ЛекцЛекція №ія №88

Критерії безпеки Критерії безпеки інформаційних інформаційних

технологійтехнологій

ПланПлан

1.1. Основні поняття про стандарти інформаційної Основні поняття про стандарти інформаційної безпекибезпеки

2.2. Критерії безпеки комп'ютерних системКритерії безпеки комп'ютерних систем

3.3. Європейські критерії безпеки інформаційних Європейські критерії безпеки інформаційних технологійтехнологій

4.4. Федеральні критерії безпеки інформаційних Федеральні критерії безпеки інформаційних технологій технологій

5.5. Канадські критерії безпеки комп'ютерних систем Канадські критерії безпеки комп'ютерних систем

6.6. Загальні критерії безпеки інформаційних Загальні критерії безпеки інформаційних технологій технологій

1.1. Основні поняття про стандарти Основні поняття про стандарти інформаційної безпекиінформаційної безпеки

Стандарти інформаційної безпеки Стандарти інформаційної безпеки — це — це стандарти забезпечення захисту, призначені стандарти забезпечення захисту, призначені для взаємодії між виробниками, споживачами і для взаємодії між виробниками, споживачами і експертами з кваліфікації продуктів експертами з кваліфікації продуктів інформаційних технологій у процесі створення інформаційних технологій у процесі створення та експлуатації захищених систем оброблення та експлуатації захищених систем оброблення інформації.інформації.

Найбільш значними стандартами Найбільш значними стандартами інформаційної безпеки є (у хронологічному інформаційної безпеки є (у хронологічному порядку):порядку):

•Критерії безпеки комп'ютерних системКритерії безпеки комп'ютерних систем..•Європейські критерії безпеки інформаційних Європейські критерії безпеки інформаційних

технологійтехнологій..•Федеральні критерії безпеки інформаційних Федеральні критерії безпеки інформаційних

технологійтехнологій..•Канадські критерії без пеки комп'ютерних Канадські критерії без пеки комп'ютерних

системсистем..•Загальні критерії безпеки інформаційних Загальні критерії безпеки інформаційних

технологій.технологій.

2. 2. Критерії безпеки комп'ютерних Критерії безпеки комп'ютерних системсистем

Критерії безпеки комп'ютерних систем Критерії безпеки комп'ютерних систем [Trusted Computer System Criteria (TCSC)][Trusted Computer System Criteria (TCSC)] — — стандарт інформаційної безпеки, розроблений стандарт інформаційної безпеки, розроблений міністерством оборони США у 1983 році з метою міністерством оборони США у 1983 році з метою визначення вимог безпеки, що пред'являються визначення вимог безпеки, що пред'являються до апаратного, програмного і спеціального до апаратного, програмного і спеціального забезпечення комп'ютерних систем і вироблення забезпечення комп'ютерних систем і вироблення відповідної методології аналізу політики безпеки, відповідної методології аналізу політики безпеки, що реалізується в комп'ютерних системах що реалізується в комп'ютерних системах воєнного призначення. Інша назва - воєнного призначення. Інша назва - "Жовтогаряча книга". "Жовтогаряча книга".

У критеріях пропонуються три категорії вимог У критеріях пропонуються три категорії вимог безпеки — політика безпеки, аудит і коректність, в безпеки — політика безпеки, аудит і коректність, в рамках яких сформульовані шість базових вимог рамках яких сформульовані шість базових вимог безпеки:безпеки:

•політика безпеки, мітки політика безпеки, мітки — в рамках — в рамках політики безпеки;політики безпеки;

• ідентифікація та автентифікація, ідентифікація та автентифікація, реєстрація та облік реєстрація та облік — в рамках аудиту;— в рамках аудиту;

•контроль коректності контроль коректності функціонування функціонування засобів захисту, засобів захисту,

•безперервність захисту безперервність захисту — в рамках — в рамках коректності.коректності.

"Жовтогаряча книга" "Жовтогаряча книга" передбачає чотири передбачає чотири групи критеріїв, які від повідають різним групи критеріїв, які від повідають різним

ступеням захищеності: ступеням захищеності:

від мінімальної (група D) до формально від мінімальної (група D) до формально доведеної (група А). Кожна група доведеної (група А). Кожна група включає один або декілька класів.включає один або декілька класів.

Група D Група D (мінімальний захист)(мінімальний захист)

• Клас D1Клас D1 (мінімальний захист) (мінімальний захист)

Група А Група А (верифікований захист) містять по одному (верифікований захист) містять по одному класу класу

• Клас А1Клас А1 (формальна верифікація) (формальна верифікація)

Група СГрупа С (дискреційний захист) (дискреційний захист)

• Клас С1Клас С1 (дискреційний захист) (дискреційний захист)

• Клас С2Клас С2 (керування доступом) (керування доступом)

Група В Група В (мандатний захист) (мандатний захист)

• Клас В1Клас В1 (захист із застосуванням міток безпеки) (захист із застосуванням міток безпеки)

• Клас В2Клас В2 (структурований захист) (структурований захист)

• Клас В3Клас В3 (домени безпеки), який характеризуються (домени безпеки), який характеризуються різними наборами вимог безпеки. різними наборами вимог безпеки.

