Вопросы лекции

Лекция 1

Тема: Международные стандарты информационного обмена.

Учебная цель:Изучить основную структуру, взаимосвязь и содержание базовых международных стандартов в области информационного обмена, как основы обеспечения безопасности открытых систем.

1. Группы стандартов и спецификаций.

2. Международные стандарты.

Специалистам в области информационной безопасности (ИБ) сего­дня почти невозможно обойтись без знаний соответствующих стандартов и спецификаций. На то имеется несколько причин.

Формальная состоит в том, что необходимость следования некото­рым стандартам (например, криптографическим и/или Руководящим до­кументам Гостехкомиссии России) закреплена законодательно.

Однако наиболее убедительны содержательные причины. Во-пер­вых, стандарты и спецификации - одна из форм накопления знаний, прежде всего о процедурном и программно-техническом уровнях ИБ. В них зафиксированы апробированные, высококачественные решения и методологии, разработанные наиболее квалифицированными специали­стами. Во-вторых, и те, и другие являются основным средством обеспече­ния взаимной совместимости аппаратно-программных систем и их ком­понентов, причем в Internet-сообществе это средство действительно ра­ботает, и весьма эффективно.

Отмеченная роль стандартов зафиксирована в основных понятиях закона РФ «О техническом регулировании» от 27 декабря 2002 года под номером 184-ФЗ (принят Государственной Думой 15 декабря 2002 года):

• стандарт - документ, в котором в целях добровольного многократ­ного использования устанавливаются характеристики продукции, правила осуществления и характеристики процессов производства, эксплуатации, хранения, перевозки, реализации и утилизации, вы­полнения работ или оказания услуг. Стандарт также может содер­жать требования к терминологии, символике, упаковке, маркировке или этикеткам и правилам их нанесения;

• стандартизация - деятельность по установлению правил и характе­ристик в целях их добровольного многократного использования, на­правленная на достижение упорядоченности в сферах производства и обращения продукции и повышение конкурентоспособности про­дукции, работ или услуг.

Примечательно также, что в число принципов стандартизации, про­возглашенных в статье 12 упомянутого закона, входит принцип примене­ния международного стандарта как основы разработки национального, за исключением случаев, если «такое применение признано невозможным вследствие несоответствия требований международных стандартов кли­матическим и географическим особенностям Российской Федерации, техническим и (или) технологическим особенностям или по иным осно­ваниям, либо Российская Федерация, в соответствии с установленными процедурами, выступала против принятия международного стандарта или отдельного его положения». С практической точки зрения, количество стандартов и спецификаций (международных, национальных, отраслевых и т.п.) в области информационной безопасности бесконечно. В курсе рассматриваются наиболее важные из них, знание которых необхо­димо всем или почти всем разработчикам и оценщикам защитных средств, многим сетевым и системным администраторам, руководителям соответствующих подразделений, пользователям.

Отбор проводился таким образом, чтобы охватить различные аспек­ты информационной безопасности, разные виды и конфигурации инфор­мационных систем (ИС), предоставить полезные сведения для самых раз­нообразных групп целевой аудитории.

На верхнем уровне можно выделить две существенно отличающиеся друг от друга группы стандартов и спецификаций:

• оценочные стандарты, предназначенные для оценки и классифика­ции информационных систем и средств защиты по требованиям бе­зопасности;

• спецификации, регламентирующие различные аспекты реализации и использования средств и методов защиты.

Эти группы, разумеется, не конфликтуют, а дополняют друг друга. Оценочные стандарты описывают важнейшие, с точки зрения информа­ционной безопасности, понятия и аспекты ИС, играя роль организаци­онных и архитектурных спецификаций. Другие спецификации определя­ют, как именно строить ИС предписанной архитектуры и выполнять ор­ганизационные требования.

Из числа оценочных необходимо выделить стандарт Министерства обороны США «Критерии оценки доверенных компьютерных систем» и его интерпретацию для сетевых конфигураций, «Гармонизированные критерии Европейских стран», международный стандарт «Критерии оценки безопасности информационных технологий» и, конечно, Руково­дящие документы Гостехкомиссии России. К этой же группе относится и Федеральный стандарт США «Требования безопасности для криптогра­фических модулей», регламентирующий конкретный, но очень важный и сложный аспект информационной безопасности.

Технические спецификации, применимые к современным рас­пределенным ИС, создаются, главным образом, «Тематической груп­пой по технологии Internet (Internet Engineering Task Force, IETF) и ее Подразделением — рабочей группой по безопасности. Ядром рассмат­риваемых технических спецификаций служат документы по безопас­ности на IP-уровне (IPsec). Кроме этого, анализируется защита на транспортном уровне (Transport Layer Security, TLS), а также на уровне приложений (спецификации GSS-API, Kerberos). Необходимо отметить, что Internet-сообщество уделяет должное внимание администра­тивному и процедурному уровням безопасности («Руководство по ин­формационной безопасности предприятия», «Как выбирать поставщи­ка Интернет-услуг», «Как реагировать на нарушения информационной безопасности»).

