Файл: 4. Правовое регулирование Информационного общества в России 8.docx

Требования доверия. Установление доверия безопасности основывается на активном исследовании объекта оценки. Всего в «Общих критериях» 10 классов, 44 семейства, 93 компонента требований доверия безопасности.

Применительно к требованиям доверия введены оценочные уровни доверия. Степень доверия возрастает от первого к седьмому уровню. Оценочный уровень доверия 1 применяется, когда угрозы не рассматриваются как серьезные, а оценочный уровень 7 применяется к ситуациям чрезвычайно высокого риска.

Техническая спецификация «Рекомендации X.800».

Выделяются следующие сервисы безопасности: аутентификация, управление доступом, конфиденциальность данных и трафика, целостность данных, неотказуемость.

Для их реализации используются следующие механизмы: шифрование, ЭЦП, механизм управления доступом, механизм контроля целостности данных, механизм аутентификации, механизм дополнения трафика, механизм управления маршрутизацией, механизм нотаризации.

11. "Оранжевая книга" - уровни доверия и классы безопасности

Критерии делятся на 4 раздела: D, C, B и A (последний самый высший). Каждый раздел представляет собой значительные отличия в доверии индивидуальным пользователям или организациям. Разделы C, B и A иерархически разбиты на серии подразделов, называющиеся классами: C1, C2, B1, B2, B3 и A1.

D — Минимальная защита. Системы, безопасность которых была оценена, но оказалась не удовлетворяющей требованиям более высоких разделов.

C — Дискреционная защита

• 
  C1 — Дискреционное обеспечение секретности.
  
  • 
    Разделение пользователей и данных
    
  • 
    Дискреционное управление доступом, допускающее принудительное ограничение доступа на индивидуальной основе.
    
• 
  C2 — Управление доступом
  
  • 
    Более чётко оформленное дискреционное управление доступом.
    
  • 
    Индивидуальные учётные записи, вход под которыми возможен через процедуру авторизации.
    
  • 
    Журнал контроля доступа к системе.
    
  • 
    Изоляция ресурсов.
    

B — Мандатная защита

• 
  B1 — Защита с применением мета-безопасности
  
  • 
    Мандатное управление доступом к выбранными субъектам и объектам.
    
  • 
    Все обнаруженные недостатки должны быть устранены или убраны каким-либо другим способом.
    
  • 
    Маркировка данных
    
• 
  B2 — Структурированная защита
  
  • 
    Чётко определённая и документированная модель правил безопасности.
    
  • 
    Применение расширенного дискреционного и мандатного управления доступом ко всем объектам и субъектам.
    
  • 
    Скрытые каналы хранения.
    
• 
  B3 — Домены безопасности
  
  • 
    Соответствие требованиям монитора обращений.
    
  • 
    Структурирование для исключения кода, не отвечающего требованиям обязательной политики безопасности.
    
  • 
    Поддержка администратора системы безопасности.
    
• 
  A — Проверенная защита
  
  • 
    A1 — Проверенный дизайн.
    
  • 
    По функциям идентично B3.
    
  • 
    Формализованный дизайн и проверенные техники, включающие высокоуровневую спецификацию.
    
  • 
    Формализованные процедуры управления и распространения.
    

---

---

12. Сетевые сервисы безопасности. (Рекомендации X.800).

Сервис безопасности представляет собой совокупность механизмов, процедур и других средств управления для снижения рисков, связанных с угрозой утраты или раскрытия данных

Рекомендации X.800 выделяют следующие сервисы безопасности:

• 
  Аутентификация. Данный сервис обеспечивает проверку подлинности партнеров по общению и проверку подлинности источника данных.
  
• 
  Управление доступом. Обеспечивает защиту от несанкционированного использования ресурсов, доступных по сети.
  
• 
  Конфиденциальность данных. Обеспечивает защиту от несанкционированного получения информации. Отдельно выделяется конфиденциальность трафика — это защита информации, которую можно получить, анализируя сетевые потоки данных.
  
• 
  Целостность данных.
  
• 
  Неотказуемость (невозможность отказаться от совершенных действий).
  

Для реализации сервисов безопасности могут использоваться следующие механизмы и их комбинации:

• 
  Шифрование.
  
• 
  Электронная цифровая подпись.
  
• 
  Механизм управления доступом. Могут использоваться следующие виды и источники информации: базы данных управления доступом, пароли, токены, билеты, метки безопасности, время запрашиваемого доступа и т.д.
  
• 
  Механизм контроля целостности данных. Базируется на использовании контрольных сумм. Для проверки целостности потока сообщений используются порядковые номера, временные штампы, криптографическое связывание или иные аналогичные приемы.
  
• 
  Механизм аутентификации. Аутентификация может достигаться за счет использования паролей, личных карточек, криптографических методов и анализа биометрических характеристик;
  
• 
  Механизм дополнения трафика.
  
• 
  Механизм управления маршрутизацией. Оконечная система, зафиксировав неоднократные атаки на определенном маршруте, может отказаться от его использования;
  
• 
  Механизм нотаризации. Служат для заверения таких коммуникационных характеристик, как целостность, время, личности отправителя и получателей. Заверение обеспечивается надежной третьей стороной, обладающей достаточной информацией. Обычно нотаризация опирается на механизм электронной подписи.
  

---

13. Классы функциональных требований на основе «Общих критериев»

Функциональные требования

Эта часть ОК содержит функциональные компоненты безопасности, являющиеся основой для функциональных требований безопасности информационных технологий (ИТ) объекта оценки (ОО), излагаемых в профиле защиты (ПЗ) или в задании по безопасности (ЗБ). Требования описывают желательный безопасный режим функционирования ОО и предназначены для достижения целей безопасности, установленных в ПЗ или ЗБ. Требования описывают также свойства безопасности, которые пользователи могут обнаружить при непосредственном взаимодействии с ОО (т.е. при входе и выходе) или при реакции ОО на запросы.

Все функциональные требования объединены в группы на основе выполняемой ими роли или обслуживаемой цели безопасности. Всего в «Общих критериях» представлено 11 функциональных классов, 66 семейств, 135 компонентов. Это гораздо больше, чем число аналогичных понятий в «Оранжевой книге».

«Общие критерии» включают следующие классы функциональных требований:

1. 
   идентификация и аутентификация;
   
2. 
   защита данных пользователя;
   
3. 
   защита функций безопасности (требования относятся к целостности и контролю данных сервисов безопасности и реализующих их механизмов);
   
4. 
   управление безопасностью (требования этого класса относятся к управлению атрибутами и параметрами безопасности);
   
5. 
   аудит безопасности (выявление, регистрация, хранение, анализ данных, затрагивающих безопасность объекта оценки, реагирование на возможное нарушение безопасности);
   
6. 
   доступ к объекту оценки;
   
7. 
   приватность (защита пользователя от раскрытия и несанкционированного использования его идентификационных данных);
   
8. 
   использование ресурсов (требования к доступности информации);
   
9. 
   криптографическая поддержка (управление ключами);
   
10. 
    связь (аутентификация сторон, участвующих в обмене данными);
    
11. 
    доверенный маршрут/канал (для связи с сервисами безопасности).
    

---

14. Основные задачи и функции информационных операций (Директива Министерства обороны США D 3600.1 2006 г.)

Директива Министерства обороны D 3600.1, введенная в действие 14 августа 2006 г., впервые четко определила основные задачи и функции информационных операций, в целом означающие комплексное применение средств радиоэлектронной борьбы, операций в информационно-коммуникационных сетях, психологических операций, военной дезинформации и оперативной безопасности.

В документе отмечалось, что информационные операции проводятся «в целях информационного воздействия, введения в заблуждение, нарушения работы компьютерных систем, искажения информации, дезорганизации баз данных и лишения противника возможности их использования, извлечения информации из компьютерных систем и баз данных противника при одновременном обеспечении защиты своей информации и информационной инфраструктуры».

Документ вводил в действие принцип разделения информационных операций на три категории:

1. 
   атака на компьютерные сети,
   
2. 
   защита компьютерных сетей,
   
3. 
   обеспечение доступа к компьютерным сетям противника и их использование в своих интересах.
   

Аналогичные директивы были изданы всеми видами вооруженных сил.
15. Директивы, позволяющие Пентагону разрабатывать планы проведения кибернетических атак на информационные сети противников США, усиление контроля за компьютерными сетями, используемыми американскими федеральными структурами (Директивы США - № 54 (по национальной безопасности) и № 23 (по внутренней безопасности)).
Начало комплексу мероприятий по защите киберпространства США, проводимых нынешней администрацией Вашингтона, было положено предыдущим главой Америки Джорджем Бушем, который 8 января 2008 года издал директиву по обеспечению национальной безопасности № 54 и директиву по обеспечению внутренней безопасности № 23. Именно тогда это начинание бывшего президента и получило наименование Комплексной национальной инициативы обеспечения кибернетической безопасности.

---