本书在概述信息技术（IT）安全评估准则发展过程、基本概念及评估模型基础上，对GB/T 18336中预定义的安全功能和安全保障相关的类、族、组件和元素进行了剖析，并按照IT产品安全开发周期这一思路分别论述了标准用户如何采用保护轮廓（PP）结构规范地表达IT产品消费者的安全要求，IT产品开发者如何采用安全目标（ST）结构规范地描述IT产品的安全解决方案并准备相应的评估证据，在此基础上还论述了IT产品安全评估的基本流程，以及评估者如何基于信息技术安全评估准则采用合理的测试方法与技术对IT产品进行安全评估。为了增加可读性，本书列举了大量的实例以帮助读者理解GB/T 18336标准的应用方法和技术。

本书结合了编者在制定、修订GB/T 18336及其相关国家标准和规范，以及从事IT产品安全测评时所获得的经验，

阐述了GB/T 18336不同用户角色在标准应用过程中的任务分工，给出了从事IT产品安全评估需要掌握的知识、方法和技术，对提升各类用户理解和运用GB/T  18336标准有一定指导意义。

信息技术安全评估准则是世界公认的信息安全领域的重要基础性标准。本书有助于高校网络空间安全、软件工程、信息系统等专业的本科生、研究生理解和掌握这一标准，可作为教材使用。

1993年6月，加拿大、英国、法国、德国、荷兰和美国等国主导的通用准则（Common Criteria，CC）项目组织，开始了信息技术（Information Technology，IT）安全评估准则的起草工作。1994年4月，国际标准化组织（ISO）和国际电工委员会（IEC）的联合工作组ISO/IEC JTC1/SC27 WG3开始和CC项目组织合作编写针对信息技术产品（IT产品）和信息技术系统（IT系统）的安全评估准则。1996年ISO/IEC发布了基于CC v1.0的ISO/IEC 15408 《信息技术 安全技术 信息技术安全评估准则》国际标准草案，并在1999年12月形成了基于CC v2.1的 ISO/IEC 15408:1999《信息技术 安全技术 信息技术安全评估准则》国际标准。经过二十多年的发展，CC已历经多次修订，但由于历史延续性的原因，信息技术安全评估领域仍将用于IT产品安全评估的ISO/IEC 15408及其相关的ISO/IEC 18045《信息技术 安全技术 IT安全评估方法》（CEM）统称为通用评估准则，即CC。

尽管CC标准已在包括我国在内的全球各国信息安全测评领域得到了广泛应用，成为支持IT产品互联互通的国际标准，但目前国内还没有介绍基于CC/CEM的信息技术安全评估准则的中文教材。因此，本书的编写出于以下几个目的： 一是要展现国内外IT产品安全评估准则的发展过程，以及基于CC标准的IT产品安全评估的基本概念，通过介绍信息技术安全评估准则发展历史让读者了解CC标准在IT产品安全评估工作中的地位和价值； 二是对CC标准中安全功能和安全保障要求相关的类、族、组件和元素进行剖析和解读，让IT产品消费者和开发者掌握在保护轮廓（PP）和安全目标（ST）编制过程中CC组件的选择方法和组件元素的操作方法； 三是从IT产品消费者的角度讲解如何通过PP结构来规范化表达用户对IT产品的安全要求； 四是从IT产品开发者角度介绍如何使用ST结构中TOE概要规范（TSS）来论述他们提供IT产品的安全方案； 五是从IT产品评估者角度介绍CC标准评估方法及其对评估工作中评估对象（TOE）进行安全评估的内容； 最后一个目标是围绕IT产品的安全评估，介绍IT产品开发者如何准备TOE评估所需的评估证据，IT产品评估者如何使用合理的测试方法与技术对IT产品进行安全评估。

为此，本书安排了以下8章内容。

第1章信息技术安全评估概述： 一是回顾信息与信息技术、信息安全技术及其评估等基本概念之间的关系，通过介绍国内外信息技术安全标准化工作，论述CC标准在信息技术安全评估中的地位，包括我国信息安全评估方面与CC标准相关的工作； 二是概述信息技术安全评估准则的发展历史，梳理CC标准基本概念，以及与其他区域性的信息技术安全评估准则之间的关系； 三是阐明CC标准应用框架，讨论CC标准在安全需求开发、安全方案设计和安全评估中的用户群体和应用群体，并对CC互认协定（CCRA）、国家评估体制以及IT产品安全认证相关的概念和流程进行介绍。