В вопросах сетевой безопасности невозможно разобраться без осво­ения спецификаций Х.800 «Архитектура безопасности для взаимодейст­вия открытых систем», Х.500 «Служба директорий: обзор концепций, мо­делей и сервисов» и Х.509 «Служба директорий: каркасы сертификатов открытых ключей и атрибутов».

Британский стандарт BS 7799 «Управление информационной безо­пасностью. Практические правила», полезный для руководителей орга­низаций и лиц, отвечающих за информационную безопасность, без сколько-нибудь существенных изменений воспроизведен в международ­ном стандарте ISO/IEC 17799.

Таков, на наш взгляд, «стандартный минимум», которым должны ак­тивно владеть все действующие специалисты в области информационной безопасности.

Первым оценочным стандартом, получившим международное при­знание и оказавшим исключительно сильное влияние на последующие разработки в области информационной безопасности, стал стандарт Ми­нистерства обороны США «Критерии оценки доверенных компьютерных систем» (Department of Defense Trusted Computer System Evaliation Criteria, TCSEC), более известный (по цвету обложки) под названием «Оран­жевая книга».

Без преувеличения можно утверждать, что в «Оранжевой книге» за­ложен понятийный базис ИБ. Достаточно лишь перечислить содержащи­еся в нем понятия: безопасная и доверенная системы, политика безопас­ности, уровень гарантированное, подотчетность, доверенная вычисли­тельная база, монитор обращений, ядро и периметр безопасности. Ис­ключительно важно и выделение таких аспектов политики безопасности, как добровольное (дискреционное) и принудительное (мандатное) управ­ление доступом, безопасность повторного использования объектов. По­следним по порядку, но отнюдь не по значению следует назвать принципы классификации по требованиям безопасности на основе параллельного ужесточения требований к политике безопасности и уровню гаранти­рованности.

После «Оранжевой книги» была выпущена целая «Радужная серия». С концептуальной точки зрения, наиболее значимый документ в ней - «Интерпретация «Оранжевой книги» для сетевых конфигураций» (Trusted Network Interpretation). Он состоит из двух частей. Первая содержит собственно интерпретацию, во второй описываются сервисы безопаснос­ти, специфичные или особенно важные для сетевых конфигураций.

Важнейшее понятие, введенное в первой части, - сетевая доверен­ная вычислительная база. Другой принципиальный аспект - учет дина­мичности сетевых конфигураций. Среди защитных механизмов выделена криптография, помогающая поддерживать как конфиденциальность, так и целостность.

Новым для своего времени стал систематический подход к вопросам доступности, формирование архитектурных принципов ее обеспечения.

Упомянем также достаточное условие корректности фрагментирования монитора обращений, являющееся теоретической основой декомпо­зиции распределенной ИС в объектно-ориентированном стиле в сочета­нии с криптографической защитой коммуникаций.

Переходя к знакомству с «Гармонизированными критериями Ев­ропейских стран», отметим отсутствие в них априорных требований к условиям, в которых должна работать информационная система. Предполагается, что сначала формулируется цель оценки, затем орган сертификации определяет, насколько полно она достигается, т. е. в ка­кой мере корректны и эффективны архитектура и реализация механиз­мов безопасности в конкретной ситуации. Чтобы облегчить формули­ровку цели оценки, стандарт содержат описание десяти примерных классов функциональности, типичных для правительственных и ком­мерческих систем.

В «Гармонизированных критериях» подчеркивается различие между системами и продуктами информационных технологий, но для унифика­ции требований вводится единое понятие - объект оценки.

Важно указание и на различие между функциями (сервисами) безо­пасности и реализующими их механизмами, а также выделение двух ас­пектов гарантированности - эффективности и корректности средств бе­зопасности.

Руководящие документы (РД) Гостехкомиссии России нача­ли появляться несколько позже, уже после опубликования «Гармонизированных критериев», и, позволили отобразить не только разницу между автоматизированными средствами вычислительной техники (СВТ), но в общем и целом они долгое время следовали в фарватере «Оранжевой книги».

Первое примечательное отклонение от этого курса произошло в 1997 году, когда был принят РД по отдельному сервису безопасности - межсе­тевым экранам (МЭ). Его основная идея - классифицировать МЭ на основании осуществляющих фильтрацию потоков данных уровней эта­лонной семиуровневой модели - получила международное признание и продолжает оставаться актуальной.

