GB/T 41269-2022 网络关键设备安全技术要求 路由器设备

　　ICS 35 . 040 CCS L 80

　　中 华 人 民 共 和 国 国 家 标 准

　　GB/T 41269—2022

　　网络关键设备安全技术要求

　　路由器设备

　　Securitytechnicalrequirementsforcriticalnetworkdevices—Router

　　2022-03-09 发布 2022-10-01 实施

　　国家市场监督管理总局国家标准化管理委员会

　　

　　发

　　

　　布

　　GB/T 41269—2022

　　目 次

　　前言 Ⅰ

　　1 范围 1

　　2 规范性引用文件 1

　　3 术语和定义 1

　　4 缩略语 1

　　5 安全功能要求 2

　　5 . 1 设备标识安全 2

　　5 . 2 冗余、备份恢复与异常检测 2

　　5 . 3 漏洞与缺陷管理安全 2

　　5 . 4 预装软件启动及更新安全 2

　　5 . 5 默认状态安全 3

　　5 . 6 抵御常见攻击能力 3

　　5 . 7 用户身份标识与鉴别 3

　　5 . 8 访问控制安全 4

　　5 . 9 日志审计安全 4

　　5 . 10 通信安全 4

　　5 . 11 数据安全 5

　　5 . 12 密码要求 5

　　6 安全保障要求 5

　　参考文献 6

　　GB/T 41269—2022

　　前 言

　　本文件按照 GB/T 1 . 1—2020《标准化工作导则 第 1 部分：标准化文件的结构和起草规则》的规定起草。

　　GB 40050—2021《网络关键设备安全通用要求》与 GB/T 41269—2022《网络关键设备安全技术要求 路由器设备》、GB/T 41268—2022《网络关键设备安全检测方法 路由器设备》共同构成支撑网络关键设备的路由器设备安全标准体系。

　　请注意本文件的某些内容可能涉及专利。 本文件的发布机构不承担识别专利的责任。

　　本文件由中华人民共和国工业和信息化部提出。

　　本文件由全国通信标准化技术委员会(SAC/TC 485)归口 。

　　本文件起草单位：中国信息通信研究院、华为技术有限公司、杭州迪普科技股份有限公司、启明星辰信息技术集团有限公司、新华三技术有限公司、中兴通讯股份有限公司、烽火通信科技股份有限公司、联想(北京)有限公司、北京微智信业科技有限公司、中国通信标准化协会。

　　本文件主要起草人：张治兵、周开波、倪平、仇俊杰、周继华、张亚薇、孙薇、童天予、陈鹏、许雯、邓科、张勇、王富涛、叶郁柏、侯世伟、沈树华、李汝鑫、吴荣春、陈乔、柳扬。

　　Ⅰ

　　GB/T 41269—2022

　　网络关键设备安全技术要求

　　路由器设备

　　1 范围

　　本文件规定了列入网络关键设备目录的路由器设备的安全功能要求和安全保障要求。

　　本文件适用于列入网络关键设备目录的路由器设备。

　　2 规范性引用文件

　　下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。 其中，注 日期的引用文件，仅该日期对应的版本适用于本文件;不注 日期的引用文件，其最新版本(包括所有的修改单)适用于本文件。

　　GB/T 25069 信息安全技术术语

　　GB 40050—2021 网络关键设备安全通用要求

　　3 术语和定义

　　GB/T 25069 界定的以及下列术语和定义适用于本文件。

　　3.1

　　路由器 router

　　用来建立和控制不同网络间数据流的网络设备。

　　注：路由器基于路由协议机制和算法来选择路径或路由以实现建立和控制网络间的数据流，网络 自身可以基于不同的网络协议。

　　3.2

　　故障隔离 faultisolation

　　设备内部相互独立的部件中任一部件出现故障，不影响其他部件正常工作的一种机制。

　　4 缩略语

　　下列缩略语适用于本文件。

　　ARP：地址解析协议(Address Resolution Protocol)

　　BGP：边界网关协议(Border Gateway Protocol)

　　DHCP：动态主机配置协议(Dynamic Host Configuration Protocol)

　　FTP：文件传输协议(File Transfer Protocol)

