Гарантированность системы защиты

Гарантированность - «мера доверия, которая может быть оказана архитектуре и реализации системы. Гарантированность может проистекать как из тестирования, так и из проверки (формальной или нет) общего замысла и исполнения системы в целом и ее компонентов. Гарантированность показывает, насколько корректны механизмы, отвечающие за проведение в жизнь выбранной концепции безопасности. Гарантированность можно считать пассивным компонентом защиты, надзирающим за самими защитниками» [12].

Гарантированность - это мера уверенности, с которой можно утверждать, что для проведения в жизнь сформулированной концепции безопасности выбран подходящий набор средств и что каждое из этих средств правильно исполняет отведенную ему роль. В «Оранжевой книге» рассматриваются два вида гарантированности - операционная и технологическая. Операционная гарантированность относится к архитектурным и реализационным аспектам системы, в то время как технологическая - к методам построения и сопровождения.

2.1. Операционная гарантированность - это способ убедиться в том, что архитектура системы и ее реализация действительно проводят в жизнь избранную концепцию безопасности и включают в себя проверку следующих элементов:

· архитектуры системы;

· целостности системы;

· анализа тайных каналов передачи информации;

· надежного администрирования;

· надежного восстановления после сбоев.

Архитектура системы должна способствовать реализации мер безопасности или прямо поддерживать их. Примеры подобных архитектурных решений в рамках аппаратуры и операционной системы - разделение команд по уровням привилегированности, защита различных процессов от взаимного влияния за счет выделения каждому своего виртуального пространства, особая защита ядра ОС. В принципе меры безопасности не обязательно должны быть заранее встроены в систему - достаточно принципиальной возможности дополнительной установки защитных продуктов надежности компонентов.

Целостность системы в данном контексте означает, что аппаратные и программные компоненты надежной вычислительной базы работают должным образом и что имеется аппаратное и программное обеспечение для периодической проверки целостности.

Анализ тайных каналов передачи информации - тема, специфичная для режимных систем, когда главное - обеспечить конфиденциальность информации. Тайным называется канал передачи информации, не предназначенный для обычного использования. Обычно тайные каналы используются не столько для передачи информации от одного злоумышленника к другому, сколько для получения злоумышленником сведений от внедренного в систему «троянского коня».

Надежное администрирование в трактовке «Оранжевой книги» означает, что должны быть логически выделены три роли - системного администратора, системного оператора и администратора безопасности. Физически эти обязанности может выполнять один человек, но в соответствии с принципом минимизации привилегий в каждый момент времени он должен выполнять только одну из трех ролей. Конкретный набор обязанностей администраторов и оператора зависит от специфики организации.

Надежное восстановление после сбоев - метод обеспечения гарантированности, при котором должна быть сохранена целостность информации, в частности целостность меток безопасности. Надежное восстановление включает в себя два вида деятельности - подготовку к сбою (отказу) и собственно восстановление. Подготовка к сбою - это и регулярное выполнение резервного копирования, и выработка планов действий в экстренных случаях, и поддержание запаса резервных компонентов. Восстановление, вероятно, связано с перезагрузкой системы и выполнением ремонтных и/или административных процедур.

2.2. Технологическая гарантированность охватывает весь жиз­ненный цикл системы, т.е. этапы проектирования, реализации, тестирования, внедрения и сопровождения. Все перечисленные действия должны выполняться в соответствии с жесткими стандартами, чтобы обезопаситься от утечки информации и нелегальных «закладок».

Критерии, изложенные в «Оранжевой книге», позволили специалистам ранжировать информационные системы защиты информации по степени надежности. В этом документе определяются четыре уровня безопасности (надежности) - D, С, В и А. Уровень D предназначен для систем, признанных неудовлетворительными. В настоящее время он содержит две подсистемы управления доступом. По мере перехода от уровня С к А к надежности систем предъявляются все более жесткие требования. Уровни С и В подразделяются на классы (C1, C2, B1, B2, В3) с постепенным возрастанием надежности. Таким образом, всего имеется шесть классов безопасности - С1, С2, В1, В2, ВЗ, А1. Чтобы система в результате процедуры сертификации могла быть отнесена к некоторому классу, ее концепция безопасности и гарантированность должны удовлетворять разработанной системе требований, соответствующей этому классу.

10.2.2 Гармонизированные критерии Европейских стран (ITSEC)

Следуя по пути интеграции, европейские страны приняли согласованные (гармонизированные) критерии оценки безопасности информационных технологий (Information Technology Security Evaluation Criteria, ITSEC) [12, 122], опубликованные в июне 1991 г. от имени соответствующих органов четырех стран - Франции, Германии, Нидерландов и Великобритании.

Принципиально важной чертой европейских критериев явля­ется отсутствие априорных требований к условиям, в которых должна работать информационная система. Организация, запра­шивающая сертификационные услуги, формулирует цель оценки, т.е. описывает условия, в которых должна работать система, возможные угрозы ее безопасности и предоставляемые ею защитные функции. Задача органа сертификации - оценить, насколько полно достигаются поставленные цели разработанными функциями, т.е. насколько корректны и эффективны архитектура и реализация механизмов безопасности в описанных разработчиком условиях.

Таким образом, в терминологии «Оранжевой книги» европейские критерии относятся к оценке степени гарантированности безопасной работы спроектированной системы.

Европейские критерии рассматривают следующие основные понятия, составляющие базу информационной безопасности:

· конфиденциальность, т.е. защиту от несанкционированного получения информации;

· целостность, т.е. защиту от несанкционированного изменения информации;

· доступность, т.е. защиту от несанкционированного удержания информации и ресурсов.

В европейских критериях средства, имеющие отношение к информационной безопасности, предлагается рассматривать на трех уровнях детализации. Наиболее абстрактный взгляд касается лишь целей безопасности. На этом уровне получают ответ на вопрос: зачем нужны функции безопасности? Второй уровень содержит спецификации функций безопасности, т. е. здесь выявляется, какая функциональность на самом деле обеспечивается. На третьем уровне содержится информация о механизмах безопасности, показывающих, как реализуется указанная функция.

Критерии рекомендуют выделить в спецификациях реализуемых функций обеспечения безопасности более расширенный по сравнению с «Оранжевой книгой» состав разделов или классов функций.

· Идентификация и аутентификация.

· Управление доступом.

· Подотчетность.

· Аудит.

· Повторное использование объектов.

· Точность информации.

· Надежность обслуживания.

· Обмен данными.

Чтобы облегчить формулировку цели оценки, европейские критерии содержат в качестве приложения описание десяти примерных классов функциональности, типичных для правительственных и коммерческих систем. Пять из них (F-C1, F-C2, F-B1, F-B2, F-B3) соответствуют классам безопасности «Оранжевой книги».

Кроме того, в критериях определены три уровня мощности механизмов защиты - базовый, средний и высокий. Согласно критериям мощность можно считать базовой, если механизм способен противостоять отдельным случайным атакам. Мощность можно считать средней, если механизм способен противостоять злоумышленникам с ограниченными ресурсами и возможностями. Наконец, мощность можно считать высокой, если есть уверенность, что механизм может быть побежден только злоумышленником с высокой квалификацией, набор возможностей и ресурсов которого выходит за пределы практичности.

Важной характеристикой является простота использования продукта или системы. Должны существовать средства, информирующие персонал о переходе объекта в небезопасное состояние (что может случиться в результате сбоя, ошибок администратора или пользователя).

Эффективность защиты признается неудовлетворительной, если выявляются слабые места, они не исправляются до окончания процесса оценки. В таком случае объекту оценки присваивается уровень гарантированности Е0.

При проверке корректности объекта оценки - разработанной системы защиты применяются две группы критериев. Первая группа относится к конструированию и разработке системы или продукта, вторая - к эксплуатации разработанной системы.

10.2.3 Концепция защиты от НСД Госкомиссии при Президенте РФ

В 1992 г. Гостехкомиссия при Президенте РФ опубликовала пять руководящих документов, посвященных проблеме защиты от несанкционированного доступа (НСД) к информации [38-42]. Идейной основой набора руководящих документов является «Концепция защиты СВТ и АС от НСД к информации». Концепция «излагает систему взглядов, основных принципов, которые закладываются в основу проблемы защиты информации от несанкционированного доступа (НСД), являющейся частью общей проблемы безопасности информации».

