Tiêu chuẩn quốc gia TCVN 14107:2024 về Công nghệ thông tin - Các kỹ thuật an toàn - Hồ sơ bảo vệ cho sản phẩm tường lửa ứng dụng web

Tóm tắt mang tính tham khảo.

Tiêu chuẩn quốc gia TCVN 14107:2024 về Công nghệ thông tin - Các kỹ thuật an toàn - Hồ sơ bảo vệ cho sản phẩm tường lửa ứng dụng web quy định các yêu cầu kỹ thuật, tiêu chí đánh giá an toàn và cấu trúc hồ sơ bảo vệ đối với các sản phẩm tường lửa ứng dụng web (WAF). Tiêu chuẩn này đóng vai trò quan trọng trong việc định hướng thiết kế, phát triển và đánh giá chất lượng an toàn thông tin của các giải pháp tường lửa bảo vệ ứng dụng web trước các nguy cơ tấn công mạng hiện nay. Phạm vi và đối tượng áp dụng Phạm vi áp dụng: Tiêu chuẩn này áp dụng trong việc xây dựng, đánh giá và lựa chọn các sản phẩm tường lửa ứng dụng web nhằm bảo vệ các hệ thống thông tin, đặc biệt là các dịch vụ web trực tuyến. Đối tượng áp dụng: Các tổ chức, doanh nghiệp phát triển phần mềm/thiết bị an toàn thông tin; các đơn vị thử nghiệm, đánh giá an toàn thông tin; và các cơ quan, tổ chức sử dụng tường lửa ứng dụng web để bảo vệ hệ thống thông tin chuyên ngành. Khái niệm và định nghĩa cốt lõi Phần tử (element): Là đơn vị thành phần cơ bản được sử dụng trong quá trình xây dựng và đánh giá các yêu cầu an toàn thông tin của sản phẩm. Chương trình ứng dụng quản trị: Là hệ thống cung cấp giao diện đồ họa (GUI), giao diện dòng lệnh (CLI) hoặc các phương thức tương đương cho quản trị viên. Thành phần này chịu trách nhiệm cung cấp các chức năng cấu hình, thiết lập chính sách và quản lý toàn diện hệ thống tường lửa ứng dụng web. Phần mềm máy chủ web (Web Server): Là hệ thống tiếp nhận thông tin yêu cầu từ máy khách (trình duyệt web) thông qua giao thức HTTP và phản hồi kết quả về máy trạm. Máy chủ web tiếp nhận tài nguyên yêu cầu dưới dạng URL (Bộ định vị tài nguyên thống nhất), xử lý bằng cách ánh xạ với hệ thống tệp nội bộ hoặc xử lý các dữ liệu đầu vào (như tên đăng nhập, mật khẩu tại màn hình đăng nhập) theo quy trình đã thiết lập trước khi gửi trả kết quả cho máy khách. Các phần mềm máy chủ web tiêu biểu được đề cập bao gồm Apache, nginx và Microsoft IIS (Internet Information Services). Nội dung cấu trúc Hồ sơ bảo vệ (PP) và Tuyên bố an toàn (ST) Phần giới thiệu ST (Security Target): Phải đảm bảo chứa đựng đầy đủ các thông tin cốt lõi bao gồm: tham chiếu ST, tham chiếu TOE (Đối tượng đánh giá), tổng quan về TOE và mô tả chi tiết về TOE nhằm định hình rõ ràng phạm vi đánh giá an toàn. Mục tiêu an toàn thông tin: Xác định rõ các mục tiêu an ninh mà sản phẩm cần đạt được nhằm chống lại các mối đe dọa, bảo vệ tính toàn vẹn, tính bảo mật và tính sẵn sàng của dữ liệu ứng dụng web. Các thành phần chức năng an toàn (Phần 2) Phần này tập trung vào các yêu cầu kỹ thuật tối thiểu mà một sản phẩm tường lửa ứng dụng web phải đáp ứng để thực hiện chức năng bảo mật, bao gồm: Khả năng kiểm soát, lọc và phân tích sâu lưu lượng HTTP/HTTPS đi và đến ứng dụng web. Phát hiện và ngăn chặn các hành vi tấn công phổ biến (như SQL Injection, Cross-Site Scripting - XSS, và các lỗ hổng bảo mật khác). Cơ chế quản lý quyền truy cập, xác thực người dùng và quản trị viên một cách an toàn. Hệ thống ghi nhật ký (log) chi tiết các sự kiện an toàn thông tin phục vụ công tác giám sát và ứng cứu sự cố. Các thành phần đảm bảo an toàn (Phần 3) Quy định các tiêu chí đánh giá mức độ tin cậy của sản phẩm trong suốt vòng đời phát triển và vận hành, bao gồm: Quy trình phát triển sản phẩm an toàn, kiểm soát cấu hình và quản lý lỗi. Các phương pháp thử nghiệm, kiểm thử xâm nhập nhằm chứng minh khả năng chống chịu của tường lửa trước các kịch bản tấn công thực tế. Tài liệu hướng dẫn vận hành, bàn giao và cấu hình an toàn cho người sử dụng cuối. Hiệu lực thi hành Tiêu chuẩn quốc gia TCVN 14107:2024 có hiệu lực áp dụng kể từ ngày ban hành theo các quy định hiện hành của pháp luật Việt Nam về tiêu chuẩn và quy chuẩn kỹ thuật. Các tổ chức, doanh nghiệp khi phát triển hoặc mua sắm thiết bị tường lửa ứng dụng web được khuyến nghị áp dụng tiêu chuẩn này để đảm bảo tính đồng bộ và nâng cao năng lực bảo mật hệ thống.