-141-

позволяет с высокой уверенностью получить корректную реализацию функций защиты. Процесс доказательства адекватности реализации начинается на ранней стадии проектирования с построения формальной модели политики безопасности. Для обеспечения эффективности применения методов верификации системы класса А1 должны содержать более мощные средства управления конфигурацией и защищенную процедуру дистрибуции (установки и распространения).

Приведенные классы безопасности надолго определили основные концепции безопасности и ход развития средств защиты.

5.2.4. Интерпретация и развитие “Оранжевой книги”

Опубликование “Оранжевой книги” стало важным этапом как в постановке, так и в указании направления решения основных теоретических проблем компьютерной безопасности. Тем не менее, в ходе применения ее основных положений выяснилось, что часть практически важных вопросов осталась за рамками данного стандарта, и, кроме того, с течением времени (с момента опубликования прошло пятнадцать лет) ряд положений устарел и потребовал пересмотра.

Круг специфических вопросов по обеспечению безопасности компьютерных сетей и систем управления базами данных нашел отражение в отдельных документах, изданных Национальным центром компьютерной безопасности США в виде дополнений к “Оранжевой книге” - «Интерпретация «Оранжевой книги» для компьютерных сетей» (Trusted Network Interpretation [8]) è «Интерпретация «Оранжевой книги» для систем управления базами данных» (Trusted Database Management System Interpretation [9]). Эти документы содержат трактовку основных положений “Оранжевой книги” применительно к соответствующим классам систем обработки информации.

Устаревание ряда положений “Оранжевой книги” обусловлено прежде всего интенсивным развитием компьютерных технологий и переходом с вычислительных комплексов типа IBM-360/370, (советский аналог — машины серии ЕС) к рабочим станциям, высокопроизводительным персональным компьютерам и сетевой модели вычислений. Именно для того, чтобы исключить возникшую в связи с изменением аппаратной платформы некорректность некоторых положений “Оранжевой книги”, адаптировать их к современным условиям и сделать адекватными нуждам разработчиков и пользователей программного обеспечения, и была проделана значительная работа по интерпретации и развитию положений этого стандарта. В результате возник целый ряд сопутствующих “Оранжевой книге” документов, многие их которых стали ее неотъемлемой частью. К наиболее часто упоминаемым относятся:

Руководство по произвольному управлению доступом в безопасных системах (A guide to understanding discretionary access control in trusted systems [10]).

-142-

Руководство по управлению паролями (Password management guideline[11]).

Руководство по применению «Критериев безопасности компьютерных систем» в специфических средах (Guidance for applying the Department Of Defence Trusted Computer System Evaluation Criteria in specific environment[12]).

Руководство по аудиту в безопасных системах (A Guide to Understanding Audit in Trusted Systems) [13].

Руководство по управлению конфигурацией в безопасных системах (Guide to understanding configuration management in trusted systems [14]).

Количество подобных вспомогательных документов, комментариев и интерпретаций значительно превысило объем первоначального документа, и в 1995 году Национальным центром компьютерной безопасности США был опубликован документ под названием “Интерпретация критериев безопасности компьютерных систем”[15], объединяющий все дополнения и разъяснения. При его подготовке состав подлежащих рассмотрению и толкованию вопросов обсуждался на специальных конференциях разработчиков и пользователей защищенных систем обработки информации. В результате открытого обсуждения была создана база данных, включающая все спорные вопросы, которые затем в полном объеме были проработаны специально созданной рабочей группой. В итоге появился документ, проинтегрировавший все изменения и дополнения к “Оранжевой книге”, сделанные с момента ее опубликования, что привело к обновлению стандарта и позволило применять его в современных условиях.

5.2.5. Выводы

“Критерии безопасности компьютерных систем” Министерства обороны США представляют собой первую попытку создать единый стандарт безопасности, рассчитанный на проектировщиков, разработчиков, потребителей и специалистов по сертификации систем безопасности компьютерных систем. В свое время этот документ явился значительным шагом в области безопасности информационных технологий и послужил отправной точкой для многочисленных исследований и разработок. Основной отличительной чертой этого документа, как уже отмечалось, является его ориентация на системы военного применения, причем в основном на операционные системы. Это предопределило доминирование требований, направленных на обеспечение конфиденциальности обрабатываемой информации и исключение возможностей ее разглашения. Большое внимание уделено меткам конфиденциальности (грифам секретности) и правилам экспорта секретной информации.

Требования по гарантированию политики безопасности отражены достаточно поверхностно, соответствующий раздел по существу ограничивается требованиями контроля целостности средств защиты и поддержания их работоспособности, чего явно недостаточно (см. часть 1).

