18.3Требования к безопасности ис в сша

Вопросами стандартизации и разработки нормативных требований на защиту информации в США занимается Национальный центр компьютерной безопасности министерства обороны США. (NCSC — National Computer Security Center).

Этот центр в 1983 году издал Критерии оценки безопасности компьютерных систем (TCSEC — Trasted Computer System Evaluation Criteria). Этот документ часто называют Оранжевой Книгой. Утвержденная в 1985 г. в качестве правительственного стандарта, Оранжевая Книга содержит основные требования и специфицирует классы для оценки уровня безопасности компьютерных систем. Используя эти критерии, NCSC тестирует эффективность механизмов контроля безопасности. Следует подчеркнуть, что критерии делают безопасность величиной, допускающей ее измерение, и позволяют оценить уровень безопасности той или иной системы. Подобная возможность эмпирического анализа степени безопасности систем привела к международному признанию федерального стандарта США. NCSC считает безопасной систему, которая «посредством специальных механизмов защиты контролирует доступ к информации таким образом, что только имеющие соответствующие полномочия лица или процессы, выполняющиеся от их имени, могут получить доступ на чтение, запись, создание или удаление информации».

В Оранжевой книге приводятся следующие уровни безопасности систем:

— высший класс — обозначается как А;

— промежуточный класс — обозначается как В;

— низший уровень безопасности — как С;

— класс систем не прошедших испытания — как D. Рассмотрим содержание требований к обеспечению безопасности в порядке их возрастания.

Класс D присваивается тем системам, которые не прошли испытания на более высокий уровень защищенности, а также системам, использующим для защиты лишь отдельные мероприятия или функции (подсистемы) безопасности

Класс С1: избирательная защита. Средства безопасности систем класса С1 должны удовлетворять требованиям избирательного управления доступом, обеспечивая разделения пользователей и данных. Для каждого объекта и субъекта задается перечень допустимых типов доступа (чтение, запись, печать и г. д.) субъекта к объекту.

В системах этого класса обязательна идентификация и аутентификация субъекта доступа, а также поддержка со стороны оборудования.

Класс С2: управляемый доступ. К требованиям класса С1 добавляются требования уникальной идентификации субъекта доступа, защиты по умолчанию и регистрации событий. Уникальная идентификация означает, что любой пользователь системы должен иметь уникальное имя.

Защита по умолчанию предполагает назначение полномочий доступа пользователям по принципу «все что не разрешено, то запрещено». То есть все те ресурсы, которые явно не разрешены пользователю, полагаются недоступными.

В системах этого класса обязательно ведение системного журнала, в котором должны отмечаться события, связанные с безопасностью системы. Сам журнал должен быть защищен от доступа любых пользователей, за исключением сотрудников безопасности.

В системах класса В должен быть полностью контролируемый доступ. Каждый субъект и объект системы снабжается метками (или уровнями) конфиденциальности и решение на доступ субъекта к объекту принимается по определенному правилу на основе сопоставления информации обеих меток.

Класс В1: меточная защита. Метки безопасности должны быть присвоены всем субъектам и объектам системы, которые могут содержать конфиденциальную информацию. Доступ к объектам разрешается, если метка субъекта удовлетворяет определенному критерию относительно метки объекта

Класс В2: структурированная защита. В этом классе дополнительно к требованиям класса В1 добавляется требование наличия хорошо определенной и документированной формальной модели политики безопасности, требующей действия избирательного и полномочного управления доступом ко всем объектам системы. Вводится требование управления информационными потоками в соответствии с политикой безопасности.

Класс ВЗ: области безопасности. В системах этого класса определяются области безопасности, которые строятся по иерархической структуре и защищены друг от друга с помощью специальных механизмов. Все взаимодействия субъектов с объектами строго контролируются специальным монитором. Система контроля оповещает администратора безопасности и пользователя о нарушении безопасности.

Класс А1: верификация. Системы этого класса отличаются от класса ВЗ тем, что для проверки спецификаций применяются методы формальной верификации — анализа спецификаций системы на предмет неполноты или противоречивости.

Анализ классов защищенности показывает, что чем он выше, тем более жесткие требования предъявляются к системе. Это выражается не только в расширенном тестировании возможностей системы и представлении расширенной документации, но и в использовании формальных методов проверки правильности спецификаций.