Часть 1. Введение и общая модель

Первая часть стандарта включает описание рассмотренной выше структуры стандарта в целом, области его применения, список основных сокращений. Далее описывается используемый глоссарий, он представлен в табл.

Таблица

Глоссарий Общих критериев

№	Термин	Смысловое содержание	Английский эквивалент
1.	Активы	Информация или ресурсы, подлежащие защите контрмерами ОО	Assets
2.	Атрибут безопасности	Информация, связанная с субъектами, пользователями и/или объектами, которая используется для осуществления ПБО	Security attribute
3.	Аутентификаци-онные данные	Информация, используемая для верификации предъявленного идентификатора пользователя	Authentication data
4.	Базовая СФБ	Уровень стойкости функции безопасности ОО, на котором, как показывает анализ, функция предоставляет адекватную защиту от случайного нарушения безопасности ОО нарушителями с низким потенциалом нападения	SOF - basic
5.	Внешний объект ИТ	Любые продукт или система ИТ, доверенные или нет, находящиеся вне ОО и взаимодействующие с ним	External IT entity
6.	Выбор	Выделение одного или нескольких элементов из перечня в компоненте	Selection
7.	Внутренний канал связи	Канал связи между разделёнными частями ОО	Internal communication channel
8.	Высокая СФБ	Уровень стойкости функции безопасности ОО, на котором, как показывает анализ, функция предоставляет адекватную защиту от тщательно спланированного и организованного нарушения безопасности ОО нарушителями с высоким потенциалом нападения	SOF - high
9.	Данные ФБО	Данные, созданные ФБО или для ФБО, которые могут повлиять на выполнение ФБО	TSF data
10.	Данные пользователя	Данные, созданные пользователем и для пользователя, которые не влияют на выполнение ФБО	User data
11.	Доверенный канал	Средство взаимодействия между ФБО и удалённым доверенным продуктом ИТ, обеспечивающее необходимую степень уверенности в поддержании ПБО	Trusted channel
12.	Доверенный маршрут	Средство взаимодействия между пользователем и ФБО, обеспечивающее необходимую степень уверенности в поддержании ПБО	Trusted path
13.	Доверие	Основание для уверенности в том, что сущность отвечает своим целям безопасности	Assurance
14.	Зависимость	Соотношение между требованиями, при котором требование, от которого зависят другие требования, должно быть, как правило, удовлетворено, чтобы и другие требования могли бы отвечать своим целям	Dependency
15.	Задание по безопасности	Совокупность требований безопасности и спецификаций, предназначенная для использования в качестве основы для оценки конкретного ОО	Security target
16.	Идентификатор	Представление уполномоченного пользователя (например, строка символов), однозначно его идентифицирующее. Таким представлением может быть либо полное или сокращённое имя этого пользователя, либо его псевдоним	Identity
17.	Интерфейс функций безопасности ОО	Совокупность интерфейсов, как интерактивных (человеко-машинные интерфейсы), так и программных (интерфейсы прикладных программ), с использованием которых осуществляется доступ к ресурсам ОО при посредничестве ФБО или получение от ФБО какой-либо информации	TOE security functions interface
18.	Итерация	Более чем однократное использование компонента при различном выполнении операций	Iteration
19.	Класс	Группа семейств, объединённых общим назначением	Class
20.	Компонент	Наименьшая выбираемая совокупность элементов, которая может быть включена в ПЗ, ЗБ или пакет	Component
21.	Механизм проверки правомочности обращений	Реализация концепции монитора обращений, обладающая следующими свойствами: защищённостью от проникновения; постоянной готовностью; простотой, достаточной для проведения исчерпывающего анализа и тестирования	Reference validation mechanism
22.	Модель политики безопасности ОО	Структурированное представление политики безопасности, которая должна быть осуществлена ОО	TOE security policy model
23.	Монитор обращений	Концепция абстрактной машины, осуществляющей политику управления доступом ОО	Reference monitor
24.	Назначение	Спецификация определённого параметра в компоненте	Assignment
25.	Неформальный	Выраженный на естественном языке	Informal
26.	Область действия ФБО	Совокупность возможных взаимодействий с ОО или в его пределах, которые подчинены правилам ПБО	TSF scope of control
27.	Объект	Сущность в пределах ОДФ, которая содержит или получает информацию и над которой субъекты выполняют операции	Object
28.	Объект оценки	Подлежащие оценке продукт ИТ или система с руководствами администратора и пользователя	Target of evaluation
29.	Орган оценки	Организация, которая посредством системы оценки обеспечивает реализацию ОК для определённого сообщества и в связи с этим устанавливает стандарты и контролирует качество оценок, проводимых организациями в пределах данного сообщества	Evaluation authority
30.	Оценка	Оценка ПЗ, ЗБ или ОО по определённым критериям	Evaluation
