理解受信系统中受信恢复的指南
发布: 2006-5-15 23:46 | 作者: Allan | 来源: 《深圳赛佛莱特科技有限公司》技术版
说明：本资料由qdfeng1xue2上传
格式：PDF格式
页数：42页
序
《理解受信系统中受信恢复的指南》提供了一系列与受信恢复相关的最佳实务。我们撰写本指南旨在帮助供应商和评估团体理解受信恢复的需求，以及《国防部受信计算机系统评测标准》中所有适用级别对受信恢复所要求的具体程度。在提供指导的过程中，本技术指南提出的建议并不是《标准》中的需求。
《受信恢复指南》是国家计算机安全中心出版的一系列技术指导方针中的最新一部。这些出版物为计算机安全供应商和技术评测者提供了《受信计算机系统评测标准》需求的内部信息。技术指南项目的目的是详细讨论《标准》的各种特性并提供适当的解释和具体的指导。
国家计算机安全中心已经建立了雄心勃勃的计算机安全技术研究和实施项目。我们的目标是促进受信计算机产品的推广，以方便任何希望更好地保护其重要数据的机构使用。受信产品评测项目就是我们达成这一目标的一种方法。这一项目主要关注商业领域所制造和支持的计算机系统的安全特性。我们根据《受信计算机系统评测标准》中所建立的标准对保护能力进行评测。这个项目以及我们与计算机和通讯企业具有开放性的合作关系将使国家的信息系统安全需求得以满足。我们决心努力识别能够满足处理受保护信息需要的受信计算机产品。
请您为本技术指导方针的修订提出建议。我们将根据需要对本文进行审查。
内容目录
序 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . i
致谢 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . ii
1.0 介绍 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1
1.1 背景 . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1
1.2 目的 . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1
1.3 范围 . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2
1.4 控制目标 . . . . . . . . . . . . . . . . . . . . . . . . . . 2
1.5 文档概述 . . . . . . . . . . . . . . . . . . . . . . . . . . 2
2.0 故障、中断和恢复 . . . . . . . . . . . . . . . . . . . . . . . 3
2.1 状态转换（行为）故障 . . . . . . . . . . . . . . . . . . . . 4
2.2 TCB故障 . . . . . . . . . . . . . . . . . . . . . . . . . . 4
2.3 介质故障 . . . . . . . . . . . . . . . . . . . . . . . . . . 5
2.4 运作的中断 . . . . . . . . . . . . . . . . . . . . . . . . . 5
3.0 受信恢复的特性 . . . . . . . . . . . . . . . . . . . . . . . . 7
3.1 安全状态 . . . . . . . . . . . . . . . . . . . . . . . . . . 7
3.2 安全状态转换 . . . . . . . . . . . . . . . . . . . . . . . . 9
4.0 受信恢复的设计方法 . . . . . . . . . . . . . . . . . . . . . .12
4.1 受信恢复的责任 . . . . . . . . . . . . . . . . . . . . . . .12
4.2 当前形式体系中的一些实践难点 . . . . . . . . . . . . . . . .12
4.3 当前恢复方法的总结 . . . . . . . . . . . . . . . . . . . . 13
4.3.1 系统恢复的类型 . . . . . . . . . . . . . . . . . . . . 13
4.3.2 当前方法 . . . . . . . . . . . . . . . . . . . . . . . 13
4.3.3 原子化状态转换的实施 . . . . . . . . . . . . . . . . . 14
4.3.3.1 映像 . . . . . . . . . . . . . . . . . . . . . . . 14
4.3.3.2 日志 . . . . . . . . . . . . . . . . . . . . . . . 15
4.3.3.3 日志和映像 . . . . . . . . . . . . . . . . . . . . 16
4.3.4 非原子化状态转换的恢复 . . . . . . . . . . . . . . . . 16
4.3.4.1 不一致性的来源 － 一个普通的例子 . . . . . . . . . 16
4.3.4.2 非原子化TCB元语 . . . . . . . . . . . . . . . . . 17
4.3.4.3 恢复规程的幂等性 . . . . . . . . . . . . . . . . . 19
4.3.4.4 非原子化系统元语的恢复 . . . . . . . . . . . . . . 19
4.4 受信恢复的设计选项 . . . . . . . . . . . . . . . . . . . 21
5.0 其它TCSEC需求对受信恢复的影响 . . . . . . . . . . . . . . . 23
5.1 运作的保证 . . . . . . . . . . . . . . . . . . . . . . . 23
5.2 生命周期保证 . . . . . . . . . . . . . . . . . . . . . . 24
5.2.1 安全测试 . . . . . . . . . . . . . . . . . . . . . . 24
5.2.2 设计规格说明和验证 . . . . . . . . . . . . . . . . . 25
5.2.3 配置管理 . . . . . . . . . . . . . . . . . . . . . . 25
