GB/T 32917-2016信息安全技术WEB应用防火墙安全技术要求与测试评价方法

ICS35040

L80.

中华人民共和国国家标准

GB/T32917—2016

信息安全技术WEB应用防火墙

安全技术要求与测试评价方法

Informationsecuritytechnology—

Securitytechniquerequirementsandtestingandevaluationapproaches

forWEBapplicationfirewall

2016-08-29发布2017-03-01实施

中华人民共和国国家质量监督检验检疫总局发布

中国国家标准化管理委员会

GB/T32917—2016

目次

前言

…………………………Ⅲ

引言

…………………………Ⅳ

范围

1………………………1

规范性引用文件

2…………………………1

术语定义和缩略语

3、………………………1

术语和定义

3.1…………………………1

缩略语

3.2………………1

安全技术要求

4……………2

基本级

4.1………………2

安全功能要求

4.1.1…………………2

自身安全保护

4.1.2…………………3

安全保障要求

4.1.3…………………4

增强级

4.2………………7

安全功能要求

4.2.1…………………7

自身安全保护

4.2.2…………………9

安全保障要求

4.2.3…………………10

性能要求

4.3……………13

吞吐量

4.3.1HTTP…………………13

最大请求速率

4.3.2HTTP…………13

最大并发连接数

4.3.3HTTP………………………13

测试评价方法

5……………13

测试环境

5.1……………13

基本级

5.2………………15

安全功能要求测试评价方法

5.2.1…………………15

自身安全保护测试评价方法

5.2.2…………………18

安全保障要求测试评价方法

5.2.3…………………20

增强级

5.3………………25

安全功能要求测试评价方法

5.3.1…………………25

自身安全保护测试评价方法

5.3.2…………………28

安全保障要求测试评价方法

5.3.3…………………32

性能测试评价方法

5.4…………………37

吞吐量

5.4.1HTTP…………………37

最大请求速率

5.4.2HTTP…………37

最大并发连接数

5.4.3HTTP………………………37

应用防火墙安全技术要求分级表

6WEB………………38

参考文献

……………………40

Ⅰ

GB/T32917—2016

前言

本标准按照给出的规则起草

GB/T1.1—2009。

本标准由全国信息安全标准化技术委员会提出并归口

(SAC/TC260)。

本标准起草单位公安部第三研究所上海天泰网络技术有限公司北京神州绿盟科技有限公司北

:、、、

京中软华泰信息技术有限责任公司

。

本标准主要起草人邱梓华张艳顾健胡亚兰叶志强李从宇宋万龙俞优程胜年罗宇任浩

:、、、、、、、、、、、

张笑笑宋好好吴其聪

、、。

Ⅲ

GB/T32917—2016

引言

本标准包含两部分内容一部分是应用防火墙的安全技术要求用以指导设计者如何设计和

,WEB,

实现应用防火墙另一部分是依据技术要求提出了具体的测试评价方法用以指导评估者对

WEB;,,

应用防火墙评估同时也为应用防火墙的开发者提供测试参考

WEB,WEB。

本标准将应用防火墙划分为个等级基本级和增强级为清晰表示增强级相较于基本级

WEB2:。

的安全技术要求的增加和增强在第章第章的描述中增强级的新增部分用宋体加粗表示在

,4、5,“”。

第章应用防火墙安全技术要求分级表中以表格形式列举了基本级和增强级的差异

6WEB,。

Ⅳ

GB/T32917—2016

信息安全技术WEB应用防火墙

安全技术要求与测试评价方法

1范围

本标准规定了应用防火墙的安全功能要求自身安全保护要求性能要求和安全保障要求

WEB、、,

并提供了相应的测试评价方法

。

本标准适用于应用防火墙的设计生产检测及采购

WEB、、。

2规范性引用文件

下列文件对于本文件的应用是必不可少的凡是注日期的引用文件仅注日期的版本适用于本文

。,

件凡是不注日期的引用文件其最新版本包括所有的修改单适用于本文件

。,()。

信息安全技术术语

GB/T25069—2010

3术语定义和缩略语

、

31术语和定义

.

界定的以及下列术语和定义适用于本文件

GB/T25069—2010。

311

..

WEB应用防火墙WEBapplicationfirewall

是根据预先定义的过滤规则和安全防护规则对所有服务器的访问请求和服务器的响

,WEBWEB

应进行协议和内容过滤对服务器及应用实现安全防护功能的信息安全产品

,WEBWEB。

312

..

WEB服务器WEBserver

服务器是向发出请求的客户端如浏览器提供服务的程序当浏览器客户端连到服

Web()。Web()

务器上并请求资源时服务器将处理该请求并将资源发送到该浏览器上服务器使用与

,