在51CTO安全頻道特別策劃的系列的上一篇文章《》里，J0ker給大家介紹了CISSP CBK中提到的，同時也是現實產品中最常使用的幾個保護機制。在實踐中采購一個信息技術產品之前，我們一般都會先了解目標產品的安全程度。但如果由不同需求的人員來對產品進行評估，如果沒有統一的標準，結果也是千差萬別——這樣就產生對統一標準的需求，因此世界上的許多國家和組織推出了自己的產品安全評估標準，其中使用最廣泛的就是CISSP CBK中介紹到的TCSEC（橘皮書）、TNI（紅皮書）、ITSEC和CC這幾種。

在了解這些安全評估標準之前，我們先要了解一下基本的概念：產品和系統。我們知道，所有的安全評估標準，所針對的對象都是產品或系統，那這里所提到的產品和系統到底指的是什么？在CISSP Official Guide里面提到，“產品”，指的是某個特定的可以使用在其設計目標場合的應用程序，或在某些預定義的規則下操作的應用程序，操作系統作為一個整體來看，就是一個產品；而“系統”則是指完成某個特定目標或者在某個特定場合下操作的許多產品的集合。明白這兩個概念之間的差異，對理解安全評估標準很有幫助。

說完了最基本的概念，J0ker開始給大家介紹CISSP CBK上所提到的安全評估標準：
TCSEC，也就是俗稱的橘皮書（Orange Book），它是第一個被廣泛接受的安全評估標準，由美國國防部于1985年提出，目的在于評估所部署系統的安全程度。TCSEC評估產品的出發點基于三個：

◆功能，目標系統所具有的安全功能，比如用戶驗證和審計；
◆有效性，安全功能的使用是否滿足所需要提供的安全級別；
◆認可度：授權機構對系統所提供的安全級別的認可程度。

TCSEC把評估對象的安全程度分成了4個等級：A、B、C和D，安全程度從A到D逐級下降，確定為A的產品具有最高的安全性，而D等級的產品則完全沒有安全性的考慮。這四個等級的分級標準包括：

◆安全策略：目標系統的安全策略設置是強制或自主式訪問控制策略
◆物件標記：是否對系統內的物件根據敏感程度的不同進行標記
◆使用者識別：使用者必須經過識別和驗證
◆審計：安全相關的事件必須進行日志記錄
◆保證性：指：1.操作保證性，比如系統架構、對執行域的保護、系統完整性；2.生命周期保證性，如設計方法、安全測試和設置管理等
◆文檔：用戶和管理員應該了解如何安裝和使用系統的安全功能，測試人員也需要文檔去進行測試
◆持續保護：保護機制本身不容易被干擾或破壞
根據這些分級標準，TCSEC的4個安全等級再細分為7個等級，這些等級的名字和詳細內容如下：

因為TCSEC是1960年代開始設計，并于1985年成型的標準，由于當時安全觀點的局限性，TCSEC的評估目標只涉及了保密性，而沒有涉及完整性和可用性的評估。因為逐漸不適合現代信息環境和新標準的紛紛推出，美國于2000年廢除了TCSEC。

TNI：TNI也稱為紅皮書（Red Book），由于TCSEC存在評估對象只對單一系統，并且沒有完整性評估的缺點，1987年提出了TNI安全標準。TNI用于評估電信和網絡系統，它基于TCSEC，同樣使用了TCSEC中的ABCD分級方法。

TNI中的關鍵功能如下：
◆完整性：TNI使用了Biba安全模型來保證數據的完整性，并使用了信息源/目標認證、加密等方法來保證信息傳輸的完整性
◆標簽：在使用和TCSEC類似的保密性標簽之外，TNI還加入了完整性標簽，以進行強制訪問控制
◆其他安全服務，主要可分成以下幾個類型：通訊完整性，包括驗證、通訊域完整性、抗抵賴性；拒絕服務防御：操作持續性、基于協議的保護和網絡管理；威脅保護：數據保密性和通訊保密性。

ITSEC：在TCSEC標準推出不久，許多歐洲國家也在醞釀推出自己的安全評測標準，結果便是ITSEC的推出。ITSEC于1990年推出第一版草稿，并最終于1995年又歐盟會議批準。盡管ITSEC借用了TCSEC的許多設計思想，但因為TCSEC被認為過分死板，因此ITSEC的一個主要目標就是為安全評估提供一個更靈活的標準。ITSEC和TCSEC的主要區別在于，ITSEC不單針對了保密性，同時也把完整性和可用性作為評估的標準之一。

ITSEC的制定認識到IT系統安全的實現通常是要將技術和非技術手段結合起來，技術手段用來抵御威脅，而組織和管理手段則用來指導實現。因此ITSEC對目標的評估基于兩個因素：有效性和準確性，有效性表明評估目標能夠在多大程度上抵御威脅，而準確性則表明系統的設計和操作在多大程度上保證安全性。

為了涵蓋這兩個方面，ITSEC使用了“評估目標（TOE）“這一概念，它表述了目標產品的操作安全需求和面臨的威脅，而另外一個概念，”安全目標（Security Objectives）“，則表述了目標產品所要滿足的安全功能和評估級別。ITSEC的安全等級劃分與ITSEC不同，他分為功能性等級（F）和保證性等級（E），這兩個等級的具體內容如下：
功能性F：

確定性等級E：

E3級別被認為是最常用的安全產品評估標準，安全操作系統或數據庫系統通常會使用F2+E3這個結合來進行評估。下面是J0ker做的一個ITSEC和TCSEC的簡單對比表格：

在1990年代的早期，TCSEC漸漸不能適應信息技術的發展，美國開始對其進行升級，但不久美國就終止了升級行動，轉而和加拿大及歐洲聯合制定一個國際統一的安全評估標準，這個聯合行動的最終結果便是CC的制定。CC，也即常說的通用準則（Common Criteria），在1999年通過了ISO的認可，稱為ISO15408。中國加入WTO之后，按照WTO的規則接受CC為信息系統產品安全評估標準，并制定了相應的國家標準GB18336。
CC保留了ITSEC的靈活性，并結合了美國聯邦準則（FC）的保護輪廓（Protection Profile）及預定義安全級別。CC的關鍵概念有：
◆評估對象—— TOE(Target of Evaluation)
◆保護輪廓——PP (Protection Profile)
◆安全目標——ST( Security Target)
◆功能(Function)
◆保證(Assurance)
◆組件(Component)
◆包(Package)
◆評估保證級——EAL( Evaluation Assurance Level)

其中保護輪廓是CC最重要的概念，它滿足了以下的要求：
◆表達一類產品或系統的用戶需求
◆組合安全功能要求和安全保證要求
◆技術與需求之間的內在完備性
◆提高安全保護的針對性、有效性
◆安全標準
◆有助于以后的兼容性
◆同TCSEC級類似

CC是平時大家在工作和實踐中最有可能接觸到的標準，因此大家可以結合工作中的經驗來記憶和理解CC的內容。CISSP考試中對安全標準的考核主要是考概念，TCSEC安全等級的內容、ITSEC和CC里面名詞的識記等。最后J0ker把TCSEC、ITSEC和CC做一個比較作為本文的結束：

下集預告：《訪問控制系統和方法1》，J0ker將帶大家進入下一個CBK，并介紹訪問控制系統和方法的概念，敬請期待！