理解TCSEC的相关概念
1970年由美国国防科学委员会提出。1985年公布。主要为军用标准，延用至民用。
橘皮书论述的重点是通用的操作系统，为了使它的评判方法适用<br>于网络，NCSC于1987年出版了一系列有关可信计算机数据库、<br>可信计算机网络等的指南等（俗称彩虹系列）。
根据采用的安全策略、系统所具备的安全功能将系统分为四类七个安全级别。
分级准则
TCSEC从网络安全的角度出发，解释了准则中的观点，从用户登录、授权管理、<br>访问控制、审计跟踪、隐通道分析、可信通道建立、安全检测、生命周期保障、<br>文本写作、用户指南均提出了规范性要求，并根据所采用的安全策略、系统所<br>具备的安全功能将系统分为四类七个安全级别。分级主要依据四个准则：安全<br>政策、可控性、保证能力、文档。将计算机系统的可信程度划分为D、C1、C2、<br>B1、B2、B3和A1 七个安全级别。<br>四个类分别为：<br>类别A，是指已验证保护， 这是最高的安全级别；类别B，是指强制性保护；类<br>别C，是指自主性保护；类别D，是指最小化保护， 提供用于那些被评估，但不<br>符合要求且属于其他类别的系统定级<br>
了解ITSEC
欧洲多国安全评价方法的综合产物，军用，政府用和商用。
将安全概念分为功能需求与功能评估两部分
首次提出了信息安全的保密性、完整性、可用性的概念。
ITSEC将正在被评估的系统作为评估目标（Target Of Evaluation，TOE）。
功能性等级
保证等级<br>
理解和掌握通用标准的概念和方法
CC(Common Criteria)表示通用准则，ISO将这个文档转换为名为ISO 15408
CC定义了作为评估信息技术产品和系统安全性的基础准则，全面地<br>考虑了与信息技术安全性有关的所有因素，与PDR（防护、检听、<br>反应）模型和现代动态安全概念相符合的，强调安全的假设、威胁<br>的、安全策略等安全需求的针对性，充分突出保护轮廓
仍强调把安全需求划分为安全功能需求和安全保证需求两个独立的<br>部分，根据安全保证需求定义安全产品的安全等级
目标：
1. 增加购买者对已评估和已划分等级的IT 产品的安全性的信心。
2. 消除重复评估(如果某个国家、机构或验证组织对特定系统的评定等级和配置<br>遵循CC，那么其他国家、机构或验证组织就不需要进行重复的工作)。
3. 使安全评估和认证过程更有效益和效率。
4. 确保IT 产品的评估遵循高且一致性标准。
5. 促进评估，并且增强已评估和已划分等级的IT产品的可用性。
6. 评估TOE 的功能性(也就是系统的功能)和保证(也就是系统的被信任程度)。
两个关键元素
保护轮廓（PP），指定被评估目标（TOE）的安全需求和保护， 这也是客户考虑的安全要求或“希望达到的标准”。
安全目标(Security Targets， ST)，指定了供应商在TOE 内构建的安全声明。<br>ST 被视为已实现的安全措施或供应商"提供的安全目标"。<br>将PP 与选定供应商的TOE 中的各种ST 进行比较， 最接近或最匹配的就是客户要购买的。<br>
通用标准是一个框架，它包括用户指明的安全需求，供应商就如何满足这些需求做出的说明，以及验证这些说明的独立实验。<br>在通用准则模型中，对一件产品上进行评估时会给该产品指定一个评估保证级别（Evaluation AssuranceLevel，EAL）。<br>随着级别的升高，彻底和严格的测试中面向细节的任务也逐步增加。<br>通用准则有7个保证级别，其范围是从仅仅执行功能测试的EAL1，到执行彻底的测试并验证系统设计的EAL7。<br>
七个保证级别
• EAL1 功能测试<br>• EAL2 结构测试<br>• EAL3 系统地测试和检查<br>• EAL4 系统地设计、测试和复查<br>• EAL5 半正式地设计和测试<br>• EAL6 半正式地验证设计和测试<br>• EAL7 正式地验证设计和测试
ISO/IEC15408 是国际标准，是评估CC框架下产品安全属性的基础。<br>它通常包括3部分：
ISO/IEC 15408-1 入门和通用评估模型<br>
ISO/IEC 15408-1 介绍了CC评估模型的通用概念和准则。这部分定义术语、确定<br>TOE的核心概念、描述评估环境和必要的参与人员。它为PP提供了关键概念，<br>为安全目标提出了要求和指南。
ISO/IEC 15408-2 安全功能组件<br>
ISO/IEC 15408-2 定义在评估过程中要评估的安全功能要求。包括符合多数安全<br>需求的一系列预定义的安全功能组件。这些要求按类别、属别和组件的层级结<br>构排列。它同样也为在没有预定义的安全功能组件存在时对于个性化安全要求<br>应如何规定提供了指南。
ISO/IEC 15408-3 安全保证组件<br>
ISO/IEC 15408-3 定义了保证要求，也是按类别和组件的层级结构排列。这部分<br>概括了评估保证级别，这是考量TOE保证的标杆，为评估保护配置文件和安全目<br>标提供了标准。
