Войти в мой кабинет
Регистрация
ГОТОВЫЕ РАБОТЫ / ДИССЕРТАЦИЯ, РАЗНОЕ

Методы реализации профилей защиты.

irina_krut2019 1875 руб. КУПИТЬ ЭТУ РАБОТУ
Страниц: 75 Заказ написания работы может стоить дешевле
Оригинальность: неизвестно После покупки вы можете повысить уникальность этой работы до 80-100% с помощью сервиса
Размещено: 21.01.2020
Пояснительная записка к выпускной квалификационной работе (ВКР) на тему «Методы реализации профилей защиты» изложена на 75 страницах, содержит 45 иллюстраций, 1 таблицу. Диссертация состоит из введения, четырех глав, заключения, списка использованных источников из 21 наименования и одного приложения. Место разработки – НГТУ, руководитель – канд. техн. наук Зырянов С.А., 2018 г. ПРОФИЛЬ ЗАЩИТЫ, ИНФОРМАЦИОННАЯ СИСТЕМА, БАЗА ДАННЫХ, АВТОМАТИЗИРОВАННАЯ СИСТЕМА, ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ, ОПЕРАЦИОННАЯ СИСТЕМА СПЕЦИАЛЬНОГО НАЗНАЧЕНИЯ, СРЕДСТВО ЗАЩИТЫ ИНФОРМАЦИИ. Цель работы: Разработка метода реализации профилей защиты информационных (автоматизированных) систем. Результатом выполнения является получение информационной системы, которая формирует соответствующий классу и типу операционной системы профиль защиты, а именно набор требований безопасности информации, а также автоматизированный сценарий настройки операционной системы специального назначения “Astra Linux Special Edition” релиз “Смоленск” версия 1.5. Кроме того, результатом работы является сохранение таблицы выбранных требований безопасности в отдельном текстовом документе.
Введение

Актуальность работы В 2012 году введен в действие ГОСТ Р 54581-2011 «Методы и средства обеспечения безопасности. Основы доверия к безопасности информационных технологий. Часть 1. Обзор и основы» [1], который предназначен для представления различных методов обеспечения доверия, а также для содействия специалистам в области информационных технологий в выборе соответствующего метода обеспечения доверия с целью получения уверенности в том, что оцениваемый объект, средство защиты информации, удовлетворяет установленным требованиям доверия к безопасности. В этом же году был введен в действие ГОСТ Р 54582-2011 «Основы доверия к безопасности информационных технологий. Часть 2. Методы доверия» [2], в котором описываются методы обеспечения доверия и подходы, применяемые к безопасности информационных технологий. Одним из таких является метод на основе общих критериев, источником которого является ГОСТ Р ИСО/МЭК 15408 «Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий» [3,4,5]. Согласно этому стандарту доверие - это основание для уверенности в том, что объект оценки отвечает конкретным требованиям безопасности, а также целям безопасности. Общие критерии разделяют такие понятия как функциональные возможности безопасности и требования доверия к безопасности и детально специфицируют средства, методы и функции, которые могут способствовать созданию уверенности в соответствии продукта безопасности целям безопасности. Конкретные методы, средства и требования определены во 2 и 3 частях ГОСТ Р ИСО/МЭК 15408 «Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий» [4,5]. В 2014 году 28 января Приказом Федерального агентства по техническому и экспортному контролю был утвержден и введен в действие ГОСТ Р 51583-2014 «Порядок создания автоматизированных систем в защищенном исполнении» [6]. Настоящий документ устанавливает требования по защите создаваемых или модернизируемых информационных автоматизированных систем, а также содержание и порядок выполнения работ по защите информации на всех стадиях и этапах создания автоматизированной системы в защищенном исполнении (АСЗИ). Согласно ГОСТ 34.003-90 «Автоматизированные системы. Термины и определения», автоматизированная система(АС) – это система, состоящая из персонала и комплекса средств автоматизации его деятельности, реализующая информационную технологию выполнения установленных функций. Национальный стандарт РФ ГОСТ Р 51583-2014 в пунктах 2, 5.16 и Приложении А определяет порядок применения при выполнении работ, необходимых и достаточных для создания АС в защищенном исполнении, требований национальных стандартов, идентичных международным (рисунок 1). Рисунок 1 – Перечень и содержание нормативной информации национальных стандартов, рекомендуемых к применению при создании АСЗИ [6] Как показано на схеме, при