7.3. Стандарти, що враховують специфіку вимог захисту в різних системах

Одна з основних переваг TCSEC, яка й нині змушує повертатися до стандарту, зручна і зрозуміла шкала оцінювання рівня захищеності комп'ютерних систем. Водночас це й найбільший недолік стандарту. Єдина ієрархічна шкала дає змогу порівнювати лише концептуально однакові системи. Стрімкий розвиток інформаційних технологій посприяв створенню такої системи класифікацій, яка б могла адекватно оцінювати різні за призначенням АС та з різними архітектурами.

Першим стандартом, який певним чином виконував це завдання, був документ «Європейські критерії безпеки інформаційних технологій». Слід зазначити, що цей документ тісно пов'язаний із TCSEC, тому його не можна назвати окремим повноцінним документом.

7.3.1. Європейські критерії безпеки інформаційних технологій

Стандарт «Європейські критерії безпеки інформаційних технологій» (Informa­tion Technology Security Evaluation Criteria, ITSEC, далі — «Європейські критерії») — це результат спільної праці фахівців із Франції, Німеччини, Нідерландів і Великої Британії [75]. їх докладно розглянуто і проаналізовано у [16, 51, 57].

Завдання захисту інформації

У «Європейських критеріях» основними завданнями захисту інформації було ви значено: захист інформації від несанкціонованого доступу задля забезпечення її конфіденційності (підтримка конфіденційності), збереження цілісності інформації через унеможливлення ЇЇ несанкціонованої модифікації чи знищення (підтримка

цілісності), забезпечення роботоздатності систем шляхом протидії загрозам від­мов у обслуговуванні (підтримка доступності).

Поняття адекватності

Щоб задовольнити вимоги конфіденційності, цілісності та доступності, необхідно реалізувати відповідні функції безпеки: ідентифікацію й автентифікацію, керу­вання доступом, відновлення після збоїв тощо. Засоби захисту можна з упев­неністю визнати ефективними, якщо їх було правильно обрано і якщо вони на­дійно функціонують. Для вирішення цієї проблеми в «Європейських критеріях» уперше було введено поняття адекватність (Assurance) засобів захисту.

Поняття адекватності засобів безпеки містить два аспекти: ефективність (пов­на відповідність реалізованого набору функцій захисту поставленим задачам) та коректність (характеризує процес розроблення і функціонування) таких засобів.

У «Європейських критеріях» засоби інформаційної безпеки розглядають за такою схемою: спочатку визначають мету захисту інформації, потім складають спе­цифікації функцій захисту і насамкінець обирають механізми, що їх реалізують.

На безпеку системи в цілому впливають функціональна потужність засобів захисту і рівень адекватності їх реалізації.

Функціональні критерії

Специфікації функцій захисту пропонується розглядати з точки зору вимог:

♦ ідентифікації й автентифікації;

♦ керування доступом;

• підзвітності;

• аудита;

♦ повторного використання об'єктів;

• цілісності інформації;

♦ надійності обслуговування;

♦ безпеки обміну даними.

Більшість із вимог збігаються з аналогічними вимогами у TCSEC, але є також специфічні вимоги — вимоги безпеки обміну даними. Цей документ регламентує роботу засобів, які гарантують безпеку даних, що передають по каналах зв'язку. Він торкається таких аспектів:

• автентифікації;

♦ керування доступом;

• конфіденційності даних;

• цілісності даних;

• унеможливлення відмови від авторства. Оцінювання захищеності систем

На відміну від TCSEC, де оцінювання проводять за єдиною шкалою класів, у «Євро­пейських критеріях» запропоновано наперед визначені класи-шаблони (певні на-

бори функцій безпеки). У документі визначено десять класів, п'ять з яких (F-С1, F-C2, F-B1, F-B2, F-B3) відповідають класам безпеки TCSEC і мають аналогічні позначення, решта призначені для оцінювання систем із специфічними вимогами до захисту інформації.

♦ До класу F-IN належать системи, в яких висувають високі вимоги до забезпечення цілісності даних, що типово для СКБД. Тут використано концепцію «ролей», що відповідають видам діяльності користувачів, для надання їм дос­тупу до визначених об'єктів лише за допомогою довірених процесів. Розрізняють такі форми доступу: читання, записування, додавання, видалення, створення, перейменування і виконання об'єктів (мається на увазі створення суб'єкта з відповідного об'єкта-джерела).

♦ Клас F-AV висуває підвищені вимоги до забезпечення роботоздатності системи. Цей аспект важливий, наприклад, для систем керування технологічними

процесами. Системи, що належать до цього класу, здатні відновлюватися піс­ля відмови окремого апаратного компонента чи його заміни, тому всі їхні кри­тично важливі функції завжди доступні.