Рівень безпеки збільшується при русі від групи D до Рівень безпеки збільшується при русі від групи D до групи А, а всередині групи - із збільшенням номера класу.групи А, а всередині групи - із збільшенням номера класу.

3. 3. Європейські критерії безпеки Європейські критерії безпеки інформаційних технологійінформаційних технологій

Європейські критерії безпеки Європейські критерії безпеки інформаційних технологійінформаційних технологій [Information [Information Technology Security Evaluation Criteria (ITSEC)] Technology Security Evaluation Criteria (ITSEC)] — стандарт— стандарт інформаційної безпеки, інформаційної безпеки, розроблений у країнах Європи (Франція, розроблений у країнах Європи (Франція, Німеччина, Нідерланди та Великобританія) у Німеччина, Нідерланди та Великобританія) у 1991 році. 1991 році.

Європейські критерії" розглядають Європейські критерії" розглядають наступні завдання засобів інформаційної наступні завдання засобів інформаційної безпеки:безпеки:

захист інформації від несанкціонованого захист інформації від несанкціонованого доступу з метою забезпечення доступу з метою забезпечення конфіденційності;конфіденційності;

забезпечення цілісності інформації за забезпечення цілісності інформації за допомогою захисту її від несанкціонованої допомогою захисту її від несанкціонованої модифікації або знищення;модифікації або знищення;

забезпечення працездатності систем за забезпечення працездатності систем за допомогою протидії загрозам відмови в допомогою протидії загрозам відмови в обслуговуванні.обслуговуванні.

Для вирішення проблеми визнання засобів Для вирішення проблеми визнання засобів захисту ефективними в критеріях уведене захисту ефективними в критеріях уведене поняття гарантій засобів захисту. поняття гарантій засобів захисту.

Гарантій включають у себе два аспекти: Гарантій включають у себе два аспекти: •ефективністьефективність, що відображає відповідність , що відображає відповідність

засобів безпеки задачам, що вирішуються;засобів безпеки задачам, що вирішуються;•коректністькоректність, що характеризує процес їх , що характеризує процес їх

розроблення й функціонування. розроблення й функціонування.

Рівні гарантій в "Європейських критеріях" — Рівні гарантій в "Європейських критеріях" — сім рівнів гарантій від Е0 до Е6 (у порядку сім рівнів гарантій від Е0 до Е6 (у порядку зростання). зростання).

Рівень Е0 означає мінімальні гарантії (аналог Рівень Е0 означає мінімальні гарантії (аналог рівня D "Жовтогарячої книги"). При перевірці рівня D "Жовтогарячої книги"). При перевірці гарантій аналізується весь життєвий цикл гарантій аналізується весь життєвий цикл системи — від початкової фази проектування системи — від початкової фази проектування до експлуатації і супроводження. до експлуатації і супроводження.

Рівні гарантій від Е1 до Е6 вишикувані з Рівні гарантій від Е1 до Е6 вишикувані з наростанням вимог ретельності контролю. наростанням вимог ретельності контролю.

На рівні Е1На рівні Е1 аналізується тільки загальна аналізується тільки загальна архітектура системи, а гарантії засобів захисту архітектура системи, а гарантії засобів захисту підтверджується функціональним тестуванням. підтверджується функціональним тестуванням.

На рівні Е3На рівні Е3 до аналізу залучаються вихідні до аналізу залучаються вихідні тексти програм і схеми апаратного тексти програм і схеми апаратного забезпечення. забезпечення.

На рівні Е6На рівні Е6 потрібний формальний опис потрібний формальний опис функцій безпеки, загальної архітектури, а також функцій безпеки, загальної архітектури, а також політики безпеки.політики безпеки.

Рівні безпеки в "Європейських Рівні безпеки в "Європейських критеріях" — рівні для визначення критеріях" — рівні для визначення ступеню безпеки системи. ступеню безпеки системи.

В "Європейських критеріях" визначені В "Європейських критеріях" визначені три рівні безпекитри рівні безпеки

1.1.базовий;базовий;

2.2.середній;середній;

3.3.високий.високий.

Безпека вважається Безпека вважається базовоюбазовою, якщо засоби , якщо засоби захисту здатні протистояти окремим випадковим захисту здатні протистояти окремим випадковим атакам.атакам.