создании информационной (автоматизированной) системы в защищенном исполнении рекомендуется определить для неё перечень требований по информационной безопасности, указанные в определенном профиле защиты, а также реализовать эти требования безопасности информации, которыми являются функциональные требования безопасности (ФТБ). В настоящее время определены специальные нормативные документы по сертификации средств защиты информации и аттестации объектов информатизации по требованиям безопасности информации для операционных систем (ОС). И одной из актуальных проблем на сегодня является автоматизации процесса определения требований, предъявляемых к определенному профилю защиты, и настройки параметров безопасности операционной системы. Единственной сертифицированной в соответствии с указанными ранее требованиями является операционная система специального обозначения (ОССН) “Astra Linux Special Edition” релиз “Смоленск” версии 1.5. Целью данной работы является разработка метода реализации профилей защиты информационных (автоматизированных) систем. Для достижения данной цели в рамках магистерской диссертации были поставлены следующие задачи: 1. Обоснование постановки задачи исследования. Аналитический обзор публикаций по теме диссертации для обоснования актуальности выбранной темы, уточнения формулировки цели, обоснования средств решения задач. 2. Создание модели базы данных для профилей защиты операционных систем 4-6 классов защиты для типов А-В. 3. Реализация модели базы данных для профилей защиты операционных систем 4-6 классов защиты для типов А-В. 4. Написание скриптов для автоматизации настройки операционной системы специального назначения “Astra Linux Special Edition” релиз “Смоленск” в соответствии с требованиями по обеспечению информационной безопасности операционных систем. Соответственно является создание информационной системы для получения требований в соответствии с типом и классом объекта оценки и автоматизация настройки параметров безопасности в соответствии с требованиями профилей защиты операционных систем типа А 4-6 классов. Информационная система, которая будет разработана в ходе данной работы, будет применена к операционным системам. Расширить в дальнейшем область применения разработанной базы данных для других объектов оценки и усовершенствование скриптов для автоматизации настройки других версий операционной системы не должно представлять сложности, так как система носит универсальный характер. Соответственно, задачей станет реализация обобщенного подхода формирования базы данных функциональных компонентов безопасности и требований доверия к безопасности, относящихся к операционным системам, которые должны выполняться, а также написание программных скриптов, с помощью которых будет проводиться настройка данных требований. Они выбираются согласно соответствующей нормативной документации. Ожидаемым результатом выполнения поставленной задачи является получение информационной системы, которая формирует соответствующий классу профиль защиты, а также проводит автоматизированную настройку функциональных параметров безопасности. Кроме того, результатом работы является сохранение таблицы выбранных требований безопасности, в отдельном текстовом документе. В процессе решения поставленной задачи также необходимо проанализировать нормативные документы. Объектом исследования является автоматизация реализации профилей защиты информационных (автоматизированных) систем. Предметом исследования является методы реализации профилей защиты информационных (автоматизированных) систем. Методы исследования Результаты, представленные в рамках магистерской диссертации, получены с помощью методов разработки информационных систем, методов автоматизации информационных систем, а также теории алгоритмов. Эксперименты проводились путем моделирования системы, автоматизирующей реализацию профилей защиты информационных (автоматизированных) систем. Результаты, выносимые на защиту В процессе работы над магистерской диссертацией были получены следующие основные результаты: 1. База данных для профилей защиты операционных систем 4-5 классов защиты для типов А-В. 2. Скрипты для автоматизации настройки операционной системы специального назначения “Astra Linux Special Edition” релиз “Смоленск” версия 1.5. Научная новизна Научная новизна работы заключается