Шпоры ТОИБАС

14. Модель Харрисона-Руззо-Ульмана. Формальное описание системы. Критерий безопасности (с доказательством).

15. Модель Белла-ЛаПадулы. Решетка уровней безопасности.

19. Ролевое управление доступом. Критерий безопасности ролевой модели.

Предложена в 1975 году для формализации механизмов мандатного управления доступом. Мандатный принцип разграничения доступа, в свою очередь, ставил своей целью перенести на автоматизированные системы практику секретного документооборота. В этой модели по грифам секретности распределяются субъекты и объекты, действующие в системе, и при этом выполняются следующие правила: 1) Простое правило безопасности (Simple Security, SS). Субъект с уровнем секр-ти x_s может читать информацию из объекта с уровнем секр-ти x_o тогда и только тогда, когда x_s преобладает над x_o. 2) *-свойство - Субъект с уровнем секретности xs может писать информацию в объект с уровнем секретности x_o в том и только в том случае, когда x_o преобладает над x_s. Для первого правила существует мнемоническое обозначение No Read Up, а для второго – No Write Down. Диаграмма информационных потоков (на рисунке):

Решётка уровней секретности.

Решёткой Λ называется алгебраическая

система вида (L,≤,,) , где: ≤ - оператор,

определяющий частичное нестрогое

отношение порядка для уровней

секретности;  - оператор наименьшей

верхней границы;  - оператор

набольшей нижней границы.

Отношение ≤ обладает следующими

свойствами: 1)Рефлексивность:  a  L : a ≤ a - разрешена передача информации между субъектами и объектами одного уровня безопасности. 2)Антисимметричность: a_1, a_2  L : ((a_1 ≤ a_2 )&(a_2 ≤ a_1 )) → a_1 = a_2 - означает, что если информация может передаваться как от субъектов и объектов уровня A к субъектам и объектам уровня B, так и от субъектов и объектов уровня B к субъектам и объектам уровня A, то эти уровни эквивалентны. 3)Транзитивность: a_1, a_2 ,a_3  L : ((a_1 ≤ a_2 )&(a_2 ≤ a_3 ))→ a_1 ≤ a_3 - если инфа может передаваться от субъектов и объектов уровня A к субъектам и объектам уровня B, и от субъектов и объектов уровня B к субъектам и объектам уровня C, то она может передаваться от субъектов и объектов уровня A к субъектам и объектам уровня C. Операторы наименьшей верхней границы  и наибольшей нижней границы  определяются следующим образом:

a = a_1  a_2  (a_1, a_2 ≤ a) (a’  L : (a’ ≤ a) → (a’ ≤ a_1 V a’ ≤ a_2)) ;

a = a_1 a_2  (a ≤ a_1, a_2) (a’  L : (a’ ≤ a_1  a’ ≤ a_2)) →(a’ ≤ a))

Нетрудно показать, что для каждой пары a_1, a_2  L существует единственный элемент наименьшей верхней границы и единственный элемент наибольшей нижней границы.

Разработанная в 1971 г. модель Харрисона-Руззо-Ульмана формализует понятие матрицы доступа – таблицы, описывающей права доступа субъектов к объектам. Строки матрицы

доступа соответствуют субъектам, существующим

в системе, а столбцы – объектам.

На пересечении строки и столбца указаны

права доступа соответствующего субъекта

к данному объекту. Обозначения:

S – множество возможных

субъектов, O – множество возможных объектов

(S  O); R={r1, …, rn} – конечное множество прав доступа, O×S×R - пространство состояний системы; M – матрица прав доступа, описывающая текущие права доступа субъектов к объектам;

Q=(S, O, M) – текущее состояние системы - M[s,o] – ячейка матрицы, содержащая набор прав доступа субъекта s S к объекту oO .

Поведение системы во времени моделируется переходами между различными её состояниями. Переходы осуществляются путём внесения изменений в матрицу М с использованием команд.

Система переходит из состояния Q=(S, O, M) в состояние Q’=(S’, O’, M’).

Формальное описание системы: Система Σ =(Q, R,C) состоит из следующих элементов: 1)Конечный набор прав доступа R={r_1, …, r_n}.

2) Конечный набор исходных субъектов S_0={s_1, …, s_p}

3) Конечный набор исходных объектов O_0={o_1, .., o_m}.

4) Исходная матрица доступа M0.

