Лекция 8. Стандарты защищенности ОС

Ключевое понятие концепции Федеральных критериев - профиль защиты - нормативный документ, который регламентирует все аспекты безопасности продукта информационных технологий в виде требований к его проектированию, технологии разработки и квалификационному анализу.

Основное внимание уделяется требованиям к составу средств защиты и качеству их реализации, а также адекватности предполагаемым угрозам безопасности. Профиль защиты состоит из следующих пяти разделов: описание, обоснование, функциональные требования, требования к технологии разработки, требования к процессу квалификационного анализа. Описание профиля содержит классификационную информацию, необходимую для его идентификации в специальной картотеке. Федеральные критерии предлагают поддерживать такую картотеку на общегосударственном уровне, что позволит любой организации воспользоваться созданными ранее профилями защиты непосредственно или использовать их в качестве прототипов для разработки новых. Обоснование содержит описание среды эксплуатации, предполагаемых угроз безопасности и методов использования продукта. Этот раздел ориентирован на службы безопасности организаций, которые принимают решение о возможности использования данного продукта. Раздел функциональных требований содержит описание возможностей средств защиты и определяет условия, в которых обеспечивается безопасность в виде перечня угроз, которым данные средства защиты успешно противостоят. Раздел требований к технологии разработки продукта охватывает все этапы его создания и содержит требования не только к процессу разработки, но и к условиям, в которых она проводится, к используемым технологическим средствам, а также к документированию.

Раздел требований к процессу квалификационного анализа регламентирует порядок его проведения в виде методики исследований и тестирования продукта. Федеральные критерии не содержат единой шкалы классов безопасности. Разработчики могут выбирать набор требований для каждого конкретного продукта информационных технологий с учетом среды его эксплуатации.

Стандарты защищенности ОС

Для оценки защищенности ОС существуют стандарты для компьютерных систем вообще.

1. В 1992 году Государственная техническая комиссия при президенте РФ опубликовала документы, посвященные защите информационных систем «Средства вычислительной техники. Защита от несанкционированного доступа. Показатели защищенности от несанкционированного доступа к информации».
2. В данном документе рассматриваются требования к обеспечению защищенности программно-аппаратных компонентов компьютерных систем и средств вычислительной техники (аппаратных средств и совокупности программных и технических элементов систем обработки данных, способных функционировать самостоятельно или в составе других систем).
3. Установлено семь классов защищенности средств вычислительной техники, седьмой самый низший.
4. Документ «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация Автоматизированных систем и требования по защите информации».
5. В данном документе все автоматизированные системы делятся на три группы, в каждой из которых вводится своя иерархия классов защиты.
6. I группа – Многопользовательские системы, в которых пользователи имеют различные полномочия доступа к информации.
7. II группа – Многопользовательские системы, в которых пользователи имеют одинаковые полномочия доступа к информации.
8. III группа – однопользовательские системы, в которых два или более пользователя не могут работать одновременно, то есть пользователь может войти в систему не раньше, чем предыдущий пользователь завершит работу с ней.
9. Самым известным документом – стандартом безопасности компьютерных систем является «Критерии безопасности компьютерных систем», выпущенный в 1983 году, носит название «Оранжевая книга». Он описывает семь классов защищенности компьютерных систем.

Классы безопасности компьютерных систем

Orange Book Критерии оценки достоверных компьютерных систем (Trusted Computer Systems Evaluation Criteria).

Это руководящие документы Гостехкомиссии.

Критерии оценки безопасности информационных технологий (ITSEC Information Technology Security Evaluation Criteria), действующие в странах Западной Европы.

Новый международный стандарт ISO/IEC 15408 Единые критерии оценки безопасности в области ИТ чаще всего называют просто Common Criteria ( Единые критерии ).

Класс D.

Минимальный уровень безопасности. В этот класс попадают системы, которые были заявлены на сертификацию, но ее не прошли.

Класс С1.

Избирательная защита доступа. Среда класса С1 предназначена для пользователей, обрабатывающих данные одного уровня секретности. Предусматривает наличие достоверной вычислительной базы (TCB), выполнение требований к избирательной безопасности. Обеспечивается отделение пользователей от данных (меры по предотвращению считывания или разрушения данных, возможность защиты приватных данных). В настоящее время по этому классу сертификация не предусмотрена.

Класс С1.

Защита, удовлетворяющая требованиям избирательной политики управления доступом, которая заключается в том, что для каждого объекта и субъекта в системе явно и недвусмысленно задается перечень допустимых типов доступа.

