Лабораторная работа № 11

.” Требования к межсетевым экранам. Показатели защищенности межсетевых экранов”

Цель работы

Получить навыки по защите межсетевых экранов

1. Теоретическое введение

1.1.. Требования к межсетевым экранам. Показатели защищенности межсетевых экранов Общие положения

Показатели защищенности МЭ отражают требования к средствам защиты, обеспечивающим безопасное взаимодей- ствие сетей ЭВМ, АС путем контроля межсетевых потоков ин- формации, и управления ими.

Конкретные перечни таких показателей определяют классы защищенности МЭ. Деление МЭ на соответствующие классы по уровням контроля межсетевых информационных потоков необ-ходимо в целях разработки и применения обоснованных и эко- номически оправданных мер по достижению требуемого уровня защиты информации при взаимодействии сетей ЭВМ, АС.

Дифференциация подхода к выбору функций защиты в МЭ определяется АС, для защиты которой применяется данный эк- ран. Всего установлено пять классов защищенности МЭ. Каж- дый класс характеризуется определенной минимальной сово- купностью требований по защите информации. Самый низкий класс защищенности — пятый, применяемый для безопасного взаимодействия АС класса 1Д с внешней средой, четвертый — 1Г, третий - 1В, второй - 1Б, самый высокий - первый, приме- няемый для безопасного взаимодействия АС класса 1А с внеш- ней средой.

Требования, предъявляемые к МЭ, не исключают требова- ний, предъявляемых к СВТ и АС и описанных в предыдущих разделах.

При включении МЭ в АС определенного класса защищен- ности класс защищенности совокупной АС, полученной из исходной путем добавления в нее МЭ, не должен понижаться.

Для АС класса ЗБ, 2Б должны применяться МЭ не ниже 5 класса.

Для АС класса ЗА, 2А в зависимости от важности обрабаты- ваемой информации должны применяться МЭ следующих классов:

• при обработке информации с грифом «секретно» — не ниже 3 класса;

• «совершенно секретно» — не ниже 2 класса;

• «особой важности» — не ниже 1 класса.

Показатели защищенности

Перечень показателей по классам защищенности МЭ при- веден в табл. 9.

Обозначения:

« - « — нет требований к данному классу;

« + « - новые или дополнительные требования;

« = « — требования совпадают с требованиями к СВТ пре- дыдущего класса.

Таблица 9

Показатели защищенности	Классы защищенности
	5	4	3	2	1
Управление доступом (фильтра- ция данных и трансляция адресов)	+	+	+	+	=
Идентификация и аутентификация	-	-	+	=	+
Регистрация	-	+	+	+	=
Администрирование: идентифи- кация и аутентификация	+	=	+	+	+
Администрирование: регистрация	+	+	+	=	=
Администрирование: простота использования	-	-	+	=	+
Целостность	+	=	+	+	+
Восстановление	+	=	=	+	—
Тестирование	+	+	+	+	+
Руководство администратора защиты	+	=	=	=	=
Тестовая документация	+	+	+	+	+
Конструкторская (проектная) документация	+	=	+	=	+

Требования к пятому классу защищенности межсетевых экранов Управление доступом

МЭ должен обеспечивать фильтрацию на сетевом уровне.

Решение по фильтрации может приниматься для каждого сетевого пакета независимо на основе, по крайней мере, сете- вых адресов отправителя и получателя или с учетом других эк- вивалентных атрибутов.

Администрирование: идентификация и аутентификация

МЭ должен обеспечивать идентификацию и аутентифика- цию администратора МЭ при его локальных запросах на до- ступ. МЭ должен предоставлять возможность для идентифика- ции и аутентификации по идентификатору (коду) и паролю ус- ловно — постоянного действия.

Администрирование: регистрация

МЭ должен обеспечивать регистрацию входа (выхода) адми- нистратора МЭ в систему (из системы) либо загрузки и иници- ализация системы и ее программного останова. Регистрация выхода из системы не проводится в моменты аппаратурного от- ключения МЭ.

