Функциональные требования к продукту информационных технологий

"Федеральные критерии" предлагают набор функциональных требо­ваний, реализация которых позволяет противостоять наиболее распространенным угрозам безопасности, воздействующим на широкий спектр ПИТ. Данные требования разработаны с учетом возможности расширения и адаптации к конкретным условиям эксплуатации ПИТ, и допускают со­вершенствование параллельно процессу развития информационных тех­нологий. Требования, изложенные в "Федеральных критериях", разрабо­таны на основе обобщения существовавших на момент их создания стан­дартов информационной безопасности - "Оранжевой книги" и "Европейских критериев" (см. выше §§ 5.1 и 5.2).

Функциональные требования, приведенные в "Федеральных критери­ях", определяют состав и функциональные возможности ТСВ. Она объе­диняет все компоненты ПИТ (аппаратные, программные и специальные средства), реализующие функции защиты. Таким образом, функциональ­ные требования, направленные на обеспечение безопасности, относятся либо к внутренним элементам ТСВ, либо к ее внешним функциям, доступ­ным через специальные интерфейсы. Для того чтобы расширить спектр потенциального применения профиля защиты в "Федеральных критериях", при описании функциональных требований предполагается, что ТСВ яв­ляется единственной частью ПИТ, которая нуждается в защите и облада­ет такой характеристикой, как уровень защищенности. По этой причине предполагается достаточным установить множество требований, касаю­щихся только безопасности ТСВ. Функциональные требования профиля защиты задаются в виде общих положений и косвенным образом опреде­ляют множество угроз, которым может успешно противостоять удовлетво­ряющий этим положениям ПИТ.

Структура функциональных требований

Функционапьные требования "Федеральных критериев" разделены на восемь классов и определяют все аспекты функционирования компьютер­ных систем. Реализация политики безопасности должна быть поддержана средствами, обеспечивающими надежность функционирования как самой ТСВ, так и механизмов осуществления политики безопасности. Эти сред­ства также входят в состав ТСВ, хотя с точки зрения противодействия уг­розам, вносят только косвенный вклад в общую защиту ПИТ.

Поскольку "Федеральные критерии" по сравнению с "Оранжевой кни­гой" являются стандартом нового поколения и, кроме того, никогда не рас­сматривались в отечественных публикациях, остановимся на функцио­нальных требованиях более подробно.

1. Требования к реализации политики безопасности. Описывают функции компьютерной системы, реализующие политику безопасности, и состоят из четырех групп требований: к политике аудита, политике управ­ления доступом, политике обеспечения работоспособности и управлению безопасностью. Эти требования носят весьма общий характер, что позво­ляет рассматривать их в качестве прототипа, обеспечивающего поддерж­ку широкого спектра политик и моделей безопасности.

Политика аудита включает разделы, относящиеся к идентификации и аутентификации, регистрации пользователя в системе, обеспечению прямого взаимодействия с компьютерной системой, а также к регистрации и учету событий. Основная задача политики управления аудитом - обес­печить однозначную идентификацию субъекта, ответственного за те или иные действия в системе.

• Идентификация и аутентификация позволяют установить однознач­ное соответствие между пользователями и представляющими их в компьютерной системе субъектами (т.е. субъектами, инициированны­ми от имени конкретного пользователя), а также подтвердить подлин­ность этого соответствия.

• Регистрация пользователя в системе означает создание субъекта взаимодействия, с идентификатором которого будут ассоциироваться все последующие действия пользователя. К процедуре регистрации также относится учет места, времени и других параметров подключе­ния к системе и ее блокирование во время отсутствия пользователя.

• Обеспечение прямого взаимодействия с компьютерной системой гарантирует, что пользователь взаимодействует с компонентами сис­темы напрямую, т.е. информация, которая передается в нее и обратно, не подвергается перехвату или искажению. Поддержка прямого взаи­модействия с компьютерной системой особенно важна для управления безопасностью (например, при администрировании прав доступа и полномочий пользователей).

• Регистрация и учет событий в системе позволяют распознавать по­тенциально опасные ситуации и сигнализировать о случаях нарушения безопасности. Регистрация событий включает распознавание, учет и анализ действий пользователя, представляющих интерес с точки зре­ния безопасности.

Политика управления доступом содержит следующие разделы: произвольное управление доступом (дискреционное), нормативное управ­ление доступом и контроль скрытых каналов утечки информации. Полити­ка управления доступом является основным механизмом защиты, так как непосредственно обеспечивает конфиденциальность и целостность обра­батываемой информации.

• Произвольное управление доступом позволяет осуществлять назна­чение прав доступа с точностью до идентифицируемых субъектов и объектов, а также поддерживаемых типов доступа и. кроме того, обес­печивает контроль за распространением прав доступа среди субъек­тов.

• Нормативное управление доступом, в отличие от произвольного, ос­новано на контроле информационных потоков между субъектами и объектами и их атрибутах безопасности, что позволяет регламентиро­вать порядок использования информации в системе.

