61 - Kritéria hodnocení bezpečnosti informačních systémů, historie, kritéria CC (Common Criteria), standardy pro management bezpečnosti.
12. června 2017
18:08
Kritéria hodnocení bezpečnosti IS
...administrativními opatřeními
...fyzickými aspekty bezpečnosti IT
...metodologií hodnocení
...kryptografickými algoritmy
...akreditací
Funkčnost (functionality) 
co je implementováno 
Zaručitelnost (assurance) 
míra důvěry, že je to implemenotváno správně 
Orange Book (TCSEC) 
první kniha z Rainbow series (série knih o bezpečnosti od Department of Defense USA) 
TCSEC = Trusted Computer System Evaluation Criteria 
Úrovně TCSEC 
D - minimální ochrana 
C1 - nepovinná ochrana 
identifikace, autentizace, nepovinné řízení přístupu 
C2 - ochrana řízeného přístupu 
opětné použití a audit 
B1 - víceúrovňová ochrana 
povinné řízení přístupu pro některé objekty a subjekty 
neformální model bezpečnostní politiky 
B2 - strukturovaná ochrana 
povinné řízení přístupu pro všechny objekty a subjekty 
formální model bezpečnostní politiky 
bezpečná cesta přihlášení 
princip minimálních privilegií 
analýza paměťových skrytých kanálů 
správa konfigurace 
B3 - bezpečnostní domény 
analýza všech skrytých kanálů 
mechanismus validace referencí (ref. monitor) 
omezení na vytváření kódu 
požadavky na dokumentaci a testování 
A1 - verifikovaný návrh 
důvěryhodná distribuce 
Úrovně TCSEC v praxi 
C1, C2 - mírně vylepšené současné operační systémy, aplikace nepoznají 
B1 - operační systémy se musejí pozměnit více (MAC), některé aplikace vyžadují změny (málo) 
B2 - OS jsou změněny zásadně, aplikace nefungují 
B3 - systémy, které nezvládly A1 (stejná funkčnost, ale formální návrh) 
A1 - systémy navržené od základu, netradiční metody 
Oblasti TCSEC 
Bezpečnostní politika 
Účtovatelnost 
Zaručitelnost 
Dokumentace, 
Analýza skrytých kanálů 
Architektura systému 
Specifikace a verifikace návrhu 
Nedostatky TCSEC 
Chybí integrita dat 
Nezná počítačovou síť 
Nerozlišuje funkčnost a zaručitelnost (funkčnost - co je implementováno, zaručitelnost - míra důvěry, že je to implementováno správně) 
Směšuje různé úrovně abstrakce v dokumentu 
Index rizika 
se používá k vyjádření stupně bezpečnosti systému. Podle něj se určuje požadovaná úroveň dle TCSEC (stupnice pro otevřené a uzavřené prostředí). 
Index rizika 
je citlivost dat (neklasifikovaná až přísně tajná) 
je prověření uživatele (neprověřený až prověřen pro přísně tajné). 
ITSEC / ITSEM 
jsou evropská kritéria, která vznikla spojením národních kritérií jako alternativa k TCSEC. 
