1.3. Аннотация профиля защиты

Настоящий ПЗ определяет требования безопасности для систем обнаружения вторжений уровня сети (объекта оценки), предназначенных для использования в информационных системах, функционирующих на базе вычислительных сетей.

Объект оценки представляет собой элемент системы защиты информации информационных систем, функционирующих на базе вычислительных сетей, и применяется совместно с другими средствами защиты информации от несанкционированного доступа к информации в информационных системах.

Объект оценки должен обеспечивать обнаружение и (или) блокирование следующих основных угроз безопасности информации, относящихся к вторжениям (атакам):

преднамеренный несанкционированный доступ или специальные воздействия на информацию (носители информации) со стороны внешних нарушителей, действующих из информационно-телекоммуникационных сетей, в том числе сетей международного информационного обмена;

преднамеренный несанкционированный доступ или специальные воздействия на информацию (носители информации) со стороны внутренних нарушителей, обладающих правами и полномочиями на доступ к информации в информационной системе.

Основными компонентами системы обнаружения вторжений (СОВ) являются датчики (сенсоры) и анализаторы.

Датчики (сенсоры) собирают информацию о пакетах данных, передаваемых в пределах информационной системы (ИС) (сегмента ИС), в которой (котором) установлены эти датчики. Датчики СОВ уровня сети могут быть реализованы в виде программного обеспечения (ПО), устанавливаемого на стандартные программно-технические платформы, а также в виде программно-технических устройств, подключаемых к ИС (сегменту ИС). Анализаторы выполняют анализ собранной датчиками информации, генерируют отчеты по результатам анализа и управляют процессами реагирования на выявленные вторжения.

Решение об обнаружении вторжения СОВ принимают в соответствии с результатами анализа информации, собираемой датчиками СОВ, с применением базы решающих правил СОВ.

В системе обнаружения вторжений должны быть реализованы следующие функции безопасности системы обнаружения вторжений:

разграничение доступа к управлению системой обнаружения вторжений;

управление работой системы обнаружения вторжений;

управление параметрами системы обнаружения вторжений;

управление установкой обновлений (актуализации) базы решающих правил системы обнаружения вторжений;

анализ данных системы обнаружения вторжений;

аудит безопасности системы обнаружения вторжений;

сбор данных о событиях и активности в контролируемой информационной системе;

реагирование системы обнаружения вторжений.

В среде, в которой СОВ функционирует, должны быть реализованы следующие функции безопасности среды:

обеспечение доверенного маршрута;

обеспечение доверенного канала;

обеспечение условий безопасного функционирования;

управление атрибутами безопасности.

Функции безопасности системы обнаружения вторжений должны обладать составом функциональных возможностей, обеспечивающих реализацию этих функций.

В ПЗ изложены следующие виды требований безопасности, предъявляемые к СОВ:

функциональные требования безопасности;

требования доверия к безопасности.

Функциональные требования безопасности СОВ, изложенные в ПЗ, включают:

требования по осуществлению сбора данных СОВ;

требования к анализу данных СОВ;

требования к реагированию СОВ;

требования к средствам обновления базы решающих правил СОВ;

требования по защите СОВ;

требования по управлению режимами выполнения функций безопасности (работой СОВ);

требования по управлению данными функций безопасности (данными СОВ);

требования по управлению ролями субъектов;

требования к средствам администрирования СОВ;

требования к аудиту функционирования СОВ.

Функциональные требования безопасности для СОВ выражены на основе компонентов требований из ГОСТ Р ИСО/МЭК 15408-2, при этом часть требований сформулированы в явном виде в стиле компонентов из ГОСТ Р ИСО/МЭК 15408-2.

Состав функциональных требований безопасности (ФТБ), включенных в настоящий ПЗ, обеспечивает следующие функциональные возможности СОВ:

возможность сбора информации о сетевом трафике;

возможность выполнения анализа собранных данных СОВ о сетевом трафике в режиме, близком к реальному масштабу времени, и по результатам анализа фиксировать информацию о дате и времени, результате анализа, идентификаторе источника данных, протоколе, используемом для проведения вторжения;

возможность выполнения анализа собранных данных с целью обнаружения вторжений с использованием сигнатурного и эвристических методов;

возможность выполнения анализа собранных данных с целью обнаружения вторжений с использованием эвристических методов, основанных на методах выявления аномалий сетевого трафика на заданном уровне эвристического анализа;

возможность обнаружения вторжений на основе анализа служебной информации протоколов сетевого уровня базовой эталонной модели взаимосвязи открытых систем;

возможность фиксации факта обнаружения вторжений или нарушений безопасности в журналах аудита;

уведомление администратора СОВ об обнаруженных вторжениях по отношению к контролируемым узлам ИС и нарушениях безопасности с помощью отображения соответствующего сообщения на консоли управления;

возможность автоматизированного обновления базы решающих правил;

возможность тестирования (самотестирования) функций безопасности СОВ;

возможность со стороны уполномоченных администраторов (ролей) управлять режимом выполнения функций безопасности СОВ;

возможность со стороны уполномоченных администраторов (ролей) управлять данными СОВ;

поддержка определенных ролей для СОВ и их ассоциации с конкретными администраторами СОВ и пользователями ИС;

возможность администрирования СОВ;

возможность генерации записей аудита для событий, потенциально подвергаемых аудиту;

возможность ассоциации каждого события аудита с идентификатором субъекта, его инициировавшего;

возможность предоставлять возможность читать информацию из записей аудита;

ограничение доступа к чтению записей аудита;

поиск, сортировка, упорядочение данных аудита.

Требования доверия к безопасности СОВ, изложенные в ПЗ, охватывают следующие вопросы:

управление конфигурацией;

поставка и эксплуатация;

разработка;

руководства;

поддержка жизненного цикла;

тестирование;

оценка уязвимостей;

обновление базы решающих правил.

Требования доверия к безопасности СОВ сформированы на основе компонентов требований из ГОСТ Р ИСО/МЭК 15408-3; при этом часть требований сформулированы в явном виде в стиле компонентов из ГОСТ Р ИСО/МЭК 15408-3.

Требования доверия к безопасности СОВ образуют оценочный уровень доверия 3 (ОУД3), усиленный компонентами ADV_IMP.2 "Реализация ФБО", ADV_LLD.1 "Описательный проект нижнего уровня", ALC_FLR.1 "Базовое устранение недостатков", ALC_TAT.1 "Полностью определенные инструментальные средства разработки", AVA_VLA.3 "Умеренно стойкий" и расширенный компонентами ALC_UPI_EXT.1 "Процедуры обновления базы решающих правил" и AMA_SIA_EXT.3 "Экспертиза анализа влияния обновлений базы решающих правил на безопасность ОО".

В целях обеспечения условий для безопасного функционирования СОВ в настоящем ПЗ определены цели и требования для среды функционирования СОВ.