Функциональные компоненты безопасности

КРИТЕРИИ ОЦЕНКИ БЕЗОПАСНОСТИ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ

МЕТОДЫ И СРЕДСТВА ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ

Информационная технология

Ч а с т ь 2

ISO/IEC 15408-2:2008

Information technology–Security techniques–

Evaluation criteria for IT security–Part 2. Security functional components

(IDT)

Содержание

1 Область применения...................................................................................................................... 1

2 Нормативные ссылки.................................................................................................................... 1

3 Термины и определения, обозначения и сокращения............................................................. 1

4 Краткий обзор.................................................................................................................................. 2

4.1 Структура данной части ГОСТ Р ИСО/МЭК 15408................................................................... 2

5 Парадигма функциональных требований................................................................................. 3

6 Функциональные компоненты безопасности.......................................................................... 10

6.1 Краткий обзор............................................................................................................................... 10

6.2 Каталог компонентов.................................................................................................................. 16

7 Класс FAU: Аудит безопасности................................................................................................ 19

7.1 Автоматическая реакция аудита безопасности (FAU_ARP)................................................... 20

7.2 Генерация данных аудита безопасности (FAU_GEN)............................................................. 20

7.3 Анализ аудита безопасности (FAU_SAA)................................................................................. 22

7.4 Просмотр аудита безопасности (FAU_SAR)............................................................................. 27

7.5 Выбор событий аудита безопасности (FAU_SEL)................................................................... 29

7.6 Хранение данных аудита безопасности (FAU_STG)............................................................... 30

8 Класс FCO: Связь......................................................................................................................... 34

8.1 Неотказуемость отправления (FCO_NRO)................................................................................ 34

8.2 Неотказуемость получения (FCO_NRR)................................................................................... 37

9 Класс FCS: Криптографическая поддержка........................................................................... 40

9.1 Управление криптографическими ключами (FCS_CKM)....................................................... 41

9.2 Криптографические операции (FCS_COP)............................................................................... 44

10 Класс FDP: Защита данных пользователя........................................................................... 46

10.1 Политика управления доступом (FDP_ACC)......................................................................... 50

10.2 Функции управления доступом (FDP_ACF).......................................................................... 51

10.3 Аутентификация данных (FDP_DAU).................................................................................... 53

10.4 Экспорт данных из ОО (FDP_ETC)......................................................................................... 56

10.5 Политика управления информационными потоками (FDP_IFC)........................................ 58

10.6 Функции управления информационными потоками (FDP_IFF)......................................... 60

10.7 Импорт данных из-за пределов ОО (FDP_ITC)...................................................................... 67

10.8 Передача в пределах ОО (FDP_ITT)........................................................................................ 70

10.9 Защита остаточной информации (FDP_RIP).......................................................................... 74

10.10 Откат (FDP_ROL).................................................................................................................... 75

10.11 Целостность хранимых данных (FDP_SDI).......................................................................... 77

10.12 Защита конфиденциальности данных пользователя при передаче между ФБО (FDP_UCT) 79

10.13 Защита целостности данных пользователя при передаче между ФБО (FDP_UIT).......... 80

11 Класс FIA: Идентификация и аутентификация.................................................................. 85

11.1 Отказы аутентификации (FIA_AFL)....................................................................................... 87

11.2 Определение атрибутов пользователя (FIA_ATD)................................................................. 88

11.3 Спецификация секретов (FIA_SOS)........................................................................................ 89

11.4 Аутентификация пользователя (FIA_UAU)............................................................................ 91

11.5 Идентификация пользователя (FIA_UID)............................................................................... 96

11.6 Связывание пользователь-субъект (FIA_USB)....................................................................... 98

12 Класс FMT: Управление безопасностью............................................................................. 100

12.1 Управление отдельными функциями ФБО (FMT_MOF)..................................................... 102

12.2 Управление атрибутами безопасности (FMT_MSA)............................................................ 103

12.3 Управление данными ФБО (FMT_MTD)............................................................................... 107

12.4 Отмена (FMT_REV)................................................................................................................. 109

