Технології захисту інформації - копия
.pdfI етап. Аналіз безпеки середовища експлуатації об’єкта оцінки.
II етап. Визначення й формулювання завдань із забезпечення безпеки.
III етап. Розробка вимог ІТ-безпеки.
IV етап. Розробка специфікацій функцій безпеки й підсумкової специфікації забезпечення безпеки об’єкта оцінки.
Розглянемо більш докладно кожний із цих етапів.
Аналіз безпеки середовища експлуатації об’єкта оцінки здійснюється з метою:
обмеження системи (підсистеми) забезпечення безпеки об’єкта оцінки від навколишнього середовища експлуатації;
визначення ступеня небезпеки (агресивності) середовища експлуатації для функціонування об’єкта оцінки шляхом виявлення загроз безпеки і аналізу ризиків;
формування вихідних передумов для визначення завдань із забезпечення безпеки;
середовище експлуатації становить сукупність фізичних, інформаційних, технічних об’єктів і систем, зовнішніх стосовно об’єкта оцінки, а також організаційних заходів, правових норм, умов експлуатації і технологічних особливостей застосування об’єкта оцінки, що роблять фізичний, інформаційний, енергетичний та інший вплив на функціонування об’єкта оцінки. У середовище експлуатації також входять і можливі загрози безпеки, які вже існують або можуть виникнути в даному середовищі.
При здійсненні аналізу безпеки середовища експлуатації, з погляду забезпечення фізичної безпеки об’єкта оцінки, рекомендовано звернути увагу на його фізичне оточення. При цьому аналізу піддаються фізичні засоби і міри забезпечення безпеки, у тому числі забезпечення фізичної безпеки персоналу.
Важливо врахувати ресурси, що вимагають свого захисту засобами об’єкта оцінки. Аналіз здійснюється з урахуванням основного призначення об’єкта оцінки і того, чи є об’єкт оцінки ІТ-продуктом або ІТ-системою. Якщо в якості об’єкта оцінки розглядається ІТ-продукт, то розроблювач може орієнтуватися лише на загальні припущення про середовище експлуатації, включаючи умови експлуатації, застосування і загрози безпеки. Така невизначеність пов’язана з тим, що ІТ-продукт розробля-
21
ється в припущенні, що він буде використовуватися в багатьох системах обробки інформації. На відміну від ІТ-продукту ІТ-система розробляється для рішення конкретних прикладних завдань, розраховуючи на вимоги кінцевих споживачів (замовників). У цьому випадку розроблювач має можливість повною мірою враховувати специфіку впливів на об’єкт оцінки з боку середовища експлуатації.
Необхідно також розрізняти об’єкт оцінки з погляду його основного призначення. Залежно від того, яка головна мета функціонування об’єкта оцінки, необхідно переломлювати кут зору на аналіз середовища експлуатації об’єкта оцінки. Так, у якості об’єкта оцінки можна розглядати продукт або систему, основним призначенням яких є забезпечення безпеки інформації або інших ресурсів. З іншого боку, в якості об’єкта оцінки можуть виступати і комунікаційні системи, обчислювальні мережі, елементи систем передачі даних і здійснення електронних платежів і т. д.
У таких системах забезпечення безпеки є одним з множини функціональних завдань, спрямованих на досягнення головної мети функціонування.
Результатами аналізу безпеки є [31; 45]:
1)аксіоматичні висновки (припущення) про безпеку середовища експлуатації конкретного об’єкта оцінки;
2)перелік загроз безпеки, оцінка ймовірності їх реалізації і модель порушника безпеки. Кожна загроза характеризується з трьох сторін. Поперше, визначається модель порушника безпеки, що здатний реалізувати конкретну загрозу; по-друге, описуються передбачувані методи нападів (атак) і можливі слабкі місця (уразливості) системи, використання яких лежить в основі реалізації атак. Нарешті визначаються ресурси, які є об’єктом конкретної атаки. Все це є основою для проведення аналізу ризиків реалізації кожної загрози, що дозволяє оцінити ймовірність загрози та можливий збиток, що може бути нанесений у випадку реалізації загрози. Особливо зупинимося на моделі порушника. Тут необхідно виходити з того, якими ресурсами володіє потенційний противник, а також які мотиви для здійснення злочинних дій. У загальному випадку в ролі противника можна розглядати фізичну особу, що здійснює нерегулярні атаки, корпоративну групу, що володіє обмеженими можливостями та ресурсами і державну спецслужбу, що володіє більшими можливостями;
22
3) висновки щодо застосованості організаційної політики безпеки.