31.	Оценочный уровень доверия	Пакет компонентов доверия из части 3 настоящего стандарта, представляющий некоторое положение на предопределённой в стандарте шкале доверия	Evaluation assurance level
32.	Пакет	Предназначенная для многократного использования совокупность функциональных компонентов или компонентов доверия (например, ОУД), объединённых для удовлетворения совокупности определённых целей безопасности	Package
33.	Передача в пределах ОО	Передача данных между разделёнными частями ОО	Internal TOE transfer
34.	Передача за пределы области действия ФБО	Передача данных сущностям, не контролируемым ФБО	Transfer outside TSF control
35.	Передача между ФБО	Передача данных между ФБО и функциями безопасности других доверенных продуктов ИТ	Inter-TSF transfers
36.	Политика безопасности организации	Одно или несколько правил, процедур, практических приёмов или руководящих принципов в области безопасности, которыми руководствуется организация в своей деятельности	Organizational security policies
37.	Политика безопасности ОО	Совокупность правил, регулирующих управление активами, их защиту и распределение в пределах ОО	TOE security policy
38.	Политика функции безопасности	Политика безопасности, осуществляемая ФБ	Security function policy
39.	Полуфор-мальный	Выраженный на языке с ограниченным синтаксисом и определённой семантикой	Semiformal
40.	Пользователь	Любая сущность (человек-пользователь или внешний объект ИТ) вне ОО, которая взаимодействует с ОО	User
41.	Потенциал нападения	Прогнозируемый потенциал для успешного (в случае реализации) нападения, выраженный в показателях компетентности, ресурсов и мотивации нарушителя	Attack potential
42.	Продукт	Совокупность программных, программно-аппаратных и/или аппаратных средств ИТ, предоставляющая определённые функциональные возможности и предназначенная для непосредственного использования или включения в различные системы	Product
43.	Профиль защиты	Независимая от реализации совокупность требований безопасности для некоторой категории ОО, отвечающая специфическим запросам потребителя	Protection profile
44.	Расширение	Добавление в ЗБ или ПЗ функциональных требований, не содержащихся в части 2 настоящего стандарта, и/или требований доверия, не содержащихся в части 3 настоящего стандарта	Extension
45.	Ресурс ОО	Всё, что может использоваться или потребляться в ОО	TOE resource
46.	Роль	Заранее определённая совокупность правил, устанавливающих допустимое взаимодействие между пользователем и ОО	Role
47.	Связность	Свойство ОО, позволяющее ему взаимодействовать с объектами ИТ, внешними по отношению к ОО. Это взаимодействие включает обмен данными по проводным или беспроводным средствам на любом расстоянии, в любой среде или при любой конфигурации	Connectivity
48.	Секрет	Информация, которая должна быть известна только уполномоченным пользователям и/или ФБО для осуществления определённой ПФБ	Secret
49.	Семейство	Группа компонентов, которые объединены одинаковыми целями безопасности, но могут отличаться акцентами или строгостью	Family
50.	Система	Специфическое воплощение ИТ с конкретным назначением и условиями эксплуатации	System
51.	Система оценки	Административно-правовая структура, в рамках которой в определённом обществе органы оценки применяют ОК	Evaluation scheme
52.	Средняя СФБ	Уровень стойкости функции безопасности ОО, на котором, как показывает анализ, функция предоставляет адекватную защиту от прямого или умышленного нарушения безопасности ОО нарушителями с умеренным потенциалом нападения	SOF - medium
53.	Стойкость функции безопасности	Характеристика функции безопасности ОО, выражающая минимальные усилия, предположительно необходимые для нарушения её ожидаемого безопасного поведения при прямой атаке на лежащие в её основе механизмы безопасности	Strength of function
54.	Субъект	Сущность в пределах ОДФ, которая инициирует выполнение операций	Subject
55.	Уполномочен-ный пользователь	Пользователь, которому в соответствии с ПБО разрешено выполнять какую-либо операцию	Authorized user
56.	Усиление	Добавление одного или нескольких компонентов доверия из части 3 настоящего стандарта в ОУД или пакет требований доверия	Augmentation
57.	Уточнение	Добавление деталей в компонент	Refinement
58.	Функции безопасности ОО	Совокупность всех функций безопасности ОО, направленных на осуществление ПБО	TOE security functions
59.	Функция безопасности	Функциональные возможности части или частей ОО, обеспечивающие выполнение подмножества взаимосвязанных правил ПБО	Security function
60.	Формальный	Выраженный на языке с ограниченным синтаксисом и определённой семантикой, основанной на установившихся математических понятиях	Formal
61.	Человек-пользователь	Любое лицо, взаимодействующее с ОО	Human user
62.	Цель безопасности	Изложенное намерение противостоять установленным угрозам и/или удовлетворять установленной политике безопасности организации и предположениям	Security objective
63.	Элемент	Неделимое требование безопасности	Element