　　HTTP：超文本传输协议(Hyper Text Transfer Protocol)

　　HTTPS：安全套接字层超文本传输协议(Hyper Text Transfer Protocol over Secure Socket Layer)

　　ICMP：互联网控制报文协议(Internet Control Message Protocol)

　　IP：互联网协议(Internet Protocol)

　　MAC：媒体访问控制(Media Access Control)

　　1

　　GB/T 41269—2022

　　ND：邻居发现协议(Neighbor Discovery Protocol)

　　NETCONF：网络配置协议(Network Configuration Protocol)

　　NTP：网络时间协议(Network Time Protocol)

　　OSPF：开放最短路径优先协议(Open Shortest Path First)

　　SNMP：简单网络管理协议(Simple Network Management Protocol)

　　SSH：安全壳协议(Secure Shell)

　　TCP：传输控制协议(Transmission Control Protocol)

　　TFTP：简单文件传输协议(Trivial File Transfer Protocol)

　　UDP：用户数据报协议(User Datagram Protocol)

　　5 安全功能要求

　　5 . 1 设备标识安全

　　路由器设备应支持以下标识安全要求：

　　a) 硬件整机应具备唯一性标识;

　　b) 设备的主控板卡、业务板卡、交换网板、风扇模块、电源、存储系统软件的板卡、硬盘或闪存卡等主要部件应具备唯一性标识;

　　c ) 应对预装软件、补丁包/升级包的不同版本进行唯一性标识;

　　d) 应标识每一个物理接口，并说明其功能，不得预留未向用户声明的物理接口;

　　e) 用户登录通过鉴别前的提示信息应避免包含设备软件版本、型号等敏感信息，例如可通过支持关闭提示信息或者用户自定义提示信息等方式实现。

　　5 . 2 冗余、备份恢复与异常检测

　　路由器设备应支持以下冗余、备份恢复安全要求和异常检测安全要求。

　　a) 设备整机应支持主备切换功能或关键部件应支持冗余功能，路由器设备支持冗余功能的关键部件通常包括主控板卡、交换网板、电源模块、风扇模块等。 路由器设备应提供自动切换功能，在设备或关键部件运行状态异常时，切换到冗余设备或冗余部件以降低安全风险。

　　b) 部分关键部件，如主控板卡、交换网板、业务板卡、电源、风扇等应支持热插拔功能。

　　c) 支持对预装软件、配置文件的备份与恢复功能，使用恢复功能时支持对预装软件、配置文件的完整性检查。

　　d) 应支持异常状态检测，产生相关错误提示信息，支持故障的告警、定位等功能。

　　e) 支持主控板卡、交换网板、业务板卡、电源、风扇等部分关键部件故障隔离功能。

　　f) 应提供独立的管理接口，实现设备管理和数据转发的隔离。

　　5 . 3 漏洞与缺陷管理安全

　　路由器设备应支持以下漏洞与缺陷管理安全要求：

　　a) 不应存在已公布的漏洞，或具备补救措施防范漏洞安全风险;

　　b) 预装软件、补丁包/升级包不应存在恶意程序;

　　c ) 不应存在未声明的功能和访问接口(含远程调试接口)。

　　5 . 4 预装软件启动及更新安全

　　路由器设备的预装软件启动及更新功能应支持以下安全要求：

　　a ) 应支持启动时完整性校验功能，确保系统软件不被篡改;

　　2

　　GB/T 41269—2022

　　b) 应支持设备预装软件更新功能;

　　c ) 对于更新操作，应仅限于授权用户实施，不应支持自动更新;

　　d) 对于存在导致设备重启等影响设备运行安全的更新操作，应支持用户选择或确认是否进行更新;

　　e ) 应支持软件更新包完整性校验;

　　f) 更新失败时设备应能够恢复到更新前的正常工作状态;

　　g) 对于采用网络更新方式的，应支持非明文通道传输更新数据;

　　h) 应有明确的信息告知用户软件更新过程的开始、结束以及更新的内容;