в том, что: 1. Предложен новый метод определения требований безопасности информации для операционных систем 4-5 классов защиты для типов А-В. 2. Предложен новый метод автоматизации настройки операционной системы специального назначения “Astra Linux Special Edition” версии 1.5. Практическая значимость Практическая значимость данной работы обуславливается применением разработанным автором базы данных для определения требований безопасности информации для операционных систем 4-5 классов защиты для типов А-В. Система предоставляет удобный интерфейс, систематизирует требования безопасности для аттестуемых информационных (автоматизированных) систем. Также автоматизированный сценарий настройки операционной системы специального назначения “Astra Linux Special Edition” версии 1.5 применим в рамках аттестации автоматизированных систем. Апробация работы Основные результаты диссертации докладывались на четырех конференциях: 1. Стендовая конференция кафедры ВТ НГТУ, г. Новосибирск, 2016 г 2. Стендовая конференция кафедры ЗИ НГТУ, г. Новосибирск, 2018 г Публикации По теме диссертации было опубликовано три статьи. 1. Грищенко, Л.А. Methods of implementation of the protection profiles / Л.А. Грищенко // Progress through Innovations. Proceedings 2017 IVth International Academic and Research conference of Graduate and Postgraduate Students: тезисы международной научно-практической конференции аспирантов и магистрантов: Новосибирск, 30 марта 2017 г. – Новосибирск: Изд-во НГТУ, 2017. – С. 61-62. 2. Грищенко, Л.А. Определение профиля защиты и задания по безопасности / Л.А. Грищенко // Наука. Образование. Культура: научно-теоретический журнал. – 2018. – №4. – C. 14-18. 3. Грищенко, Л.А. Оценка доверия к безопасности информационных технологий / Л.А. Грищенко // Вопросы науки и образования: научно-теоретический электронный журнал. – 2018. – №7. – C. 62-66. Структура и объем диссертации Работа изложена на 75 страницах, содержит 45 иллюстраций, 1 таблицу. Диссертация состоит из введения, четырех глав, заключения, списка использованных источников из 21 наименования и одного приложения. Основное содержание работы Во введении обоснована актуальность данной работы, описаны цели и задачи работы, научная новизна и практическая значимость работы, приведены основные результаты, выносимые на защиту, а также уровень апробации, структура и объём магистерской диссертации, и список публикаций. В первой главе приводятся основные понятия, используемые в работе, и описание предметной области. Проведен аналитический обзор существующих методов реализации профилей защиты информационных (автоматизированных) систем, а также рассмотрена основная нормативно-правовая база в области информационной безопасности. Вторая глава посвящена проектированию базы данных для профилей защиты операционных систем 4-5 классов защиты для типов А-В. Описаны компоненты и их взаимосвязи. Третья глава посвящена созданию базы данных для профилей защиты операционных систем 4-5 классов защиты для типов А-В. Создан интерфейс пользователя для получения требований безопасности информации в соответствии с заданными классом и типом операционной системы. В четвертой главе описан процесс разработки системы, автоматизирующей настройку операционной системы “Astra Linux Special Edition” версии 1.5. Представлено структурное описание программной системы, описаны модули, реализованные при создании программы. В заключении сформулированы основные выводы по результатам исследования и описаны дальнейшие перспективы развития созданной программной системы.
Содержание

ВВЕДЕНИЕ 8 1 Аналитический обзор 15 1.1 Обзор существующих решений реализации профилей защиты 15 1.2 Определение профиля защиты 15 1.3 Состав профиля защиты 19 1.4 Оценочные уровни доверия 21 1.5 Операционные системы 22 1.6 Операционная система Astra Linux Special Edition 24 2 Проектирование базы данных 29 2.1 Построение диаграммы сущность-связь 29 2.2 Нормализация отношений 35 3 Создание базы данных 38 3.1 Создание тестового стенда 38 3.2 Создание таблиц 43 3.3 Создание запросов 48 3.4 Проектирование интерфейса пользователя 50 3.4.1 Microsoft Office Access 50 3.4.2 Связывание баз данных в MS Access 51 3.4.3 Создание формы 53 3.4.4 Сохранение отчетов 58 4 Моделирование и разработка скриптов для настройки ОСCН Astra Linux 61 4.1 Выбор средств моделирования и разработки 61 4.2 Диаграмма компонентов (component diagram) 62 4.3 Диаграмма последовательности (sequence diagram) 63 4.4 Описание работы сценария и результаты настройки 63 Заключение 67 Список литературы 68 Приложение А 71