Rozlišuje produkty a systémy 
Rozlišuje funkčnost a zaručitelnost 
ITSEC = IT Security Evaluation Criteria (1991) 
ITSEM = IT Security Evaluation Manual (1993) 
Úrovně funkčnosti ITSEC 
F-C1 až F-B3 (odpovídají TCSEC) 
Úrovně zaručitelnosti 
E1 – jsou definovány bezpečnostní cíle, má neformální popis architektury 
E2 – neformální popis návrhu, kontrola nad konfigurací, distribuční kontrola 
E3 – korespondence mezi kódem a bezpečnostním cílem 
E4 – formální model bezpečnostní politiky, strukturovaný přístup k designu, analýza zranitelností vyplývajících z návrhu 
E5 – korespondence mezi návrhem a kódem, analýza zranitelnosti zdrojového kódu 
E6 – formální metody architektury a mapování návrhu na bezpečnostní politiku 
Třídy funkčnosti 
F-IN - integrita 
F-AV - dostupnost 
F-DI - integrita přenosu dat 
F-DC - důvěrnost přenosu dat 
Síla mechanismů ITSEC 
pouze vágní v praxi nepoužitelná definice 
střední - proti útočníkovi s omezenými prostředky 
vysoká - prosti útočníkům s vysokými prostředky 
Síla mechanismů ITSEM 
přesnější specifikace 
Bere v úvahu: 
Znalosti - jak moc útočník zná produkt (začátečník, zkušený, expert) 
Prostředky 
Čas - čas a provedení (minuty, dny, měsíce) 
Vybavení - (bez vybavení, běžné vybavení, speciální vybavení) 
Příležitost - neovlivněno útočníkem (komplot, šance, možnost detekce) 
Common Criteria 
jsou standardizovaná (ISO/EIC) kritéria hodnocení bezpečnosti systémů. Existuje dohoda vzájemného uznávání a státy mají národní schémata pro použití CC. 
CC se dělí na: 
třídy (např. FDP) - seskupení rodin, které jsou stejně zaměřeny 
rodiny (např. ACC) - seskupení komponent, které mají stejný bezpečnostní cíl, ale různou sílu nebo přísnost 
komponenty (např. FDP_ACC.1) - nejm
enší volitelná sada prvků, která může být použita v Profilu ochrany nebo Bezpečnostním cíli 
Třídy funkčnosti Fxx: AUdit, COmmunication, Cryprographic Support, Data Protection, Identification and Authentization, security ManagemenT, PRivacy, functionality ProTection, Resource Usage, Trusted Paths 
Úrovně zaručitelnosti jsou kompatibilní s TCSEC -- EAL1 až EAL7. 
Třídy zaručitelnosti Axx: Configuration Management, Delivery and Operation, Guidance Documents, Life Cycle support, Vulnerability Assesment, DeVelopment documentation, TEsting 
CEM (Common Evaluation Methodology) popisuje aktivity hodnotitele CC. 
Pojmy
Cíl hodnocení - Target Of Evaluation (TOE) - produkt nebo systém, který je předmětem hodnocení.
Ochranný profil - Protection Profile (PP) - dokument, typicky vytvořený uživatelem nebo uživatelskou komunitou, který identifikuje bezpečnostní požadavky pro třídu bezpečnostních zařízení (například čipové karty nebo síťové firewally) příslušný danému uživateli ke konkrétnímu účelu.
Bezpečnostní cíl - Security Target (ST) - je dokument, který identifikuje bezpečnostní vlastnosti cíle hodnocení. Může se vztahovat na jeden nebo více PP.
Bezpečnostní funkční požadavky - Security Functional Requirements (SFRs) - specifikuje individuálně bezpečnostní funkce, které mohou produkty poskytovat. Common Criteria poskytuje katalog těchto funkcí. Například může SFR uvádět, jak by uživatel zastupující konkrétní roli měl být autentizován.
Bezpečnostní jistící požadavky - Security Assurance Requirements (SARs) - popisuje měření získané během vyvíjení a hodnocení produktu k zajištění souladu s prohlášením bezpečnostní funkcionality. Například hodnocení může požadovat, aby všechny zdrojové kódy byly zdrženy v organizačním systému.
Evaluation Assurance Level (EAL) - číselné hodnocení popisující hloubku hodnocení. Každý EAL odpovídá balíčku SAR, který pokrývá kompletní vývoj produktu s danou úrovní striktnosti. Common Criteria sestavilo sedm úrovní, počínaje nejzákladnější EAL 1 (a tudíž nejlevnější na implementaci a hodnocení), končí nejpřísnější EAL 7 (a zároveň nejdražší).