• Контроль скрытых каналов утечки информации включает технические и административные меры, направленные на ликвидацию таких каналов посредством минимизации объема совместно используемых ресурсов и введения активных "шумовых помех".

Политика обеспечении работоспособности системы включает кон­троль над распределением ресурсов и обеспечение отказоустойчивости. Обеспечение работоспособности позволяет гарантировать доступность ресурсов и сервиса системы, а также корректное восстановление системы после сбоев.

• Контроль над распределением ресурсов осуществляется посредством введения ограничений (квот) на их потребление или приоритетной сис­темы распределения ресурсов.

• Обеспечение отказоустойчивости входит в сферу безопасности на­равне с другими требованиями, так как противостоит угрозам работо­способности.

Управление безопасностью регламентирует следующие аспекты функционирования системы:

• компоновка, установка, конфигурация и поддержка компьютерной сис­темы;

• администрирование атрибутов безопасности пользователей (иденти­фикаторов, полномочий, доступных ресурсов и т.д.);

• администрирование политики управления доступом;

• управление потреблением ресурсов системы;

• аудит действий пользователей.

2. Мониторинг взаимодействий. Требования этого раздела регла­ментируют порядок взаимодействия между компонентами системы и про­хождения информационных потоков через компьютерную систему. Реали­зация политики безопасности будет эффективна только в том случае, ес­ли все без исключения взаимодействия в системе, т.е. доступ к объектам, ресурсам и сервису, осуществляются при обязательном посредничестве ТСВ (следовательно, требуется, чтобы ядро защиты представляло собой МБО - см. гл.З).

3. Логическая защита ТСВ. Требования данной группы устанавли­вают порядок доступа к внутренним компонентам ТСВ (данным и про­граммам). ТСВ должна быть защищена от внешних воздействий со сторо­ны непривилегированных пользователей, в противном случае искажение программ и данных, находящихся в ТСВ, может привести к полному по­давлению функций защиты (данное требование включает требование корректности внешних субъектов относительно субъектов ядра защиты и требование к интерфейсам взаимодействия - см. гл.З).

Необходимо подчеркнуть, что политика безопасности, мониторинг взаимодействий и логическая защита ТСВ являются обязательными ком­понентами всех профилей защиты вне зависимости от назначения и сре­ды применения ПИТ.

4. Физическая защита ТСВ. Требования этой группы задают ограни­чения на физический доступ к компонентам ТСВ, а также допустимые фи­зические параметры среды функционирования компьютерной системы

5. Самоконтроль ТСВ. Требования, касающиеся самоконтроля ком­пьютерной системы, определяют возможности обеспечения контроля кор­ректности выполнения функций системы и целостности программ и дан­ных, входящих в систему. Выполнение этих требований позволяет вовре­мя обнаруживать нарушения целостности компонентов ТСВ, произо­шедшие в результате либо целенаправленного воздействия, либо сбоя в работе аппаратных или программных средств, и осуществлять восстанов­ление целостности ТСВ.

6. Инициализация и восстановление ТСВ. Требования данной груп­пы устанавливают возможности компьютерной системы по контролю за процессом собственной инициализации и способности к самовосстанов­лению после сбоев. Процесс восстановления после сбоя должен происхо­дить без нарушений функционирования, даже временного, средств защи­ты. Восстановленное состояние ТСВ должно соответствовать требовани­ям политики безопасности, мониторинга взаимодействий и самоконтроля целостности.

7. Ограничение привилегий при работе с ТСВ. Требования этой группы устанавливают порядок назначения полномочий для работы с ком­пьютерной системой. Основным принципом назначения таких полномочий является принцип минимальной достаточности. Это обеспечивается по­средством постоянного контроля и при необходимости автоматического понижения привилегий пользователей при обращении к компонентам или сервису ТСВ. Соблюдение этого принципа позволяет минимизировать нарушения целостности в случае возникновения сбоев или нарушений безопасности.

8. Простота использования ТСВ. Выполнение этих требований обеспечивает удобство пользования возможностями ТСВ как для высоко­квалифицированных администраторов, ответственных за функционирова­ние и безопасность системы, так и для рядовых пользователей, а также для разработчиков прикладных программ, взаимодействующих с систе­мой. К этому классу требований относятся: порядок реагирования ТСВ на ошибки в действиях пользователей и попытки нарушения безопасности, устанавливаемые по умолчанию полномочия, интерфейс пользователей и администратора.

Объем и глубина реализации функциональных требований зависит от того, какую степень защищенности должно обеспечивать ядро защиты конкретного ПИТ, а также от того, какие угрозы безопасности возможны в среде его эксплуатации. Степень обеспечения требуемого уровня защи­щенности зависит от реализованной политики безопасности, от квалифи­кации ответственного за безопасность персонала, от правильности адми­нистрирования системы и соблюдения рядовыми пользователями правил политики безопасности.