Идентификация, аутентификация и аудит.

Цель подотчетности — в каждый момент времени знать, кто работает в системе и что он делает.

Средства подотчетности делятся на три категории: Идентификация и аутентификация; Предоставление надежного пути; Анализ регистрационной информации (аудит).

Идентификация и аутентификация

Каждый пользователь, прежде чем получить право совершать какие-либо действия в системе, должен идентифицировать себя. Обычный способ идентификации — ввод имени пользователя при входе в систему.

В свою очередь, система должна проверить подлинность личности пользователя, то есть что он является именно тем, за кого себя выдает.

Очевидно, что без идентификации пользователей невозможно протоколирование их действий..

Аудит безопасности – это, по существу, оценка эффективности применения политик безопасности внутри организации, анализ регистрационной информации.

Аудит имеет дело с действиями (событиями), так или иначе затрагивающими безопасность системы.

Если фиксировать все события, объем регистрационной информации, скорее всего, будет расти слишком быстро, а ее эффективный анализ станет невозможным. "Оранжевая книга" предусматривает наличие средств выборочного протоколирования, как в отношении пользователей (внимательно следить только за подозрительными), так и в отношении событий.

При протоколировании события записывается по крайней мере следующая информация:

· Дата и время события;

· Уникальный идентификатор пользователя — инициатора действия;

· Тип события;

· Результат действия (успех или неудача);

· Источник запроса (например, имя терминала);

· Имена затронутых объектов (например, открываемых или удаляемых файлов);

· Описание изменений, внесенных в базы данных защиты (например, новая метка безопасности объекта);

· Метки безопасности субъектов и объектов события.

Необходимо подчеркнуть важность не только сбора информации, но и ее регулярного и целенаправленного анализа. В плане анализа выгодное положение занимают средства аудита СУБД, поскольку к регистрационной информации могут естественным образом применяться произвольные SQL-запросы. Следовательно, появляется возможность для выявления подозрительных действий применять сложные эвристики.

12. Соответствие категории обрабатываемой информации требованиям класса защиты для СВТ, АС, Гостехкомиссии РФ и «Оранжевой книги»

Установлено 9 классов защищенности АС, сведенных в 3 группы, отличающиеся особенностями обработки информации.

3-я группа – АС, в которой работает один пользователь, допущены ко всей информации АС, размещенной на носителях одного уровня конфиденциальности. Группа содержит два класса 3Б и 3А; 2-я группа – АС, в которых пользователи имеют одинаковые права доступа ко всей информации АС, обрабатываемой и хранимой на носителях различного уровня конфиденциальности. Группа содержит два класса: 2Б и 2А; 1-я группа – многопользовательские АС, в которых одновременно обрабатывается и хранится информация различных уровней конфиденциальности. Не все пользователи имеют права доступа ко всей информации АС. Группа содержит пять классов: 1Д, 1Г, 1В, 1Б, 1А.

Классы защищенности СВТ подразделяются на четыре группы, отличающиеся качественным уровнем защиты:

1-я группа содержит только один 7-й класс (минимальная защищенность). 2-я группа характеризуется дискреционной защитой и содержит 6-й и 5-й классы (Характерна избирательная защита, предусматривающая контроль доступа поименованных субъектов к поименованным объектам системы, при этом для каждой пары “субъект-объект” должны быть определены разрешенные типы доступа). 3-я группа характеризуется мандатной защитой и содержит 4-й, 3-й и 2-й классы (Характеризуется полномочной защитой, предусматривающей присвоение каждому субъекту и объекту системы классификационных меток, указывающих их место в иерархии. Обязательное требование для входящих в эту группу классов - реализация диспетчера доступа. Контроль доступа должен осуществляться применительно ко всем объектам.). 4-я группа характеризуется верифицированной защитой и содержит только 1-й класс.

Для присвоения класса защищенности система должна содержать руководство администратора по системе, руководство пользователя, тестовую и конструкторскую (проектную) документацию.

Не нашли, что искали? Воспользуйтесь поиском: