Основые Критерии Защищенности Ас.Основные Компоненты Безопасности Tcsecни. Функциональные Услуги Безопасности По НД ТЗИ 2.5-004-99

Для всіх рівнів даної послуги необхідною умовою є реалізація рівня НИ-1 послуги  ідентифікація і автентифікація, що цілком очевидно. Для рівнів КД-3 і КД-4 необхідною умовою є реалізація рівня КО-1 послуги повторне використання об'єктів, оскільки, якщо при виділенні  об'єкта користувачеві в цьому  об'єкті міститься інформація, що залишилась від попереднього користувача, то це може призвести до витоку інформації, і всі зусилля щодо реалізації даних рівнів послуги будуть марні.

Адміністративна конфіденційність

Послуга адміністративна  конфіденційність дозволяє адміністратору або спеціально авторизованому користувачу  керувати потоками інформації від захищених  об'єктів до користувачів.

Згідно з політикою  адміністративної конфіденційності об'єкту присвоюються атрибути доступу, що визначають домен, якому повинні належати ті користувачі або процеси, які  намагаються одержати інформацію. Найбільше  розповсюдження отримав механізм, коли у вигляді атрибутів доступу  використовуються мітки, що визначають рівень конфіденційності інформації (об'єкта) і рівень допуску користувача. Таким  чином КЗЗ на підставі порівняння міток об'єкта і користувача може визначити, чи є користувач, що здійснює запит на доступ до  інформації, авторизованим  користувачем.

Рівні даної  послуги ранжируються на підставі повноти  захисту і вибірковості керування  повністю аналогічне рівням послуги  довірча конфіденційність з тією відміністю, що тільки адміністратор  або авторизований адміністратором  користувач має право включати і  вилучати користувачів, процеси і  об'єкти до/з конкретних доменів  або піддоменів.

Як і для  послуги довірча конфіденційність, для всіх рівнів даної послуги  необхідною умовою є реалізація рівня  НИ-1 послуги ідентифікація і автентифікація, а для рівнів КА-3 і КА-4 — рівня  КО-1 послуги повторне використання об'єктів. Додатковою необхідною умовою для всіх рівнів даної послуги  є реалізація рівня НО-1 послуги  розподіл обов'язків, оскільки в системі  повинні бути визначені ролі звичайного користувача і адміністратора.

Повторне використання об'єктів 

КС забезпечує послугу повторне використання об'єктів, якщо перед наданням користувачеві  або процесу в розділювальному  об'єкті не залишається інформації, яку він містив, і скасовуються попередні права доступу до об’єкта. Реалізація даної послуги дозволяє забезпечити захист від атак типу "збирання сміття ".

Критерії не встановлюють, коли саме має виконуватися очищення об'єкта. Залежно від реалізованих механізмів можна виконувати очищення об'єкта під час його звільнення користувачем або безпосередньо  перед його наданням наступному користувачу. Повторне використання об'єкта може бути реалізовано також шляхом шифрування інформації, що міститься в об'єктах, і використання керування криптографічними ключами замість знищення інформації.

Аналіз прихованих каналів

Аналіз прихованих каналів виконується з метою  виявлення і вилучення потоків  інформації, що існують, але не контролюються  іншими послугами. Рівні даної послуги  ранжируються на підставі того, чи виконується  тільки виявлення, контроль або перекриття прихованих каналів.

Ніякого обмеження  на смугу пропускання прихованих каналів і ніякої різниці між  прихованими каналами з пам'яттю і тимчасовими прихованими каналами не робиться. Проте це не означає, що смуга пропускання прихованих каналів  не повинна обмежуватись. На практиці, наприклад, може виявитись даремною реалізація послуг конфіденційності на рівнях КД-4 і КА-4, якщо в системі  існують приховані канали з смугою пропускання у  декілька сотень кілобайт за секунду.

Необхідною умовою для реалізації всіх рівнів даної  послуги є рівень гарантій не нижче  Г-3, оскільки розробник повинен виконати аналіз прихованих каналів на етапі  проектування системи, а також реалізація рівня КО-1 послуги повторне використання об'єктів, оскільки  можливість одержання  інформації, що залишилась в об'єкті від попереднього користувача, сама собою може розглядатися як прихований канал.

