pdf




File information


Author: Roman Patrikeyev

This PDF 1.5 document has been generated by Microsoft® Word 2013, and has been sent on pdf-archive.com on 04/03/2016 at 00:53, from IP address 88.201.x.x. The current document download page has been viewed 403 times.
File size: 484.09 KB (18 pages).
Privacy: public file
















File preview


Санкт-Петербургский национальный исследовательский университет
информационных технологий, механики и оптики

Профиль защиты автоматизированных систем шестого
класса защищенности РД СВТ

Выполнил: Патрикеев Р.О., гр. P3253
Руководитель: Птицын А.В.

Санкт-Петербург
2016

Содержание
1. Введение
1.1 Идентификация
1.2 Аннотация
2. Описание ОО
3. Среда безопасности ОО
3.1 Предположения безопасности
3.2 Угрозы
3.3 Политика безопасности организации
4. Цели безопасности
4.1 Цели безопасности ОО
4.2 Цели безопасности для среды
5. Требования безопасности ИТ
5.1 Функциональные требования безопасности ОО
5.2 Требования доверия к безопасности ОО
5.3 Требования безопасности для ИТ-среды
6. Обоснование
6.1 Логическое обоснование целей безопасности
6.2 Логическое обоснование требований безопасности

1. Введение
В разделе «Введение» идентифицируется ПЗ и дается его аннотация в форме,
наиболее подходящей для включения в каталоги и реестры ПЗ.

1.1.

Идентификация профиля защиты

Название ПЗ:
Класс защиты:
Идентификация ОО:
Уровень доверия:

Идентификация:

Ключевые слова:

1.2.

Профиль защиты автоматизированных систем
шестого класса защищенности РД СВТ.
Шестой.
СВТ шестого класса защищенности.
Оценочный уровень доверия 1 (ОУД1), усиленный
компонентом ADV_SPM.1 «Неформальная модель
политики безопасности ОО» и AVA_SOF.1 «Оценка
стойкости функции безопасности ОО»
Руководящий документ «Средства
вычислительной техники. Защита от
несанкционированного доступа к информации.
Показатели защищенности от
несанкционированного доступа к информации»,
утвержденный решением председателя
Государственной технической комиссии при
Президенте РФ от 30 марта 1992 года.
СВТ, ОУД1.

Аннотация профиля защиты.

Настоящий ПЗ определяет требования безопасности для СВТ шестого
класса защищенности.
Требования доверия к безопасности АС охватывают следующие основные
вопросы:
 управление конфигурацией
 поставка и эксплуатация
 разработка
 руководства
 тестирование
 оценка уязвимостей
Требования доверия к безопасности АС сформулированы на основе
компонентов требований из ГОС Р ИСО/МЭК 15408-3.
Требования к безопасности СВТ образуют оценочный уровень доверия 1
(ОУД1), усиленный компонентом ADV_SPM.1 «Неформальная модель
политики безопасности ОО» и AVA_SOF.1 «Оценка стойкости функции
безопасности ОО»

2. Описание объекта оценки
Объектом оценки в настоящем ПЗ является СВТ 6 класса защищенности.
В СВТ 6 класса защищенности должны быть реализованы следующие
функции безопасности:
- Дискреционный принцип контроль доступа
- Идентификация и аутентификация
- Тестирование
В среде, в которой функционирует СВТ, должны быть реализованы
следующие функции безопасности среды:
- физическая защита СВТ
- обеспечение условий безопасного функционирования

3. Среда безопасности ОО
Данный раздел содержит описание следующих аспектов среды
безопасности ОО:
- предположений относительно предопределенного использования ОО и
среды функционирования ОО
- угроз безопасности, которым необходимо противостоять средствам ОО
- политики безопасности организации, которой должен следовать ОО.

3.1 Предположения безопасности
Предположения относительно предопределенного использования ОО:
Предположение-1
Должны быть обеспечены условия совместимости ОО с СВТ для
реализации своих функциональных возможностей.
Предположение-2
Должны быть обеспечены установка, конфигурирование и управление ОО в
соответствии с эксплуатационной документацией.
Предположения, связанные с защитой ОО:
Предположение-3
Должна быть обеспечена невозможность осуществления действий,
направленных на нарушение физической целостности СВТ, доступ к которым
контролируется с применением СДЗ.
Предположение-4
Должна быть обеспечена невозможность отключения (обхода) компонентов
ОО.

