A.1.2 Описание архитектуры безопасности

В описании архитектуры безопасности объясняется, как указанные выше свойства проявляются ФБО. Оно содержит описание того, как определяются домены и как ФБО обеспечивает их разделение. В нем описывается каким образом предотвращается доступ к ФБО и их изменение со стороны недоверенных процессов. В нем описывается каким образом обеспечивается то,, что все ресурсы, находящиеся под управлением ФБО надлежащим образом защищищаются, и что все действия, связанные с ФТБ, выполняются при посредничестве ФБО. В нем объясняется любая роль среды в любом из этих процессов (например, предполагая, что роль правильно задействована своей средой, то как вызываются ее функции безопасности?).

Описание архитектуры безопасности представляет свойства ФБО по самозащите, разделению доменов и невозможности обхода в виде декомпозиции их описаний. Уровень этого описания соизмерим с описанием ФБО, требуемым в изложенных требованиях семейств ADV_FSP «Функциональная спецификация», ADV_TDS «Проект ОО» и ADV_IMP «Представление реализации». Например, если единственное описание ФБО представлено только семейством ADV_FSP «Функциональная спецификация», то будет трудно предоставить какое-либо существенное описание архитектуры безопасности, поскольку не будут доступны подробности какого-либо внутреннего функционирования ФБО.

Однако, если бы был также доступен проект ОО даже на самом базовом уровне (ADV_TDS.1), то была бы доступна некоторая информация о подсистемах, входящих в состав ФБО, и в нем было бы описание того, как они работают и осуществляют функции самозащиты, разделения доменов, и невозможности обхода. Например, возможно, что все взаимодействия пользователя с ОО ограничены неким процессом, который действует от лица пользователя и заимствует все присущие ему атрибуты безопасности; тогда в описании архитектуры безопасности следует изложить, как такой процесс возникает, как режим функционирования этого процесса ограничивается ФБО (так, что он не может повредить ФБО), как все действия этого процесса выполняются при посредничестве ФБО (тем самым объясняя, почему ФБО нельзя обойти), и т.д.

Если доступный проект ОО более детализирован (например, описан на уровне модулей), или представление реализации также доступно, тогда описание архитектуры безопасности следует соответственно более детализировать с объяснением того, как процесс пользователя взаимодействует с процессами ФБО, как различные запросы обрабатываются ФБО, какие параметры передаются, какая программная защита (предотвращение переполнения буфера, проверка границ параметров, время проверки/время проведения проверки и т.д.) используется. Аналогично, ОО, в ЗБ которого заявлен компонент ADV_IMP «Представление реализации», следует детализировать до уровня конкретной реализации.

Предполагается, что пояснения, представленные в описании архитектуры безопасности, будут достаточно подробными, чтобы можно было проверить их точность. То есть, простые утверждения (например, "ФБО поддерживает разделение доменов") не дают никакой полезной информации, способной убедить читателя в том, что ФБО действительно создают и разделяют домены.

A.1.2.1 Разделение доменов

В случаях, когда ОО осуществляет разделение доменов только своими средствами, то предполагается, что имеется простое описание того, как это достигается. В описании архитектуры безопасности следует приводить объяснение различных видов доменов, которые определяются ФБО, того как они определяются (т.е., какие ресурсы выделяются для каждого домена), каким образом достигается отсутствие незащищенных ресурсов, и каким образом домены разделяются так, чтобы активные сущности одного домена не могли вмешиваться в ресурсы другого домена.

В случаях, когда ОО зависит от других ИТ-сущностей, чтобы выполнять роль в разделении доменов, то такое распределение ролей должно быть ясным. Например, ОО, являющийся только прикладной программой, основывается на операционной системе, чтобы правильно создавать домены, которые определяет ОО; если ОО определяет отдельные пространства обработки, область памяти и т.д. для каждого домена, то правильность и качество его работы зависит от операционной системы (например, разрешать процессу выполняться только в области обработки, которая запрашивается программными средствами ОО).

Например, механизмы, которые реализуют разделение доменов (например, управление памятью, защищенные режимы обработки, предоставляемые аппаратными средствами и т.д.) следует определить и описать. Или в ФБО могут быть реализованы конструкции защиты программных средств или соглашения по программированию, которые способствуют реализации разделения программных доменов, возможно с помощью отделения адресного пространства пользователя от адресного пространства системы.

Действия по анализу уязвимостей и тестированию (см. семейство AVA_VAN) вероятно будут включать попытки отменить описанное разделение доменов ФБО путем мониторинга или прямой атаки на ФБО.

Дата добавления: 2014-01-15