第2章通用评估准则的基本模型和方法： 首先，通过论述CC标准的目的和预期用途来阐述CC标准的适用性； 在此前提下，概述CC标准文档的组成及PP、ST、TOE等CC评估模型相关的核心概念，明确CC标准在描述IT产品的安全要求、表达安全方案和安全评估方法方面的定位； 其次，对基于CC标准的评估模型，包括资产保护对策及PP、ST和TOE等类型安全评估基本概念进行剖析； 最后，从TOE开发者和评估者角度简述 CC标准中的TOE评估证据准备方法，以及和TOE安全评估相关的独立性和穿透性测试方法和技术。

第3章安全功能组件和安全保障组件： 围绕ISO/IEC 15408:2008（即GB/T 18336—2015）第2和第3部分文档内容，介绍用于规范IT产品安全功能要求表达的CC安全功能组件和安全保障组件内容及其使用方法，即CC第2部分列出的11个类、65个族和136个安全功能组件和CC第3部分列出的PP/ST评估这两个保障类和TOE以及组合TOE的6个评估保障类、38个族和89个安全保障组件，帮助TOE消费者和开发者理解如何在IT产品的安全要求开发和安全方案设计（即编制PP/ST）中选择这些安全功能和安全保障组件，以及如何对组件元素进行细化操作。

第4章保护轮廓及其编制方法： 依据GB/Z 20283 《信息技术 安全技术 保护轮廓和安全目标产生指南》技术文件，按照GB/T 18336.1—2015附录B的PP结构，逐节讨论面向TOE消费者的IT产品安全需求（即PP）编制方法。在描述PP文档结构的过程中，将对安全问题、安全目的和安全要求相关内容的组织形式及它们之间的逻辑关系进行梳理。在描述保护轮廓编制方法过程中，将穿插论述如何将PP的目的、范围和编制方法映射至IT产品生命周期和用户IT产品采购的通用流程，以便最终用户理解PP编制在IT产品安全需求开发中的地位及其用途。

第5章安全目标及其编制方法： 依据GB/Z 20283 《信息技术 安全技术 保护轮廓和安全目标产生指南》技术文件，一方面概述ST和PP之间的关系，另一方面按照GB/T 18336.1—2015附录A的ST结构，逐节讨论编制面向TOE开发者的安全方案，即需要考虑的ST文档结构、内容和格式要求及它们之间的关系，并从TOE消费者的角度解读ST是如何通过其第7节的TOE概要规范满足它声称所依照的PP安全需求的。论述过程将体现从常见的IT产品生命周期和用户IT产品采购通用流程中定位ST编制的重要性。

第6章通用评估准则的具体评估流程和方法： ISO/IEC 15408—3 《信息技术 安全技术 IT安全评估准则——第3部分： 安全保障组件》、ISO/IEC 18045 《信息技术 安全技术 IT安全评估方法》和各国评估机构发布的CC评估体制规定了执行PP/ST/TOE安全评估的相关活动、子活动、行为及工作单元

，以及如何执行和由谁执行等IT产品安全评估相关的方法和内容。各国评估机构发布的安全评估体制按照CCRA构建在CEM标准之上，提供了关于信息技术安全评估过程如何执行和管理的细节。因此，本章将在前面章节的知识基础上介绍面向TOE评估者的CEM标准内容，包括评估方法、评估模型、预定义评估保障级别、PP/ST/TOE等目标对象的评估内容与方法。

第7章评估证据及其准备方法： TOE开发者在交付一个待评估的IT产品（TOE样品）之前，通常需要基于相关的PP，在ST中细化TOE安全问题和安全目的，描述相关安全要求； 然后针对这些安全要求，确定TOE安全功能（TSF）和评估范围。换句话说，TOE开发者首先应该按照GB/Z 20283 《信息技术 安全技术 保护轮廓和安全目标产生指南》编制ST。在此基础上，为保证评估活动的有效性，TOE开发者应先审核IT产品的研发（设计和实现）、生命周期支持以及功能测试等方面是否满足ST规定的安全保障要求。为此TOE开发者需要准备面向IT产品安全评估的相关评估证据，以便评估者可以按CEM规定的标准化活动完成IT产品的测试，保证安全评估的质量和效率。因此，本章先介绍IT产品评估过程中TOE开发人员的职责，再详细介绍ST文档、开发类文档、指导性文档、生命周期类文档、测试类文档等评估证据的编制方法和要求。

