Критерії адекватності

"Європейські критерії" приділяють адекватності засобів захисту значно більше уваги, чим функціональним вимогам. Адекватність складається з двох компонентів – ефективності і коректності роботи засобів захисту.

Критерії ефективності

• Відповідність набору засобів захисту проголошеним цілям

• Взаємна погодженість різних засобів і механізмів захисту

• Здатність засобів захисту протистояти атакам

• Можливість практичного використання недоліків архітектури засобів захисту

• Простота використання засобів захисту

• Можливість практичного використання функціональних недоліків засобів захисту

Критерії коректності

• Процес розробки

Специфікація вимог безпеки

Розробка архітектури

Створення робочого проекту

Реалізація

• Середовище розробки

Засобу керування конфігурацією

Використовувані мови програмування і компілятори

Безпека середовища розробки

• Експлуатаційна документація

Керівництво користувача

Керівництво адміністратора

• Середовище розробки

Доставка й установка

Запуск і експлуатація

"Європейські критерії" визначають сім рівнів адекватності – від Е0 до Е6 (у порядку зростання). Рівень Е0 позначає мінімальну адекватність. При перевірці адекватності аналізується весь життєвий цикл системи – від початкової фази проектування до експлуатації і керування. Рівні адекватності від Е1 до Е6 вишикувані по наростанню вимог старанності контролю. Так, на рівні Е1 аналізується лише загальна архітектура системи, а адекватність засобів захисту підтверджується функціональним тестуванням. На рівні Е3 до аналізу залучаються вихідні тексти програм і схеми апаратного забезпечення. На рівні Е6 потрібен формальний опис функцій безпеки, загальної архітектури, а також політики безпеки.

Ступінь безпеки системи визначається самим слабким з критично важливих механізмів захисту. У "Європейських критеріях" визначені три рівні безпеки – базовий, середній і високий. Безпека вважається:

• базовою, якщо засоби захисту здатні протистояти окремим випадковим атакам (зловмисник – фізична особа);

• середньою, якщо засоби захисту здатні протистояти зловмисникам, що володіють обмеженими ресурсами і можливостями (корпоративний зловмисник);

• високою, якщо є впевненість, що засоби захисту можуть бути подолані тільки зловмисником з високою кваліфікацією, набір можливостей і ресурсів якого виходить за рамки можливого (зловмисник – державна спецслужба).

Висновки

"Європейські критерії безпеки інформаційних технологій", що з'явилися слідом за "Жовтогарячою книгою", суттєво вплинули на стандарти безпеки інформаційних технологій і методику сертифікації комп’ютерних систем.

Головне досягнення цього документа – введення поняття адекватності (assurance) засобів захисту і визначення окремої шкали для критеріїв адекватності. Адекватність складається з ефективності та коректності. Ефективність – відповідність між задачами захисту і реалізованим набором функцій (повнота і узгодженість), коректність – правильність і надійність реалізації функцій.

Необхідно відзначити, що "Європейські критерії" тісно зв'язані з "Жовтогарячою книгою", що робить їх не цілком самостійним документом.

У порівнянні з "Жовтогарячою книгою" важливою новацією "Європейських критеріїв" є відмовлення від єдиної універсальної шкали ступеня захищеності, замість якої пропонуються класи-шаблони, що не утворюють єдиної ієрархії.

У "Європейських критеріях" висуваються додаткові вимоги по безпеці обміну даними в розподілених системах.

"Європейські критерії" визнають можливість наявності недоліків у сертифікованих на деякий клас захищених системах (критерій можливості використання недоліків захисту). Такий підхід свідчить про реалістичний погляд на існуючий стан справ.

6.3. Керівні документи Держтехкомісії при Президенті Російської Федерації

• Концепція захисту засобів обчислювальної техніки (ЗОТ, Рос. – СВТ) від несанкціонованого доступу до інформації

• Засоби обчислювальної техніки. Захист від НСД до інформації. Показники захищеності від НСД до інформації

• Автоматизовані системи. Захист від НСД до інформації. Класифікація АС і вимоги по захисту інформації

Класи ЗОТ і АС

• ЗОТ: 7 класів від 7 до 1

• АС: 3 групи, 9 класів

Група 3

АС, у яких працює один користувач, допущений до всієї інформації. Класи 3Б и 3А

Група 2

АС, у яких користувачі мають однакові повноваження доступу до всієї інформації. Класи 2Б и 2А

Група 1

Багатокористувацькі АС, в яких обробляється інформація різних рівнів конфіденційності, користувачі мають різні права доступу. Класи 1Д, 1М, 1В, 1Б, 1А

Висновки

• Подібно «Жовтогарячій книзі», документи орієнтовані на системи військового застосування.