 

Хотя ОК не предписывают конкретную методологию разработки или модель жизненного цикла, они, тем не менее представляют некоторые основополагающие предположения о соотношениях между требованиями безопасности и собственно разрабатываемым ОО. В основе данной методологии лежит уточнение требований безопасности, сведенных в краткую спецификацию в составе задания по безопасности, являющегося по сути исходным документом для разработки и последующей оценки (фактически некий аналог ТЗ). Каждый последующий уровень уточнения представляет декомпозицию проекта с его дополнительной детализацией. Наиболее подробным (и наименее абстрактным) представлением в итоге является непосредственно реализация ОО.

Количество уровней детализации при этом зависит от уровня доверия, который требуется обеспечить. В ОК предусмотрены следующие промежуточные этапы детализации, формируемые на основе задания по безопасности: функциональная спецификация, проект верхнего уровня, проект нижнего уровня и реализация.

С методологией создания ОО тесно связан процесс его оценки, который может проводиться как параллельно с разработкой, так и после ее окончания. Основными исходными материалами для оценки ОО являются:

совокупность материалов, характеризующих ОО, включая прошедшее оценку ЗБ в качестве основы;

сам ОО, безопасность которого требуется оценить;

критерии, методология и система оценки.

Кроме того, в качестве исходных материалов для оценки возможно также использование вспомогательных материалов и специальных знаний в области безопасности ИТ, которыми располагает оценщик и сообщество участников оценок.

Ожидаемым результатом оценки является подтверждение удовлетворения объектом оценки требований безопасности, изложенных в его ЗБ, а также один или несколько отчетов, документирующих выводы оценщика относительно ОО, сделанные в соответствии с критериями оценки. Такие отчеты, помимо разработчика, очевидно, будут полезны также реальным и потенциальным потребителям продукта или системы.

 

Таким образом, основой разработки и эксплуатации любого ОО в Общих критериях провозглашается совокупность требований безопасности.

В ОК определены 3 группы конструкций для описания требований безопасности: пакет, профиль защиты (ПЗ) и задание по безопасности (ЗБ).

Пакет представляет собой некую промежуточную комбинацию компонентов безопасности. Он предназначен для многократного использования и определяет требования, которые известны как полезные и эффективные для достижения некоторых установленных целей. Допускается применение пакета при создании более крупных пакетов, профилей защиты и заданий по безопасности.