12.5 Срок действия атрибута безопасности (FMT_SAE)............................................................. 111

12.6 Спецификация функций управления (FMT_SMF)............................................................... 112

12.7 Роли управления безопасностью (FMT_SMR)...................................................................... 113

13 Класс FPR: Приватность....................................................................................................... 116

13.1 Анонимность (FPR_ANO)...................................................................................................... 117

13.2 Псевдонимность (FPR_PSE)................................................................................................... 118

13.3 Невозможность ассоциации (FPR_UNL).............................................................................. 121

14 Класс FPT: Защита ФБО....................................................................................................... 126

14.1 Безопасность при сбое (FPT_FLS).......................................................................................... 128

14.2 Доступность экспортируемых данных ФБО (FPT_ITA)...................................................... 129

14.3 Конфиденциальность экспортируемых данных ФБО (FPT_ITC)....................................... 130

14.4 Целостность экспортируемых данных ФБО (FPT_ITI)....................................................... 131

14.5 Передача данных ФБО в пределах ОО (FPT_ITT)................................................................ 134

14.6 Физическая защита ФБО (FPT_PHP)..................................................................................... 136

14.7 Надежное восстановление (FPT_RCV).................................................................................. 140

14.8 Обнаружение повторного использования (FPT_RPL)......................................................... 143

14.9 Протокол синхронизации состояний (FPT_SSP).................................................................. 144

14.10 Метки времени (FPT_STM)................................................................................................... 146

14.11 Согласованность данных ФБО между ФБО (FPT_TDC)................................................... 147

14.12 Тестирование внешних сущностей (FPT_TEE)................................................................... 147

14.13 Согласованность данных ФБО при дублировании в пределах ОО (FPT_TRC)............. 149

14.14 Самотестирование ФБО (FPT_TST)..................................................................................... 150

15 Класс FRU: Использование ресурсов.................................................................................. 153

15.1 Отказоустойчивость (FRU_FLT)............................................................................................ 153

15.2 Приоритет обслуживания (FRU_PRS)................................................................................... 155

15.3 Распределение ресурсов (FRU_RSA)..................................................................................... 156

16 Класс FTA: Доступ к ОО........................................................................................................ 159

16.1 Ограничение области выбираемых атрибутов (FTA_LSA)................................................ 159

16.2 Ограничение на параллельные сеансы (FTA_MCS)............................................................ 160

16.3 Блокирование и завершение сеанса (FTA_SSL)................................................................... 162

16.4 Предупреждения перед предоставлением доступа к ОО (FTA_TAB)............................... 166

16.5 История доступа к ОО (FTA_TAH)........................................................................................ 167

16.6 Открытие сеанса с ОО (FTA_TSE)......................................................................................... 168

17 Класс FTP: Доверенный маршрут/канал........................................................................... 170

17.1 Доверенный канал передачи между ФБО (FTP_ITC).......................................................... 171

17.2 Доверенный маршрут (FTP_TRP)........................................................................................... 172

Приложение A (обязательное) Замечания по применению ФТБ............................................... 175

Приложение B (обязательное) Функциональные классы, семейства и компоненты............ 185

Приложение C (обязательное) Аудит безопасности (FAU).......................................................... 186

Приложение D (обязательное) Связь (FCO).................................................................................. 203

Приложение E (обязательное) Криптографическая поддержка (FCS)..................................... 209

Приложение F (обязательное) Защита данных пользователя (FDP)........................................ 215

Приложение G (обязательное) Идентификация и аутентификация (FIA)............................... 254

Приложение H (обязательное) Управление безопасностью (FMT)............................................ 266

Приложение I (обязательное) Приватность (FPR)........................................................................ 279

Приложение J (обязательное) Защита ФБО (FPT)....................................................................... 294

Приложение K (обязательное) Использование ресурсов (FRU)................................................. 317

Приложение L (обязательное) Доступ к ОО (FTA)....................................................................... 323

Приложение M (обязательное) Доверенный маршрут/канал (FTP)......................................... 332

Приложение ДА (справочное) Сведения о соответствии ссылочных международных стандартов ссылочным национальным стандартам Российской Федерации............................................ 335

1 Область применения

Настоящий стандарт устанавливает структуру и содержание компонентов функциональных требований безопасности для оценки безопасности. Он также включает в себя каталог функциональных компонентов, отвечающих общим требованиям к функциональным возможностям безопасности многих продуктов ИТ.