♦ Класи F-DI, F-DC і F-DX орієнтовано на розподілені системи оброблення інформації. Перш ніж почати обмін даними, сторони отримують можливість провести ідентифікацію учасників взаємодії з метою перевірки їхньої справжності. Системи класу F-DI використовують засоби контролю і виправлення помилок (виявляють випадково чи навмисно спотворені адреси та дані, що стосуються користувача). Алгоритм виявлення спотворень застосовують та­кий, щоб, дізнавшись його, зловмисник не зміг модифікувати дані, що переда­ються. У цих системах здійснюється виявлення спроб повторного передавання повідомлень.

♦ У системах класу F-DC особливу увагу приділяють конфіденційності даних, що передаються. Інформацію передають каналами зв'язку лише у зашифрова­ному вигляді. Використовують захищені від несанкціонованого доступу клю­чі шифрування.

♦ Оскільки клас F-DX висуває підвищені вимоги і до цілісності, і до конфіден­ційності інформації, він функціонально поєднує класи F-DI та F-DC. У систе­ми цього класу є додаткові можливості шифрування і засоби захисту від ана­лізування трафіку, а також обмежено доступ до вже переданої інформації.

Критерії адекватності

У «Європейських критеріях» адекватності засобів захисту приділено значно біль­ше уваги, ніж функціональним вимогам. Нагадаємо, що під адекватністю розу­міють ефективність і коректність роботи засобів захисту.

Ефективність оцінюють за такими критеріями:

♦ відповідність набору засобів захисту проголошеним цілям;

♦ взаємна погодженість різних засобів і механізмів захисту;

♦ здатність засобів захисту протистояти атакам;

♦ наявність можливості використати недоліки архітектури засобів

захисту;

♦ легкість застосування засобів захисту;

♦ наявність можливості використати функціональні недоліки засобів захисту. Оцінюючи коректність засобів захисту, звертають увагу на:

• процес розроблення (специфікацію вимог безпеки, створення архітектури, ро­бочого проекту, реалізацію);

• середовище розроблення (засоби керування конфігурацією, використані мови програмування і компілятори, безпеку середовища);

♦ експлуатаційну документацію (для користувача і для адміністратора);

♦ середовище розроблення (доставляння, інсталяцію, запуск і експлуатацію).

У «Європейських критеріях» визначено сім рівнів адекватності (Е0-Е6). Рі­вень Е0 відповідає мінімальній адекватності, рівень Е6 — максимальній. Під час перевірки адекватності системи аналізують увесь її життєвий цикл, починаючи з етапу проектування і закінчуючи експлуатацією і керуванням. Відповідно рівню адекватності зростають і вимоги до ретельності контролю. На рівні Е1 аналізують лише загальну архітектуру системи, адекватність засобів захисту підтверджують функціональним тестуванням. На рівні ЕЗ до аналізу долучають вихідні тексти програм і схеми апаратного забезпечення. Рівень Е6 передбачає формальний опис функцій безпеки, загальної архітектури, а також політики безпеки.

Системі призначають такий рівень безпеки, як у найслабкішого із критично важливих механізмів захисту. В «Європейських критеріях» визначено три рівні безпеки:

• базовий — засоби захисту здатні протистояти окремим випадковим атакам (зловмисник — фізична особа);

• середній — засоби захисту здатні протистояти зловмисникам, що мають обме­жені ресурси і можливості (корпоративний зловмисник);

♦ високий — засоби захисту можуть подолати лише зловмисники з високою ква­ліфікацією, що мають дуже великі можливості та доступ до багатьох ресурсів (наприклад, спецслужби ворожих держав).

Завершуючи огляд основних положень «Європейських критеріїв безпеки ін­формаційних технологій», ще раз зазначимо, що головною заслугою цього доку­мента вважають введення поняття адекватності засобів захисту і визначення окре­мої шкали для критеріїв адекватності [16].

Документ «Європейські критерії безпеки інформаційних технологій», що з'я­вився слідом за TCSEC, суттєво вплинув на стандарти безпеки інформаційних технологій і методику сертифікації комп'ютерних систем.

Важливою новацією «Європейських критеріїв» є використання класів-шаблонів замість єдиної універсальної шкали оцінювання рівня захищеності. В «Єв­ропейських критеріях» висувають додаткові вимоги до безпеки обміну даними в розподілених системах.

«Європейські критерії» визнають можливість наявності недоліків у сертифікованих на деякий клас захищених системах (критерій можливості використання недоліків захисту). Такий підхід свідчить про реалістичний погляд на існуючий стан справ.