2022信息安全技术服务器安全技术要求和测评准则

信息安全技术服务器安全技术要求和测评

准则

目录

前言.....................................................................................III

引言......................................................................................IV

信息安全技术服务器安全技术要求和测评准则................................................1

1范围.....................................................................................1

2规范性引用文件..........................................................................1

3术语、定义和缩略语......................................................................1

3.1术语和定义..........................................................................1

3.2缩略语..............................................................................2

4总体描述................................................................................2

5安全技术要求............................................................................2

5.1安全功能要求........................................................................2

5.1.1设备标签........................................................................2

5.1.2硬件接口安全...................................................................2

5.1.3固件安全........................................................................3

5.1.4软件安全........................................................................3

5.1.5可靠运行支持....................................................................3

5.1.6安全管理.......................................................................4

5.2安全保障要求........................................................................5

5.2.1安全管理制度及组织.............................................................5

5.2.2开发.......................................................................5

5.2.3指导性文档.....................................................................5

5.2.4生命周期支持...................................................................6

5.2.5测试...........................................................................6

5.2.6脆弱性评定.....................................................................7

5.2.7维护...........................................................................7

6安全测评准则............................................................................7

6.1测试环境...........................................................................7

6.2安全功能要求测评...................................................................8

6.2.1设备标签......................................................................8

6.2.2硬件接口安全..................................................................8

6.2.3固件安全......................................................................9

6.2.4软件安全......................................................................10

6.2.5可靠运行支持.................................................................11

6.2.6安全管理......................................................................12

6.3安全保障要求测评..................................................................14

6.3.1安全管理制度和组织............................................................14

6.3.2开发..........................................................................14

6.3.3指导性文档.....................................................................15

6.3.4生命周期支持..................................................................16

6.3.5测试..........................................................................18

6.3.6代码安全性测试................................................................19

6.3.7脆弱性评定.....................................................................19

6.3.8维护..........................................................................19

6.4测评结论...........................................................................20

附录A.....................................................................................................................................................................21

参考文献.................................................................................22

信息安全技术服务器安全技术要求和测评准则

1范围

本标准规定了服务器的安全技术要求、测评准则和安全等级划分。本

标准适用于服务器的研制、生产、维护和测评。

2规范性引用文件

下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是

不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。

GB/T20272信息安全技术操作系统安全技术要求

GB/T20273信息安全技术数据库管理系统安全技术要求

GB/T25069-2010信息安全技术术语

GB/T36639-2018信息安全技术可信计算规范服务器可信支撑平台

3术语、定义和缩略语

3.1术语和定义

GB/T20272>GB/T20273>GB/T25069-2010、GB/T36639-2018界定的以及下列术语和定义适用于

本文件。

3.1.1

服务器server

是网络环境下为用户提供计算服务的计算机系统，一般包含独立计算单元、存储单元、网络传输单元、

监控管理单元、供电单元及配套软件。

3.1.2

服务器引导固件serverbootfirmware

负责服务器芯片组的初始化和配置，收集、汇总硬件资源信息并引导进入操作系统的程序。

3.1.3

带外管理模块out-of-bandmanagementmoduIe

是通过专用物理通道对服务器进行控制管理和维护的独立管理单元。

注：例如，x86平台的BMC、Power平台的FSP等。

3.1.4

带外管理模块固件out-of-bandmanagementmoduIefirmware

存在于带外管理模块中，用于实现其功能的程序。

3.1.5

检查examination

测评者对测评对象采用观察、查验、分析等方法进行静态评估的活动。

3.1.6

测试testing

测评者遵循相关的流程，对测评对象采用预定的方法/工具使其产生特定行为的活动。

3.2缩略语

下列缩略语适用于本文件。

CPU：中央处理器(centralprocessingunit)

CISC：复杂指令集计算机(complexinstructionsetcomputer)

RISC：精简指令集计算机(reducedinstructionsetcomputer)

EPIC：显示并行指令集计算机(explicitlyparallelinstructioncomputer)

PCI-E:高速外围设备互联(peripheralcomponentinterconnectexpress)