2 Краткий обзор

ГОСТ Р ИСО/МЭК 15408 и соответствующие функциональные требования безопасности, описанные ниже, не предназначены для окончательного решения всех задач безопасности ИТ. Скорее, настоящий стандарт предлагает совокупность хорошо продуманных функциональных требований безопасности, которые могут применяться при создании доверенных продуктов ИТ, отвечающих потребностям рынка. Эти функциональные требования безопасности представляют современный уровень спецификации требований и оценки.

В настоящий стандарт не предполагалось включать все возможные функциональные требования безопасности, а только те из них, которые на дату издания стандарта были известны и одобрены его разработчиками.

Так как знания и потребности пользователей могут изменяться, функциональные компоненты настоящего стандарта нуждаются в дальнейшем сопровождении. Предполагается, что некоторые разработчики ПЗ/ЗБ могут иметь потребности в безопасности, не охваченные в настоящее время компонентами функциональных требований настоящего стандарта. В этом случае разработчик ПЗ/ЗБ может предпочесть использование нестандартных функциональных требований (так называемую "расширяемость"),.

4.1 Структура данной части ГОСТ Р ИСО/МЭК 15408

В разделе 5 описывается парадигма, используемая в функциональных компонентах безопасности данной части ГОСТ Р ИСО/МЭК 15408.

Раздел 6 представляет каталог функциональных компонентов.

В разделах 7 – 17 приведено описание функциональных классов.

Приложение A содержит пояснительную информацию для потенциальных пользователей функциональных компонентов, включая таблицы перекрестных ссылок зависимостей функциональных компонентов.

Приложения B – M представляют пояснительную информацию для функциональных классов. Этот материал должен рассматриваться в качестве нормативных инструкций по применению соответствующих операций и выбору необходимой информации для аудита и документирования; использование вспомогательного глагола "следует" означает, что конкретная инструкция является предпочтительной, но и другие могут быть обоснованы. Когда даются различные варианты, выбор остается за автором ПЗ/ЗБ.

3 Парадигма функциональных требований

В данном разделе приведена парадигма функциональных требований безопасности настоящего стандарта. Рассматриваемые ключевые понятия выделены полужирным курсивом. Определения терминов, приведенные в разделе 3 ИСО/МЭК 15408-1, в этом разделе не изменяются и не заменяются.

Настоящий стандарт содержит каталог функциональных компонентов безопасности, которые могут быть предъявлены к объекту оценки (ОО). ОО – это набор программных, аппаратно-программных и/или аппаратных средств, сопровождаемый руководствами пользователя и администратора. ОО может включать ресурсы в виде электронных носителей данных (таких, как основная память, дисковое пространство), периферийных устройств (таких, как принтеры) и вычислительных возможностей (таких, как процессорное время), которые могут использоваться для обработки и хранения информации и являются предметом оценки.

Оценка, прежде всего, подтверждает, что в отношении ресурсов ОО применяется определенный набор функциональных требований безопасности (ФТБ). ФТБ определяют правила, по которым ОО управляет использованием и доступом к своим ресурсам и, таким образом, к информации и сервисам, контролируемым ОО.

ФТБ могут определять различные политики функций безопасности (ПФБ). Каждая такая ПФБ должна специфицировать свою область действия, определяющую субъекты, объекты, ресурсы или информацию и операции, по отношению к которым она применяется. Все ПФБ реализуются ФБО (см. ниже), чьи механизмы осуществляют правила, определенные в ФТБ, и предоставляют необходимые возможности.

