Лекции КЗИ / Лекция_КЗИ_full
.pdfАнализ поддержан независимым тестированием ФБО, свидетельством разработчика о тестировании, основанном на функциональной спецификации, проекте ОО и представлении реализации, полным независимым подтверждением результатов тестирования разработчиком и независимым анализом уязвимостей, демонстрирующим противостояние попыткам проникновения нарушителей с Высоким потенциалом нападения.
ОУД7 также обеспечивает доверие посредством использования структурированного процесса разработки, средств контроля среды разработки и всестороннего управления конфигурацией ОО, включая полную автоматизацию, и свидетельства безопасных процедур поставки.
ОУД7 представляет значимое увеличение доверия по сравнению с ОУД6, требуя более всесторонний анализ, использующий формальные представления и формальное соответствие, а также всестороннее тестирование.
52
Составные пакеты доверия
Составные пакеты доверия (СоПД) образуют возрастающую шкалу, которая позволяет соотнести уровень полученного доверия с затратами и возможностью достижения этой степени доверия для составных ОО.
Важно отметить, что лишь небольшая часть семейств и компонентов доверия из ИСО/МЭК 15408-3 включена в составные пакеты доверия. Это связано с тем, что они основываются на результатах оценки ранее оцененных сущностей (базовых компонентов и зависимых компонентов) и в этой связи нельзя говорить, что они не обеспечивают значимое и требуемое доверие.
СоПД применяются к составным ОО, которые содержат компоненты, прошедшие (или проходящие) оценку как ОО-компоненты. Отдельные компоненты должны быть сертифицированы по ОУД или другому пакету доверия, указанному в ЗБ. Предполагается, что базовый уровень доверия для составного ОО будет получен посредством применения ОУД1, который может быть достигнут с использованием общедоступной информации о компонентах
(ОУД1 может применяться как к отдельным ОО-компонентам, так и к |
|
составным ОО). СоПД представляют альтернативный подход к получению |
|
более высоких уровней доверия для составного ОО по сравнению с |
|
применением ОУД выше ОУД1. |
53 |
Хотя зависимый компонент может быть оценен с использованием ранее оцененных и сертифицированных базовых компонентов для удовлетворения требований, предъявляемых к ИТ-платформе в среде функционирования, это не обеспечивает какого-либо формального уровня доверия к взаимодействию компонентов или по отношению к учету возможного появления уязвимостей при объединении компонентов. Составные пакеты доверия учитывают такие взаимодействия и на более высоких уровнях доверия обеспечивают, что интерфейсы между компонентами являются предметом тестирования. Также выполняется анализ уязвимостей составного ОО с целью учета возможного появления уязвимостей вследствие объединения компонентов.
В таблице представлен краткий обзор СоПД. В столбцах представлены иерархически упорядоченные СоПД, в строках представлены семейства доверия. Каждая цифра (при ее наличии) в полученной матрице определяет конкретный компонент
54
55
Как отмечается в следующем подразделе, в ИСО/МЭК 15408 для ранжирования доверия к составным ОО определены три иерархически упорядоченных составных пакета доверия. Они иерархически упорядочены, поскольку каждый последующий СоПД предоставляет большее доверие, чем все СоПД более низкого уровня. Увеличение доверия от СоПД к СоПД достигается путем замены компонента доверия на более высокий по иерархии компонент доверия из того же семейства доверия (т.е. усилением строгости, области охвата и/или глубины) и путем добавления компонентов доверия из других семейств доверия (т.е. путем добавления новых требований). Это приводит к более глубокому анализу композиции для определения влияния на ее оценку результатов, полученных для отдельных ОО-компонентов.
Эти СоПД состоят из соответствующей комбинации компонентов доверия, описанных в разделе 6 ИСО/МЭК 15408-3. А именно: каждый СоПД включает не более одного компонента из каждого семейства доверия, при этом все зависимости между компонентами доверия удовлетворены.
В СоПД рассматривается способность противостоять нарушителю с потенциалом нападения до Усиленного базового уровня. Это из-за того, что уровень представления информации о проекте, который может быть обеспечен через семейство ACO_DEV, ограничивает некоторые факторы, связанные с потенциалом нападения и, следовательно, влияет на строгость анализа уязвимостей, проводимого оценщиком. Поэтому уровень доверия в
составном ОО ограничен, хотя доверие к отдельным компонентам в рамках
составного ОО может быть намного выше.
