Оранжевая книга информационная безопасность кратко

Обновлено: 03.07.2024

Содержание работы

Файлы: 1 файл

Оранжевая книга1.doc

Оранжевая книга. История создания. Основные положения

1. Определение информационной безопасности, основные положения, связанные с данным понятием

Исследователи говорят об очевидной необходимости теоретической разработки международно-правовых основ регулирования взаимоотношений субъектов международного права в сфере качественно изменяющихся под воздействием информационной революции условий обеспечения международной и национальной безопасности, в сфере обеспечения информационной безопасности государства (1, с. 6–14).

Актуальность проблемы информационной безопасности заключается:

в особом характере общественной опасности возможных преступлений;
в наличии тенденции к росту числа преступлений в информационной сфере;
в неразработанности ряда теоретических положений, связанных с информационной безопасностью (1, с. 6–14).

Проблема обеспечения безопасности носит комплексный характер, для ее решения необходимо сочетание законодательных, организационных и программно-технических мер и средств. Программно-технические средства, реализуются программным и аппаратным обеспечением, при этом решают разные задачи по защите. Они могут быть встроены в операционные системы либо реализованы в виде отдельных продуктов.

(Федеральный закон Российской Федерации от 27 июля 2006 г. N 149-ФЗ Об информации, информационных технологиях и о защите информации; Федеральный закон Российской Федерации от 27 июля 2006 г. N 152-ФЗ О персональных данных; Закон РФ от 21 июля 1993 г. N 5485-I О государственной тайне и др.), целью которых является реализация мер урегулированию сферы информационных отношений, в частности, по обеспечению информационной безопасности.

Специалисты, работающие в сфере информационной безопасности, в своей работе опираются на различные спецификации и стандарты. Стоит отметить, что законодательство закрепляет необходимость следовать тем или иным стандартам (так обстоит ситуация, скажем, с криптографическими и Руководящими документами Гостехкомиссии России). Кроме этого, существуют и такие причины следования стандартам и спецификациям, которые можно назвать содержательными. Первое: стандарты и спецификации представляют из себя упорядоченные хранилища данных (знаний) о таких уровнях информационной безопасности, как процедурный и программно-технический. В них изложены апробированные, высококачественные решения и методологии, разработанные наиболее квалифицированными специалистами. Во-вторых, и спецификации, и стандарты можно назвать основным средством обеспечения взаимной совместимости аппаратно-программных систем и их компонентов (1, с. 10–11).

Среди множества различных стандартов и спецификаций можно выделить две дополняющие друг друга группы документов:

оценочные стандарты, предназначенные для оценки и классификации информационных систем и средств защиты по требованиям безопасности;
спецификации, регламентирующие различные аспекты реализации и использования средств и методов защиты.

Таким образом, мы видим, что решение проблемы обеспечения информационной безопасности настолько важно, что осуществляется на самых разных уровнях, от обеспечения правовой базы до технического регламентирования.

Что касается требований политики безопасности, то система должна поддерживать точно определенную политику безопасности (мандатную или дискреционную). Доступа субъектов, использующих ИС, к ее объектам выявляется путем их (субъектов) идентификации, а также на основании набора правил управления доступом.

Требования подотчетности оперируют понятиями идентификации и аутентификации. Все субъекты в ИС наделяются уникальными идентификаторами. При выполнении контроля доступа анализируются результаты идентификации субъекта и объекта доступа, подтверждается подлинность их идентификаторов (происходит аутентификация) и выполняются правила разграничения доступа. Безусловно, используемые для аутентификации и идентификации данные должны быть защищены от несанкционированного доступа, модификации и уничтожения; также они обязательно ассоциируются со всеми активными компонентами компьютерной системы, функционирование которых критично с точки зрения безопасности. Также требование подотчетности связано с регистрацией и учетом. Все события, происходящие в информационной системе и так или иначе связанные с ее безопасностью, отслеживаются и регистрируются в защищенном протоколе. При этом системой регистрации в процессе анализа из всех событий выделяются только те, которые влияют на безопасность (это делается, чтобы уменьшить объем протокола и повысить эффективность анализа). В такой ситуации естественным требованием является требование о том, что указанный протокол должен надежно защищаться от несанкционированного доступа, модификации и уничтожения.

