ТЕМА 2 Критерии и стандарти за оценка на защитените компютърни системи

1. ТЕМА 2 Критерии и стандарти за оценка на защитените компютърни системи 2.1. Увод 2.2. Основни принципи свързани с критериите и стандартите за информационна сигурност; 2.3. Критерии за оценка на защитени компютърни мрежи. 2.4. Критерии за оценка на информационните технологии.

2. 2.1. Увод Trusted Computer System Evaluation Criteria (TCSEC), известни като “Оранжева книга”, издадена през август 1983 г. от Националният център за компютърна сигурност (National Computer Securuty Center-NCSC), част от Националната агенция за сигурност (National Security Agency-NSA), дефинират основните класове, понятия и критерии за оценка на сигурността на компютърните системи.

3. В TCSEC (Оранжева книга) се дефинират четири големи класа на сигурна защита: А – доказана сигурност. В – мандатна (временна) сигурност; C - разумна сигурност; D - минимална сигурност; Всеки клас може да съдържа един или повече номерирани подкласове. Всеки подклас е дефиниран посредством множество от критерии.

4. 2.2. Основни принципи свързани с критериите за информационна сигурност Критериите са групирани в четири обобщени категории: • Политика на сигурност; • Отчетност; • Гарантираност; • Документираност.

5. Критериите са разработени на основата на три принципа: • Измерване; • Ръководство; • Придобиване.

6. Основи на защитата (Trusted Computing Base -TCB) TCSEC (Оранжевата книга) използва термина TCB, за да се насочи към механизмите, които се използват за сигурността в една система.

7. Комбинацията от всички защитни механизми (или целостта им) в една компютърна система, включваща хардуер, фърмуер и софтуер, е отговорна за налагането на една политика на сигурност. Това създава едно основно защитно обкръжение и осигурява допълнителни потребителски възможности, изисквани за една защитена компютърна система.

8. Способността на TCB да наложи правилно една политика на сигурност зависи единствено от механизмите в TCB и от коректното въвеждане от системния администратор на параметрите на потребителите, отнасящи се до политиката на сигурност.

9. Една съществена част от оценката на компютърната система е да регистрира архитектурата, осигурителните механизми и възможностите за защита, които обхваща TCB и да покаже как TCB е защитен от смущения и намеси – случайни или преднамерени.

10. Политика за сигурност Това е множество от правила и практики, които определят как една организация управлява, защитава и разпределя чувствителната информация,т.е. рамката, в която една система осигурява защитата. Описва се в термините на обекти и субекти. Обектите могат да бъдат файлове, директории и т.н., а субектите – потребители, процеси и програми.

11. При дадени идентифицирани обекти и субекти трябва да има едно множество от правила, което да се използва от системата да определи кога даден субект може да получи достъп до специфициран обект.

12. Цялата работа по гарантиране на сигурността на информацията на коя да е фирма или ведомство започва с подготовката на документ, наречен “Политика на сигурност”.

13. Като правило този документ трябва да съдържа: • Определяне на необходимите допълнителни ресурси и средства за осигуряване на сигурността; • Организиране на контрола за достъп на субектите до обектите; • Правилата и средствата за идентификация на обектите и автентификация на субектите; • Криптиращите методи, средства и устройства;

14. Организиране на антивирусната защита; • Регламентиране създаването на работни документи по сигурността – “Ръководство по сигурността” и инструкция за отделни субекти (ръководители, администратори, разработчици на софтуер, потребители, клиенти и т.н.); • Регламентиране на необходимото обучение и тренировка на отделни субекти; • Създаване на звено (център) за администриране на сигурността.

15. Оценка на сигурността на системите Изискванията за политиката на сигурност е първото от множеството изисквания и те са групирани в следните категории: • Разумен контрол на достъп; • Повторно използване на обектите (ресурсите); • Етикети; • Мандатен контрол на достъп.

16. Разумен контрол на достъп (Discretionary Access Control-DAC). Dac е метод за ограничаване на достъпа до файловете (или други обекти на системата), базиран на идентифициране на потребителя (или групата). Определя кой има достъп и как може да използва файловете (обектите).

17. Повторно използване на обектите Изисква защита на файловете, паметта и други обекти от една защитена система от случаен достъп от неоторизиран потребители. По-важни примери: • Изтриване на файл не води до физическо изтриване на информацията; • Напускане на потребител с определени инициали (ID) и последващо регистриране на нов потребител със същите инициали може да доведе до наследяване на правомощията.

18. Етикети За нуждите на мандатния контрол на достъпа се въвежда понятието променлив (чувствителен) етикет и се описва използването му. Етикетите и мандатния контрол на достъпа са различни изисквания, но винаги работят заедно. Потребителският променлив етикет специфицира нивото на сигурност на този потребител. Файловият променлив етикет специфицира нивото на сигурност, което трябва да има този потребител, за да има достъп до този файл.