Список литературы

1. ГОСТ Р 54581-2011. Информационная технология. Методы и средства обеспечения безопасности. Основы доверия к безопасности информационных технологий. Часть 1. Обзор и основы. – Введ. 01 – 07 – 2012. – Москва: Стандартинформ, 2012 – 28 ст. 2. ГОСТ Р 54582-2011. Информационная технология. Методы и средства обеспечения безопасности. Основы доверия к безопасности информационных технологий. Часть 2. Методы доверия. – Введ. 01 – 12 – 2012. – Москва: Стандартинформ, 2013 – 52 ст. 3. ГОСТ Р ИСО/МЭК 15408-1-2012. Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 1. Введение и общая модель. – Взамен ГОСТ Р ИСО/МЭК 15408-1-2008; Введ. 01 – 12 – 2013. – Москва: Стандартинформ, 2014 – 56 ст. 4. ГОСТ Р ИСО/МЭК 15408-2-2013. Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные компоненты безопасности. – Взамен ГОСТ Р ИСО/МЭК 15408-2-2008; Введ. 01 – 09 – 2014. – Москва: Стандартинформ, 2014 – 161 ст. 5. ГОСТ Р ИСО/МЭК 15408-3-2013. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 3. Компоненты доверия к безопасности. – Взамен ГОСТ Р ИСО/МЭК 15408-3-2008; Введ. 01– 09–2014. – Москва: Стандартинформ, 2014. – 150 ст. 6. ГОСТ Р 51583-2014. Защита информации. Порядок создания автоматизированных систем в защищенном исполнении. Общие положения. – Введ. 01 – 09 – 2014. – Москва: Стандартинформ, 2014 – 18 ст. 7. ГОСТ Р ИСО/МЭК ТО 15446 – 2008. Информационная технология. Методы и средства обеспечения безопасности. Руководство по разработке профилей защиты и заданий безопасности. –Введ. 18-12-2008. – Москва: Стандартинформ,2010 – 108 ст. 8. ГОСТ Р ИСО/МЭК 18045-2013. Информационная технология. Методы и средства обеспечения безопасности. Методология оценки безопасности информационных технологий. - Взамен ГОСТ Р ИСО/МЭК 18045-2008; –Введ. 01-07-2014. – Москва: Стандартинформ,2014 – 250 ст. 10. ГОСТ Р ИСО/МЭК 27002-2012. Информационная технология. Методы и средства обеспечения безопасности. Свод норм и правил менеджмента информационной безопасности. – Взамен ГОСТ Р ИСО/МЭК 17799-2005; Введ. 01-01-2014. – Москва: Стандартинформ, 2014. – 106 ст. 11. Конноли Т., Бегг К. Базы данных. Проектирование, реализация и сопровождение. Теория и практика, 3-е изд.: Пер. с англ. – М.: Издательский дом «Вильямс», 2003 - 1440 с., 2-е изд., 2001 – 1120 с. 12. Роланд Ф.Д. Основные концепции баз данных.: пер. с англ. – М.: Издательский дом «Вильямс», 2002. – 256 с. 13. Дейт. К. Дж. Введение в системы баз данных - Introduction to Database Systems. — 8-е изд. — М.: «Вильямс», 2006. 14. Вареница В. Тестирование программного обеспечения по требованиям безопасности информации [Электронный ресурс]: Корпоративный блог сотрудников группы компаний «Эшелон». – /В.Вареница. – Электрон. текстовые дан. – Режим доступа: http://s3r.ru/2010/11/sertifikatsiya_szi/305/, свободный 15. Безопасность операционной системы специального назначения Astra Linux Special Edition. Учебное пособие для вузов / П.В. Буренин, П.Н. Девянин, Е.В. Лебеденко и др.; Под редакцией доктора техн. наук П.Н. Девянина. 2-е издание, стереотипное. М.: Горячая линия – Телеком, 2016. 312 с.: ил. ISBN 978-5-9912-0623-5. 16. Введение. [Электронный ресурс]: Mozilla, 2005?2018. URL: http://yztm.ru/lekc/l5/ (дата обращения: 02.11.2017). 17. Основы пользовательской работы в ОССН Astra Linux. [Электронный ресурс]: Mozilla, 2005?2018. URL: http://yztm.ru/lekc/l6/ (дата обращения: 25.07.2017). 18. Основные задачи администрирования ASTRA LINUX SE. [Электронный ресурс]: Mozilla, 2005?2018. URL: http://yztm.ru/lekc/l7/ (дата обращения: 02.08.2017). 19. Администрирование учётных записей пользователей и групп. [Электронный ресурс]: Mozilla, 2005?2018. URL: http://yztm.ru/lekc/l8/ (дата обращения: 15.08.2017). 20. Управление безопасностью ОССН с использованием мандатного управления доступом. [Электронный ресурс]: Mozilla, 2005?2018. URL: http://yztm.ru/lekc/l9/ (дата обращения: 28.09.2017). 21. Создание и настройка параметров мандатного управления доступом и мандатного контроля целостности. [Электронный ресурс]: Mozilla, 2005?2018. URL: http://yztm.ru/pz/pz4/ (дата обращения: 27.10.2017).