Профиль защиты содержит совокупность требований безопасности, взятых из ОК или сформулированных в явном виде. ПЗ позволяет выразить независимые от конкретной реализации требования безопасности для некоторой совокупности ОО, которые полностью согласуются с набором целей безопасности. ПЗ также предназначен для многократного использования и определения как функциональных требований, так и требований доверия к ОО, которые полезны и эффективны для достижения установленных целей. ПЗ также содержит логическое обоснование требований и целей безопасности.

Задание по безопасности содержит совокупность требований безопасности, которые могут быть определены ссылками на ПЗ, непосредственно на функциональные компоненты или компоненты доверия или же сформулированы в явном виде. ЗБ позволяет выразить требования безопасности для конкретного ОО, которые по результатам оценки ЗБ признаны полезными и эффективными для достижения установленных целей безопасности. ЗБ является основой для соглашения между всеми сторонами относительно того, какую безопасность предлагает ОО.

В первой части ОК подробно описан и процесс формирования требований безопасности, поскольку данные требования, выраженные в итоге в ЗБ, должны быть обоснованы и непротиворечивы, достаточны, после чего только на их основе производится оценка ОО.

В соответствии с ОК на основании исследования политик безопасности, угроз и рисков должны быть сформированы следующие материалы, относящиеся к безопасности:

изложение предположений, которым удовлетворяла бы среда разрабатываемой ИТ для того, чтобы она считалась безопасной;

изложение угроз безопасности активов, в котором были бы идентифицированы все угрозы, при этом угрозы раскрываются через понятия агента угрозы (нарушителя), предполагаемого метода нападения, любых уязвимостей, которые являются предпосылкой для нападения, и идентификации активов, которые являются целью нападения;

изложение политики безопасности, применяемой в организации, для системы ИТ такая политика может быть описана достаточно точно, тогда как для продуктов ИТ общего предназначения или класса продуктов о политике безопасности организации могут быть сделаны, при необходимости, только рабочие предположения.

Результаты анализа среды безопасности затем должны использоваться для установления целей безопасности, которые направлены на противостояние установленным угрозам, а также проистекают из установленной политики безопасности организации и сделанных предположений. Необходимо, чтобы цели безопасности были согласованы с определенными ранее целями применения или предназначением продукта, а также со сведениями о физической среде.

Требования безопасности являются результатом преобразования целей безопасности в совокупность требований безопасности для объекта оценки и требований безопасности для среды, которые, в случае их удовлетворения, обеспечат для него способность достижения его целей безопасности.

Имеется две различные категории требований безопасности – функциональные требования и требования доверия.

Функциональные требования налагаются на те функции, которые предназначены для поддержания безопасности ОО и определяют желательный безопасный режим функционирования. Примерами функциональных требований являются требования к идентификации, аутентификации, аудиту безопасности и т.д.

Требования доверия налагаются на действия разработчика, представленные свидетельства и действия оценщика. Примерами требований доверия являются требования к строгости процесса разработки, по поиску потенциальных уязвимостей и анализу их влияния на безопасность.

Требования безопасности обычно включают как требования наличия желательных режимов функционирования, так и требования отсутствия нежелательных режимов. Наличие желательного режима обычно можно продемонстрировать путем непосредственного применения или испытаний (тестирования). Не всегда удается убедительно продемонстрировать отсутствие нежелательного режима. Уменьшению риска наличия нежелательного режима в значительной мере способствуют испытания (тестирование), экспертиза проекта и окончательной реализации.

Часть 2. Функциональные требования безопасности

Вторая часть стандартаопределяет функциональные требования безопасности ИТ объекта оценки, которые предназначены для достижения целей безопасности, установленных в ПБ и ЗБ. В этой части перечисляются функциональные требования безопасности, которые могут быть предъявлены к объекту оценки. Оценка ОО касается прежде всего, подтверждения того, что в отношении ресурсов ОО осуществляется определённая политика безопасности. Стандарт подчёркивает, что политика безопасности ОО (ПБО) состоит из различных политик функций безопасности (ПФБ).

