Стандарты информационной безопасности

1. Имеющие значительные материальные затруднения;
2. Имеющие склонность к азартным играм;
3. Склонные к пьянству, наркотической зависимости;
4. Имеющие тяжело больных близких родственников;
5. Часто меняющие место работы;
6. Психические неуравновешенные.

 

11.10.11 (лекция)

Тема 3. Характеристика отечественных стандартов ИБ.

РД ФСТЕК

ГОСТ Р ИСО/МЭК 15408 «Информационная технология, методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Общие критерии». 1 января 2004 года.

Общие критерии применяются исключительно для сертификации продукции не взаимодействующей с ГТ. 

1. РД ФСТЭК России.

1. Защита от НСД к информации. Термины и определения.
2. Концепция защиты СВТ от НСД к информации.
3. АС. Защита от НСД к информации. Классификация АС и требования по ЗИ.
4. СВТ. Защита от НСД к информации. Показатели защищенности от НСД к информации.
5. СВТ. МЭ. Защита от НСД. Показатели защищенности от НСД к информации.
6. Защита от НСД к информации. Часть 1.Программное обеспечение средств ЗИ. Классификация по уровню контроля отсутствия не декларированных возможностей.

 

Основные  положения концепции  защиты СВТ от НСД  к информации.

Под НСД  понимается доступ к информации нарушающий установленные правила разграничения  доступа

СВТ –  элементы, из которых состоит АС.

Способы НСД:

1. Непосредственное обращение к объектам доступа;
2. Создание программных и технических средств, выполняющих обращение к объектам доступа в обход средств защиты;
3. Модификация средств защиты, позволяющая осуществить НСД (программные закладки);
4. Внедрение в технические средства СВТ или АС программных и ли технических механизмов, нарушающих предполагаемую структуру и функции СВТ или АС и позволяющих осуществить НСД (загрузка ПК в обход штатной ОС).

Исходя  из этого, предлагаются следующие принципы защиты от НСД:

Защита СВТ и АС основывается на положениях и требованиях соответствующих законов и нормативно методических документов, в том числе стандартов;

Защита обеспечивается комплексом программно-технических средств (ПТС);

Защита обеспечивается комплексом ПТС и организационными мерами.

Защита АС обеспечивается на всех этапах технологической обработки информации и во всех режимах функционирования (в том числе при проведении ремонтных и регламентных работ).

ПТС не должны значительно ухудшать основные функциональные характеристики АС (надежность, быстродействие, возможность изменения конфигурации).

Оценка эффективности средств защиты, которая осуществляется по методике учитывающей все технические характеристики эксплуатации техники.

Контроль эффективности средств защиты от любых НСД.

Уровни  возможностей злоумышленников с использованием штатных средств АС и СВТ:

1. 1 уровень – возможность ведения диалога (запуск программ из фиксированного набора, реализующих ранее предусмотренные функции по обработке информации);
2. 2 уровень – возможность создания и запуска собственных программ с новыми функциями по обработке информации;
3. 3 уровень – возможность управления функционированием АС (воздействие на базовое ПО системы и на состав и конфигурацию ее оборудования);
4. 4 уровень – весь объем возможностей лиц, осуществляющих проектирование, реализацию и ремонт технических средств АС, вплоть до включения в состав СВТ собственных технических средств с новыми функциями по обработке информации.

Оценку  технических средств защиты от НСД  предлагается проводить по следующим  характеристикам:

1. Степень полноты и качество охвата правил разграничения доступа, реализованной системы разграничения доступа (СРД) (оценивается четкость и противоречивость правил доступа, надежность идентификации правил доступа);
2. Состав и качество обеспечивающих средств для СРД (оценка учитывает: средства идентификации и опознания субъектов и порядок их использования, полноту учета действий субъектов, способы поддержания привязки субъекта к процессу);
3. Гарантии правильности функционирования СРД  и обеспечивающих ее средств.

 

Система разграничения доступа.

Обеспечивает  защиту СВТ и АС.

Основные  функции системы разграничения  доступа:

1. Реализация правил разграничения доступа (ПРД) и их процессов к данным;
2. Реализация ПРД субъектов и их процессов к устройствам создания твердых копий;
3. Изоляция программ процесса, выполняемого в интересах субъекта, от других субъектов;
4. Управление потоками данных с целью предотвращения записи данных на носители несоответствующего грифа;
5. Реализация правил обмена данными между субъектами для АС и СВТ, построенных по сетевым принципам.

