5.測試項目
5.1 關鍵電信基礎設施設置之資通設備，除本規範另有規定外，應符合有
    關機關國家安全考量及 5.3  與 5.4  規定。
5.2 資通設備功能含括 5.4  所列其他設備功能者，亦須符合含括設備之
    規定。
5.3 共通測試項目及合格標準
5.3.1 存取控制
5.3.1.1 帳戶閒置逾時管理待測物應具備帳戶閒置逾時管理機制，即閒置
        超過設定時間時，待測物應將帳戶鎖定或登出，經重新輸入帳戶
        名稱與通行碼始可持續操作。
5.3.1.2 帳戶登入鑑別失敗管理待測物應具備帳戶登入鑑別失敗管理機制
        ；帳戶鑑別失敗超過設定次數時，待測物應在設定時間內限制該
        帳戶登入或限制使用權限。
5.3.1.3 帳戶角色權限管理待測物應具備設定二組以上及授權相異帳戶角
        色之功能。
5.3.1.4 遠端登入存取管理待測物具備遠端登入存取功能者，資料傳輸應
        符合 5.3.3.1  遠端存取傳送加密規定。登入、存取及管理介面
        操作行為之紀錄保存應符合
5.3.2.1 安全事件日誌紀錄規定。
5.3.1.5 通行碼輸入遮蔽保護待測物以通行碼進行鑑別者，輸入之通行碼
        應以特殊符號遮蔽。
5.3.1.6 通行碼儲存安全待測物以通行碼進行鑑別者，該通行碼應加密或
        經雜湊處理後儲存。
5.3.2 稽核與可歸責性
5.3.2.1 安全事件日誌紀錄待測物應具備以日誌方式記錄包括帳戶登入及
        登出、組態設定、韌體更新等管理介面操作行為，以及可信任通
        道連接之建立、終止及建立失敗、終止失敗等事件，與事件發生
        之時間戳記等。
5.3.2.2 安全事件日誌紀錄保護安全事件日誌紀錄不得被未經授權之帳戶
        存取、刪除或修改。
5.3.2.3 時戳及校時待測物內部時鐘每二十四小時應至少與世界協調時間
        （Coordinated Universal Time）或格林威治平均時間（
        Greenwich Mean Time） 同步校時一次，以確保時間戳記（ 
        Timestamp） 之正確性。
5.3.3 系統與通訊保護
5.3.3.1 遠端存取傳送加密待測物具備遠端登入存取功能者，其資料傳輸
        應採用 TLS1.2 以上之安全通道，並使用進階加密標準（
        Advanced Encryption Standard）128 位元或同等加密強度以上
        之加密演算法。
5.3.4 系統弱點及漏洞
5.3.4.1 已知弱點及漏洞待測物之作業系統與網路服務無 CVSS 評分 7.0
        分以上之 CVE。
5.3.5 持續性測試
5.3.5.1 非正常電源中斷待測物經非正常電源中斷，再重新啟用後，待測
        物之安全政策、安全事件日誌、登入鑑別資料、遠端管理組態，
        應與電源中斷前一致。
5.3.5.2 組態備份及還原待測物應具備組態備份及還原功能。
5.4 個別設備測試項目及合格標準
5.4.1 防火牆
5.4.1.1 封包過濾規則待測物應可阻擋特定過濾條件之封包，過濾條件至
        少包括封包來源端與目的端之 IP 位址、連接埠號碼（Port 
        number）及所採用之通訊協定（如： TCP、UDP 及 ICMP ）等。
5.4.1.2 靜態網路位址轉換待測物應具備將內部 IP 位址與外部 IP 位址
        相互轉換之功能。
5.4.1.3 動態網路位址轉換待測物應具備將多個內部 IP 位址以動態隨機
        方式，對應到多個外部 IP 位址之功能。
5.4.1.4 異常流量測試待測物在連續接收異常流量（即違反安全政策規則
        之流量）八小時期間，應依設定之安全政策正確過濾封包，並就
        異常流量提出警示。
5.4.1.5 流量限制功能待測物應具備流量限制功能，以限制接收或轉送網
        路介面之傳輸流量。
5.4.1.6 防火牆通訊協定安全測試待測物在連續接收混合下列協定之變異
        封包八小時期間，應正常運作：
     （1）網際網路協定第四版（Internet Protocol Version4,IPv4）
          （RFC791）。
     （2）網際網路協定第六版（Internet Protocol Version6,IPv6）
          （RFC8200）。
     （3）網際網路控制訊息協定第四版（Internet Control Message 
          Protocol Version4,ICMPv4）（RFC792）。
     （4）網際網路控制訊息協定第六版（Internet Control Message 
          Protocol Version6,ICMPv6）（RFC4443）。
5.4.2 交換器
5.4.2.1 位址解析協定（Address Resolution Protocol,ARP） 安全機制
        待測物應具備 ARP  欺騙攻擊之防護機制。
5.4.2.2 虛擬區域網路（Virtual Local Area Network,VLAN） 安全機制
        待測物應具備雙層封裝 802.1Q（Double Encapsulated802.1Q）
        VLAN  跳躍攻擊之防護機制。
5.4.2.3 內容可定址記憶體（Content Addressable Memory,CAM）表格安
        全機制待測物應具備媒介接取控制（Media Access Control,MAC
        ）流量攻擊之防護機制。
5.4.2.4 交換器通訊協定安全測試待測物在連續接收混合下列協定之變異
        封包八小時期間，應正常運作：
     （1）ARP（RFC826）。
     （2）乙太網路媒體存取控制訊框（Ethernet MAC Frame）（
          IEEE802.3）。
     （3）乙太網路控制訊框（Ethernet Control Frame）（IEEE802.3
          ）。
     （4）VLAN  標記（ Tag）（IEEE802.1Q）。
     （5）鏈結層發現協定（Link Layer Discovery Protocol,LLDP）（
          IEEE802.1AB）。
5.4.3 路由器
5.4.3.1 路由資訊保護機制待測物應具備路由資訊保護或資源公鑰基礎建
        設（Resource Public Key Infrastructure,RPKI） 機制，僅接
        受可信來源之路由資訊。
5.4.3.2 路由器通訊協定安全測試待測物在連續接收混合下列協定之變異
        封包八小時期間，應正常運作：
     （1）路由資訊協定（Routing Information Protocol,RIP）（ 
          RFC2453）。
     （2）開放式最短路徑優先協定（Open Shortest Path First,OSPF
          ）（RFC2328）。
     （3）邊界閘道器協定（Border Gateway Protocol,BGP）（RFC4271
          ）。
     （4）IPv4（RFC791）。
     （5）IPv6（RFC8200）。