4总体描述

服务器是网络环境下为用户或终端提供计算服务的计算机系统，一般应包含独立计算单元、存储单

元、网络传输单元、监控管理单元、供电单元及配套软件(如驱动程序)等。为用户或终端提供的计算服

务可以表现为硬件计算能力，也可以是集成相关软件后形成的应用计算、数据计算、图形计算等能力。其中，硬

件计算能力是服务器提供的最基本计算服务。服务器的类型可以从多个角度来划分：根据服务器CPU指令集分

类，主要分为CISC、RISC、EPIC；根据服务器支持的CPU个数分类，主要分为单路、双路、多路(如四路、八

路)等；根据服务器的外型分类，主要分为塔式、机架式、刀片式和机柜式等。

本标准将服务器安全技术要求分为安全功能要求和安全保障要求两部分。其中安全功能要求是对服务

器应具备的安全功能提出的具体要求，包括设备标签、硬件接口安全、固件安全、软件安全、可靠运行支持和

自身安全管理；安全保障要求是对服务器生命周期过程提出的具体要求，包括安全管理制度及组织、开发、指

导性文档、生命周期支持、测试、脆弱性评估和维护等。

根据服务器安全技术发展情况及应用需求，结合服务器安全功能的强弱，以及安全保障要求的高低，将服

务器安全技术要求划分为基本级和增强级。(具体见“附录A”)。

5安全技术要求

5.1安全功能要求

5.1.1设备标签

应在服务器显著位置设置标签，以标识服务器设备信息(包括但不限于设备型号、设备唯一识别码、生

产日期、生产厂商等)。

5.1.2硬件接口安全

硬件接口安全功能应满足以下要求：

a)对预留的外部硬件接口进行说明，说明信息包括但不限于接口类型、电气规格、功能、开放端

2

GB/TXXXXX—XXXX

口和服务列表（如果适用）等；

b）对具备维护或调试功能的外部硬件接口采取安全控制措施，如禁用、采用专用工具、认证等，

以防止非授权使用。

5.1.3固件安全

5.1.3.1完整性保护

固件完整性保护安全功能应满足以下要求：

a）对服务器引导固件、带外管理模块固件提供存储区保护机制，防止非授权操作破坏固件的完整性；

b）对带外管理模块固件访问服务器引导固件存储区的通道进行安全防护，防止非授权访问；

c）依据GB/T36639-20185.2a）、b）和6.1的要求，基于物理可信根，在服务器启动时构建信

任链，防止服务器关键固件被篡改；

注：物理可信根是硬件和固件的集合，可以采用独立封装方式，也可以采用知识产权核和其他芯片集成的方

式。

d）在构建信任链过程中，度量对象至少包含服务器引导固件、硬盘主引导扇区或引导文件等。

5.1.3.2更新安全

固件更新安全功能应满足以下要求：

a）对待更新的服务器引导固件和带外管理模块固件镜像文件的真实性和完整性进行校验，验证通过

后方可允许执行；

b）固件更新时，应在获得用户授权后方可进行，并以明显方式告知用户更新的开始与结束；

c）依据GB/T36639-20185.2b）的要求，基于物理可信根，对待更新的服务器引导固件镜像文

件进行校验后，方可进行固件更新。

5.1.3.3固件恢复

服务器引导固件和带外管理模块固件的固件恢复安全功能应满足以下要求：

a）提供固件镜像文件手动恢复机制，以便固件破坏后进行人工恢复；

b）提供固件镜像文件自动恢复机制，在检测到固件破坏后，根据预定的策略进行自动恢复。

5.1.4软件安全

服务器配套软件安全满足以下要求：

a）应对服务器配套驱动程序的真实性和完整性提供校验机制，以验证其来源的真实性和完整性；

b）服务器配套的操作系统（若有），宜符合GB/T20272第三级及以上的要求；

c）服务器配套的数据库管理系统（若有），宜符合GB/T20273第三级及以上的要求；

d）除上述外配套软件外，应对其他配套软件采取安全措施，确保其来源的真实性和完整性。

5.1.5可靠运行支持

服务器可靠运行支持应满足以下要求：

a）对服务器关键部件（包括电源、风扇、硬盘、内存等）进行冗余设计，硬盘、风扇、电源支持热

插拔功能；

b）对服务器关键部件的温度、电压、功耗，风扇转速等进行安全监控，当监测数值超过预先设定的

阈值时应报警；

3

c）提供服务器关键部件（包括但不限于CPU,硬盘、内存等）故障定位的机制；

d）对服务器关键冗余部件（如从CPU、硬盘、内存、PCI-E设备等）提供故障隔离机制，当某一

部件出现故障时，服务器仍可提供计算服务。

5.1.6安全管理

5.1.6.1身份标识与鉴别

服务器身份标识与鉴别应满足以下要求：

a）对服务器引导固件和带外管理模块固件中用户身份进行标识和鉴别，身份标识具有唯一性；

b）服务器引导固件和带外管理模块固件提供默认账号口令修改机制；

c）带外管理模块固件中用户设置口令时，应对口令的复杂度进行验证，确保用户口令满足一定复杂

度要求；

d）带外管理模块固件具备鉴别失败处理功能，如配置并启用结束会话、限制连续的非法登录尝试次

数等措施；

e）带外管理模块固件具备登录连接超时自动退出机制；

f）服务器引导固件和带外管理模块固件对用户身份鉴别信息的存储采取必要安全措施，保证其保密

性。

5.1.6.2授权与访问控制

服务器授权与访问控制安全功能应满足以下要求：

a）依据最小权限的原则，为服务器引导固件和带外管理模块固件中默认用户预置访问控制策略；

b）在带外管理模块固件中用户访问受控资源或功能时，依据设置的控制策略进行授权和访问控制;

