Тестовая документация:

Класс C1 – разработчик системы должен представить экспертному совету документ, содержащий план тестов, про­цедуры прогона тестов и результаты тестов.

Класс B2 – в дополнение к C1, тесты должны подтвер­ждать действенность мер по уменьшению пропускной способ­ности тайных каналов передачи информации.

Класс A1 – в дополнение к B2, должно быть описано со­ответствие между формальными спецификациями верхнего уровня и исходными текстами.

Описание архитектуры:

Класс C1 – должны быть описаны подход к безопасно­сти, используемый производителем, и применение этого под­хода при реализации вычислительной базы. Если база состоит из нескольких модулей, должен быть описан интерфейс между ними.

Класс B1 – в дополнение к C1, должно быть представ­лено неформальное или формальное описание модели поли­тики безопасности, проводимой в жизнь вычислительной ба­зой. Необходимо наличие аргументов в пользу достаточности избранной модели для реализации политики безопасности. Должны быть описаны защитные механизмы базы и их место в модели.

Класс B2 – в дополнение к B1, модель политики безопас­ности должна быть формальной и доказательной. Должно быть показано, что описательные спецификации верхнего уровня точно отражают интерфейс вычислительной базы. Должно быть показано, как база реализует концепцию монитора обра­щений, почему она устойчива к попыткам отслеживания ее ра­боты, почему ее нельзя обойти и почему она реализована кор­ректно. Должна быть описана структура базы, чтобы облег­чить ее тестирование и проверку соблюдения принципа мини­мизации привилегий.

Класс B3 – в дополнение к B2, должно быть нефор­мально продемонстрировано соответствие между описатель­ными спецификациями верхнего уровня и реализацией вычис­лительной базы.

Класс A1 – в дополнение к B3, должно быть нефор­мально продемонстрировано соответствие между формаль­ными спецификациями верхнего уровня и реализацией вычис­лительной базы.

На рис. 5 представлена схема систематизации требова­ний безопасности «Оранжевой книги».

«Оранжевая книга» (ОК) – основа для разработчиков всех остальных стандартов, и до сих пор используется в США при сертификации компьютерных систем.

Рис. 5. Схема систематизации и классификации функциональных требований безопасности «Оранжевой книги»

8.2. Европейские критерии безопасности информационных технологий

Вслед за выходом «ОК» страны Европы совместно разра­ботали общие «Критерии безопасности информационных тех­нологий» «Information Technology Security Evaluation Criteria», далее «Европейские критерии», опубликованные в июне 1991г. от имени соответствующих органов Франции, Германии, Ни­дерландов, Великобритании.

Основные понятия.

«ЕК» рассматривают задачи средств информационной безопасности:

• защита информации от НСД с целью обеспечения конфи­денциальности;

• обеспечение целостности информации посредством за­щиты от ее несанкционированной модификации или уничтожения;

• обеспечение работоспособности систем с помощью про­тиводействия угрозам отказа в обслуживании.

Для признания средств защиты эффективными здесь впервые вводится понятие адекватности (assurance) средств защиты. Адекватность включает в себя два аспекта: эффектив­ность, отражающую соответствие средств безопасности ре­шаемым задачам и корректность, характеризующую процесс их разработки и функционирования. Общая оценка уровня безопасности складывается из функциональной мощности средств защиты и уровня адекватности их реализации.

Функции защиты с точки зрения «ЕК»

• идентификация и аутентификация

• управление доступом

• подотчетность

• аудит

• повторное использование объектов

• целостность информации

• надежность обслуживания

• безопасность обмена данными.

Набор функций безопасности может специфицироваться с использованием ссылок на заранее определенные классы – шаблоны. В «ЕК» таких классов десять. Пять из них (F-C1, F-C2, F-B1, F-B2, F-B3) соответствуют классам безопасности «ОК» с аналогичными обозначениями. Другие пять отражают точку зрения разработчиков стандарта на проблемы безопас­ности.

Класс F-IN предназначен для систем с высокими потреб­ностями в обеспечении целостности, что типично для систем управления базами данных. Он основывается на концепции «ролей» в зависимости от вида деятельности пользователей и предоставлении доступа к определенным объектам только по­средством доверенных процессов.

Класс F-AV характеризуется повышенными требова­ниями к обеспечению работоспособности. Это, например, сис­темы управления технологическими процессами. В требова­ниях для этого класса указывается, что система должна вос­станавливаться после отказа отдельного аппаратного компо­нента. Должно гарантироваться определенное время реакции на внешние события.

Класс F-DI ориентирован на распределенные системы обработки информации. Должна быть возможность идентифи­кации сторон и установка ее подлинности. Должны использо­ваться средства контроля и исправления ошибок.

Класс F-DC уделяет особое внимание требованиям кон­фиденциальности передаваемой информации. Информация по каналам связи должна передаваться в зашифрованном виде. Ключи шифрования должны быть защищены от НСД.

Класс F-DX предъявляет повышенные требования и к целостности и к конфиденциальности информации. Его можно рассматривать как объединение классов F-DI и F-DC с допол­нительными возможностями шифрования и защиты от анализа трафика. Должен быть ограничен доступ к ранее переданной информации, которая может способствовать проведению криптоанализа.

Критерии адекватности.

«ЕК» определяет семь уровней адекватности от Е0 до Е6 (в порядке ее возрастания) (рис. 6). Уровень Е0 обозначает ми­нимальную адекватность (аналог уровня Д в «ОК»). Уровни адекватности от Е1 до Е6 выстроены по нарастанию требова­ний тщательности контроля. Так, на уровне Е1 анализируется лишь общая архитектура системы, а адекватность подтвержда­ется функциональным тестирова­нием. На уровне Е3 анализи­руются исходные тексты программ и схемы аппаратного обес­печения. На уровне Е6 требуется формальное описание функ­ций безопасности, общей архитек­туры, а также политики безопасности.

Степень безопасности системы определяется самым сла­бым из критически важных механизмов защиты. В «ЕК» опре­делены три уровня безопасности:

• базовый, если средства защиты способны противостоять отдельным случайным атакам;

• средний, если средства защиты способны противостоять злоумышленникам, обладающими ограниченными ресурсами и возможностями;

• высокий, если есть уверенность, что уровни защиты могут быть преодолены только злоумышленником с высокой квалификацией, набор возможностей и ресурсов которого выходит за рамки возможного.

«ЕК» оказали существенное влияние на стандарты безо­пасности и методику сертификации. Главное достижение «ЕК» – введение понятия адекватности. «ЕК» признают возмож­ность наличия недостатков в сертифицированных системах, что вполне реально. «ЕК» и «ОК» являются основой для мно­гих стандартов безопасности компьютерных систем.

Рис. 6. Таксономия (систематизация и классификация) критериев адекватности

«Европейских критериев»