GA-T 1177‑2014《信息安全技术 第二代防火墙安全技术要求》完整梳理

GA/T1177‑2014《信息安全技术第二代防火墙安全技术要求》完整梳理一、标准基础信息标准编号：GA/T1177‑2014（公安行业推荐标准）发布时间：2014‑07‑24；实施时间：2014‑09‑01归口单位：公安部信息系统安全标准化技术委员会适用对象：第二代防火墙产品的设计、开发、测试、检测评估定义区分第一代防火墙：仅包过滤、状态检测、NAT，网络层访问控制。第二代防火墙（下一代防火墙NGFW国内定名）：保留传统防火墙能力，增加应用识别、应用层管控、深度内容检测、入侵防御、恶意代码防护、用户身份管控一体化安全能力。二、整体框架：4大类技术要求+两级安全等级安全等级分为基本级、增强级；性能、环境适应性不作为等级判定依据。安全功能要求（网络层控制｜应用层控制｜安全运维管理）安全保证要求（开发、配置管理、交付、测试、脆弱性评估，参照GB/T18336.3）环境适应性要求（部署模式、IPv4/IPv6兼容）性能指标要求（吞吐量、延迟、新建连接、并发连接）三、安全功能要求5.2.1网络层控制（继承传统防火墙）包过滤：基于IP、端口、协议、MAC、时间组合策略访问控制状态检测防火墙，支持动态端口开放（FTP/H.323）NAT：SNAT/DNAT、多对一、多对多地址转换IP‑MAC绑定、路由、链路负载均衡流量管控：带宽限速、流量统计、单IP连接数限制DoS/DDoS基础抗攻击防护（SYNFlood、ICMPFlood等）5.2.2应用层控制（第二代防火墙核心新增能力）应用识别：精确识别P2P、视频、社交、办公等数百种应用，不依赖端口应用内容访问控制：URL过滤、恶意网站管控，支持自定义黑白名单用户管控：基于账号身份做策略，不再只依靠IP入侵防御IPS：漏洞攻击特征检测阻断恶意代码防护AV：传输文件病毒查杀Web攻击防护：SQL注入、XSS跨站脚本等Web攻击拦截信息泄露防护DLP：识别阻断敏感外发内容5.2.3安全运维管理管理员身份安全口令强策略、登录失败锁定、超时自动登出分权分级管理，支持双因子鉴别本地Console+加密远程管理（管理接口可独立隔离）安全审计日志记录访问放行/阻断、攻击事件、管理员配置变更日志字段：时间、源目IP端口、协议、应用类型、事件描述Syslog远程日志外发、日志检索归档，仅管理员可读安全告警：攻击告警、资源阈值告警（CPU/内存/带宽）高可用：双机热备切换≤5s，链路故障切换；异常断电重启日志不丢失、策略保留特征库升级：应用库、漏洞库、病毒库、URL库，支持手动/定时在线安全升级策略自查：自动检测规则冲突、冗余失效策略，提供优化建议四、安全保证要求（开发交付生命周期）配置管理：版本唯一标识、变更授权控制、问题跟踪交付与运行：交付完整性校验、标准化安装启动文档开发文档集：功能规范、高层设计、低层设计、安全策略模型指导文档：管理员手册、用户安全操作指南测试验证：功能测试、独立第三方测试脆弱性评定：安全弱点分析，增强级产品需抵御中级强度渗透攻击五、环境适应性要求部署模式：透明模式、路由模式IPv6兼容能力纯IPv6、IPv4/IPv6双栈、隧道（6over4、ISATAP）IPv6协议健壮性，抵御畸形报文攻击IPv6环境下设备自身可管理六、性能硬性指标（开启全部安全特征后性能衰减≤30%）性能参数千兆防火墙万兆防火墙应用层吞吐量≥900Mbps≥8Gbps最大新建连接速率≥30000/s≥150000/s最大并发连接数≥200万≥500万64字节小包延迟≤500μs≤90μs约束条件：开启IPS、杀毒、应用识别全功能时，吞吐量下降不能超过原值30%，延迟增幅不超过50%。七、与普通防火墙标准GB/T20281的区别GB/T20281：通用防火墙国家标准，侧重网络层基础