c）服务器引导固件和带外管理模块固件中不存在隐藏的特权页面和功能。

5.1.6.3安全审计

服务器带外管理模块安全审计功能应满足以下要求：

a）审计事件至少包括：

1）用户的登录和注销、系统开关机、用户创建、删除、密码修改；

2）核心安全配置（如访问控制策略、自动更新策略、安全监控策略等）的变更；

3）固件更新和恢复记录；

b）在审计记录中至少应包括以下内容：事件发生日期和时间、用户名、事件描述（包括类型、操作

结果）、IP地址或主机名（采用远程管理方式时）；

c）对审计记录进行保护，避免受到非预期的删除、修改或覆盖等；

d）提供审计记录备份或输出功能。

5.1.6.4远程管理

服务器带外管理模块的远程管理安全功能应满足以下要求：

a）提供开放端口和服务列表，并明示其用途；

GB/TXXXXX—XXXX

b）采用安全的网络协议或接口对传输数据进行保护；

c）对远程管理终端的接入进行限制，如设定网络地址范围；

d）提供密钥保护机制，保证密钥使用过程的安全性。

5.2安全保障要求

5.2.1安全管理制度及组织

开发者应提供完备的安全管理制度及组织描述，其描述应满足以下要求：

a）指定组织内的高级管理人员担任安全责任人；

b）对安全管理活动中的主要管理内容建立安全管理制度和操作规程；

c）定义、识别和维护服务器在设计、开发和维护阶段的相关安全角色，明确角色相对应的安全职责,

并满足最小授权、职责分离原则；

d）明确重要岗位人员的安全责任和要求，并定期对其进行安全培训。

5.2.2开发

5.2.2.1安全架构

开发者应提供服务器安全功能的安全架构描述，安全架构描述应满足以下要求：

a）与服务器设计文档中对安全功能的描述范围相一致；

b）充分描述服务器采取的自我保护、不可旁路的安全机制。

5.2.2.2功能规范

开发者应提供完备的功能规范说明，功能规范说明应满足以下要求：a）

描述5.1中定义的安全功能；

b）标识和描述服务器所有安全功能接口的目的、使用方法及相关参数；c）

描述安全功能实施过程中，与安全功能接口相关的所有行为；

d）描述可能由安全功能接口的调用而引起的所有直接错误消息。

5.2.2.3产品设计

开发者应提供服务器设计文档，服务器设计文档应满足以下要求：

a）标识和描述服务器安全功能的所有子系统，并描述子系统间的相互作用；b）

提供子系统和安全功能接口间的对应关系；

c）通过实现模块描述安全功能，标识和描述实现模块的目的、相关接口及返回值等，并描述实现

模块间的相互作用及调用的接口；

d）提供实现模块和子系统间的对应关系。

5.2.2.4实现表示

开发者应提供服务器安全功能的实现表示，实现表示应满足以下要求：a）

详细定义服务器安全功能，包括软件/固件、设计数据等实例；b）提

供实现表示与服务器设计描述间的对应关系。

5.2.3指导性文档

5

5.2.3.1用户指南

开发者应提供明确和合理的用户指南，对每一种用户角色的描述应满足以下要求：

a）描述用户能够访问的功能和特权，包含适当的警示信息；

b）描述服务器安全功能及接口的用户操作方法，包括配置参数的安全值等；

c）标识和描述服务器运行的所有可能状态，包括操作导致的失败或者操作性错误；d）

描述实现服务器安全目的必须执行的安全策略。

5.2.3.2准备程序

开发者应提供服务器及其准备程序，准备程序描述应满足以下要求：

a）描述与开发者交付程序相一致的安全接收所交付服务器必需的所有步骤；

b）描述安全安装服务器及其运行环境必需的所有步骤。

5.2.4生命周期支持

5.2.4.1配置管理能力

开发者的配置管理能力应满足以下要求：

a）为服务器引导固件和带外管理模块固件的不同版本提供唯一的标识；

b）使用配置管理系统对组成服务器的所有配置项进行维护，并进行唯一标识；

c）提供配置管理文档，配置管理文档描述用于唯一标识配置项的方法；

d）配置管理系统提供自动方式来支持服务器配置项的生成，通过自动化措施确保配置项仅接受授

权变更；

e）配置管理文档包括一个配置管理计划，描述如何使用配置管理系统开发服务器，包括修改过或

新建的作为服务器组成部分的配置项。开发者实施的配置管理应与配置管理计划相一致。

