分级文档编写指南EAL4 - 中国信息安全产品测评认证中心

分 级 文 档 编 写 指 南
EAL4
版 本 :2.0
© 版 权 2008— 中 国 信 息 安 全 测 评 中 心
二 〇 〇 八 年 八 月

目
录
1 安 全 目 标 ..................................................................................................... 1
1.1 ST 引 言 .............................................................................................. 1
1.2 TOE 描 述 ............................................................................................ 1
1.3 TOE 安 全 环 境 ..................................................................................... 2
1.4 安 全 目 的 ........................................................................................... 3
1.5 IT 安 全 要 求 ....................................................................................... 4
1.6 TOE 概 要 规 范 ..................................................................................... 4
1.7 PP 声 明 .............................................................................................. 5
1.8 基 本 原 理 ........................................................................................... 5
2 配 置 管 理 ..................................................................................................... 7
2.1 配 置 管 理 自 动 化 工 具 ......................................................................... 7
2.2 配 置 管 理 能 力 .................................................................................... 7
2.3 配 置 管 理 范 围 .................................................................................... 7
3 交 付 和 运 行 .................................................................................................. 9
3.1 交 付 .................................................................................................. 9
3.2 安 装 、 生 成 和 启 动 程 序 ...................................................................... 9
4 开 发 类 文 档 ................................................................................................ 10
4.1 功 能 规 范 ......................................................................................... 10
4.2 TOE 安 全 策 略 模 型 ............................................................................ 10
4.3 高 层 设 计 ......................................................................................... 10
4.4 低 层 设 计 ......................................................................................... 11
4.5 实 现 表 示 ......................................................................................... 11
4.6 对 应 性 分 析 文 档 ............................................................................... 11
5 指 导 性 文 档 ................................................................................................ 13
5.1 管 理 员 指 南 ...................................................................................... 13
5.2 用 户 指 南 ......................................................................................... 13
6 测 试 相 关 文 档 ............................................................................................ 14
6.1 功 能 测 试 ......................................................................................... 14
6.2 测 试 范 围 分 析 .................................................................................. 14
6.3 测 试 深 度 分 析 .................................................................................. 14
7 生 命 周 期 支 持 相 关 文 档 .............................................................................. 15
7.1 开 发 安 全 ......................................................................................... 15
7.2 生 命 周 期 模 型 .................................................................................. 15
7.3 开 发 工 具 ......................................................................................... 15
- I -

8 脆 弱 性 分 析 ................................................................................................ 16
8.1 误 用 分 析 ......................................................................................... 16
8.2 安 全 功 能 强 度 分 析 ........................................................................... 16
8.3 脆 弱 性 分 析 ...................................................................................... 16
- II -

中 国 信 息 安 全 测 评 中 心
分 级 文 档 编 写 指 南 EAL4 V2.0
1 安 全 目 标 (ST)
一 个 ST 包 括 特 定 的 TOE 的 IT 安 全 要 求 , 以 及 TOE 提 供 的 规 定 安 全 功 能 和 保 证 措
施 , 以 满 足 所 述 的 安 全 要 求 。
对 一 个 TOE 而 言 ,ST 是 开 发 者 、 评 估 者 、 用 户 在 TOE 安 全 特 性 和 评 估 范 围 之 间
达 成 一 致 的 基 础 。 一 个 ST 读 者 不 限 于 对 TOE 制 造 和 评 估 负 有 责 任 , 但 可 能 负 有 管
理 、 营 销 、 购 买 、 安 装 、 配 置 、 操 作 和 使 用 TOE 的 责 任 。
ST 应 是 一 个 面 向 用 户 使 用 的 文 档 , 应 尽 可 能 少 地 引 用 用 户 不 易 得 到 的 其 他 材
料 。
申 请 者 提 供 的 文 档 《 安 全 目 标 》 编 写 方 法 详 见 GB/Z 20283《 信 息 安 全 技 术 保
护 轮 廓 和 安 全 目 标 产 生 指 南 》, 本 文 档 只 作 概 要 性 的 描 述 。
1.1 ST 引 言
1.1.1 ST 标 识
1) 包 括 ST 标 识 信 息 , 如 :ST 标 题 、 版 本 号 、 申 请 的 保 证 级 别 、 编 写 日 期
和 作 者 ;
2) 包 括 此 ST 文 档 所 描 述 的 TOE 标 识 信 息 , 如 :TOE 名 称 、TOE 版 本 号 。
1.1.2 ST 概 述
1) 概 括 ST 的 文 档 结 构 及 所 包 含 的 内 容 ;
2) 概 括 介 绍 TOE 的 类 别 、 形 态 、 主 要 组 成 、 功 能 及 应 用 环 境 。
1.1.3 一 致 性 声 明
包 括 编 写 此 ST 所 依 据 的 PP( 保 护 轮 廓 ) 的 标 识 信 息 : 版 本 号 、 名 称 和 出 版
日 期 , 如 果 编 写 ST 未 依 据 任 何 PP 则 此 处 为 : 依 据 国 家 标 准 《GB/T18336-2001 信
息 技 术 安 全 技 术 信 息 技 术 安 全 性 评 估 准 则 》。
1.2 TOE 描 述
TOE 描 述 能 为 读 者 概 要 的 了 解 产 品 或 系 统 预 期 应 用 提 供 充 分 的 信 息 , 从 而 提
供 评 估 的 背 景 。
1.2.1 产 品 类 型
产 品 或 系 统 类 型 及 应 用 领 域 , 如 : 防 火 墙 、 智 能 卡 、 加 密 调 制 解 调 器 、Web
服 务 器 和 企 业 内 部 网 。
第 1 页 , 共 16 页

1.2.2 TOE 结 构
中 国 信 息 安 全 测 评 中 心
分 级 文 档 编 写 指 南 EAL4 V2.0
TOE 描 述 对 构 成 TOE 的 硬 件 、 固 件 和 软 件 的 组 件 和 / 或 模 块 进 行 说 明 , 详 细
介 绍 TOE 的 组 成 , 如 :TOE 由 几 个 模 块 或 子 系 统 组 成 , 每 个 模 块 或 子 系 统 的 组 成
及 其 功 能 和 TOE 各 个 组 成 部 分 对 运 行 环 境 的 要 求 等 , 达 到 使 读 者 对 组 件 和 / 或 模
块 概 要 性 了 解 的 目 的 。
1.2.3 TOE 的 范 围 和 边 界
应 该 确 定 TOE 描 述 涉 及 了 信 息 技 术 , 特 别 是 TOE 提 供 的 安 全 特 征 , 且 详 细 到
能 够 使 读 者 对 这 些 特 征 有 一 个 概 要 了 解 的 程 度 。 如 果 TOE 是 其 它 产 品 的 一 部 分 ,
应 充 分 描 述 TOE 与 其 它 产 品 之 间 的 关 系 。
对 于 TOE 边 界 的 描 述 将 告 诉 读 者 哪 些 属 于 TOE, 哪 些 不 属 于 TOE, 如 :TOE
的 日 志 存 储 功 能 需 要 依 靠 第 三 方 数 据 库 的 支 持 , 但 数 据 库 本 身 不 属 于 TOE 的 范
围 , 最 好 以 图 表 加 入 描 述 语 言 的 方 式 进 行 说 明 ,TOE 的 边 界 描 述 包 括 :
1) 物 理 范 围 和 边 界 , 详 细 介 绍 构 成 TOE 的 硬 件 、 软 件 和 固 件 , 并 介 绍 TOE
的 配 置 ;
2) 逻 辑 范 围 和 边 界 , 描 述 TOE 提 供 的 IT 安 全 功 能 。
根 据 TOE 的 应 用 领 域 , 一 般 不 属 于 TOE 范 围 内 的 内 容 包 括 但 不 限 于 :
所 有 在 已 定 义 的 TSF 范 围 外 的 软 件 ;
所 有 硬 件 ;
系 统 运 行 所 需 的 操 作 系 统 环 境 ;
数 据 库 应 用 系 统 ;
底 层 系 统 提 供 的 安 全 防 护 功 能 ;
其 它 。
1.2.4 应 用 环 境
描 述 TOE 的 使 用 环 境 及 在 其 中 发 挥 的 作 用 。
1.3 TOE 安 全 环 境
1.3.1 假 设
ST 中 对 TOE 预 期 使 用 的 所 有 假 设 都 应 进 行 详 细 解 释 , 以 保 证 消 费 者 能 确 定
其 预 期 使 用 环 境 与 这 些 假 设 相 符 合 。 如 果 没 有 清 楚 理 解 这 些 假 设 , 最 终 可 能 导 致
消 费 者 在 非 希 望 的 环 境 中 使 用 TOE。
1) 包 括 TOE 预 期 使 用 方 面 的 假 设 , 如 TOE 预 期 应 用 、 需 要 TOE 保 护 的 资
产 的 潜 在 价 值 、 以 及 使 用 TOE 可 能 存 在 的 限 制 ;
2) 包 括 为 保 证 TOE 安 全 的 行 使 功 能 , 对 TOE 使 用 环 境 的 物 理 、 人 员 、 连 接
性 方 面 的 假 设 :
a) 物 理 方 面 , 对 TOE 的 物 理 位 置 或 附 加 外 围 设 施 做 的 假 设 ;
第 2 页 , 共 16 页

中 国 信 息 安 全 测 评 中 心
分 级 文 档 编 写 指 南 EAL4 V2.0
例 如 :— 假 设 管 理 员 控 制 台 严 格 限 制 在 管 理 员 个 人 范 围 内 ;
— 假 设 TOE 所 有 文 件 的 存 储 只 能 在 TOE 运 行 的 工 作 站 上 进 行 。
b) 人 员 方 面 , 对 安 全 环 境 内 的 用 户 和 TOE 管 理 员 , 或 其 他 人 员 所 作 的 假 设 ;
例 如 :— 假 设 用 户 具 有 特 殊 技 能 或 专 门 技 术 ;
— 假 设 用 户 具 有 确 定 的 最 小 权 限 ;
— 假 设 管 理 员 每 月 更 新 防 病 毒 数 据 库 。
c) 连 接 性 方 面 , 对 TOE 与 TOE 之 外 的 IT 产 品 或 系 统 相 连 的 假 设 ;
例 如 :— 假 设 存 储 TOE 产 生 的 日 志 文 件 至 少 需 要 100MB 的 外 部 磁 盘 空 间 ;
—TOE 假 设 是 在 特 定 工 作 站 上 运 行 的 唯 一 的 非 操 作 系 统 应 用 程 序 ;
— 假 设 TOE 的 软 驱 是 禁 用 的 ;
— 假 设 TOE 不 会 连 接 到 任 何 不 可 信 的 网 络 。
3) 列 出 上 述 所 有 的 假 设 ( 对 假 设 进 行 标 识 并 作 出 相 应 的 解 释 )。
1.3.2 威 胁
列 出 所 有 与 TOE 安 全 运 行 相 关 的 威 胁 ( 对 威 胁 进 行 标 识 并 作 出 相 应 的 解 释 )。
威 胁 应 通 过 已 确 定 的 威 胁 主 体 、 攻 击 方 式 和 作 为 攻 击 对 象 的 资 产 来 描 述 。 威
胁 主 体 应 通 过 诸 如 专 门 技 术 、 可 用 资 源 和 动 机 等 来 描 述 。 攻 击 方 式 应 通 过 诸 如 攻
击 方 法 、 可 利 用 的 脆 弱 性 和 时 机 等 来 描 述 。
如 果 安 全 目 的 仅 仅 源 于 组 织 安 全 策 略 和 假 设 , 那 么 对 威 胁 的 描 述 可 以 省 略 。
1.3.3 组 织 安 全 策 略
组 织 安 全 策 略 主 要 包 括 TOE 及 其 应 用 环 境 必 须 遵 守 的 法 律 、 法 规 、 规 定 或
指 南 。 其 遵 循 了 TOE 及 其 环 境 必 须 遵 守 的 规 则 、 惯 例 或 指 南 , 这 些 规 则 、 惯 例 或
指 南 是 由 控 制 TOE 使 用 环 境 的 组 织 制 定 的 。 例 如 , 组 织 安 全 策 略 可 能 要 求 口 令 生
成 和 加 密 应 符 合 国 家 政 府 制 定 的 标 准 。
ST 中 对 每 条 组 织 安 全 策 略 都 进 行 详 细 解 释 , 以 便 读 者 能 够 清 晰 理 解 。
如 果 TOE 及 其 环 境 的 安 全 目 的 只 源 于 假 设 和 威 胁 , 那 么 ST 中 就 可 以 不 包 含
组 织 安 全 策 略 陈 述 。
1.4 安 全 目 的
安 全 目 的 应 该 是 对 安 全 问 题 预 期 响 应 的 简 明 陈 述 , 换 言 之 , 在 安 全 环 境 中 已
经 陈 述 了 安 全 需 求 , 现 在 必 须 以 安 全 目 的 的 陈 述 形 式 明 确 界 定 出 : 安 全 需 求 是 由
TOE 还 是 由 环 境 来 满 足 或 处 理 的 。 应 列 出 所 有 的 安 全 目 的 :TOE 安 全 目 的 ( 由 TOE
实 现 的 技 术 措 施 来 满 足 ) 和 环 境 安 全 目 的 ( 非 IT 手 段 来 满 足 , 例 如 : 使 用 程 序
性 的 管 理 或 运 行 规 定 ), 并 对 确 定 每 个 安 全 目 的 的 理 由 作 出 详 细 的 解 释 , 安 全 目
的 最 好 独 立 于 实 现 , 应 重 点 说 明 预 计 达 到 的 结 果 而 不 是 达 到 结 果 的 方 法 。
应 详 细 描 述 安 全 目 的 能 够 对 应 到 前 文 中 所 述 的 所 有 威 胁 、 组 织 安 全 策 略 和 假
设 , 这 部 分 将 在 “1.8.1” 以 表 格 的 形 式 做 出 说 明 。
第 3 页 , 共 16 页

1.5 IT 安 全 要 求
中 国 信 息 安 全 测 评 中 心
分 级 文 档 编 写 指 南 EAL4 V2.0
该 部 分 分 为 安 全 功 能 要 求 、 安 全 保 证 要 求 和 IT 环 境 的 安 全 要 求 , 如 果 有 对
应 的 PP, 这 部 分 可 直 接 按 照 PP 的 相 应 部 分 来 写 , 只 需 根 据 TOE 具 体 实 现 情 况 完
成 PP 中 的 各 种 组 件 操 作 ( 赋 值 、 细 化 、 反 复 、 选 择 )。
供 :
如 不 具 备 相 应 的 PP, 则 安 全 功 能 要 求 和 安 全 保 证 要 求 按 照 下 面 的 要 求 来 提
1) 安 全 功 能 要 求 要 指 的 是 从 GB/T18336-2001 第 二 部 分 功 能 要 求 组 件
中 抽 取 的 那 些 功 能 要 求 , 应 参 照 GB/T 18336-2001 第 二 部 分 的 规 范 语 言 进 行 描 述
( 参 照 GB/Z 20283 8.2 节 )。
2) 安 全 保 证 要 求 主 要 指 的 是 从 GB/T18336-2001 第 三 部 分 保 证 要 求 组
件 中 抽 取 的 那 些 保 证 要 求 , 对 于 该 文 档 , 应 选 取 EAL4 保 证 组 件 包 内 的 组 件 , 应
参 照 GB/T 18336-2001 第 三 部 分 的 规 范 语 言 进 行 描 述 ( 参 照 GB/Z 20283 8.2 节 )。
3) 组 件 的 选 择 应 满 足 GB/T 18336-2001 中 指 出 的 依 赖 关 系 , 允 许 有 不
满 足 依 赖 关 系 的 情 况 出 现 , 但 应 明 确 说 明 理 由 ( 建 议 除 明 确 的 特 殊 要 求 , 选 择 组
件 时 应 满 足 依 赖 关 系 )。
4) 当 GB/T18336-2001 中 的 功 能 要 求 组 件 不 足 以 表 述 TOE 对 安 全 功 能
和 保 证 措 施 的 要 求 时 , 允 许 附 加 两 部 分 之 外 的 组 件 , 但 应 使 用 规 范 语 言 进 行 描 述 ,
且 应 明 确 说 明 附 加 的 理 由 ( 建 议 除 明 确 的 特 殊 要 求 , 不 对 组 件 进 行 附 加 )。
5) 该 部 分 应 明 确 陈 述 , 且 证 明 能 够 对 应 到 每 一 个 安 全 目 的 , 这 部 分 将
在 “1.8.2” 以 表 格 的 形 式 做 出 说 明 。
如 不 具 备 相 应 的 PP, 则 环 境 安 全 要 求 按 照 下 面 的 要 求 来 提 供 :
1) IT 环 境 安 全 要 求 包 含 IT 环 境 安 全 功 能 要 求 和 IT 环 境 安 全 保 证 要
求 。 这 部 分 描 述 所 有 TOE 需 要 满 足 但 又 不 由 TOE 自 身 提 供 的 安 全 要 求 , 例 如 “TOE
为 防 火 墙 产 品 , 它 依 赖 底 层 操 作 系 统 , 操 作 系 统 提 供 管 理 员 的 身 份 认 证 和 审 计 数
据 的 永 久 储 存 。 因 此 ,IT 环 境 安 全 要 求 应 包 含 FAU 类 和 FIA 类 ( 参 见 GB/T18336
第 二 部 分 ) 的 功 能 组 件 。
2) 非 IT 环 境 安 全 要 求 是 可 选 的 部 分 , 与 TOE 的 实 现 没 有 直 接 关 系 , 如
果 所 有 的 安 全 目 的 均 由 上 述 几 方 面 来 对 应 , 则 该 部 分 不 要 求 。
1.6 TOE 概 要 规 范
TOE 概 要 规 范 指 的 是 TOE 安 全 要 求 的 具 体 实 现 ,TOE 概 要 规 范 应 定 义 TOE 安
全 要 求 的 实 例 化 , 该 规 范 描 述 符 合 TOE 安 全 要 求 的 TOE 安 全 功 能 和 保 证 措 施 。TOE
概 要 规 范 的 目 的 是 确 定 其 是 否 为 安 全 功 能 和 安 全 保 证 措 施 提 供 了 清 晰 完 整 的 高
层 定 义 , 该 定 义 满 足 指 定 的 TOE 安 全 要 求 。 应 详 细 描 述 符 合 TOE 安 全 要 求 的 TOE
安 全 功 能 和 保 证 措 施 。
第 4 页 , 共 16 页

中 国 信 息 安 全 测 评 中 心
分 级 文 档 编 写 指 南 EAL4 V2.0
1) TOE 安 全 功 能 包 含 IT 安 全 功 能 , 并 说 明 这 些 功 能 是 如 何 满 足 TOE 安 全
功 能 要 求 的 。 可 以 通 过 功 能 和 要 求 间 双 向 映 射 的 方 式 来 表 达 。
2) TOE 的 保 证 措 施 应 列 出 所 有 符 合 TOE 安 全 要 求 的 保 证 措 施 , 并 说 明 这 些
保 证 措 施 是 如 何 满 足 TOE 安 全 保 证 要 求 的 。 可 以 通 过 保 证 措 施 和 要 求 间 双 向 映
射 的 方 式 来 表 达 。
TOE 概 要 规 范 编 写 应 满 足 以 下 要 求 :
1)IT 安 全 功 能 应 以 非 形 式 化 的 方 式 定 义 , 其 详 细 程 度 应 足 够 理 解 其 含 义 。
2)ST 中 引 用 的 所 有 安 全 机 制 应 可 追 溯 到 相 关 的 安 全 功 能 , 这 样 就 可 看 到 每
一 个 功 能 实 现 时 使 用 的 安 全 机 制 。
3) 当 AVA_SOF.1 包 括 在 TOE 保 证 要 求 里 时 , 应 指 明 所 有 利 用 概 率 和 变 换 机
制 ( 例 如 口 令 或 散 列 函 数 ) 实 现 的 IT 安 全 功 能 。 应 提 供 所 有 这 些 功 能 的 TOE 安
全 功 能 强 度 分 析 。 每 一 个 指 定 功 能 的 强 度 应 确 定 并 声 明 为 基 本 级 功 能 强 度 、 中 级
功 能 强 度 、 高 级 功 能 强 度 中 的 一 个 , 或 另 选 定 义 明 确 的 特 定 级 别 。 所 提 供 的 功 能
强 度 证 据 应 足 够 评 估 者 作 出 独 立 的 判 断 , 确 认 所 声 称 的 强 度 是 足 够 和 正 确 的 。
安 全 功 能 强 度 的 确 定 可 参 照 下 列 要 求 :
1) 安 全 功 能 强 度 的 特 征 :
―― 功 能 可 以 充 分 对 抗 低 等 攻 击 潜 力 者 偶 然 的 攻 击 ;
―― 功 能 可 以 充 分 对 抗 中 等 攻 击 潜 力 者 直 接 或 故 意 发 起 的 攻 击 ;
―― 功 能 可 以 充 分 对 抗 高 等 攻 击 潜 力 者 有 周 密 计 划 或 组 织 的 攻 击 。
2) 强 度 级 别 的 选 择 基 于 与 威 胁 相 关 的 下 列 方 面 :
―― 持 续 时 间 ;
―― 经 验 ;
―― 对 TOE 的 了 解 ;
―― 对 TOE 的 访 问 方 式 ;
―― 使 用 的 设 备 。
1.7 PP 声 明
一 般 要 求 EAL4 级 达 到 高 级 功 能 强 度 。
如 果 在 ST 引 言 中 声 称 符 合 一 个 或 多 个 PP, 本 节 应 该 介 绍 这 些 PP, 还 应 说
明 为 满 足 ST 要 求 , 对 PP 进 行 的 替 代 和 附 加 项 。 注 意 不 能 声 明 只 部 分 的 满 足 PP。
如 果 没 有 声 明 符 合 PP, 则 该 部 分 可 直 接 写 为 “ 直 接 依 据 GB/T 18336-2001, 不 满
足 任 何 PP”。
1.8 基 本 原 理
1.8.1 安 全 目 的 基 本 原 理
阐 明 安 全 目 的 能 够 映 射 到 TOE 安 全 环 境 里 的 所 有 方 面 : 假 设 、 威 胁 和 组 织
安 全 策 略 :
第 5 页 , 共 16 页

中 国 信 息 安 全 测 评 中 心
分 级 文 档 编 写 指 南 EAL4 V2.0
1) 这 些 安 全 目 的 符 合 了 列 出 的 所 有 假 设 和 组 织 安 全 策 略 的 要 求 , 能 够 对 抗
列 出 的 所 有 威 胁 ;
2) 所 有 安 全 目 的 都 是 必 需 的 ;
3) 可 以 通 过 安 全 目 的 和 TOE 安 全 环 境 ( 假 设 、 威 胁 和 组 织 安 全 策 略 ) 间 双
向 映 射 的 方 式 来 表 达 。
1.8.2 安 全 要 求 基 本 原 理
的 ;
阐 明 TOE 及 其 环 境 安 全 要 求 适 于 满 足 、 并 能 够 映 射 到 安 全 目 的 :
1) TOE 及 其 安 全 环 境 的 功 能 和 保 证 要 求 组 件 能 够 满 足 列 出 的 所 有 安 全 目
2) 所 有 TOE 及 其 环 境 安 全 要 求 组 件 都 是 必 需 的 ;
3) 是 否 满 足 组 件 之 间 的 依 赖 关 系 , 及 不 满 足 的 理 由 ;
3) 可 以 通 过 TOE 及 其 环 境 安 全 要 求 和 安 全 目 的 间 双 向 映 射 的 方 式 来 表 达 ;
4) 应 说 明 安 全 功 能 强 度 的 声 明 是 适 当 的 。
1.8.3 TOE 概 要 规 范 基 本 原 理
说 明 TOE 安 全 功 能 和 保 证 措 施 适 于 满 足 TOE 安 全 要 求 :
1) TOE 安 全 功 能 能 协 同 运 作 , 满 足 TOE 安 全 功 能 要 求 ;
2) TOE 功 能 强 度 声 明 是 有 效 的 ;
3) TOE 保 证 措 施 与 保 证 要 求 相 一 致 的 声 明 是 合 理 的 ;
4) 概 要 规 范 能 够 映 射 到 所 有 的 安 全 功 能 要 求 。
1.8.4 PP 声 明 基 本 原 理
解 释 ST 安 全 目 的 和 要 求 与 所 有 声 明 一 致 的 PP 之 间 的 区 别 。 如 果 没 有 区 别
或 已 声 明 不 符 合 任 何 PP, 则 该 部 分 可 省 略 。
第 6 页 , 共 16 页