В соответствии с ОК организация требований безопасности осуществляется в виде иерархии: класс – семейство – компонент – элемент.

Термин класс применяется для общего группирования требований безопасности. Составляющие класса называются семействами, под которыми понимается группа наборов требований безопасности, имеющих общие цели безопасности, но различающихся акцентами или строгостью. Составляющие семейства называются компонентами, которые представляют специфический набор требований безопасности, который является наименьшим выбираемым набором требований безопасности для включения в структуры, определяемые ОК. Компоненты составлены из отдельных элементов. Каждый элемент определяет требования безопасности на самом нижнем уровне. Он является тем неделимым требованием безопасности, которое может быть верифицировано при оценке.

Для идентификации функционального элемента вводится краткая уникальная запись. Например, запись имени функционального элемента FDP_IFF.4.2 читается следующим образом:

F – функциональное требование;

DP – класс "Защита данных пользователя";

IFF – семейство "Функции управления информационными потоками";

4 – 4-ый компонент "Частичное устранение неразрешённых информационных потоков";

2 – 2-ой элемент компонента.

ОК предусматривают 11 классов функциональных требований:

FAU – аудит безопасности;

FCO – связь;

FCS – криптографическая поддержка;

FDP – защита данных пользователя;

FIA – идентификация и аутентификация;

FMT – управление безопасностью;

FPR – приватность;

FPT – защита ФБО;

FRU – использование ресурсов;

FTA – доступ к ОО;

FTP – доверенный маршрут/канал.

Класс FAU (аудит безопасности) включает распознавание, запись, хранение и анализ информации, связанной с действиями, например с действиями, контролируемыми в соответствии с политикой безопасности объекта оценки. Этот класс включает 6 семейств:

автоматическая реакция аудита безопасности (FAU_ARP);генерация данных аудита безопасности (FAU_GEN);анализ аудита безопасности (FAU_SAA);просмотр аудита безопасности (FAU_SAR);выбор событий аудита безопасности (FAU_SEL);хранение данных аудита безопасности (FAU_STG).

Класс FCO (связь) содержит два семейства, связанные с обеспечением идентификаторов сторон, участвующих в обмене данными:

идентификатор отправителя переданной информации (FCO_NRO – доказательство отправления);

идентификатор получателя переданной информации (FCO_NRR – доказательство получения).

Класс FCS (криптографическая поддержка) используется, когда объект оценки имеет криптографические функции, реализованные аппаратными, программно-аппаратными и/или программными средствами. Реализация целей этого класса должна обеспечивать: идентификацию, аутентификацию, неотказуемость сообщения, доверенный маршрут, доверенный канал, разделение данных.

Класс состоит из двух семейств:

управление криптографическими ключами (FCS_CKM);

криптографические операции (FCS_COP).

Класс FDP (защита данных пользователя) определяет требования к функциям безопасности объекта, связанным с защитой данных пользователя. Класс имеет 13 семейств, разбитых на 4 группы.

1. Политика функций безопасности ОО для защиты данных пользователя, включает 2 семейства:

политика управления доступом (FDP_ACC);политика управления информационными потоками (FDP_IFC).

2. Виды защиты данных пользователя, включает 6 семейств:

функции управления доступом (FDP_ACF);функции управления информационными потоками (FDP_IFF);передача в пределах ОО (FDP_ITT);защита остаточной информации (FDP_RIP);откат (FDP_ROL);целостность хранимых данных (FDP_SDI).

3. Автономное хранение, импорт и экспорт данных, включает 3 семейства:

аутентификация данных (FDP_DAU);экспорт данных за пределы действий ФБО (FDP_ETC);импорт данных из-за пределов действия ФБО (FDP_ITC).

4. Связь между ФБО, имеет 2 семейства:        

защита конфиденциальности данных пользователя при передаче между ФБО (FDP_UCT);

защита целостности данных пользователя при передаче между ФБО (FDP_UIT).