　　i) 应具备稳定可用的渠道提供软件更新源。

　　5 . 5 默认状态安全

　　路由器设备在默认状态下应支持以下安全要求：

　　a) 默认状态下应仅开启必要的服务和对应的端口，应明示所有默认开启的服务、对应的端口及用途，应支持用户关闭默认开启的服务和对应的端口;

　　b ) 非默认开放的端口和服务，应在用户知晓且同意后才可启用;

　　c) 使用 Telnet、SNMPv1/SNMPv2c、HTTP 等明文传输协议的网络管理功能应默认关闭;

　　d) 对于存在较多版本的远程管理协议，应默认关闭安全性较低的版本，例如设备支持 SSH 协议时，应默认关闭 SSHv1 。

　　5 . 6 抵御常见攻击能力

　　路由器设备应支持以下低于常见攻击能力：

　　a) 应具备抵御 目的为路由器自身的大流量攻击的能力，例如 目的为路由器管理接口或业务接 口的 ICMPv4/ICMPv6 Ping request Flood攻击、TCPv4/TCPv6 SYN Flood攻击等;

　　b) 应支持防范 ARP/ND欺骗攻击功能，如通过 MAC地址绑定等功能实现;

　　c) 应支持连续的非法登录尝试次数限制或其他安全策略，以防范用户凭证猜解攻击;

　　d ) 应支持限制用户会话连接的数量，以防范资源消耗类拒绝服务攻击;

　　e) 在支持 Web 管理功能时，应具备抵御常见 Web 攻击的能力，例如注入攻击、重放攻击、权限绕过攻击、非法文件上传等;

　　f) 在支持 SNMP 管理功能时，应具备抵御常见攻击的能力，例如权限绕过、信息泄露等;

　　g) 在支持 SSH 管理功能时，应具备抵御常见攻击的能力，例如权限绕过、拒绝服务攻击等;

　　h) 在支持 Telnet管理功能时，应具备抵御常见攻击的能力，例如权限绕过、拒绝服务攻击等;

　　i) 在支持 NETCONF 管理功能时，应具备抵御常见攻击的能力，例如权限绕过、拒绝服务攻击等;

　　j) 在支持 FTP 功能时，应具备抵御常见攻击的能力，例如目录遍历、权限绕过等。

　　k) 在支持 DHCP 功能时，应具备防范 DHCP 拒绝服务攻击等能力。

　　5 . 7 用户身份标识与鉴别

　　路由器设备用户身份标识与鉴别功能应支持以下安全要求：

　　a) 应对用户进行身份标识和鉴别，用户身份标识应具有唯一性;

　　b) 应不存在未向用户公开的身份鉴别信息;

　　c) 使用口令鉴别方式时，应支持首次管理设备时强制修改默认口令或设置口令，或支持随机的初始口令，支持设置口令生存周期;

　　d) 使用口令鉴别方式时，支持口令复杂度检查功能，开启口令复杂度检查功能时，应支持检查 口

　　3

　　GB/T 41269—2022

　　令长度应不少于 8 位，且至少包含 2 种不同类型字符;

　　e) 使用口令鉴别方式时，不应明文回显用户输入的口令信息;

　　f) 应支持登录用户空闲超时锁定或自动退出等安全策略，以防范用户登录后会话空闲时间过长导致的安全风险;

　　g) 鉴别失败时，应返回最少且无差别信息;

　　h) 应对用户身份鉴别信息进行安全保护，保障用户鉴别信息存储的保密性，以及传输过程中的保密性和完整性。

　　5 . 8 访问控制安全

　　路由器设备应支持以下访问控制安全要求：

　　a) 应提供用户分级分权控制机制;

　　b) 对涉及设备安全的重要功能如补丁管理、固件管理、日志审计、时间同步、端口镜像、流采样等，应仅授权的高等级权限用户可使用;

　　c) 应支持基于源 IPv4/IPv6 地址、目的 IPv4/IPv6 地址、源端口、目的端口、协议类型等的访问控制列表功能，支持基于源 MAC地址的访问控制列表功能;

　　d) 应支持对用户管理会话进行过滤，限制非授权用户访问和配置设备，例如通过访问控制列表功能限制可对设备进行管理(包括 Telnet、SSH、SNMP、Web 等管理方式)的用户 IPv4/IPv6地址。