中 国 信 息 安 全 测 评 中 心
分 级 文 档 编 写 指 南 EAL4 V2.0
2 配 置 管 理
该 文 档 用 来 确 保 配 置 项 被 唯 一 标 识 , 并 确 保 开 发 者 用 于 控 制 和 跟 踪 TOE 改 变
的 程 序 是 充 分 的 , 这 包 括 应 跟 踪 那 些 改 变 、 潜 在 的 改 变 如 何 体 现 以 及 为 减 少 错 误
而 实 现 自 动 化 的 程 度 等 方 面 的 详 细 信 息 。 包 括 : 配 置 管 理 自 动 化 工 具 、 配 置 管 理
能 力 和 配 置 管 理 范 围 。
2.1 配 置 管 理 自 动 化 工 具
在 配 置 管 理 计 划 中 应 包 含 自 动 化 工 具 的 信 息 , 描 述 TOE 实 现 表 示 ( 源 代 码 )
的 自 动 化 措 施 , 该 措 施 能 够 实 现 对 实 现 表 示 的 访 问 控 制 及 支 持 TOE 由 源 代 码 到 产
品 的 自 动 产 生 。 例 如 : 将 Unix 自 动 编 译 文 件 置 于 配 置 管 理 之 下 将 可 满 足 该 项 的
要 求 。
2.2 配 置 管 理 能 力
配 置 管 理 能 力 是 为 了 确 定 开 发 者 是 否 清 晰 定 义 了 TOE 和 它 的 相 关 配 置 项 , 以
及 改 变 这 些 配 置 项 的 能 力 是 否 被 适 当 的 控 制 。 要 求 包 括 如 下 内 容 :
1)TOE 的 唯 一 标 识 , 包 括 名 称 、 版 本 号 。 该 标 识 无 论 是 从 TOE 硬 件 、 软 件 、
包 装 还 是 文 档 上 都 应 明 确 , 且 应 统 一 及 唯 一 。
2) 包 括 一 份 配 置 清 单 , 配 置 清 单 应 包 括 与 TOE 设 计 相 关 的 所 有 文 档 ( 如 :
需 求 分 析 、 概 要 设 计 、 详 细 设 计 、 源 代 码 、 测 试 文 档 ) 及 与 分 级 评 估 相 关 的 文 档
( 如 :ST、 功 能 规 范 等 等 ), 要 唯 一 标 识 出 每 个 配 置 项 的 版 本 信 息 ( 如 名 称 、 版
本 号 等 ), 还 要 作 出 详 尽 的 解 释 。
3) 包 括 一 份 配 置 管 理 计 划 , 配 置 管 理 计 划 应 包 括 如 何 使 用 配 置 管 理 系 统 保
持 TOE 配 置 项 完 整 性 的 描 述 ( 包 括 人 员 授 权 、 配 置 项 的 修 改 、 并 发 处 理 等 ),
如 过 程 当 中 有 相 应 记 录 产 生 , 应 同 时 提 供 。 应 包 括 配 置 管 理 系 统 记 录 及 防 止 对 配
置 项 非 授 权 访 问 的 访 问 控 制 措 施 。
4) 包 括 一 份 产 生 程 序 , 该 程 序 描 述 了 如 何 根 据 现 有 的 配 置 项 自 动 产 生 产 品
化 的 TOE。
5) 包 括 一 份 接 受 程 序 , 该 程 序 描 述 了 配 置 项 的 接 受 标 准 , 即 每 个 配 置 项 在
新 建 、 修 改 后 更 新 所 必 须 满 足 的 要 求 ( 如 : 必 须 通 过 审 查 和 评 审 、 必 须 通 过 测 试
等 等 )。
2.3 配 置 管 理 范 围
配 置 管 理 范 围 是 为 了 确 定 开 发 者 是 否 至 少 对 TOE 的 实 现 表 示 、 设 计 、 用 户 和
管 理 员 指 南 、CM 文 档 及 安 全 缺 陷 执 行 了 配 置 管 理 , 要 求 在 配 置 管 理 系 统 中 包 括
如 下 内 容 :
1) 完 成 评 估 所 需 的 所 有 文 档 , 如 ST、 功 能 规 范 等 。
第 7 页 , 共 16 页

中 国 信 息 安 全 测 评 中 心
分 级 文 档 编 写 指 南 EAL4 V2.0
2) 包 括 在 TOE 的 整 个 生 命 周 期 中 , 对 TOE 的 实 现 表 示 、 设 计 、 测 试 、 测 试
工 具 ( 如 适 用 )、 用 户 和 管 理 员 指 南 、 配 置 管 理 相 关 文 档 及 安 全 缺 陷 等 方 面 进 行
配 置 管 理 。
3) 还 应 包 括 TOE 整 个 生 命 周 期 中 标 识 、 跟 踪 每 个 配 置 项 的 方 法 和 程 序 。 包
括 : 配 置 项 的 标 识 、 分 配 、 替 代 方 法 、 各 个 阶 段 的 命 名 方 式 及 阶 段 之 间 同 一 配 置
项 的 对 应 关 系 、 配 置 项 之 间 的 关 联 性 等 。
第 8 页 , 共 16 页