В параметрах регистрации указываются:

• дата, время и код регистрируемого события;

• результат попытки осуществления регистрируемого со- бытия — успешная или неуспешная;

• идентификатор администратора МЭ, предъявленный при попытке осуществления регистрируемого события.

Целостность МЭ должен содержать средства контроля за целостностью своей программной и информационной части.

Восстановление МЭ должен предусматривать процедуру восстановление после сбоев и отказов оборудования, которая должна обеспе- чивать восстановление свойств МЭ.

Тестирование В МЭ должна обеспечиваться возможность регламентного тестирования:

• реализации правил фильтрации;

• процесса идентификации и аутентификации админист- ратора МЭ;

• процесса регистрации действий администратора МЭ;

• процесса контроля за целостностью программной и ин- формационной части МЭ;

• процедуры восстановления.

Руководство администратора межсетевых экранов Документ содержит:

■ описание контролируемых функций МЭ;

» руководство по настройке и конфигурированию МЭ;

• описание старта МЭ и процедур проверки правильности старта;

• руководство по процедуре восстановления.

Тестовая документация Должна содержать описание тестов и испытаний, которым подвергался МЭ, и результаты тестирования.

Конструкторская (проектная) документация

Должна содержать:

• общую схему МЭ;

• общее описание принципов работы МЭ;

• описание правил фильтрации;

« описание средств и процесса идентификации и аутенти- фикации;

• описание средств и процесса регистрации;

• описание средств и процесса контроля за целостностью программной и информационной части МЭ;

« описание процедуры восстановления свойств МЭ.

Требования к четвертому классу защищенности межсетевых экранов Управление доступом

Данные требования полностью включают аналогичные требования пятого класса.

Дополнительно МЭ должен обеспечивать¹: • фильтрацию пакетов служебных протоколов, служащих для диагностики и управления работой сетевых уст- ройств;

• фильтрацию с учетом входного и выходного сетевого ин- терфейса как средство проверки подлинности сетевых ад- ресов;

• фильтрацию с учетом любых значимых полей сетевых па- кетов.

Регистрация

МЭ должен обеспечивать возможность регистрации и уче- та фильтруемых пакетов. В параметры регистрации включа- ются адрес, время и результат фильтрации.

Администрирование: идентификация и аутентификация

Данные требования полностью совпадают с аналогичными требованиями пятого класса.

Администрирование: регистрация

Данные требования включают аналогичные требования пятого класса.

Далее дополнительные требования выделены курсивом

Дополнительно МЭ должен обеспечивать регистрацию запу- ска программ и процессов (заданий, задан).

Целостность

Данные требования полностью совпадают с аналогичными требованиями пятого класса.

Восстановление

Данные требования полностью совпадают с аналогичными требованиями пятого класса.

Тестирование

В МЭ должна обеспечиваться возможность регламентного тестирования:

• реализации правил фильтрации;

• процесса регистрации;

• процесса идентификации и аутентификации админист- ратора МЭ;

• процесса регистрации действий администратора МЭ;

• процесса контроля за целостностью программной и ин- формационной части МЭ;

• процедуры восстановления. Руководство администратора МЭ

Данные требования полностью совпадают с аналогичными требованиями пятого класса.

Тестовая документация

Должна содержать описание тестов и испытаний, которым подвергается МЭ, и результаты тестирования.

Конструкторская (проектная) документация

Данные требования полностью совпадают с аналогичными требованиями пятого класса по составу документации.

Требования к третьему классу защищенности межсетевых экранов Управление доступом

Данные требования полностью включают аналогичные требования четвертого класса.

