安全评估

《安全评估》由会员分享，可在线阅读，更多相关《安全评估（113页珍藏版）》请在金锄头文库上搜索。

1、安全评估安全评估程绍银 计算机安全引言怎样才能确保你的计算机系统是充分安全 的呢？ 你可以信赖你的软件提供商你可以信赖你的软件提供商 你可以自行测试系统，此时用户必须是一个 安全专家安全专家 你可以依靠独立机构的公正的安全评估 大多数的用户并不是安全专家因此某种大多数的用户并不是安全专家，因此某种 安全评估是信任一种安全产品的唯一选择 1980年以来安全评估方案取得长足发1980年以来，安全评估方案取得长足发 展；当前，共同标准(Common Criteria) 已成为国际标准ISO 15048计算机安全 2已成为国际标准ISO 15048本章内容安全评估标准的发展过程 安全评估的框架 橘皮书

2、(TCSEC)橘皮书(TCSEC) 信息技术安全评估标准(ITSEC) 联邦标准（ SC）联邦标准（US Federal Criteria） 共同标准（Common Criteria） BS7799管理体系 信息保障技术框架(IATF)信息保障技术框架(IATF) 信息安全等级保护计算机安全 3本章内容安全评估标准的发展过程 安全评估的框架 橘皮书(TCSEC)橘皮书(TCSEC) 信息技术安全评估标准(ITSEC) 联邦标准（ SC）联邦标准（US Federal Criteria） 共同标准（Common Criteria） BS7799管理体系 信息保障技术框架(IATF)信息保障技术框

3、架(IATF) 信息安全等级保护计算机安全 4安全评估标准的发展过程20世纪60年代后期，1967年美国国防部世纪年代后期，年美国国防部 （DOD）成立了一个研究组，针对当时计 算机使用环境中的安全策略进行研究其算机使用环境中的安全策略进行研究，其 研究结果是“Defense Science Board t”report” 70年代的后期DOD对当时流行的操作系统流统 KSOS，PSOS，KVM进行了安全方面的研究计算机安全 5安全评估标准的发展过程80年代后，美国国防部发布的“可信计算 机系统评估准则（TCSEC）”（即橘皮书） 后来DOD又发布了可信数据库解释（TDI）、后来DOD又发布了

4、可信数据库解释（TDI）、 可信网络解释（TNI）等一系列相关的说 明和指南明和指南 90年代初，英、法、德、荷等四国针对 TCSEC准则的局限性提出了包含保密性TCSEC准则的局限性，提出了包含保密性、 完整性、可用性等概念的“信息技术安全 评估准则”（ITSEC）定义了从E0级到评估准则”（ITSEC），定义了从E0级到 E6级的七个安全等级计算机安全 6安全评估标准的发展过程加拿大1988年开始制订The Canadian 加拿大年开始制订 Trusted Computer Product Evaluation Criteria （CTCPEC）Criteria （CTCPEC） 199

5、3年，美国对TCSEC作了补充和修改， 制定“组合的联邦标准”（简称）制定了“组合的联邦标准”（简称FC） 国际标准化组织（ISO）从1990年开始开国际标准化组织（ISO）从1990年开始开 发通用的国际标准评估准则计算机安全 7安全评估标准的发展过程在1993年6月，CTCPEC、FC、TCSEC和在年 月，、和 ITSEC的发起组织开始联合起来，将各自 独立的准则组合成一个单一的能被广泛独立的准则组合成个单的、能被广泛 使用的IT安全准则 起织包括方拿大法发起组织包括六国七方：加拿大、法国、 德国、荷兰、英国、美国NIST及美国NSA，美美， 他们的代表建立了CC编辑委员会（CCEB）

6、来开发CC来开发CC计算机安全 8安全评估标准的发展过程1996年1月完成CC1.0版 ,在1996年4月被年 月完成版 ,在年 月被 ISO采纳 1997年10月完成CC2 0的测试版1997年10月完成CC2.0的测试版 1998年5月发布CC2.0版 1999年12月ISO采纳CC，并作为国际标准 ISO 15408发布ISO 15408发布计算机安全 9安全评估标准的发展过程橘皮书 （橘皮书 （TCSEC）加拿大标准加拿大标准 1985英国安全英国安全 标准标准1989加拿大标准加拿大标准 1993联邦标准联邦标准标准标准1989德国标准德国标准联邦标准联邦标准 草案草案1993ITS