5.2.4.2配置管理范围

开发者应提供服务器配置项列表，并说明配置项的开发者。配置项列表应包含以下内容：

a）服务器本身、服务器的组成部分和安全保障要求的评估证据；

b）对于每一个安全功能相关的配置项，配置项列表应简要说明该配置项的开发者；

c）实现表示、安全缺陷报告及其解决状态。

5.2.4.3交付程序

开发者应使用一定的交付程序交付服务器，并将交付过程文档化。在给用户方交付服务器时，交付文

档应描述为维护服务器安全功能所必需的所有程序。

5.2.4.4开发安全

开发者应提供开发安全文档。开发安全文档应描述在服务器的开发环境中，为保护服务器设计和实

现的保密性和完整性所必需的所有物理的、程序的、人员的和其他方面的安全措施。

5.2.4.5生命周期定义

开发者应建立一个生命周期模型对服务器的开发和维护进行的必要控制，并提供生命周期定义文档

描述用于开发和维护服务器的模型。

5.2.5测试

6

GB/TXXXXX—XXXX

5.2.5.1测试覆盖

开发者应提供测试覆盖文档，测试覆盖描述应满足以下要求：

a）表明测试文档中所标识的测试与功能规范中所描述的服务器的安全功能间的对应性；

b）表明上述对应性是完备的，并证实功能规范中的所有安全功能接口都进行了测试。

5.2.5.2测试深度

开发者应提供测试深度的分析。测试深度分析描述应满足以下要求：

a）证实测试文档中的测试与服务器设计中的安全功能子系统和实现模块之间的一致性；

b）证实服务器设计中的所有安全功能子系统、实现模块都已经进行过测试。

5.2.5.3功能测试

开发者应测试服务器安全功能，将结果文档化并提供测试文档。测试文档应包括以下内容：

a）测试计划，标识要执行的测试，并描述执行每个测试的方案，这些方案包括对于其他测试结果的任

何顺序依赖性；

b）预期的测试结果，表明测试成功后的预期输出；

c）实际测试结果和预期的测试结果的对比一致性。

5.2.5.4独立测试

开发者应提供一组与开发安全功能中同等的一系列资源，以用于功能的抽样性测试。

5.2.5.5代码安全性测试

开发者应对服务器引导固件和带外管理模块固件代码进行安全性测试，将结果文档化并提供代码安全

性测试文档，确保代码中不包含潜在的严重安全缺陷。

5.2.6脆弱性评定

开发者应基于已标识的潜在脆弱性，对服务器进行脆弱性评定测试，将结果文档化并提供脆弱决策评

定文档。脆弱性评定文档应包括以下内容：

a）具有基本攻击潜力的攻击者的攻击；

b）具有增强型基本攻击潜力的攻击者的攻击。

5.2.7维护

开发者在服务器维护阶段应满足以下要求：

a）建立并执行服务器安全缺陷、漏洞的应急响应机制和流程；

b）发现服务器存在安全缺陷、漏洞时，应及时采取修复或替代方案等补救措施。

6安全测评准则

6.1测试环境

服务器安全测试环境参见图1。图1中，服务器是测评对象，并应部署与其兼容的操作系统以支撑测试实

施；远程管理终端主要用于服务器固件安全、可靠运行支持、安全管理等测评；网络抓包工具主要用于服务器

远程管理时对网络传输数据安全性的测评；渗透测试工具主要用于对服务器可能存在的特权页面和功能的测评，

以及为脆弱性评定提供支持。

7

服分器

交投机

网络抓包工具远程管理终端渗透测试工具

图1服务器安全测试环境

测试实施前，应参考图1搭建测试环境。

6.2安全功能要求测评

6.2.1设备标签

设备标签测评包含以下要求：

a）测试实施应包括：

1）检查服务器设备标签粘贴的位置；

2）查看并记录设备标签中相关信息；

3）查看产品相关资料，与步骤2中记录的信息进行比对。

b）预期结果：

1）在步骤1中，服务器设备标签粘贴在机箱显著位置，且用户较方便查看；

2）在步骤2中，服务器设备标签中至少包含了设备型号、设备唯一识别码、生产日期、生产厂

商等信息；

3）在步骤3中，对比结果为一致。

c）结果判定：

如果3）符合预期结果，则符合5.1.1要求，否则为不符合。

6.2.2硬件接口安全

硬件接口安全测评包含以下要求：

a）测试实施应包括：

1）检查是服务器接口说明的资料和服务器外部所有接口，查看其所有外部硬件接口说明情况;

