搜索
1584916643629文档密级安全属性检查编号检查项目1对于人机接口以及可远程访问的机机接口，不存在用户无法修改的口令（含程序中的硬编码口令），产品资料中提供修改说明。2不存在用户未知的帐户，所有帐户都必须可被系统管理，并在产品资料中提供所有账号及管理操作说明。3不存在绕过正常认证机制直接进入到系统的方式，如敲组合键盘、鼠标特殊敲击、连接特定接口，使用特定客户端、使用特殊URL等4所有的命令、参数、接口（含处于隐藏模式下的命令、参数、生产调测接口）必须在在产品资料中公开或受限公开。5所有非查询的操作（含处于隐藏模式下的命令、参数、生产调测命令等）必须有日志记录。6在软件包（含固件、补丁包及发布文档）发布前，至少需要经过业界一款主流防病毒软件（如Symantec、趋势OfficeScan、Mcafee、AviraAntiVir、卡巴斯基等）扫描，保证防病毒软件不产生告警。7防病毒软件名称及软件版本、病毒库版本、扫描时间、扫描结果等扫描结果有存档，且随软件包发布。8所有可被产品后加载的固件、软件、补丁包，需要提供完整性校验机制(可用数字签名或Hash校验机制)。9口令不允许明文存储在认证端的系统中，应该加密保护。在不需要还原口令的场景，必须使用不可逆算法加密。10禁止使用私有加密算法。11用于加密通过非信任网络传输的数据的密钥，不能在程序中硬编码，应提供密钥管理或密钥协商的机制。12对于人机接口或可远程访问的机机接口之间，产品默认在所有口令设置时进行复杂度检查，若口令不符合复杂度规则，必须进行警告。（口令复杂度要求见“口令安全要求”）13对于人机接口，产品提供登录失败尝试次数超阀值时的锁定（帐号或IP等）和解锁机制。14对于人机接口，输入口令时口令不能明文回显。15对于人机接口，口令输入框不支持口令拷贝功能。产品开发、发布和安装安全系统管理和维护安全敏感数据保护2020/3/22华为机密，未经许可不得扩散第1页，共15页1584916643629文档密级16系统账号的缺省口令（如操作系统、数据库、业务系统），口令应符合复杂度的要求，并在客户资料中提醒用户修改。17用户修改口令前需验证旧口令。18用户仅可以修改自身帐号的口令，管理员除外。19在数据库、配置文件、日志、cookie、调试跟踪信息中不存在口令的明文。20如系统支持文件访问控制，口令文件必须设置访问权限，普通用户不能读取或拷贝加密的内容。21产品在资料中提供了系统中的默认账号和口令的清单。22对管理面所有的用户活动都有相应的日志记录。用户活动包括：1、登录和注销；2、增加、删除用户和用户属性（帐号、口令等）的变更；3、用户的锁定和解锁，禁用和恢复；4、角色权限变更；5、系统相关安全配置（如安全日志内容配置）的变更；6、重要资源的变更，如某个重要文件的删除、修改等。23对管理面所有的操作指令都有相应的日志记录。操作指令包括：1、对系统配置参数的修改；2、对系统进行启动、关闭、重启、暂停、恢复、倒换；3、对业务的加载、卸载；4、软件的升级操作，包括远程升级和本地升级；5、对重要业务数据（特别是与财务相关的数据，包括：卡号、余额、话单、费率、费用、订单、出货、帐单等）的创建、删除、修改；6、所有帐户的命令行操作命令。24管理面用户活动、操作指令的日志至少包含下列内容：a.事件发生的时间；b.用户ID(包括关联终端、端口、网络地址或通信设备）；c.事件类型；d.被访问的资源名称；e.事件的结果。251、产品提供的日志模块/文件有相应的访问控制（如用户名、口令等）2、进行日志删除操作必填具备管理员权限。26可以提供有效的应急流程，以响应业界安全漏洞披露、黑客破解等突发的安全事件。27产品的资料中包含安全特性描述。安全资料系统管理和维护安全系统平台要求2020/3/22华为机密，未经许可不得扩散第2页，共15页1584916643629文档密级28产品的资料中包含安全配置/安全加固内容。29产品的资料中包含安全维护内容。安全资料2020/3/22华为机密，未经许可不得扩散第3页，共15页1584916643629文档密级红线要求检查结果N/AN/AN/AYN/AN/AN/A5.1.3基于通用操作系统的软件（包含软件包/补丁包）必须提供完整性校验机制，在安装、升级过程中对软件进行完整性验证。N/A7.1.1口令不允许明文存储在系统中，应该加密保护。在不需要还原口令的场景，必须使用不可逆算法加密。对银行账号等敏感数据的访问要有认证、授权和加密机制。N/A7.1.3禁止使用私有加密算法。Y7.1.4用于敏感数据传输加密的密钥，不能硬编码在代码中。