5) Конечный набор команд { α_i ( х_1,...,х_k )} = C .

Поведение системы во времени рассматривается как послед-ть состояний {Q_i}, каждое последующее состояние является результатом применения некоторой команды к предыдущему: Q_n+1=C_n(Q_n).

Критерий: Для заданной системы начальное состояние Q_0={S_0, O_0, M_0} называется безопасным относительно права r, если не существует применимой к Q_0 последовательности команд, в результате выполнения которой право r будет занесено в ячейку матрицы M, в которой оно отсутствовало в состоянии Q_0.

Другими словами это означает, что субъект никогда не получит право доступа r к объекту, если он не имел его изначально. Если же право r оказалось в ячейке матрицы M, в которой оно изначально отсутствовало, то говорят, что произошла утечка права r.

Решение задачи для частного случая: Система Σ = (Q, R,C) называется монооперационной, если каждая команда α_ i  C выполняет один примитивный оператор. Теорема. Существует алгоритм, который проверяет, является ли исходное состояние монооперационной системы безопасным для данного права a. ◄ Покажем, что число последовательностей команд системы, которое необходимо проверить, является ограниченным. Тогда проверка безопасности исходного состояния системы сведётся к полному перебору всех последовательностей и проверке конечного состояния каждой из них на отсутствие утечки права a. Заметим, что команды delete и destroy можно не рассматривать, поскольку нас интересует наличие права a, а не его отсутствие. Аналогично, нет необходимости рассматривать более одного оператора create: система является монооперационной, и одна команда не может одновременно создать объект или субъект и модифицировать его права доступа, поскольку путём замены параметров можно ограничиться работой с последовательностями команд, которые оперируют над существующими субъектами и объектами. Единственная команда create будет необходима на случай, если в начальном состоянии в системе не было ни одного субъекта.

Итак, пусть c1, c2, …, cn – последовательность команд, в результате выполнения которой происходит утечка права a. Упростим эту последовательность команд следующим образом: 1) Удалим все команды delete и destroy. 2) Добавим в начало последовательности c1, c2, …, cn команду sinit вида create subject. 3) Проходя последовательность команд справа налево, последовательно удалим все команды вида create subject и заменим все ссылки на создаваемые с помощью этих команд субъекты ссылкой на sinit. 4) Аналогично удалим все команды вида create object, заменяя ссылки на создаваемые с помощью этих команд объекты ссылками на sinit. 5) Удалим все команды вида enter, вносящие право a в ячейку, которая уже содержит это право. Согласно приведённым выше замечаниям, получившаяся в результате данных преобразований последовательность команд также приводит к утечке права a.

Проанализируем состав возможных команд в получившейся послед-ти. Команды вида create object, destroy subject, destroy object и delete в последовательности отсутствуют. Команда create subject присутствует в единственном числе. Максимальное число команд вида enter равно |R|(|S_0|+1)(|O_0|+1). Тем самым, общее число возможных команд равно |R|(|S_0|+1)(|O_0|+1)+1 – а значит, количество

последовательностей команд ограничено.►

Ролевая модель управления доступом содержит ряд особенностей, которые не позволяют отнести её ни к категории дискреционных, ни к категории мандатных моделей. Основная идея реализуемого в данной модели подхода состоит в том, что понятие «субъект» заменяется двумя новыми понятиями: пользователь – человек, работающий в системе; роль – активно действующая в системе абстрактная сущность, с которой связан ограниченный и логически непротиворечивый набор полномочий, необходимых для осуществления тех или иных действий в системе. (Пр. root в Unix). Управление доступом при использовании ролевой модели осуществляется следующим образом: 1) Для каждой роли указывается набор полномочий, представляющий собой набор прав доступа к объектам АС; 2) Каждому пользователю назначается список доступных ему ролей. Пользователь может быть ассоциирован с несколькими ролями, что упрощает администрирование сложных корпоративных АС.