Під організаційною політикою безпеки розуміють одне або кілька правил, процедур, практичних заходів (дій) або загальних рекомендацій, спрямованих на забезпечення безпеки і експлуатації об’єкта оцінки накладаються організацією відповідно до виконуваних даною організацією функцій. Тобто організаційна політика безпеки є конкретизацією загальної політики безпеки об’єкта оцінки стосовно конкретної організації.
Таким чином, усі роботи, виконувані на даному етапі, спрямовані на забезпечення максимального обліку конкретних умов експлуатації об’єкта оцінки при його перевірці й оцінці.
На основі отриманих у ході аналізу безпеки середовища експлуатації результатів здійснюється визначення і формулювання задач із забезпечення безпеки або задач захисту (security target).
Задача захисту – це цільова постановка задачі на протидію виявленим загрозам і задоволення політики безпеки. Задача захисту повинна бути погоджена з множиною інших функціональних задач об’єкта оцінки і не суперечити основному призначенню об’єкта оцінки. Задачі визначаються як для об’єкта оцінки, так і для середовища його експлуатації. Причому останні формулюються тільки для елементів середовища експлуатації, пов’язаних з інформаційними технологіями. Технічні засоби забезпечення безпеки, організаційні міри, правові норми розглядаються як зовнішні стосовно об’єкта оцінки елементи системи захисту, застосовувані для підвищення ефективності власних засобів забезпечення безпеки об’єкта оцінки.
Таким чином, задача захисту адресована винятково для реалізації вимог забезпечення ІТ-безпеки.
Сформульовані і, по можливості, формалізовані задачі захисту є базою для безпосередньої розробки профілю захисту. Розробка профілю захисту здійснюється у два етапи:пошук і вибір профілюпрототипу; синтез вимог ІТ-безпеки.
Міжнародний стандарт передбачає створення спеціальної картотеки пакетів вимог безпеки, профілів захисту і проектів безпеки. Пакетом вимог називається проміжна комбінація вимог безпеки, що описує множину функціональних вимог і вимог адекватності, які забезпечують
23
рішення виділеної підмножини задач захисту. Ця картотека буде доступна для розроблювачів, що дозволяє мінімізувати витрати на розробку нових профілів захисту і врахувати досвід попередніх розробок.
Вимоги ІТ-безпеки є уточненням, конкретизацією і відображенням задач захисту в множині вимог безпеки, пропонованих об’єкту оцінки і до середовища експлуатації. Вимоги ІТ-безпеки містять у собі три компоненти: функціональні вимоги безпеки; вимоги адекватності; вимоги безпеки середовища експлуатації.
У ході розробки профілю захисту здійснюється вибір вимог безпеки специфічних для конкретного середовища. При цьому вибір ґрунтується на оцінці ефективності вимог для рішення задачі протидії загрозам безпеки [31]. Функціональні вимоги визначають властивості безпеки і характеризують функції об’єкта оцінки, які є типовими для підтримки ІТ-без- пеки.
Декомпозиція даних вимог, їх опис приводиться в другій частині ISO/IEC 15408-2, що є каталогом функціональних вимог.
Демонстрація того, що виконання функціональних вимог веде до забезпечення необхідного рівня безпеки, здійснюється через включення в профіль захисту вимог адекватності. Адекватність містить два аспекти: ефективність функцій безпеки; коректність реалізації функцій безпеки.
При оцінці ефективності функцій безпеки необхідно визначити степінь відповідності між завданнями захисту й пропонованим набором функцій безпеки, їх функціональною повнотою, погодженістю, простотою використання і ступенем запобігання загрозам безпеки. Коректність виражається в оцінці правильності та надійності реалізації функцій безпеки.
Для конкретної множини функціональних вимог ступінь адекватності може варіюватися. Тому адекватність виражається через рівні строгості вимог адекватності. Третя частина стандарту вводить шкалу рівнів оцінки адекватності, що опирається на вимоги адекватності.