• Поняття «Політика безпеки» трактується винятково як підтримка режиму таємності і відсутність НСД. Засоби захисту орієнтуються винятково на протидію зовнішнім загрозам.

• Відсутні вимоги до захисту від загроз працездатності і до адекватності реалізації політики безпеки. До структури самої системи і до її функціонування вимоги не пред'являються.

• Використовується єдина універсальна шкала ступеня захищеності. Ранжирування вимог по класах максимально спрощене.

6.4. Федеральні критерії безпеки інформаційних технологій США

Цілі розробки

• Визначення універсального і відкритого для подальшого розвитку набору основних вимог безпеки, пропонованих до сучасних інформаційних технологій.

• Удосконалення існуючих вимог і критеріїв безпеки.

• Приведення у відповідність між собою прийнятих у різних країнах вимог і критеріїв безпеки інформаційних технологій.

• Нормативне закріплення основних принципів інформаційної безпеки.

Етапи розробки продукта ІТ

Пояснення термінології

В “Федеральних критеріях”, а також в деяких наступних стандартах застосовується термін “продукт інформаційних технологій” (продукт ІТ, або ІТ-продукт). За значенням цей термін близький до терміну “Комп’ютерна система” (КС) згідно діючого в Україні НД ТЗІ 1.1-003-99, а саме: сукупність програмних і апаратних засобів, що представлена для кваліфікаційного аналізу (експертизи). В керівних документах ДТК Росії використовується термін “Засіб обчислювальної техніки” (Рос. – “Средство вычислительной техники”, СВТ). Слід зазначити, що термін з “Федеральних критеріїв” є більш гнучким.

Розробка й аналіз профілю захисту

Вимоги, викладені в профілі захисту, визначають функціональні можливості продуктів ІТ по забезпеченню безпеки й умови експлуатації, при дотриманні яких гарантується відповідність пропонованим вимогам. Профіль захисту аналізується на повноту, несуперечність і технічну коректність.

Розробка і кваліфікаційний аналіз продуктів ІТ

Розроблені продукти ІТ піддаються незалежному аналізу, мета якого – визначення ступеня відповідності характеристик продукту вимогам профілю захисту.

Компонування і сертифікація системи обробки інформації в цілому

Отримана в результаті система повинна задовольняти заявленим у профілі захисту вимогам.

Структура профілю захисту

Опис

Класифікаційна інформація, необхідна для ідентифікації профілю в спеціальній картотеці.

Обґрунтування

Опис середовища експлуатації, передбачуваних загроз безпеки і методів використання продукта ІТ.

Функціональні вимоги

Реалізація політики безпеки

• Політика аудита

Ідентифікація й автентифікація

Реєстрація в системі

Забезпечення прямої взаємодії з КЗЗ

Реєстрація й облік подій

• Політика керування доступом

Дискреційне керування доступом

Мандатне керування доступом

Контроль прихованих каналів

• Політика забезпечення працездатності

Контроль за розподілом ресурсів

Забезпечення стійкості до відмов

• Керування безпекою

Моніторинг взаємодій

Логічний захист КЗЗ

Фізичний захист КЗЗ

Самоконтроль КЗЗ

Ініціалізація і відновлення КЗЗ

Обмеження привілеїв при роботі з КЗЗ

Простота використання КЗЗ

Вимоги до технології розробки

Процес розробки

• Визначення множини функцій КЗЗ відповідно до функціональних вимог

• Реалізація КЗЗ

Визначення складу функціональних компонентів КЗЗ

Визначення інтерфейсу КЗЗ

Декомпозиція КЗЗ на функціональні модулі

Структуризація КЗЗ на домени безпеки

Мінімізація функцій і структури КЗЗ

• Адекватність реалізації КЗЗ

• Тестування й аналіз КЗЗ

Тестування функцій КЗЗ

Аналіз можливостей порушення безпеки

Аналіз прихованих каналів