Конфіденційність  при обміні

В розподіленому  оточенні можуть взаємодіяти різні  КЗЗ, які часто реалізують різні  політики безпеки інформації. Послуги  захисту інформації при обміні (конфіденційність при обміні, цілісність при обміні, ідентифікація і автентифікація при обміні, автентифікація відправника  і автентифікація одержувача) дозволяють забезпечити безпеку обміну інформацією  між такими КЗЗ через незахищене середовище.

КЗЗ розглядає  ресурси КС в якості об'єктів і  управляє взаємодією цих об'єктів  відповідно до реалізованої політики безпеки інформації. Як об'єкти ресурси  характеризуються двома аспектами: логічне подання (зміст, семантика, значення) і фізичне подання (форма, синтаксис). Об'єкт характеризується своїм станом (змістом), що в свою чергу характеризується атрибутами, і поводженням, яке визначає засоби зміни стану.

Локалізований КЗЗ (наприклад, операційна система  з функціями захисту) розглядає  тільки логічне подання об'єктів. Фізичне подання об'єктів захищене тільки від внутрішніх об'єктів, а  не від впливу з боку зовнішніх  сутностей (агентів). Захист від зовнішніх  щодо КС загроз реалізується організаційними  заходами і заходами фізичного захисту. До зовнішніх впливів схильні  об'єкти, що зберігаються в енергонезалежній пам'яті (зовнішніх носіях).

У розподіленому  оточенні не можна гарантувати, що зовнішній  агент не може отримати доступ до фізичного  подання об'єктів. Особливо це відноситься  до ліній зв'язку (каналів взаємодії). Таким чином, необхідно, щоб об’єкти  були захищені під час їх експорту із фізично безпечного оточення.

Послуга конфіденційність при обміні дозволяє забезпечити  захист об'єктів від несанкціонованого  ознайомлення  з інформацією, що в них міститься, під час їх експорту/імпорту через незахищене середовище. Найчастіше дана послуга  реалізується з використанням криптографічних  перетворень. Рівні даної послуги  ранжируються на підставі повноти захисту  і вибірковості керування. Під повнотою захисту в даному випадку розуміють  множину  типів загроз, від яких забезпечується захист. Під ступенем захищеності об'єктів, що експортуються, як правило, розуміють криптостійкість  використовуваних алгоритмів шифрування.

Так, реалізація даної послуги на рівні КВ-1 забезпечує захист від несанкціонованого ознайомлення за рахунок пасивного спостереження  за лініями зв'язку або розкрадання  носіїв інформації. Прикладом реалізації може служити програмне шифрування файлів перед їх передачею  каналами зв'язку або прозоре шифрування файлів перед їх записуванням на диск.

Реалізація даної  послуги на рівні КВ-2 дозволяє керувати засобами експорту і імпорту об'єктів  і додатково забезпечує захист від  помилок користувача та інших  випадкових помилок, а також від  витоку інформації при підключенні  несанкціонованих користувачів.

Реалізація даної  послуги на рівні КВ-3 дозволяє забезпечити  криптографічне розділення каналів  обміну і є необхідною для забезпечення взаємодії КЗЗ, що підтримують обробку  інформації рівня секретної або  реалізують різні політики безпеки.

Реалізація даної  послуги на рівні КВ-3 дозволяє забезпечити  захист від компрометації за рахунок  аналізу трафіку і від витоку інформації прихованими каналах  обміну, що існують. Для реалізації даного рівня від розробника вимагається  виконання аналізу прихованих каналів.

      Критерії  цілісності

Цілісність забезпечується  дотриманням вимог політики безпеки  щодо переміщення інформації до об’єкта  з боку користувача або процесу. Правильне (допустиме) переміщення  визначається як переміщення інформації до об’єкта від авторизованого користувача  або процесу 

В даному розділі  Критеріїв зібрані послуги, реалізація яких дозволяє забезпечити захист інформації від несанкціонованої модифікації (включаючи її знищення). Цілісність забезпечується  такими послугами: довірча цілісність, адміністративна  цілісність, відкат, цілісність при  обміні. Принципи, що лежать в основі реалізації послуг, визначаються політикою  цілісності.

Довірча цілісність

Дана послуга  дозволяє користувачеві керувати потоками інформації від інших користувачів до захищених об'єктів, що належать його домену. Рівні даної послуги  ранжируються на підставі повноти захисту  і вибірковості керування.