19. Етикетната цялост гарантира, че чувствителните етикети, асоциирани с обектите и субектите, са правилно представяне на нивата на сигурност на тези обекти и субекти. При пренасяне на етикирана информация една защитена система трябва да бъде сигурна, че информация, създадена от системата, продължава да има защитните механизми, които са асоциирани (присвоени), през цялото време на съществуването си в системата.

20. Има два типа пренасящи устройства – за едно или за много нива на сигурност. Етикиране на изходна информация, до която може да има достъп. TSEC (Оранжевата книга) включва в този тип информация страници за разпечатване, карти, графики и други дисплеи. Два са типовете етикиране: първият – данните се етикират в началото и края; вторият – всяка страница се етикира.

21. Променлив етикет на субекта. Налага изискването системата да съобщава на терминалния потребител за всяка промяна на нивото на сигурност, присвоено на този потребител по време на интерактивната сесия, т.е. идеята е, че потребителят трябва да знае своето ниво на сигурност през цялото време на своята работа. Защитените системи трябва да изобразяват нивото на сигурност при влизането в системата и при промяна автоматично или при поискване.

22. Етикети на устройства. Изисква се всяко физическо устройство, присъединено в системата, да има минимално и максимално ниво на сигурност и тези нива да наложат принудителни ограничения върху физическото обкръжение, в което това устройство е алокирано (разпределено).

23. Мандатен контрол на достъп. Поставя всички решения за достъп под контрола на системата. Необходимо е на всички обекти и субекти в системата да бъдат присвоени променливи етикети. Потребителският променлив етикет определя нивото на сигурност, присвоено на този потребител. Файловият променлив етикет определя нивото на сигурност, което трябва да има даден потребител, за да определи кой към каква информация има достъп в системата.

24. Второ множество от критерии на Оранжевата книга са Изисквания за отчетност. Отчетността трябва да реализира идеята, че системата знае кой сте вие и какво правите. Системата трябва да притежава възможност да автентифицира (идентифицира) всички потребители и да използва тази информация за да определи легитимността за достъп и да осигури изпълнението само на онези действия, които изискват ниво на сигурност съответстващо на нивото на потребителя.

25. Тези изисквания се групират в три групи: • Идентификация и автентификация; • Защитен път; • Наблюдение.

26. Идентификация и автентификация Изисква се във всичките нива на системата за сигурност. TSEC (Оранжевата книга-OK) дефинира потребителят да се идентифицира преди всяка работа, която изисква взаимодействие с ТСВ. Потребителят се идентифицира с някакъв свой идентификатор последван от парола.

27. В ОК се постановява паролите да са защитени без да се описва как. В Зелената книга (TheDepartmentofDefensePasswordManagementGuideline) се препоръчват три важни способа за реализация на защитени пароли: • Потребителят трябва да може да сменя сам собствената си парола; • Паролите трябва да се генерират от компютъра; • Важни данни от наблюдението като дата и време на влизането в системата се задават автоматично от системата за отчетност, а не от потребителя.

28. Защитен път. Той трябва да осигури една среда, чрез която потребителя може да комуникира директно с ТСВ, без да има възможност да взаимодейства със системата посредством защитени приложения и слоеве на операционната система. (както системния администратор).

29. Наблюдение. То включва записване, проверка и преглед на дейностите, свързани със сигурността в защитената система. Дейност, свързана със сигурността е тази дейност, която свързва достъпа на субекта до един обект. В термините на наблюдението това са нарича събитие.

30. Типичните събития включват: • Влизане (успешно или неуспешно); • Излизане; • Отдалечен системен достъп; • Отваряне, затваряне, преименуване и изтриване на файлове; • Смяна на привилегиите или атрибутите на сигурност.

31. За всяко от тези събития се регистрират след наблюдението: • Дата и време на събитието; • Уникалният ID на потребителя, инициирал събитието; • Тип на събитието; • Успешно или не; • Произход на заявката (напр. ID на терминала); • Името на обекта на действието; • Описанието на измененията в секретните бази от данни; • Нивата на сигурност на обекта и субекта.

32. Третото множество от критерии на Оранжевата книга са Изисквания за гарантираност Увереността е една гаранция, че политиката на сигурност на една защитена система е приложена правилно и че системните възможности коректно изпълняват политиката на сигурност. Разглеждат се два типа гарантираност: • Системна; • Гарантираност на жизнения цикъл.

33. Системната гарантираност разглежда въпросите за архитектурата и възможностите на системата и обхваща: • Системна архитектура; • Системна цялостност; • Анализ на скритите канали (черни врати); • Лесно защитено управление; • Защитено възстановяване.

34. Системна архитектура. За системите от нисък клас на сигурност (от С1 до В1 и дори до В2) не се налагат специални изисквания за системната архитектура. При проектирането на много от многозадачните и многопотребителски системи е следван принципът за удовлетворяване на изискванията на ОК за системите от по-висок клас на сигурност.

