Информационная безопасность

     Общая оценка системы складывается из минимальной  мощности механизмов безопасности и уровня гарантированности корректности. Теоретически эти два аспекта независимы, хотя на практике нет смысла проверять правильность реализации "по высшему разряду", если механизмы безопасности не обладают даже средней мощностью.

4.3.Функциональность.

     В "Европейских Критериях" средства, имеющие отношение к информационной безопасности, рассматриваются на трех уровнях детализации. Наиболее абстрактный  уровень соответствует общему взгляду  только на цели безопасности. На этом уровне дается ответ на вопрос, зачем нужны функции безопасности. Второй уровень содержит спецификации функций безопасности, из которых можно узнать, какая функциональность на самом деле обеспечивается. Наконец, на третьем уровне содержится информация о механизмах безопасности и где уже видно, как реализуется декларированная функциональность.

     Спецификации  функций безопасности - важнейшая  часть описания объекта оценки. "Критерии" рекомендуют выделить в этих спецификациях  разделы со следующими заголовками:

• Идентификация и аутентификация.
• Управление доступом.
• Подотчетность.
• Аудит.
• Повторное использование объектов.
• Точность информации.
• Надежность обслуживания.
• Обмен данными.

     Большинство из перечисленных тем были рассмотрены  при анализе "Оранжевой книги". Сейчас остановимся лишь на моментах, специфичных для "Европейских Критериев".

     Под идентификацией и аутентификацией понимается не только проверка подлинности пользователей в узком смысле, но и функции для регистрации новых пользователей и удаления старых, а также функции для генерации, изменения и проверки аутентификационной информации, в том числе средства контроля целостности. Сюда же относятся функции для ограничения числа повторных попыток аутентификации.

     Средства  управления доступом также трактуются Европейскими Критериями достаточно широко. В этот раздел помимо прочих попадают функции, обеспечивающие временное ограничение доступа к совместно используемым объектам с целью поддержания целостности этих объектов - мера, типичная для систем управления базами данных. В этом же разделе имеются функции для управления распространением прав доступа и для контроля за получением информации путем логического вывода и агрегирования данных, что также типично для СУБД.

     Под точностью в "Критериях" понимается поддержание определенного соответствия между различными частями данных (точность связей) и обеспечение неизменности данных при передаче между процессами (точность коммуникаций). Точность выступает как один из аспектов целостности информации.

     Функции надежности обслуживания должны гарантировать, что действия, критичные по времени, будут выполнены ровно тогда, когда нужно - не раньше и не позже, и что некритичные действия нельзя перевести в разряд критичных. Далее, должна быть гарантия, что авторизованные пользователи за разумное время получат запрашиваемые ресурсы. Сюда же относятся функции обнаружения и нейтрализации ошибок, необходимые для минимизации простоев, а также функции планирования, позволяющие гарантировать время реакции на внешние события.

     К области обмена данными относятся функции, обеспечивающие коммуникационную безопасность данных, передаваемых по каналам связи. Здесь "Европейские Критерии" следуют в фарватере рекомендаций Х.800, предлагая следующие подзаголовки:

• Аутентификация.
• Управление доступом.
• Конфиденциальность данных.
• Целостность данных.
• Невозможность отказаться от совершенных действий.

     Набор функций безопасности может специфицироваться  с использованием ссылок на заранее  определенные классы функциональности. В "Европейских Критериях" таких  классов десять - пять из них (F-C1, F-C2, F-B1, F-B2, F-B3) соответствуют классам безопасности "Оранжевой книги".

     Класс F-IN предназначается для объектов оценки с высокими потребностями по обеспечению целостности данных и программ, что типично для СУБД. При описании класса F-IN вводится понятие роли и выдвигается требование по предоставлению доступа к определенным объектам только с помощью предопределенных процессов. Должны различаться следующие виды доступа: чтение, запись, добавление, удаление, переименование (для всех объектов), выполнение, удаление, переименование (для выполняемых объектов), создание и удаление объектов.

     Класс F-AV характеризуется повышенными требованиями к доступности. Это существенно, например, для систем управления технологическими процессами. В разделе "Надежность обслуживания" описание этого класса специфицируется следующим образом: объект оценки должен восстанавливаться после отказа отдельного аппаратного компонента таким образом, чтобы все критически важные функции оставались постоянно доступными. То же должно быть верно для вставки отремонтированного компонента, причем после этого объект оценки возвращается в состояние, устойчивое к одиночным отказам. Независимо от уровня загрузки должно гарантироваться время реакции на определенные события и отсутствие тупиков.

     Класс F-DI характеризуется повышенными требованиями к целостности передаваемых данных. Перед началом общения стороны должны быть в состоянии проверить подлинность друг друга. При получении данных необходима возможность проверки подлинности источника. При обмене данными должны предоставляться средства контроля ошибок и их исправления. В частности, должны обнаруживаться все повреждения или намеренные искажения адресной и пользовательской информации. Знание алгоритма обнаружения искажений должно исключать возможность производить нелегальную модификацию. Попытки воспроизведения ранее переданных сообщений должны обнаруживаться и трактоваться как ошибки.

     Класс F-DC характеризуется повышенными требованиями к конфиденциальности передаваемой информации. Перед поступлением данных в каналы связи должно автоматически выполняться шифрование с использованием сертифицированных средств. На приемном конце также автоматически производится расшифровка, ключи которой должны быть защищены от несанкционированного доступа.

     Класс F-DX характеризуется повышенными требованиями и к целостности, и к конфиденциальности информации. Его можно рассматривать как объединение классов F-DI и F-DC с дополнительными возможностями шифрования, действующими из конца в конец, и с защитой от анализа трафика по определенным каналам. Должен быть ограничен доступ к ранее переданной информации, которая в принципе может способствовать нелегальной расшифровке.

