Целостность меток безопасности:

Класс B1 – метки должны адекватно отражать уровни секретности субъектов и объектов. При экспорте информации метки должны преобразовываться в точное и однозначно трак­туемое внешнее представление, сопровождающее данные. Ка­ждое устройство ввода/вывода (в том числе коммуникацион­ный канал) должно трактоваться как одноуровневое или мно­гоуровневое. Все изменения трактовки и ассоциированных уровней секретности должны протоколироваться.

Класс B2 – в дополнение к B1, вычислительная база должна немедленно извещать терминального пользователя об изменении его метки безопасности. Пользователь может за­просить информацию о своей метке. База должна поддержи­вать присваивание всем подключенным физическим устройст­вам минимального и максимального уровня секретности. Эти уровни должны использоваться при проведении в жизнь огра­ничений, налагаемых физической конфигурацией системы, на­пример расположением устройств.

Принудительное управление доступом:

Класс B1 – вычислительная база должна обеспечить про­ведение в жизнь принудительного управления доступом всех субъектов ко всем хранимым объектам. Субъектам и объектам должны быть присвоены метки безопасности, являющиеся комбинацией упорядоченных уровней секретности, а также категорий. Метки являются основой принудительного управ­ления доступом. Надежная вычислительная база должна под­держивать по крайней мере два уровня секретности.

Вычислительная база должна контролировать идентифи­кационную и аутентификационную информацию. При созда­нии новых субъектов, например процессов, их метки безопас­ности не должны доминировать над меткой породившего их пользователя.

Класс B2 – в дополнение к B1, все ресурсы системы (в том числе ПЗУ, устройства ввода/вывода) должны иметь метки безопасности и служить объектами принудительного управле­ния доступом.

Требования к подотчетности Идентификация и аутентификация:

Класс C1 – пользователи должны идентифицировать себя, прежде чем выполнять какие-либо иные действия, кон­тролируемые вычислительной базой. Для аутентификации должен использоваться какой-либо защитный механизм, на­пример пароли. Аутентификационная информация должна быть защищена от несанкционированного доступа.

Класс C2 – в дополнение к C1, каждый пользователь сис­темы должен уникальным образом идентифицироваться. Каж­дое регистрируемое действие должно связываться с конкрет­ным пользователем.

Класс B1 – в дополнение к C2, вычислительная база должна поддерживать метки безопасности пользователей.

Предоставление надежного пути:

Класс B2 – вычислительная база должна поддерживать надежный коммуникационный путь к себе для пользователя, выполняющего операции начальной идентификации и аутен­тификации. Инициатива в общении по этому пути должна ис­ходить исключительно от пользователя.

Класс B3 – в дополнение к B2, коммуникационный путь может формироваться по запросу, исходящему как от пользо­вателя, так и от самой базы. Надежный путь может использо­ваться для начальной идентификации и аутентификации, для изменения текущей метки безопасности пользователя и т.п. Общение по надежному пути должно быть логически отделено и изолировано от других информационных потоков.

Аудит:

Класс C2 – вычислительная база должна создавать, под­держивать и защищать журнал регистрационной информации, относящейся к доступу к объектам, контролируемым базой. Должна быть возможность регистрации следующих событий:

• использование механизма идентификации и аутентифи­кации;

• внесение объектов в адресное пространство пользова­теля, например открытие файла, запуск программы;

• удаление объектов;

• действия системных операторов, системных администра­торов, администраторов безопасности;

• другие события, затрагивающие информационную безо­пасность.

Каждая регистрационная запись должна включать сле­дующие поля:

• дата и время события;

• идентификатор пользователя;

• тип события;

• результат действия (успех или неудача).

Для событий идентификации/аутентификации регистри­руется также идентификатор устройства, например терминала. Для действий с объектами регистрируются имена объектов.

Системный администратор может выбирать набор реги­стрируемых событий для каждого пользователя.

Класс B1 – в дополнение к C2, должны регистрироваться операции выдачи на печать и ассоциированные внешние пред­ставления меток безопасности. При операциях с объектами, помимо имен, регистрируются их метки безопасности. Набор регистрируемых событий может различаться в зависимости от уровня секретности объектов.

Класс B2 – в дополнение к B1, должна быть возможность регистрировать события, связанные с организацией тайных каналов с памятью.

Класс B3 – в дополнение к B2, должна быть возможность регистрации появления или накопления событий, несущих уг­розу политике безопасности системы. Администратор безо­пасности должен немедленно извещаться о попытках наруше­ния политики безопасности, а система, в случае продолжения попыток, должна пресекать их наименее болезненным спосо­бом.