Политика обеспечения безопасности - дискреционная. Идентификация и аутентификация: ТСВ (Trusted Computing Base - совокупность аппаратных и программных механизмов защиты, которые отвечают за поддержку политики безопасности) должна требовать, чтобы пользователи идентифицировали себя перед началом каких-либо действий, в которых ТСВ предполагает быть посредником. ТСВ обязательно использует один из механизмов аутентификации (например, пароли) для проверки подлинности идентификации пользователей.

Архитектура системы. ТСВ должна содержать домен, который обеспечивает ее собственную работу и защиту от внешних воздействий.

Целостность системы обеспечивается периодическими проверками на правильность и корректность функционирования аппаратных и микропрограммных элементов ТСВ.

Тестирование функций безопасности. Механизм защиты должен соответствовать описанию, содержащемуся в документах:

– руководство пользователя;
– руководство администратора системы на средства защиты;
– документация по тестам (разработчики системы должны предусмотреть документ, в котором дается описание плана и процедур тестирования);
– документация по проекту - описание основополагающих принципов защиты и их реализации в системе.

Класс C2.

Управляемая защита доступа. Системы данного класса способны осуществлять более четко выделенный контроль в плане избирательной защиты доступа. Действия пользователя связываются с процедурами идентификации/аутентификации. Наделение и лишение пользователей привилегий доступа. Кроме этого, ведется аудит событий, критичных с точки зрения безопасности, выполняется изоляция ресурсов.

Класс С2.

Защита, основанная на управляемом доступе. К требованиям класса С1 добавляются требования уникальной идентификации субъекта доступа (любой пользователь должен иметь уникальное имя), защиты по умолчанию ("запрещено все, что не разрешено") и регистрации событий. В системах этого класса обязательно ведение системного журнала, где отмечаются события, связанные с безопасностью системы. Данные журнала должны быть защищены от доступа любых пользователей, за исключением администратора системы.

Класс B1.

Класс В. Помимо вышеприведенных требований, системы класса В характеризуются полномочной моделью управления доступом, когда каждый субъект и объект системы снабжается метками конфиденциальности и решение на доступ принимается на основе сопоставления обеих меток.

Маркированное обеспечение безопасности. В дополнение к требованиям класса C2 необходимо неформальное описание модели политики безопасности, маркировки данных, а также принудительного управления доступом к поименованным субъектам и объектам.

Класс В1.

Меточная защита. Метки безопасности должны быть присвоены всем субъектам и объектам системы, которые могут содержать или получать конфиденциальную информацию. При этом должно контролироваться соответствие меток на данных, экспортируемых из системы с устройствами, на которые осуществляется вывод. Метка безопасности на вводимые данные запрашивается у пользователя.

Класс B2.

Структурированная защита. В этом классе систем TCB должна опираться на четко определенную и документированную формальную модель политики безопасности. Действие избирательного и принудительного управления доступом распространяется на все субъекты и объекты в системе. Выявляются тайные каналы. TCB должна четко декомпозироваться на элементы, критичные и некритичные с точки зрения безопасности. Усиливаются механизмы аутентификации. Обеспечивается управление механизмами достоверности в виде поддержки функций системного администратора и оператора. Подразумевается наличие механизмов строгого управления конфигурацией.

Класс В2.

Структурированная защита. Дополнительно предъявляется требование наличия хорошо определенной и документированной формальной модели "политики безопасности". Помимо этого, требуется анализ возможности побочных каналов утечки информации. Система должна быть четко разделена на критичные и некритичные к защите элементы. Дополнительные требования предъявляются к защите механизмов аутентификации. Интерфейс с ТСВ должен быть хорошо документирован.

Класс B3.

Домены безопасности. TCB должна удовлетворять требованиям эталонного механизма мониторинга, который контролирует абсолютно весь доступ субъектов к объектам и при этом быть достаточно компактным, чтобы его можно было проанализировать и оттестировать. Требуется наличие администратора по безопасности. Механизмы аудита расширяются до возможностей оповещения о событиях, критичных по отношению к безопасности. Требуются процедуры восстановления системы. Система крайне устойчива к вторжению.

Класс ВЗ.

Домены безопасности. В системах этого класса в оборудовании должна быть реализована концепция монитора обращений, который должен:
– контролировать все взаимодействия субъектов с объектами;
– быть гарантированно защищен от несанкционированных изменений, порчи и подделки;
– быть простым для анализа и тестирования на предмет правильности выполнения обработки обращений (полнота тестов должна быть доказана).