В совокупности те части ОО, которые направлены на корректную реализацию ФТБ, определяются как функции безопасности объекта оценки (ФБО). ФБО объединяют функциональные возможности всех аппаратных, программных и программно-аппаратных средств ОО, на которые как непосредственно, так и косвенно возложено обеспечение безопасности.

ОО может быть единым продуктом, включающим аппаратные, программно-аппаратные и программные средства.

В ином случае ОО может быть распределенным, состоящим из нескольких разделенных частей. Каждая часть ОО обеспечивает выполнение конкретного сервиса для ОО и взаимодействуют с другими частями ОО через внутренний канал связи. Этот канал может быть всего лишь шиной процессора, а может являться внутренней сетью для ОО.

Если ОО состоит из нескольких частей, то каждая часть может иметь собственное подмножество ФБО, которое обменивается данными ФБО и пользователей через внутренние каналы связи с другими подмножествами ФБО. Это взаимодействие называется внутренней передачей ОО. В этом случае части ФБО формируют объединенные ФБО, которые реализуют ФТБ для этого ОО.

Интерфейсы ОО могут быть локализованы в конкретном ОО или же могут допускать взаимодействие с другими продуктами ИТ по внешним каналам связи. Внешние взаимодействия с другими продуктами ИТ могут принимать две формы.

a) ФТБ другого "доверенного продукта ИТ" и ФТБ рассматриваемого ОО скоординированы и оценены в административном порядке, и предполагается, что рассматриваемый другой "доверенный продукт ИТ" реализует свои ФТБ корректно (например, был отдельно оценен). Обмен информацией в этом случае назван передачей между ФБО, поскольку он осуществляется между ФБО различных доверенных продуктов.

b) Другой продукт ИТ может быть недоверенным, он может быть обозначен как "недоверенный продукт ИТ".. Поэтому его ФТБ либо неизвестны, либо их реализация не рассматривается как в достаточной степени доверенная. Опосредованный ФБО обмен информацией в этом случае назван передачей за пределы ОО, так как рассматриваемый другой продукт ИТ не имеет ФБО (или характеристики его политики безопасности неизвестны).

Совокупность интерфейсов как интерактивных (человеко-машинный интерфейс), так и программных (интерфейс программных приложений), через которые могут быть получены доступ к ресурсам при посредничестве ФБО или информация от ФБО, называется интерфейсом ФБО (ИФБО). ИФБО определяет границы функуиональных возможностей ОО, которые предоставлены для реализации ФТБ.

Пользователи не включаются в состав ОО. Однако пользователи взаимодействуют с ОО, который является предметом применения правил, определенных в ФТБ, через ИФБО при запросе услуг, которые будут выполняться ОО. Существует два типа пользователей, учитываемых в настоящем стандарте: человек-пользователь и внешняя сущность ИТ. Человека-пользователя можно далее дифференцировать как локального человека-пользователя, взаимодействующего непосредственно с ОО через устройства ОО (такие, как рабочие станции), и как удаленного человека-пользователя, взаимодействующего с ОО через другой продукт ИТ.

Период взаимодействия между пользователем и ФБО называется сеансом пользователя. Открытие сеансов пользователей может контролироваться на основе ряда условий, таких как аутентификация пользователя, время суток, метод доступа к ОО, число разрешенных параллельных сеансов (для каждого пользователя или в целом).

В настоящем стандарте используется термин уполномоченный для обозначения пользователя, который обладает правами и/или привилегиями, необходимыми для выполнения операций. Поэтому термин уполномоченный пользователь указывает, что пользователю разрешается выполнять конкретную операцию или совокупность операций в соответствии с ФТБ.

Для выражения требований разделения административных обязанностей соответствующие функциональные компоненты безопасности (из семейства FMT_SMR) явно устанавливают обязательность административных ролей. Роль – это заранее определенная совокупность правил, устанавливающих допустимые взаимодействия между пользователем, действующим в данной роли, и ОО. ОО может поддерживать определение произвольного числа ролей. Например, роли, связанные с операциями безопасности ОО, могут включать в себя роли "Администратор аудита" и "Администратор учета пользователей".

