1) Порядок проведения испытаний системы защиты.

Общий порядок проведения испытаний системы защиты включает несколько последовательных этапов. Сначала изучаются требования руководящих и нормативных документов к средствам защиты информации и формируются проверяемые показатели защищённости. Затем разрабатывается или уточняется методика испытаний, определяющая состав тестов, порядок их выполнения и критерии оценки. Далее подготавливается испытательная среда: создаются тестовые субъекты (пользователи, процессы), объекты доступа (файлы, каталоги, ресурсы сети), настраиваются средства защиты в соответствии с эксплуатационной документацией. После этого выполняется серия испытаний (например, проверка реализации дискреционного контроля доступа, механизмов очистки внешней памяти, функций межсетевого экранирования), при которой фиксируются фактические результаты. На заключительном этапе проводится сравнение фактических результатов с ожидаемыми, формируются выводы о соответствии или несоответствии системы защиты установленным требованиям и составляется отчёт по испытаниям.

2) Порядок разработки методики испытаний.

Разработка методики испытаний начинается с анализа нормативной базы: определяются руководящие документы, требования к классам защищённости, перечень функций и показателей, подлежащих проверке. Затем формулируются цели и задачи испытаний, область их проведения и объект испытаний. На следующем шаге для каждого проверяемого требования описывается экспериментальная схема: состав тестовых субъектов и объектов, конфигурация средств защиты, используемое программное и аппаратное обеспечение, средства контроля и измерений. Далее детализируется порядок выполнения действий: последовательность операций, сценарии тестов, правила регистрации результатов. Устанавливаются критерии оценки (условия, при которых требования считаются выполненными или невыполненными) и порядок оформления документации (протоколы испытаний, отчёты, акты). Готовая методика согласуется и утверждается, после чего используется испытательной лабораторией при проведении конкретных испытаний.

3) Какой нормативный документ устанавливает 7 классов защищенности средств защиты информации?

Семь классов защищённости средств защиты информации от несанкционированного доступа устанавливает руководящий документ «Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации» (Гостехкомиссия России, 1992 г.).

4) Порядок тестирования функций мэ.

Порядок тестирования функций межсетевого экрана (МЭ) обычно включает следующие действия. Сначала на МЭ настраиваются правила фильтрации и трансляции адресов в соответствии с проверяемыми требованиями руководящего документа. Затем во внутреннем и внешнем сегментах сети запускается программное обеспечение перехвата и анализа сетевых пакетов. После этого генерируются сетевые пакеты с заданными атрибутами (адреса источника/назначения, порты, протоколы), которые в соответствии с правилами фильтрации должны быть либо пропущены, либо заблокированы. По завершении тестовой генерации останавливается перехват пакетов, выгружается журнал регистрации событий МЭ. Эксперт сравнивает ожидаемый результат (согласно правилам фильтрации) с фактическим: пакеты на входном и выходном интерфейсах МЭ, а также запись в журнале. При совпадении ожидаемых и фактических результатов делается вывод о корректной реализации функций управления доступом.