　　5 . 9 日志审计安全

　　路由器设备应支持以下 日志审计安全要求：

　　a) 应提供日志审计功能，对用户关键操作，如增/删账户、修改鉴别信息、修改关键配置、用户登录/注销、用户权限修改、重启/关闭设备、软件更新等行为进行记录;对重要安全事件进行记录，对影响设备运行安全的事件进行告警提示;

　　b) 应提供日志信息本地存储功能，当 日志记录存储达到极限时，应采取告警、循环覆盖旧的记录等措施;

　　c) 应支持日志信息输出功能;

　　d) 应提供安全功能，保证设备异常断电恢复后，已记录的 日志不丢失;

　　e) 日志审计记录中应记录必要的 日志要素，至少包括事件发生 日期和时间、主体(如登录账号等)、事件描述(如类型、操作结果等)、源 IP 地址(采用远程管理方式时)等，为查阅和分析提供足够的信息;

　　f) 应具备对日志在本地存储和输出过程进行保护的安全功能，防止 日志内容被未经授权的查看、输出或删除;

　　g) 不应在 日志中明文或弱加密记录敏感数据，如用户 口令、SNMP 团体名、Web 会话 ID 以及私钥等。

　　5 . 10 通信安全

　　路由器设备应支持以下通信安全要求：

　　a) 应支持与管理系统(管理用户)建立安全的通信信道/路径，保障通信数据的保密性、完整性;

　　b ) 在支持 Web 管理时，应支持 HTTPS;

　　c ) 在支持 SSH 管理时，应支持 SSHv2 ;

　　d ) 在支持 SNMP 管理时，应支持 SNMPv3 ;

　　e) 应支持使用至少一种非明文数据传输协议对设备进行管理，如 HTTPS、SSHv2、SNMPv3 等;

　　4

　　GB/T 41269—2022

　　f) 应支持关闭 Telnet、SSH、SNMP、Web 等网络管理功能;

　　g) 基础通信协议(如 IPv4/IPv6、TCP、UDP、ICMPv4/ICMPv6 等)应满足通信协议健壮性要求，防范异常报文攻击;

　　h ) 应 用 层 协 议(如 SNMPv1/ SNMPv2c/ SNMPv3 、SSHv1/ SSHv2 、HTTP/HTTPS、FTP、 TFTP、NTP、Openflow 等)应满足通信协议健壮性要求，防范异常报文攻击;

　　i) 路由控制协议(如 OSPFv2/OSPFv3、BGP4/BGP4+等)应满足通信协议健壮性要求，防范异常报文攻击;

　　j) 应支持使用 NTP 等实现时间同步功能，并具备安全功能或措施防范针对时间同步功能的攻击，如提供 NTP认证等功能;

　　k) 路由通信协议应支持非明文路由认证功能;

　　l ) 应不存在未声明的私有协议;

　　m) 应具备抵御常见重放类攻击的能力。

　　5 . 1 1 数据安全

　　路由器设备应支持以下数据安全要求：

　　a) 应具备防止数据泄露、数据非授权读取和修改的安全功能，对存储在设备中的敏感数据进行保护;

　　b) 应具备对用户产生且存储在设备中的数据(如日志、配置文件等)进行授权删除的功能，支持在删除前对该操作进行确认。

　　5 . 12 密码要求

　　路由器设备密码要求应符合 GB 40050—2021 中 5 . 10 的规定。

　　6 安全保障要求

　　路由器设备安全保障要求应符合 GB 40050—2021 中第 6 章的规定。

　　5

　　GB/T 41269—2022

　　参 考 文 献

　　[1] GB/T 18018—2019 信息安全技术 路由器安全技术要求

　　[2] GB/T 20011—2005 信息安全技术 路由器安全评估准则

　　[3] YD/T 1359—2005 路由器设备安全技术要求 — 高端路由器(基于 IPv4)

　　[4] YD/T 1906—2009 IPv6 网络设备安全技术要求 — 核心路由器

　　[5] T/TAF 039—2019 网络关键设备安全技术要求 路由器设备

　　6