中 国 信 息 安 全 测 评 中 心
分 级 文 档 编 写 指 南 EAL4 V2.0
3 交 付 和 运 行
该 文 档 用 来 判 断 程 序 文 档 是 否 齐 全 , 以 确 保 以 开 发 者 期 望 的 方 式 安 装 、 生 成
与 启 动 TOE, 以 及 TOE 在 交 付 中 不 被 修 改 。 包 括 : 交 付 文 档 、 安 装 生 成 和 启 动 程
序
3.1 交 付
交 付 程 序 适 用 于 整 个 TOE, 包 括 可 用 的 软 件 、 硬 件 、 固 件 和 文 档 ; 交 付 程 序
也 适 用 于 从 生 产 环 境 到 使 用 环 境 的 整 个 交 付 过 程 的 各 个 阶 段 , 如 : 开 发 环 境 到 测
试 环 境 、 公 司 内 部 到 最 终 用 户 。
应 描 述 为 保 证 TOE 安 全 地 提 交 给 用 户 所 需 的 所 有 交 付 程 序 , 如 : 产 品 包 装 、
密 封 、 紧 压 安 全 带 、 公 共 邮 政 服 务 和 私 人 传 递 等 过 程 。
应 描 述 检 测 用 户 接 收 的 版 本 是 否 被 修 改 或 存 在 差 异 的 程 序 。 如 : 防 篡 改 封 条 、
软 件 数 字 ( 电 子 ) 签 名 等 。
应 描 述 如 何 检 测 冒 充 行 为 , 比 如 开 发 者 并 未 发 出 TOE 或 不 是 预 期 的 用 户 接 收
TOE 时 的 防 护 措 施 , 如 : 委 托 双 方 信 任 的 代 理 , 通 过 数 字 签 名 在 网 上 下 载 等 方 式 。
3.2 安 装 、 生 成 和 启 动 程 序
TOE 所 必 需 的 所 有 安 装 、 生 成 和 启 动 步 骤 , 包 括 : 异 常 处 理 、 最 小 系 统 需 求
等 。
如 果 TOE 在 已 经 运 行 的 情 况 下 交 付 , 则 该 部 分 可 不 进 行 描 述 。
第 9 页 , 共 16 页

中 国 信 息 安 全 测 评 中 心
分 级 文 档 编 写 指 南 EAL4 V2.0
4 开 发 类 文 档
该 文 档 通 过 TSF 设 计 文 档 的 逐 步 完 善 的 描 述 , 来 解 释 TSF 是 如 何 提 供 TOE 的
安 全 功 能 。 设 计 文 档 包 括 功 能 规 范 、 高 层 设 计 、 低 层 设 计 、 实 现 描 述 、 安 全 策 略
模 型 和 表 述 对 应 性 。
4.1 功 能 规 范
本 文 档 用 来 确 认 开 发 者 对 TOE 安 全 功 能 是 否 作 了 充 分 描 述 ,TOE 提 供 的 安 全
功 能 是 否 足 以 满 足 ST 的 安 全 功 能 要 求 。
描 述 TOE 安 全 功 能 和 TSF 外 部 的 用 户 可 见 接 口 , 通 过 该 接 口 可 以 激 活 、 调
用 安 全 功 能 及 查 看 安 全 功 能 的 状 态 。
描 述 外 部 接 口 处 的 异 常 和 出 错 信 息 及 TOE 的 处 理 方 式 。
TOE 安 全 功 能 描 述 应 比 ST 中 TOE 概 要 规 范 的 安 全 功 能 描 述 更 详 尽 , 且 应 以
表 格 的 形 式 描 述 该 部 分 中 各 个 功 能 与 ST 中 TOE 概 要 规 范 的 对 应 关 系 , 该 对 应 关
系 可 在 该 文 档 中 提 供 , 也 可 在 “ 开 发 活 动 对 应 性 分 析 文 档 ” 中 描 述 。
4.2 TOE 安 全 策 略 模 型
本 文 档 用 来 确 定 安 全 策 略 模 型 是 否 一 致 且 清 晰 地 描 述 了 安 全 策 略 的 规 则 及
特 征 , 并 确 定 这 些 描 述 是 否 与 功 能 规 范 中 对 安 全 功 能 的 描 述 一 致 。
应 包 括 对 所 有 ST 中 明 确 包 含 的 TOE 安 全 策 略 ( 如 信 息 流 控 制 策 略 、 访 问 控
制 策 略 等 ) 的 描 述 , 可 以 模 型 化 或 采 用 非 形 式 化 的 语 言 进 行 描 述 。 例 如 : 包 含
FDP 要 求 ( 除 了 FDP_ACC 和 FDP_IFC ) 应 需 要 一 个 对 强 制 执 行 数 据 保 护 策 略 的 描
述 ; 对 所 有 FIA 类 要 求 的 内 容 , 描 述 标 识 与 鉴 别 的 策 略 ,FAU 要 求 的 内 容 需 要 审
计 策 略 的 描 述 等 等 。
4.3 高 层 设 计
本 文 档 用 来 确 认 高 层 设 计 是 否 以 子 系 统 的 方 式 提 供 了 对 TSF 的 描 述 、 对 这 些
结 构 单 元 接 口 的 描 述 , 并 且 该 高 层 设 计 是 功 能 规 范 的 正 确 实 现 。
描 述 TSF 运 行 要 求 的 所 有 硬 件 、 固 件 和 软 件 需 求 , 应 描 述 哪 些 功 能 是 由 底 层
硬 件 、 固 件 、 软 件 实 现 的 。
描 述 TSF 子 系 统 间 的 接 口 及 子 系 统 外 部 可 见 接 口 。
适 当 描 述 子 系 统 接 口 处 的 异 常 和 出 错 信 息 。
TOE 高 层 设 计 应 比 概 要 规 范 的 安 全 功 能 描 述 更 详 尽 , 且 应 以 表 格 的 形 式 描 述
该 部 分 中 各 个 子 系 统 与 功 能 规 范 中 的 安 全 功 能 的 对 应 关 系 , 该 对 应 关 系 可 在 该 文
档 中 提 供 , 也 可 在 “ 开 发 活 动 对 应 性 分 析 文 档 ” 中 描 述 。
第 10 页 , 共 16 页

