Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
本页内容
 

通用标准评估配置概述

本文档介绍在评估设备时复制运行 Junos OS Evolved 的设备的配置所需的步骤。本文档称为评估的配置。以下列表描述了设备评估的标准：

通用标准概述

信息技术通用标准是由多个国家签署的一项国际协议，允许根据一组通用标准对安全产品进行评估。在 https://www.commoncriteriaportal.org/ccra/index.cfm 的《通用标准认可安排》（CCRA）中，参与方同意相互认可在其他国家进行的产品评估。所有评估均使用信息技术安全评估的通用方法进行。

有关通用标准的详细信息，请参阅 https://www.commoncriteriaportal.org/。

评估目标 （TOE） 是根据协作保护配置文件 （cPP） 进行评估的设备或系统。

支持的平台

对于本文档中描述的功能，支持以下平台来鉴定 NDcPP：

CC 评估配置中演化的 Junos OS 的操作环境

在 CC 评估配置中装有 Junos OS Evolved 的瞻博网络设备可创建不同于正常模式下设备环境的硬件和软件操作环境。 图 1 显示了 CC 评估配置中 Junos OS Evolved 的操作环境。

图 1：CC 评估配置中演化的 Junos OS 的操作环境 Operational Environment for Junos OS Evolved in CC Evaluated Configuration

TOE 在网络环境中需要以下项目：

  • 外部服务器或 Syslog 服务器：配备 syslog 服务器和 SSHv2 客户端的外部服务器，用于通过 NETCONF 连接到 TOE，使 TOE 能够传输审计日志。

  • NTP 服务器：一个或多个可选的 NTP 服务器，用于为 TOE 的系统时间更新提供准确的时间。

  • 管理站：通过串行连接连接到 TOE 的管理站，用于 TOE 的本地管理。

  • 远程管理站：带有 SSHv2 客户端的远程管理站，用于远程管理 TOE。

CC 评估配置中演化的 Junos OS 逻辑边界

TOE 提供设备评估标准所需的安全功能。Junos OS 演化版中实施的安全功能包括：

安全性审计

TOE 具有审计功能，可以以审计记录的形式收集和存储一套全面的审计数据。每个审计记录都包含一个时间戳，指示生成审计记录的精确时间。此外，每个审计记录都包含详细信息，使 TOE 管理员能够审查事件并调查潜在或企图的安全漏洞。

审计记录存储在 TOE 内的日志文件中。管理员还可将 TOE 配置为将审计记录转发到外部 syslog 服务器。系统日志服务器不是 TOE 的一部分。将审计记录转发到系统日志服务器是通过受 SSHv2 协议保护的可信通道进行的。

密码支持

TOE 出于以下目的实现加密功能：

  • 保护用户密码

  • 要使用 SSHv2 协议建立可信通道和可信路径，请执行以下操作

  • NTP 协议的对称密钥身份验证

  • 用于 TOE 可信更新的数字签名验证。

TOE 包括多个密码库：

  • 内核加密模块具有确定性随机位发生器 （DRBG），符合 SP800-90A 标准，用于生成随机数据和加密密钥。此外，它还包括旨在保护用户密码的散列算法。

  • OpenSSL 加密模块利用开源 OpenSSL 库，提供其余的加密算法。

识别和身份验证

TOE 保证只有成功识别和身份验证的用户才有权访问管理功能。TOE 为本地和远程用户提供基于密码的身份验证。对于远程身份验证，它使用通过 SSHv2 建立的可信路径。此外，可以使用公共密钥身份验证来执行远程身份验证。

CLI可以从控制台本地访问，也可以通过 SSH 连接远程访问。没有其他管理 TOE 的方法。TOE 允许在用户登录前后显示横幅。TOE 还控制空闲的远程会话，并在一段时间后完成会话。

可信路径和可信通道

TOE 为管理员实施了一个安全通道来远程管理 TOE。管理员可以使用 SSHv2 协议从远程管理站连接到 TOE。可以使用任何支持 SSHv2 的 SSH 客户端（例如 OpenSSH）。远程管理员应有权访问适当的凭据（密码或 SSH 私钥），以便向 TOE 进行身份验证。成功识别和验证后，管理员即可访问 CLI。TOE 还使用 SSHv2 建立安全通道，用于将审计记录发送到外部系统日志服务器。

TOE 集成了 OpenSSH 库 9.8p1 版以促进 SSHv2 协议。它支持基于密码和基于公钥的身份验证方法。协议所需的加密算法由 OpenSSL 加密模块提供。

排除的 TOE 功能

管理员不得将以下协议和服务与 TOE 关联使用。

  • 请勿使用 Telnet。Telnet 不安全，违反了可信路径和可信通道要求。

  • 请勿使用 FTP。FTP 不安全，违反了可信路径和可信通道要求。

  • 请勿使用 SNMP。SNMP 不安全，违反了可信路径和可信通道要求。

  • 不使用 TLS 和 IPSEC 协议。该认证不涵盖这些协议。

  • 管理员只能通过命令行界面 （CLI） 管理 TOE。它们不得使用 J-Web、JUNOScript 或 JUNOScope。

  • 通过将 TOE 分配给超级用户类来创建 TOE 的安全性管理员。仅将 Linux root 帐户用于 TOE 的初始配置。请勿在评估的配置中使用 root 帐户。

  • 请勿安装或运行 Junos OS 演化版架构允许的第三方应用和工具。

  • 请勿在 TOE 上启动 SSHv2 协议（例如，通过使用 ssh 命令）。当通信从另一个端点开始时，TOE 只允许 SSHv2 作为可信通道和可信路径，因此 TOE 充当 SSH 服务器。

使用以下配置可避免将数据包传入 SNMP 和 NTP 端口（123 和 161）：

相关文档