Домашнее задание 2, страница 2
Описание файла
Документ из архива "Домашнее задание 2", который расположен в категории "". Всё это находится в предмете "информатика" из 7 семестр, которые можно найти в файловом архиве МГТУ им. Н.Э.Баумана. Не смотря на прямую связь этого архива с МГТУ им. Н.Э.Баумана, его также можно найти и в других разделах. Архив можно найти в разделе "курсовые/домашние работы", в предмете "информатика иу" в общих файлах.
Онлайн просмотр документа "Домашнее задание 2"
Текст 2 страницы из документа "Домашнее задание 2"
T.Component_Failure
1. Аннотация угрозы - Сбой или отказ компонентов или всего ОО в целом.
2. Источник угрозы – Отказом (неверным срабатыванием) каких-то ее компонентов.
3. Способ реализации угрозы – Ошибками при конструировании, при производстве.
4. Используемые уязвимости – отказом (неверным срабатыванием) каких-то ее компонентов.
5. Вид активов, потенциально подверженных угрозе – Информация.
6. Нарушаемое свойство безопасности активов – Конфиденциальность.
7. Возможность последствия реализации угрозы - Сбой или отказ компонентов или всего ОО в целом.
T. Physical_security
1. Аннотация угрозы - Осуществление злоумышленником физического доступа к ОО с последующим целенаправленным нанесением повреждений или уничтожением ОО.
2. Источник угрозы – злоумышленник.
3. Способ реализации угрозы – нанесением повреждений или уничтожением ОО.
4. Используемые уязвимости – недостаточность защиты от физического доступа.
5. Вид активов, потенциально подверженных угрозе – компьютер.
6. Нарушаемое свойство безопасности активов – целостность.
7. Возможность последствия реализации угрозы – вывод системы из строя.
T.Spoof
1. Аннотация угрозы – хищение аутентификационных данных уполномоченных пользователей путем подмены сервисов доступа.
2. Источник угрозы – злоумышленник.
3. Способ реализации угрозы – попытка установления соеденения из внешнего информационного пространства с использованием запрещенного сервиса, имитирующего разрешенный сервис.
4. Используемые уязвимости – недостатки механизма идентификации сетевых сервисов.
5. Вид активов, потенциально подверженных угрозе – информация.
6. Нарушаемое свойство безопасности активов – конфиденциальность, целостность, доступность.
7. Возможность последствия реализации угрозы – получение доступа к защищаемой информации неуполномоченным пользователям.
T.Unauth_Access
1. Аннотация угрозы – доступ к системным данным со стороны неуполномоченных пользователей вследствие недостатков механизмов разграничения доступа.
2. Источник угрозы – авторизованный пользователь.
3. Способ реализации угрозы – доступ к системным данным со стороны неуполномоченных пользователей вследствие недостатков механизмов разграничения доступа.
4. Используемые уязвимости – недостатков механизмов разграничения доступа.
5. Вид активов, потенциально подверженных угрозе – информация.
6. Нарушаемое свойство безопасности активов – конфиденциальность, целостность, доступность.
7. Возможность последствия реализации угрозы - получение доступа к защищаемой информации неуполномоченным пользователям.
-
Угрозы, предотвращаемые средой
T.Install
1. Аннотация угрозы - ОО может быть доставлен и установлен таким образом, что появиться возможность нарушения безопасности.
2. Источник угрозы – Пользователи, осуществляющие доставку и установку ОО.
3. Способ реализации угрозы – Неккоректная доставка и установка ОО, создающая возможность для нарушения безопасности.
4. Используемые уязвимости – Недостатки механизмов контроля за поставкой и установкой ОО.
5. Вид активов, потенциально подверженных угрозе – Информация.
6. Нарушаемое свойство безопасности активов – Конфиденциальность, целостность, доступность.
7. Возможность последствия реализации угрозы – Возможность реализации несанкционированного доступа к защищаемой информации.
T.Operate
1. Аннотация угроз – Нарушение безопасности может произойти из-за неправильного управления или эксплуатации ОО.
2. Источник угрозы – Администраторы, осуществляющие настройку и эксплуатацию ОО.
3. Способ реализации угрозы – Ошибки при настройке или эксплуатации ОО, создающие возможность для нарушения безопасности.
4. Используемые уязвимости – Недостатки механизмов контроля конфигурации ОО.
5. Вид активов, потенциально подверженных угрозе – Информация.
6. Нарушаемое свойство безопасности активов – Конфиденциальность, целостность, доступность.
7. Возможность последствия реализации угрозы – Возможность реализации несанкционированного доступа к защищаемой информации.
-
Политика безопасности
P.Authorized_users - Только те пользователи, которые уполномочены на доступ к информации в системе, могут иметь доступ к системе.
P.Accountability - Пользователи несут ответственность за свои действия в системе, связанные с безопасностью ИТ.
P.Owner – Пользователь является владельцем информации и полностью распоряжается доступом к ней, регламентируя правила работы.
P. Maintenance - Перед проведением обслуживающих и профилактических работ вся критически важная информация ОО должна быть защищена
-
ЦЕЛИ БЕЗОПАСНОСТИ
-
Цели безопасности для ОО
-
O.Audit - Реализация в составе ОО механизмов аудита для регистрации и учета событий, связанных с нарушением безопасности ОО.
O.Authorization - ФБО должны обеспечивать то, чтобы только уполномоченные пользователи могли получить доступ к ОО и его ресурсам.
O.Residual_information - ФБО должны обеспечивать то, чтобы любая информация, содержащаяся в защищаемом ресурсе, не раскрывалась при перераспределении ресурса.
O.Alarm - Реализация в составе ОО механизмов сигнализации попыток возможного нарушения политики безопасности ОО.
O.Secure_halt_startup - Реализация в составе ОО механизмов восстановления программной, информационной части и параметров конфигурации ОО после сбоев и/или отказов отдельного компонента, механизма ОО или всего ОО в процессе функционирования.
O.Security_infrastructure - Обеспечение ОО контроля доступа субъектов к используемым ОО криптографическим ключам.
O.Self_protect - Реализация в составе ОО механизмов контроля доступа субъектов к программной и информационной части ОО. Реализация в составе ОО механизмов контроля целостности программной и информационной части ОО.
O.Self_test - Реализация в составе ОО механизма тестирования корректной работы реализованных в составе ОО механизмов и функций защиты информации.
O.Secure_State - Необходимо поддержание безопасного состояния и последующее восстановление штатного режима работы ОО при возникновении сбоев и отказов.
O.Toe_Protect - С момента начальной загрузки (запуска) ОО должна обеспечиваться защита ОО от попыток модификации, дезактивации (отключения) и обхода ФБО.
-
Цели безопасности для среды
O.Instal - Необходимо обеспечить установку, инсталляцию и администрирование ОО таким образом, чтобы обеспечить безопасное состояние защищаемой системы.
O.Secure - Необходимо осуществление контроля физического доступа к ОО.
O.Support - Необходимо обеспечить сопровождение установленного ОО в части решения проблем, возникающих в процессе эксплуатации ОО, оперативного мониторинга и исправления недостатков в программном обеспечении.
O.Phys_Acs_to_Out - ОО должен быть расположен в пределах контура средств контроля доступа, которые предотвращают неправомочный физический доступ со стороны посторонних лиц.
O.No_General_Purpose - Среда функционирования ОО не должна располагать программными средствами, позволяющими модифицировать ОО.
O.Cryptanalytic - Соответствие реализованных в составе ОО механизмов криптографической защиты информации требованиям стандартов и других нормативных документов, обладание механизмов криптографической защиты информации достаточной степенью стойкости.
-
ТРЕБОВАНИЯ БЕЗОПАСНОСТИ
В данном разделе приводятся функциональные требования и требования доверия, которым должен удовлетворять ОО.
