Метки безопасности ассоциируются с субъектами и объектами для реализации принудительного управления доступом.
Метка субъекта описывает его благонадежность, метка объекта – степень закрытости содержащейся в нем информации. Согласно "Оранжевой книге" метки безопасности состоят из двух частей – уровня секретности и списка категорий.
Главная проблема, которую необходимо решать в связи с метками, – это обеспечение их целостности. Во-первых, не должно быть непомеченных субъектов и объектов, иначе в меточной безопасности появятся легко используемые бреши. Во-вторых, при любых операциях с данными метки должны оставаться правильными.
Одним из средств обеспечения целостности меток безопасности является разделение устройств на многоуровневые и одноуровневые. На многоуровневых устройствах может храниться информация разного уровня секретности (точнее, лежащая в определенном диапазоне уровней). Одноуровневое устройство можно рассматривать как вырожденный случай многоуровневого, когда допустимый диапазон состоит из одного уровня. Зная уровень устройства, система может решить, допустимо ли записывать на него информацию с определенной меткой.
Принудительное управление доступом основано на сопоставлении меток безопасности субъекта и объекта. Этот способ управления доступом называется принудительным, поскольку он не зависит от воли субъектов (даже системных администраторов). Принудительное управление доступом реализовано во многих вариантах операционных систем и СУБД, отличающихся повышенными мерами безопасности.
Если понимать систему безопасности узко, т.е. как правила разграничения доступа, то механизм подотчетности является дополнением подобной системы. Цель подотчетности – в каждый момент времени знать, кто работает в системе и что он делает. Средства подотчетности делятся на три категории:
•идентификация и аутентификация (проверка подлинности);
• предоставление надежного пути;
• анализ регистрационной информации (аудит).
Гарантированность – "мера доверия, которая может быть оказана архитектуре и реализации системы. Гарантированность может проистекать как из тестирования, так и из проверки (формальной или нет) общего замысла и исполнения системы в целом и ее компонентов.
Гарантированность показывает, насколько корректны механизмы, отвечающие за проведение в жизнь выбранной концепции безопасности.
Гарантированность можно считать пассивным компонентом защиты, надзирающим за самими защитниками" [5:69].
Гарантированность – это мера уверенности, с которой можно утверждать, что для проведения в жизнь сформулированной концепции безопасности выбран подходящий набор средств и что каждое из этих средств правильно исполняет отведенную ему роль. В "Оранжевой книге" рассматриваются два вида гарантированности – операционная и технологическая. Операционная гарантированность относится к архитектурным и реализационным аспектам системы, в то время как технологическая – к методам построения и сопровождения.
Операционная гарантированность – это способ убедиться в том, что архитектура системы и ее реализация действительно проводят в жизнь избранную концепцию безопасности и включает в себя проверку следующих элементов:
• архитектуры системы;
• целостности системы;
• анализа тайных каналов передачи информации;
• надежного администрирования;
• надежного восстановления после сбоев;
• операционной гарантированности.
Архитектура системы должна способствовать реализации мер безопасности или прямо поддерживать их.
Целостность системы в данном контексте означает, что аппаратные и программные компоненты надежной вычислительной базы работают должным образом и что имеется аппаратное и программное обеспечение для периодической проверки целостности.
Анализ тайных каналов передачи информации – тема, специфичная для режимных систем, когда главное – обеспечить конфиденциальность информации. Тайным называется канал передачи информации, не предназначенный для обычного использования.
Надежное администрирование в трактовке "Оранжевой книги" означает, что должны быть логически выделены три роли – системного администратора, системного оператора и администратора безопасности.
Надежное восстановление после сбоев – метод обеспечения гарантированности, при котором должна быть сохранена целостность информации и, в частности, целостность меток безопасности.
Технологическая гарантированность охватывает весь жизненный цикл системы, т.е. этапы проектирования, реализации, тестирования, внедрения и сопровождения. Все перечисленные действия должны выполняться в соответствии с жесткими стандартами, чтобы обезопаситься от утечки информации и нелегальных "закладок".