56
Меры обеспечения безопасности и приватности для Федеральных информационных систем
и организаций
NIST Специальная Публикации 800-53
Версия 4
1
Исторически сложилось, что взрывной рост и распространение компьютерных технологий произошло именно в США. В этой стране традиционно пристальное внимание уделяется безопасности как государственных, так и национальных интересов, а также соблюдению прав граждан. С приходом информационных технологий этот интерес перекинулся и на новую область.
Как у пионеров отрасли и страны с хорошо развитыми спецслужбами, у Америки всегда было определённое преимущество в сфере ИТ и, соответственно, ИБ. Так, например, было с алгоритмами шифрования на заре их массового применения (например, длинна ключа алгоритма шифрования DES составляла 56 бит, однако экспортный вариант алгоритма для всего мира имел ключ, ограниченный длинной 40 бит, гарантируя заведомо недостаточную стойкость в интересах АНБ). Это же относится к процессам обеспечения информационной безопасности внутри страны. В США очень серьёзные требования к защите информации и разработано много интересных документов по ИБ.
Конечно можно предположить, что организации сами утруждают себя внедрением средств защиты информации, однако стимуляция, в том числе и законодательная, приходит со стороны спецслужб и регулирующих органов, а также под давлением общественности, стремящейся обезопасить себя и свои персональные данные.
2
Специальная рекомендация под кодом 53
Речь пойдёт об одном из, пожалуй, самых применимых документов. NIST — National Institute of Standards and Technology.
Серьёзная организация, на счету которой невероятное количество публикаций по самым разным тематикам. Для публикаций по ИБ в NIST выделили специальную серию под номером 800. В этой серии представлено уже множество документов разной направленности. Однако среди всех них я выделил самую интересную и на мой взгляд приближенную к реальности публикацию NIST Special Publication 800-53
“Security and Privacy Controls for Federal Information Systems and Organizations”. Переводя дословно получаем «Контроли безопасности и приватности для федеральных информационных систем и организаций». Этот документ пережил уже три переработки и нынче представлен в 4 версии. Суть документа заключается в описании контролей безопасности, а также инструкциях о том, как ими грамотно пользоваться.
3
Области обеспечения безопасности
Abbr |
Control family |
Адаптированный перевод |
|
AT |
Awareness and Training |
Осведомлённость и обучение |
|
AU |
Audit and Accountability |
Аудит и отчётность |
|
CA |
Security Assessment and |
Авторизация и оценка безопасности |
|
Authorization |
|
||
|
|
|
|
CM |
Configuration Management |
Управление конфигурацией |
|
CP |
Contingency Planning |
Планирование непрерывности бизнеса |
|
|
|
|
|
IA |
Identification and Authentication |
Идентификация и аутентификация |
|
IR |
Incident Response |
Реагирование на инциденты |
|
MA |
Maintenance |
Обслуживание/техническая поддержка |
|
|
|
|
|
MP |
Media Protection |
Защита носителей информации |
|
PE |
Physical and Environmental Protection |
Защита от стихийных бедствий и |
|
физическая безопасность |
|
||
|
|
|
|
PL |
Planning |
Планирование |
|
PS |
Personnel Security |
Безопасность персонала |
|
RA |
Risk Assessment |
Оценка рисков |
|
SA |
System and Services Acquisition |
Приобретение систем и сервисов |
|
SC |
System and Communications |
Защита систем и коммуникаций |
|
Protection |
|
||
|
|
|
|
SI |
System and Information Integrity |
Целостность систем и информации |
|
PM |
Program Management |
Управление программой ИБ |
4 |
Описание шаблона контроля
В начале идёт код семейства контроля и номер – AU-3. Далее указано название контроля безопасности.
После этого идут следующие разделы:
Control. Описание особых действий или активностей, относящихся к мерам безопасности, пименяемых в организации или ИС. Для некоторых контролей предусмотрены возможности гибкой настройки, предоставляющие возможность организации определять некоторые параметры, связанные с контролем. Например, таким параметром может быть частота проведения аудита, срок хранения логов или количество неудачных попыток авторизации пользователя. Таким образом можно подгонять контроль под конкретные нужды, основываясь на требованиях, предъявляемых к безопасности со стороны бизнес процессов организации, результатов оценки рисков и их приемлемости, а также требованиях законов и регуляторов.
Supplemental Guidance. Дополнительная информация для конкретного контроля. Может включать пояснительную информацию по реализации или использованию контроля и т.д. Также могут
указываться ссылки на другие связанные контроли. |
5 |