При розробці профілю захисту необхідно аналізувати зв’язки і взаємозалежності як між різними функціональними вимогами, так і між функціональними вимогами і вимогами адекватності.
Вимоги безпеки, в остаточному підсумку, повинні демонструвати як наявність бажаних характеристик і властивостей безпеки, так і відсут-
24
ність небажаних характеристик. Бажані характеристики можна продемонструвати через використання або тестування конкретного продукту, у той час як визначення небажаних характеристик ускладнено. Перевірка, моделювання, аналіз конструкції і реалізації профілю істотно знижує ризик присутності таких небажаних характеристик. Тому підсумком робіт з розробки профілю захисту є оцінка його повноти, коректності, несуперечності (погодженості) і реалізованості.
Четвертий етап здійснюється при розробці проекту безпеки. На даному етапі здійснюється розробка підсумкової специфікації об’єкта оцінки. Ця специфікація містить опис заявлених функцій безпеки, які задовольняють функціональним вимогам і визначення показників адекватності, що характеризують степінь задоволення вимог адекватності.
1.5.3. Структура і зміст профілю захисту
Згідно з ISO/IEC 15408-1 профіль захисту повинен містити такі роз-
діли [49; 51]:
1.Короткий опис профілю.
2.Короткий опис об’єкта оцінки.
3.Аналіз середовища експлуатації об’єкта оцінки.
4.Завдання із забезпечення безпеки.
5.Вимоги ІТ-безпеки.
6.Обґрунтування завдань захисту і вимог ІТ-безпеки.
Короткий опис профілю містить класифікаційну інформацію, необхідну для його ідентифікації в спеціальній картотеці. Тут же характеризується основне завдання або група завдань із забезпечення безпеки, розв’язуваних за допомогою цього профілю.
Короткий опис об’єкта оцінки містить: призначення і область застосування об’єкта оцінки; короткий опис особливостей, використовуваних у об’єкті оцінки інформаційних технологій; короткий опис додатків, у яких передбачено використання об’єкта оцінки (у випадку, якщо основним призначенням об’єкта оцінки є забезпечення безпеки інформації та інших ресурсів).
25
Розділ аналізу середовища експлуатації містить результати аналізу безпеки середовища експлуатації об’єкта оцінки й містить, а також:
а) висновки щодо різних аспектів безпеки середовища, в якому застосовано або передбачено застосування об’єкта оцінки, а саме:
відомості про передбачуване використання об’єкта оцінки, включаючи відомості про додатки, ресурси і обмеження на використання;
відомості про середовище експлуатації об’єкта оцінки, включаючи фізичні, інформаційні, технічні, технологічні, експлуатаційні й інші аспекти; б) повний опис загроз безпеки, які безпосередньо впливають на безпеку об’єкта оцінки. Загрози описуються з погляду: противника, здатного реалізувати загрозу (модель противника, доступні ресурси для здійснення злочинних дій, мотиви здійснення злочинних дій); атак (методи нападів, використовувані слабкі місця системи захисту й інших сприятливих умов для реалізації конкретної атаки); ресурсів, що захи-
щаються; в) опис організаційних політик безпеки.
У розділі про завдання із забезпечення безпеки докладно описано завдання захисту для об’єкта оцінки і його середовища експлуатації.
Завдання захисту повинні: відображати конкретні цілі, що досягаються в ході забезпечення безпеки; бути застосованими для запобігання всіх виявлених загроз безпеки; охоплювати всі певні організаційні політики безпеки.
Розділ про вимоги ІТ-безпеки містить опис функціональних можливостей засобів захисту об’єкта оцінки і визначає рівень адекватності висунутих функціональних вимог стосовно певного раніше переліку загроз безпеки. Розділ містить у собі: функціональні вимоги безпеки для об’єкта оцінки; вимоги адекватності безпеки об’єкта оцінки; вимоги безпеки для ІТ-середовища експлуатації об’єкта оцінки.