Категория гарантий (корректность) содержит такое требование, как контроль корректности функционирования средств защиты. Это означает, что специальные независимые аппаратные и программные средства должны включаться в систему защиты с целью обеспечить высокий уровень работоспособности защитных функций, а именно: все средства защиты, которые реализуют политику безопасности ИС, управление атрибутами и метками безопасности, идентификацию и аутентификацию субъектов и объектов ИС, регистрацию и учет должны контролироваться отдельной группой средств, которая обеспечит корректность и стабильность их работы. Здесь, как и во многих подобных случаях, важно, чтобы средства контроля (точнее, их функционирование) совершенно не зависели от самих средств защиты. Также соблюдение гарантий диктует необходимость защиты всех средств от таких воздействий, как несанкционированное вмешательство и отключение, причем здесь важно обеспечить непрерывность защиты от указанных воздействий любом режиме функционирования и самой системы защиты, и в целом компьютерной вычислительной системы. Данное требование распространяется на весь жизненный цикл компьютерной системы. Укажем также, что при определении степени надежности системы опираются на данное требование как на одно из ключевых.

Оранжевая книга – это основной документ, который устанавливает критерии и правила оценки защищённости компьютерных систем.

Оранжевая книга лежит в основе национальных критериев защиты информации от несанкционированного доступа в странах Европы, Канады, России.

Задача оранжевой книги состоит в следующем:

· предоставление единого стандарта в разработке систем защищённых исполнением, а также встраивании существующей системы дополнительных средств защиты информации;

· описание компонентов и механизмов защиты во взаимосвязи с критерием оценки уровня защиты информации.

Требования оранжевой книги отражают основное содержание политики безопасности правительственных организаций США и включают в себя:

1 Правила управления доступом, а именно, в системе должны быть точно определены правила, регулирующие доступ пользователей к конфиденциальной информации.

2 Политика учёта. В системе должны быть определены правила, позволяющие накапливать и защищать от разрушения регистрационную информацию, отражающую фактический доступ пользователей защищаемым ресурсом.

3 Маркировка объекта. Маркировка уровня конфиденциальности информационных объектов должна связываться с порождающими её объектами, маркировка создаваемых вновь объектов должна формироваться с учётом маркировки объектов, из которых порождаются новые объекты.

4 Идентификация и проверка подлинности. Пользователи системы должны быть однозначно идентифицированы и подвергнуты проверке подлинности аутидентификации в процессе доступа в систему.

5 Гарантии архитектуры и проектирования. Система защиты информации должна строиться на базе компонентов и механизмов, относительно которых с определённым уровнем достоверности может быть гарантирована корректность функционирования.

6 Гарантии непрерывности. Система защиты информации должна включать средства и механизмы, исключающие несанкционированный доступ к ресурсам при переходе системы в нештатный режим функционирования.

Диспетчер Доступа (ДД) основной элемент подсистемы защиты, которая имеет прямое отношение к большинству функциональных требований оранжевой книги.

ДД представляет собой абстрактную модель, которая формирует архитектуру безопасности системы. ДД физически встраивается в систему и выполняет посреднические функции при обращении пользователей к ресурсам.

С точки зрения реализации ДД должен удовлетворять трём основным требованиям:

1 Контролировать все теоретически возможные взаимодействия между пользователями и объектами, которые учитываются в модели защиты системы.

2 Быть природным к верификации и полному функциональному тестированию в пределах определённого класса системы.

3 Реализовать правило разграничения доступа в соответствии с формальной моделью защиты установленной для данного класса систем.

Основное концептуальное понятие второй группы требований оранжевой книги связано с выбором доверенной вычислительной базы.

Под доверенной вычислительной базой понимаются любые компоненты системы, которые:

выполняют критичные функции в системе;

обладают высоким уровнем гарантий, позволяющим вынести их за пределы модели защиты, в результате чего некоторые или все защитные функции для таких компонентов не применяются.

В соответствии с оранжевой книгой системы подразделяются на четыре группы: А, В, С, D.

Группа А обеспечивает максимальный, а группа D – минимальный уровни защищённости.