Формальное описание. Обозначения: U – множество пользователей; R – множество ролей; P – совокупность полномочий на доступ к объектам (реализованная, напр, в виде матрицы доступа); S – множество сеансов работы пользователей с системой Управление доступом реализуется с использованием следующих отображений: 1) PA ⊆ P × R - отображение множества полномочий на множество ролей, задающее для каждой роли установленный набор полномочий; 2) UA ⊆U × R - отображение множества пользователей на множество ролей, определяющее набор ролей, доступных данному пользователю; 3) user : S → U - функция, определяющая для сеанса s ∈ S текущего пользователя u∈U : user(s) = u 4) roles : S → {R} - функция, определяющая для сеанса s ∈ S набор ролей из множества R, доступных в данном сеансе: roles(s) = { r_i | (user(s), r_i) ∈ UA} 5) permissions : S →{P} - функция, задающая для сеанса s ∈ S набор доступных в нём полномочий (иначе говоря, совокупность полномочий всех ролей, доступных в данном сеансе):

permissions(s) = U_(r∈ roles(s)) {p_i | (p_i,r) ∈ PA}.

Критерий безопасности системы: система считается безопасной, если любой пользователь в системе, работающий в сеансе s ∈ S , может осуществлять действия, требующие полномочий p ∈ P , только в том случае, если p ∈ permissions(s). На практике управление доступом в АС при использовании ролевой модели осуществляется главным образом не с помощью назначения новых полномочий ролям, а путём задания отношения UA – т.е. путём определения ролей, доступных данному пользователю. В большинстве случаев реализуется один из двух вариантов: 1) Создание иерархических ролей, полностью копирующих корпоративную иерархию и сохраняющих отношения между ролями, существующие в реальном мире. 2) Использование взаимоисключающих ролей, позволяющих эффективно реализовать разделение обязанностей

16. Модель Белла-ЛаПадулы. Основная теорема безопасности.

Предложена в 1975 году для формализации механизмов мандатного управления доступом. Мандатный принцип разграничения доступа, в свою очередь, ставил своей целью перенести на автоматизированные системы практику секретного документооборота. В этой модели по грифам секретности распределяются субъекты и объекты, действующие в системе, и при этом выполняются следующие правила: 1) Простое правило безопасности (Simple Security, SS). Субъект с уровнем секр-ти x_s может читать информацию из объекта с уровнем секр-ти x_o тогда и только тогда, когда x_s преобладает над x_o. 2) *-свойство - Субъект с уровнем секретности xs может писать информацию в объект с уровнем секретности x_o в том и только в том случае, когда x_o преобладает над x_s. Для первого правила существует мнемоническое обозначение No Read Up, а для второго – No Write Down. Диаграмма информационных потоков (на рисунке, уровни секретности)

Теорема . СистемаΣ = (v_0, R, T)

безопасна тогда и только тогда, когда

выполнены следующие условия:

1) Начальное состояние v_0 безопасно.

2) Для любого состояния v,

достижимого из v_0 путём применения

конечной последовательности запросов

из R, таких, что T(v, r) = v^∗ , v=(F, M) и

v^∗ = (F∗ ,M ∗ ) , для ∀s∈S,∀o∈O выполнены условия:

1. Если r ∈M∗[s,o] и r ∉M[s,o], то F∗ (o) ≤ F∗ (s) .

2. Если r ∈M[s,o]и F ∗ (s) < F∗ (o) , то r ∉M∗[s,o] .

3. Если w∈M ∗[s,o] и w∉M[s,o] , то F∗ (s) ≤ F ∗ (o) .

4. Если w∈M[s,o] и F ∗ (o) < F∗ (s) , то w∉M ∗[s,o].

◄ Пусть система Σ = (v_0, R, T) безопасна. В этом случае начальное состояние v_0 безопасно по определению. Предположим, что существует безопасное состояние v^∗, достижимое из состояния v: T(v, r) = v^∗ , и для данного перехода нарушено одно из условий 1-4. Легко заметить, что в случае, если нарушены условия 1 или 2, то состояние v^∗ будет небезопасным по чтению, а если нарушены условия 3 или 4 – небезопасным по записи. В обоих случаях мы получаем противоречие с тем, что состояние v^∗ является безопасным. Докажем достаточность утверждения. Система Σ = (v_0, R, T) может быть небезопасной в двух случаях: 1. В случае если начальное состояние v_0 небезопасно. Однако данное утверждение противоречит условию теоремы.

2. Если существует небезопасное состояние v^∗ , достижимое из безопасного состояния v0 путём применения конечного числа запросов из R. Это означает, что на каком-то промежуточном этапе произошёл переход T(v, r) = v^∗, где v – безопасное состояние, а v^∗ - небезопасное. Однако условия 1-4 делают данный переход невозможным. ►

21. Скрытые каналы передачи информации.