From <[link]> 
Struktura CC 
1 Úvod a použitý model 
popis přístupu 
pojmy a model 
požadavky na profil ochrany pro kategorie produktů a bezpečnostní cíle pro konkrétní typy produktů 
Profil ochrany 
popisuje prostředí, cíle, požadavky pro kategorii produktů nebo konkrétní typ produktu 
2 Funkční požadavky 
Dělí se na 
třídy (Fxx) - seskupení rodin stejného zaměření 
rodiny (Fxx_Axx) - seskupení komponent se stejným cílem 
komponenty (Fxx_Axx.xx) - nejmenší volitelné sada prvků 
Třídy funkčnosti F__ 
Audit 
Communication 
Cryptographic Support 
Data Protoction 
Identification and Authentization 
Security Management 
Privacy 
Functionality Protection 
Resource Usage 
Trusted Paths 
3 Požadavky zaručitelnosti 
Zaručitelnost je ochranou proti
Špatnému návrhu 
Implementačním chybám 
Neefektivním opatřením nebo mechanismům 
Úrovně zaručitelnost 
jsou kompatibilní s TCSEC – EAL1 až EAL7. 
EAL4 - nejvyšší pro běžně vyráběné produkty 
Třídy požadavků zaručitelnosti
Configuration Management 
Delivery and Operation 
Guidance Documents 
Life Cycle support 
Vulneralibity Assesment 
Development documentation 
Testing 
4 Registr profilů ochrany 
Modely při vývoji 
model bezpectnostnej politky 
funkcna specifikacia 
model architektury 
detailnu model 
implementace 
Modely specifikace lze rozdělit následovně: 
neformální – zapsaná v přirozeném jazyce, přičemž nepodléhá žádným omezením; 
poloformální (semiformální) – vyžaduje užití některé omezující notace spolu s množinou konvencí, může mít buď grafickou podobu, nebo být založena na omezeném použítí přirozeného jazyka. 
formální – zapsaná ve formální notaci, která využívá dobře definovaných matematických pojmů. 
CEM (Common Evaluation Methodology) 
doplněk k CC 
Popisuje aktivity hodnotitele CC 
Důležité pro vzájemné uznávání. 
Obsah 
část 1 – úvod a obecný model- terminologie a principy hodnoceni 
část 2 – metodologie hodnocení 
část 3 – rozšíření metodologie
Management bezpečnosti - standardy
Bezpečnostní politika 
Celková bezpečnostní politika (CBP) 
popisuje globální cíle organizace a IS z hlediska bezpečnosti. 
Cílem je ochrana majetku, pověsti a činnosti celé organizace. 
Dokument je nadčasový, nezávislý na konkrétní IT implementaci, vedený jako vnitřní norma, veřejný a závazný. 
Stanovuje citlivé informace, aktiva, klasifikaci, hierarchii, zodpovědnosti, práva a minimální sílu bezpečnostních mechanismů. 
Stručný a srozumitelný, úplný dokument – otázky a konflikty lze vyřešit odkazem na paragrafy CBP 
Systémová bezpečnostní politika 
definuje implementaci celkové bezpečnostní politiky v konkrétní IT situaci 
Stanovují soubor principů a pravidel pro ochranu IS 
Volba technických, procedurálních, logických a administrativních opatření. 
Principy a pravidla ochrany IS. 
Pro rozsáhlejší systémy lze vybudovat SBP pro jednotlivé části. 
Tvorba bezpečnostní politiky 
BP nikdy nevzniká jednorázovou akcí 
životní cyklus tvorby BP lze zjednodušeně vyjádřit následujícími (opakovaně) prováděnými kroky 
posouzení vstupních vlivů 
analýza rizik 
implementace BP 
nasazení BP, kontrola její účinnosti a vyslovování závěrů 
Standardy 
TR 13335
Guidelines for the management of IT Security 
je norma pro řízení bezpečnosti, definuje proces sestavení CBS a SBP. 