Класс FIA (идентификация и аутентификация) обеспечивает связь пользователей с соответствующими атрибутами безопасности (идентификатор группы, уровень безопасности или целостности). Класс включает 6 семейств:

отказы аутентификации (FIA_AFL);определение атрибутов пользователя (FIA_ATD);спецификация секретов (FIA_SOS);аутентификация пользователя (FIA_UAU);

идентификация пользователя (FIA_UID);связывание пользователь-субъект (FIA_USB).

Класс FMT (управление безопасностью) предназначен для спецификации управления некоторыми аспектами ФБО: атрибутами безопасности, данными и отдельными функциями. Класс включает 6 семейств:

управление отдельными функциями ФБО (FMT_MOF);управление атрибутами безопасности (FMT_MSA);управление данными ФБО (FMT_MTD);отмена (FMT_REY);

срок действия атрибута безопасности (FMT_SAE);роли управления безопасностью (FMT_SMR).

Класс FPR (приватность) предоставляет пользователю защиту от раскрытия его идентификатора и злоупотребления этим другими пользователями. Класс содержит 4 семейства:

анонимность (FPR_ANO);псевдонимность (FPR_PSE);невозможность ассоциации (FPR_UNL);скрытность (FPR_UNO).

Класс FPT (защита ФБО) содержит функциональные требования, которые связаны с целостностью и управлением механизмами, реализованными в ФБО. По сути, требования этого класса дублируют требования из класса FDP (защита данных пользователя), однако, они специализированы на защиту данных пользователя, а класс FPT нацелен на защиту данных функций безопасности объекта. Класс FPT содержит 16 семейств:

тестирование базовой абстрактной машины (FPT_AMT); безопасность при сбое (FPT_FLS); доступность экспортируемых данных ФБО (FPT_ITA); конфиденциальность экспортируемых данных ФБО (FPT_ITO); целостность экспортируемых данных ФБО (FPT_ITI); передача данных ФБО в пределах ОО (FPT_ITT); физическая защита ФБО (FPT_PHP); надёжное восстановление (FPT_RCV); обнаружение повторного использования (FPT_RPL); посредничество при обращениях (FPT_RVM); разделение домена (FPT_SEP); протокол синхронизации состояний (FPT_SSP);метки времени (FPT_STM);согласованность данных ФБО между ФБО (FPT_TDC);согласованность данных ФБО при дублировании в пределах ОО (FPT_TDC);самотестирование (FPT_TST).

Класс FRU (использование ресурсов) поддерживает доступность требуемых ресурсов (вычислительные возможности, память) и состоит из 3 семейств:

отказоустойчивость (FRU_FLT); приоритет обслуживания (FRU_PRS); распределение ресурсов (FRU_RSA).

Класс FTA (доступ к ОО) определяет требования к управлению открытием сеанса пользователя и состоит из 6 семейств:

ограничение области выбираемых атрибутов (FTA_LSA); ограничение на параллельные сеансы (FTA_MCS); блокирование сеанса (FTA_SSL); предупреждения перед предоставлением доступа к ОО (FTA_TAB); история доступа к ОО (FTA_TAB); открытие сеанса с ОО (FTA_TSE).

Класс FTP (доверенный маршрут/канал) определяет требования как к доверенному маршруту связи между пользователями и ФБО, так и к доверенному каналу связи ФБО и другими доверенными продуктами ИТ.

    Под доверенным каналом понимается канал связи, который может быть инициирован любой из связывающихся сторон и обеспечивает неотказываемые характеристики, связанные с идентификаторами сторон канала. Класс содержит два семейства:

доверенный канал передачи между ФБО (FTP_ITC);

доверенный маршрут (FTP_TRP).

Часть 3. Требования доверия к безопасности

Третья частьстандарта содержит систематизированный каталог функциональных требований доверия, которые должны быть приняты на всех этапах жизненного цикла продукта или системы ИТ для обеспечения уверенности в том, что они удовлетворяют предъявленным к ним функциональным требованиям. Стандарт определяет, что способом достижения доверия является оценка.