Функции обеспечивающих средств для СРД:

1. Идентификация и аутентификация субъектов и поддержание привязки субъекта к процессу, выполняемому для субъекта;
2. Регистрация действий субъекта и его процесса;
3. Предоставление возможностей исключения и включения новых субъектов и объектов доступа, а также изменения полномочий субъектов;
4. Реакция на попытки НСД (сигнализация, блокировка, восттановление после НСД);
5. Тестирование;
6. Очистка оперативной памяти и рабочих областей на магнитных носителях после завершения работы пользователя с защищаемыми данными;
7. Учет выходных

Механизмы реализации СРД:

1. В виде распределенной системы или локально в ядре защиты;
2. В рамках ОС или прикладных программ;
3. В средствах реализации сетевого взаимодействия или на уровне приложений;
4. С использованием криптографии и методов непосредственного контроля доступа;
5. Путем программной или аппаратной реализации.

 

Организация работ

Обеспечение защиты основывается на требованиях по защите разрабатываемых СВТ и АС формулируемых заказчиком и согласуемых с разработчиком. Проверка выполнения технических требований по защите осуществляется в процессе испытания. По результатам успешных испытаний оформляется сертификат, который удовлетворяет в соответствии СВТ и АС требованиям по защите. 

СВТ. Защита от НСД к информации. Показатели защищенности от НСД к информации.

Данный  документ устанавливает классификацию  СВТ по уровню защищенности от НСД  на базе перечня показателей защищенности и совокупности описывающих их требований.

7 классов  защищенности:

1. 1 группа – 7й класс – СВТ, представленных к оценке, но не удовлетворяющих требованиям;
2. 2 группа – 6 и 5 классы – дискреционная защита;
3. 3 группа – 4, 3 и 2 классы – мандатная защита;
4. 4 группа – 1 класс – верифицированная защита.

С уменьшением номера класса требования ужесточаются.

Каждый  из классов характеризуется определенным набором показателей.

Классы  иерархически упорядочены, каждый последующий  содержит требования предыдущего.

Оценка  класса защищенности производится по результатам сертификационных испытаний. 

АС. Защита от НСД к  информации. Классификация  АС и требования по ЗИ.

Этапы классификации АС по уровню:

Разработка и анализ исходных данных;

Выявление основных признаков АС, необходимых для классификации;

Сравнение выявленных признаков АС с классифицируемыми;

Присвоение АС соответствующего класса защиты информации от НСД.

Исходные  данные для классификации АС:

Перечень  защищаемых информационных ресурсов АС и уровень их конфиденциальности;

Перечень  лиц, имеющих доступ к штатным  средствам АС, с указанием их уровня полномочий; 

Выбор класса АС производится заказчиком и  разработчиком с привлечением специалистов по ЗИ. Устанавливается 9 классов защищенности АС от НСД к информации. Эти классы разделяются на 3 группы:

1. 3 группа – классы 3Б и 3А ();
2. 2 группа – 2Б и 2А();
3. 1 группа – 1Д, 1Г, 1В, 1Б и 1А.

Для каждого  из классов формируется ряд требований к следующим подсистемам:

1. Управления доступом;
2. Регистрацией и учета;
3. Криптографической подсистеме;
4. Подсистеме обеспечения целостности.

 

СВТ. МЭ. Защита от НСД. Показатели защищенности от НСД к информации.

Устанавливает классификацию межсетевых экранов  по уровню защищенности.

Устанавливается 5 классов защищенности МЭ:

5 класс  – соотвествует 1Д;

4 класс  – 1Г;

3 класс  – 1В;

2 класс  – 1Б;

1 класс – 1А.

Ключевая  особенность документа в том, что классификация МЭ производится, в том числе и по уровням  модели ISO/OSI. 

Защита  от НСД к информации. Часть 1. ПО СЗИ. Классификация  по уровню контроля НДВ.

Классифицирует  ПО по уровню контроля в нем НДВ.

Одной из возможностей реализации НДВ являются программные закладки (преднамеренно внесенные в программу объекты, и инициирующие не описанные в документации функции).

Установлено 4 уровня контроля (все требования структурированы). Требования к документации и требования к испытаниям.

Испытания должны содержать проверки, относимые  к 2м категориям:

1. Статический анализ;
2. Динамический анализ – идентификация фактических маршрутов.

 

18.10.11 (лекция)

Защита  от НСД к информации. Часть 1. ПО СЗИ. Классификация  по уровню контроля НДВ.

Документ  содержит классификацию ПО по уровню контроля отсутствия в нем НДВ.

НДВ возможности ПО, которые не описаны в документах, или не соответствуют описанию документации. При нарушении возможна потеря данных.

4 уровня  контроля: 

2. ГОСТ Р ИСО/МЭК 15408 «Информационная технология, методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Общие критерии». 1 января 2004 года.

Документ  состоит из 3х частей: