ICS 35.030 CCS L70 中 华 人 民 共 和 国 通 信行 业 标 准 YD/T XXXXX—XXXX YD 支持拟态防御功能的防火墙检测规范 Test specification for mimic firewall equipment XXXX - XX - XX发布 XXXX - XX - XX实施 中华人民共和国工业和信息化部   发布 YD/T XXXXX—XXXX I目次 前 言 ............................................................................ II 1 范围 ................................................................................. 3 2 规范性引用文件 ....................................................................... 3 3 术语和定义 ........................................................................... 3 4 缩略语 ............................................................................... 3 5 测试环境 ........................................................................... 3 6 支持拟态防御功能的防火墙测试接口 ................................................... 5 7 支持拟态防御功能的防火墙功能要求测试 ............................................... 6 8 支持拟态防御功能的防火墙性能要求测试 ............................................... 8 9 支持拟态防御功能的防火墙安全要求测试 ............................................... 9 YD/T XXXXX—XXXX II 前言 本文件按照 GB/T 1.1—2020《标准化工作导则 第1部分：标准化文件的结构和起草规则》的规定 起草。 本文件是 “支持拟态防御功能的设备 ”系列标准之一，该系列标准的结构和名称预计如下： 1) 支持拟态防御功能设备的总体技术指南 2) 支持拟态防御功能的 Web服务器技术要求 3) 支持拟态防御功能的 Web服务器检测规范 4) 支持拟态防御功能的路由器技术要求 5) 支持拟态防御功能的路由器检测规范 6) 支持拟态防御功能的域名服务器技术要求 7) 支持拟态防御功能的域名服务器检测规范 8) 支持拟态防御功能的交换机技术要求 9) 支持拟态防御功能的交换机检测规范 10) 支持拟态防御功能的防火墙技术要求 11) 支持拟态防御功能的防火墙检测规范 12) 支持拟态防御功能的分布式存储系统技术要求 13) 支持拟态防御功能的分布式存储系统检测规范 14) 支持拟态防御功能的安全网关技术要求 15) 支持拟态防御功能的安全网关检测规范 16) 支持拟态防御功能的云组件技术要求和测试方法 本文件按照 GB/T 1.1—2020《标准化工作导则 第1部分：标准化文件的结构和起草规则》的规定 起草。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。 本文件由中国通信标准化协会提出并归口。 本文件起草单位 ：中国信息通信研究院，北京天融信网络安全技术有限公司，中国人民解放军战略 支援部队信息工程大学 ，河南信大网御科技有限公司 ，珠海高凌信息科技股份有限公司 ，中国联合网络 通信集团有限公司。 本文件主要起草人 ：谢玮，孟楠，崔涛，贺倩，姚磊，王龑，张健，马海龙，陈博，卜佑军，周锟， 袁征，郭义伟，冯志峰，马峥 。YD/T XXXXX—XXXX 3 支持拟态防御功能的 防火墙检测规范 1　范围 本文件描述了支持拟态防御功能的防火墙的检测方法 ，包括该防火墙在功能 、安全性等方面的测试 流程和测试方法。 本文件适用于支持拟态防御功能的防火墙的研制、生产、认证和实际环境部署。 2　规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款 。其中，注日期的引用文件 ， 仅该日期对应的版本适用于本文件 ；不注日期的引用文件，其最新版本（包括所有的修改单） 适用于本 文件。 YD/T XXXX 支持拟态防御功能设备 的总体技术指南 3　术语和定义 YD/T XXXX 《支持拟态防御功能设备的总体技术指南》界定的术语和定义适用于本文件。 4　缩略语 下列缩略语适用于本文件。 API 应用程序接口 Application Programming Interface FTP 文件传输协议 File Transfer Protocol SSH 安全远程登录 Secure Shell Telnet 远程登录 Telecommunication Network HTTP 超文本传输协议 HyperText Transfer Protocol WebUI 网络产品用户界面 Website User Interface 5 测试环境 支持拟态防御功能的防火墙（以下简称“拟态防火墙”）通过测试接口 API完成功能测试、性能测 试和安全测试。安全测试中差模注入测试环境如图 1所示，其中测试接口 API提供白盒注入接口功能。 YD/T XXXXX—XXXX 4 图1　拟态防火墙差模注入测试环境 拟态防火墙 N-1模注入测试环境如图 2所示。 图2　拟态防火墙 N-1模注入测试环境 拟态防火墙 N模注入测试环境如图 3所示。 YD/T XXXXX—XXXX 5 图3　拟态防火墙 N模注入测试环境 6 支持拟态防御功能的防火墙测试接口 6.1 概述 本章规定了拟态防火墙中测试接口 API的相关测试内容 。测试接口 API是进行拟态防火墙功能测试的 基础。 6.2 提供执行体测试接口 API 测试项目：提供执行体测试接口 API 预置条件 ：被测拟态防火墙处于正常工作状态，所有执行体处于正常工作状态，开启执行 体测试接口 API 测试步骤： 1、被测设备提供拟态功能白盒测试接口开关； 2、被测设备提供适用于各拟态功能测试开关或者界面； 3、被测设备提供白盒注入接口。 4、被测试设备提供拟态控制层面的测试接口 5、被测试设备提供拟态业务层面的测试接口 预期结果： 被测拟态防火墙提供拟态功能测试接口 ，测试过程中 ，能方便直观查看拟态功能实现的效 果。 7 支持拟态防御功能的防火墙功能要求测试 7.1 概述 YD/T XXXXX—XXXX 6本章规定对拟态防火墙功能测试内容 ，包括对于输入代理单元 、输出代理单元 、动态调度单元 、反 馈控制单元的功能测试 。本章所提及的技术要求见 YD/T XXXX 《支持拟态防御功能的防火墙技术要求》 。 7.2 输入输出代理 测试项目：输入输出测试 预置条件：输入输出单元工作正常，所有执行体工作状态正常，开启执行体测试接口 API 测试步骤： 1、开启执行体测试接口 API，发送管理请求 ，管理层面收到管理控制报文后 ，复制分发给 多个执行体处理，各执行体能够收到输入的请求； 2、开启执行体测试接口 API，发送业务请求 ，业务层面收到业务数据报文后 ，复制分发给 多个执行体处理，各执行体能够收到输入的业务； 3、开启执行体测试接口 API，发送管理请求，检查输出结果唯一； 4、开启执行体测试接口 API，发送业务请求，检查输出结果唯一； 5、关闭执行体测试接口 API，访问各执行体。 预期结果： 1、拟态防火墙各执行体能够收到管理控制报文； 2、拟态防火墙各执行体能够收到业务数据报文； 4、拟态防火墙对管理请求处理结果唯一； 5、拟态防火墙对业务请求处理结果唯一； 3、拟态防火墙的各执行体不可访问。 7.3 异构执行体 测试项目：执行体异构要求 预置条件：所有执行体工作状态正常，开启执行体测试接口 API 测试步骤： 1、通过测试接口登录到所有执行体，检查运行状态，记录系统、平台架构和应用服务版 本等信息，应用服务版本包括运维管理服务、网络层访问控制和应用层服务； 2、对比各个执行体的相关信息； 预期结果： 1、各个执行体运行状态正常，执行体之间在硬件、操作系统、运维管理软件、网络层和 应用层访问控制存在差异； 2、异构执行体的数量不少于 3个。 7.4 动态调度 测试项目：执行体动态调度 预置条件：所有执行体工作状态正常，开启执行体测试接口 AP