Из системы защиты должен быть исключен код, который не требуется для обеспечения поддержки политики безопасности. Механизмы регистрации событий безопасности должны сразу же оповещать администратора и пользователей о нарушениях. Обязательным также является наличие процедур, обеспечивающих восстановление работоспособности системы.

Класс A1.

Верифицированное проектирование. Данный класс систем функционально эквивалентен классу B3 в том смысле, что не требуется добавления дополнительных архитектурных особенностей или предъявления иных требований к политике безопасности. Существенное отличие состоит в требовании наличия формальной спецификации проектирования и соответствующих методов верификации. В данном классе не зарегистрировано ни одной ОС.

Взято из Журнала "Открытые системы", #07-08, 2002 год

В США имеется документ, в котором изложен порядок выбора класса защиты и режима безопасности функционирования системы. Американцы различают 5 таких режимов.

а) Система постоянно обрабатывает ценную информацию одного класса в окружении, которое обеспечивает безопасность работы с этим классом. Все пользователи имеют один класс и могут получить доступ к любой информации.

б) Отличается от предыдущего тем, что обрабатывается информация высших грифов секретности.

в) Многоуровневый режим, позволяющий обработку информации двух и более уровней секретности. Причем, не все пользователи имеют допуск ко всем уровням информации.

г) Контролирующий режим. Это многоуровневый режим обработки информации, при котором нет полной гарантии защищенности ТСВ. (Это накладывает ограничения на допустимые классы ценной информации, обрабатываемой в системе).

д) Режим изолированной обработки информации различных классов. Возможен вариант, когда безопасно обрабатывается информация одного уровня, а остальная не защищена вовсе.

Разработанные Национальным институтом стандартов и технологий США и Агентством национальной безопасности США Федеральные критерии безопасности информационных технологий содержат положения, относящиеся только к отдельным продуктам информационных технологий (совокупность аппаратных и/или программных средств, которая представляет собой готовое к использованию средство обработки информации, поставляемое конечному потребителю).

Ключевое понятие концепции Федеральных критериев - профиль защиты - нормативный документ, который регламентирует все аспекты безопасности продукта информационных технологий в виде требований к его проектированию, технологии разработки и квалификационному анализу.

Основное внимание уделяется требованиям к составу средств защиты и качеству их реализации, а также адекватности предполагаемым угрозам безопасности. Профиль защиты состоит из следующих пяти разделов: описание, обоснование, функциональные требования, требования к технологии разработки, требования к процессу квалификационного анализа.

Описание профиля содержит классификационную информацию, необходимую для его идентификации в специальной картотеке. Федеральные критерии предлагают поддерживать такую картотеку на общегосударственном уровне, что позволит любой организации воспользоваться созданными ранее профилями защиты непосредственно или использовать их в качестве прототипов для разработки новых.

Обоснование содержит описание среды эксплуатации, предполагаемых угроз безопасности и методов использования продукта. Этот раздел ориентирован на службы безопасности организаций, которые принимают решение о возможности использования данного продукта.

Раздел функциональных требований содержит описание возможностей средств защиты и определяет условия, в которых обеспечивается безопасность в виде перечня угроз, которым данные средства защиты успешно противостоят.

Раздел требований к технологии разработки продукта охватывает все этапы его создания и содержит требования не только к процессу разработки, но и к условиям, в которых она проводится, к используемым технологическим средствам, а также к документированию.

Раздел требований к процессу квалификационного анализа регламентирует порядок его проведения в виде методики исследований и тестирования продукта.

Федеральные критерии не содержат единой шкалы классов безопасности. Разработчики могут выбирать набор требований для каждого конкретного продукта информационных технологий с учетом среды его эксплуатации.

ЗАЩИТА ИНФОРМАЦИИ. КРИТЕРИИ, СПОСОБЫ, ГАРАНТИИ
Обзор мировой практики

"ОРАНЖЕВАЯ КНИГА" США

С 1983 по 1988 год Министерство обороны США (Departament of Defence, DOD) и Национальный комитет компьютерной безопасности (National Committee of Computer Security, NСSC) разработали систему стандартов в области компьютерной безопасности, которая включает более десяти документов. Этот список возглавляют "Критерии оценки безопасности компьютерных систем", больше известные как "Оранжевая книга".

В 1995 году Национальный центр компьютерной безопасности США опубликовал "Пояснения к критериям безопасности компьютерных систем", объединившие все имеющиеся на тот момент дополнения и разъяснения к "Оранжевой книге".