Пусть имеется модель мандатного управления доступом M и её реализация I(M). Тогда любая потенциальная связь между двумя субъектами I(s_h) и I(s_i) называется скрытым каналом передачи информации, если эта связь не разрешена в модели M.

Выделяют следующие типы скрытых каналов:

1) Скрытые каналы по памяти, в которых инфа

передаётся через доступ отправителя на запись

и получателя на чтение к одним и тем же ресурсам

или объектам; 2) Скрытые каналы по времени,

которые характеризуются доступом отправителя

и получателя к одному и тому же процессу или

изменяемому во времени атрибуту.

Пр. Рассмотрим систему, в которой

имеются два уровня секретности: High и Low.

Передача информации с уровня Low на

уровень High разрешена, в обратном направлении

– запрещена. Цель нарушителя состоит в том,

чтобы организовать скрытый канал для

передачи информации от программ-аппаратн

агента, функционирующего в среде High,

к другому программно-аппаратному агенту,

функционирующему в среде Low. Субъект,

функционирующий в среде High, может

выполнять настройки параметров безоп-ти

элементов файловой системы, и настройки

доступны для наблюдения в среде Low.

В этом случае злоумышленник может

закодировать передаваемую информацию

в значениях параметров безопасности тех или иных элементов файловой системы (на рисунке это файл File.txt). Методы выявления: 1) Метод разделяемых ресурсов Кемерера:  для каждого разделяемого ресурса в системе строится матрица, строки которой соответствуют всевозможным атрибутам разделяемого ресурса, а столбцы – операциям, выполняемым в системе;  значения в ячейках матрицы соответствуют воздействиям, осуществляемым при выполнении тех или иных операций в отношении атрибутов разделяемых ресурсов. Получившаяся в результате матрица позволяет отследить информационные потоки, существующие в системе; 2) Сигнатурный анализ исходных текстов программного обеспечения. Данный метод предполагает проведение анализа исходных текстов программ с целью выявления конструкций, характерных для скрытых каналов передачи информации.

17. Модель Кларка-Вилсона.

Предложена в 1987 г. Является описательной и не содержит каких бы то ни было строгих математических конструкций – её целесообразно рассматривать как совокупность практических рекомендаций по построению системы обеспечения целостности в АС. Обозначения:

S – множество субъектов; D – множество данных в автоматизированной системе (множество объектов); CDI (Constrained Data Items) – данные, целостность которых контролируется; UDI (Unconstrained Data Items) – данные, целостность которых не контролируется; D = CDI ∪UDI ,

CDI ∩UDI =O; TP (Transformation Procedure) – процедура преобраз-я, т.е. компонент, котрый может инициировать транзакцию – послед-ть операций, переводящую систему из одного состояния в другое; IVP (Integrity Verification Procedure) – процедура проверки целостности CDI.

Правила модели:

1. В системе должны иметься IVP, способные подтвердить целостность любого CDI. Примером IVP может служить механизм подсчёта контрольных сумм.

2. Применение любой TP к любому CDI должно сохранять целостность этого CDI.

3. Только TP могут вносить изменения в CDI.

4. Субъекты могут инициировать только определённые TP над определёнными CDI. Данное требование означает, что система должна поддерживать отношения вида (s, t, d), где s ∈ S , t ∈TP , d ∈CDI . Если отношение определено, то субъект s может применить преобразование t к объекту d.

5. Должна быть обеспечена политика разделения обязанностей субъектов – т.е. субъекты не должны изменять CDI без вовлечения в операцию других субъектов системы.

6. Специальные TP могут превращать UDI в CDI.

7. Каждое применение TP должно регистрироваться в специальном CDI. При этом: 1) данный CDI должен быть доступен только для добавления информации; 2) в данный CDI необходимо записывать инфу, достаточную для восстановления полной картины функционирования системы.

8.Система должна распознавать субъекты, пытающиеся инициировать TP

9. Система должна разрешать производить изменения в списках авторизации только специальным субъектам (например, админам безопасности). Данное требование означает, что тройки (s, t, d) могут модифицировать только определённые субъекты.

Безусловными достоинствами модели являются её простота и лёгкость совместного использования с другими моделями безопасности.

18. Модель Биба.