При розробці даного розділу необхідно враховувати такі умови:
всі вимоги ІТ-безпеки формуються на основі використання другої і третьої частин стандарту ISO/IEC 15408; формулювання функціональних вимог і вимог адекватності повинне бути зрозумілим і однозначим, що дозволяє в остаточному підсумку провести їх оцінку і продемонструвати погодженість вимог; якщо необхідно, використовувати для компонентів функціональних вимог установлені операції над ними з метою дозволу
26
або заборони використання конкретних механізмів безпеки; при синтезі функціональних вимог і вимог адекватності враховувати всі взаємозв’язки й взаємозалежності між ними.
У розділі щодо обґрунтування задач захисту і вимог ІТ-безпеки подано докази того, що профіль захисту становить повну і зв’язну множину вимог до об’єкта оцінки, що задовольняє висунуті вимоги, забезпечує ефективну протидію погрозам безпеки. Розділ містить такі відомості:
а) обґрунтування завдань захисту, що демонструє, що заявлені завдання захисту відбивають і охоплюють всі аспекти безпеки об’єкта оцінки і середовища експлуатації;
б) обґрунтування вимог безпеки, що демонструє, що множина вимог безпеки (і для об’єкта оцінки, і для середовища експлуатації) застосована для реалізації всіх завдань захисту. При цьому:
комбінація окремих функціональних вимог і вимог адекватності задовольняє конкретні завдання захисту; повна множина вимог безпеки утворює взаємно підкріплювальне і внутрішньо погоджене ціле; вибір вимог безпеки є виправданим. Крім того, виправданим повинен бути вибір вимог, що не втримуються в стандарті ISO/IEC 15408, вибір рівня адекватності, не представленого в шкалі встановлених рівнів, а також незадоволення яких-небудь залежностей між вимогами; обраний рівень захищеності погоджений із задачами захисту.
Крім перерахованих розділів профіль захисту може містити додаткові відомості щодо конструкції, оцінки й застосування об’єкта оцінки.
Контрольні запитання
1.Політика безпеки. Основні поняття та принципи.
2.Структура політики безпеки та її основні частини.
3.Життєвий цикл розробки систем безпеки.
4.Система безпеки. Основні поняття про інформацію.
5.Критерії оцінки системи безпеки відповідно до стандарту НД ТЗІ.
6.Законодавча база України відповідно до систем безпеки.
7.Поняття про інформацію з обмеженим доступом.
27
Розділ 2. Механізми і політики розмежування прав доступу
2.1.TCSEC ("Оранжева книга") – перший стандарт
угалузі оцінки захищеності
комп’ютерних систем
Стандарт Міністерства оборони США TCSEC, більше відомий як "Оранжева книга" (англ. – Orange Book) за кольором обкладинки, був затверджений у 1983 році та оновлений у 1985. Повна назва документа –
"Department of Defense Trusted Computer System Evaluation Criteria" – "Критерії оцінки захищених комп’ютерних систем Міністерства оборони" [43]. Це був перший стандарт, який встановлював основні вимоги до оцінки ефективності засобів безпеки комп’ютерних систем. З цієї точки зору його значення важко переоцінити, оскільки з’явився загальновизнаний базис понять, без якого навіть обговорення проблем інформаційної безпеки було б складним завданням.
Необхідно зупинитися на відмінностях між поняттями "захищена система", яке використовують в Україні, і "довірена система", яке використовують в англомовній літературі. "Оранжева книга" (ОК) була першим документом, де стверджувалося, що будь-яких абсолютних систем (у тому числі й абсолютно безпечних) у нашому житті не існує. Тому було запропоновано оцінювати лише степінь довіри до цієї чи іншої системи, тобто наскільки можна їй довіряти. В українській літературі оцінюють не степінь довіри, а степінь захищеності комп’ютерних систем. Так склалося історично, тому автори також будуть дотримуватися цієї відмінності.
ОК дала визначення поняттю безпечної системи. Згідно з нею,
безпечною комп’ютерною системою називається така, де тільки уповноважені користувачі або процеси від їх імені можуть читати та змінювати призначену для них інформацію. Це означає, що доступ до інформації повинні мати лише уповноважені користувачі, причому вони повинні мати доступ не до всієї інформації, а лише до призначеної для них.