Во всех документах, связанных с "Оранжевой книгой", понятие "обеспечение безопасности информации" определяется следующей аксиомой: "Электронная система обработки данных (ЭСОД) называется безопасной, если она обеспечивает контроль за доступом к информации так, что только надлежащим образом уполномоченные лица или процессы, которые функционируют от их имени, имеют право читать, писать, создавать или уничтожать информацию".

Из этой аксиомы вытекает шесть фундаментальных требований к защищенным ЭСОД.

Политика безопасности - набор правил, используемых системой для того, чтобы определить, можно ли разрешить указанному субъекту доступ к конкретному объекту.

Маркировка - возможность маркировать каждый объект меткой, которая надежно идентифицирует степень его ценности (например, секретности) и/или режимы допуска к нему.

Идентификация - в процессе каждого доступа к информации должно быть установлено: кто запрашивает информацию и на какие ее классы распространяется его статус.

Подотчетность - система должна регистрировать появление событий, имеющих отношение к ее безопасности, в аудиторском файле, надежно защищенном от модификации и несанкционированного уничтожения.

Гарантии - корректно определенный и объединенный в единое целое набор программных и аппаратных средств управления, реализующий рассмотренные выше четыре требования (политика, маркировка, идентификация и аудит). Эти механизмы должны быть соответствующим образом документированы, чтобы можно было провести независимый анализ их работы.

Постоянная защита - механизмы, реализующие указанные базовые требования от "взламывания" и/или несанкционированного внесения изменений. Класс защищенности присваивается системе при прохождении ею сертификации по самому "слабому" показателю.

ОТЕЧЕСТВЕННЫЕ СТАНДАРТЫ

У нас руководящие документы в области защиты информации, аналогичные "Оранжевой книге", подготовлены Гостехкомиссией России при Президенте РФ и приняты в 1992 г. Они обязательны для государственного сектора, а также коммерческих организаций, если в них обрабатывается информация, содержащая государственную тайну.

Для остальных документы носят рекомендательно-консультативный характер.

Руководящие документы Гостехкомиссии России включают:

1) Концепцию защиты средств вычислительной техники и автоматизированных систем от несанкционированного доступа (НСД) к информации: определение НСД, основные способы его осуществления, модель нарушителя, главные направления и принципы защиты информации от НСД.

2) Термины и определения в области защиты от НСД к информации.

3) Показатели защищенности СВТ от НСД к информации: классификация СВТ по уровню защищенности от НСД к информации на базе перечня показателей защищенности и совокупности описывающих их требований.

4) Классификацию автоматизированных систем и требования по защите информации в автоматизированных системах (АС) различных классов.

5) Временное положение о государственном лицензировании деятельности в области защиты информации: основные принципы, организационная структура системы лицензирования деятельности предприятий, оказывающих услуги в области защиты информации, а также правила осуществления лицензирования и надзора за их деятельностью.

"Концепция защиты СВТ и АС от НСД к информации" предусматривает два относительно самостоятельных направления в области защиты информации: одно связано с СВТ, а другое - с АС.

Отличие между ними порождено тем, что СВТ поставляются на рынок как элементы и, не решая прикладных задач, не содержат пользовательской информации. Помимо пользовательской информации при создании АС появляются такие отсутствующие при разработке СВТ характеристики, как полномочия пользователей, модель нарушителя, технология обработки информации.

В связи с этим, если понятия защищенность (защита) информации от НСД в АС и защищенность (защита) АС от НСД к информации эквивалентны, то в случае СВТ можно говорить лишь о защищенности (защите) СВТ от НСД к информации, для обработки, хранения и передачи которой СВТ предназначено.

Документ "Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности" вводит семь классов защищенности. Самый низкий - седьмой, самый высокий - первый. Требования к показателям защищенности предъявляются к общесистемным программным средствам и операционным системам. В зависимости от реализованных моделей защиты и надежности их проверки классы подразделяются на четыре группы.

Первая группа включает только один седьмой класс (минимальная защищенность).

Вторая группа характеризуется избирательной защитой и включает шестой и пятый классы. Избирательная защита предусматривает контроль доступа поименованных субъектов к поименованным объектам системы. При этом для каждой пары “субъект-объект” должны быть определены разрешенные типы доступа.

Третья группа характеризуется полномочной защитой и включает четвертый, третий и второй классы. Полномочная защита предусматривает присвоение каждому субъекту и объекту системы классификационных меток, указывающих их место в иерархии. Обязательное требование для входящих в эту группу классов - реализация диспетчера доступа (reference monitor). Контроль доступа должен осуществляться применительно ко всем объектам. Решение о санкционированности запроса на доступ должно приниматься только при одновременном разрешении его и избирательными и полномочными правилами разграничения доступа.