В пределах каждой группы системы подразделяются на классы защищённости, при этом группы А и D включают по одному классу (соответственно А и D), группа В – три класса (В_1, В_2, В₃), группа С включает два класса (С_1, С₂).

В пределах каждой из групп системы с большим классом являются более защищёнными. Системы удовлетворяющие требованиям различных классов отличаются по составу механизмов защиты и по составу требований к процессу проектирования, моделирования, разработки, тестирования.

Задача оранжевой книги состоит в следующем:

· описание компонентов и механизмов защиты во взаимосвязи с критерием оценки уровня защиты информации.

С точки зрения реализации ДД должен удовлетворять трём основным требованиям:

Под доверенной вычислительной базой понимаются любые компоненты системы, которые:

выполняют критичные функции в системе;

В соответствии с оранжевой книгой системы подразделяются на четыре группы: А, В, С, D.

Группа А обеспечивает максимальный, а группа D – минимальный уровни защищённости.

Политика безопасности
1. Система должна поддерживать точно определённую политику безопасности. Возможность доступа субъектов к объектам должна определяться на основании их идентификации и набора правил управления доступом. По мере необходимости должна использоваться политика мандатного управления доступом.
2. С объектами должны быть ассоциированы метки безопасности, используемые в качестве исходной информации для процедур контроля доступа. Для реализации мандатного управления доступом система должна обеспечивать каждому объекту набор атрибутов, определяющих степень конфиденциальности объекта и режимы доступа к этому объекту.
1. Все субъекты должны имеет уникальные идентификаторы. Контроль доступа должен осуществляться на основе идентификации субъекта и объекта доступа, аутентификации и правил разграничения доступа. Данные, используемые для идентификации и аутентификации, должны быть защищены от несанкционированного доступа, модификации и уничтожения и должны быть ассоциированы со всеми активными компонентами компьютерной системы, функционирование которых критично сточки зрения безопасности.
2. Для определения степени ответственности пользователя за действия в системе, все происходящие в ней события, имеющие значение сточки зрения безопасности, должны отслеживаться и регистрироваться в защищённом протоколе. Система регистрации должна осуществлять анализ общего потока событий и выделят из него только те события, которые оказывают влияние на безопасность. Протокол событий должен быть надёжно защищён от несанкционированного доступа, модификации и уничтожения.
1. Средства защиты должны содержать независимые аппаратные или программные компоненты, обеспечивающие работоспособность функций защиты. Это означает, что все средства защиты, обеспечивающие политику безопасности, управление атрибутами и метками безопасности, регистрацию и учёт, должны находиться под контролем средств, проверяющих корректность их функционирования. Средства контроля должны быть полностью независимы от средств защиты.
2. Все средства защиты должны быть защищены от несанкционированного вмешательства и отключения, причём эта защита должна быть постоянной и непрерывной в любом режиме функционирования системы защиты и автоматизированной системы в целом. Данное требование распространяется на весь жизненный цикл автоматизированной системы.
A – содержит единственный класс A1.

B – содержит классы B1, B2 и B3.

С – содержит классы C1 и C2.

D – содержит единственный класс D1.

Требуемый уровень защищённости системы возрастает от группы D к группе A, а в пределах одной группы – с увеличением номера класса. Каждый класс характеризуется определённым фиксированным набором требований к подсистеме обеспечения информационной безопасности, реализованной в АС.

Приведём краткие характеристики каждого из классов защищённости.

1. Группа D – минимальная защита.

К данной категории относятся те системы, которые были представлены для сертификации по требованиям одного из более высоких классов защищённости, но не прошли испытания.

2. Группа C - дискреционная защита.