Мінімальна довірча  цілісність (ЦД-1). На даному рівні користувач, домену якого належить об'єкт, може накладати обмеження на доступ до об'єктів з боку інших користувачів. Керування правами має грубу  вибірковість (на рівні розподілу  потоків інформації між групами  користувачів). Для такої системи  можна побудувати часткову матрицю  доступу користувачів до захищених  об'єктів.

Базова довірча  цілісність (ЦД-2). Більш сильним методом  запобігання неавторизованій модифікації  є накладення обмежень на те, який процес або група процесів може модифікувати об’єкт. Користувач, домену якого належить об'єкт, може накладати обмеження  на доступ до об'єктів з боку процесів і груп процесів. Для такої системи  можна побудувати часткову матрицю  доступу процесів до захищених об'єктів.

Повна довірча  цілісність (ЦД-3). Основна відмінність  між рівнями ЦД-2 і ЦД-3 полягає  в тому, що на даному рівні надається  більш висока вибірковість керування  тим, які процеси можуть або не можуть модифікувати об'єкт. Для такої  системи можна побудувати повну  матрицю доступу процесів до захищених  об'єктів.

Абсолютна довірча  цілісність (ЦД-4). Реалізація послуги  довірча цілісність на даному рівні  забезпечує повне керування потоками інформації всередині системи. Атрибути доступу користувача, процесу і  об'єкта повинні містити інформацію, що використовується КЗЗ для визначення користувачів, процесів і пар процес/користувач, які можуть модифікувати об'єкт. Це гарантує, що модифікація об'єкта здійснюється авторизованим користувачем за допомогою  авторизованого процесу. Для такої  системи можна побудувати повну  матрицю доступу користувачів, процесів і пар користувач/ процес до захищених  об'єктів і процесів.

Для всіх рівнів даної послуги необхідною умовою є реалізація рівня НИ-1 послуги  ідентифікація і автентифікація, що цілком очевидно. Для рівнів ЦД-3 і ЦД-4 необхідною умовою є реалізація рівня КО-1 послуги повторне використання об'єктів, оскільки її відсутність  може привести до того, що під час  подання об'єкта користувачеві в  цьому об'єкті вже міститься деяка  інформація, джерело якої не визначено.

Адміністративна цілісність

Ця послуга  дозволяє адміністратору чи спеціально авторизованому користувачу керувати потоками інформації від користувачів і процесів до захищених об'єктів. Згідно з політикою адміністративної цілісності (в повній аналогії з  адміністративною конфіденційністю) об'єкту привласнюються атрибути доступу, що визначають домен, якому повинні належати ті користувачі чи процеси, які намагаються  модифікувати об’єкт. Рівні даної  послуги ранжируються на підставі повноти  захисту і вибiрковості керування  аналогічно рівням послуги довірча  цілісність з тією відмінністю, що тільки адміністратор або авторизований  адміністратором користувач має  право включати і вилучати користувачів, процеси і об'єкти до/з конкретних доменів або піддоменів.

Як і для  послуги довірча цілісність для  всіх рівнів даної послуги необхідною умовою є реалізація рівня НИ-1 послуги  ідентифікація і автентифікація, а для рівнів КА-3 і КА-4 —  рівня  ДО-1 послуги повторне використання об'єктів. Додатковою необхідною умовою для всіх рівнів даної послуги  є реалізація рівня НО-1 послуги  розподіл обов'язків, оскільки в системі  повинні бути визначені ролі звичайного користувача і адміністратора.

Відкат

Відкат є багатосторонньою послугою, що дозволяє відновлюватися після помилок користувача, збоїв  програмного забезпечення або апаратури  і підтримувати цілісність баз даних, додатків, побудованих на транзакціях  і т. ін. Дана послуга забезпечує можливість відмінити операцію або  послідовність операцій і повернути (відкатити) захищений об’єкт до попереднього стану. Рівні даної послуги ранжируються на підставі множини операцій, для  яких забезпечується відкат.

Мається на увазі, що відкат — завжди доступна автоматизована послуга. Використання відкладеного резервування, що вимагає втручання користувача  для завантаження резервного носія, не є реалізацією відкату. Якщо система  реалізує дану послугу, то її використання має  фіксуватись в журналі. Відміна  операції не повинна приводити до видалення з журналу запису про  операцію, яка пізніше була відмінена.