ОО содержит ресурсы, которые могут использоваться для обработки и хранения информации. Основной целью ФБО является полная и правильная реалиация ФТБ для ресурсов и информации, которыми управляет ОО.

Ресурсы ОО могут иметь различную структуру и использоваться различными способами. Тем не менее, в настоящем стандарте проводится специальное разграничение, позволяющее специфицировать желательные свойства безопасности. Все сущности, которые могут быть созданы на основе ресурсов, характеризуются одним из двух способов. Сущности могут быть активными, т.е. являться причиной действий, которые происходят в пределах ОО, и инициировать операции, выполняемые с информацией. Напротив, сущности могут быть пассивными, т.е. являться источником или местом хранения информации.

Активные сущности в ОО, которые выполняют операции над объектами, названы субъектами. В пределах ОО могут существовать несколько типов субъектов:

a) действующие от имени уполномоченного пользователя (например, процессы UNIX);

b) действующие как особый функциональный процесс, который может, в свою очередь, действовать от имени многих пользователей (например, функции, которые характерны для архитектуры клиент/сервер);

c) действующие как часть собственно ОО (например, процессы, действующие не от имени пользователя).

В настоящем стандарте рассматривается реализация ФТБ для субъектов всех типов, перечисленных выше.

Пассивные сущности (в ОО, которые хранят или получают информацию), над которыми субъекты выполняют операции названы объектами в функциональных требованиях безопасности настоящего стандарта. В случае, когда субъект (активная сущность) сам является предметом операции (например, при установлении связи между процессами), над субъектом могут производиться действия, как над объектом.

Объекты могут содержать информацию. Это понятие требуется, чтобы специфицировать политики управления информационными потоками в соответствии с классом FDP.

Пользователи, субъекты, информация, объекты, сеансы и ресурсы, контролируемые посредством правил в ФТБ могут обладать определенными атрибутами, которые содержат информацию, используемую ОО для правильного функционирования. Некоторые атрибуты, такие как имена файлов, могут предназначаться только для информирования или использоваться для идентификации отдельных ресурсов, в то время как другие, например различные параметры управления доступом, – исключительно для реализации ФТБ. Эти последние обобщенно названы "атрибутами безопасности". В дальнейшем слово "атрибут" используется в некоторых местах настоящего стандарта как сокращение для словосочетания "атрибут безопасности". Вместе с тем, независимо от предназначения информации атрибута, могут потребоваться средства управления этим атрибутом в соответствии с ФТБ.

В ОО содержатся данные пользователей и данные ФБО. На рисунке 1 показана их взаимосвязь. Данные пользователей – это информация, содержащаяся в ресурсах ОО, которая может применяться пользователями в соответствии с ФТБ и не предназначена специально для ФБО. Например, содержание сообщения электронной почты является данными пользователя. Данные ФБО – это информация, используемая ФБО для принятия решения в соответствии с ФТБ. Допустимо воздействие пользователей на данные ФБО, если это разрешено ФТБ. Примерами данных ФБО являются атрибуты безопасности, аутентификационные данные, переменные внутреннего состояния ФБО, используемые в соответствии с правилами, определенными в ФТБ, или для защиты ФБО, а также списки управления доступом.

Выделяются ПФБ, которые применяются при защите данных, такие как ПФБ управления доступом и ПФБ управления информационными потоками. Действия механизмов, реализующих ПФБ управления доступом, основаны на атрибутах пользователей, ресурсов, субъектов, объектов, сеансов, данных состояния ФБО и операций в пределах области действия. Эти атрибуты используются в совокупности правил, управляющих операциями, которые субъектам разрешено выполнять на объектах.

Функционирование механизмов, реализующих ПФБ управления информационными потоками, основано на атрибутах субъектов и информации в пределах области действия и совокупности правил, по которым выполняются операции субъектов над информацией. Атрибуты информации, которые могут быть ассоциированы с атрибутами места хранения (контейнерами) или могут быть производными от данных в контейнере, остаются с информацией при ее обработке ФБО.