Выделяют различные способы покушения на информационную безопасность - радиотехнические, акустические, программные и т.п. Среди них НСД выделяется как доступ к информации, нарушающий установленные правила разграничения доступа, с использованием штатных средств, предоставляемых средствами вычислительной техники (СВТ) или автоматизированной системой (АС). Под штатными средствами понимается совокупность программного, микропрограммного и технического обеспечения СВТ или АС.

В Концепции формулируются следующие основные принципы защиты от НСД к информации:

· защита АС обеспечивается комплексом программно-технических средств и поддерживающих их организационных мер;

· защита АС должна обеспечиваться на всех технологических этапах обработки информации и во всех режимах функционирования, в том числе при проведении ремонтных и регламентных работ;

· программно-технические средства защиты не должны существенно ухудшать основные функциональные характеристики АС (надежность, быстродействие, возможность изменения конфигурации АС);

· неотъемлемой частью работ по защите является оценка эффективности средств защиты, осуществляемая по методике, учитывающей всю совокупность технических характеристик оцениваемого объекта, включая технические решения и практическую реализацию средств защиты;

· защита АС должна предусматривать контроль эффективности средств защиты от НСД. Этот контроль может быть либо периодическим, либо инициироваться по мере необходимости пользователем АС или контролирующими органами.

Функции системы разграничения доступа и обеспечивающих средств, предлагаемые в Концепции, по сути близки к аналогичным положениям «Оранжевой книги».

В предлагаемой Гостехкомиссией при Президенте РФ классификации автоматизированных систем по уровню защищенности от несанкционированного доступа к информации устанавли­ваются девять классов защищенности АС от НСД к информации. Каждый класс характеризуется определенной минимальной совокупностью требований по защите. Классы подразделяются на три группы, отличающиеся особенностями обработки информации в АС. В пределах каждой группы соблюдается иерархия требований по защите в зависимости от ценности (конфиденциальности) информации и, следовательно, иерархия классов защищенности АС.

Третья группа классифицирует АС, в которых работает один пользователь, допущенный ко всей информации АС, размещенной на носителях одного уровня конфиденциальности. Группа содержит два класса - 3Б и 3А.

Вторая группа классифицирует АС, в которых пользователи имеют одинаковые права доступа (полномочия) ко всей информации АС, обрабатываемой и (или) хранимой на носителях различного уровня конфиденциальности. Группа содержит два класса - 2Б и 2А.

Первая группа классифицирует многопользовательские АС, в которых одновременно обрабатывается и (или) хранится информация разных уровней конфиденциальности и не все пользователи имеют право доступа ко всей информации АС. Группа содержит пять классов - 1Д, 1Г, 1В, 1Б и 1А.

В работах [12, 40] излагаются требования к достаточно представительному классу защищенности - 1В по следующим подсистемам:

Подсистема управления доступом:

· идентификация и проверка подлинности субъектов доступа при входе в систему по идентификатору (коду) и паролю условно-постоянного действия длиной не менее шести буквенно-цифровых символов;

· идентификация терминалов, компьютеров, узлов компьютерной сети, каналов связи, внешних устройств компьютеров по логическим именам и (или) адресам;

· идентификация программ, томов, каталогов, файлов, записей, полей записей по именам;

· контроль доступа субъектов к защищаемым ресурсам в соответствии с матрицей доступа;

· управление потоками информации с помощью меток конфиденциальности (уровень конфиденциальности накопителей должен быть не ниже уровня конфиденциальности записываемой на них информации).

Подсистема регистрации и учета:

· регистрация входа/выхода субъектов доступа в систему/из системы или регистрация загрузки и инициализации операционной системы и ее программного останова;

· регистрация выдачи печатных (графических) документов на «твердую» копию;

· регистрация запуска/завершения программ и процессов (заданий, задач), предназначенных для обработки защищаемых файлов;

· регистрация попыток доступа программных средств к дополнительным защищаемым объектам доступа: терминалам, компьютерам, узлам компьютерной сети, линиям (каналам) связи, внешним устройствам компьютеров, программам, томам, каталогам, файлам, записям, полям записей;

· регистрация изменений полномочий субъектов доступа и статуса объектов доступа;

· автоматический учет создаваемых защищаемых файлов с помощью их дополнительной маркировки, используемой в подсистеме управления доступом (маркировка должна отражать уровень конфиденциальности объекта);

· учет всех защищаемых носителей информации с помощью их любой маркировки;

· очистка (обнуление, обезличивание) освобождаемых областей оперативной памяти компьютеров и внешних накопителей;

· сигнализация попыток нарушения защиты.