Критерии, изложенные в "Оранжевой книге", позволили специалистам ранжировать информационные системы защиты информации по степени надежности. В этом документе определяется четыре уровня безопасности (надежности) – D, C, B и A. Уровень D предназначен для систем, признанных неудовлетворительными. В настоящее время он содержит две подсистемы управления доступом. По мере перехода от уровня C к A к надежности систем предъявляются все более жесткие требования. Уровни C и B подразделяются на классы (C1,C2, B1, B2, B3) с постепенным возрастанием надежности. Таким образом, всего имеется шесть классов безопасности – C1, C2, B1, B2, B3,A1. Чтобы система в результате процедуры сертификации могла быть отнесена к некоторому классу, ее концепция безопасности и гарантированность должны удовлетворять разработанной системе требований, соответствующей этому классу.
3. Гармонизированные критерии Европейских стран (ITSEC)
Следуя по пути интеграции, Европейские страны приняли согласованные (гармонизированные) критерии оценки безопасности информационных технологий (Information Technology Security Evaluation Criteria, ITSEC) [5:7], опубликованных в июне 1991 г. от имени соответствующих органов четырех стран – Франции, Германии, Нидерландов и Великобритании.
Принципиально важной чертой европейских критериев является отсутствие априорных требований к условиям, в которых должна работать информационная система. Организация, запрашивающая сертификационные услуги, формулирует цель оценки, т.е. описывает условия, в которых должна работать система, возможные угрозы ее безопасности и предоставляемые ею защитные функции. Задача органа сертификации – оценить, насколько полно достигаются поставленные цели разработанными функциями, т.е. насколько корректны и эффективны архитектура и реализация механизмов безопасности в описанных разработчиком условиях.
Европейские критерии рассматривают следующие основные понятия составляющие базу информационной безопасности:
• конфиденциальность, т.е. защиту от несанкционированного получения информации;
• целостность, т.е. защиту от несанкционированного изменения информации;
• доступность, т.е. защиту от несанкционированного удержания информации и ресурсов.
Критерии рекомендуют выделить в спецификациях реализуемых функций обеспечения безопасности более расширенный, по сравнению с "Оранжевой книгой", состав разделов или классов функций.
• Идентификация и аутентификация.
• Управление доступом.
• Подотчетность.
• Аудит.
• Повторное использование объектов.
• Точность информации.
• Надежность обслуживания.
• Обмен данными.
Чтобы облегчить формулировку цели оценки, европейские критерии содержат в качестве приложения описание десяти примерных классов функциональности, типичных для правительственных и коммерческих систем.
Кроме того, в критериях определены три уровня мощности механизмов защиты – базовый, средний и высокий.
В 1992 г. Гостехкомиссия при Президенте РФ опубликовала пять руководящих документов, посвященных проблеме защиты от несанкционированного доступа (НСД) к информации [6:78]. Идейной основой набора руководящих документов является "Концепция защиты СВТ и АС от НСД к информации". Концепция "излагает систему взглядов, основных принципов, которые закладываются в основу проблемы защиты информации от несанкционированного доступа (НСД), являющейся частью общей проблемы безопасности информации".
Выделяют различные способы покушения на информационную безопасность – радиотехнические, акустические, программные и т.п.
Среди них НСД выделяется как доступ к информации, нарушающий установленные правила разграничения доступа, с использованием штатных средств, предоставляемых средствами вычислительной техники (СВТ) или автоматизированной системой (АС). Под штатными средствами понимается совокупность программного, микропрограммного и технического обеспечения СВТ или АС.
В Концепции формулируются следующие основные принципы защиты от НСД к информации:
• защита АС обеспечивается комплексом программно-технических средств и поддерживающих их организационных мер;
• защита АС должна обеспечиваться на всех технологических этапах обработки информации и во всех режимах функционирования, в том числе при проведении ремонтных и регламентных работ;
• программно-технические средства защиты не должны существенно ухудшать основные функциональные характеристики АС (надежность, быстродействие, возможность изменения конфигурации АС);
• неотъемлемой частью работ по защите является оценка эффективности средств защиты, осуществляемая по методике, учитывающей всю совокупность технических характеристик оцениваемого объекта, включая технические решения и практическую реализацию средств защиты;
• защита АС должна предусматривать контроль эффективности средств защиты от НСД. Этот контроль может быть либо периодическим, либо инициироваться по мере необходимости пользователем АС или контролирующими органами.