Данная группа характеризуется наличием дискреционного управления доступом и регистрации действий субъектов.
- Класс C1 – дискреционная защита. Система включает в себя средства контроля и управления доступом, позволяющие задавать ограничения для отдельных пользователей. Класс C1 рассчитан на однопользовательские системы, в которых осуществляется совместная обработка данных одного уровня конфиденциальности.
- Класс C2 – управление доступом Система обеспечивает более избирательное управление доступом путём применения средств индивидуального контроля за действиями пользователей, регистрации, учёта событий и выделения ресурсов.
3. Группа B – мандатная защита

Система обеспечивает мандатное управление доступом с использованием меток безопасности, поддержку модели и политики безопасности. Предполагается наличие спецификаций на функции ядра безопасности. Реализуется концепция монитора безопасности обращений, контролирующего все события в системе.
- Класс B1 – защита с применением меток безопасности Помимо выполнения всех требований к классу C2, система должна поддерживать маркировку данных и мандатное управление доступом. При экспорте из системы информация должна подвергаться маркировке.
- Класс B2 – структурированная защита Ядро безопасности должно поддерживать формально определённую и чётко документированную модель безопасности, предусматривающую дискреционное и мандатное управление доступом, которое распространяется на все субъекты. Должен осуществляться контроль скрытых каналов передачи информации. В структуре ядра безопасности должны быть выделены элементы, критичные с точки зрения безопасности. Интерфейс ядра безопасности должен быть чётко определён, а его архитектура и реализация должны быть выполнены с учётом возможности проведения тестовых испытаний. Управление безопасностью должно осуществляться администратором безопасности.
- Класс B3 – домены безопасности Ядро безопасности должно поддерживать монитор безопасности обращений, который контролирует все типы доступа субъектов к объектам и который невозможно обойти. Ядро безопасности содержит исключительно подсистемы, отвечающие за реализацию функций защиты, и является достаточно компактным для обеспечения возможности эффективного тестирования. Средства аудита должны включать механизмы оповещения администратора о событиях, имеющих значение для безопасности системы. Необходимо наличие средств восстановления работоспособности системы.
4. Группа A – верифицированная защита

Группа характеризуется применением формальных методов верификации корректности функционирования механизмов управления доступом. Требуется дополнительная документация, демонстрирующая, что архитектура и реализация ядра безопасности отвечает требованиям безопасности. Функциональные требования совпадают с классом B3, однако на всех этапах разработки АС требуется применение формальных методов верификации систем защиты.

В январе 1981 года в соответствии с директивой министра обороны США N 5215.1 с целью определения пригодности предлагаемых различными разработчиками компьютерных систем был создан Центр компьютерной безопасности министерства обороны США.

Позднее, в сентябре 1985 года, этот центр был переименован в Национальный центр компьютерной безопасности (National Computer Security Center; NCSC).

Требования TCSEC, предъявляемые к компьютерной системе (продукту) в процессе оценивания, условно можно разделить на четыре типа - требования проведения последовательной политики безопасности (security policy), требования ведения учета использования продукта (accounts), требования доверия к продукту (assurance) и требования к документации на продукт.

Согласно TCSEC, для оценивания компьютерных систем выделено четыре основных группы безопасности, которые в свою очередь делятся на классы безопасности:

- группа Д - Minimal Protection (минимальная защита) - объединяет компьютерные системы, не удовлетворяющие требованиям безопасности высших классов. В данном случае группа и класс совпадают;

- группа С - Discretionary Protection (избирательная защита) - объединяет системы, обеспечивающие набор средств защиты, применяемых пользователем, включая средства общего контроля и учета субъектов и их действий. Эта группа имеет два класса:

1) класс С1 - Discretionary Security Protection (избирательная защита безопасности) - объединяет системы с разделением пользователей и данных;

2) класс С2 - Controlled Access Protection (защита контролируемого доступа) - объединяет системы, обеспечивающие более тонкие средства защиты по сравнению с системами класса С1, делающие пользователей индивидуально различимыми в их действиях посредством процедур контроля входа и контроля за событиями, затрагивающими безопасность системы и изоляцию данных.

Примечание: Компьютерные системы, которые могут быть использованы для нужд министерства обороны США, должны как минимум иметь рейтинг безопасности С2.