Отрывок из работы

1 Аналитический обзор 1.1 Обзор существующих решений реализации профилей защиты На данный момент компанией ИРС разработан скрипт автоматизированной настройки Astra Linux Special Edition. Однако предложенный ими алгоритм применим для операционной системы специального назначения версии 1.4. Также скрипт, предложенный компанией ИРС предоставляется на платной основе. Сценарий, который будет разработан в ходе данной работы применим к операционной системы специального назначения “Astra Linux Special Edition” версии 1.5. Разработанный скрипт имеет более расширенный функционал по сравнению с имеющимся на рынке предложением. 1.2 Определение профиля защиты ГОСТ Р ИСО/МЭК 15408 «Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий» можно использовать в качестве руководства при разработке, оценке и/или приобретении продуктов информационных технологий с функциональными возможностями безопасности. В нем перечислен единый набор требований к функциональным возможностям безопасности продуктов информационных технологий и к мерам доверия, применяемым к этим продуктам информационных технологий при оценке характеристик безопасности. ГОСТ Р ИСО/МЭК 15408 состоит из трех частей. Первая часть, «Введение и общая модель», устанавливает основные понятия и принципы оценки безопасности информационных технологий, а также определяет общую модель оценки, которой посвящены различные части стандарта, предназначенного в целом для использования в качестве основы при оценке характеристик безопасности продуктов информационных технологий. Вторая часть, «Функциональные компоненты безопасности», устанавливает структуру и содержание компонентов функциональных требований безопасности для оценки безопасности. Она также включает в себя каталог функциональных компонентов, отвечающих общим требованиям к функциональным возможностям безопасности многих продуктов ИТ. Третья часть стандарта, «Компоненты доверия к безопасности», определяет требования доверия ИСО/МЭК 15408 и включает оценочные уровни доверия (ОУД), определяющие шкалу для измерения доверия для ОО-компонентов, составные пакеты доверия (СоПД), определяющие шкалу для измерения доверия для составных ОО, отдельные компоненты доверия, из которых составлены уровни и пакеты доверия, а также критерии для оценки ПЗ и ЗБ. В ГОСТе Р ИСО/МЭК 15408 определяются ключевые понятия профилей защиты (ПЗ), пакетов требований безопасности, а также рассматриваются вопросы, связанные с утверждениями о соответствии; описываются выводы и результаты оценки. Требования, представленные данном стандарте, используются при составлении профилей защиты, а также при последующем получении оценки доверия. Таким образом, этот стандарт является одним из основных стандартов, применяемых для построения и разработки профилей защиты. Стандартом устанавливается определение объекта оценки. Объектом оценки называют совокупность программного, программно-аппаратного и/или аппаратного обеспечения, возможно сопровождаемая руководствами. В оценке характеристик безопасности ОО заинтересованы в основном три группы пользователей: потребители, разработчики и оценщики. Стандарт разработан для обеспечения потребностей потребителей, результаты оценки позволяют пользователю решить, удовлетворяют ли объекты оценки их потребности в безопасности. Потребности в безопасности обычно определяются в результате анализа рисков на предприятии, а также по политике безопасности. Разработчикам стандарт обеспечивает понимание того, какие требования предъявляют к их продуктам потребители. Кроме того, он предназначен для поддержки разработчиков при подготовке к оценке своих объектов оценки. Для оценщиков в ИСО/МЭК 15408 содержатся критерии, которыми оценщики руководствуются при формировании заключения о соответствии объектов оценки предъявленным к ним требованиям безопасности. Безопасность связана с защитой активов. В соответствии с данным стандартом, активы – это сущности, представляющие ценность для кого-либо. Однако для разных людей ценность могут представлять абсолютно разные вещи, поэтому активом может считаться практически все, что угодно. Здесь же также перечислены примеры активов, это: • содержание файла или сервера; • подлинность голосов, поданных на выборах; • доступность процесса электронной коммерции; • возможность использовать дорогостоящий принтер; • доступ к средствам ограниченного доступа. Среда, в которой