ИТ.ОС.Б4.ПЗ. Методический документ. Профиль защиты операционных систем типа Б четвертого класса (утв. ФСТЭК России 11.05.2017)

Настоящий методический документ ФСТЭК России детализирует и определяет взаимосвязи требований и функций безопасности операционных систем (далее - ОС), установленных Требованиями безопасности информации к ОС, утвержденными приказом ФСТЭК России от 19 августа 2016 г. N 119.

Профиль защиты учитывает положения национальных стандартов Российской Федерации ГОСТ Р ИСО/МЭК 15408 "Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий".

Данный раздел содержит информацию общего характера. Подраздел "Ссылка на профиль защиты" включает идентификационные сведения о профиле защиты (далее - ПЗ), которые предоставляют маркировку и описательную информацию, необходимую для контроля и идентификации ПЗ и объекта оценки (далее - ОО), к которому он относится. Подраздел "Аннотация объекта оценки" содержит краткое описание использования ОО и его основные характеристики безопасности.

Настоящий ПЗ определяет требования безопасности к встраиваемым ОС (тип "Б") четвертого класса защиты.

Ниже приведены ключевые термины, используемые в ПЗ при задании требований безопасности ОС и относящиеся к различным категориям пользователей ОС и субъектов доступа, а также их определения.

Администратор: пользователь ОС, уполномоченный выполнять некоторые действия по администрированию ОС (имеющий административные полномочия) в соответствии с установленной ролью и требуемыми привилегиями в ОС на выполнение этих действий.

Непривилегированный субъект доступа: процесс, порождаемый пользователем.

Неуполномоченный субъект доступа: процесс, порождаемый лицами, не являющимися пользователями ОС, при попытке несанкционированного доступа.

Объект доступа: единица информационного ресурса (файл, каталог, том, устройство и (или) иные), доступ к которой регламентируется правилами разграничения доступа и по отношению к которой субъекты доступа выполняют операции.

Пользователь: пользователь ОС, не имеющий административных полномочий.

Пользователь ОС: лицо (администратор, пользователь), которому разрешено выполнять некоторые действия (операции) по администрированию ОС или обработке информации в ОС.

Привилегированный субъект доступа: процесс, порождаемый администратором или от имени служебной учетной записи ОС.

Роль: предопределенная совокупность правил, устанавливающих допустимое взаимодействие с ОС.

Субъект доступа: процесс, порождаемый пользователем ОС (пользователем или администратором).

Уполномоченный непривилегированный субъект доступа: процесс, порождаемый пользователем в соответствии с правами доступа к объекту доступа.

Уполномоченный привилегированный субъект доступа: процесс, порождаемый администратором или от имени служебной учетной записи в соответствии с ролью.

Соотношение терминов, применяемых в настоящем ПЗ для обозначения пользователей ОС и субъектов доступа различных категорий представлено на рисунке 2.1.

ОО представляет собой программное средство (комплекс программ), реализующее функции защиты от несанкционированного доступа информации, обрабатываемой на средствах вычислительной техники (далее - СВТ), находящихся под управлением данного программного средства (комплекса программ).

ОО должен обеспечивать нейтрализацию следующих угроз безопасности информации:

несанкционированный доступ к объектам доступа со стороны субъектов доступа, для которых запрашиваемый доступ не разрешен;

несанкционированное внесение нарушителем изменений в конфигурационные данные, которые влияют на функционирование отдельных сервисов, приложений или ОС в целом;

осуществление нарушителем восстановления (подбора) аутентификационной информации пользователей ОС;

использование нарушителем идентификационной и начальной аутентификационной информации, соответствующей учетной записи пользователя ОС;

несанкционированное внесение изменений в журналы регистрации событий безопасности ОС (журналы аудита).

В состав ОС как объекта оценки входят следующие компоненты:

загрузчик ОС, обеспечивающий загрузку ядра ОС;

ядро ОС, обеспечивающее управление ресурсами СВТ (процессорное время, оперативная память и другие) и выполнение базовых функций по защите информации;

модули уровня ядра (программы, загружаемые ядром ОС и расширяющие его базовые функциональные возможности);

службы ОС, обеспечивающие выполнение функций по обработке и защите информации.

Архитектура безопасности ОС должна обеспечивать:

реализацию монитора обращений (диспетчера доступа), обеспечивающую возможность его исчерпывающего анализа и тестирования;

защищенность монитора обращений (диспетчера доступа) от проникновения (вмешательства), преодоления и обхода;

невозможность доступа субъектов доступа к объектам доступа в обход установленных правил разграничения доступа (управления доступом) в случае сбоя монитора обращений (диспетчера доступа) до восстановления его работоспособности.

В ОС должны быть реализованы следующие функции безопасности:

идентификация и аутентификация;

управление доступом;

регистрация событий безопасности;

ограничение программной среды.

В среде, в которой ОС функционирует, должны быть реализованы следующие функции безопасности:

физическая защита;

доверенная загрузка ОС;

обеспечение условий безопасного функционирования ОС;

обеспечение доверенного маршрута;

обеспечение взаимодействия с прикладным программным обеспечением;

обеспечение доверенного канала.

Функции безопасности ОС должны обладать составом функциональных возможностей (функциональных требований безопасности), обеспечивающих реализацию этих функций.

В настоящем ПЗ изложены следующие виды требований безопасности, предъявляемые к ОС:

функциональные требования безопасности;

требования доверия к безопасности.

Функциональные требования безопасности ОС, изложенные в ПЗ, включают:

требования к идентификации и аутентификации;

требования к управлению доступом;

требования к регистрации событий безопасности;

требования к ограничению программной среды.

Функциональные требования безопасности для ОС выражены на основе компонентов требований из национального стандарта Российской Федерации ГОСТ Р ИСО/МЭК 15408-2-2013 "Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные компоненты безопасности" и специальных (расширенных) компонентов.

Состав функциональных требований безопасности, включенных в настоящий ПЗ, обеспечивает следующие функциональные возможности ОС типа "Б":

идентификация и аутентификация пользователей до выполнения любых действий по доступу в информационную систему;

идентификация и аутентификация администраторов до выполнения действий по управлению ОС;

возможность идентификации субъекта доступа путем предъявления физического устройства идентификации до разрешения действия, выполняемого от имени этого субъекта доступа;

возможность задания политики дискреционного и (или) ролевого управления доступом для установленного множества операций, выполняемых субъектами доступа по отношению к объектам доступа;

возможность реализации дискреционного и (или) ролевого управления доступом на основе списков управления доступом (матрицы управления доступом) и (или) ролей;

возможность автоматического запуска прикладного программного обеспечения при старте СВТ;

возможность исключения непосредственного взаимодействия пользователей прикладного программного обеспечения с ОС;

возможность со стороны администратора управлять атрибутами безопасности;

возможность со стороны администратора управлять выполнением функций безопасности ОС;

возможность со стороны администратора управлять параметрами функций безопасности ОС, данными аудита;

поддержка определенных ролей для ОС и их ассоциации с пользователями ОС;

защита хранимой аутентификационной информации от неправомерного доступа к ней и раскрытия;

постоянный контроль и проверка правомочности обращений субъектов доступа к объектам доступа;

возможность предоставления надежных меток времени при проведении аудита безопасности;

возможность защиты данных аудита от несанкционированного раскрытия при их передаче;

возможность включения и исключения событий в совокупность событий, подвергающихся аудиту, предоставляемая администратору;

возможность предоставления администратору всей информации аудита в понятном для него виде;

возможность защиты хранимых записей регистрации событий безопасности ОС (аудита) от несанкционированного удаления и предотвращения модификации записей аудита;

возможность регистрации (аудита) событий безопасности, которые в соответствии с национальным стандартом Российской Федерации ГОСТ Р ИСО/МЭК 15408-2-2013 "Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные компоненты безопасности" включены в базовый уровень аудита;

возможность выполнения действий, направленных на сохранение данных журнала регистрации событий безопасности ОС и обеспечивающих непрерывность процесса аудита, если журнал регистрации событий безопасности ОС превысит определенный администратором размер;

возможность полнотекстовой регистрации привилегированных команд (команд, управляющих системными функциями);

возможность передавать данные аудита для внешнего хранения.