- группа В - Mandatory Protection (полномочная защита) - имеет три класса:

1) класс В1 - Labeled Security Protection (меточная защита безопасности) - объединяет системы, удовлетворяющие всем требованиям класса С2, дополнительно реализующие заранее определенную модель безопасности, поддерживающие метки субъектов и объектов, полный контроль доступа. Вся выдаваемая информация регистрируется, все выявленные при тестировании недостатки должны быть устранены;

2) класс В2 - Structured Protection (структурированная защита) - объединяет системы, в которых реализована четко определенная и задокументированная формализованная модель обеспечения безопасности, а меточный механизм разделения и контроля доступа, реализованный в системах класса В1, распространен на всех пользователей, все данные и все виды доступа. По сравнению с классом В1 ужесточены требования по идентификации пользователей, контролю за исполнением команд управления, усилена поддержка администратора и операторов системы. Должны быть проанализированы и перекрыты все возможности обхода защиты. Системы класса В2 считаются "относительно неуязвимыми" для несанкционированного доступа;

3) класс В3 - Security Domains (области безопасности) - объединяет системы, имеющие специальные комплексы безопасности. В системах этого класса должен быть механизм регистрации всех видов доступа любого субъекта к любому объекту. Должна быть полностью исключена возможность несанкционированного доступа. Система безопасности должна иметь небольшой объем и приемлемую сложность для того, чтобы пользователь мог в любой момент протестировать механизм безопасности. Системы этого класса должны иметь средства поддержки администратора безопасности; механизм контроля должен быть распространен вплоть до сигнализации о всех событиях, затрагивающих безопасность; должны быть средства восстановления системы. Системы этого класса считаются устойчивыми к несанкционированному доступу.

- группа А - Verified Protection (проверяемая защита) - объединяет системы, характерные тем, что для проверки реализованных в системе средств защиты обрабатываемой или хранимой информации применяются формальные методы. Обязательным требованием является полная документированность всех аспектов проектирования, разработки и исполнения систем. Выделен единственный класс:

1) класс А1 - Verified Desing (проверяемая разработка) - объединяющий системы, функционально эквивалентные системам класса В3 и не требующие каких-либо дополнительных средств. Отличительной чертой систем этого класса является анализ формальных спецификаций проекта системы и технологии исполнения, дающий в результате высокую степень гарантированности корректного исполнения системы. Кроме этого, системы должны иметь мощные средства управления конфигурацией и средства поддержки администратора безопасности.

Основное содержание требований по классам безопасности TCSEC приведено в таблице 1.

Всего имеется шесть классов безопасности – C1, C2, B1, B2, B3, A1. Чтобы в результате процедуры сертификации систему можно было отнести к некоторому классу, ее политика безопасности и уровень гарантированности должны удовлетворять заданным требованиям, из которых мы упомянем лишь важнейшие.

Класс C1:
1. доверенная вычислительная база должна управлять доступом именованных пользователей к именованным объектам;
2. пользователи должны идентифицировать себя, прежде чем выполнять какие-либо иные действия, контролируемые доверенной вычислительной базой. Для аутентификации должен использоваться какой-либо защитный механизм, например, пароли. Аутентификационная информация должна быть защищена от несанкционированного доступа;
3. доверенная вычислительная база должна поддерживать область для собственного выполнения, защищенную от внешних воздействий (в частности, от изменения команд и/или данных) и от попыток слежения за ходом работы;
4. должны быть в наличии аппаратные и/или программные средства, позволяющие периодически проверять корректность функционирования аппаратных и микропрограммных компонентов доверенной вычислительной базы;
5. защитные механизмы должны быть протестированы на предмет соответствия их поведения системной документации. Тестирование должно подтвердить, что у неавторизованного пользователя нет очевидных способов обойти или разрушить средства защиты доверенной вычислительной базы;
6. должны быть описаны подход к безопасности, используемый производителем, и применение этого подхода при реализации доверенной вычислительной базы.
Класс C2
1. права доступа должны гранулироваться с точностью до пользователя. Все объекты должны подвергаться контролю доступа;
2. при выделении хранимого объекта из пула ресурсов доверенной вычислительной базы необходимо ликвидировать все следы его использования;
3. каждый пользователь системы должен уникальным образом идентифицироваться. Каждое регистрируемое действие должно ассоциироваться с конкретным пользователем;
4. доверенная вычислительная база должна создавать, поддерживать и защищать журнал регистрационной информации, относящейся к доступу к объектам, контролируемым базой;
5. тестирование должно подтвердить отсутствие очевидных недостатков в механизмах изоляции ресурсов и защиты регистрационной информации.
Класс B1
1. доверенная вычислительная база должна управлять метками безопасности, ассоциируемыми с каждым субъектом и хранимым объектом;
2. доверенная вычислительная база должна обеспечить реализацию принудительного управления доступом всех субъектов ко всем хранимым объектам;
3. доверенная вычислительная база должна обеспечивать взаимную изоляцию процессов путем разделения их адресных пространств;
4. группа специалистов, полностью понимающих реализацию доверенной вычислительной базы, должна подвергнуть описание архитектуры, исходные и объектные коды тщательному анализу и тестированию;
5. должна существовать неформальная или формальная модель политики безопасности, поддерживаемая доверенной вычислительной базой.
Класс B2
1. снабжаться метками должны все ресурсы системы (например, ПЗУ), прямо или косвенно доступные субъектам;
2. к доверенной вычислительной базе должен поддерживаться доверенный коммуникационный путь для пользователя, выполняющего операции начальной идентификации и аутентификации;
3. должна быть предусмотрена возможность регистрации событий, связанных с организацией тайных каналов обмена с памятью;
4. доверенная вычислительная база должна быть внутренне структурирована на хорошо определенные, относительно независимые модули;
5. системный архитектор должен тщательно проанализировать возможности организации тайных каналов обмена с памятью и оценить максимальную пропускную способность каждого выявленного канала;
6. должна быть продемонстрирована относительная устойчивость доверенной вычислительной базы к попыткам проникновения;
7. модель политики безопасности должна быть формальной. Для доверенной вычислительной базы должны существовать описательные спецификации верхнего уровня, точно и полно определяющие ее интерфейс;
8. в процессе разработки и сопровождения доверенной вычислительной базы должна использоваться система конфигурационного управления, обеспечивающая контроль изменений в описательных спецификациях верхнего уровня, иных архитектурных данных, реализационной документации, исходных текстах, работающей версии объектного кода, тестовых данных и документации;
9. тесты должны подтверждать действенность мер по уменьшению пропускной способности тайных каналов передачи информации.
Класс B3
1. для произвольного управления доступом должны обязательно использоваться списки управления доступом с указанием разрешенных режимов;
2. должна быть предусмотрена возможность регистрации появления или накопления событий, несущих угрозу политике безопасности системы. Администратор безопасности должен немедленно извещаться о попытках нарушения политики безопасности, а система, в случае продолжения попыток, должна пресекать их наименее болезненным способом;
3. доверенная вычислительная база должна быть спроектирована и структурирована таким образом, чтобы использовать полный и концептуально простой защитный механизм с точно определенной семантикой;
4. процедура анализа должна быть выполнена для временных тайных каналов;
5. должна быть специфицирована роль администратора безопасности. Получить права администратора безопасности можно только после выполнения явных, протоколируемых действий;
6. должны существовать процедуры и/или механизмы, позволяющие произвести восстановление после сбоя или иного нарушения работы без ослабления защиты;
7. должна быть продемонстрирована устойчивость доверенной вычислительной базы к попыткам проникновения.
Класс A1
1. тестирование должно продемонстрировать, что реализация доверенной вычислительной базы соответствует формальным спецификациям верхнего уровня;
2. помимо описательных, должны быть представлены формальные спецификации верхнего уровня. Необходимо использовать современные методы формальной спецификации и верификации систем;
3. механизм конфигурационного управления должен распространяться на весь жизненный цикл и все компоненты системы, имеющие отношение к обеспечению безопасности;
4. должно быть описано соответствие между формальными спецификациями верхнего уровня и исходными текстами.
- уровень C – произвольное управление доступом;
- уровень B – принудительное управление доступом;
- уровень A – верифицируемая безопасность.
В общем я пониманию что здесь нет ничего интересного, но эта информация может кому нибудь пригодится.
Кстати у винды класс безопасности C2

Читайте также:

Оранжевая книга информационная безопасность кратко

Содержание работы

Файлы: 1 файл

Оранжевая книга1.doc

Класс C1:

Класс C2

Класс B1

Класс B2

Класс B3

Класс A1