Подсистема обеспечения целостности:

· целостность программных средств системы защиты информа­ции (СЗИ) от НСД (несанкционированного), а также неизменность программной среды (целостность СЗИ от НСД проверяется при загрузке системы по контрольным суммам компонентов СЗИ, целостность программной среды обеспечивается использованием трансляторов с языков высокого уровня и отсутствием средств модификации объектного кода программ при обработке и (или) хранении защищаемой информации);

· физическая охрана СВТ (устройств и носителей информации), предусматривающая постоянное наличие охраны территории и здания, где размещается ЭИС, с помощью технических средств охраны и специального персонала, использование строгого пропускного режима, специальное оборудование помещений ЭИС;

· назначение администратора (службы) защиты информации, ответственного за ведение, нормальное функционирование и контроль работы СЗИ от НСД с предоставлением терминала и необходимых средств оперативного контроля и воздействия на безопасность ЭИС;

· периодическое тестирование всех функций СЗИ от НСД с помощью специальных программных средств не реже одного раза в год;

· наличие средств восстановления СЗИ от НСД, предусматривающих ведение двух копий программных средств СЗИ от НСД и их периодическое обновление и контроль работоспособности;

· использование сертифицированных средств защиты. Перечисленные требования составляют минимум, которому необходимо следовать, чтобы обеспечить конфиденциальность защищаемой информации.

Рекомендации Х.800

«Оранжевая книга» Министерства обороны США и Руководящие документы Гостехкомиссии при Президенте РФ создавались в расчете на централизованные конфигурации, основу которых составляют большие машины. Распределенная организация современных информационных систем требует внесения существенных изменений и дополнений как в политику безопасности, так и в способы проведения их в жизнь. Появились новые угрозы, для противодействия которым нужны новые функции и механизмы защиты. Основополагающим документом в области защиты распределенных систем стали Рекомендации Х.800 [12]. В этом документе перечислены основные сервисы (функции) безопасности, характерные для распределенных систем, и роли, которые они могут играть. Кроме того, здесь указан перечень основных механизмов, с помощью которых можно реализовать эти сервисы.

10.3. Проектирование системы защиты данных в ИБ

Вопросы для самопроверки

1. Что такое «концепция безопасности» хранимых данных и ее содержание?

2. Каковы средства реализации механизма подотчетности и их содержание?

3. Какая информация должна фиксироваться в процессе протоколирования событий?

4. Каковы основные принципы защиты от НСД, сформулированные в «Концепции защиты СВТ и АС от НСД к информации»?

5. Каков состав операций, выполняемых при проектировании системы защиты данных в ИБ?

6. Каков состав операций, выполняемых на предпроектной стадии?

7. Что такое угроза безопасности? Перечислите основные виды угроз.

8. Что понимается под «несанкционированным доступом» и каковы основные пути несанкционированного доступа?

9. Каковы методы защиты от НСД?

10. Что такое «защита от несанкционированного копирования ценной компьютерной информации»? Назовите методы ее обеспечения.

11. Каков состав подсистем, включаемых в систему защиты данных?

12. Назовите состав выполняемых функций Подсистемы управления доступом.

13. Каков состав функций, возлагаемых на Подсистему регистрации и учета?

14. Какие функции должна выполнять Подсистема обеспечения целостности?

15. В чем заключается содержание механизма управления доступом?

16. Каковы алгоритмы криптографической защиты данных?

17. В чем заключается содержание механизма обеспечения целостности данных?

18. Каков состав документации по системе защиты? В чем заключается ее содержание?

19. В чем состоит содержание процедуры администрирования системы защиты данных ИБ?

20. Что означает гарантированность разработанной системы защиты данных? В чем ее назначение?

21. Проверку каких элементов включает операционная гарантированность?

22. Каково назначение технологической гарантированности и в чем заключается ее содержание?

Раздел 3. ИНДУСТРИАЛЬНОЕ ПРОЕКТИ­РОВАНИЕ КОРПОРАТИВНЫХ ЭКОНОМИ­ЧЕСКИХ ИНФОРМАЦИОННЫХ СИСТЕМ