Требования доверия к безопасности ОС сформированы на основе компонентов требований из национального стандарта Российской Федерации ГОСТ Р ИСО/МЭК 15408-3-2013 "Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 3. Компоненты доверия к безопасности" и специальных (расширенных) компонентов.

Требования доверия к безопасности ОС образуют оценочный уровень доверия 3 (ОУД3), усиленный компонентами ADV_FSP.4 "Полная функциональная спецификация", ADV_IMP.2 "Полное отображение представления реализации функциональных возможностей безопасности", ADV_TDS.3 "Базовый модульный проект", ALC_CMC.4 "Поддержка генерации, процедуры приемки и автоматизация", ALC_FLR.1 "Базовое устранение недостатков", ALC_TAT.1 "Полностью определенные инструментальные средства разработки", AVA_VAN.5 "Усиленный методический анализ", расширенный компонентами ADV_IMP_EXT.3 "Реализация ОО", ALC_FPU_EXT.1 "Процедуры обновления программного обеспечения операционной системы", ALC_LCD_EXT.3 "Определенные разработчиком сроки поддержки", AMA_SIA_EXT.3 "Анализ влияния обновлений на безопасность операционной системы", AMA_SIA_EXT.6 "Анализ влияния внешних модулей уровня ядра на безопасность операционной системы" и AVA_CCA_EXT.1 "Анализ скрытых каналов".

В целях обеспечения условий безопасного функционирования ОС в настоящем ПЗ определены цели для среды функционирования ОС.

ОО является ОС типа "Б" четвертого класса защиты.

ОС типа "Б" - операционная система, встроенная (прошитая) в специализированные технические устройства, предназначенные для решения заранее определенного набора задач.

В рамках настоящего ПЗ аппаратные средства, программное обеспечение, программно-аппаратные средства, не входящие в ОО, не рассматриваются.

Национальные стандарты Российской Федерации ГОСТ Р ИСО/МЭК 15408 "Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий" допускают выполнение определенных операций над компонентами требований безопасности. Соответственно в настоящем ПЗ используются операции "уточнение", "выбор", "назначение" и "итерация".

Операция "уточнение" используется для добавления в компонент требований некоторых подробностей (деталей) и, таким образом, ограничивает диапазон возможностей по удовлетворению требований. Результат операции "уточнение" в настоящем ПЗ обозначается полужирным текстом.

Операция "выбор" используется для выбора одного или нескольких элементов из перечня в формулировке компонента требований. Результат операции "выбор" в настоящем ПЗ обозначается подчеркнутым курсивным текстом.

Операция "назначение" используется для присвоения конкретного значения ранее неконкретизированному параметру в компоненте требований. Операция "назначение" обозначается заключением присвоенного значения параметра в квадратные скобки, [назначаемое (присвоенное) значение параметра].

В настоящем ПЗ используются компоненты требований безопасности, включающие частично выполненные операции "назначение" и предполагающие завершение операций в задании по безопасности (ЗБ). В данных компонентах незавершенная часть операции "назначения" обозначается как [назначение: область предполагаемых значений].

В настоящий ПЗ включен ряд требований безопасности, сформулированных в явном виде (расширенные (специальные) требования безопасности). Краткая форма имен компонентов требований, сформулированных в явном виде, содержит текст (EXT).

Операция "итерация" используется для выражения двух или более требований безопасности на основе одного компонента требований безопасности; при этом осуществляется различное выполнение других операций ("уточнение", "выбор" и (или) "назначение") над этим компонентом.

Настоящий ПЗ содержит ряд незавершенных операций над компонентами функциональных требований безопасности. Эти операции должны быть завершены в задании по безопасности для конкретной реализации ОС.

Настоящий ПЗ разработан с учетом положений национальных стандартов Российской Федерации ГОСТ Р ИСО/МЭК 15408-2-2013 "Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные компоненты безопасности" и ГОСТ Р ИСО/МЭК 15408-3-2013 "Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 3. Компоненты доверия к безопасности".

Настоящий ПЗ содержит расширенные (специальные) требования безопасности, разработанные в соответствии с правилами, установленными национальными стандартами Российской Федерации ГОСТ Р ИСО/МЭК 15408 "Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий" (ADV_IMP_EXT.3 "Реализация ОО", ALC_FPU_EXT.1 "Процедуры обновления программного обеспечения операционной системы", ALC_LCD_EXT.3 "Определенные разработчиком сроки поддержки", AMA_SIA_EXT.3 "Анализ влияния обновлений на безопасность операционной системы", AMA_SIA_EXT.6 "Анализ влияния внешних модулей уровня ядра на безопасность операционной системы", AVA_CCA_EXT.1 "Анализ скрытых каналов", FDP_RSP_EXT.3 "Ограничение доступа пользователя к интерактивным интерфейсам операционной системы", FIA_IFD_EXT.1 "Идентификация субъектов доступа по физическим устройствам", FPT_MTR_EXT.1 "Монитор обращений", FPT_APW_EXT.1 "Защита хранимой аутентификационной информации").

Соответствие другим ПЗ не требуется.

Заявлено о соответствии настоящего ПЗ следующему пакету:

пакет требований доверия: оценочный уровень доверия 3 (ОУД3), усиленный компонентами ADV_FSP.4 "Полная функциональная спецификация", ADV_IMP.2 "Полное отображение представления реализации функциональных возможностей безопасности", ADV_TDS.3 "Базовый модульный проект", ALC_CMC.4 "Поддержка генерации, процедуры приемки и автоматизация", ALC_FLR.1 "Базовое устранение недостатков", ALC_TAT.1 "Полностью определенные инструментальные средства разработки", AVA_VAN.5 "Усиленный методический анализ", расширенный компонентами ADV_IMP_EXT.3 "Реализация ОО", ALC_FPU_EXT.1 "Процедуры обновления программного обеспечения операционной системы", ALC_LCD_EXT.3 "Определенные разработчиком сроки поддержки", AMA_SIA_EXT.3 "Анализ влияния обновлений на безопасность операционной системы", AMA_SIA_EXT.6 "Анализ влияния внешних модулей уровня ядра на безопасность операционной системы" и AVA_CCA_EXT.1 "Анализ скрытых каналов".

Включение функциональных требований и требований доверия к ОС в настоящий ПЗ определяется Требованиями безопасности информации к операционным системам, утвержденными приказом ФСТЭК России от 19 августа 2016 г. N 119.

При разработке ЗБ и (или) других ПЗ на основе настоящего профиля защиты устанавливаются следующие типы соответствия:

"строгое" соответствие - если настоящий ПЗ является единственным ПЗ, утверждение о соответствии которому включено в ЗБ;

"демонстрируемое" соответствие - если ОО является комплексным продуктом (изделием), и в ЗБ включено утверждение о соответствии настоящему ПЗ и другому (другим) ПЗ.

Данный раздел содержит описание следующих аспектов решаемой с использованием ОС проблемы безопасности:

угроз безопасности, которым должны противостоять ОО и среда функционирования ОО;

политик безопасности, которые должен выполнять ОО;

предположений безопасности (обязательных условий безопасного использования ОО).

В настоящем ПЗ определены следующие угрозы, которым необходимо противостоять средствами ОО.

Угроза-1

1. Аннотация угрозы - несанкционированный доступ к объектам доступа со стороны субъектов доступа, для которых запрашиваемый доступ не разрешен.

2. Источники угрозы - внутренний нарушитель.

3. Способ реализации угрозы - осуществление несанкционированного доступа субъектов доступа к объектам файловой системы, устройствам и (или) иным объектам доступа, нарушение правил управления доступом к объектам файловой системы, устройствам и (или) иным объектам доступа, программное воздействие на интерфейс программирования приложений, переполнение буфера.

4. Используемые уязвимости - недостатки механизмов управления доступом, связанные с возможностью осуществления несанкционированного доступа к объектам файловой системы и устройствам.

5. Вид информационных ресурсов, потенциально подверженных угрозе - информация, содержащаяся в объектах файловой системы, устройствах и (или) иных объектах доступа.

6. Нарушаемые свойства безопасности информационных ресурсов - конфиденциальность, целостность.

7. Возможные последствия реализации угрозы - несанкционированное ознакомление с информацией, размещаемой на СВТ, несанкционированные действия по отношению к объектам файловой системы, устройствам и (или) иным объектам доступа.

Угроза-2

1. Аннотация угрозы - несанкционированное внесение нарушителем изменений в конфигурационные (и иные) данные, которые влияют на функционирование отдельных сервисов, приложений или ОС в целом.

2. Источники угрозы - внутренний нарушитель.

3. Способ реализации угрозы - внесение изменений в системный реестр или иной каталог конфигурационных данных.

4. Используемые уязвимости - недостатки механизмов контроля доступа к системному реестру (или иному каталогу конфигурационных данных).

5. Вид информационных ресурсов, потенциально подверженных угрозе - конфигурационные данные ОС.

6. Нарушаемое свойство безопасности активов - целостность, доступность.

7. Возможные последствия реализации угрозы - нарушение штатных режимов функционирования системного и прикладного программного обеспечения.

Угроза-3

1. Аннотация угрозы - осуществление нарушителем восстановления (подбора) аутентификационной информации пользователей ОС.

2. Источники угрозы - внутренний нарушитель, внешний нарушитель.

3. Способ реализации угрозы - подбор аутентификационной информации.

4. Используемые уязвимости - недостатки механизмов идентификации и аутентификации; возможность доступа к месту хранения аутентификационной информации.

5. Вид информационных ресурсов, потенциально подверженных угрозе - информация, обрабатываемая на СВТ; данные аудита.

6. Нарушаемые свойства безопасности информационных ресурсов - конфиденциальность, целостность, доступность, достоверность.

7. Возможные последствия реализации угрозы - осуществление несанкционированных действий по отношению к объектам доступа с использованием полномочий скомпрометированной учетной записи пользователя ОС; недостоверность данных аудита (все действия, выполненные нарушителем, будут ассоциированы с пользователем ОС, который этих действий не совершал).

Угроза-4

1. Аннотация угрозы - использование нарушителем идентификационной и начальной аутентификационной информации, соответствующей учетной записи пользователя ОС.

2. Источники угрозы - внутренний нарушитель, внешний нарушитель.

3. Способ реализации угрозы - преодоление механизмов идентификации и (или) аутентификации ОС за счет использования полученной нарушителем идентификационной и начальной аутентификационной информации пользователя ОС.

4. Используемые уязвимости - недостатки механизмов идентификации и аутентификации в ОС в части задания характеристик начальной аутентификационной информации, в части механизма контроля смены начальной аутентификационной информации.

5. Вид информационных ресурсов, потенциально подверженных угрозе - информация, обрабатываемая на СВТ; устройства; данные аудита.

6. Нарушаемые свойства безопасности информационных ресурсов - конфиденциальность, целостность, доступность, достоверность.

7. Возможные последствия реализации угрозы - осуществление несанкционированных действий по отношению к объектам доступа с использованием полномочий скомпрометированной учетной записи пользователя ОС, в объеме его полномочий; недостоверность данных аудита (все действия, выполненные нарушителем, будут ассоциированы с пользователем ОС, который этих действий не совершал).

Угроза-5

1. Аннотация угрозы - несанкционированное внесение изменений в журналы регистрации событий безопасности ОС (журналы аудита).

2. Источники угрозы - внутренний нарушитель.

3. Способ реализации угрозы - осуществление несанкционированного доступа к журналам регистрации событий безопасности ОС, с возможностью его редактирования.

4. Используемые уязвимости - недостатки механизмов управления доступом к журналам регистрации событий безопасности ОС.

5. Вид информационных ресурсов, потенциально подверженных угрозе - информация, размещаемая в журналах регистрации событий безопасности ОС.

6. Нарушаемые свойства безопасности информационных ресурсов - целостность, достоверность.

7. Возможные последствия реализации угрозы - нарушение подотчетности пользователей ОС за свои действия; необнаружение администратором фактов нарушения безопасности информации; недостоверность данных аудита.

В настоящем ПЗ определена следующая угроза, которой должна противостоять среда функционирования ОО:

Угроза среды-1

1. Аннотация угрозы - нарушение целостности программных компонентов ОС.

2. Источники угрозы - внутренний нарушитель, внешний нарушитель, программное воздействие.

3. Способ реализации угрозы - действия, направленные на несанкционированные изменения программных компонентов ОС.

4. Используемые уязвимости - недостатки механизмов защиты компонентов ОС.

5. Вид информационных ресурсов, потенциально подверженных угрозе - программные компоненты ОС.

6. Нарушаемые свойства безопасности информационных ресурсов - целостность.

7. Возможные последствия реализации угрозы - нарушение целостности компонентов ОС, нарушение режимов функционирования ОС.

Угроза среды-2

1. Аннотация угрозы отключение и (или) обход нарушителями компонентов ОС, реализующих функции безопасности информации путем подмены нарушителем загружаемой ОС.

2. Источники угрозы - внутренний нарушитель, внешний нарушитель.

3. Способ реализации угрозы - несанкционированное изменение пути доступа к загрузчику ОС (в конфигурации базовой системы ввода-вывода, если применимо).

4. Используемые уязвимости - недостатки управления доступом к загрузке ОС.

5. Вид информационных ресурсов, потенциально подверженных угрозе - информация, обрабатываемая на СВТ.

6. Нарушаемые свойства безопасности информационных ресурсов - конфиденциальность, целостность, доступность.

7. Возможные последствия реализации угрозы - несанкционированный доступ к информации, обрабатываемой на СВТ, нарушение режимов функционирования ОС.

Угроза среды-3

1. Аннотация угрозы - нарушение целостности данных (в том числе параметров настройки средств защиты информации) ОС.

2. Источники угрозы - внутренний нарушитель, внешний нарушитель.

3. Способ реализации угрозы - доступ к контейнерам (файлам), в которых хранятся конфигурационные данные функций безопасности ОС до ее загрузки.

4. Используемые уязвимости - недостатки контроля физического доступа к СВТ, на которых функционирует ОС.

5. Вид информационных ресурсов, потенциально подверженных угрозе - данные функций безопасности ОС.

6. Нарушаемые свойства безопасности информационных ресурсов - целостность.

7. Возможные последствия реализации угрозы - нарушение режимов функционирования ОС.

Угроза среды-4

1. Аннотация угрозы - несанкционированный доступ нарушителя к аутентификационной информации пользователей ОС.

2. Источники угрозы - внутренний нарушитель, внешний нарушитель.

3. Способ реализации угрозы - доступ к контейнерам (файлам), в которых хранится аутентификационная информация (или ее образы) пользователей ОС до загрузки ОС.

4. Используемые уязвимости - недостатки контроля физического доступа к СВТ, на которых функционирует ОС.

5. Вид информационных ресурсов, потенциально подверженных угрозе - аутентификационная информация (пароли) пользователей ОС.

6. Нарушаемые свойства безопасности информационных ресурсов - конфиденциальность.

7. Возможные последствия реализации угрозы - несанкционированный доступ в ОС.

Угроза среды-5

1. Аннотация угрозы - несанкционированное внесение нарушителем изменений в журналы регистрации событий безопасности ОС за счет доступа к файлам журналов регистрации событий безопасности ОС в среде функционирования ОС с использованием специальных программных средств, предоставляющих возможность обрабатывать файлы журналов регистрации событий безопасности ОС.

2. Источники угрозы - внутренний нарушитель.

3. Способ реализации угрозы - осуществление несанкционированного доступа к журналам регистрации событий безопасности ОС, за счет доступа к файлам журналов регистрации событий безопасности ОС до загрузки ОС.

4. Используемые уязвимости - недостатки контроля физического доступа к СВТ, на которых функционирует ОС.

5. Вид информационных ресурсов, потенциально подверженных угрозе - информация, содержащаяся в журналах регистрации событий безопасности ОС.

6. Нарушаемые свойства безопасности информационных ресурсов - целостность.

7. Возможные последствия реализации угрозы - нарушение подотчетности пользователей ОС за свои действия; необнаружение администратором фактов нарушения безопасности информации.

Угроза среды-6

1. Аннотация угрозы - несанкционированное копирование информации из памяти СВТ на съемные машинные носители информации (или в другое место вне ИС) пользователем ОС.

2. Источники угрозы - внутренний нарушитель.

3. Способ реализации угрозы - копирование объектов файловой системы с использованием предоставленных субъекту доступа прав в момент обработки защищаемой информации на съемный машинный носитель для отчуждения из ИС и дальнейшего неправомерного использования.

4. Используемые уязвимости - недостатки контроля за действиями пользователей ОС; недостатки организационных мер защиты информации в ИС, дающие возможность нарушителям неконтролируемого вноса в контролируемую зону неразрешенных съемных машинных носителей информации и выноса любых съемных машинных носителей информации; недостатки механизмов аудита событий копирования информации на съемные машинные носители информации.

5. Вид информационных ресурсов, потенциально подверженных угрозе - информация, обрабатываемая на СВТ.

6. Нарушаемые свойства безопасности информационных ресурсов - конфиденциальность.

7. Возможные последствия реализации угрозы - неправомерное использование защищаемой информации, в том числе ознакомление с ней неограниченного круга неуполномоченных лиц.

Угроза среды-7

1. Аннотация угрозы - снижение производительности ОС из-за внедрения в нее избыточного программного обеспечения и его компонентов.

2. Источники угрозы - внутренний нарушитель.

3. Способ реализации угрозы - внедрение в ОС избыточного программного обеспечения и системных компонентов.

4. Используемые уязвимости - недостатки контроля установки программного обеспечения.

5. Вид информационных ресурсов, потенциально подверженных угрозе - программное обеспечение, информационная система, ключевая система информационной инфраструктуры.

6. Нарушаемое свойство безопасности активов - доступность.

7. Возможные последствия реализации угрозы - нарушение штатных режимов функционирования системного и прикладного программного обеспечения ОС в ИС.

ОО должен выполнять приведенные ниже правила политики безопасности.

Политика безопасности-1

Должны осуществляться идентификация и аутентификация пользователей ОС до выполнения любых действий по доступу в информационную систему или по управлению ОС.

Политика безопасности-2

Должна осуществляться идентификация субъектов доступа по физическим устройствам.

Политика безопасности-3

В ОО для управления доступом субъектов доступа (пользователей ОС и процессов, запускаемых от имени пользователей) к объектам доступа в ОС (объектам файловой системы, устройствам и (или) иным объектам доступа) должно быть реализовано дискреционное и (или) ролевое управление доступом.

Замечания по применению: при изложении данной политики безопасности в задании по безопасности допускаются следующие сочетания реализации методов управления доступом:

дискреционное и ролевое управление доступом;

дискреционное управление доступом;

ролевое управление доступом.

Если ОО реализует мандатное управление доступом, в ЗБ следует включить соответствующие компоненты ФТБ, уточнить соответствующую цель безопасности.

Политика безопасности-4

Должна осуществляться возможность задания правил управления доступом, разрешающих или запрещающих доступ субъектов доступа к объектам доступа (объектам файловой системы, устройствам и (или) иным объектам доступа), а также определяющих разрешенные типы доступа (операции: создание объекта файловой системы, модификация объекта файловой системы, удаление объекта файловой системы, добавление данных в объект файловой системы, удаление данных из объекта файловой системы, модификация данных в объекте файловой системы, чтение информации из объекта файловой системы, запуск исполняемых объектов файловой системы, использование устройства) с использованием атрибутов безопасности объектов доступа и субъектов доступа на основе реализованных в ОС методов управления доступом (дискреционный, ролевой).

Политика безопасности-5

Должны обеспечиваться возможности генерирования надежных меток времени.

Политика безопасности-6

Должны обеспечиваться возможности по управлению работой ОС и параметрами ОС со стороны администраторов.

Политика безопасности-7

Должна быть обеспечена регистрация возможных событий безопасности. Механизмы регистрации должны предоставлять администратору возможность ознакомления с информацией о произошедших событиях.

Политика безопасности-8

Должны обеспечиваться автоматический запуск прикладного программного обеспечения при старте СВТ, а также ограничение доступа пользователя ОС к интерактивным интерфейсам операционной системы.

Политика безопасности-9

Должны обеспечиваться контроль и проверка правомочности обращений субъектов доступа к объектам доступа.

Политика безопасности-10

Должна обеспечиваться защита данных аудита от несанкционированного раскрытия при их передаче к другому доверенному продукту ИТ.

Предположение, связанное с физическими аспектами среды функционирования

Предположение-1

Должна быть обеспечена невозможность осуществления действий, направленных на нарушение физической целостности СВТ, на котором функционирует ОС.

Предположения по отношению к аспектам связности среды функционирования

Предположение-2

Должны быть обеспечены условия технической совместимости ОС с СВТ (возможности функционирования в соответствии с установленными ФТБ) для реализации своих функциональных возможностей.

Предположение-3

Должна быть обеспечена невозможность несанкционированного внесения изменений в логику функционирования ОС через механизм обновления программного обеспечения ОС.

Предположение-4

ОС должна функционировать в соответствии с эксплуатационной документацией.

Предположение-5

Должен быть обеспечен контроль целостности внешних модулей уровня ядра получаемых от заявителя (разработчика, производителя).

Предположение-6

Должна обеспечиваться возможность генерации (определения) аутентификационной информации с метрикой качества, обеспечивающей стойкость по отношению к нарушителю с высоким потенциалом нападения.

Предположение-7

Должна обеспечиваться доверенная загрузка ОС, а также СВТ, на котором она функционирует.

Предположение-8

Должно быть обеспечено ограничение на установку ПО и его компонентов из недоверенных источников или не задействованных в технологическом процессе обработки информации источников.

Предположение, связанное с персоналом среды функционирования

Предположение-9

Лица, осуществляющие взаимодействие с СВТ, на которых эксплуатируется ОС, должны обеспечивать установку, настройку и эксплуатацию ОС в соответствии с правилами по безопасной настройке и руководством пользователя (администратора).

В данном разделе дается описание целей безопасности для ОО.

Цель безопасности-1

Идентификация и аутентификация пользователей

ОО должен обеспечивать:

возможность идентификации и аутентификации пользователей ОС до предоставления доступа в ОС;

аутентификацию пользователей ОС для исключения возможности восстановления (подбора) аутентификационной информации пользователей ОС нарушителем и неправомерного доступа в ОС;

идентификацию субъектов доступа по физическим устройствам.

Цель безопасности-2

Управление доступом

ОО должен обеспечивать:

дискреционное и (или) ролевое управление доступом субъектов доступа (пользователей ОС и процессов, запускаемых от имени пользователей ОС) к объектам доступа в ОС (объектам файловой системы, записям реестра, устройствам и (или) иным объектам доступа) для недопущения несанкционированного доступа к объектам доступа со стороны субъектов доступа, для которых запрашиваемый доступ не разрешен;

возможность задания правил управления доступом, разрешающих или запрещающих доступ субъектов доступа к объектам доступа, а также определяющих разрешенные типы доступа с использованием атрибутов безопасности объектов доступа и субъектов доступа на основе реализованных в ОС методов управления доступом (дискреционный, ролевой);

контроль и проверку правомочности обращений субъектов доступа к объектам доступа для исключения возможности несанкционированного внесения изменений в журналы регистрации событий безопасности ОС.

Замечания по применению: при изложении данной цели безопасности в задании по безопасности допускаются следующие сочетания реализации методов управления доступом:

дискреционное и ролевое управление доступом;

дискреционное управление доступом;

ролевое управление доступом.

Если ОО реализует мандатное управление доступом, в ЗБ следует включить соответствующие компоненты ФТБ, уточнить соответствующую политику безопасности.

Цель безопасности-3

Генерирование временных меток

ОО должен обеспечивать генерирование надежных меток времени.

Цель безопасности-4

Управление ОС

ОО должен обеспечивать возможность управления работой ОС и параметрами ОС со стороны администраторов.

Цель безопасности-5

Регистрация событий безопасности ОС

ОО должен обеспечивать:

регистрацию возможных нарушений безопасности в ОС;

подотчетность пользователей ОС за свои действия;

защиту данных аудита от несанкционированного раскрытия при их передаче к другому доверенному продукту ИТ.

Цель безопасности-6

Контроль запуска компонентов программного обеспечения

ОО должен обеспечивать автоматический запуск прикладного программного обеспечения при старте СВТ, а также ограничение доступа пользователя ОС к интерактивным интерфейсам ОС.

В данном разделе дается описание целей безопасности для среды функционирования ОО.

Цель для среды функционирования ОО-1

Совместимость

ОО должен быть совместим с СВТ (ИС), в котором (которой) он функционирует.

Цель для среды функционирования ОО-2

Эксплуатация ОО

Должны быть обеспечены установка, конфигурирование и управление ОО в соответствии с эксплуатационной документацией.

Цель для среды функционирования ОО-3

Физическая защита ОО

Должна быть обеспечена защита от осуществления действий, направленных на нарушение физической целостности СВТ, на котором функционирует ОО.

Цель для среды функционирования ОО-4

Доверенная загрузка ОС

Должна быть обеспечена доверенная загрузка ОС (блокирование попыток несанкционированной загрузки, контроль доступа субъектов доступа к процессу загрузки, контроль целостности компонентов загружаемой операционной среды).

Цель для среды функционирования ОО-5

Обеспечение условий безопасного функционирования

Должны быть обеспечены необходимые ресурсы для выполнения функциональных возможностей безопасности ОС, хранения резервных копий, создаваемых ОС, а также защищенное хранение данных ОС и защищаемой информации.

Цель для среды функционирования ОО-6

Контроль установки программного обеспечения

Должно быть обеспечено ограничение на установку ПО и его компонентов, не задействованных в технологическом процессе обработки информации.

Цель для среды функционирования ОО-7

Доверенный маршрут

Должен обеспечиваться доверенный маршрут между ОС и пользователями ОС (администраторами, пользователями).

Цель для среды функционирования ОО-8

Доверенный канал

Должен обеспечиваться доверенный канал передачи данных между ОС и СВТ, на которых происходит обработка информации, а также с которых происходит их администрирование.

Цель для среды функционирования ОО-9

Защита от отключения

Должна быть обеспечена невозможность отключения (обхода) компонентов ОС.

Цель для среды функционирования ОО-10

Ограничение несанкционированного копирования информации, содержащейся в ОС

Должны быть реализованы меры, препятствующие несанкционированному копированию информации, содержащейся в ОС, на съемные машинные носители информации (или за пределы ИС).

В том числе должен осуществляться контроль вноса (выноса) в (из) контролируемую зону (контролируемой зоны) съемных машинных носителей информации.

Цель для среды функционирования ОО-11

Проверка устанавливаемых внешних модулей уровня ядра

Должна быть осуществлена проверка целостности внешних модулей уровня ядра, получаемых от заявителя (разработчика, производителя), перед их установкой в ОС.

Цель для среды функционирования ОО-12

Приоритизация процессов

Должно быть обеспечено выделение вычислительных ресурсов для процессов и (или) формируемых ими потоков данных в соответствии с их приоритетами.

Цель для среды функционирования ОО-13

Требования к персоналу-1

Лица, ответственные за эксплуатацию ОО, должны обеспечивать функционирование ОО, в точности руководствуясь эксплуатационной документацией.

Цель для среды функционирования ОО-14

Требования к персоналу-2

Лица, ответственные за эксплуатацию ОО, должны обеспечить, чтобы аутентификационная информация для каждой учетной записи пользователя ОС содержались в тайне и были недоступны лицам, не уполномоченным использовать данную учетную запись.

Цель для среды функционирования ОО-15

Генерация аутентификационной информации

Должна обеспечиваться возможность генерации (определения) аутентификационной информации с метрикой качества, обеспечивающей стойкость по отношению к нарушителю с высоким потенциалом нападения.

Цель для среды функционирования ОО-16

Обеспечение взаимодействия с прикладным программным обеспечением

Должно обеспечиваться взаимодействие ОС с прикладным ПО, обеспечивающее предоставление пользователю интерактивного интерфейса прикладного ПО для решения одной или нескольких заранее определенных задач в конкретной предметной области (без возможности непосредственного доступа к функциям ОС).

В таблице 5.1 приведено отображение целей безопасности для ОО на угрозы и политику безопасности.

Таблица 5.1 - Отображение целей безопасности для ОО на угрозы и политику безопасности

Цель безопасности-1

Достижение этой цели безопасности необходимо для противостояния угрозам Угроза-1, Угроза-3, Угроза-4 и реализации политик безопасности Политика безопасности-1, Политика безопасности-2, так как обеспечивает использование механизмов идентификации и аутентификации пользователей ОС (идентификация субъектов доступа по физическим устройствам).

Цель безопасности-2

Достижение этой цели безопасности необходимо для противостояния угрозам Угроза-1, Угроза-2, Угроза-4, Угроза-5 и реализации политик безопасности Политика безопасности-3, Политика безопасности-4, Политика безопасности-9, так как обеспечивает: возможность реализации дискреционного и (или) ролевого управления доступом; возможность задания правил управления доступом, разрешающих или запрещающих доступ субъектов доступа к объектам доступа; контроль и проверку правомочности обращений субъектов доступа к объектам доступа.

Цель безопасности-3

Достижение этой цели безопасности необходимо для реализации политики безопасности Политика безопасности-5, так как обеспечивает возможности генерирования надежных меток времени.

Цель безопасности-4

Достижение этой цели безопасности необходимо для реализации политики безопасности Политика безопасности-6, так как обеспечивает возможность управления работой ОС и параметрами ОС со стороны администраторов.

Цель безопасности-5

Достижение этой цели безопасности необходимо для противостояния угрозе Угроза-5 и реализации политик безопасности Политика безопасности-7, Политика безопасности-10, так как обеспечивает возможность регистрации возможных нарушений безопасности и защиты данных аудита от несанкционированного раскрытия при их передаче к другому доверенному продукту ИТ.

Цель безопасности-6

Достижение этой цели безопасности необходимо для реализации политики безопасности Политика безопасности-8, так как обеспечивает ограничение доступа пользователя ОС к интерактивным интерфейсам ОС.

В данном разделе ПЗ представлены расширенные компоненты для ОС.

Для ОО определены компоненты функциональных требований безопасности, сформулированные в явном виде в стиле компонентов из национального стандарта Российской Федерации ГОСТ Р ИСО/МЭК 154082-2013 "Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные компоненты безопасности" (расширенные (специальные) компоненты).

Компоненты функциональных требований безопасности, сформулированные в явном виде, представлены в приложении А к настоящему ПЗ.

Для ОО определены расширенные (специальные) компоненты требований доверия к безопасности: ADV_IMP_EXT.3 "Реализация ОО", ALC_FPU_EXT.1 "Процедуры обновления программного обеспечения операционной системы", ALC_LCD_EXT.3 "Определенные разработчиком сроки поддержки", AMA_SIA_EXT.3 "Анализ влияния обновлений на безопасность операционной системы", AMA_SIA_EXT.6 "Анализ влияния внешних модулей уровня ядра на безопасность операционной системы" и AVA_CCA_EXT.1 "Анализ скрытых каналов", сформулированные в явном виде в стиле компонентов из национального стандарта Российской Федерации ГОСТ Р ИСО/МЭК 15408-3-2013 "Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 3. Компоненты доверия к безопасности".

Компоненты требований доверия к безопасности, сформулированные в явном виде, представлены в приложении Б к настоящему ПЗ.

В данном разделе ПЗ представлены функциональные требования и требования доверия, которым должен удовлетворять ОО. Функциональные требования, представленные в настоящем ПЗ, основаны на функциональных компонентах из национального стандарта Российской Федерации ГОСТ Р ИСО/МЭК 15408-2-2013 "Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные компоненты безопасности". Кроме того, в настоящий ПЗ включен ряд требований безопасности, сформулированных в явном виде (расширение национального стандарта Российской Федерации ГОСТ Р ИСО/МЭК 15408-2-2013 "Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные компоненты безопасности"). Требования доверия основаны на компонентах требований доверия из национального стандарта Российской Федерации ГОСТ Р ИСО/МЭК 15408-3-2013 "Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 3. Компоненты доверия к безопасности" и представлены в настоящем ПЗ в виде оценочного уровня доверия ОУД3, усиленного компонентами ADV_FSP.4 "Полная функциональная спецификация", ADV_IMP.2 "Полное отображение представления реализации функциональных возможностей безопасности", ADV_TDS.3 "Базовый модульный проект", ALC_CMC.4 "Поддержка генерации, процедуры приемки и автоматизация", ALC_FLR.1 "Базовое устранение недостатков", ALC_TAT.1 "Полностью определенные инструментальные средства разработки", AVA_VAN.5 "Усиленный методический анализ", расширенного компонентами ADV_IMP_EXT.3 "Реализация ОО", ALC_FPU_EXT.1 "Процедуры обновления программного обеспечения операционной системы", ALC_LCD_EXT.3 "Определенные разработчиком сроки поддержки", AMA_SIA_EXT.3 "Анализ влияния обновлений на безопасность операционной системы", AMA_SIA_EXT.6 "Анализ влияния внешних модулей уровня ядра на безопасность операционной системы" и AVA_CCA_EXT.1 "Анализ скрытых каналов". Требования безопасности ADV_IMP_EXT.3 "Реализация ОО", ALC_FPU_EXT.1 "Процедуры обновления программного обеспечения операционной системы", ALC_LCD_EXT.3 "Определенные разработчиком сроки поддержки", AMA_SIA_EXT.3 "Анализ влияния обновлений на безопасность операционной системы", AMA_SIA_EXT.6 "Анализ влияния внешних модулей уровня ядра на безопасность операционной системы" и AVA_CCA_EXT.1 "Анализ скрытых каналов" сформулированы в явном виде (расширение национального стандарта Российской Федерации ГОСТ Р ИСО/МЭК 15408-3-2013 "Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 3. Компоненты доверия к безопасности").

Функциональные компоненты из национального стандарта Российской Федерации ГОСТ Р ИСО/МЭК 15408-2-2013 "Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные компоненты безопасности", на которых основаны функциональные требования безопасности ОО, а также компоненты сформулированных в явном виде расширенных (специальных) требований приведены в таблице 7.1.

Таблица 7.2 - События, подлежащие аудиту

Таблица 7.3

Требования доверия к безопасности ОО взяты из национального стандарта Российской Федерации ГОСТ Р ИСО/МЭК 15408-3-2013 "Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 3. Компоненты доверия к безопасности" и образуют ОУД3, усиленный компонентами ADV_FSP.4 "Полная функциональная спецификация", ADV_IMP.2 "Полное отображение представления реализации функциональных возможностей безопасности", ADV_TDS.3 "Базовый модульный проект", ALC_CMC.4 "Поддержка генерации, процедуры приемки и автоматизация", ALC_FLR.1 "Базовое устранение недостатков", ALC_TAT.1 "Полностью определенные инструментальные средства разработки", AVA_VAN.5 "Усиленный методический анализ", расширенный компонентами ADV_IMP_EXT.3 "Реализация ОО", ALC_FPU_EXT.1 "Процедуры обновления программного обеспечения операционной системы", ALC_LCD_EXT.3 "Определенные разработчиком сроки поддержки", AMA_SIA_EXT.3 "Анализ влияния обновлений на безопасность операционной системы", AMA_SIA_EXT.6 "Анализ влияния внешних модулей уровня ядра на безопасность операционной системы" и AVA_CCA_EXT.1 "Анализ скрытых каналов" (см. таблицу 7.4).

Таблица 7.4 - Требования доверия к безопасности ОО

В таблице 7.5 представлено отображение функциональных требований безопасности на цели безопасности для ОО.

Таблица 7.5 - Отображение функциональных требований безопасности на цели безопасности

Включение указанных в таблице 7.5 функциональных требований безопасности ОО в ПЗ определяется Требованиями безопасности информации к операционным системам, утвержденными приказом ФСТЭК России от 19 августа 2016 г. N 119.

FAU_GEN.1 Генерация данных аудита

Выполнение требований данного компонента обеспечивает возможность регистрации возникновения всех событий, связанных с выполнением функций безопасности ОС, а также возможность полнотекстовой записи привилегированных команд (команд, управляющих системными функциями). Рассматриваемый компонент сопоставлен с целью Цель безопасности-5 и способствует ее достижению.

FAU_SAR.1 Просмотр аудита

Выполнение требований данного компонента обеспечивает возможность предоставления администратору ОС всей информации аудита в понятном для него виде. Рассматриваемый компонент сопоставлен с целью Цель безопасности-5 и способствует ее достижению.

FAU_SEL.1 Избирательный аудит

Выполнение требований данного компонента обеспечивает возможность выбора совокупности событий, подвергающихся аудиту, из совокупности событий, потенциально подвергаемых аудиту. Рассматриваемый компонент сопоставлен с целью Цель безопасности-5 и способствует ее достижению.

FAU_STG.1 Защищенное хранение журнала аудита

Выполнение требований данного компонента обеспечивает возможность защиты хранимых записей аудита от несанкционированного удаления и предотвращение модификации записей аудита. Рассматриваемый компонент сопоставлен с целью Цель безопасности-5 и способствует ее достижению.

FAU_STG.3 Действия в случае возможной потери данных аудита

Выполнение требований данного компонента обеспечивает возможность защиты журнала регистрации событий безопасности ОС от переполнения. Рассматриваемый компонент сопоставлен с целью Цель безопасности-5 и способствует ее достижению.

FAU_STG.4 Предотвращение потери данных аудита

Выполнение требований данного компонента обеспечивает возможность предотвращения потери данных аудита при переполнении журнала регистрации событий безопасности ОС. Рассматриваемый компонент сопоставлен с целью Цель безопасности-5 и способствует ее достижению.

FDP_ACC.1(1) Ограниченное управление доступом

Выполнение требований данного компонента обеспечивает возможность задания политики дискреционного метода управления доступом для определенного подмножества (списка, числа) операций, выполняемых субъектами доступа по отношению к объектам доступа. Рассматриваемый компонент сопоставлен с целью Цель безопасности-2 и способствует ее достижению.

FDP_ACC.1(2) Ограниченное управление доступом

Выполнение требований данного компонента обеспечивает возможность задания политики ролевого метода управления доступом для определенного подмножества (списка, числа) операций, выполняемых субъектами доступа, согласно назначенной роли, по отношению к объектам доступа. Рассматриваемый компонент сопоставлен с целью Цель безопасности-2 и способствует ее достижению.

FDP_ACF.1(1) Управление доступом, основанное на атрибутах безопасности (дискреционное управление доступом к объектам ОС)

Выполнение требований данного компонента обеспечивает возможность осуществления управления доступом к объектам доступа ОС на основе списков управления доступом или матрицы управления доступом. Рассматриваемый компонент сопоставлен с целью Цель безопасности-2 и способствует ее достижению.

FDP_ACF.1(2) Управление доступом, основанное на атрибутах безопасности (ролевое управление доступом к объектам ОС)

Выполнение требований данного компонента обеспечивает возможность осуществления в ОС политики ролевого управления доступом для определенного подмножества (списка, числа) операций, выполняемых субъектами доступа по отношению к объектам доступа. Рассматриваемый компонент сопоставлен с целью Цель безопасности-2 и способствует ее достижению.

FDP_RSP_EXT.3 Ограничение доступа пользователя к интерактивным интерфейсам операционной системы

Выполнение требований данного компонента обеспечивает возможность исключения непосредственного взаимодействия пользователей прикладного программного обеспечения с ОС. Рассматриваемый компонент сопоставлен с целью Цель безопасности-6 и способствует ее достижению.

FIA_UAU.2 Аутентификация до любых действий пользователя

Выполнение требований данного компонента обеспечивает аутентификацию субъекта доступа до выполнения любых действий по доступу в ИС или привилегированного субъекта доступа до выполнения действий по управлению ОС. Рассматриваемый компонент сопоставлен с целью Цель безопасности-1 и способствует ее достижению.

FIA_UID.2 Идентификация до любых действий пользователя

Выполнение требований данного компонента обеспечивает идентификацию субъекта доступа до выполнения любых действий по доступу в ИС или привилегированного субъекта доступа до выполнения действий по управлению ОС. Рассматриваемый компонент сопоставлен с целью Цель безопасности-1 и способствует ее достижению.

FIA_IFD_EXT.1 Идентификация субъектов доступа по физическим устройствам

Выполнение требований данного компонента обеспечивает идентификацию субъектов доступа по физическим устройствам. Рассматриваемый компонент сопоставлен с целью Цель безопасности-1 и способствует ее достижению.

FMT_SMF.1 Спецификация функций управления

Выполнение требований данного компонента обеспечивает наличие у ОС, как минимум, функций управления режимом выполнения функций безопасности и функций управления данными ФБО. Рассматриваемый компонент сопоставлен с целью Цель безопасности-4 и способствует ее достижению.

FMT_MOF.1 Управление режимом выполнения функций безопасности

Выполнение требований данного компонента обеспечивает разрешение ФБО на модификацию режима выполнения функций ОС администратору. Рассматриваемый компонент сопоставлен с целями Цель безопасности-2, Цель безопасности-4 и способствует их достижению.

FMT_MSA.1(1) Управление атрибутами безопасности

Выполнение требований данного компонента обеспечивает возможность модифицировать атрибуты безопасности в правилах политики дискреционного управления доступом только администратору. Рассматриваемый компонент сопоставлен с целями Цель безопасности-2, Цель безопасности-4 и способствует их достижению.

FMT_MSA.1(2) Управление атрибутами безопасности

Выполнение требований данного компонента обеспечивает возможность модифицировать атрибуты безопасности в правилах политики ролевого управления доступом только администратору. Рассматриваемый компонент сопоставлен с целями Цель безопасности-2, Цель безопасности-4 и способствует их достижению.

FMT_MTD.1 Управление данными функций безопасности

Выполнение требований данного компонента предоставляет возможность запроса и добавления данных компонентов ОС и данных аудита, запроса и модификации всех прочих данных ОС, а также внесения новых правил контроля, только уполномоченным идентифицированным ролям. Рассматриваемый компонент сопоставлен с целями Цель безопасности-1, Цель безопасности-4 и способствует их достижению.

FMT_SMR.1 Роли безопасности

Выполнение требований данного компонента обеспечивает поддержание ролей безопасности и их ассоциации. Рассматриваемый компонент сопоставлен с целью Цель безопасности-4 и способствует ее достижению.

FPT_ITC.1 Конфиденциальность экспортируемых данных ФБО при передаче

Выполнение требований данного компонента обеспечивает защиту данных аудита от несанкционированного раскрытия при их передаче. Рассматриваемый компонент сопоставлен с целью Цель безопасности-5 и способствует ее достижению.

FPT_MTR_EXT.1 Монитор обращений

Выполнение требований данного компонента обеспечивает постоянный контроль обращений субъектов доступа к объектам доступа, проверку правомочности обращений в соответствии с установленными политиками и правилами управления доступом. Рассматриваемый компонент сопоставлен с целью Цель безопасности-2 и способствует ее достижению.

FPT_APW_EXT.1 Защита хранимой аутентификационной информации

Выполнение требований данного компонента обеспечивает возможность предотвращения хранения и чтения аутентификационной информации в открытом виде. Рассматриваемый компонент сопоставлен с целью Цель безопасности-1 и способствует ее достижению.

FPT_STM.1 Надежные метки времени

Выполнение требований данного компонента обеспечивает возможность предоставления надежных меток времени при проведении аудита, а также для ограничения срока действий атрибутов безопасности. Рассматриваемый компонент сопоставлен с целью Цель безопасности-3 и способствует ее достижению.

В таблице 7.6 представлены результаты удовлетворения зависимостей функциональных требований безопасности. Все зависимости компонентов требований удовлетворены в настоящем профиле защиты либо включением компонентов, определенных в национальном стандарте Российской Федерации ГОСТ Р ИСО/МЭК 15408-2-2013 "Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные компоненты безопасности" под рубрикой "Зависимости", либо включением компонентов, иерархичных по отношению к компонентам, определенным в национальном стандарте Российской Федерации ГОСТ Р ИСО/МЭК 15408-2-2013 "Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные компоненты безопасности" под рубрикой "Зависимости".

Столбец 2 таблицы 7.6 является справочным и содержит компоненты, определенные в национальном стандарте Российской Федерации ГОСТ Р ИСО/МЭК 15408-2-2013 "Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные компоненты безопасности" в описании компонентов требований, приведенных в столбце 1 таблицы 7.6, под рубрикой "Зависимости".

Столбец 3 таблицы 7.6 показывает, какие компоненты требований были включены в настоящий ПЗ для удовлетворения зависимостей компонентов, приведенных в первом столбце таблицы 7.6. Компоненты требований в столбце 3 таблицы 7.6 либо совпадают с компонентами в столбце 2 таблицы 7.6, либо иерархичны по отношению к ним.

Таблица 7.6 - Зависимости функциональных требований безопасности

Компонент FDP_ACF.1 "Управление доступом, основанное на атрибутах безопасности" имеет зависимость от компонентов FMT_MSA.3 "Инициализация статических атрибутов" и FMT_MSA.1 "Управление атрибутами безопасности".

Компонент FMT_MSA.1 "Управление атрибутами безопасности" включен в настоящий ПЗ. Компонент FMT_MSA.3 "Инициализация статических атрибутов" не включен в настоящий ПЗ, чтобы не ограничивать реализацию присвоения ограничительных (разрешительных) и других типов значений для атрибутов безопасности. При разработке ЗБ в зависимости от реализации ФБО должен использоваться компонент FMT_MSA.3 "Инициализация статических атрибутов" или иной компонент функциональных требований безопасности (допустимо использовать компонент, сформулированный в явном виде).

Требования доверия настоящего ПЗ соответствуют ОУДЗ, усиленному компонентами ADV_FSP.4 "Полная функциональная спецификация", ADV_IMP.2 "Полное отображение представления реализации ФБО", ADV_TDS.3 "Базовый модульный проект", ALC_CMC.4 "Поддержка генерации, процедуры приемки и автоматизация", ALC_FLR.1 "Базовое устранение недостатков", ALC_TAT.1 "Полностью определенные инструментальные средства разработки", AVA_VAN.5 "Усиленный методический анализ" и расширенному компонентами ADV_IMP_EXT.3 "Реализация ОО", ALC_FPU_EXT.1 "Процедуры обновления программного обеспечения операционной системы", ALC_LCD_EXT.3 "Определенные разработчиком сроки поддержки", AMA_SIA_EXT.3 "Анализ влияния обновлений на безопасность операционной системы", AMA_SIA_EXT.6 "Анализ влияния внешних модулей уровня ядра на безопасность операционной системы" и AVA_CCA_EXT.1 "Анализ скрытых каналов".

Включение указанных требований доверия к безопасности ОО в ПЗ определяется Требованиями безопасности информации к операционным системам, утвержденными приказом ФСТЭК России от 19 августа 2016 г. N 119.

Для ОО определены следующие компоненты функциональных требований безопасности, сформулированные в явном виде в стиле компонентов из национального стандарта Российской Федерации ГОСТ Р ИСО/МЭК 15408-2-2013 "Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные компоненты безопасности" (расширенные (специальные) компоненты).

А.1.1. Идентификация субъектов доступа по физическим устройствам (FIA_IFD_EXT)

Характеристика семейства

Семейство FIA_IFD_EXT "Идентификация субъектов доступа по физическим устройствам" определяет компоненты требований, направленные на обеспечение идентификации уполномоченных субъектов на основе предъявления ими соответствующих физических устройств.

Ранжирование компонентов

FIA_IFD_EXT.1 "Идентификация субъектов доступа по физическим устройствам" предназначен для задания требований по идентификации уполномоченных субъектов на основе предъявляемых ими физических устройств.

Управление: FIA_IFD_EXT.1

Действия по управлению не определены.

Аудит: FIA_IFD_EXT.1

Действия или события, подвергаемые аудиту, не определены.

FIA_IFD_EXT.1 Идентификация субъектов доступа по физическим устройствам

Иерархический для: нет подчиненных компонентов.

Зависимости: отсутствуют.

FIA_IFD_EXT.1.1 Функциональные возможности безопасности операционных систем должны требовать, чтобы каждый уполномоченный субъект был успешно идентифицирован путем предъявления физического устройства идентификации [назначение: типы физических устройств] до разрешения любого действия, выполняемого от имени этого субъекта доступа.

Характеристика семейства

Семейство FDP_RSP_EXT "Управление запуском компонентов программного обеспечения" определяет компоненты требований, связанные с контролем запуска компонентов программного обеспечения.

Ранжирование компонентов

FDP_RSP_EXT.3 "Ограничение доступа пользователя к интерактивным интерфейсам операционной системы" предназначен для задания требований по ограничению доступа пользователя к интерактивным интерфейсам операционной системы.

Управление: FDP_RSP_EXT.3

Определение автоматически запускаемого программного обеспечения.

Аудит: FDP_RSP_EXT.3

Действия или события, подвергаемые аудиту, не определены.

FDP_RSP_EXT.3 Ограничение доступа пользователя к интерактивным интерфейсам операционной системы

Иерархический для: нет подчиненных компонентов.

Зависимости: отсутствуют.

FDP_RSP_EXT.3.1

Функциональные возможности безопасности операционной системы должны обеспечивать ограничение доступа пользователя к интерактивным интерфейсам операционной системы путем [выбор: автоматический запуск прикладного программного обеспечения при старте средства вычислительной техники, [назначение: способы исключения взаимодействия пользователей прикладного программного обеспечения с операционной системой], [назначение: иные действия по ограничению доступа пользователя к интерактивным интерфейсам операционной системы]].

Характеристика семейства

Семейство FPT_MTR_EXT "Монитор обращений" определяет компоненты требований, направленные на обеспечение операционной системой постоянного контроля обращений субъектов доступа к объектам доступа, проверки правомочности обращений в соответствии с установленными политиками и правилами управления доступом (задаются на основе компонентов из семейств FDP_ACC, FDP_ACF) и (или) управления информационными потоками (задаются на основе компонентов из семейств FDP_IFC, FDP_IFF).

Ранжирование компонентов

FPT_MTR_EXT.1 "Монитор обращений" предназначен для задания требований, связанных с обеспечением постоянного контроля обращений субъектов доступа к объектам доступа, проверки правомочности обращений в соответствии с установленными политиками и правилами управления доступом и (или) управления информационными потоками.

Управление: FPT_MTR_EXT.1

Действия по управлению не определены.

Аудит: FPT_MTR_EXT.1

Действия или события, подвергаемые аудиту, не определены.

FPT_MTR_EXT.1 Монитор обращений

Иерархический для: нет подчиненных компонентов.

Зависимости: отсутствуют.

FPT_MTR_EXT.1.1

Функциональные возможности безопасности операционной системы должны осуществлять постоянный контроль обращений [выбор: субъектов доступа к объектам доступа, субъектов доступа к информации, [назначение: иные типы обращений]].

FPT_MTR_EXT.1.2

Функциональные возможности безопасности операционной системы должны осуществлять проверку правомочности обращений к информации на основе установленных политик [выбор: политика управления доступом, политика управления информационными потоками].

FPT_MTR_EXT.1.3

Функциональные возможности безопасности операционной системы должны отклонять или удовлетворять обращения на доступ к информации по результатам проверки их правомочности.

Характеристика семейства

Семейство FPT_APW_EXT "Защита хранимой аутентификационной информации" определяет компоненты требований, направленные на защиту хранимой аутентификационной информации от раскрытия.

Ранжирование компонентов

FPT_APW_EXT.1 "Защита хранимой аутентификационной информации" предназначен для задания требований, связанных с тем, чтобы объект оценки не хранил аутентификационную информацию в открытом виде, а также чтобы объект оценки предотвращал чтение аутентификационной информации в открытом виде.

Управление: FPT_APW_EXT.1

Действия по управлению не определены.

Аудит: FPT_APW_EXT.1

Действия или события, подвергаемые аудиту, не определены.

FPT_APW_EXT.1 Защита хранимой аутентификационной информации

Иерархический для: нет подчиненных компонентов.

Зависимости: отсутствуют.

FPT_APW_EXT.1.1

Функциональные возможности безопасности должны предотвращать хранение аутентификационной информации в открытом виде.

FPT_APW_EXT.1.2

Функциональные возможности безопасности должны предотвращать чтение аутентификационной информации в открытом виде.

Для ОО определены следующие расширенные (специальные) компоненты требований доверия к безопасности: ADV_IMP_EXT.3 "Реализация ОО", ALC_FPU_EXT.1 "Процедуры обновления программного обеспечения операционной системы", AMA_SIA_EXT.3 "Анализ влияния обновлений на безопасность операционной системы", AMA_SIA_EXT.6 "Анализ влияния внешних модулей уровня ядра на безопасность операционной системы" и AVA_CCA_EXT.1 "Анализ скрытых каналов", сформулированные в явном виде в стиле компонентов из национального стандарта Российской Федерации ГОСТ Р ИСО/МЭК 15408-3-2013 "Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 3. Компоненты доверия к безопасности".

Цели

Цель проверки выполнения требования ADV_IMP_EXT.3 заключается в обеспечении прослеживания реализации ОО к представлению реализации ФБО.

Цели

Процедуры обновлений программного обеспечения должны быть разработаны, реализованы и подвергнуты контролю испытательной лабораторией в целях качественного проведения работ по устранению уязвимостей операционной системы, а также недопущения внесения уязвимостей в операционную систему при ее обновлении.

Цели

Назначение семейства AMA_SIA состоит в том, чтобы убедиться в поддержке доверия к ОО посредством анализа, проводимого разработчиком, по определению влияния на безопасность всех изменений, воздействующих на ОО после его сертификации.

Цели

Анализ скрытых каналов является частью анализа уязвимостей и проводится с целью сделать заключение о существовании и потенциальной пропускной способности каналов передачи сигналов (коммуникационных каналов), которые не предусмотрены для передачи защищаемой информации (данных пользователя и иной информации) или неразрешенных сигналов, но которые могут быть для этого использованы потенциальными нарушителями (в нарушение установленных политик управления информационными потоками, управления доступом или иных установленных ограничений).

В качестве скрытых каналов рассматриваются:

каналы передачи, предназначенные для управления, но которые (в нарушение политики управления доступом или политики управления потоками) потенциально могут использоваться для передачи данных пользователя;

каналы передачи, предназначенные для передачи данных пользователя, но которые потенциально могут использоваться для передачи сигналов нарушителя (в том числе с использованием модуляции передачи данных);

каналы передачи, которые (в нарушение установленных ограничений) потенциально могут использоваться для наблюдения одним пользователем за действиями другого пользователя;

иные типы скрытых каналов.