第8章测试方法和技术： CEM提供了覆盖PP/ST中保障要求的评估规范编制、评估证据文档输入要求、评估过程、PP、ST、TOE、ACO等安全保障组件的安全评估内容。虽是面向TOE评估者编写的，但CEM并没有给出CC测试实验室（CCTL）的评估人员需要使用的TOE安全功能（TSF）符合性测试和穿透性测试的具体方法与技术。因此，本章将从TOE评估者角度，阐述如何依据评估发起人提供的ST及其相关的评估证据，对IT产品安全功能进行独立性测试，对TOE开发过程和TOE安全性进行脆弱性评定。TOE安全功能的独立性测试需要CCTL按照ST中的安全功能要求，对被测TOE安全功能的正确性进行验证测试。脆弱性评定关注IT产品是否存在安全缺陷，通过采用脆弱性分析技术和穿透性测试方法找出TOE设计或实现上的缺陷，在未来的TOE运行过程中这些缺陷可能导致对安全功能的破坏行为。因此，本章主要介绍评估过程中CCTL使用的独立性测试和脆弱性评定两种测试、分析方法和技术，包括用于TOE评估的常用穿透性测试技术。

本书覆盖了应用GB/T 18336—2015所涉及的各类用户的工作内容，不同读者在阅读时可根据自己在IT产品安全评估中的角色选择相应的章节，对照CC/CEM及其相关指南文档理解相关的内容。例如，IT产品的消费者只需阅读前4章，以掌握CC中PP、ST、TOE、安全要求相关的类、族、组件和元素、安全评估等核心概念，理解安全问题和安全目的定义、安全要求和基本原理的论述方法等，以便编制和理解PP文档； IT产品的开发者可在阅读前4章的基础上，进一步阅读第5章和第7章，以增强对ST编制工作中的安全组件选择和元素操作、特定安全要求的扩展组件定义、TOE安全功能规范和安全原理论述，以及评估证据准备等内容的理解； IT产品的评估者应阅读本书的所有章节，以掌握CC/CEM中的信息技术安全评估规范化方法，在理解CC核心概念和评估模型、评估技术和评估证据准备要求的基础上，有效地执行PP、ST和TOE安全评估活动； 认证监管者可以通过阅读本书相关章节中CC/CEM基本概念和安全评估方法，以及国家评估体制、安全评估报告编制方法等内容，更好地开展IT产品认证工作。

