波仔
📡 第五章 防火墙功能与防范威胁的对策
📄 一句话概括

公共标准的核心概念是「评价对象」（TOE）：认证不是发给整个产品，是发给划定的那一部分。 所以看证书第一件事是看范围，不是看等级。

📝 本节和前面几节的关系

上一节讲 FIPS（专门领域），这一节讲通用标准本身。 05.09.01 讲的是「谁在用它」，这一节讲「它到底怎么运作」。

一、五个核心概念

TOE：评价对象，即被评价的那一部分（硬件、软件、文档的组合）。 ST：安全目标书，厂商自己声称「做到什么」。 PP：保护轮廓，某一类产品的通用要求（由行业或标准组织写）。SFR：安全功能要求，具体条目。 SAR：安全保证要求，也就是 EAL 的组成。

概念 是什么 谁写

TOE 被评价的那一部分 厂商划定 ST 安全目标书 厂商 PP 保护轮廓 行业或标准组织 SFR 安全功能要求条目 标准 SAR 安全保证要求（EAL） 标准

这五个概念的关系是： PP 说「这一类产品该有什么」，ST 说「我这个产品有什么」，评价就是「按 SAR 检查 ST 里的 SFR 是否真的实现」。 所以「拿同一份 PP 的两个产品，等级才有直接可比性」。

二、EAL 七级，升的是什么

EAL 升的是「保证的深度」，不是「功能的多少」。

EAL1：功能测试。EAL2：结构测试。EAL3：系统测试与检查。EAL4：系统设计测试与复查。 EAL5：半形式化设计与测试。EAL6：半形式化验证。EAL7：形式化验证。

注意 EAL5 之后出现「形式化」这个词： 它意味着要用数学方法证明「设计与实现一致」，而不是靠测试抽查。 这一步的成本是数量级的跃升，所以 EAL5 以上通常只出现在专用硬件或极高保障的场景。

而 EAL4 是商用产品的常见上限： 它要求「设计文档、测试覆盖、配置管理、漏洞分析」都做好，但不要求数学证明。 所以采购时看到 EAL4，不必觉得「不够」——它已经是主流最高档。

三、范围比等级重要

同一台防火墙，可以有两种截然不同的评价范围：

只评转发面：包过滤与会话表。管理界面、日志、升级流程全部「不在范围内」。 转发面加管理面：再加上登录、审计、升级。范围大一倍。

这两者的 EAL 等级可以一样，但覆盖的东西差一倍。 所以「EAL4」这三个字本身信息量有限，必须配上「范围」才有意义。

证书上通常有一长串「不在范围内的功能」：那不是厂家漏写，是评价时主动划出去的。 而现实中出事的地方，往往恰好是「被划出去的那部分」——因为管理界面最容易被攻击，而它经常不在评价范围内。

所以采购时最有用的一句话是：「把不在范围内的功能清单给我看」。 这句话比问「你们几级」有用得多。

四、动手 Demo：ISO/IEC 15408 与「评价对象」的范围

这段把五个核心概念列出来，再对比「只评转发面」与「转发面加管理面」两种范围， 说明为什么范围比等级重要。

rows = [
    (u"TOE", u"被评价的那一部分（硬件+软件+文档）"),
    (u"ST", u"安全目标书，自己声称做到什么"),
    (u"PP", u"保护轮廓，某一类产品的通用要求"),
    (u"SFR", u"安全功能要求，具体条目"),
    (u"SAR", u"安全保证要求，即 EAL 的组成"),
]

实跑输出：

--------------------------------------------------------------------
ISO/IEC 15408 与「评价对象」的范围
--------------------------------------------------------------------
**公共标准的核心概念是「评价对象」（TOE）**——**认证不是给「整个产品」发的。**
**它是给「明确划定的那一部分」发的。**

  概念     含义
  -----------------------------------------------
  TOE      被评价的那一部分（硬件+软件+文档）
  ST       安全目标书，自己声称做到什么
  PP       保护轮廓，某一类产品的通用要求
  SFR      安全功能要求，具体条目
  SAR      安全保证要求，即 EAL 的组成

**算一下「评价范围」的差别**（同一台防火墙，两种声称）：

  只评转发面          评价内容：包过滤 + 会话表；管理界面不在范围。
  转发面加管理面        评价内容：再加登录、审计、升级；范围大一倍。

**所以看认证证书的第一件事是看「范围」**，
**而不是看等级**——**一个只评了转发面的 EAL4，管不到管理界面的漏洞。**

**这也解释了为什么证书上总有一长串「不在范围内的功能」**：
**不是厂家漏了，是评价时主动划出去的部分。**
**买之前把这张表读完，比看等级有用得多。**

这五个概念里最该记住的是 TOE 与 PP：TOE 决定「管到哪」，PP 决定「跟谁可比」。 其余三个是它们在文档上的具体形式。

注意「EAL4 是商用常见上限」这一条：因为 EAL5 开始要半形式化，成本是数量级跃升。 所以「EAL4 已经是很好的成绩」，而 EAL1 到 EAL2 通常意味着「只做了最基本的测试」。

最后那句「把不在范围内的功能清单给我看」是这一章最实用的一句采购话术： 因为它直接指向「哪里可能出事」。 而现实中管理界面被攻破的案例，远多于转发面被攻破。

30 秒实验

  1. 找一份认证证书，把「不在范围内」的部分逐条读一遍。
  2. 查一下你所在行业有没有对应的保护轮廓（PP）。
  3. 想一想：为什么 EAL5 以上很少见于商用网络设备？

常见误区

  1. 以为 EAL 高就是功能强。它评的是保证深度，不是功能多少。
  2. 以为认证覆盖整台设备。只覆盖 TOE，范围由厂商划定。
  3. 以为 EAL4 不够高。它已经是商用产品的常见上限。
自测三问（点开对答案） 1. TOE、ST、PP 三者是什么关系？ —— PP 说这一类产品该有什么，ST 说这个产品有什么，TOE 是被评价的那一部分。 2. EAL 七级升的是什么？ —— 保证的深度：从功能测试一路升到形式化验证，不是功能多少。 3. 为什么说「范围比等级重要」？ —— 同样 EAL4 可以只覆盖转发面，也可以覆盖管理面，覆盖的东西差一倍。

本章完。下一章进第六章：把「防威胁」落到「怎么用」——防火墙的选型、部署与运维。

相关笔记