размещаются эти активы, называется средой функционирования. Кроме владельцев активов, которые считают их ценными и отвечают за их сохранность, могут существовать также злоумышленники, для которых эти активы также могут представлять какую-либо ценность. Задачей владельца в этом случае становится защитить активы от возможного ущерба. Такой ущерб обычно состоит в: потере конфиденциальности активов, потере целостности активов или потере доступности активов. Для противодействия таким злоумышленникам и защиты от возможной угрозы, разрабатывается ряд контрмер. При этом владелец активов должен быть уверен в их корректности и достаточности. Однако, владелец активов может не иметь достаточных знаний, ресурсов, опыта для суждения об этом и поэтому он может заказать оценку этих контрмер. При оценке достаточность контрмер анализируется через конструкцию, называемую заданием по безопасности. Задание по безопасности же обеспечивает структурированное описание различных видов деятельности для определения корректности (тестирование ОО, исследование различных проектных представлений ОО, исследование физической безопасности среды разработки ОО) в форме требований доверия к безопасности (ТДБ). Среда функционирования также может содержать ошибки проектирования и реализации, что может привести к уязвимостям. Однако в ИСО/МЭК 15408 доверие не приобретается при рассмотрении корректности среды функционирования. Предполагается, что среда функционирования на 100% отражает цели безопасности для среды функционирования и ее не нужно оценивать. Функциональные компоненты в ИСО/МЭК 15408-2 обычно имеют зависимости от других функциональных компонентов, также как некоторые компоненты доверия в ИСО/МЭК 15408-3 могут иметь зависимости от других компонентов ИСО/МЭК 15408-3. Могут быть также определены зависимости компонентов из ИСО/МЭК 15408-2 от компонентов из ИСО/МЭК 15408-3. Не исключено также наличие зависимостей расширенных функциональных компонентов от компонентов доверия или наоборот. Согласно ИСО/МЭК 15408 необходимо, чтобы требования основывались на компонентах из ИСО/МЭК 15408-2 или ИСО/МЭК 15408-3 с двумя исключениями: • существуют цели безопасности для ОО, которые не могут быть преобразованы в ФТБ из ИСО/МЭК 15408-2, или существуют требования "третьей стороны" (например, законы, стандарты), которые не могут быть преобразованы в ТДБ из ИСО/МЭК 15408-3 (например, относящиеся к оценке криптографии); • цели безопасности могут быть выражены на основе компонентов из ИСО/МЭК 15408-2 и/или ИСО/МЭК 15408-3, но только с большими трудностями и/или сложностями. В обоих случаях от разработчика ПЗ/ЗБ требуется определить собственные компоненты. Эти вновь определенные компоненты называются расширенными компонентами. Точно определенный расширенный компонент необходим для обеспечения контекста и значения расширенных ФТБ или ТДБ, основанных на этом компоненте. Для того, чтобы облегчить разработку заданий по безопасности и дать заинтересованным потребителям выражать свои потребности в безопасности в ГОСТ Р ИСО/МЭК 15408-1 определяются пакеты и профили защиты. Согласно ГОСТ Р ИСО/МЭК 15408-1, профиль защиты – независимое от реализации изложение потребностей в безопасности для некоторого типа ОО. Профиль защиты предназначен для описания типа ОО, а не какого-то конкретного ОО, как задание по безопасности. Поэтому один и тот же ПЗ может быть использован как шаблон для множества ЗБ, которые в свою очередь будут использоваться в различных оценках. Профиль защиты описывает общие требования для типа ОО, поэтому его формирует не разработчик ОО (который обычно формирует ЗБ), а: • сообществом пользователей, стремящихся прийти к консенсусу относительно требований для данного типа ОО; • разработчиком ОО или группой разработчиков подобных ОО, желающих установить минимальный базис для конкретного типа ОО; • правительственной организацией или крупной корпорацией, определяющими свои требования как часть процесса закупки. 1.3 Состав профиля защиты В соответствии с ГОСТ Р ИСО/МЭК 15408, профиль защиты должен содержать следующие разделы: • раздел "Введение ПЗ", содержащий описание типа ОО; • раздел "Утверждения о соответствии", указывающий, утверждается ли в ПЗ о соответствии каким-либо ПЗ и/или пакетам, и если "да", то каким ПЗ и/или пакетам; • раздел "Определение проблемы безопасности", в котором указываются угрозы, политика безопасности организации и предположения; • раздел "Цели безопасности", показывающий, каким образом решение проблемы безопасности распределено между целями безопасности для ОО и целями безопасности для среды функционирования ОО; • раздел "Определение расширенных компонентов" (опционально), в котором могут быть определены новые компоненты (т.