Разработана в 1977 году как модификация модели Белла-ЛаПадулы, ориентированная на обеспечение целостности данных. Аналогично модели Белла-ЛаПадулы, модель Биба использует решётку классов целостности Λ = (IC,≤,•,⊗) , где IC – классы целостности данных.

Базовые правила Модели Биба формулируются следующим образом:

1) Простое правило целостности (Simple Integrity, SI) - Субъект с уровнем целостности x_s может читать информацию из объекта с уровнем целостности x_o тогда и только тогда, когда x_0 преобладает над x_s.

2) * - свойство (* - integrity) - Субъект с уровнем целостности x_s может писать информацию в объект с уровнем целостности x_o тогда и только тогда, когда x_s преобладает над x_o. Для первого правила существует мнемоническое обозначение No Read Down, а для второго – No Write Up.

Диаграмма информационных потоков:

В большинстве приложений

целостность данных рассматр-ся

как некое свойство, которое либо

сохраняется, либо не сохраняется –

и введение иерархических уровней

целостности может представл-ся

излишним. Уровни целостности в

модели Биба стоит рассматривать

как уровни достоверности,

а соответствующие

информационные потоки – как передачу

информации из более достоверной совокупности данных в менее достоверную и наоборот.

Формальное описание модели Биба полностью аналогично описанию модели Белла-ЛаПадулы. К достоинствам модели Биба следует отнести её простоту, а также использование хорошо изученного математического аппарата. В то же время модель сохраняет все недостатки, присущие модели Белла-ЛаПадулы.

22. Стандарты информационной безопасности. Общие положения. Классификация стандартов. Статус основных стандартов ИБ в РФ

23. Основные положения «Оранжевой книги».

24. Основные положения концепции защиты СВТ и АС от НСД к информации.

В общем случае стандартом принято называть документ,в котором в целях добровольного многократного использования устанавливаются характеристики продукции, правила осуществления и характеристики процессов производства, эксплуатации, хранения, перевозки, реализации и утилизации, выполнения работ или оказания услуг. Стандарт может задавать и другие требования – например, к символике или терминологии.

Формальной причиной необходимости использования стандартов является тот факт, что необходимость следования некоторым из них закреплена законодательно. Реальные причины: обычно стандарт является результатом формализации опыта лучших специалистов в той или иной области, и потому представляет собой надёжный источник оптимальных и проверенных решений. Стандарты являются также одним из основных механизмов обеспечения совместимости продуктов и систем – в частности, АС, использующих решения от различных производителей.

Основные стандарты:

- Руководящие документы (РД) Гостехкомиссии России действуют и активно используются при проведении сертификации средств защиты информации в системах сертификации ФСТЭК России, Минобороны России, а также в ряде добровольных систем сертификации.

- Стандарт ГОСТ Р ИСО/МЭК 15408-2002, более известный как «Общие

критерии», действует и применяется при проведении сертификации средств защиты, не предназначенных для работы с информацией, составляющей государственную тайну.

- Криптографические стандарты (ГОСТ 28147-89, ГОСТ 3410-2001, ГОСТ

3411-94) являются обязательными для применения в системах защиты

информации, позиционируемых как средства криптографической защиты.

- Управленческие стандарты ISO 17799-2005 и ISO 27001-2005 в настоящее время не имеют официального статуса, но это планируется.

Стандарт «Критерии оценки доверенных компьютерных систем» был разработан МинОбороны США в 1983 г. и стал первым в истории общедоступным оценочным стандартом в области информационной безопасности. Требования оранжевой книги имеют структуру:

-политика безопасности: возможность доступа субъектов к объектам должна определяться на основании их идентификации и установленных в системе параметров разграничения доступа

по мере необходимости должны использоваться механизмы мандатного управления доступом, для этого система должна предоставлять каждому объекту набор атрибутов, определяющих его секретность и режимы доступа к этому объекту.

-подотчетность: все субъекты должны иметь уникальные идентификаторы. контроль доступа должен осуществляться на основе идентификации субъектов и объектов доступа, механизма аутентификации и правил разграничения доступа. данные, используемые для идентификации, аутентификации и разграничения доступа должны быть защищены от несанкционированного использования. все происходящие в системе события, имеющие значение с точки зрения безопасности, должны отслеживаться и регистрироваться в специальном журнале. этот журнал должен быть надежно защищен от несанкционированного доступа.

