Руководство администратора по средствам безопасности
Руководство администратора по средствам безопасности предназначено и для системного администратора, и для администратора безопасности. В Руководстве освещаются вопросы начального конфигурирования системы, перечисляются текущие обязанности администратора, анализируется соотношения между безопасностью и эффективностью функционирования.
Типичное оглавление Руководства администратора включает в себя следующие пункты:
·Каковы основные защитные механизмы?
·Как администрировать средства идентификации и аутентификации? В частности, как заводить новых пользователей и удалять старых?
·Как администрировать средства произвольного управления доступом? Как защищать системную информацию? Как обнаруживать слабые места существующей системы защиты?
·Как администрировать средства протоколирования и аудита? Как выбирать регистрируемые события? Как анализировать результаты?
·Как администрировать средства принудительного управления доступом? Какие уровни секретности и категории выбрать? Как назначать и менять метки безопасности?
·Как генерировать новую, переконфигурированную надежную вычислительную базу?
·Как безопасно запускать систему и восстанавливать ее после сбоев и отказов? Как организовать резервное копирование?
·Как разделить обязанности системного администратора и оператора?
Тестовая документация
Тестовая документация содержит описания тестов и их результаты. По идее она проста, но зачастую весьма пространна. Кроме того, тестовая документация должна содержать план тестирования и условия, налагаемые на тестовое окружение.
|
|
|
Описание архитектуры
Описание архитектуры в данном контексте должно включать в себя сведения о внутреннем устройстве надежной вычислительной базы. Вообще говоря, это описание должно быть формальным, допускающим автоматическое сопоставление с политикой безопасности на предмет соответствия требованиям последней. Объем описания архитектуры может оказаться сопоставимым с объемом исходных текстов программной реализации системы.
Основные понятия
В стандарте заложен следующий понятийный базис ИБ:
-безопасная система;
- доверенная система;
- политика безопасности;
- уровень гарантированности;
- подотчетность;
- доверенная вычислительная база;
- монитор обращений;
ядро безопасности;
- периметр безопасности.
Раскроем содержание этих понятий.
3.1. Безопасная система
Это система, которая обеспечивает управление доступом к информации, таким образом, что только авторизованные лица или процессы, действующие от их имени, получают право работы с информацией.
|
|
|
Абсолютно безопасных систем не существует, - это абстракция. Поэтому, есть смысл оценивать лишь степень доверия, которое можно оказать той или иной системе. Поэтому речьв данномстандарте идет не
о безопасных системах , а о доверенных системах , то есть системах, которым можно оказать определенную степень доверия.
«Оранжевая книга» поясняет понятие безопасной системы, которая «управляет, с помощью соответствующих средств, доступом к информации, так что только должным образом авторизованные лица или процессы, действующие от их имени, получают право читать, записывать, создавать и удалять информацию».
В рассматриваемых критериях и безопасность и доверие оцениваются исключительно с точки зрения управления доступом к данным, что является одним из средств обеспечения конфиденциальности и целостности информации.
При этом, вопросы доступности «Оранжевая книга» не затрагивает
3.2. Доверенная система
Под доверенной системой в стандарте понимается система, использующая аппаратные и программные средства для обеспечения одновременной обработки информации разной категории секретности группой пользователей без нарушения прав доступа.
|
|
|
Степень доверия оценивается по двум основным критериям :
- политика безопасности;
- уровень гарантированности.
3.3. Политика безопасности – набор законов, правил и норм поведения, оп ределяющих, как организация обрабатывает, защищает и распростра няет информацию.
Дата добавления: 2018-10-26; просмотров: 356; Мы поможем в написании вашей работы! |
Мы поможем в написании ваших работ!