Четвертый класс характеризуется верифицированной защитой и содержит только первый класс. Для присвоения класса защищенности система должна содержать руководство администратора по системе, руководство пользователя, тестовую и конструкторскую (проектную) документацию.

Документ "Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации" определяет девять классов защищенности автоматизированных систем от НСД к информации.

Выбор класса производится заказчиком и разработчиком с привлечением специалистов по защите информации. К числу определяющих признаков относятся:

– наличие в системе информации различного уровня конфиденциальности;

– уровень полномочий субъектов на доступ к конфиденциальной информации;

– режим обработки данных в системе - коллективный или индивидуальный.

Классы подразделяются на три группы, отличающиеся особенностями обработки информации в системе. В пределах каждой группы соблюдается иерархия требований к защите в зависимости от ценности (конфиденциальности) информации и, следовательно, иерархия классов защищенности АС.

Третья группа классифицирует системы, в которых работает один пользователь, допущенный ко всей информации системы, размещенной на носителях одного уровня конфиденциальности. Группа содержит два класса - 3Б и 3А .

Вторая группа классифицирует системы, в которых пользователи имеют одинаковые права доступа ко всей информации, обрабатываемой и (или) хранимой на носителях различного уровня конфиденциальности. Группа содержит два класса - 2Б и 2А.

Первая группа классифицирует многопользовательские автоматизированные системы, в которых одновременно обрабатывается и (или) хранится информация разных уровней конфиденциальности и не все пользователи имеют к ней право доступа. Группа содержит пять классов - 1Д, 1Г, 1В, 1Б и 1А.

Прообразом руководящих документов Гостехкомиссии послужил стандарт МО США "Оранжевая книга", что сказалось как на общем подходе к построению данных документов, так и на терминах и определениях.

ЕВРОПА И КАНАДА

Вслед за выходом "Оранжевой книги" страны Европы (Франция, Германия, Нидерланды и Великобритания) совместно разработали общие "Критерии безопасности информационных технологий". Они содержат десять классов безопасности. Пять (F-С1, F-С2, F-В1, F-В2, F-ВЗ) соответствуют американским с аналогичными обозначениями. Рассмотрим подробнее другие пять классов.

Класс F-IN предназначен для систем с высокими потребностями в обеспечении целостности. Например, для СУБД.

Класс F-AV характеризуется повышенными требованиями к обеспечению работоспособности, что существенно, например, для управления технологическими процессами.

Класс F-DI ориентирован на распределенные системы обработки информации и требует надежной идентификации участников взаимодействия перед началом обмена. При пересылке данных должны обнаруживаться все случайные или намеренные искажения адресной и пользовательской информации. Знание алгоритма обнаружения искажений не должно позволять злоумышленнику производить нелегальную модификацию передаваемых данных.

Класс F-DC уделяет особое внимание требованиям к конфиденциальности.

Класс F-DХ предъявляет повышенные требования и к целостности и к конфиденциальности информации.

Большое внимание в Европейских требованиях уделяется адекватности средств защиты, которая складывается из двух компонентов: эффективности и корректности. Это главная особенность данного документа по сравнению с "Оранжевой книгой".

"Канадские критерии безопасности компьютерных систем" разработаны в Центре безопасности ведомства безопасности связи Канады для использования в качестве национального стандарта безопасности компьютерных систем. Создавались они на основе "Оранжевой книги" и под влиянием "Федеральных критериев". В отличие от "Оранжевой книги", ориентированной в основном на разработку и сертификацию многопользовательских операционных систем и требующей определенной интерпретации для применения в других областях, "Канадские критерии" нацелены на широкий диапазон компьютерных систем.

Канадские критерии содержат функциональные требования к средствам защиты и отдельно требования к адекватности их реализации. Функциональные критерии разделяются на четыре группы: критерии конфиденциальности, целостности, работоспособности и аудита. Универсальная шкала оценки уровня безопасности отсутствует.

Наконец, "Единые критерии безопасности информационных технологий" - результат совместных усилий авторов Европейских критериев безопасности информационных технологий, Федеральных критериев безопасности информационных технологий и Канадских критериев безопасности компьютерных систем по объединению этих стандартов в единый согласованный документ. Данный стандарт должен быть утвержден Международной организацией по стандартизации в рамках начатого в 1990 году проекта создания международного стандарта информационной безопасности. По мнению специалистов, "Единые критерии" по всем показателям превосходят другие стандарты в области защиты информации.

В начало страницы