7. Основные положения «Оранжевой книги», классы безопасности

Для организации принудительного управления доступом субъектам и объектам используются метки безопасности. Метка субъекта описывает его благонадежность. Метка объекта – степень секретности сокрытой в ней информации.

В оранжевой книге метки безопасности состоят из 2х частей:

- Уровень секретности

Уровни секретности, поддерживаемые системой, образую упорядоченное множество, которое может выглядеть например так: Совершенно секретно, Секретно, Конфиденциально, Не секретно.

- Список категорий

Категории образую неупорядоченный набор. Их назначение – описать предметную область, к которой относятся данные. Механизм категорий позволяет разделить информацию «по отсекам», что способствует лучшей защищенности. Субъект не может получить доступ к «чужим» категориям, даже если имеет высший уровень благонадежности Совершенно секретно.

Главная проблема, которую необходимо решать с метками - обеспечение их целостности:

3. Не достаточно неотмеченных объектов и субъектов

4. При любых операциях с данными метки должны оставаться неизменными

Принцип минимизации привилегий – самое разумное средство защиты.

Г – сопоставление меток объектов и субъектов

Субъект (пользователь) – может читать информацию из объекта. Если уровень секретности субъекта не ниже, чем у объекта, а все категории, перечисленные в метке безопасности объекта присутствуют в метке субъекта. Метка субъекта доминирует над меткой объекта. Субъект может записывать информацию в объект, если метка безопасности субъекта доминирует над меткой объекта. В частности конфиденциальный субъект может писать в секретные, но не может в несекретные.

Данный способ управления доступом является принудительным, так как не зависит от воли субъекта. Г реализовано во многих вариантах ОС и СУБД, отличающихся повышенными мерами безопасности.

Классы безопасности:

D C B A ------>

Уровень D – для систем, признанных неудовлетворительными. В данный момент он пуст.

По мере перехода от C к A уровень надежности возрастает. (К надежности систем предъявляются более высокие требования). Уровни С и В подразделяются на классы (С1, С2….В1, В2) с постепенным увеличением степени надежности.

Коротко классификацию в оранжевой книге определяют:

С – произвольное управление доступом

В – принудительное управление доступом

А – верифицируемая безопасность

8. Общие положения «Общих критериев» (изданных 1 декабря 1999)

Критерии оценки безопасности – общие критерии (ОК) – критерии 1991 года.

ОК являются метостандартом, определяющим инструменты оценки безопасности ИС и порядок их использования.

В отличие от оранжевой книги ОК не содержит предопределенных классов безопасности. Такие классы можно строить исходя из требований безопасности, существующих для конкретной организации.

С программной точки зрения ОК можно считать набором библиотек для написания “содержательных программ” (типовые профили защиты и так далее). Как и оранжевая книга ОК содержит 2 основных требования безопасности:

- функциональное (активный аспект защиты) предъявляемый к функциям безопасности и реализующим их механизмам

- требования доверия (пассивный аспект) предъявляемой к процессу разработки и к процессу эксплуатации

Безопасность в общих критериях рассматривается не статично, а с точки зрения жизни ИС.

Этапы жизненного цикла:

1. Определение назначения узлов применения, целей и требований безопасности

2. Проектирование и разработка

3. Испытание, оценка, сертификация.

4. Внедрение, эксплуатация

В ОК объект оценки рассматривается в контексте среды безопасности, характеризующийся определенными условиями и угрозами.

Угрозы характеризуются:

- источник угрозы

- метод воздействия

- уязвимые места

- ресурсы (активы), которые могут пострадать.

Уязвимые места могут возникнуть из-за недостатков требований к безопасности, проектировании, эксплуатации

Следующие места по возможности надо устранить, минимизированть ущерб от из преднамеренного использования и случайной активации.

В ОК введена иерархия:

Класс – семейство – компонент – элемент.

Классы определяют наиболее “общую” предметную группировку требований.

Семейство в пределах класса различаются по строгости и другим нюансам.

Компонент – минимальный набор требований, фигурирующий как целое.

Элемент – неделимое требование.

В ОК могут формироваться 2 типа норм документов:

1. Профиль защиты

Типовой набор требований, которым должны удовлетворять продукты / системы определенного класса.

Включает в себя:

А) функциональный пакет (неоднократно используемая совокупность компонентов, объединенных для достижения определенных целей безопасности).

Базовый профиль защиты должен включать требование к основным (обязательным в любом случае) возможностям. Производные профили получают из базового путем добавления необходимых пакетов расширения.

Б) Функциональные требования – сгруппированные на основе выполняемой ими роли или обслуживаемой цели безопасности.

Всего в ОК 11 функциональных классов, 66 семейств, 135 компонентов.

Классы:

1. Аутентификация, идентификация

2. Защита функций безопасности, управление безопасностью

3. Защита данных пользователя

4. Аудит безопасности (выявление, регистрация, хранение и анализ данных, затрагивающих безопасность объекта оценки)

5. Реагирующие на возможные нарушения безопасности

6. Доступ к объекту оценки

7. Приватность (защита пользователя от раскрытия и несанкционированного использования его идентификационных данных)

Содержит 4 семейства функциональных требований:

А. Анонимность

Б. Псевдонимность

В. Невозможность ассоциации

Г. Скрытность

8. Использование ресурсов (требование к доступности информации)

9. Криптографическая поддержка (управление ключами)

10. Связь (Аутентификация сторон, участвующих в обмене данными)

11. Доверенный маршрут / канал (для связи с сервисами безопасности)

2. Задание по безопасности

Совокупность требований к конкретной разработке, выполнение которых обеспечивает достижение поставленных целей безопасности.

Требования доверию безопасности

Установление доверия безопасности описываются на активном исследовании объекта оценки. И каждый элемент требований доверия принадлежит к одному из трех типов:

- действия разработчиков

- представление и содержание свидетельств

- действия оценщиков

Всего в ОК 10 классов, 44 семейства, 93 компонента требований доверия.

Классы:

А. Разработка (требования для поэтапной детализации функций безопасности от краткой спецификации до реализации)

Б. Поддержка жизненного цикла (требования к модели жиз? включая порядок устранения недостатков и защиту среды разработки)

В. Тестирование

Г. Оценки уязвимости (включает оценку стойкости функций безопасности)

Д. Поставка и эксплуатация

Е. Управление конфигурацией

Ж. Руководства (требования к эксплуатируемой документации)

З. Поддержка доверия (для поддержки этапов жиз? После сертификации)

И. Оценка профиля защиты

К. Оценки задания по безопасности

Применительно к требованиям доверия (в отличие от функциональных требований) введены оценочные уровни доверия (7), содержащие осм? Комбинации компонентов.