-требования к архитектуре: все средства защиты функционирующей автоматической системы должны находиться под контролем средств, проверяющих корректность их функционирования. средства контроля должны быть независимы от средств защиты. все средства защиты должны быть защищены от несанкционированного вмешательства и подключения. такая защита должна быть постоянной и непрерывной в любом режиме функционирования системы и на всех этапах её жизненного цикла. 4 группы классов защищенности системы:

A - А1 - применение формальных методов верификации корректности функционирования механизмов управления доступом, функциональные требования совпадают с классом В3, но на всех этапах создания системы требуется формальное обоснование корректности функционирования каждого из применяемых алгоритмов

B - В1, В2, В3 - мандатное управление доступом с использованием меток безопасности, в системе должны быть реализованы модели или политики безопасности, должна быть реализована концепция монитора безопасности обращения (центральный модуль системы разграничения доступа)

C - С1, С2 - характеризуется наличием дискреционного управления доступом и регистрации действий субъектов.

D - D1 - те системы, которые были представлены для

сертификации по требованиям одного из более высоких классов защищённости, но не прошли испытания.

Самые высокие требования - А1. Требования к В3 выше, чем к В2.

Недостатки: разрабатывалась для принципиально иной технической базы и не учитывает специфику современных технологий, таких как распределённые системы. Стандарт с жесткими требованиями не позволяет учесть специфику конкретной системы.

Под несанкционированным доступом (НСД) понимается доступ к информации, нарушающий установленные правила разграничения доступа, с использованием штатных средств предоставляемых СВТ или АС. Выделяют два направления защиты от НСД: 1. Связанные со средствами вычислительной техники (СВТ); 2. Связанные с автоматизированными системами (АС). Основные положения:

1) Защита СВТ и АС основывается на положениях и требованиях

соответствующих законов, стандартов и нормативно-методических документов по защите от НСД к информации; 2)Защита АС обеспечивается комплексом программно-технических средств и поддерживающих их организационных мер; 3) Защита СВТ обеспечивается программно технических средств; 4) Защита обеспечивается на всех этапах обработки информации и во всех режимах функционирования; 5) Программно-технические средства защиты не должны существенно ухудшать основные функциональные характеристики АС: надежность, быстродействие и масштабируемость; 6) Защита должна предусматривать контроль системы защиты периодический или который инициируется по мере необходимости пользователями АС или контролирующими органами

Под нарушителем понимается субъект, имеющий доступ к работе со штатными средствами АС или СВТ. Нарушители классифицируются по уровням их возможностей: 1) Возможность запуска программ из фиксированного набора, реализующих заранее предусмотренные функции

2) Возможность создания и запуска собственных программ с новыми функциями, которые изначально не предусмотрены в системе

3) Возможность управления функционированием АС, возможность воздействия на базовое ПО системы и на состав и конфигурацию её оборудования; 4) Весь объем возможностей лиц, осуществляющих

проектирование, реализацию и ремонт технических средств АС, вплоть до включения в состав СВТ собственных технических средств с новыми функциями обработки информации.

Обеспечение защиты СВТ и АС осуществляется системой разграничения

доступа (СРД) субъектов к объектам доступа и обеспечивающими средствами для СРД.

27. Основные положения РД Гостехкомисии России «Средства вычислительной техники. Межсетевые экраны. Защита от НСД. Показатели защищенности от НСД к информации».

Показатели защищённости применяются к межсетевым экранам (МЭ) для

определения уровня защищённости, который они обеспечивают при межсетевом взаимодействии. Устанавливаются 5 классов защищённости МЭ, однозначно сопоставленных с классами АС. Принадлежность к тому или иному классу МЭ определяется путём анализа соответствия следующим показателям защищённости:

1. Управление доступом (фильтрация данных и трансляция адресов). Для различных классов защищённости фильтрация производится на разных уровнях модели ISO/OSI; 2. Идентификация и аутентификация (входящих и исходящих запросов); 3. Регистрация; 4. Администрирования: идентификация и аутентификация; 5. Администрирование: регистрация;

6. Администрирование: простота использования; 7. Целостность; 8. Восстановление; 9. Тестирование (возможность проведения регламентного тестирования); 10. Руководство администратора защиты; 11. Тестовая документация; 12. Конструкторская (проектная) документация.

Ключевая особенность рассмотренного документа состоит в том, что

классификация МЭ производится, в том числе и по уровням модели ISO/OSI, на которых осуществляется фильтрация. Данный подход впервые был предложен именно в этом руководящем документе.