Безпека вважається Безпека вважається середньоюсередньою, якщо засоби , якщо засоби захисту здатні протистояти зловмисникам, що захисту здатні протистояти зловмисникам, що мають обмежені ресурси та можливості.мають обмежені ресурси та можливості.

Безпеку можна вважати Безпеку можна вважати високоювисокою, якщо є , якщо є впевненість, що засоби захисту можуть бути впевненість, що засоби захисту можуть бути подолані тільки зловмисниками з високою подолані тільки зловмисниками з високою кваліфікацією, набір можливостей і ресурсів якого кваліфікацією, набір можливостей і ресурсів якого виходить за межі розумного.виходить за межі розумного.

"Європейські критерії" покладені в основу "Європейські критерії" покладені в основу багатьох стандартів безпеки комп'ютерних багатьох стандартів безпеки комп'ютерних систем. систем.

На основі цих критеріїв На основі цих критеріїв Департаментом Департаментом спеціальних телекомунікаційних систем та спеціальних телекомунікаційних систем та захисту інформації Служби безпеки України захисту інформації Служби безпеки України розроблені нормативні документи системи розроблені нормативні документи системи технічного захисту інформації України стосовно технічного захисту інформації України стосовно технічного за хисту інформації на програмно-технічного за хисту інформації на програмно-керованих АТС загального користування .керованих АТС загального користування .

4.4. Федеральні критерії безпеки Федеральні критерії безпеки інформаційних технологій інформаційних технологій

Федеральні критерії безпеки Федеральні критерії безпеки інформаційних технологійінформаційних технологій [Federal Criteria for [Federal Criteria for Information Technology Security (FCITS)] — стан Information Technology Security (FCITS)] — стан дарт інформаційної безпеки, розроблений дарт інформаційної безпеки, розроблений Національним інститутом стандартів і технологій Національним інститутом стандартів і технологій США (NIST) і Агентством національної безпеки США (NIST) і Агентством національної безпеки США (NSA) у 90-х роках для використання в США (NSA) у 90-х роках для використання в Американському федеральному стандарті з Американському федеральному стандарті з оброблення інформації (Federal Information оброблення інформації (Federal Information Processing Standard), який повинен був замінити Processing Standard), який повинен був замінити "Жовтогарячу книгу"."Жовтогарячу книгу".

Основними об'єктами застосування Основними об'єктами застосування вимог безпеки критеріїв є вимог безпеки критеріїв є продукти продукти інформаційних технологій (ІТ-інформаційних технологій (ІТ-продукти) і системи оброблення продукти) і системи оброблення інформаціїінформації. .

Ключовим поняттям концепції Ключовим поняттям концепції інформаційної безпеки "Федеральних інформаційної безпеки "Федеральних критеріїв" є критеріїв" є поняття профілю захиступоняття профілю захисту..

Відповідно до "Федеральних критеріїв" процес Відповідно до "Федеральних критеріїв" процес розробки систем оброблення інформації розробки систем оброблення інформації здійснюється у вигляді послідовності наступних здійснюється у вигляді послідовності наступних основних етапів:основних етапів:

розроблення та аналіз профілю захисту;розроблення та аналіз профілю захисту;

розроблення і кваліфікаційний аналіз ІТ-розроблення і кваліфікаційний аналіз ІТ-продуктів;продуктів;

компонування й сертифікація системи компонування й сертифікація системи оброблення інформації. оброблення інформації.

"Федеральні критерії" регламентують тільки "Федеральні критерії" регламентують тільки перший етап цієї схеми — розробку та аналіз перший етап цієї схеми — розробку та аналіз профілю захисту. профілю захисту.

5.5. Канадські критерії безпеки Канадські критерії безпеки комп'ютерних систем комп'ютерних систем

Канадські критерії безпеки Канадські критерії безпеки комп'ютерних системкомп'ютерних систем [Canadian [Canadian Trusted Computer Product Evaluation Trusted Computer Product Evaluation Criteria (CTCPEC)]Criteria (CTCPEC)] — національний — національний стандарт інформаційної безпеки, стандарт інформаційної безпеки, розроблений Центром безпеки відомства розроблений Центром безпеки відомства безпеки зв'язку Канади (Canadian System безпеки зв'язку Канади (Canadian System Security Centre Communication Security Security Centre Communication Security Establishment) в 90 роках.Establishment) в 90 роках.

"Канадські критерії" "Канадські критерії" використовуються длявикористовуються для розроблення розроблення вимог безпеки, специфікацій засобів вимог безпеки, специфікацій засобів захисту та сертифікації програмного захисту та сертифікації програмного забезпечення робочих станцій, забезпечення робочих станцій, багатопроцесорних обчислювальних багатопроцесорних обчислювальних систем, персональних і систем, персональних і багатокористувальницьких операційних багатокористувальницьких операційних си стем, систем керування базами даних, си стем, систем керування базами даних, розподілених, мережних, вбу дованих, розподілених, мережних, вбу дованих, проблемно-орієнтованих та інших систем.проблемно-орієнтованих та інших систем.