Предположение, имеющее отношение к персоналу:
Предположение-5
Персонал, ответственный за функционирование ОО, должен обеспечивать
функционирование ОО в соответствии с эксплуатационной документацией.

3.2 Угрозы
3.2.1 Угрозы, которым должен противостоять ОО
Угроза-1
1. Аннотация: несанкционированный доступ к информационно- программным
ресурсам ОО неуполномоченных лиц.
2. Источник угрозы: внутренний нарушитель, внешний нарушитель.
3. Способ реализации угрозы: проникновение в ОО.
4. Используемые уязвимости: некорректная настройка средств управления
доступом к ОО, человеческий фактор.
5. Вид информационных ресурсов, потенциально подверженных угрозе:
информационные ресурсы ОО.
6. Нарушаемые свойства безопасности информационных ресурсов:
конфиденциальность, целостность, доступность.
7. Возможные последствия реализации угрозы: создание условий для
деструктивного воздействия на информационные и программные ресурсы ОО,
утечка, искажение, удаление, изменение информации.

Угроза-2
1. Аннотация: нарушение целостности информационно-программных ресурсов
ОО, хранимой в ОО информации.
2. Источник угрозы: внутренний нарушитель.
3. Способ реализации угрозы: нарушение правил эксплуатации ОО, ошибка
функционирования программных средств ОО.
4. Используемые уязвимости: ошибка персонала.
5. Вид информационных ресурсов, потенциально подверженных угрозе:
информационные ресурсы ОО.
6. Нарушаемые свойства безопасности информационных ресурсов: целостность.
7. Возможные последствия реализации угрозы: утрата важной информации,
снижение эффективности работы ОО.

3.2.1 Угрозы, которым должна противостоять среда
Угроза среды-1
1. Аннотация: деструктивное физическое воздействие на ОО.
2. Источник угрозы: внутренний нарушитель, внешний нарушитель.
3. Способ реализации угрозы: несанкционированное проникновение в помещения
технических средств ОО.
4. Используемые уязвимости: недостатки процедур разграничения доступа.
5. Вид информационных ресурсов, потенциально подверженных угрозе:
информационные ресурсы ОО.
6. Нарушаемые свойства безопасности информационных ресурсов:
конфиденциально, целостность, доступность.
7. Возможные последствия реализации угрозы: выведение из строя ОО,
нарушение нормального функционирования ОО, модификация среды
безопасности ОО, утечка, изменение информации.

3.3 Политика безопасности организации
Политика безопасности-1
Должны быть обеспечены надлежащие меры, реализующие разделение
доступа среди пользователей.
Политика безопасности-2
Должны быть реализованы механизмы идентификации и аутентификации.
Политика безопасности-3
Объект оценки должен выполнять различные типов проверок с целью
удостоверения в его нормальном функционировании и безопасности.
Политика безопасности-4
Объект оценки должен исключить возможность программной модификации
средств ОО, а также внедрения иных программных средств в ОО.
Политика безопасности-5
Объект оценки должен обеспечивать возможность восстановления
программно-информационных ресурсов ОО.

4. Цели безопасности
4.1 Цели безопасности для ОО
Цель безопасности-1
Управление доступом
Объект оценки должен обеспечивать защиту от несанкционированного
доступа.

Цель безопасности-2
Идентификация и Аутентификация
Объект оценки должен обеспечивать ассоциации пользователей с
соответствующими атрибутами безопасности.

Цель безопасности-3
Выполнение проверок
Объект оценки должен обеспечивать выполнение различных типов
проверок с целью тестирования его нормального функционирования и
безопасности.
Цель безопасности-4
Управление режимами
Объект оценки должен исключить возможность программной модификации
средств ОО, а также внедрения иных программных средств в ОО.
Цель безопасности-5
Дискреционный доступ
Объект оценки должен предоставлять механизмы разделение доступа.

4.1 Цели безопасности для среды
Цель для среды функционирования ОО-1
Эксплуатация ОО
Должны быть обеспечены установка, конфигурирование и управление
объектом оценки в соответствии с эксплуатационной документацией.
Цель для среды функционирования ОО-2
Совместимость
Должна быть обеспечена совместимость объекта оценки с
контролируемыми ресурсами ИС.
Цель для среды функционирования ОО-3
Физическая защита ОО
Должна быть обеспечена физическая защита программно-технических
средств ОО.
Цель для среды функционирования ОО-4
Механизмы идентификации
Функционирование ОО должно осуществляться в среде функционирования,
предоставляющей механизмы идентификации субъектов доступа к ОО.