е. компоненты, не содержащиеся в ИСО/МЭК 15408-2 или ИСО/МЭК 15408-3). Эти новые компоненты необходимы, чтобы определить расширенные функциональные требования и расширенные требования доверия; • раздел "Требования безопасности", в котором цели безопасности для ОО преобразованы в изложение на стандартизованном языке. Этот стандартизированный язык представляет собой форму представления ФТБ. Кроме того, в рассматриваемом разделе определяют ТДБ. Последний раздел является самым важным в отношении разрабатываемой автоматизированной системы, так как на основании ФТБ и ТДБ производится оценка доверия безопасности ОО. Таким образом, получение в результате работы модуля списков ТДБ и ФТБ, обязательных к выполнению для этого ОО является приоритетной задачей. ФТБ и ТДБ делятся на классы. Класс представляют, как некое условное обозначение, у которого есть структура. Каждый функциональный класс или класс доверия содержит имя класса, представление класса и одно или несколько функциональных семейств (семейств доверия для ТДБ). Представление класса содержит рисунок, показывающий все семейства этого класса и иерархию компонентов в каждом семействе, как указано на рисунке 2: Рисунок 2 – Пример декомпозиции класса ГОСТом Р ИСО/МЭК 15408 вводится уникальная краткая форма имени функционального элемента. Например, имя FDP_IFF.4.2 читается следующим образом: F - функциональное требование, DP - класс "Защита данных пользователя", _IFF - семейство "Функции управления информационными потоками", 4 (после точки) - четвертый компонент "Частичное устранение неразрешенных информационных потоков", 2 (после точки) - второй элемент компонента. То же самое обозначение применимо для ТДБ, только вместо F – функциональное требование, используется обозначение A – требование доверия к безопасности. 1.4 Оценочные уровни доверия Немаловажным является введение в ГОСТ Р ИСО МЭК 15408-3 понятия оценочных уровней доверия (ОУД). В соответствии со стандартом, ОУД образуют возрастающую шкалу, которая позволяет соотнести получаемый уровень доверия со стоимостью и возможностью достижения этой степени доверия. Не все семейства и компоненты включаются в ОУД, но это не значит, что они не обеспечивают значимое и ожидаемое доверие. Ожидается, что эти семейства и их компоненты будут использованы для усиления ОУД в тех ПЗ и ЗБ, для которых они полезны. Здесь же приводится таблица (таблица 1), представляющая собой обзор оценочных уровней доверия: Таблица 1. Обзор оценочных уровней доверия ОУД состоят из определенной комбинации компонентов доверия, как описано в разделе 6. Точнее, каждый ОУД включает в себя не более одного компонента каждого семейства доверия, при этом учитываются все зависимости каждого компонента доверия. 1.5 Операционные системы Как уже было сказано выше, для создания профиля защиты в качестве объекта оценки были выбраны операционные системы. В соответствии с «Информационным сообщением об утверждении Требований безопасности информации к операционным системам от 18 октября 2016 г. №240/24/4893»: • Операционные системы, соответствующие 6 классу защиты, применяются в государственных информационных системах и информационных системах персональных данных 3 и 4 классов. • Операционные системы, соответствующие 5 классу защиты, применяются в государственных информационных системах и информационных системах персональных данных 2 класса. • Операционные системы, соответствующие 4 классу защиты, применяются в государственных информационных системах, в которых обрабатывается информация ограниченного доступа, не содержащая сведения, составляющие государственную тайну, в информационных системах персональных данных 1 класса, а также в информационных системах общего пользования 2 класса. Операционные системы, соответствующие 3, 2 и 1 классам защиты, применяются в информационных системах, в которых обрабатывается информация, содержащая сведения, составляющие государственную тайну. Также выделяются следующие типы операционных систем: • операционная система общего назначения (тип «А») – операционная система, предназначенная для функционирования