28
2.1.1. Основні поняття Оранжевої книги
Оранжева книга виробила так звані принципи безпеки. До них належить таке:
1.Безпечні системи повинні керуватися розробленими політиками безпеки, а користувачі зобов’язані їх дотримуватися.
2.Кожен об’єкт безпечної системи повинен мати певний рівень безпеки (рівень доступу для користувачів, рівень безпеки – для інформації), який визначається так званими мітками безпеки.
3.Обов’язковою складовою безпечної системи повинна бути автентифікація користувачів.
4.У безпечних системах повинен бути налагоджений аудит за усіма важливими подіями, що відбуваються в системі і мають відношення до безпеки. Журнали аудиту повинні бути захищеними від зміни.
5.Засоби захисту безпечних систем повинні знаходитися під постійним контролем деякої системи, що контролює правильність їх роботи.
6.Принцип неперервності захисту: не повинно бути моментів у роботі системи, коли засоби захисту неактивні.
Проаналізуємо кожен з цих принципів безпеки, звернувши увагу на те, що пропонує ОК для того, щоб захищена система задовольняла ці принципи безпеки.
1.Політики безпеки. Політики безпеки повинні бути детальними, чітко визначеними та обов’язковими для виконання усіма користувачами комп’ютерної системи. ОК пропонує два типи політики безпеки: мандатна політика – така, яка ґрунтується на порівнянні внутрішніми засобами системи рівнів доступу користувачів та рівнів секретності інформації (усі рівні задаються так званими мітками безпеки) і прийнятті рішення про допуск до інформації; дискреційна політика – така, коли прийняття рішення про допуск до інформації ґрунтується на зовнішніх щодо системи захисту правилах доступу.
2.Мітки безпеки. ОК вважає, і це стало вже стандартом інформаційної безпеки, що мандатна політика безпеки безпечніша за дискреційну, що, як можна спостерігати пізніше, відображено в класах безпеки.
3.Відповідальність. Незалежно від обраної політики безпеки, повинна існувати індивідуальна відповідальність користувачів за усі дії в системі. ОК висуває три вимоги до відповідальності:
а) автентифікація – процес, який надає підтвердження про те, що користувач є саме тим, ким він представився системі;
29
б) авторизація – надання користувачеві певних повноважень у системі;
в) аудит – здатність системи контролювати усі важливі дії користувачів у захищених журналах аудиту.
4.Монітор звернень. Контроль за виконанням користувачами обробки інформації повинен вестися за допомогою деякої системи, яку ОК називає монітором звернень, яка має задовольняти таким умовам:
а) ізольованість, тобто неможливість відстеження його роботи; б) повнота, тобто неможливість обійти монітор; в) верифікованість, тобто можливість аналізу та тестування.
5.Ядро безпеки – це певна реалізація монітора звернень з гарантованим рівнем безпеки.
6.Гарантії безпеки. Взагалі ОК приділяє значну увагу рівню гарантованості безпеки. Вважається, що комп’ютерна система повинна містити апаратні та/або програмні механізми, які повинні незалежно підтверджувати впевненість в тому, що система має задекларований рівень захищеності, а підсистема безпеки працює тільки так, як заплановано. Для досягнення цієї мети необхідно два типи гарантій:
а) операційна гарантія – впевненість в тому, що реалізація спроектованої системи забезпечує правильне втілення розробленої системи захисту;
б) гарантія життєвого циклу – впевненість в тому, що розробка та підтримка системи виконані відповідно до формалізованих та жорстко контрольованих критеріїв функціонування; сюди відносяться: аудит спроектованої системи безпеки, технічного завдання, способів керування налаштуваннями та відповідності реальних параметрів тим, які були заявлені;
в) гарантії неперервності захисту – надійні механізми, які забезпечують неперервний захист основних засобів від несанкціонованих змін.
7.До гарантій неперервності захисту можна ще додати те, що система повинна бути спроектована таким чином, щоби користувачі не допускалися до обробки інформації не через систему захисту. Простіше кажучи, при завантаженні системи спочатку стартує підсистема захисту,
апотім, коли служби захисту активні, – вже допускаються користувачі. Згідно з таким уявленнями про безпечні та довірені системи, в ОК
було розроблено вимоги для захищених систем.
30