Механизмы безопасности

Политика безопасности должна включать следующие элементы:

1. Произвольное управление доступом.

2. Безопасность повторного использования объектов.

3. Метки безопасности – для реализации принудительного управления доступом, субъектом и объектом ассоциируются метки безопасности. Метка субъекта – благонадежность, объекта – конфиденциальность

4. Принудительное управление доступом.

Информационная безопасность распределенных систем. Рекомендации х.800

В соответствии с рекомендациями Х.800 выделяют следующие сервисы безопасности и исполняемые ими роли:

1. Аутентификация – проверка подлинности партнеров по общение

2. Управление доступом – защита от НСД по сети

3. Конфиденциальность данных – защита от НСД без доступа к источнику

4. Целостность данных

5. Неотказуемость (аутентификация источников данных). Обеспечивает 2 вида услуг:

   1. Подтверждение подлинности источника

   2. Подтверждение доставки

Данная международная рекомендация описывает распределение функции безопасности по уровням эталонной 7ми уровневой модели OSI.

Для реализации сервисов безопасности могут использоваться следующие механизмы и их комбинации:

1. Шифрование

2. Электронная подпись

3. Механизмы управления доступом

4. Механизмы контроля целостности (целостность отдельного сообщения и целостность потока

5. Механизмы аутентификации

6. Механизмы дополнении трафика

7. Механизмы управления маршрутизацией

8. Механизмы нотаризации – механизм заверения 3ей стороной, опирающейся на электронную подпись

Стандарт «критерии оценки безопасности информационных технологий» iso/iec 15408

Это оценочный стандарт, определяющий инструменты оценки безопасности информационных систем и порядок их использования. В этом документе нет предопределенных классов безопасности. Классы строятся исходя из требований безопасности, существующей для конкретной информационной системы.

В документе содержится 2 основных требования безопасности :

1. Функциональные

2. Требование доверия

Термин объект оценки – это аппаратно-программный продукт или информационная система.

Безопасность рассматривается привязкой к жизненному циклу объекта оценки, а также в контексте среды безопасности, которая характеризуется особыми условиями и угрозами.

Угроза характеризуется следующими параметрами:

1. Источник угрозы

2. Метод воздействия

3. Уязвимые места

4. Ресурсы, которые могут пострадать

Уязвимые места могут возникать из-за недостатка:

1. К требованию безопасности

2. К проектированию

3. К эксплуатации

Пространство требований структурируется в иерархию:

1. Класс – предметная группировка требований

2. Семейство – различается по строгости требований

3. Компонент – минимальный набор требований, фигурирующий как целое

4. Элемент – это не делимое требование

На основании критериев формируется 2 вида нормативных документов:

1. Профиль защиты – типовой набор требований, которому должны удовлетворять продукты и системы определенного класса

2. Задание по безопасности – совокупность требований конкретной разработки, выполнение которых обеспечивает достижение поставленных целей безопасности

В качестве механизма достижения целей безопасности используется совокупность компонентов, объединенных в функциональный пакет.

Классы функциональных требований:

1. Идентификация и аутентификация

2. Защита данных пользователя

3. Защита функций безопасности

4. Управление безопасностью

5. Аудит безопасности

6. Приватность

7. Использование ресурсов (доступность)

8. Связь

9. Доверенный канал для связи с сервисами безопасности