· компоновка, установка, конфигурация и поддерж­ка ТСВ;

· администрирование атрибутов безопасности поль­зователей (идентификаторов, полномочий, доступ­ных ресурсов и т.д.);

· администрирование политики управления досту­пом;

· управление потреблением ресурсов системы;

· аудит действий пользователей.

Мониторинг взаимодействии. Требования этого раз­дела регламентируют порядок взаимодействия между компонентами системы и прохождения информацион­ных потоков через ТСВ. Реализация политики безопас­ности будет эффективна только в том случае, если все без исключения взаимодействия в системе, т. е. доступ к объектам, ресурсам и сервису, осуществляются при обя­зательном посредничестве ТСВ.

Логическая защита ТСВ. Требования данной группы устанавливают порядок доступа к внутренним компо­нентам ТСВ (данным и программам). ТСВ должна быть защищена от внешних воздействий со стороны неприви­легированных пользователей, в противном случае иска­жение программ и данных, находящихся в ТСВ. может привести к полному подавлению функций защиты.

Необходимо подчеркнуть, что политика безопасно­сти, мониторинг взаимодействий и логическая защита ТСВ являются обязательными компонентами всех про­филей защиты вне зависимости от назначения и среды применения ИТ-продукта.

Физическая защита ТСВ. Требования этой группы задают ограничения на физический доступ к компонен­там ТСВ, а также допустимые физические параметры среды функционирования ВС.

Самоконтроль ТСВ. Требования, касающиеся само­контроля ТСВ, определяют возможности обеспечения контроля корректности выполнения функций ТСВ и це­лостности программ и данных, входящих в ТСВ. Выпол­нение этих требований позволяет вовремя обнаруживать нарушения целостности компонентов ТСВ, произошед­шие либо в результате целенаправленного воздействия, либо в следствии сбоя в работе аппаратных или про­граммных средств, и осуществлять восстановление цело­стности ТСВ.

Инициализация и восстановление ТСВ. Требования данной группы устанавливают возможности ТСВ по контролю за процессом собственной инициализации и способности к самовосстановлению после сбоев. Про­цесс восстановления после сбоя должен происходить без нарушений, даже временных, функционирования средств защиты. Восстановленное состояние ТСВ должно соот­ветствовать требованиям политики безопасности, мони­торинга взаимодействий и самоконтроля целостности.

Ограничение привилегий при работе с ТСВ. Требова­ния этой группы устанавливают порядок назначения полномочий для работы с ТСВ. Основным принципом назначения таких полномочий является принцип мини­мальной достаточности. Это обеспечивается посредст­вом постоянного контроля и, при необходимости, авто­матического понижения привилегий пользователей при обращении к компонентам или сервису ТСВ. Соблюде­ние этого принципа позволяет минимизировать наруше­ния целостности в случае возникновения сбоев или на­рушений безопасности.

Простота использования ТСВ. Эти требования обес­печивают удобство пользования возможностями ТСВ как для высококвалифицированных администраторов, ответственных за функционирование и безопасность сис­темы, так и для рядовых пользователей, а также для раз­работчиков прикладных программ, взаимодействующих с ТСВ. К этому классу требований относятся: порядок реагирования ТСВ на ошибки в действиях пользователей и попытки нарушения безопасности, устанавливаемые по умолчанию полномочия, интерфейс пользователей и администратора.

Объем и глубина реализации функциональных тре­бований зависят от того, какую степень защищенности должна обеспечивать ТСВ конкретного ИТ-продукта, а также от того, какие угрозы безопасности возможны в среде его эксплуатации. Степень обеспечения требуемого уровня защищенности зависит от реализованной поли­тики безопасности, от квалификации ответственного за безопасность персонала, от правильности администри­рования ТСВ и соблюдения рядовыми пользователями правил политики безопасности.

2.8.4.2. Ранжирование функциональных требований

Состав и содержание включенных в профиль защиты функциональных требований определяются средой экс­плуатации ИТ-продукта. Чтобы обосновать выбор тех или иных требований и не вступать в противоречие сосу­ществующими стандартами в области безопасности ИТ-продуктов, функциональные требования, приведенные в «Федеральных критериях», ранжируются по уровням с помощью следующих четырех критериев: широта сферы применения, степень детализации, функциональный со­став средств защиты, обеспечиваемый уровень безопас­ности.

Широта сферы применения определяется множеством сущностей, к которому могут быть применены данные требования, а именно:

· пользователи системы, субъекты и объекты доступа;

· функции ТСВ и интерфейс взаимодействия с ТСВ;

· аппаратные, программные и специальные компо­нентыТСВ;

· множество параметров конфигурации ТСВ.

Например, требования, из разделов управления дос­тупом, аудита, обеспечения работоспособности, мони­торинга взаимодействий и простоты использования ТСВ могут относиться только к определенному подмножеству объектов доступа и параметров конфигурации ТСВ. Обеспечение прямого взаимодействия с ТСВ требуется только для некоторого подмножества функций ТСВ.

Степень детализации требований определяется мно­жеством атрибутов сущностей, к которым применяются данные требования, либо ко всем атрибутам пользовате­лей, субъектов или объектов, либо только к некоторому подмножеству этих атрибутов. Например, требования из разделов управления доступом, аудита и мониторинга взаимодействий могут относить только к некоторому подмножеству атрибутов субъектов и объектов, а имен­но к правам доступа, групповым идентификаторам пользователей, но не к атрибутам состояния субъектов и объектов и не к индивидуальным идентификаторам.

Функциональный состав средств защиты определяется множеством функций, включенных в ТСВ для реализа­ции той или иной группы функциональных требований. Например, политика управления доступом может вклю­чить либо произвольное, либо нормативное управление доступом, или и то и другое одновременно.

Обеспечиваемый уровень безопасности определяется условиями, в которых функциональные компоненты ТСВ способны противостоять заданному множеству уг­роз, отказам и сбоям. Например, нормативное управле­ние доступом обеспечивает более высокий уровень безо­пасноести, чем произвольное, в силу ею способности противостоять атакам типа «троянского коня».

Ранжирование вести предполагает установление некоторого отношения порядка. Однако независимое ран­жирование функциональных требований по каждому из описанных критериев хотя и дает некоторое представ­ление о различиях между функциональными возможностями средств защиты, не позволяет установить четкую, линейную шкалу уровней безопасности. Однозначного отношения порядка, определенного на множестве функ­циональных требований, не существует, так как значение требований и уровень обеспечиваемой ими защиты зави­сят не только от их содержания, но и от назначения ИТ-продукта и среды его эксплуатации. Для одних систем наиболее важными будут идентификация и аутентифи­кация пользователей, а для других — реализация поли­тики управления доступом или обеспечение работоспо­собности.