2）检查相关说明材料对接口类型、电气规格、用途、开放端口列表（如果适用）等的描述；

3）对2）中描述的具备维护或调试功能的外部硬件接口和安全控制措施，测试其功能的有效

性。

b）预期结果：

8

GB/TXXXXX—XXXX

1）在步骤1中，所提供的服务器用户手册或规格说明材料中对服务器所有外部硬件接口都有说

明信息，不存在其他未说明的外部物理接口；

2）在步骤2中，所提供的相关说明材料中对外部物理接口的描述信息至少包含了接口类型、电

气规格、功能、开放端口列表（如果适用）等；

3）在步骤3中，测试结果为有效。

c）结果判定：

如果1）-3）符合预期结果，则符合5.1.2要求，否则为不符合。

6.2.3固件安全

6.2.3.1完整性保护

固件完整性保护安全测评包含以下要求：

a）测试实施应包括：

1）检查相关设计文档，查看服务器引导固件、带外管理模块固件存储区域是否包含保护机制设计;

2）通过非正常授权方式访问固件存储区域，尝试篡改固件存储区域内容；

3）检查相关设计文档，查看带外管理模块固件对服务器引导固件存储区访问通道的安全性设计内

容；

4）从带外管理模块固件通过非正常授权方式尝试访问服务器引导固件存储区域；

5）检查相关设计文档，查看服务器基于物理可信根实现信任链的构建的设计内容；

6）检查物理可信根是否满足国家相关规定；

7）根据用户操作指南，登录服务器引导固件配置管理界面，检测物理可信根相关信息，并测

试其基本功有效性；

8）检查服务器用户指南及相关文档，查看信任链构建过程中度量对象涵盖范围；

9）启动服务器，测试各度量对象存储的完整性数据，及相关度量日志数据，检查与7）中描

述的信息一致性情况。

b）预期结果：

1）在步骤1中，设计文档中包含了服务器引导固件、带外管理模块固件存储区域保护机制设计,

且描述完整无误；

2）在步骤2中，通过非授权访问篡改固件存储区域内容失败；

3）在步骤3中，设计文档包含了带外管理模块固件访问服务器引导固件存储区的通道进行了安

全防护设计，且描述完整无误；

4）在步骤4中，通过非授权访问服务器引导固件存储区失败；

5）在步骤5中，包含基于物理可信根实现信任链的构建的设计内容，且描述完整无误；

6）在步骤6中，物理可信根满足国家相关规定；

7）在步骤7中，能够查看到物理可信根硬件根相关信息，相关基本功能测试有效；

8）在步骤8中，设计文档及用户手册中包含了信任链构建过程中度量对象的描述，且描述完

整无误：

9）在步骤9中，通过查看各度量对象存储完整性信息和度量日志信息，与7）中描述一致。

c）结果判定：

1）如果1）-4）符合预期结果，则符合5.1.3.1a）、b）的要求，否则为不符合；

2）如果5）-9）符合预期结果，则符合5.1.3.1c）、d）的要求，否则为不符合。

6.2.3.2更新安全

9

固件更新安全测评包含以下要求：

a）测试实施应包括：

1）检查相关文档，查看是否提供服务器引导固件和带外管理模块固件更新验证机制；

2）伪造服务器引导固件更新文件和带外管理模块固件更新文件，测试更新验证机制有效性；

3）随意修改服务器引导固件更新文件和带外管理模块固件更新文件，测试更新验证机制对其完

整性验证有效性；

4）执行固件更新操作，检查该操作用户授权控制，以及更新的开始和结束的提示信息；

5）检查相关文档，查看服务器引导固件更新机制关于基于物理可信根实现描述情况；

6）登录服务器引导固件管理界面，将物理可信根状态设置为禁用，测试基于物理可信根验证

引导固件更新机制有效性；

7）登录服务器引导固件管理界面，将物理可信根状态设置为启用，测试基于物理可信根验证

引导固件更新机制有效性。

b）预期结果：

1）在步骤1中，相关文档中包含服务器引导固件、带外管理模块固件更新验证机制内容；

2）在步骤2中，测试更新固件文件时有真实性验证，更新失败；

3）在步骤3中，测试更新固件文件时有完整性验证，更新失败；

4）在步骤4中，测试更新固件时，具备操作用户授权验证机制，开始更新和更新结束时有提示

信息;