Části: 
Concepts and Models of IT Security 
Managing and Planning IT Security 
Techniques for the Management of IT Security 
Selection of Safeguards 
Safeguards for External Connections 
BS 7799
Code of Practice for Information Security management 
je britský standard pro řízení bezpečnosti (posléze přijat jako ISO/IEC 17799:2000) 
Určen jako referenční dokument pro osoby zodpovědné za implementaci a udržování informační bezpečnosti v organizaci. 
certifikační schéma c:cure (podobné ISO 9000) 
Obsahuje: 
Bezpečnostní politika - směr zabezpečení, zajišťuje manažerskou podporu 
Organizace bezpečnosti - definice rolí, povinností a odpovědností; koordinace 
Klasifikace a správa aktiv 
Personální bezpečnost - zaměřena přímo na osoby (ne přes IS), preventivní 
Fyzická bezpečnost 
Komunikace a provoz - především administrativní opatření 
Řízení přístupu 
Vývoj a údržba systému 
Zajištění kontinuity - např havarijní plány 
Shoda - se zákony, normami, ... 
ISO 27001
je nová mezinárodní norma pro Systém správy informační bezpečnosti 
postupně nahradí BS7799-2, 
Oblasti: 
Bezpečnostní politika 
Organizace informační bezpečnosti 
Správa aktiv 
Personální bezpečnost 
Fyzická bezpečnost 
Bezpečnost komunikací a provozu 
Řízení přístupu 
Pořizování, vývoj, údržba 
Správa bezp. incidentů 
Správa kontinuity 
Shoda 
Modely bezpečnosti 
Modely bezpečnosti 
formálně vyjadřují části bezpečnostní politiky 
podle řízení přístupu: 
DAC (nepovinné řízení přístupu) (neužitečné) 
MAC (povinné řízení přístupu) 
podle klasifikace informace: 
jedno 
víceúrovňové 
podle cílů, které zajišťují: 
modely důvěrnosti (použitelné) 
integrity 
dostupnosti 
entity: 
uživatel 
proces 
objekt 
subjekt 
Monitor
prostředek pro lokalizaci bezpečnostních funkcí do jednoho místa (def. v orange book) 
Požadavky: 
nelze jej obejít 
je odolný proti útoku (schopen zajistit vlastní integritu) 
malý, aby mohl být podroben analýze správnosti 
Víceúrovňové modely
Stupeň utajení - neklasifikovaná < důvěrná < tajná < přísně tajná) 
Kategorie - osobní, obchodní, ... 
Bezpečnostní atributy - <stupeň utajení, kategorie> 
Relace <= (O - objekt, S - subjekt) 
O <= S pokud st. utajení O <= st. utajení S a současně kategorie O je podmnožinou kategorie S 
Svazový model 
svazový model pro více úrovní (transitiviva, antisymetrie, nejvyšší prvek, nejnižší prvek, některé prvky jsou neporovnatelné) 
Bell-LaPadulův model důvěryhodnosti
stupeň důvěry v subjekt C(S) 
úroveň důvěrnosti objektu C(O) 
jednoduchá ochrana (simple property) 
subjekt S může číst objekt O, pouze pokud C(S) >= C(O) 
omezující vlastnost (star property) 
pokud S může číst O, pak může zapisovat do objektu P, pouze pokud C(P) >= C(O) (aby nevyzradil) 
Bibův model integrity
stupeň důvěry v subjekt I(S) (míra důvěry, že člověk nezmodifikuje informace nevhodným způsobem) 
úroveň integrity objektu I(O) (míra naší závislosti na integritě objektu) 
nejsou mechanismy, jak tyto informace zjistit 
jednoduchá ochrana 
subjekt S může modifikovat objekt O, pouze pokud I(S) >= I(O) 
pokud S může číst O, pak může zapisovat do objektu P, pouze pokud I(O) >= I(P) (aby nepokazil) 
Modely dostupnosti
každý uživatel má omezeno množství prostředků, které mu lze přidělit (diskový prostor, čas procesoru, ...) 
Amorosův model 
každý uživatel má prioritu p 
každý prostředek má kritičnost c 
funkce prevent(p,c) určuje, zda má prostředek uživateli poskytnout 
Yu-Gligorův model 
spravedlivost – uživatel nebude blokovat navždy, pokud je možnost, aby pokračoval 
simultánnost – uživatel někdy dostane všechny možnosti, jak pokračovat 
dohoda uživatelů – současné požadavky uživatelů na službu jsou uspořádány podle analýzy všech ostatních požadavků