35. Системна цялостност. Тя е жизнено важна цел за разработчиците на всички системи, не само защитените. Тя означава безотказна работа на хардуера и софтуера. Една от най-важните цели на системната сигурност е работоспособността на системата и изпълнение на всички функции, свързани със защитата.

36. Анализ на скритите канали (черни врати) Един такъв скрит канал е информационен път, който обикновено не се използва за комуникация в системата и следователно не е защитен от нормалните системни механизми за сигурност.

37. Лесно защитено управление. Това е управление, което реализира концепциите за най-малка привилегия и разделение на задълженията. Това означава, че е желателно потребителите в системата да имат възможно най-малката привилегия и то за времето необходимо за тяхната работа. Разделянето на задълженията означава разделяне на задачите, които осигуряват сигурността върху няколко различни субекта

38. Защитено възстановяване. То гарантира, че сигурността не е компрометирана при системно прекъсване или при други откази. Поражда две действия: • Подготовка за неочаквани откази на системата; • Възстановяване при откази.

39. Системните откази носят изключително голям риск за сигурността, защото през това време системата не работи по обичайния (нормалния) начин. Възстановяването на системата налага едновременно административни процедури и софтуерни механизми . Основните процедури по възстановяването са: • Рестартиране на системата в режим на единичен потребител; • Възстановяване на системните файлове, активни при отказа на системата; • Копиране (връщане) на липсващите или развалени файлове и бази от данни от най-последните (нови) копия; • Възстановяване на изискваните параметри за сигурност; • Проверка на важните (фаталните) файлове, свързани със сигурността.

40. Гарантираност на жизнения цикъл. Гарантираността на жизнения цикъл разглежда въпросите за контролите и стандартите при разработването и експлоатацията на системата и обхваща: • Тестване за сигурност; • Планиране на спецификацията и верификацията; • Управление на конфигурацията; • Защитено разпределение (разпространение).

41. Възможностите на гарантираността на жизнения цикъл осигуряват планирането, разработката и експлоатацията на защитени системи при формални и твърдо контролирани стандарти. Тези възможности са основно човешкият и административния контрол.

42. Тестване за сигурност. Системният разработчик тества всички възможности за сигурността, осигурява системата да работи, както е описана в документацията и документира резултатите от тестовете. Има два основни типа тестване: • Тестове за механизмите на сигурност – директен контрол на достъпа, етикиране, мандатен контрол на достъпа, идентификация и автентификация, защитен път и наблюдение; • Тестване на интерфейса – всички потребителски правила, които извикват функции за сигурност (т.е. интерфейса към ТСВ).

43. Планиране на спецификацията и верификацията. Изисква се математическо и автоматично (компютърно) доказателство, че планираното описание на системата не противоречи на системната политика на сигурност. За всяко ниво (от В1) се изисква формален (математически прецизен) модел на политиката за сигурност.

44. Управление на конфигурацията Управлението на конфигурацията защитава дадена система при проектирането, разработването и експлоатацията й. Включва идентификация, контрол, отчетност и ревизируемост на всички промени, направени в ТСВ по време на проектирането, разработването и експлоатацията, както и в документацията, плановете за тестване и в други системни средства, свързани със защитата. Въпреки, че управление на конфигурацията се изисква само за системи със висок клас на сигурност (В2, В3 и А1), то е препоръчително и за системите от по нисък клас.

45. Защитено разпределение (разпространение). То защитава една система за защита при пренасянето й до работното място на съответния потребител. Това изискване е задължително за системи от клас А1.

46. Четвъртото множество от критерии на ОК са Изискванията за документираност Те включват следните книги: • Ръководство за потребителя на възможностите за сигурност; • Учебник по защита; • Документация с тестове; • План.

47. Ръководство за потребителя на възможностите за сигурност Предназначено е за обикновените потребители и включва раделите: • Влизането в защитената система – ID и парола, смяна на паролата, съобщения и използването им; • Защита на файлове и друга информация; • Входни и изходни файлове – как да се четат нови данни в защитената система и как да се пишат в други системи без заплахи за сигурността; • Справяне със системните ограничения.

48. Учебник по защита Предназначен е за системния администратор и/или администратора по сигурността. Документация с тестове Тази документация съдържа план на тестването, допусканията за средата (обкръжението) на тестване, очакваните резултати и действителните резултати.

49. План Планът документира вътрешностите на системния хардуер, фърмуер и софтуер. Преследва две важни цели: • Да докаже на оценяващите, че системата удовлетворява напълно критериите за оценка; • Да помогне на разработчиците посредством дефиниране на системната политика за сигурност и как тази политика да се реализира.

50. 2.3. Критерии за оценка на защитени компютърни мрежи. Концепцията за защитени мрежи обхваща: • идентификация и автентификация – неразумно е използването на ID и пароли, предавани по мрежата в явен вид, препоръчва се използването на криптографски механизми; • разумен контрол на достъпа; • повторно използване – особено внимание за мрежовите буфери и ключове (хъбове, маршрутизатори и т.н.); • етикиране и мандатен контрол на достъпа; • наблюдение; • скрити канали.