на средствах вычислительной техники общего назначения (автоматизированные рабочие места, серверы, смартфоны, телефоны, планшеты и иные); • встраиваемая операционная система (тип «Б») – операционная система, которая встроена (прошита) в предназначенные для решения заранее определенного набора задач специализированные технические устройства; • операционная система реального времени (тип «В») – операционная система, предназначенная для обеспечения реагирования на события в рамках заданных временных ограничений при заданном уровне функциональности. Существуют методические документы ФСТЭК России, содержащие профили защиты операционных систем типов А-В 4, 5, 6 классов защиты, на основании которых производится выбор требований в разрабатываемой БД. 1.6 Операционная система Astra Linux Special Edition Данная операционная система на базе ядра Linux, созданная для комплексной защиты информации и построения автоматизированных систем в защищенном исполнении. В первую очередь востребована в российских силовых ведомствах, спецслужбах и государственных органах. Обеспечивает степень защиты обрабатываемой информации до уровня государственной тайны «совершенно секретно» включительно. Включена в Единый реестр российских программ Минкомсвязи России. Сертифицирована в системах сертификации средств защиты информации Министерством обороны, Федеральной службой безопасности России и Федеральной службой по техническому и экспортному контролю. Операционная система “Astra Linux Special Edition версии 1.5” единственная сертифицированная операционная система по требованиям профилей защиты информационных (автоматизированных систем). Astra Linux разработана в целях импортозамещения программного обеспечения. Система применяется во многих государственных учреждениях. Операционная система имеет следующие функции идентификации и аутентификации пользователей основывается на использовании механизма подключаемых модулей аутентификации - Pluggable Authentication Modules (PAM). Также в состав операционной системы включены средства поддержки двухфакторной аутентификации. В Astra Linux реализован механизм избирательного управления доступом, который заключается в том, что на защищаемые именованные объекты устанавливаются (автоматически при их создании) базовые правила разграничения доступа в виде идентификаторов номинальных субъектов (UID и GID), которые вправе распоряжаться доступом к данному объекту и прав доступа к объекту. Определяются три вида доступа: чтение (read, r), запись (write, w) и исполнение (execution, x). Кроме общей схемы разграничения доступа, Astra Linux поддерживает также список контроля доступа — Access Control List (ACL), с по­мощью которого можно для каждого объекта задавать права всех субъектов на доступ к нему. В операционной системе реализован механизм полномочного разграничения доступа. Механизм мандатного разграничения доступа действует на следующие подсистемы: механизмы IPC, стек TCP/IP (IPv4), файловые системы Ext2/Ext3/Ext4, сетевую файловую систему CIFS, файловые системы proc, tmpfs. Принятие решения о запрете доступа или разрешении доступа субъекта к объекту принимается на основе типа операции (чтение, выполнение, запись), связанного с определенным субъектом, уровня мандатного доступа, и мандатной метки, назначенной на объект. При работе на различных мандатных уровнях и категориях операционная система формально рассматривает одного и того же пользователя, но с разными уровнями мандатного доступа, как разных пользователей и создаёт для них свои отдельные домашние каталоги. Доступ пользователя одновременно в каталоги разного уровня мандатного доступа не разрешается. Решение задачи мандатного разграничения доступа процессов к ресурсам основано на реализации соответствующего механизма в ядре ОС. При этом, принятие решения о запрете или разрешении доступа субъекта к объекту принимается на основе типа операции (чтение, запись, исполнение), мандатного контекста безопасности, связанного с каждым субъектом, и мандатной метки, связанной с объектом.
Не смогли найти подходящую работу?
Вы можете заказать учебную работу от 100 рублей у наших авторов.
Оформите заказ и авторы начнут откликаться уже через 5 мин!
Служба поддержки сервиса
+7(499)346-70-08
Принимаем к оплате
Способы оплаты
© «Препод24»

Все права защищены

Разработка движка сайта

/slider/1.jpg /slider/2.jpg /slider/3.jpg /slider/4.jpg /slider/5.jpg