В качестве основных методов для проведения оценки используют:

анализ и проверку процессов и процедур;

проверку, что процессы и процедуры действительно применяются;

анализ соответствия между представлениями проекта ОО;

анализ соответствия каждого представления проекта ОО требованиям;

верификацию доказательств;

анализ руководств;

анализ разработанных функциональных тестов и полученных результатов;

независимое функциональное тестирование;

анализ уязвимостей, включающий предположения о недостатках;

тестирование проникновения.

Требования доверия строятся аналогично функциональным требованиям в виде иерархии:класс – семейство – компонент – элемент. Каждому классу присваивается уникальное имя, которое указывает на тематические разделы, на которые распространяется данный класс доверия. Имя начинается с буквы "А", за которой следуют ещё две буквы латинского алфавита, относящиеся к имени класса.

Помимо классов, определяющих требования доверия, ОК также описывают три класса требований по поддержке доверия, оценке профиля защиты и задания по безопасности.

Класс AMA (поддержка доверия) содержит 4 семейства:

план поддержки доверия (AMA_AMP);отчёт о категорировании компонентов ОО (AMA_CAT);свидетельство о поддержке доверия (AMA_EVD);анализ влияния на безопасность (AMA_SIA).

Класс APE (оценка профиля защиты) включает 6 семейств:

профиль защиты, введение ПЗ (APE_INT);профиль защиты, описание ОО (APE_DES);профиль защиты, среда безопасности (APE_ENV);профиль защиты, цели безопасности (APE_OBJ);профиль защиты, требования безопасности ИТ (APE_REQ);профиль защиты, требования безопасности ИТ, сформулированные в явном виде (APE_SRE).

Класс ASE (оценка задания по безопасности) включает 8 семейств:

задание по безопасности, введение ЗБ (ASE_INT);задание по безопасности, описание ОО (ASE_DES);задание по безопасности, среда безопасности (ASE_ENV);задание по безопасности, цели безопасности (ASE_OBJ);задание по безопасности, требования безопасности ИТ (ASE_REQ);задание по безопасности, утверждение о соответствии ПЗ (ASE_PPC);задание по безопасности, краткая спецификация ОО (ASE_TSS);задание по безопасности, требования безопасности ИТ, сформулированные в явном виде (ASE_SRE).

Требования для оценки профиля защиты и задания по безопасности также трактуются как классы доверия, структура которых подобна структуре других классов доверия. Отличие заключается лишь в отсутствии подраздела ранжирования компонентов в описаниях семейств. Причина в том, что каждое семейство имеет только один компонент и, следовательно, ранжирование отсутствует.

Особое внимание в 3-й части ОК уделено используемым оценочным уровням доверия (ОУД). ОУД образуют возрастающую шкалу, которая позволяет соотнести получаемый уровень доверия со стоимостью и возможностью достижения этой степени доверия.

В стандарте определены семь упорядоченных оценочных уровней доверия для ранжирования доверия к ОО. Они иерархически упорядочены, поскольку каждый ОУД представляет более высокое доверие, чем любой из предыдущих ОУД. Увеличение доверия от ОУД1 к ОУД7 достигается заменой какого-либо компонента доверия иерархически более высоким компонентом из того же семейства доверия (т.е. увеличением строгости, области и/или глубины оценки) и добавлением компонентов доверия из других семейств доверия (т.е. добавлением новых требований).

ОУД состоят из определённой комбинации компонентов доверия. Точнее, каждый ОУД включает не больше, чем один компонент каждого семейства доверия, а все зависимости каждого компонента доверия учтены.

Важно обратить внимание, что не все семейства и компоненты доверия и поддержки доверия включены в оценочные уровни доверия. Это не означает, что они не обеспечивают значимое и полезное доверие. Напротив, ожидается, что эти семейства и их компоненты будут рассматриваться для усиления ОУД в тех ПЗ и ЗБ, для которых они полезны.

Хотя в стандарте определены именно ОУД, можно представлять другие комбинации компонентов доверия. Для этого специально введено понятие "усиление" (augmentation), которое предполагает добавление компонентов доверия из семейств доверия, до этого не включённых в некоторый ОУД, или замену компонентов доверия в некотором ОУД другими, иерархически более высокими компонентами доверия из этого же самого семейства доверия. Вводящий усиление обязан строго обосновать полезность и дополнительную ценность добавленного к ОУД компонента доверия. ОУД может быть также расширен требованиями доверия, сформулированными в явном виде.