“Оранжевая книга” послужила основой для разработчиков всех остальных стандартов информационной безопасности и до сих пор используется в США в

-143-

качестве руководящего документа при сертификации компьютерных систем обработки информации.

5.3. Европейские критерии безопасности информационных технологий

Вслед за выходом “Оранжевой книги” страны Европы разработали согласованные “Критерии безопасности информационных технологий”

(Information Technology Security Evaluation Criteria, далее “Европейские критерии”). Данный обзор основывается на версии 1.2 данного документа, опубликованной в июне 1991 года от имени соответствующих органов четырех стран: Франции, Германии, Нидерландов и Великобритании [16].

5.3.1. Основные понятия

“Европейские Критерии” рассматривают следующие задачи средств информационной безопасности:

-защита информации от несанкционированного доступа с целью обеспечения конфиденциальности (поддержание конфиденциальности);

-обеспечение целостности информации посредством защиты от ее несанкционированной модификации или уничтожения (поддержание целостности);

-обеспечение работоспособности систем с помощью противодействия угрозам отказа в обслуживании (поддержание доступности).

Для того, чтобы удовлетворить требованиям конфиденциальности, целостности и доступности, необходимо реализовать соответствующий набор функций безопасности, таких как идентификация и аутентификация, управление доступом, восстановление после сбоев и т. д.. Чтобы средства защиты можно было признать эффективными, требуется высокая степень уверенности в правильности их выбора и надежности функционирования. Для решения этой проблемы в “Европейских критериях” впервые вводится понятие адекватности (assurance) средств защиты.

Адекватность включает в себя два аспекта: эффективность, отражающую соответствие средств безопасности решаемым задачам, и корректность, характеризующую процесс их разработки и функционирования. Эффективность определяется соответствием между задачами, поставленными перед средствами безопасности, и реализованным набором функций защиты — их функциональной полнотой и согласованностью, простотой использования, а также возможными последствиями использования злоумышленниками слабых мест защиты. Под корректностью понимается правильность и надежность реализации функций безопасности (в принятой терминологии - гарантирование избранной ПБ).

Общая оценка уровня безопасности системы складывается из функциональной мощности средств защиты и уровня адекватности их реализации.

5.3.2. Функциональные критерии

В “Европейских критериях” средства, имеющие отношение к информационной безопасности, рассматриваются на трех уровнях детализации.

-144-

На первом уровне рассматриваются цели, которые преследует обеспечение безопасности, второй уровень содержит спецификации функций защиты, а третий — реализующие их механизмы. Спецификации функций защиты предлагается рассматривать с точки зрения следующих требований:

-идентификация и аутентификация;

-управление доступом;

-подотчетность;

-аудит;

-повторное использование объектов;

-целостность информации;

-надежность обслуживания;

-безопасность обмена данными.

Большинство из перечисленных требований совпадает с аналогичными требованиями “Оранжевой книги”. Остановимся лишь на специфичных для “Европейских критериев” моментах.

Требования безопасности обмена данными регламентируют работу средств, обеспечивающих безопасность данных, передаваемых по каналам связи, и включают следующие разделы:

-аутентификация;

-управление доступом;

-конфиденциальность данных;

-целостность данных;

-невозможность отказаться от совершенных действий.

Набор функций безопасности может специфицироваться с использованием ссылок на заранее определенные классы-шаблоны. В “Европейских критериях” таких классов десять. Пять из них (F-C1, F-C2, F-B1, F-B2, F-B3) соответствуют классам безопасности “Оранжевой книги” с аналогичными обозначениями. Рассмотрим подробнее другие пять классов, т. к. их требования отражают точку зрения разработчиков стандарта на проблему безопасности.

Класс F-IN предназначен для систем с высокими потребностями в обеспечении целостности, что типично для систем управления базами данных. Его описание основано на концепции “ролей”, соответствующих видам деятельности пользователей, и предоставлении доступа к определенным объектам только посредством доверенных процессов. Должны различаться следующие виды доступа: чтение, запись, добавление, удаление, создание, переименование и выполнение объектов (имеется в виду порождение субъекта из соответствующего объекта-источника).

Класс F-AV характеризуется повышенными требованиями к обеспечению работоспособности. Это существенно, например, для систем управления технологическими процессами. В требованиях этого класса указывается, что система должна восстанавливаться после отказа отдельной аппаратной компоненты таким образом, чтобы все критически важные функции постоянно оставались доступными. В таком же режиме должна происходить и замена