N/AN/AN/AN/AN/A5.1.1禁止存在任何“未公开接口”：1）禁止存在可绕过系统安全机制（认证、权限控制、日志记录）对系统或数据进行访问的功能。•禁止隐秘访问方式：包括隐藏账号、隐藏口令、无鉴权的隐藏模式命令/参数、隐藏组合键访问方式；隐藏的协议/端口/服务；隐藏的生产命令/端口、调测命令/端口；不记录日志的非查询操作等•禁止不可管理的认证/访问方式：包括用户不可管理的帐号，人机接口以及可远程访问的机机接口的硬编码口令，不经认证直接访问系统的接口等。2）未文档化的命令/参数、端口等接入方式（包括但不限于产品的生产、调测、维护用途），需通过产品资料等向运营商或监管机构公开或受限公开。8.1.1系统自身操作维护类口令满足“口令安全要求”。注：系统指交付给客户运行的整体系统，包括自研的软件、软件运行的操作系统及应用服务在内。5.1.2在软件包（含补丁包）发布前，需要经过至少一款防病毒软件扫描，保证防病毒软件不产生告警，特殊情况下对告警作出解释说明。扫描记录（防病毒软件名称、软件版本、病毒库版本、扫描时间、扫描结果等）存档并随软件包（含补丁包）发布给客户。2020/3/22华为机密，未经许可不得扩散第4页，共15页1584916643629文档密级N/AN/AN/AN/AN/AN/AN/AN/AN/AN/A可以提供有效的应急流程，以响应业界安全漏洞披露、黑客破解等突发的安全事件。N/AN/A9.1.1在产品描述中对产品安全特性进行描述。N/A8.1.1系统自身操作维护类口令满足“口令安全要求”。注：系统指交付给客户运行的整体系统，包括自研的软件、软件运行的操作系统及应用服务在内。8.1.2管理面所有的用户活动、操作指令必须记录日志，日志内容要能支撑事后的审计，记录包括用户ID、时间、事件类型、被访问资源的名称、访问结果等；日志要有访问控制,只有管理员才能有删除权限。用户活动包括：1、登录和注销；2、增加、删除用户和用户属性（帐号、口令等）的变更；3、用户的锁定和解锁，禁用和恢复；4、角色权限变更；5、系统相关安全配置（如安全日志内容配置）的变更；6、重要资源的变更，如某个重要文件的删除、修改等。操作指令包括：1、对系统配置参数的修改；2、对系统进行启动、关闭、重启、暂停、恢复、倒换；3、对业务的加载、卸载；4、软件的升级操作，包括远程升级和本地升级；5、对重要业务数据（特别是与财务相关的数据，包括：卡号、余额、话单、费率、费用、订单、出货、帐单等）的创建、删除、修改；6、所有帐户的命令行操作命令。2020/3/22华为机密，未经许可不得扩散第5页，共15页1584916643629文档密级9.1.4产品发布前提供安全配置/加固指南。描述如下内容：-安全加固及检查，主要包括操作系统、数据库或WEB服务器等加固内容，需要包含具体的加固内容和操作步骤（必选）-应用的安全配置，针对产品业务安全应用，需要启用哪些安全选项，配置哪些内容。（对于需要通过对产品开局时进行安全策略配置才能生效的安全功能，需要提供此部分内容）。如果没有应用的安全配置，命名为安全加固指南。安全加固指南是必须的。N/A9.1.5产品发布前提供安全维护手册。从解决方案角度提供业务日常安全维护方面的指导，包括安全补丁、安全配置、防病毒软件例行检查等，指导维护人员例行进行安全维护。N/A2020/3/22华为机密，未经许可不得扩散第6页，共15页1584916643629文档密级检查结果说明及举证采用标准zigbeeHA协议采用zigbee标准协议栈2020/3/22华为机密，未经许可不得扩散第7页，共15页1584916643629文档密级2020/3/22华为机密，未经许可不得扩散第8页，共15页1584916643629文档密级2020/3/22华为机密，未经许可不得扩散第9页，共15页1584916643629文档密级整改计划&实现方案2020/3/22华为机密，未经许可不得扩散第10页，共15页1584916643629文档密级2020/3/22华为机密，未经许可不得扩散第11页，共15页1584916643629文档密级2020/3/22华为机密，未经许可不得扩散第12页，共15页1584916643629文档密级备注2020/3/22华为机密，未经许可不得扩散第13页，共15页1584916643629文档密级2020/3/22华为机密，未经许可不得扩散第14页，共15页1584916643629文档密级2020/3/22华为机密，未经许可不得扩散第15页，共15页