4.4.Гарантированность эффективности.

     Для получения гарантий эффективности  средств безопасности рассматриваются  следующие вопросы:

• Соответствие набора функций безопасности провозглашенным целям, то есть их пригодность для противодействия угрозам, перечисленным в описании объекта оценки;
• Взаимная согласованность различных функций и механизмов безопасности;
• Способность механизмов безопасности противостоять прямым атакам;
• Возможность практического использования слабостей в архитектуре объекта оценки, то есть наличие способов отключения, обхода, повреждения и обмана функций безопасности;
• Возможность небезопасного конфигурирования или использования объекта оценки при условии, что администраторы и/или пользователи имеют основание считать ситуацию безопасной;
• Возможность практического использования слабостей в функционировании объекта оценки.

     Важнейшей частью проверки эффективности является анализ слабых мест в защите объекта оценки. Цель анализа - найти все возможности отключения, обхода, повреждения, обмана средств защиты. Оценивается также способность всех критически важных защитных механизмов противостоять прямым атакам - мощность механизмов. Защищенность системы или продукта не может быть выше мощности самого слабого из критически важных механизмов, поэтому в "Критериях" имеется в виду минимальная гарантированная мощность. Для нее определены три уровня: базовый, средний и высокий. Мощность можно считать базовой, если механизм способен противостоять отдельным случайным атакам. Мощность можно считать средней, если механизм способен противостоять злоумышленникам с ограниченными ресурсами и возможностями. Наконец, мощность можно считать высокой, если есть уверенность, что механизм может быть побежден только злоумышленником с высокой квалификацией, набор возможностей и ресурсов которого выходит за пределы обыденной практичности.

     Важной  характеристикой является простота использования продукта или системы. Должны существовать средства, информирующие персонал о переходе объекта в небезопасное состояние (что может случиться в результате сбоя, ошибок администратора или пользователя). Ситуации, когда в процессе функционирования объекта оценки появляются слабости, допускающие практическое использование, в то время как администратор об этом не знает, должны быть исключены. Эффективность защиты признается неудовлетворительной, если выявляются такие слабые места, и они не исправляются до окончания процесса оценки. В таком случае объекту присваивается уровень гарантированности Е0.

     Обратим внимание на то, что анализ слабых мест производится в контексте целей, декларируемых для объекта оценки. Например, можно примириться с  наличием тайных каналов передачи информации, если отсутствуют требования к конфиденциальности. Далее, слабость конкретного защитного механизма может не иметь значения, если она компенсируется другими средствами обеспечения безопасности, то есть если механизм не является критически важным.

4.5.Гарантированность корректности.

     При проверке корректности объекта оценки применяются две группы критериев. Первая группа относится к конструированию  и разработке системы или продукта, вторая - к эксплуатации. Оцениваются  следующие аспекты:

• Процесс разработки: требования к объекту оценки; общая архитектура; детализированная архитектура; реализация.
• Среда разработки: средства конфигурационного управления; используемые языки программирования и компиляторы; безопасность среды разработки (ее физическая защищенность, методы подбора персонала и т.п.).
• Эксплуатационная документация: руководство пользователя; руководство администратора.
• Операционное окружение: доставка и конфигурирование системы или продукта; запуск и эксплуатация.

     Уровни  корректности от E1 до Е6 выстроены по нарастанию требований к тщательности оценки. Так, на уровне E1 анализируется лишь общая архитектура объекта - вся остальная уверенность может быть следствием функционального тестирования. На уровне ЕЗ к анализу привлекаются исходные тексты программ и схемы аппаратуры. На уровне Е6 требуется формальное описание функций безопасности, общей архитектуры, а также модели политики безопасности. В общем случае распределение требований по уровням гарантированности в "Европейских Критериях" соответствует аналогичному распределению для классов безопасности С1-А1 из "Оранжевой книги". 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 

5.Критерии оценки доверенных компьютерных систем для сетевых конфигураций.

5.1.Основные  понятия.

     В 1987 году Национальным центром компьютерной безопасности США была опубликована интерпретация “Оранжевой книги” для сетевых конфигураций. Данный документ состоит из двух частей. Первая содержит собственно интерпретацию, во второй рассматриваются сервисы безопасности, специфичные или особенно важные для сетевых конфигураций.

     В первой части вводится минимум новых  понятий. Важнейшее из них - сетевая  доверенная вычислительная база, распределенный аналог доверенной вычислительной базы изолированных систем. Сетевая доверенная вычислительная база формируется из всех частей всех компонентов сети, обеспечивающих информационную безопасность. 
Доверенная сетевая система должна обеспечивать такое распределение защитных механизмов, чтобы общая политика безопасности реализовывалась, несмотря на уязвимость коммуникационных путей и на параллельную, асинхронную работу компонентов.

     Прямой  зависимости между вычислительными  базами компонентов, рассматриваемых  как изолированные системы, и  фрагментами сетевой вычислительной базы не существует. Более того, нет  прямой зависимости и между уровнями безопасности отдельных компонентов и уровнем безопасности всей сетевой конфигурации. Например, в результате объединения двух систем класса B1, обладающих несовместимыми правилами кодирования меток безопасности, получается сеть, не удовлетворяющая требованию целостности меток. В качестве противоположного примера рассмотрим объединение двух компонентов, один из которых сам не обеспечивает протоколирование действий пользователя, но передает необходимую информацию другому компоненту, который и ведет протокол. В таком случае распределенная система в целом, несмотря на слабость компонента, удовлетворяет требованию подотчетности.