25. Основные положения РД Гостехкомисии России «Средства вычислительной техники. Защита от НСД к информации. Показатели защищѐнности от НСД к информации».

26. Основные положения РД Гостехкомисии России «Автоматизированные системы. Защита от НСД к информации. Классификация АС и требования по защите информации».

РД устанавливает классификацию средств вычислительной техники по уровню защищённости от НСД к информации на базе перечня показателей защищённости и совокупности описывающих их требований. СВТ -совокупность программных и технических элементов АС, способных функционировать самостоятельно или в составе других систем.

Есть 7 классов защищённости СВТ от НСД к информации, разбитые

на 4 группы: I. 7 класс – СВТ, которые были представлены к оценке, однако не удовлетворяют требованиям более высоких классов; II. 6 и 5 классы – дискреционная защита; III. 4, 3 и 2 классы – мандатная защита; IV. 1 класс – верифицированная защита.

Требования ужесточаются с увеличением номера класса. Каждый класс характеризуется фиксированным набором показателей защищённости. Классы являются иерархически упорядоченными: каждый последующий класс содержит требования всех предыдущих. Требования предъявляются к следующим показателям защищённости:

1. Дискреционный принцип контроля доступа; 2. Мандатный принцип контроля доступа; 3. Очистка памяти; 4. Изоляция модулей;

5. Маркировка документов; 6. Защита ввода и вывода на отчуждаемый физический носитель информации; 7. Сопоставление пользователя с устройством (например, с консолью); 8. Идентификация и аутентификация; 9. Гарантии проектирования; 10. Регистрация; 11. Взаимодействие пользователя с комплексом средств защиты (подразумевается чёткое определение всех возможных интерфейсов); 12. Надежное восстановление; 13. Целостность КСЗ; 14. Контроль модификации; 15. Контроль дистрибуции (имеется в виду контроль точности копирования при изготовлении копий с образца носителя данных); 16. Гарантии архитектуры (означает, что реализованная модель безопасности обеспечивает гарантированный перехват монитором безопасности обращений

всех попыток доступа в системе); 17. Тестирование; 18. Руководство для пользователя; 19. Руководство по комплексу средств защиты; 20. Тестовая документация; 21. Конструкторская (проектная) документация.

Оценка класса защищённости СВТ осуществляется путём проведения сертификационных испытаний.

РД устанавливает классификацию АС, подлежащих защите от НСД к инфы, и задаёт требования по защите информации в АС различных классов. Классификация АС включает этапы: 1) Разработка и анализ исходных данных; 2) Выявление основных признаков АС, необходимых для классификации; 3) Сравнение выявленных признаков АС с классифицируемыми; 4) Присвоение АС соответствующего класса защиты информации от НСД. Исходные данные для классификации АС: 1) Перечень защищаемых инф. ресурсов АС и их уровень конфиденциальности; 2) Перечень лиц, имеющих доступ к штатным средствам АС, с указанием их уровня полномочий; 3) Матрица доступа или полномочий субъектов доступа по отношению к защищаемым инф. ресурсам АС; 4) Режим обработки данных в АС. Устанавливаются 9 классов защищённости АС от НСД. Классы подразделяются на 3 группы: III группа – классы 3Б и 3А - АС, в которых работает один пользователь, допущенный ко всей информации в АС, размещённой на носителях одного уровня конфиденциальности; II группа – классы 2Б и 2А - АС, в которых пользователи имеют одинаковые права доступа ко всей информации в АС, обрабатываемой или хранимой на носителях различного уровня конфиденциальности; I группа – классы 1Д, 1Г, 1В, 1Б и 1А - В АС одновременно обрабатывается или хранится информация разных уровней конфиденциальности. Не все пользователи имеют доступ ко всей информации в АС.

Для каждого из классов фиксируется набор требований, составленный из следующего общего списка:

1. Подсистема управления доступом

1.1. Идентификация, проверка подлинности и контроль доступа субъектов: а) в систему; б) к терминалам, ЭВМ, узлам сети ЭВМ, каналам связи, внешним устройствам ЭВМ; в) к программам;

г) к томам, каталогам, файлам, записям, полям записей.