4.4 低 层 设 计
中 国 信 息 安 全 测 评 中 心
分 级 文 档 编 写 指 南 EAL4 V2.0
本 文 档 用 来 确 定 低 层 设 计 是 否 足 以 满 足 ST 功 能 要 求 , 是 否 是 高 层 设 计 正 确
而 有 效 的 细 化 。
应 以 组 成 模 块 的 方 式 结 构 描 述 TOE 安 全 功 能 。 应 包 括 各 个 模 块 提 供 的 安 全 功
能 , 定 义 模 块 间 的 相 互 关 系 , 还 应 标 识 列 出 了 TSF 模 块 的 接 口 , 及 哪 些 接 口 是
外 部 可 见 的 。
描 述 模 块 接 口 处 的 异 常 和 出 错 信 息 。
低 层 设 计 应 满 足 ST 的 功 能 要 求 , 正 确 而 有 效 地 细 化 高 层 设 计 的 要 求 。
TOE 低 层 设 计 应 比 高 层 设 计 的 安 全 功 能 描 述 更 详 尽 , 且 应 以 表 格 的 形 式 描 述
该 部 分 中 各 个 模 块 与 高 层 设 计 中 的 安 全 功 能 的 对 应 关 系 , 该 对 应 关 系 可 在 该 文 档
中 提 供 , 也 可 在 “ 开 发 活 动 对 应 性 分 析 文 档 ” 中 描 述 。
4.5 实 现 表 示
本 文 档 用 来 确 认 实 现 表 示 ( 源 代 码 ) 是 否 足 以 满 足 ST 功 能 要 求 并 作 为 低 层
设 计 的 正 确 实 现 。
应 提 供 关 键 性 安 全 功 能 设 计 的 具 体 实 现 , 包 括 与 TOE 设 计 相 一 致 的 部 分 源 代
码 或 硬 件 设 计 电 路 图 。
TOE 实 现 表 示 应 是 低 层 设 计 的 完 整 表 示 , 且 应 以 表 格 的 形 式 描 述 该 部 分 中 各
个 部 分 与 低 层 设 计 中 的 安 全 功 能 的 对 应 关 系 , 该 对 应 关 系 可 在 该 文 档 中 提 供 , 也
可 在 “ 开 发 活 动 对 应 性 分 析 文 档 ” 中 描 述 。
4.6 对 应 性 分 析 文 档
本 子 文 档 用 以 确 认 在 实 现 表 示 中 开 发 者 是 否 正 确 、 完 整 地 实 施 了 ST、 功 能
规 范 、 高 层 设 计 和 低 层 设 计 的 要 求 。 如 果 对 应 性 分 析 已 经 在 功 能 规 范 、 高 层 设 计 、
低 层 设 计 和 实 现 表 示 文 档 中 进 行 了 描 述 , 则 该 部 分 可 以 省 略 , 否 则 , 应 描 述 如 下
内 容 :
1)ST 中 的 TOE 概 要 规 范 和 功 能 规 范 之 间 的 对 应 性 分 析
该 对 应 性 分 析 应 该 阐 明 TOE 概 要 规 范 中 的 安 全 功 能 和 功 能 规 范 中 的 安 全 功
能 描 述 之 间 的 对 应 关 系 , 以 确 认 功 能 规 范 是 TOE 概 要 规 范 的 完 整 的 陈 述 。
2) 功 能 规 范 和 高 层 设 计 之 间 的 对 应 性 分 析
该 对 应 性 分 析 应 该 阐 明 TOE 功 能 规 范 中 的 安 全 功 能 和 高 层 设 计 中 的 子 系 统
描 述 之 间 的 对 应 关 系 , 以 确 认 高 层 设 计 是 功 能 规 范 的 完 整 的 陈 述 。
3) 高 层 设 计 与 低 层 设 计 之 间 的 对 应 性 分 析
该 对 应 性 分 析 应 该 阐 明 TOE 高 层 设 计 中 的 子 系 统 和 低 层 设 计 中 的 模 块 描 述
之 间 的 对 应 关 系 , 以 确 认 低 层 设 计 是 高 层 设 计 的 完 整 的 陈 述 。
4) 低 层 设 计 与 实 现 表 示 的 子 集 之 间 的 对 应 性 分 析 。
第 11 页 , 共 16 页

中 国 信 息 安 全 测 评 中 心
分 级 文 档 编 写 指 南 EAL4 V2.0
5) 当 对 应 关 系 中 的 两 者 都 是 半 形 式 化 的 定 义 时 , 对 应 性 分 析 也 应 当 时 半 形
式 化 的 。 如 : 半 形 式 化 的 功 能 规 范 和 高 层 设 计 , 则 它 们 之 间 的 对 应 关 系 也 应 通 过
半 形 式 化 的 方 式 进 行 描 述 。
该 对 应 性 分 析 应 该 阐 明 实 现 表 示 子 集 能 够 映 射 到 低 层 设 计 的 相 关 部 分 , 能 够
表 明 实 现 子 集 是 在 低 层 设 计 的 完 整 的 陈 述 。
第 12 页 , 共 16 页

中 国 信 息 安 全 测 评 中 心
分 级 文 档 编 写 指 南 EAL4 V2.0
5 指 导 性 文 档
该 文 档 用 以 判 断 描 述 如 何 使 用 可 操 作 的 TOE 的 文 档 是 否 详 尽 , 这 些 文 档 针 对
两 类 用 户 , 一 类 是 可 信 的 管 理 员 用 户 , 他 们 的 不 正 确 行 为 可 以 影 响 TOE 安 全 性 ,
另 一 类 是 那 些 非 管 理 员 用 户 , 他 们 的 不 正 确 行 为 可 以 影 响 其 拥 有 的 数 据 的 安 全
性 。 如 果 文 档 在 设 计 初 期 将 两 部 分 的 描 述 合 并 在 了 一 起 , 则 此 部 分 可 提 供 一 份 文
档 , 不 用 将 一 份 文 档 刻 意 分 为 两 份 提 交 , 但 需 在 文 档 中 以 明 确 的 标 识 加 以 注 明 。
5.1 管 理 员 指 南
应 就 管 理 员 如 何 以 安 全 方 式 管 理 TOE 进 行 详 细 而 全 面 地 说 明 。 必 要 时 , 文
档 中 应 包 括 对 受 控 功 能 和 特 权 的 警 告 。
5.2 用 户 指 南
应 详 细 说 明 TOE 安 全 功 能 和 接 口 及 有 关 TOE 安 全 使 用 方 面 的 信 息 。 必 要 时 ,
文 档 中 应 包 括 对 用 户 可 访 问 的 功 能 和 特 权 的 警 告 。
第 13 页 , 共 16 页