В "Канадських критеріях" В "Канадських критеріях" пропонується пропонується оригінальний підхідоригінальний підхід до опису взаємодії до опису взаємодії користувачів із комп'ютерною системою, користувачів із комп'ютерною системою, інваріантний по відношенню до політики інваріантний по відношенню до політики безпеки. Усі компоненти системи, які безпеки. Усі компоненти системи, які знаходяться під керуванням ядра безпеки, знаходяться під керуванням ядра безпеки, називаються називаються об'єктами.об'єктами.

Об'єктиОб'єкти можуть знаходитися в одному з можуть знаходитися в одному з наступних трьох станів: наступних трьох станів: об'єкт-користувач, об'єкт-користувач, об'єкт-процес, пасивний об'єктоб'єкт-процес, пасивний об'єкт, , і в і в залежності від стану, позначають користувачів, залежності від стану, позначають користувачів, процеси та об'єкти відповідно.процеси та об'єкти відповідно.

При описі критеріїв конфіденційності та При описі критеріїв конфіденційності та цілісності (довільного та нормативного керування цілісності (довільного та нормативного керування доступом і цілісністю) в "Канадських критеріях" доступом і цілісністю) в "Канадських критеріях" використовується поняття тег.використовується поняття тег.

ТегаТега — сукупність атрибутів асоційованих із — сукупність атрибутів асоційованих із користувачем, процесом або проектом. користувачем, процесом або проектом.

Тегою може бути Тегою може бути унікальний ідентифікатор, унікальний ідентифікатор, мітка безпеки або цілісності, криптографічний мітка безпеки або цілісності, криптографічний ключ, таблиця прав доступу або інші атрибути у ключ, таблиця прав доступу або інші атрибути у відповідності з реалізованою в комп'ютерній відповідності з реалізованою в комп'ютерній системі політикою безпеки.системі політикою безпеки.

Канадські критерії безпеки Канадські критерії безпеки комп'ютерних систем комп'ютерних систем були покладені в були покладені в основуоснову Критеріїв оцінки захищеності Критеріїв оцінки захищеності інформації в комп'ютерних системах від інформації в комп'ютерних системах від несанкціонованого доступу, розроблених несанкціонованого доступу, розроблених Департаментом спеціальних Департаментом спеціальних телекомунікаційних систем та захисту телекомунікаційних систем та захисту інформації Служби безпеки України для інформації Служби безпеки України для системи технічного захисту інформації системи технічного захисту інформації України.України.

6.6. Загальні критерії безпеки Загальні критерії безпеки інформаційних технологій інформаційних технологій

Загальні критерії безпеки Загальні критерії безпеки інформаційних технологійінформаційних технологій [Common [Common Criteria for Information Technology Security Criteria for Information Technology Security Evaluation (CCI-TSE)] — стандарт Evaluation (CCI-TSE)] — стандарт інформаційної безпеки, що узагальнює інформаційної безпеки, що узагальнює зміст і досвід використання "Оранжевої зміст і досвід використання "Оранжевої книги".книги".

В ньому представлена однакова основа для В ньому представлена однакова основа для формулювання розробниками, користувачами формулювання розробниками, користувачами та оцінювачами інформаційних технологій та оцінювачами інформаційних технологій (експертами з кваліфікації) вимог, метрик і (експертами з кваліфікації) вимог, метрик і гарантій безпеки.гарантій безпеки.

Версія 2.1 цього стандарту затверджена Версія 2.1 цього стандарту затверджена Міжнародною організацією із стандартизації Міжнародною організацією із стандартизації (ISO) в 1999 році в якості міжнародного стан (ISO) в 1999 році в якості міжнародного стан дарту інформаційної безпеки дарту інформаційної безпеки ISO/IES 15408.ISO/IES 15408.

Матеріали стандарту являють собою Матеріали стандарту являють собою енциклопедію вимог і гарантій з енциклопедію вимог і гарантій з інформаційної безпекиінформаційної безпеки, які можуть , які можуть відбиратися та реалізовуватися у функціональні відбиратися та реалізовуватися у функціональні стандарти (профілі захисту) забезпечення стандарти (профілі захисту) забезпечення інформаційної безпеки для конкретних систем, інформаційної безпеки для конкретних систем, мереж і засобів як користувачами (по мереж і засобів як користувачами (по відношенню до того, що вони хочуть одержати в відношенню до того, що вони хочуть одержати в продукті, який пропонується), так і продукті, який пропонується), так і розробниками й операторами мереж (по розробниками й операторами мереж (по відношенню до того, що вони гарантують у відношенню до того, що вони гарантують у продукті, який реалізується).продукті, який реалізується).