5）在步骤5中，相关文档包含基于物理可信根实现引导固件更新相关内容，且描述完整无误;

6）在步骤6中，测试结果为无法更新；

7）在步骤7中，测试结果为可正常更新。

c）结果判定：

1）如果1）-4）符合预期结果，则符合5.1.3.2a）、b）的要求，否则为不符合；

2）如果5）-7）符合预期结果，则符合5.1.3.2c）的要求，否则为不符合。

6.2.3.3固件恢复

固件恢复安全测评包含以下要求：

a）测试实施应包括：

1）根据用户手册，对服务器引导固件和带外管理模块固件进行手工恢复操作，测试其有效性；

2）配置服务器引导固件和带外管理模块固件自动更新策略；

3）触发固件自动更新条件，测试其自动更新功能的有效性。

b）预期结果：

1）在步骤1中，服务器引导固件和带外管理模块固件手动恢复成功；

2）在步骤2中，服务器引导固件、带外管理固件提供自动恢复配置策略；

3）在步骤3中，自动更新成功。

c）结果判定：

1）如果1）符合预期结果，则符合5.1.3.3a）的要求，否则为不符合；

2）如果2）-3）符合预期结果，则符合5.1.3.3b）的要求，否则为不符合。

6.2.4软件安全

软件安全测评应包含以下要求:

a）测试实施应包括：

10

GB/TXXXXX—XXXX

1）检查相关文档，查看配套软件列表与测试对象内容的一致性；

2）伪造一份数字签名证书对驱动程序进行签名，尝试安装该驱动程序:

3）篡改驱动程序文件，尝试安装该驱动程序；

4）配套软件列表中若包含操作系统，查看操作系统相关安全证明材料，检查是否达到

GB/T20272第三级的要求；

5）配套软件列表中若包含数据库管理系统，查看数据库管理系统相关安全证明材料，检查是

否达到GB/T20273第三级的要求；

6）检查服务器配套的其他软件安全措施，这些安全措施包括第三方软件提供的正式授权文件,

和/或第三方测评机构出具的安全资质证明材料，和/或测试基于数字签名的安全机制有

效性。

b）预期结果:

1）在步骤1中，所提供的软件列表和被测试对象一致；

2）在步骤2中，提示驱动程序不合法/已破坏，安装失败;

3）在步骤3中，提示驱动程序不合法/已破坏，安装失败;

4）在步骤4中，操作系统相关安全证明材料达到要求；

5）在步骤5中，操作系统相关安全证明材料达到要求；

6）在步骤6中，具备相关证明材料，和/或安全机制有效。

c）结果判定:

1）如果1）-3）符合预期结果，则符合，5.1.4a）的要求，否则为不符合；

2）如果4）-6）符合预期结果，则符合，5.1.4b）-d）的要求，否则为不符合。

6.2.5可靠运行支持

可靠运行支持安全测评包含以下要求:

a）测试实施应包括：

1）检查服务器电源、风扇、硬盘、内存等冗余配置；

2）通过故障引入操作等方式，进行电源、风险、硬盘、内存等热插拔操作判断有效性；

3）登录服务器监控管理模块，查看关键部件的温度、电压、功耗，以及风扇转速等实时更新情

况。安全监控的功能；

4）针对3）中各项监控对象，配置报警阈值并通过模拟异常状态使各监控超过阀值，查看报

警情况；

5）分别模拟服务器CPU、硬盘、内存出现故障，查看服务器识别、定位故障情况；

6）在关键部件出现故障后，操作部件隔离，隔离状态包括但不限于设备断开、停止供电、接

口关闭等；同时查看服务器运行过程调用冗余部件情况；

7）在6）的测试基础上，故障部件隔离生效后，检查服务器运行状态；

8）在7）的基础上，操作故障部件恢复，查看运行状态。

b）预期结果

1）在步骤1中，电源、风险、硬盘、内存等支持冗余配置；

2）在步骤2中，硬盘、风扇、电源支持热插拔功能，测试热插拔能够提供保障能力有效；

3）在步骤3中，服务器能提供关键部件安全监控，数据直观、易读，具备实时性；

4）在步骤4中，服务器对所监控的关键部件监测数值超过预先设定的阈值时提供报警（通过声、

光、网络报文等方式皆可）；

5）在步骤5中，能够对CPU、硬盘、内存出现故障提示，并进行定位（比如通过声、光、日

志记录等方式提供了明确的提示信息）；

11

6）在步骤6中，能够手动或自动方式对故障部件进行有效隔离，同时调用冗余部件；

7）在步骤7中，故障部件隔离后，冗余部件正常运行；

8）在步骤8中，故障部件恢复后，可正常运行。

c）结果判定：

1）如果1）-4）符合预期结果，则符合5.1.5a）-b）的要求，否则为不符合；

2）如果5）-8）符合预期结果，则符合5.1.5c）-e）的要求，否则为不符合。

6.2.6安全管理

6.2.6.1身份标识与鉴别

身份标识与鉴别安全测评包含以下要求：

a）测试实施应包括：

1）用管理员账户登录服务器引导固件和带外管理模块固件，查看已有的用户列表，并尝试新建

同名用户；

2）登录服务器引导固件和带外管理模块固件，修改默认口令；

3）在带外管理模块中修改口令时，根据其提供的复杂度要求，尝试设置不同复杂度要求的口令;