1.2. Управление потоками информации

2. Подсистема регистрации и учёта

2.1. Регистрация и учёт: а) входа (выхода) субъектов доступа в (из) систему (узел сети); б) выдачи печатных (графических) выходных документов; в) запуска (завершения) программ и процессов; г) доступа программ субъектов доступа к защищаемым файлам, включая их

создание и удаление, передачу по линиям и каналам связи; д) доступа программ субъектов доступа к терминалам, ЭВМ, узлам сети ЭВМ и т.д.; е) изменения полномочий субъектов доступа; ж) создаваемых защищаемых объектов доступа.

2.2. Учёт носителей информации.

2.3. Очистка освобождаемых областей оперативной памяти ЭВМ и внешних накопителей.

2.4. Сигнализация попыток нарушения защиты.

3. Криптографическая подсистема

3.1. Шифрование конфиденциальной информации.

3.2. Шифрование информации, принадлежащей различным субъектам доступа (или группам субъектов), на различных ключах.

3.3. Использование аттестованных (сертифицированных) криптографических средств.

4. Подсистема обеспечения целостности

4.1. Обеспечение целостности программных средств и обрабатываемой информации.

4.2. Физическая охрана СВТ и носителей информации.

4.3. Наличие администратора (службы) защиты информации в АС.

4.4. Периодическое тестирование средств защиты информации (СЗИ) от НСД.

4.5. Наличие средств восстановления СЗИ от НСД.

4.6. Использование сертифицированных средств защиты.

Проверка соответствия требованиям по защите информации от НСД для АС

производится в рамках сертификационных или аттестационных испытаний.

28. Основные положения РД Гостехкомисии России «Защита от НСД к инфы. Часть 1. ПО средств защиты инфы. Классификация по уровню контроля отсутствия недекларированных возможностей».

Под недекларированными возможностями понимаются возможности программного обеспечения, не описанные или не соответствующие описанным в документации, при использовании которых возможно нарушение конфиденциальности, доступности или целостности обрабатываемой информации. Одной из возможных реализаций недекларированных возможностей являются программные закладки – преднамеренно внесённые в программное обеспечение (ПО) функциональные объекты, которые при определённых условиях инициируют выполнение не описанных в документации функций ПО, приводящих к нарушению конфиденциальности, доступности или целостности обрабатываемой информации. Устанавливаются 4 уровня контроля. В общем случае к ПО предъявляются требования: Требования к документации: 1. Контроль состава и содержания документации

( 1.1. Спецификация; 1.2. Описание программы; 1.3. Описание применения;

1.4. Пояснительная записка; 1.5. Тексты программ, входящих в состав программного обеспечения); Требования к содержанию испытаний:

2. Контроль исходного состояния программного обеспечения;

3. Статический анализ исходных текстов программ: (3.1. Контроль полноты и отсутствия избыточности исходных текстов; 3.2. Контроль соответствия исходных текстов ПО его объектному (загрузочному) коду; 3.3. Контроль связей функциональных объектов по управлению; 3.4. Контроль связей функциональных объектов по информации; 3.5. Контроль информационных объектов; 3.6. Контроль наличия заданных конструкций в исходных текстах;

3.7. Формирование перечня маршрутов выполнения функциональных объектов; 3.8.Анализ критических маршрутов выполнения функциональных объектов (критическим считается маршрут, при выполнении которого существует возможность неконтролируемого нарушения установленных правил обработки информационных объектов); 3.9. Анализ алгоритма работы функциональных объектов на основе блок-схем, построенных по исходным текстам контролируемого ПО); 4. Динамический анализ исходных текстов программ (4.1. Контроль выполнения функциональных объектов; 4.2. Сопоставление фактических маршрутов выполнения функциональных объектов и маршрутов, построенных в процессе проведения статического анализа); 5. Отчётность - Предъявляются требования к документам, разрабатываемым в ходе и по результатам проведённых испытаний.

Испытания, проводимые в соответствии с данным документом, должны содержать проверки, относящиеся к двум основным категориям – статическому и динамическому анализу. Статический анализ исходных текстов программ – это совокупность методов контроля соответствия реализованных и декларированных в документации функциональных возможностей ПО, основанных на структурном анализе и декомпозиции исходных текстов программ. Динамический анализ основывается на идентификации фактических маршрутов выполнения функциональных объектов с последующим сопоставлением маршрутам, построенным в процессе проведения статического анализа. Статически и динамический методы анализа дополняют друг друга: результаты статического анализа используются при проведении динамического анализа.