Стандарты по оценке защитных систем

стандарты и спецификации двух разных видов:
оценочные стандартов, направленные на классификацию информационных систем и средств защиты по требованиям безопасности;
технические спецификации, регламентирующие различные аспекты реализации средств защиты.

Стандарт
Министерства
обороны
США
Стандарт Министерства обороны США
опубликован в августе 1983 года
"Критерии оценки доверенных компьютерных систем".
"Оранжевая книга"
Стандарт
Министерства
обороны
США

абсолютно безопасных систем не существует
оценивается лишь степень доверия, которую можно оказать той или иной системе

Система - система, использующая достаточные аппаратные и программные средства, чтобы обеспечить одновременную обработку информации разной степени секретности группой пользователей без нарушения прав доступа.

Степень доверия оценивается по двум основным критериям:
1). политика безопасности
2). уровень гарантированности

Руководящие документы Гостехкомиссии России:
Классификация автоматизированных систем (АС) по уровню защищенности от несанкционированного доступа (НСД) и
Классификация межсетевых экранов (МЭ).

Требования к защищенности автоматизированных систем

Классификация межсетевых экранов
Основной критерий классификации МЭ служит протокольный уровень, на котором осуществляется фильтрация информации.
Чем выше уровень, тем больше информации на нем доступно и, следовательно, тем более тонкую и надежную фильтрацию можно реализовать.

Дискреционная политика безопасности- политика безопасности осуществляемая на основании заданного администратором множества разрешенных отношений доступа.
Дискреционное управление доступом определяется двумя свойствами:
все субъекты и объекты должны быть идентифицированы;
права доступа субъекта к объекту системы определяются на основании некоторого внешнего по отношению к системе правила.

Достоинства
относительно простая реализация соответствующих механизмов защиты.
Недостаток
статическая система

Мандатная политика безопасности – политика безопасности основанная на совокупности предоставления доступа, определенного на множестве атрибутов безопасности субъекта и объекта.
Основа - мандатное управление доступом, которое подразумевает, что:
все субъекты и объекты системы должны быть однозначно идентифицированы;
задан линейно упорядоченный набор меток секретности;
каждому объекту системы присвоена метка секретности, определяющая ценность содержащейся в нем информации - его уровень секретности в АС;
каждому субъекту системы присвоена метка секретности, определяющая уровень доверия к нему в АС
Основная цель мандатной политики безопасности - предотвращение утечки информации от объектов с высоким уровнем доступа к объектам с низким уровнем доступа, т.е. противодействие возникновению в АС ин­формационных каналов сверху вниз.