;&nbsp; c)&nbsp; 管理员指南应当包含在安全处理环境中必须进行控制的功能和权限的警告；<br/>&nbsp;&nbsp;&nbsp; d)&nbsp; 管理员指南应当描述所有与数据库扫描器产品的安全运行有关的用户行为的假设；<br/>&nbsp;&nbsp;&nbsp; e)&nbsp; 管理员指南应当描述所有受管理员控制的安全参数，合适时，应指明安全值；<br/>&nbsp;&nbsp;&nbsp; f)&nbsp; 管理员指南应当描述每一种与需要执行的管理功能有关的安全相关事件，包括改变TSF所控制的实体的安全特性；<br/>&nbsp;&nbsp;&nbsp; g)&nbsp; 管理员指南应当与为评估而提供的其他所有文档保持一致；<br/>&nbsp;&nbsp;&nbsp; h)&nbsp; 管理员指南应当描述与管理员有关的IT环境的所有安全要求。<br/>4.2.2&nbsp; 用户指南<br/>4.2.2.1&nbsp; 开发者行为元素<br/>&nbsp;&nbsp;&nbsp; 开发者应当提供用户指南。<br/>4.2.2.2&nbsp; 证据的内容和形式元素：<br/>&nbsp;&nbsp;&nbsp; a)&nbsp; 用户指南应该描述数据库扫描器产品的非管理用户可用的功能和接口；<br/>&nbsp;&nbsp;&nbsp; b)&nbsp; 用户指南应该描述数据库扫描器产品提供的用户可访问的安全功能的用法；<br/>&nbsp;&nbsp;&nbsp; c)&nbsp; 用户指南应该包含受安全处理环境中所控制的用户可访问的功能和权限的警告；<br/>&nbsp;&nbsp;&nbsp; d)&nbsp; 用户指南应该清晰地阐述数据库扫描器产品安全运行中用户所必须负的职责，包括有关在数据库扫描器产品安全环境阐述中找得到的用户行为的假设；<br/>&nbsp;&nbsp;&nbsp; e)&nbsp; 用户指南应该与为评估而提供的其它所有文档保持一致；<br/>&nbsp;&nbsp;&nbsp; f)&nbsp; 用户指南应该描述与用户有关的IT环境的所有安全要求。<br/></p>

阳光

我来看看！谢谢  

小米米

我的妈呀，爱死你了