Таким образом, ОУД могут быть усилены и не могут быть ослаблены. Например, понятие "ОУД за исключением какого-либо составляющего его компонента доверия" не признаётся в стандарте как допустимое утверждение.

Методология и требования ОК не охватывают вопросов организации процессов оценки (сертификации и/или аттестации). Это является предметом ведения государственных органов. В нашей стране в сфере защиты информации деятельность такой системы регулируется ФСТЭК на основе выпускаемых ею руководящих документов.

   

Гостехкомиссия России вела весьма активную нормотворческую деятельность, выпуская Руководящие документы (РД), играющие роль национальных оценочных стандартов в области информационной безопасности. В качестве стратегического направления Гостехкомиссия России выбрала ориентацию на "Общие критерии".

Рассмотрим два важных Руководящих документа – Классификацию автоматизированных систем (АС) по уровню защищенности от несанкционированного доступа (НСД) и аналогичную Классификацию межсетевых экранов (МЭ).

Согласно первому из них, устанавливается девять классов защищенности АС от НСД к информации.

Каждый класс характеризуется определенной минимальной совокупностью требований по защите.

Классы подразделяются на три группы, отличающиеся особенностями обработки информации в АС.

В пределах каждой группы соблюдается иерархия требований по защите в зависимости от ценности (конфиденциальности) информации и, следовательно, иерархия классов защищенности АС.

Третья группа классифицирует АС, в которых работает один пользователь, имеющий доступ ко всей информации АС, размещенной на носителях одного уровня конфиденциальности. Группа содержит два класса – 3Б и 3А.

Вторая группа классифицирует АС, в которых пользователи имеют одинаковые права доступа (полномочия) ко всей информации АС, обрабатываемой и (или) хранящейся на носителях различного уровня конфиденциальности.

Группа содержит два класса – 2Б и 2А.

Первая группа классифицирует многопользовательские АС, в которых одновременно обрабатывается и (или) хранится информация разных уровней конфиденциальности и не все пользователи имеют право доступа ко всей информации АС. Группа содержит пять классов – 1Д, 1Г, 1В, 1Б и 1А.

Классификации межсетевых экранов — представляется принципиально важным, поскольку в нем идет речь не о целостном продукте или системе, а об отдельном сервисе безопасности, обеспечивающем межсетевое разграничение доступа.

Данный РД важен не столько содержанием, сколько самим фактом своего существования. РД получил высокую оценку не только в России, но и в мире.

Основным критерием классификации МЭ служит протокольный уровень (в соответствии с эталонной семиуровневой моделью), на котором осуществляется фильтрация информации. Чем выше уровень, тем больше информации на нем доступно и, следовательно, тем более тонкую и надежную фильтрацию можно реализовать.

Значительное внимание в РД уделено собственной безопасности служб обеспечения защиты и вопросам согласованного администрирования распределенных конфигураций.

 

Рекомендации Х.800

 

Технические спецификации X.800, появились немногим позднее "Оранжевой книги", но весьма полно и глубоко трактующей вопросы информационной безопасности распределенных систем.

Рекомендации X.800 – документ довольно обширный. Мы остановимся на специфических сетевых функциях (сервисах) безопасности, а также на необходимых для их реализации защитных механизмах.

Выделяют следующие сервисы безопасности и исполняемые ими роли:

Аутентификация. Данный сервис обеспечивает проверку подлинности партнеров по общению и проверку подлинности источника данных. Аутентификация партнеров по общению используется при установлении соединения и, быть может, периодически во время сеанса. Она служит для предотвращения таких угроз, как маскарад и повтор предыдущего сеанса связи. Аутентификация бывает односторонней (обычно клиент доказывает свою подлинность серверу) и двусторонней (взаимной).

Управление доступом. Обеспечивает защиту от не