编者2020年4月

第1章信息技术安全评估概述

1.1信息安全基本概念

1.1.1信息安全研究范围

1.1.2信息安全基本属性

1.2信息安全标准化状况

1.2.1国际信息安全标准化

1.2.2我国信息安全标准化

1.3信息安全评估准则的发展

1.3.1可信计算机系统评估准则

1.3.2区域性的信息安全评估准则

1.3.3通用评估准则及其发展历程

1.4通用评估准则应用框架

1.4.1CC用户和职责

1.4.2CC互认协定

1.4.3国家评估体制

1.5本章小结

1.6问题讨论

第2章通用评估准则的基本模型和方法

2.1CC的适用性

2.2标准基本结构和概念

2.2.1基本结构

2.2.2基本概念

2.3基本评估模型

2.3.1资产及其安全

2.3.2TOE评估

2.3.3PP/ST/ACO评估

2.4基本评估方法

2.4.1开发者评估准备

2.4.2评估者测评

2.5本章小结

2.6问题讨论

第3章安全功能组件和安全保障组件

3.1安全功能组件

3.1.1功能组件结构

3.1.2安全审计功能组件

3.1.3通信功能组件

3.1.4密码支持功能组件

3.1.5用户数据保护功能组件

3.1.6用户标识与鉴别功能组件

3.1.7安全管理功能组件

3.1.8隐私功能组件

3.1.9TSF保护功能组件

3.1.10资源利用功能组件

3.1.11TOE访问功能组件

3.1.12可信路径/信道功能组件

3.2安全保障组件

3.2.1保障组件结构

3.2.2PP评估保障组件

3.2.3ST评估保障组件

3.2.4TOE评估保障组件

3.2.5ACO评估保障组件

3.2.6PP配置评估保障组件

3.2.7预定义评估保障级别

3.2.8预定义组合保障包

3.3本章小结

3.4问题讨论

第4章保护轮廓及其编制方法

4.1保护轮廓概述

4.2保护轮廓结构

4.3保护轮廓引言

4.3.1PP标识

4.3.2TOE概述

4.4符合性声明

4.5安全问题定义

4.5.1假设

4.5.2威胁

4.5.3组织安全策略

4.6安全目的

4.6.1TOE安全目的

4.6.2运行环境安全目的

4.6.3安全目的原理

4.7扩展组件定义

4.7.1扩展功能组件定义

4.7.2扩展保障组件定义

4.8安全要求

4.8.1安全功能要求

4.8.2安全保障要求

4.8.3安全要求原理

4.9PP模块化管理

4.10本章小结

4.11问题讨论

第5章安全目标及其编制方法

5.1安全目标概述

5.2安全目标结构

5.3安全目标引言

5.3.1ST标识

5.3.2TOE功能概述

5.3.3TOE描述

5.4符合性声明

5.4.1PP引用

5.4.2PP裁剪

5.4.3PP增加

5.4.4符合性原理

5.5安全问题定义

5.5.1假设

5.5.2威胁

5.5.3组织安全策略

5.6安全目的

5.6.1TOE安全目的

5.6.2运行环境安全目的

5.6.3安全目的原理

5.7扩展组件定义

5.8安全要求

5.8.1安全功能要求

5.8.2安全保障要求

5.8.3安全要求原理

5.9TOE概要规范

5.9.1TOE安全功能

5.9.2TOE安全保障措施

5.9.3TOE概要规范原理

5.10本章小结

5.11问题讨论

第6章通用评估准则的具体评估流程和方法

6.1评估方法概述

6.1.1评估原则

6.1.2评估角色与职责

6.1.3评估依据与评估体制

6.2评估流程和活动

6.2.1评估基本流程

6.2.2评估证据输入

6.2.3TOE评估活动

6.2.4评估结果输出

6.3预定义保障包评估方法

6.3.1功能测试评估

6.3.2结构测试评估

6.3.3系统地测试和检查

6.3.4系统地设计、测试和复查

6.3.5半形式化设计和测试

6.3.6半形式化验证的设计和测试

6.3.7形式化验证的设计和测试

6.4PP/ST/TOE/组合TOE评估方法

6.4.1PP评估

6.4.2ST评估

6.4.3TOE评估

6.4.4组合TOE评估

6.5本章小结

6.6问题讨论

第7章评估证据及其准备方法

7.1评估证据概述

7.2评估证据准备流程

7.2.1评估前准备

7.2.2启动评估项目

7.2.3评估和反馈

7.2.4认证和认可

7.3评估证据编制要求

7.3.1安全目标

7.3.2开发类证据

7.3.3指南类证据

7.3.4生命周期类证据

7.3.5测试类证据

7.3.6脆弱性评定证据

7.4本章小结

7.5问题讨论

第8章安全测试方法与技术

8.1TOE安全测试方法

8.2独立性测试方法

8.2.1分析阶段

8.2.2设计阶段

8.2.3开发阶段

8.2.4测试阶段

8.3脆弱性评定方法

8.3.1攻击潜力计算

8.3.2脆弱性评定

8.3.3安全性分析

8.4穿透性测试技术

8.4.1穿透性测试方法分类

8.4.2常见穿透性测试技术

8.5本章小结

8.6问题讨论

附录ACCRA成员国列表

附录B通用评估准则国际技术社区

附录C通用评估准则的相关应用标准

参考文献

对新版GB/T 18336安全评估基本概念、安全要求组件、安全评估方法学、安全评估技术进行解读，并分别针对通用准则的信息产品/IT系统提供商（开发者）、最终用户（消费者）、安全风险评估和测试人员（评估者）、安全认证管理等主要用户在通用准则应用过程中的保护轮廓编制、安全目标设计、评估对象安全评估、开发者证据准备和评估者相关测试技术进行介绍。

叶晓俊，男，清华大学教授。近五年作为负责人主持完成国家“核高基”科技重大计划、国家发改委信息安全专项、总装、总参等国家数据库测试和安全测试相关项目。目前作为项目负责人正承担国家网信办《大数据服务安全能力要求》国家推荐标准的制定工作。

近五年制定了《关系数据库管理系统技术要求》和《关系数据库检测规范》国家推荐性标准，并正在修订《数据库管理系统安全技术要求》和《数据库管理系统安全评估准则》两项国家推荐性标准。

研发的数据库功能自动化测试工具和性能基准测试工具多次应用在国家“863”计划软件重大专项和国家“核高基”科技重大专项的“以测代评”和“以测助评”等实际项目，获得科技部、工信部、国内权威测评机构和相关领域专家的好评；研发的主流数据库安全特性检查专用工具已经装配到“国家风险评估测控队伍”的工具箱中，在国家重要信息系统、重大工程的安全评估中得到实际应用验证。