Дополнительно МЭ должен обеспечивать:

■ фильтрацию на транспортном уровне запросов на установ- ление виртуальных соединений. При этом, по крайней мере, учи- тываются транспортные адреса отправителя и получателя;

• фильтрацию на прикладном уровне запросов к прикладным адресам. При этом, по крайней мере, учитываются приклад- ные адреса отправителя и получателя;

• фильтрацию с учетом даты/времени. Идентификация и аутентификация

МЭ должен обеспечивать возможность аутентификации входящих и исходящих запросов методами, устойчивыми к пас- сивному и/или активному прослушиванию сети. Регистрация

Данные требования включают аналогичные требования четвертого класса.

Дополнительно МЭ должен обеспечивать: • регистрацию и учет запросов на установление виртуаль- ных соединений;

■ локальную сигнализацию попыток нарушения правил филь- трации.

Администрирование: идентификация и аутентификация

Данные требования включают аналогичные требования пя- того класса. Дополнительно МЭ должен препятствовать досту- пу не идентифицированного субъекта или субъекта, подлинность идентификации которого при аутентификации не подтвердилась.

При удаленных запросах администратора МЭ на доступ иден- тификация и аутентификация должны обеспечиваться методами, устойчивыми к пассивному и активному перехвату информации.

Администрирование: регистрация

Данные требования полностью включают аналогичные требования четвертого класса.

Дополнительно МЭ должен обеспечивать регистрацию дей- ствий администратора МЭ по изменению правил фильтрации.

Администрирование: простота использования

Многокомпонентный МЭ должен обеспечивать возможность дистанционного управления своими компонентами, в том числе возможность конфигурирования фильтров, проверки взаимной согласованности всех фильтров, анализа регистрационной ин- формации.

Целостность

Данные требования полностью включают аналогичные требования пятого класса.

Дополнительно должен обеспечиваться контроль целостнос- ти программной и информационной части МЭ по контрольным суммам.

Восстановление

Данные требования полностью совпадают с аналогичными требованиями пятого класса.

Тестирование

В МЭ должна обеспечиваться возможность регламентного тестирования:

• реализации правил фильтрации;

• процесса регистрации;

• процесса идентификации и аутентификации запросов;

• процесса идентификации и аутентификации админист- ратора МЭ;

• процесса регистрации действий администратора МЭ;

• процесса контроля за целостностью программной и ин- формационной части МЭ;

■ процедуры восстановления.

Руководство администратора межсетевых экранов

Данные требования полностью совпадают с аналогичными требованиями пятого класса.

Тестовая документация

Должна содержать описание тестов и испытаний, которым подвергался МЭ, и результаты тестирования.

Конструкторская (проектная) документация

Данные требования полностью включают аналогичные требования пятого класса по составу документации.

Дополнительно документация должна содержать описание средств и процесса централизованного управления компонента- ми МЭ.

Требования ко второму классу защищенности межсетевых экранов Управление доступом

Данные требования включают аналогичные требования третьего класса.

Дополнительно МЭ должен обеспечивать:

■ возможность сокрытия субъектов (объектов) и/или при- кладных функций защищаемой сети;

" возможность трансляции сетевых адресов.

Идентификация и аутентификация

Данные требования полностью совпадают с аналогичными требованиями третьего класса.

Регистрация

Данные требования включают аналогичные требования третьего класса.

Дополнительно МЭ должен обеспечивать:

• дистанционную сигнализацию попыток нарушения правил

фильтрации;

• регистрацию и учет запрашиваемых сервисов прикладного уровня;

• программируемую реакцию на события в МЭ. Администрирование: идентификация и аутентификация

МЭ должен обеспечивать идентификацию и аутентифи- кацию администратора МЭ при его запросах на доступ. МЭ должен предоставлять возможность для идентификации и аутентификации по идентификатору (коду) и паролю вре- менного действия. МЭ должен препятствовать доступу не идентифицированного субъекта или субъекта, подлинность идентификации которого при аутентификации не подтвер- дилась.

При удаленных запросах на доступ администратора МЭ идентификация и аутентификация должны обеспечиваться методами, устойчивыми к пассивному и активному перехвату информации.

