2. Класи безпеки інформаційних систем

Інформаційні системи ранжують за ступенями довіри безпеці.

У “Помаранчевій книзі” визначається чотири рівні довіри – D, C, B і A. Рівень D призначений для систем, визнаних незадовільними. По мірі переходу від рівня C до рівня A висуваються все більш жорсткі вимоги до систем. Рівні C і B поділяються на класи (C1, C2, B1, B2, B3) з поступовим зростанням ступеня довіри.

Усього є шість класів безпеки – C1, C2, B1, B2, B3, A1. Щоб в результаті процедури сертифікації систему можна було віднести до деякого класу, її політика безпеки і рівень гарантованості повинні задовольняти заданим вимогам.

Клас C1:

• довірена обчислювальна база повинна управляти доступом іменованих користувачів до іменованих об’єктів;

• користувачі повинні ідентифікувати себе, перш ніж виконувати які-небудь інші дії, контрольовані довіреною обчислювальною базою. Для автентифікації повинен використовуватися який-небудь захисний механізм, наприклад паролі. Автентифікаційна інформація повинна бути захищена від несанкціонованого доступу;

• довірена обчислювальна база повинна підтримувати зону для власного виконання, захищену від зовнішніх дій (зокрема, від зміни команд та/або даних) і від спроб стеження за ходом роботи;

• повинні бути в наявності апаратні та/або програмні засоби, що дозволяють періодично перевіряти коректність функціонування апаратних і програмних компонентів довіреної обчислювальної бази;

• захисні механізми повинні бути протестовані на відповідність їх поведінки системній документації. Тестування повинне підтвердити, що у неавторизованого користувача немає очевидних способів обійти або зруйнувати засоби захисту довіреної обчислювальної бази;

• повинен бути описаний підхід до безпеки, використовуваний виробником, і застосування цього підходу при реалізації довіреної обчислювальної бази.

Клас C2 (на додаток до C1):

• права доступу повинні гранулюватися з точністю до користувача. Всі об’єкти повинні піддаватися контролю доступу;

• при виділенні об’єкту, що зберігається, з пулу ресурсів довіреної обчислювальної бази необхідно ліквідовувати всі сліди його використання;

• кожен користувач системи повинен унікальним чином ідентифікуватися. Кожна реєстрована дія повинна асоціюватися з конкретним користувачем;

• довірена обчислювальна база повинна створювати, підтримувати і захищати журнал реєстраційної інфор­мації, що стосується доступу до об’єктів, контро­льова­них базою;

• тестування повинне підтвердити відсутність очевидних недоліків у механізмах ізоляції ресурсів і захисту реєстраційної інформації.

Клас B1 (на додаток до C2):

• довірена обчислювальна база повинна управляти мітками безпеки, які асоціюються з кожним суб’єктом і об’єктом що зберігається;

• довірена обчислювальна база повинна забезпечити реалізацію примусового управління доступом всіх суб’єктів до всіх об’єктів, що зберігаються;

• довірена обчислювальна база повинна забезпечувати взаємну ізоляцію процесів шляхом розділення їх адресних просторів;

• група фахівців, що повністю розуміють реалізацію довіреної обчислювальної бази, повинна піддати опис архітектури, початкові і об’єктні коди ретельному аналізу і тестуванню;

• повинна існувати неформальна або формальна модель політики безпеки, підтримувана довіреною обчислю­вальною базою.

Клас B2 (на додаток до B1):

• мітками повинні забезпечуватися всі ресурси системи, прямо або опосередковано доступні суб’єктам;

• до довіреної обчислювальної бази повинен підтриму­ва­тися довірений комунікаційний шлях для користувача, який виконує операції початкової ідентифікації та автентифікації;

• повинна бути передбачена можливість реєстрації подій, пов’язаних з організацією таємних каналів обміну з пам’яттю;

• довірена обчислювальна база повинна бути внутрішньо структурована з визначенням відносно незалежних модулів;

• системний архітектор повинен ретельно проаналізувати можливості організації таємних каналів обміну з пам’яттю і оцінити максимальну пропускну здатність кожного виявленого каналу;

• повинна бути продемонстрована відносна стійкість довіреної обчислювальної бази до спроб проникнення;

• модель політики безпеки повинна бути формальною. Для довіреної обчислювальної бази повинні існувати описові специфікації верхнього рівня, які точно і повно визначають її інтерфейс;

• у процесі розробки і супроводу довіреної обчислю­вальної бази повинна використовуватися система конфігураційного управління, що забезпечує контроль змін в описових специфікаціях верхнього рівня, інших архітектурних даних, реалізаційній документації, початкових текстах, працюючій версії об’єкт­ного коду, тестових даних і документації;

• тести повинні підтверджувати дієвість заходів щодо зменшення пропускної здатності таємних каналів передачі інформації.

Клас B3 (на додаток до B2):

• для довільного управління доступом повинні обов’язково використовуватися списки управління доступом з указанням дозволених режимів;

• повинна бути передбачена можливість реєстрації появи або накопичення подій, що несуть загрозу політиці безпеки системи. Адміністратор безпеки повинен негайно сповіщатися про спроби порушення політики безпеки, а система, у разі продовження спроб, повинна присікти їх найменш хворобливим способом;

• довірена обчислювальна база повинна бути спроектована і структурована так, щоб використо­вувати повний і концептуально простій захисний механізм з точно певною семантикою;

• процедура аналізу повинна бути виконана для тимчасових таємних каналів;

• повинна бути специфікована роль адміністратора без­пеки. Одержати право адміністратора безпеки можна тільки після виконання явних, протокольованих дій;

• повинні існувати процедури та/або механізми, що дозволяють провести відновлення після збою або іншого порушення роботи без ослаблення захисту;

• повинна бути продемонстрована стійкість довіреної обчислювальної бази до спроб проникнення.

Клас A1 (на додаток до B3):

• тестування повинне продемонструвати, що реалізація довіреної обчислювальної бази відповідає формальним специфікаціям верхнього рівня;

• крім описових, повинні бути представлені формальні специфікації верхнього рівня. Необхідно використовувати сучасні методи формальної специфікації і верифікації систем;

• механізм конфігураційного управління повинен розповсюджуватися на весь життєвий цикл і всі компоненти системи, що мають відношення до забезпечення безпеки;

• повинна бути описана відповідність між формальними специфікаціями верхнього рівня і початковими текстами.

Наведену класифікацію можна узагальнити таким чином:

• рівень C – довільне управління доступом;

• рівень B – примусове управління доступом;

• рівень A – веріфікована безпека.