В 2002 году Гостехкомиссия России приняла в качестве РД русский перевод международного стандарта ISO/IEC 15408:1999 «Критерии оценки безопасности информационных технологий», что послу­жило толчком для кардинальной и весьма своевременной со всех точек зрения переориентации (вспомним приведенный выше принцип стан­дартизации из закона «О техническом регулировании»). Конечно, пере­ход на рельсы «Общих критериев» будет непростым, но главное, что он начался.

Среди технических спецификаций на первое место, безусловно, следует поставить документ Х.800 «Архитектура безопасности для взаи­модействия открытых систем». Здесь выделены важнейшие сетевые сервисы безопасности: аутентификация, управление доступом, обеспе­чение конфиденциальности и/или целостности данных, а также невоз­можность отказаться от совершенных действий. Для реализации серви­сов предусмотрены следующие сетевые механизмы безопасности и их комбинации: шифрование, электронная цифровая подпись (ЭЦП), уп­равление доступом, контроль целостности данных, аутентификация, до­полнение трафика, управление маршрутизацией, нотаризация. Выбраны уровни эталонной семиуровневой модели, на которых могут быть реали­зованы сервисы и механизмы безопасности. Наконец, детально рассмо­трены вопросы администрирования средств безопасности для распреде­ленных конфигураций.

Спецификация Internet-сообщества RFC 1510 «Сетевой сервис ау­тентификации Kerberos (V5)» относится к более частной, но весьма важной и актуальной проблеме - аутентификации в разнородной рас­пределенной среде с поддержкой концепции единого входа в сеть. Сер­вер аутентификации Kerberos представляет собой доверенную третью сторону, владеющую секретными ключами обслуживаемых субъектов и помогающую им в попарной проверке подлинности. О весомости дан­ной спецификации свидетельствует тот факт, что клиентские компо­ненты Kerberos присутствуют в большинстве современных операцион­ных систем.

«Гармонизированные критерии Европейских стран» стали весьма Передовым документом для своего времени, они подготовили появление международного стандарта ISO/IEC 15408:1999 «Критерии оценки безо­пасности информационных технологий» (Evaluation criteria for IT security), в русскоязычной литературе обычно (но не совсем верно) имену­емого «Общими критериями» (ОК).

На сегодняшний день «Общие критерии» - самый полный и совре­менный оценочный стандарт. На самом деле, это метастандарт, определя­ющий инструменты оценки безопасности ИС и порядок их использова­ния; он не содержат предопределенных классов безопасности. Такие классы можно строить, опираясь на заданные требования.

ОК содержат два основных вида требований безопасности:

• функциональные, соответствующие активному аспекту защиты, предъявляемые к функциям (сервисам) безопасности и реализующим их механизмам;

• требования доверия, соответствующие пассивному аспекту; они предъявляются к технологии и процессу разработки и эксплуатации. Требования безопасности формулируются, и их выполнение прове­ряется для определенного объекта оценки - аппаратно-программного продукта или информационной системы.

Подчеркнем, что безопасность в ОК рассматривается не статично, а в соответствии с жизненным циклом объекта оценки. Кроме того, по­следний предстает в контексте среды безопасности, характеризующейся определенными условиями и угрозами.

«Общие критерии» способствуют формированию двух базовых ви­дов используемых на практике нормативных документов - это профиль защиты и задание по безопасности.

Профиль защиты представляет собой типовой набор требований, которым должны удовлетворять продукты и/или системы определенного класса.

Задание по безопасности содержит совокупность требований к кон­кретной разработке, их выполнение позволит решить поставленные зада­чи по обеспечению безопасности.

В последующей части курса будут детально рассмотрены как сами «Общие критерии», так и разработанные на их основе профили защиты и проекты профилей.

Криптография - область специфическая, но общее представление о ее месте в архитектуре безопасности и о требованиях к криптографическим компонентам иметь необходимо. Для этого целесообразно ознакомиться с Федеральным стандартом США FIPS 140-2 «Требования безопасности для криптографических модулей» (Security Requirements for Cryptographic Modules). Он выполняет организующую функцию, описывая внешний интерфейс криптографического модуля, общие требования к подобным модулям и их окружению. Наличие такого стандарта упрощает разработку сервисов безопасности и профилей защиты для них.

Криптография как средство реализации сервисов безопасности име­ет две стороны: алгоритмическую и интерфейсную. Нас будет интересо­вать исключительно интерфейсный аспект, поэтому, наряду со стандар­том FIPS 140-2, мы рассмотрим предложенную в рамках Internet-сообще­ства техническую спецификацию «Обобщенный прикладной программ­ный интерфейс службы безопасности» (Generic Security Service Application Program Interface, GSS-AP1) [GSS-API].

