5 Группы требований ГОСТ Р 50739-95

5.1 Требования к разграничению доступа ГОСТ Р 50739-95

5.1.1 Требования к разграничению доступа определяют следующие показатели защищенности, которые должны поддерживаться СВТ:

  1. дискретизационный (ДИСКРЕЦИОННЫЙ) принцип контроля доступа;
  2. мандатный принцип контроля доступа;
  3. идентификация и аутентификация;
  4. очистка памяти;
  5. изоляция модулей;
  6. защита ввода и вывода на отчуждаемый физический носитель информации;
  7. сопоставление пользователя с устройством.

[из 5.1.1 ГОСТ Р 50739-95]

5.1.2 Для реализации дискретизационного (ДИСКРЕЦИОННОГО) принципа контроля доступа КСЗ должен контролировать доступ именованных субъектов (пользователей) к именованным объектам (например, файлам, программам, томам).

Для каждой пары (субъект - объект) в СВТ должно быть задано явное и недвусмысленное перечисление допустимых типов доступа (например, читать, писать), т.е. тех типов доступа, которые являются санкционированными для данного субъекта (индивида или группы индивидов) к данному ресурсу СВТ (объекту).

Контроль доступа должен быть применим к каждому объекту и каждому субъекту (индивиду или группе равноправных индивидов).

Механизм, реализующий дискретизационный (ДИКСРЕЦИОННЫЙ) принцип контроля доступа, должен предусматривать санкционированное изменение правил разграничения доступа (ПРД), в том числе санкционированное изменение списка пользователей СВТ и списка защищаемых объектов.

Право изменять ПРД должно быть предоставлено выделенным субъектам (например, администрации, службе безопасности).

Должны быть предусмотрены средства управления, ограничивающие распространение прав на доступ.

КСЗ должен содержать механизм, претворяющий в жизнь дискретизационные ПРД, как для явных действий пользователя, так и для скрытых. Под «явными» здесь подразумеваются действия, осуществляемые с использованием системных средств, а под «скрытыми» - иные действия, в том числе с использованием собственных программ работы с устройствами [из 5.1.2 ГОСТ Р 50739-95]

5.1.3 Для реализации мандатного принципа контроля доступа каждому субъекту и каждому объекту присваивают классификационные метки, отражающие их место в соответствующей иерархии. С помощью этих меток субъектам и объектам должны быть назначены классификационные уровни, являющиеся комбинациями уровня иерархической классификации и иерархических категорий. Данные метки должны служить основой мандатного принципа разграничения доступа.

КСЗ при вводе новых данных в систему должен запрашивать и получать от санкционированного пользователя классификационные метки этих данных. При санкционированном внесении в список пользователей нового субъекта ему должны быть назначены классификационные метки. Внешние классификационные метки (субъектов, объектов) должны точно соответствовать внутренним меткам (внутри КСЗ).

КСЗ должен реализовать мандатный принцип контроля доступа применительно ко всем объектам при явном и скрытом доступе со стороны любого из субъектов:

  1. субъект может читать объект, если уровень иерархической классификации в классификационном уровне субъекта не меньше, чем уровень иерархической классификации в классификационном уровне субъекта, и неиерархические категории в классификационном уровне субъекта включают в себя все неиерархические категории в классификационном уровне объекта:
  2. субъект осуществляет запись в объект, если классификационный уровень субъекта в иерархической классификации не больше, чем классификационный уровень объекта в иерархической классификации, и все неиерархические категории в классификационном уровне субъекта включены в неиерархические категории в классификационном уровне объекта.

Реализация мандатных ПРД должна предусматривать возможности сопровождения - изменения классификационных уровней субъектов и объектов специально выделенными субъектами.

В СВТ должен быть реализован диспетчер доступа, т.е. средство, осуществляющее перехват всех обращений субъектов к объектам, а также разграничение доступа в соответствии с заданным принципом разграничения доступа. При этом решение о санкционированного запроса на доступ следует принимать только при одновременном разрешении его дискретизационными (ДИСКРЕЦИОННЫМИ) и мандатными ПРД. Таким образом, должны быть контролируемыми не только единичный акт доступа, но и потоки информации [из 5.1.3 ГОСТ Р 50739-95]

5.1.4 КСЗ должен обеспечивать идентификацию субъектов при запросах на доступ, должен проверять подлинность идентификатора субъекта - осуществлять аутентификацию. КСЗ должен располагать необходимыми данными для идентификации и аутентификации и препятствовать доступу к защищаемым ресурсам неидентифицированных субъектов или субъектов, чья подлинность при аутентификации не подтвердилась.

КСЗ должен обладать способностью связывать полученный результат идентификации и аутентификации со всеми действиями, относящимися к контролю, предпринимаемыми в отношении данного субъекта [из 5.1.4 ГОСТ Р 50739-95]

5.1.6 При наличии в СВТ мультипрограммирования в КСЗ должен существовать программно-технический механизм, изолирующий программные модули одного процесса (одного субъекта) от программных модулей других процессов (других субъектов), т.е. в оперативной памяти ЭВМ программы разных пользователей должны быть защищены друг от друга [из 5.1.6 ГОСТ Р 50739-95]

5.1.7 КСЗ должен различать каждое устройство ввода-вывода и каждый канал связи как произвольно используемые или как идентифицированные («помеченные»). При вводе с «помеченного» устройства (выводе на «помеченное» устройство) КСЗ должен обеспечивать соответствие между меткой вводимого (выводимого) объекта (классификационным уровнем) и меткой устройства. Такое же соответствие должно быть при работе с «помеченным» каналом связи.

Изменения в назначении и разметке устройств и каналов должны осуществляться только под контролем КСЗ [из 5.1.7 ГОСТ Р 50739-95]

5.1.8 КСЗ должен обеспечивать вывод информации на запрошенное пользователем устройство как для произвольно используемых устройств, так и для идентифицированных (при совпадении маркировки).

КСЗ должен включать в себя механизм, с помощью которого санкционированный пользователь надежно сопоставляется с выделенным ему идентифицированным устройством [из 5.1.8 ГОСТ Р 50739-95]

5.2 Требования к учету ГОСТ Р 50739-95

5.2.2 КСЗ должен осуществлять регистрацию следующих событий:

  1. использование идентификационного и аутентификационного механизма;
  2. запрос на доступ к защищаемому ресурсу (например, открытие файла, запуск программы);
  3. создание и уничтожение объекта;
  4. действия, связанные с изменением ПРД.

Для каждого из этих событий должна быть зарегистрирована следующая информация:

  • дата и время;
  • субъект, осуществляющий регистрируемое действие;
  • тип события (если регистрируется запрос на доступ, то отмечают объект и тип доступа);
  • успешно ли осуществилось событие (обслужен запрос на доступ или нет).

КСЗ должен содержать средства выборочного ознакомления с регистрационной информацией.

Для высоких классов защищенности СВТ должна быть предусмотрена регистрация всех попыток доступа, всех действий оператора и выделенных субъектов (например, администраторов защиты) [из 5.2.2 ГОСТ Р 50739-95]

5.3 Требования к гарантиям ГОСТ Р 50739-95

5.3.1 Требования к гарантиям определяют следующие показатели защищенности, которые должны поддерживаться СВТ:

  1. гарантии проектирования;
  2. надежное восстановление;
  3. целостность КСЗ;
  4. контроль модификации;
  5. контроль дистрибуции;
  6. гарантии архитектуры;
  7. взаимодействие пользователя с КСЗ;
  8. тестирование.

[из 5.3.1 ГОСТ Р 50739-95]

5.3.2 На начальном этапе проектирования КСЗ должна быть построена модель защиты, задающая принцип разграничения доступа и механизм управления доступом. Эта модель должна содержать:

  1. непротиворечивые ПРД;
  2. непротиворечивые правила изменения ПРД;
  3. правила работы с устройствами ввода и вывода;
  4. формальную модель механизма управления доступом.

Спецификация части КСЗ, реализующего механизм управления доступом и его интерфейсов, должна быть высокоуровневой. Эта спецификация должна быть верифицирована на соответствие заданным принципам разграничения доступа.

Для высоких классов защищенности СВТ должно быть предусмотрено, чтобы высокоуровневые спецификации КСЗ были отображены последовательно в спецификации одного или нескольких нижних уровней вплоть до реализации высокоуровневой спецификации КСЗ на языке программирования высокого уровня. При этом методами верификации должно быть доказано соответствие каждого такого отображения спецификациям высокого (верхнего для данного отображения) уровня, а также соответствие объектного кода тексту КСЗ на языке высокого уровня. Этот процесс может включать в себя как одно отображение (высокоуровневая спецификация - язык программирования), так и последовательность отображений в промежуточные спецификации с понижением уровня вплоть до языка программирования. В результате верификации соответствия каждого уровня предыдущему должно достигаться соответствие реализации высокоуровневой спецификации КСЗ модели защиты [из 5.3.2 ГОСТ Р 50739-95]

5.3.4 В СВТ должны быть предусмотрены средства периодического контроля за целостностью программной и информационной части КСЗ.

Программы КСЗ должны выполняться в отдельной части оперативной памяти. Это требование должно быть подвергнуто верификации [из 5.3.4 ГОСТ Р 50739-95]

5.3.5 При проектировании, построении и сопровождении СВТ должно быть предусмотрено управление конфигурацией СВТ, т.е. управление изменениями в формальной модели, спецификациях (разных уровней), документации, исходном тексте, версии в объектном коде. Между документацией и текстами программ должно быть соответствие. Генерируемые версии должны быть сравнимыми. Оригиналы программ должны быть защищены [из 5.3.5 ГОСТ Р 50739-95]

5.3.6 При изготовлении копий с оригинала СВТ должен быть осуществлен контроль точности копирования КСЗ. Изготовленная копия должна гарантированно повторять образец [из 5.3.6 ГОСТ Р 50739-95]

5.3.8 КСЗ должен иметь модульную и четко определенную структуру, что сделает возможными его изучение, анализ, верификацию и модификацию. Должен быть обеспечен надежный интерфейс пользователя и КСЗ (например, вход в систему, запросы пользователей и КСЗ). Каждый интерфейс пользователя и КСЗ должен быть логически изолирован от других таких же интерфейсов [из 5.3.8 ГОСТ Р 50739-95]

5.3.9 В СВТ должны тестироваться:

  1. реализация ПРД (перехват явных и скрытых запросов на доступ, правильное распознавание санкционированных и несанкционированных запросов на доступ, фунционирование средств защиты механизма разграничения доступа, санкционированные изменения ПРД и др.);
  2. очистка оперативной и внешней памяти;
  3. работа механизма изоляции процессов в оперативной памяти;
  4. маркировка документов;
  5. защита ввода и вывода информации на отчуждаемый физический носитель и сопоставление пользователя с устройством;
  6. идентификация и аутентификация, а также средства их защиты;
  7. регистрация событий, средства защиты регистрационной информации и возможность санкционированного ознакомления с ней;
  8. работа механизма надежного восстановления;
  9. работа механизма, осуществляющего контроль за целостностью КСЗ;
  10. работа механизма, осуществляющего контроль дистрибуции.

[из 5.3.9 ГОСТ Р 50739-95]