中 国 信 息 安 全 测 评 中 心
分 级 文 档 编 写 指 南 EAL4 V2.0
6 测 试 相 关 文 档
本 文 档 的 目 的 是 确 定 TOE 的 行 为 是 否 与 设 计 文 档 中 的 一 样 , 并 且 与 ST 中 TOE
的 安 全 功 能 要 求 说 明 一 致 。 该 文 档 包 括 测 试 文 档 本 身 、 测 试 范 围 分 析 和 测 试 深 度
分 析 。
6.1 功 能 测 试
该 文 档 应 包 括 测 试 计 划 、 测 试 方 法 、 测 试 环 境 、 测 试 工 具 、 命 令 、 测 试 步 骤 、
预 期 测 试 结 果 和 实 际 测 试 结 果 。
6.2 测 试 范 围 分 析
阐 明 测 试 文 档 中 列 出 的 测 试 与 功 能 规 范 是 一 致 的 。 可 采 用 表 格 或 矩 阵 的 形 式
来 描 述 其 对 应 关 系 。
6.3 测 试 深 度 分 析
阐 明 测 试 文 档 中 列 出 的 测 试 与 高 层 设 计 是 一 致 的 。 可 采 用 表 格 或 矩 阵 的 形 式
来 描 述 高 层 设 计 和 测 试 计 划 与 过 程 之 间 的 对 应 关 系 。 此 外 , 还 应 说 明 高 层 设 计 中
的 所 有 子 系 统 和 内 部 接 口 都 进 行 了 相 应 测 试 。
第 14 页 , 共 16 页

中 国 信 息 安 全 测 评 中 心
分 级 文 档 编 写 指 南 EAL4 V2.0
7 生 命 周 期 支 持 相 关 文 档
本 文 档 用 以 是 确 定 开 发 者 在 TOE 开 发 和 维 护 期 间 使 用 程 序 的 能 力 。 这 一 程 序
包 括 TOE 开 发 全 过 程 的 安 全 措 施 、 开 发 者 使 用 的 生 命 周 期 模 型 以 及 开 发 者 在 整 个
TOE 生 命 周 期 中 使 用 的 工 具 。
开 发 过 程 中 的 干 扰 使 故 意 引 入 脆 弱 性 成 为 可 能 , 而 设 计 信 息 的 暴 露 可 能 导 致
脆 弱 性 更 容 易 被 人 利 用 。 安 全 的 开 发 过 程 是 为 了 保 护 TOE 及 其 相 关 的 设 计 信 息 ,
以 防 它 们 受 到 干 扰 或 暴 露 。
如 果 TOE 的 开 发 和 维 护 过 程 没 有 得 到 很 好 的 控 制 , 将 会 导 致 执 行 过 程 的 脆 弱
性 。 与 所 定 义 的 生 命 周 期 模 型 一 致 有 助 于 这 方 面 控 制 的 改 进 。
在 TOE 改 进 的 过 程 中 , 使 用 设 计 良 好 的 开 发 工 具 有 助 于 确 保 脆 弱 性 不 会 被 无
意 地 引 入 。
7.1 开 发 安 全
开 发 安 全 文 档 是 指 开 发 者 对 开 发 环 境 的 安 全 控 制 。
应 包 括 在 TOE 的 开 发 环 境 中 用 于 保 护 TOE 设 计 和 实 现 过 程 的 机 密 性 与 完 整
性 的 物 理 、 过 程 、 人 员 等 方 面 安 全 措 施 。 应 提 供 过 程 应 用 过 程 中 的 文 档 证 据 。
7.2 生 命 周 期 模 型
生 命 周 期 模 型 应 包 括 TOE 开 发 和 维 护 中 使 用 的 程 序 、 工 具 和 技 术 , 还 应 描
述 出 控 制 程 序 应 用 的 总 体 管 理 结 构 。
7.3 开 发 工 具
开 发 过 程 中 使 用 的 工 具 及 其 作 用 的 详 细 说 明 , 针 对 TOE 实 现 表 示 中 的 所 有
内 容 , 开 发 工 具 文 档 ( 如 , 程 序 语 言 规 范 及 用 户 手 册 ) 应 清 晰 明 确 定 义 每 项 内 容
的 作 用 和 意 义 。
第 15 页 , 共 16 页

中 国 信 息 安 全 测 评 中 心
分 级 文 档 编 写 指 南 EAL4 V2.0
8 脆 弱 性 分 析
该 文 档 用 于 确 定 TOE 在 特 定 环 境 下 的 漏 洞 或 脆 弱 性 的 存 在 及 可 利 用 性 。 包 括
误 用 分 析 、 安 全 功 能 强 度 分 析 和 脆 弱 性 分 析 。
8.1 误 用 分 析
确 认 指 南 性 文 档 标 识 了 所 有 可 能 的 TOE 操 作 方 式 , 包 括 误 操 作 、 失 败 的 操 作
可 能 的 影 响 的 描 述 。 描 述 了 所 有 用 于 TOE 的 安 装 和 配 置 的 必 要 操 作 。 提 供 了 足 够
的 信 息 确 认 用 户 能 有 效 的 管 理 和 使 用 TOE 安 全 功 能 。
8.2 安 全 功 能 强 度 分 析
以 定 性 或 定 量 的 形 式 描 述 ST 中 所 有 与 安 全 功 能 强 度 相 关 的 机 制 。
8.3 脆 弱 性 分 析
需 对 TOE 所 有 有 关 领 域 ( 如 所 有 提 交 评 估 的 文 档 和 TOE 本 身 等 ) 进 行 分 析 ,
说 明 在 预 期 使 用 环 境 中 TOE 是 否 存 在 明 显 可 利 用 的 脆 弱 性 ; 如 果 有 , 应 列 出 所
有 存 在 的 明 显 脆 弱 性 , 并 需 明 确 说 明 该 脆 弱 性 对 于 TOE 不 构 成 威 胁 或 是 不 能 利 用
的 。 应 描 述 利 用 脆 弱 性 对 TOE 造 成 危 害 所 需 的 时 间 、 技 术 、 对 TOE 的 了 解 程 度 、
对 TOE 的 访 问 方 式 及 使 用 的 设 备 。
第 16 页 , 共 16 页