-
Функциональные требования
Функциональные требования состоят из компонентов части 2 ОК, приведенных в Таблице 2.
Таблица 2: Компоненты функциональных требований ОО
| Компонент | Название |
| FDP_RIP.2.1. | Полная защита остаточной информации |
| FDP_ACF.1.3. | Управление доступом на основе атрибутов безопасности |
| FDP_SDI.1. | Мониторинг целостности хранимых данных и предпринимаемые действия |
| FIA_UID.1.2. | Идентификация до любых действий пользователя |
| FIA_AFL.1.1. | Обработка отказов аутентификации |
| FIA_ATD.1.1. | Определение атрибутов пользователя |
| FIA_UAU.2 | Аутентификация до любых действий пользователя |
| FPT_TRC.1 | Взаимная согласованность данных ФБО |
| FPT_TST.1 | Тестирование ФБО |
| FPT_FLS.1 | Сбой с сохранением безопасного состояния |
| FPT_RCV.1 | Ручное восстановление |
| FPT_PHP.1.2. | Физическая защита |
| FPT_STM.1 | Надежные метки времени |
| FPT_AMT.1 | Тестирование абстрактной машины |
| FAU_ARP.1 | Сигналы нарушителя безопасности |
| FAU_GEN.1.1 | Генерация данных аудита |
| FAU_GEN.2 | Ассоциация идентификатора пользователя |
| FAU_SEL.1 | Избирательный аудит |
| FAU_SAA.1 | Анализ потенциального нарушения |
| FTA_SSL.2.1 | Блокирование, инициированное пользователем |
| FTA_TAB.1 | Предупреждения по умолчанию перед предоставлением доступа к ОО |
| FRU_FLT.1 | Пониженная отказоустойчивость |
| FMT_MOF.1 | Управление режимом применения функций безопасности |
| FMT_SMR.1 | Роли безопасности |
| FMT_MSA.3 | Инициализация статических атрибутов |
-
Защита данных пользователя (FDP)
FDP_RIP.2 - Полная защита остаточной информации
FDP_RIP.2.1 – ФБО должны обеспечить недоступность любого предыдущего информационного содержания ресурсов для всех объектов.
Зависимости: Отсутствуют.
FDP_ACF.1 – Управление доступом, основанное на атрибутах безопасности
FDP_ACF.1.3 - ФБО должны явно разрешать доступ субъектов к объектам, основываясь на правилах, явно разрешающих доступ к объекту.
Зависимости: FDP_ACC .1. Ограниченное управление доступом.
FMP_MSA.3. Инициализация статических атрибутов.
FDP_SDI.1 - ФБО должны контролировать данные пользователя, хранимые в пределах ОДФ, на наличие искаженных данных.
Зависимости: Отсутствуют.
-
Идентификация и аутентификация (FIA)
FIA_UID. 1.2. - ФБО должны требовать, чтобы каждый пользователь был успешно идентифицирован до разрешения любого другого действия, выполняемого при посредничестве ФБО от имени этого пользователя.
Зависимости: Отсутствуют.
FIA_AFL.1 – Обработка отказов аутентификации
FIA_AFL.1.1 - ФБО должны обнаруживать, когда произойдет установленное регламентом организации число неуспешных попыток аутентификации, относящихся к процессу получения доступа, посредством ОО.
Зависимости: FIA_UAU.1 Выбор момента аутентификации
FIA_ATD.1 – Определение атрибутов пользователя
FIA_ATD.1.1 - ФБО должны поддерживать для каждого пользователя следующий список атрибутов безопасности:
-
Пароль
-
Код тревоги
-
«Горячая клавиша»
Зависимости: отсутствуют
FIA_UAU.2 – Аутентификация до любых действий пользователя
FIA_UAU.2.1 - ФБО должны требовать, чтобы каждый пользователь был успешно аутентифицирован до разрешения любого действия, выполняемого при посредничестве ФБО от имени этого пользователя.