Интерфейс безопасности GSS-API предназначен для защиты ком­муникаций между компонентами программных систем, построенных в архитектуре клиент/сервер. Он создает условия для взаимной аутентифи­кации общающихся партнеров, контролирует целостность пересылаемых сообщений и служит гарантией их конфиденциальности. Пользователя­ми интерфейса безопасности GSS-API являются коммуникационные протоколы (обычно прикладного уровня) или другие программные систе­мы, самостоятельно выполняющие пересылку данных.

Технические спецификации IPsec [IPsec] имеют, без преувеличения, фундаментальное значение, описывая полный набор средств обеспече­ния конфиденциальности и целостности на сетевом уровне. Для домини­рующего в настоящее время протокола IP версии 4 они носят факульта­тивный характер; в перспективной версии IPv6 их реализация обязатель­на. На основе IPsec строятся защитные механизмы протоколов более вы­сокого уровня, вплоть до прикладного, а также законченные средства бе­зопасности, в том числе виртуальные частные сети. Разумеется, IPsec су­щественным образом опирается на криптографические механизмы и ключевую инфраструктуру.

Точно так же характеризуются и средства безопасности транспорт­ного уровня (Transport Layer Security, TLS). Спецификация TLS раз­вивает и уточняет популярный протокол Secure Socket Layer (SSL), ис­пользуемый в большом числе программных продуктов самого разного на­значения.

В упомянутом выше инфраструктурном плане очень важны реко­мендации Х.500 «Служба директорий: обзор концепций, моделей и серви­сов» (The Directory: Overview of concepts, models and services) и X.509 «Служба директорий: каркасы сертификатов открытых ключей и атрибу­тов» (The Directory: Public-key and attribute certificate frameworks). В рекомендациях X.509 описан формат сертификатов открытых ключей и атрибутов - базовых элементов инфраструктур открытых ключей и управления привилегиями.

Как известно, обеспечение информационной безопасности - про­блема комплексная, требующая согласованного принятия мер на законодательном, административном, процедурном и программно-техническом уровнях. При разработке и реализации базового документа администра­тивного уровня — политики безопасности организации - отличным под­спорьем может стать рекомендация Internet-сообщества «Руководство по Информационной безопасности предприятия» (Site Security Handbook, СМ.). В нем освещаются практические аспекты формирования Политики и процедур безопасности, поясняются основные понятия ад­министративного и процедурного уровней, содержится мотивировка ре­комендуемых действий, затрагиваются темы анализа рисков, реакции на нарушения ИБ и действий после ликвидации нарушения.

При развитии и реорганизации корпоративных информационных си­стем, несомненно, окажется полезной рекомендация «Как выбирать по­ставщика Internet-услуг» (Site Security Handbook Addendum for ISPs). В первую очередь ее положений необходимо придерживаться в ходе формиро­вания организационной и архитектурной безопасности, на которой базиру­ются прочие меры процедурного и программно-технического уровней.

Для практического создания и поддержания режима информацион­ной безопасности с помощью регуляторов административного и проце­дурного уровней пригодится знакомство с британским стандартом BS 7799 «Управление информационной безопасностью. Практические правила» (Code of practice for information security management) и его второй частью BS 7799-2:2002 «Системы управления информационной безо­пасностью - спецификация с руководством по использованию» (Information security management systems - Specification with guidance for use). В нем разъясняются такие понятия и процедуры, как политика безопасности, общие принципы организации защиты, классификация ресурсов и управление ими, безопасность персонала, физическая безо­пасность, принципы администрирования систем и сетей, управление до­ступом, разработка и сопровождение ИС, планирование бесперебойной работы организации.

Вопросы для самоконтроля:

1. Дайте определение понятия «стандарт» и «стандартизация».

2. Какие группы стандартов и спецификаций Вы знаете?

3. Назовите несколько стандартов США, Британии, России.

4. Что такое «оранжевая книга»?

5. Для чего предназначен интерфейс безопасности GSS-API?

Список литературы:

1. Бармен, С. Разработка правил информационной безопасности [Текст] / С. Бармен. - М.: Высшая школа, 2008. – 317 с.

2. Белов, Е.Б. Основы информационной безопасности. Учебное пособие [Текст] / Е.Б. Белов, В.П. Лось. – М.: Бук-Пресс, 2007. – 157с.

3. Галатенко, В.А.Стандарты информационной безопасности. Курс лекций. Учебное пособие [Текст] / В.А. Галатенко. - М.: ЮНИТИ, 2006. – 264 с.

4. Громов, В.И. Энциклопедия безопасности [Текст] / В.И. Громов, Г.А. Васильев. - М.: Бук-Пресс, 2004. –271 с.