5.2.4 受信分配 . . . . . . . . . . . . . . . . . . . . . . 25
5.3 文档 . . . . . . . . . . . . . . . . . . . . . . . . . . 25
5.3.1 受信设施手册 . . . . . . . . . . . . . . . . . . . . 25
5.3.2 测试文档 . . . . . . . . . . . . . . . . . . . . . . 25
5.3.3 设计文档 . . . . . . . . . . . . . . . . . . . . . . 26
6.0 满足TCSEC需求 . . . . . . . . . . . . . . . . . . . . . . . 26
6.1 B3安全级需求. . . . . . . . . . . . . . . . . . . . . . . 27
6.1.1 运作的保证 . . . . . . . . . . . . . . . . . . . . . 27
6.1.1.1 系统体系 . . . . . . . . . . . . . . . . . . . . 27
6.1.1.2 受信设施管理 . . . . . . . . . . . . . . . . . . 27
6.1.2 生命周期保证 . . . . . . . . . . . . . . . . . . . . 27
6.1.2.1 安全测试 . . . . . . . . . . . . . . . . . . . . 27
6.1.2.2 设计规格说明和验证 . . . . . . . . . . . . . . . 27
6.1.2.3 配置管理 . . . . . . . . . . . . . . . . . . . . 27
6.1.3 文档 . . . . . . . . . . . . . . . . . . . . . . . . 28
6.1.3.1 受信设施手册 . . . . . . . . . . . . . . . . . . 28
6.1.3.2 测试文档 . . . . . . . . . . . . . . . . . . . . 28
6.1.3.3 设计文档 . . . . . . . . . . . . . . . . . . . . 28
6.2 A1的附加安全级需求 . . . . . . . . . . . . . . . . . . . 29
6.2.1 附加的生命周期保证需求 . . . . . . . . . . . . . . . 29
6.2.1.1 配置管理 . . . . . . . . . . . . . . . . . . . . 29
6.2.1.2 受信分配 . . . . . . . . . . . . . . . . . . . . 29
术语表 . . . . . . . . . . . . . . . . . . . . . . . . . . . . 30
参考书目. . . . . . . . . . . . . . . . . . . . . . . . . . . . 35
下载地址：会员FTP1（安全标准、安全指南/2006.05.15.理解受信系统中受信恢复的指南.By.qdfeng1xue2.pdf）
格式：PDF格式
页数：42页
序
《理解受信系统中受信恢复的指南》提供了一系列与受信恢复相关的最佳实务。我们撰写本指南旨在帮助供应商和评估团体理解受信恢复的需求，以及《国防部受信计算机系统评测标准》中所有适用级别对受信恢复所要求的具体程度。在提供指导的过程中，本技术指南提出的建议并不是《标准》中的需求。
《受信恢复指南》是国家计算机安全中心出版的一系列技术指导方针中的最新一部。这些出版物为计算机安全供应商和技术评测者提供了《受信计算机系统评测标准》需求的内部信息。技术指南项目的目的是详细讨论《标准》的各种特性并提供适当的解释和具体的指导。
国家计算机安全中心已经建立了雄心勃勃的计算机安全技术研究和实施项目。我们的目标是促进受信计算机产品的推广，以方便任何希望更好地保护其重要数据的机构使用。受信产品评测项目就是我们达成这一目标的一种方法。这一项目主要关注商业领域所制造和支持的计算机系统的安全特性。我们根据《受信计算机系统评测标准》中所建立的标准对保护能力进行评测。这个项目以及我们与计算机和通讯企业具有开放性的合作关系将使国家的信息系统安全需求得以满足。我们决心努力识别能够满足处理受保护信息需要的受信计算机产品。
请您为本技术指导方针的修订提出建议。我们将根据需要对本文进行审查。
内容目录
序 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . i
致谢 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . ii
1.0 介绍 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1
1.1 背景 . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1
1.2 目的 . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1
1.3 范围 . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2
1.4 控制目标 . . . . . . . . . . . . . . . . . . . . . . . . . . 2
1.5 文档概述 . . . . . . . . . . . . . . . . . . . . . . . . . . 2
2.0 故障、中断和恢复 . . . . . . . . . . . . . . . . . . . . . . . 3
2.1 状态转换（行为）故障 . . . . . . . . . . . . . . . . . . . . 4
2.2 TCB故障 . . . . . . . . . . . . . . . . . . . . . . . . . . 4
2.3 介质故障 . . . . . . . . . . . . . . . . . . . . . . . . . . 5
2.4 运作的中断 . . . . . . . . . . . . . . . . . . . . . . . . . 5
3.0 受信恢复的特性 . . . . . . . . . . . . . . . . . . . . . . . . 7
3.1 安全状态 . . . . . . . . . . . . . . . . . . . . . . . . . . 7
3.2 安全状态转换 . . . . . . . . . . . . . . . . . . . . . . . . 9
4.0 受信恢复的设计方法 . . . . . . . . . . . . . . . . . . . . . .12
4.1 受信恢复的责任 . . . . . . . . . . . . . . . . . . . . . . .12
4.2 当前形式体系中的一些实践难点 . . . . . . . . . . . . . . . .12
4.3 当前恢复方法的总结 . . . . . . . . . . . . . . . . . . . . 13
4.3.1 系统恢复的类型 . . . . . . . . . . . . . . . . . . . . 13
4.3.2 当前方法 . . . . . . . . . . . . . . . . . . . . . . . 13
4.3.3 原子化状态转换的实施 . . . . . . . . . . . . . . . . . 14
4.3.3.1 映像 . . . . . . . . . . . . . . . . . . . . . . . 14
4.3.3.2 日志 . . . . . . . . . . . . . . . . . . . . . . . 15
4.3.3.3 日志和映像 . . . . . . . . . . . . . . . . . . . . 16
4.3.4 非原子化状态转换的恢复 . . . . . . . . . . . . . . . . 16
4.3.4.1 不一致性的来源 － 一个普通的例子 . . . . . . . . . 16
4.3.4.2 非原子化TCB元语 . . . . . . . . . . . . . . . . . 17
4.3.4.3 恢复规程的幂等性 . . . . . . . . . . . . . . . . . 19
4.3.4.4 非原子化系统元语的恢复 . . . . . . . . . . . . . . 19
4.4 受信恢复的设计选项 . . . . . . . . . . . . . . . . . . . 21
5.0 其它TCSEC需求对受信恢复的影响 . . . . . . . . . . . . . . . 23
5.1 运作的保证 . . . . . . . . . . . . . . . . . . . . . . . 23
5.2 生命周期保证 . . . . . . . . . . . . . . . . . . . . . . 24
5.2.1 安全测试 . . . . . . . . . . . . . . . . . . . . . . 24
5.2.2 设计规格说明和验证 . . . . . . . . . . . . . . . . . 25
5.2.3 配置管理 . . . . . . . . . . . . . . . . . . . . . . 25
5.2.4 受信分配 . . . . . . . . . . . . . . . . . . . . . . 25
5.3 文档 . . . . . . . . . . . . . . . . . . . . . . . . . . 25
5.3.1 受信设施手册 . . . . . . . . . . . . . . . . . . . . 25
5.3.2 测试文档 . . . . . . . . . . . . . . . . . . . . . . 25
5.3.3 设计文档 . . . . . . . . . . . . . . . . . . . . . . 26
6.0 满足TCSEC需求 . . . . . . . . . . . . . . . . . . . . . . . 26
6.1 B3安全级需求. . . . . . . . . . . . . . . . . . . . . . . 27
6.1.1 运作的保证 . . . . . . . . . . . . . . . . . . . . . 27
6.1.1.1 系统体系 . . . . . . . . . . . . . . . . . . . . 27
6.1.1.2 受信设施管理 . . . . . . . . . . . . . . . . . . 27
6.1.2 生命周期保证 . . . . . . . . . . . . . . . . . . . . 27
6.1.2.1 安全测试 . . . . . . . . . . . . . . . . . . . . 27
6.1.2.2 设计规格说明和验证 . . . . . . . . . . . . . . . 27
6.1.2.3 配置管理 . . . . . . . . . . . . . . . . . . . . 27
6.1.3 文档 . . . . . . . . . . . . . . . . . . . . . . . . 28
6.1.3.1 受信设施手册 . . . . . . . . . . . . . . . . . . 28
6.1.3.2 测试文档 . . . . . . . . . . . . . . . . . . . . 28
6.1.3.3 设计文档 . . . . . . . . . . . . . . . . . . . . 28
6.2 A1的附加安全级需求 . . . . . . . . . . . . . . . . . . . 29
6.2.1 附加的生命周期保证需求 . . . . . . . . . . . . . . . 29
6.2.1.1 配置管理 . . . . . . . . . . . . . . . . . . . . 29
6.2.1.2 受信分配 . . . . . . . . . . . . . . . . . . . . 29
术语表 . . . . . . . . . . . . . . . . . . . . . . . . . . . . 30
参考书目. . . . . . . . . . . . . . . . . . . . . . . . . . . . 35
下载地址：会员FTP1（安全标准、安全指南/2006.05.15.理解受信系统中受信恢复的指南.By.qdfeng1xue2.pdf）