Администрирование: регистрация

Данные требования полностью совпадают с аналогичными требованиями третьего класса.

Администрирование: простота использования

Данные требования полностью совпадают с аналогичными требованиями третьего класса.

Целостность

МЭ должен содержать средства контроля за целостностью своей программной и информационной части по контроль- ным суммам как в процессе загрузки, так и динамически.

Восстановление

МЭ должен предусматривать процедуру восстановления после сбоев и отказов оборудования, которая должна обеспе- чивать оперативное восстановление свойств МЭ.

Тестирование

В МЭ должна обеспечиваться возможность регламентного тестирования:

■ реализации правил фильтрации;

• процесса идентификации и аутентификации;

• процесса регистрации;

• процесса идентификации и аутентификации админист- ратора МЭ;

• процесса регистрации действий администратора МЭ;

• процесса контроля за целостностью программной и ин- формационной части МЭ;

• процедуры восстановления.

Руководство администратора межсетевых экранов

Данные требования полностью совпадают с аналогичными требованиями пятого класса.

Тестовая документация

Должна содержать описание тестов и испытаний, которым подвергался МЭ, и результаты тестирования.

Конструкторская (проектная) документация

Данные требования полностью совпадают с аналогичными требованиями третьего класса по составу документации.

Требования к первому классу защищенности межсетевых экранов

Управление доступом

Данные требования полностью совпадают с аналогичными требованиями второго класса.

Идентификация и аутентификация

Данные требования полностью включают аналогичные требования второго класса.

Дополнительно МЭ должен обеспечивать идентификацию и аутентификацию всех субъектов прикладного уровня.

Регистрация

Данные требования полностью совпадают с аналогичными требованиями второго класса.

Администрирование: идентификация и аутентификация

МЭ должен обеспечивать идентификацию и аутентифика- цию администратора МЭ при его запросах на доступ. МЭ должен предоставлять возможность для идентификации и аутентифика- ции по биометрическим характеристикам или специальным уст- ройствам (жетонам, картам, электронным ключам) и паролю вре- менного действия. МЭ должен препятствовать доступу не иденти- фицированного субъекта или субъекта, подлинность идентифи- кации которого при аутентификации не подтвердилась.

При удаленных запросах на доступ администратора МЭ идентификация и аутентификация должны обеспечиваться методами, устойчивыми к пассивному и активному перехвату информации.

Администрирование: регистрация

Данные требования полностью совпадают с аналогичными требованиями третьего класса.

Администрирование: простота использования

Многокомпонентный МЭ должен обеспечивать возмож- ность централизованного управления своими компонентами, в том числе конфигурированием фильтров, проверкой взаимной согласованности всех фильтров, анализа регистрационной ин- формации.

Должен быть предусмотрен графический интерфейс для уп- равления МЭ.

Целостность

МЭ должен содержать средства контроля за целостностью своей программной и информационной части по контроль- ным суммам аттестованного алгоритма как в процессе загруз- ки, так и динамически.

Восстановление

Данные требования полностью совпадают с аналогичными требованиями второго класса.

Тестирование

В МЭ должна обеспечиваться возможность регламентного тестирования:

• реализации правил фильтрации;

• процесса идентификации и аутентификации;

• процесса регистрации;

• процесса идентификации и аутентификации админист- ратора МЭ;

• процесса регистрации действий администратора МЭ;

• процесса централизованного управления компонентами МЭ и графического интерфейса для управления МЭ;

• процесса контроля за целостностью программной и ин- формационной части МЭ;

• процедуры восстановления. Руководство администратора межсетевых экранов Данные требования полностью совпадают с аналогичными

требованиями пятого класса.

Тестовая документация

Должна содержать описание тестов и испытаний, которым подвергался МЭ, и результаты тестирования.

Конструкторская (проектная) документация

Данные требования полностью совпадают с аналогичными требованиями третьего класса по составу документации.

Дополнительно: документация должна содержать описание графического интерфейса для управления МЭ.