4）尝试使用错误登录信息，查看返回信息及操作失败限制次数；

5）登录带外管理模块固件，设置会话超时时间，判断超时后的现象；

6）通过访问服务器引导固件和带外管理模块固件,查看鉴别信息存储形式。

b）预期结果：

1）在步骤1中，创建同名用号失败；

2）在步骤2中，修改默认密码成功；

3）在步骤3中，修改口令符合密码复杂要求才能修改成功，（如至少8位包含数字、字母、和

/或特殊字符）；

4）在步骤4中，提供鉴别失败处理功能返回信息（如限制非法登录次数，登录失败次数超过

设定值则结束会话等）；

5）在步骤5中，闲置超过设定时间后，系统自动退出到登录界面；

6）在步骤6中，鉴别信息为非明文形式存储。

c）结果判定：

如果1）-6）符合预期结果，则符合5.1.6.1的要求，否则为不符合。

6.2.6.2授权与访问控制

授权与访问控制安全测评包含以下要求：

a）测试实施应包括：

1）以提供的默认用户列表分别登录服务器引导固件和带外管理模块固件管理界面，查看其操

作权限范围；

2）在带外管理模块固件系统中手动配置访问控制策略，并测试效果；

3）通过测试环境中的渗透测试工具，查看测试结果。

b）预期结果：

1）在步骤1中，默认用户权限满足最小权限原则，与预置控制策略一致；

2）在步骤2中，根据设置的控制策略对用户进行授权和访问控制操作有效；

3）在步骤3中，不存在未经声明的特殊权限页面和功能。

12

GB/TXXXXX—XXXX

c）结果判定：

如果1）-3）符合预期结果，则符合5.1.6.2的要求，否则为不符合。

6.2.6.3安全审计

安全审计安全测评包含以下要求：

a）测试实施应包括：

1）在服务器带外管理模块上分别执行登录、注销、系统开关机、用户创建、删除、密码修改等

操作，查看审计日志是否记录上述操作；

2）在服务器带外管理模块进行核心安全配置变更操作（如访问控制策略、自动更新策略、安全

监控策略等），查看审计日志是否记录上述操作；

3）在服务器带外管理模块上进行固件更新和恢复，查看审计日志是否记录上述操作；

4）查看1）-2）中审计记录主要内容；

5）检查审计日志保护措施，以某个系统用户试图删除、修改或覆盖审计记录；

6）登录服务器带外管理模块测试审计信息备份、输出等功能。

b）预期结果：

1）在步骤1中，上述操作记录在审计日志中；

2）在步骤2中，核心安全配置变更记录在审计日志中；

3）在步骤3中，固件更新和恢复记录在审计日志中；

4）在步骤4中，审计日志事件包含发生日期和时间、用户名、事件描述（包括类型、操作结

果）、IP地址或主机名（采用远程管理方式时）等；

5）在步骤5中，无法删除、修改、覆盖审计记录，预设的审计保护措施有效；

6）在步骤6中，有审计信息备份功能及输出到其他日志系统的功能。

c）结果判定：

1）如果1）、4）-5）符合预期结果，则符合5.1.6.4a）1）,4）-6）的要求，否则为不符合；

2）如果2）-3）符合预期结果，则符合5.1.6.4a）2）-3）的要求，否则为不符合。

6.2.6.4远程管理

远程管理安全测评包含以下要求：

a）测试实施应包括：

1）检查相关文档中对服务器外开放端口、服务、协议列表及用途说明；

2）通过网络抓包工具抓获网路传输数据；

3）登录远程管理终端，配置网络接入地址控制策略；

4）采用控制策略规定外的地址登录远管理终端；

5）检查相关文档，查看服务器远程管理相关密钥管理设计内容；

6）搭建测试环境，测试密钥存储和传输的安全性。

b）预期结果：

1）在步骤1中，文档中包含服务器对外开放的端口、协议、服务及用途说明；

2）在步骤2中，抓获的远程管理数据为非明文形式；

3）在步骤4中，拒绝连接接入；

4）在步骤5、6中，文档中有密钥安全性设计，测试结果与设计相符。

c）结果判定：

1）如果1）-3）符合预期结果，则符合5.1.6.4a）-c）的要求，否则为不符合；

13

2）如果4）符合预期结果，则符合5.1.6.4d）的要求，否则为不符合。

6.3安全保障要求测评

6.3.1安全管理制度和组织

安全管理制度和组织安全测评包含以下要求：

a）测试实施应包括：

检查开发者所提供的安全管理制度和组织相关材料。

b）预期结果：

1）组织内任用高级管理人员担任安全责任人；

2）有安全管理和日常管理的相关规章制度和操作规程；

3）有按照规章制度执行相关操作的记录；

4）有服务器主要岗位的安全职责定义，职责定义是否考虑最小授权、职责分离原则，是否对相

关岗位执行工作进行记录；

5）进行相关安全培训有记录.

c）结果判定：

如果b）中1）-5）符合预期结果，则符合5.2.1的要求，否则为不符合。

6.3.2开发

6.3.2.1安全架构

安全架构安全测评包含以下要求：

a）测试实施应包括：

检查开发者提供的安全架构证据信息，检查是否满足证据的内容和形式的所有要求：

1）与服务器设计文档中对安全功能的描述范围是否相一致；

2）是否充分描述服务器采取的自我保护、不可旁路的安全机制。

b）预期结果：

a）中1）-2）检查结果均为肯定。

c）结果判定：

如果符合预期结果，则符合5.2.2.I的要求，否则为不符合。

6.3.2.2功能规范

功能规范安全测评包含以下要求：

a）测试实施应包括：

检查开发者提供的功能规范证据，并检查开发者提供的信息是否满足证据的内容和形式的所有要

求：

1）是否清晰描述5.1中定义的安全功能；

2）是否标识和描述服务器所有安全功能接口的目的、使用方法及相关参数；

3）描述安全功能实施过程中，是否描述与安全功能接口相关的所有行为；

4）是否描述可能由安全功能接口的调用而引起的所有直接错误消息。

b）预期结果：

a）中1）-4）检查结果均为肯定。

c）结果判定：

如果符合预期结果，则符合5.2.2.2的要求，否则为不符合。

14

GB/TXXXXX—XXXX

6.3.2.3产品设计

产品设计安全测评包含以下要求：

a）测试实施应包括：

检查开发者提供的服务器设计证据，并检查开发者提供的信息是否满足证据的内容和形式的所有

要求：

1）是否标识和描述服务器安全功能的所有子系统；

2）是否描述安全功能所有子系统间的相互作用；

3）提供的对应关系是否能够证实设计中描述的所有行为映射到调用的安全功能接口；

4）是否根据实现模块描述安全功能；

5）是否描述所有实现模块的安全功能要求相关接口、接口的返回值、与其他模块间的相互作

用及调用的接口；

6）是否提供实现模块和子系统间的对应关系。

b）预期结果：

1）a）中1）-3）检查结果均为肯定；

2）a）中4）-6）检测结果均为肯定。

c）结果判定：

1）如果b）中1）符合预期结果，则符合5.2.2.3的要求a）-b）,否则为不符合。

2）如果b）中2）符合预期结果，则符合5.2.2.3的要求c）-d）,否则为不符合。

6.3,2.4实现表示

产品实现表示安全测评包含以下要求：

a）测试实施应包括：

检查开发者提供的实现表示证据，并检查开发者提供的信息是否满足证据的内容和形式的所有

要求：

1）是否通过软件/固件代码、设计数据等实例详细定义服务器安全功能；

2）是否提供实现表示与服务器设计描述间的对应关系。

b）预期结果：

a）中1）-2）检查结果均为肯定。

c）结果判定：

如果符合预期结果，则符合5.2.2.4的要求，否则为不符合。

6.3.3