A.1.2.2 Самозащита ФБО

В случаях, когда ОО осуществляет разделение доменов только своими средствами, то предполагается, что имеется простое описание того, как это достигается. Следует определить и описать механизмы, обеспечивающие разделение доменов, чтобы определить домен ФБО, который защищается от других (пользовательских) доменов.

В случаях, когда ОО зависит от других ИТ-сущностей, чтобы выполнять роль в разделении доменов, то такое распределение ролей должно быть ясным. Например, ОО, являющийся только прикладной программой, основывается на операционной системе, чтобы функционировать правильно и качественно; приложение не может защитить себя от злоумышленной операционной системы, которая разрушает его (например, путем перезаписи его исполняемого кода или данных ФБО).

Описание архитектуры безопасности также охватывает то, каким образом входные данные пользователя обрабатываются ФБО так, чтобы сами ФБО не могли быть повреждены такими входными данными пользователя. Например, ФБО могут реализовать понятие привилегий и защитить себя с помощью использования программ, выполняющихся в привилегированном режиме для обработки данных пользователя. ФБО могут использовать механизмы разделения процессора (например, уровни привилегий или кольца защиты), чтобы отделить код и данные ФБО от кода и данных пользователя. ФБО может реализовать конструкции защиты программных средств обеспечения или соглашения по программированию, которые способствуют реализации разделения программных средств обеспечения, возможно путем отделения адресного пространства пользователя от адресного пространства системы.

Для ОО, которые запускаются в режиме низкой функциональности (например, однопользовательский режим доступен только для установщиков или администраторов), а затем переходят к оцененной безопасной конфигурации (режим, где недоверенные пользователи имеют возможность входа в систему и использовать сервисы и ресурсы ОО), описание архитектуры безопасности также включает в себя объяснение того, как ФБО защищены от такого кода инициализации, который не выполняется в оцененной конфигурации. Для таких ОО в описании архитектуры безопасности следует объяснить, что предотвращает доступ к сервисам в оцененной конфигурации, которым следует быть доступными только во время инициализации (например, прямой доступ к ресурсам). В нём также следует объяснить, что предотвращает выполнение кода инициализации во время функционирования ОО в оцененной конфигурации.

Там также должно быть объяснение того, как доверенный код инициализации будет поддерживать целостность ФБО (и их процесса инициализации), таким образом, что процесс инициализации может выявить любые изменения, которые могут привести к мистификации ФБО, но будет считаться, что они были в безопасном начальном состоянии.

Вероятно, что действия по анализу уязвимостей и тестированию (см. семейство AVA_VAN) будут включать попытки разрушить указанную самозащиту ФБО путем вмешательства, прямой атаки, или мониторинга ФБО.

Дата добавления: 2014-01-15