Рисунок 1 – Связь между данными пользователей и данными ФБО

Два специфических типа данных ФБО, рассматриваемых в настоящем стандарте, могут, хотя и необязательно, совпадать. Это аутентификационные данные и секреты.

Аутентификационные данные используются, чтобы верифицировать заявленный идентификатор пользователя, обращающегося к ОО за услугами. Самая распространенная форма аутентификационных данных – пароль, который необходимо хранить в секрете, чтобы механизм безопасности был эффективен. Однако в секрете необходимо хранить не все формы аутентификационных данных. Биометрические опознавательные устройства (такие, как считыватели отпечатка пальца или сканеры сетчатки глаза) основываются не на предположении, что аутентификационные данные хранятся в секрете, а на том, что эти данные являются неотъемлемым свойством пользователя, которое невозможно подделать.

Термин "секрет", используемый в настоящем стандарте по отношению к аутентификационным данным, применим и к данным других типов, которые необходимо хранить в тайне при осуществлении определенной ПФБ. Например, стойкость механизма доверенного канала, в котором применена криптография для сохранения конфиденциальности передаваемой через канал информации, зависит от надежности способа сохранения в секрете криптографических ключей от несанкционированного раскрытия.

Следовательно, некоторые, но не все аутентификационные данные необходимо хранить в секрете, и некоторые, но не все секреты используют как аутентификационные данные. Рисунок 2 показывает эту взаимосвязь секретов и аутентификационных данных. На этом рисунке указаны типы данных, которые часто относят к аутентификационным данным и секретам.

Рисунок 2 – Связь между понятиями "аутентификационные данные" и "секреты"

4 Функциональные компоненты безопасности

6.1 Краткий обзор

Этот раздел определяет содержание и форму представления функциональных требований настоящего стандарта и предоставляет руководство по организации требований для новых компонентов, включаемых в ЗБ. Функциональные требования объединены в классы, семейства и компоненты.

6.1.1 Структура класса

Структура функционального класса приведена на рисунке 3. Каждый функциональный класс содержит имя класса, представление класса и одно или несколько функциональных семейств.

Рисунок 3 – Структура функционального класса

6.1.1.1 Имя класса

Имя класса содержит информацию, необходимую для идентификации функционального класса и отнесения его к определенной категории. Каждый функциональный класс имеет уникальное имя. Информация о категории предоставлена кратким именем, состоящим из трех букв латинского алфавита. Краткое имя класса используют при задании кратких имен семейств этого класса.

6.1.1.2 Представление класса

Представление класса обобщает участие семейств класса в достижении целей безопасности. Определение функциональных классов не отражает никакую формальную таксономию в спецификации требований.

Представление класса содержит рисунок, показывающий все семейства этого класса и иерархию компонентов в каждом семействе, как указано в подразделе 6.2.

6.1.2 Структура семейства

Структура функционального семейства приведена на рисунке 4.

Рисунок 4 – Структура функционального семейства

6.1.2.1 Имя семейства

Имя семейства содержит описательную информацию, необходимую, чтобы идентифицировать и категорировать функциональное семейство. Каждое функциональное семейство имеет уникальное имя. Информация о категории состоит из краткого имени, включающего в себя семь символов. Первые три символа идентичны краткому имени класса, далее следуют символ подчеркивания и краткое имя семейства в виде XXX_YYY. Уникальная краткая форма имени семейства предоставляет основное имя ссылки для компонентов.

6.1.2.2 Характеристика семейства

Характеристика семейства – это описание функционального семейства, в котором излагаются его цели безопасности и общее описание функциональных требований. Более детально они описаны ниже:

a) цели безопасности семейства характеризуют задачу безопасности, которая может быть решена с помощью компонентов этого семейства;

b) описание функциональных требований обобщает все требования, которые включены в компонент (ты). Описание ориентировано на разработчиков ПЗ, ЗБ и функциональных пакетов, которые хотели бы определить, соответствует ли семейство их конкретным требованиям.

Дата добавления: 2014-01-15