Цель для среды функционирования ОО-5
Требования к персоналу
Персонал, ответственный за функционирование объекта оценки, должен
обеспечивать надлежащее функционирование объекта оценки, руководствуясь
эксплуатационной документацией.

5. Требования безопасности ИТ
В данном разделе ПЗ представлены функциональные требования и
требования доверия, которым должен удовлетворять ОО. Функциональные
требования, представленные в настоящем ПЗ, основаны на функциональных
компонентах ГОСТ Р ИСО/МЭК 15408-2

5.1 Функциональные требования безопасности ОО
Функциональные компоненты из ГОСТ Р ИСО/МЭК 15408–2, на которых
основаны функциональные требования безопасности ОО, приведены в таблице 1.
Таблица 1

Функциональные компоненты, на которых основаны ФТБ ОО
Идентификатор
компонента требований
FDP_ACC.1
FIA_AFL.1
FIA_ATD.1
FIA_SOS.1
FIA_UID.1
FIA_UID.2
FPT_AMT.1

Название компонента требований
Политика управления доступом (полный доступ)
Отказы аутентификации
Определение атрибутов пользователя
Спецификация секретов
Выбор момента идентификации
Идентификация до любых действий пользователя
Тестирование абстрактной машины

5.1.1 Защита данных пользователя (FDP)
FDP_ACC.1 Ограниченное управление доступом
FDP_ACC.1.1
ФБО должны осуществлять дискреционный контроль доступа
для всех пользователей СВТ.
FDP_ACF.1 Управление доступом, основанное на атрибутах безопасности
(Зависимость от FDP_ACC.1)
FDP_ACF.1.1
ФБО должны осуществлять [политику управления доступом к
ресурсам средства вычислительной техники] к объектам,
основываясь на [выбор: идентификаторы пользователей,
[назначение: другие атрибуты безопасности, именованные
группы атрибутов безопасности]].

FMT_MSA.3 Инициализация статических атрибутов (Зависимость от
FDP_ACF.1)
FMT_MSA.3.1
ФБО должны осуществлять [политику управления атрибутами
безопасности], предусматривающую [выбор (выбрать одно из):
ограничительные, разрешающие, другие свойства] значений по
умолчанию для атрибутов безопасности, которые используются
для осуществления политики управления атрибутами
безопасности

5.1.2 Идентификация и аутентификация (FIA)
FIA_AFL.1 Обработка отказов аутентификации
FIA_AFL.1.1
ФБО должны обнаруживать, когда произойдет [определенное
администратором ОО целое положительное число]
неуспешных попыток, относящихся к [любому процессу входа в
систему]
FIA_AFL.1.2
При превышении определенного числа неуспешных попыток
аутентификации ФБО должны выполнить [блокировку учетной
записи пользователя продолжительностью, определенной
уполномоченным администратором].
FIA_ATD.1 Определение атрибутов пользователя
FIA_ATD.1.1
ФБО должны поддерживать для каждого пользователя
следующий список атрибутов безопасности:
- Идентификатор пользователя
- Принадлежность к группе
- Аутентификационные данные, имеющие отношение к
безопасности
- Привилегии и права входа
FIA_UAU.2 Аутентификация для любых действий пользователя
(Зависимость FIA_ATD.1)
FIA_UAU.2.1
ФБО должны требовать, чтобы каждый пользователь был
успешно аутентифицирован до разрешения любого действия,
выполняемого при посредничестве ФБО от имени этого
пользователя.
FIA_SOS.1 Верификация секретов
FIA_SOS.1.1
ФБО должны предоставить механизм верификации того, что
секреты отвечают следующему:
- Для каждой попытки использования механизма
аутентификации вероятность случайного доступа должна быть
меньше, чем 2,5 * 10^-14
- При неоднократных попытках использования механизма
аутентификации в течение одной минуты вероятность
случайного доступа должна быть меньше, чем 2,5 * 10^-14






Download pdf



pdf (PDF, 484.09 KB)


Download PDF







Share this file on social networks



     





Link to this page



Permanent link

Use the permanent link to the download page to share your document on Facebook, Twitter, LinkedIn, or directly with a contact by e-Mail, Messenger, Whatsapp, Line..




Short link

Use the short link to share your document on Twitter or by text message (SMS)




HTML Code

Copy the following HTML code to share your document on a Website or Blog




QR Code to this page


QR Code link to PDF file pdf






This file has been shared publicly by a user of PDF Archive.
Document ID: 0000345784.
Report illicit content