7、EC德国标准德国标准法国标准法国标准ITSEC 1991通用标准通用标准 V1.0 1996 V2.0 1998 V2.1 1999计算机安全 10本章内容安全评估标准的发展过程安全评估的框架 橘皮书(TCSEC)橘皮书(TCSEC) 信息技术安全评估标准(ITSEC) 联邦标准（ SC）联邦标准（US Federal Criteria） 共同标准（Common Criteria） BS7799管理体系 信息保障技术框架(IATF)信息保障技术框架(IATF) 信息安全等级保护计算机安全 11安全评估的框架评估对象评估对象 评估的目标 评估的方法评估的方法 评估过程的组织框架评估过程的组织框架

8、 评估标准的结构 评估的花费收益评估的花费和收益计算机安全 12评估对象产品：即已出售的部件，它将被用于多种 应用且需要满足一般的安全要求 必须找到一个可一致接受的一般需求集必须找到个可致接受的般需求集 “橘皮书”的“安全分类”和“联邦和共同 标准”的“保护配置文件”标准的保护配置文件 系统：即满足给定应用特定需求的各种产 品的集合体品的集合体 需求获取和分析已经成了每个独立评估的一 部分部分 ITSEC适合对系统的评估计算机安全 13评估的目标评估(Evaluation)：评定一个产品是否具() 有它所声明的安全属性 证明(Certification)：评定一个（已评估的）证明(Certif

9、ication)：评定个（已评估的） 产品是否适合给定的应用场合 鉴定(Accreditation)确定一个(已证明的)鉴定(Accreditation)：确定一个(已证明的) 产品是否可以在给定场合里应用以上是橘皮书的术语。不同的评估标准会以是橘皮书的术语不同的评估标准会 使用不同的术语计算机安全 14评估的方法评估不应该漏过问题；不同评估方法对同评估不应该漏过问题；不同评估方法对同 一产品的评估结果应该相同 面向产品的检查和测试产品更加适合面向产品的：检查和测试产品；更加适合 查找问题 面向过程的：检查文档和产品开发的过程； 代价小，而且容易达到可重复的结果代价小，而且容易达到可重复的结果

10、 可重复性(Repeatability)和可再现性 (Rdibilit )是评估方法必须满足的(Reproducibility)是评估方法必须满足的 要求计算机安全 15评估过程的组织框架公共服务：政府部门评估；比较缓慢，可公共服务政府部门评估；比较缓慢，可 能很难留住有经验的评估专家 私人服务公认的通过认证的私营机构评私人服务：公认的通过认证的私营机构评 估 如何确保客户的施压不会影响评估结果？ 评估的主办者、产品制造商、评估机构间的评估的主办者、产品制造商、评估机构间的 合同关系 解释偏差(标准蠕变)：标准的含义可能随解释偏差(标准蠕变)：标准的含义可能随 着时间改变，不同的评估也可能不同

11、计算机安全 16评估标准的结构安全评估的目标是对一个产品/系统是否 安全给出保证 功能性：系统的安全特性功能性系统的安全特性 效果：对于给定的安全需求，所用评估机制 是否合适？是否合适 保证性：评估的完全性 橘皮书：为典型的美国国防部需求定义了橘皮书：为典型的美国国防部需求定义了 评估界别，同时考虑上述三个方面 ITSEC灵活的可适应新安全需求的评估ITSEC：灵活的可适应新安全需求的评估 框架，上述三个方面可独立解决计算机安全 17评估的花费和收益直接花费：支持评估费接花费支持评估费 间接花费：职员时间、特定评估工具的培 训时间对开发进程的影响训时间、对开发进程的影响 当评估一个产品时，可以

12、在大量用户中分 散评估费用；评估专用系统，则不能 收益：评估可能需要例如政府合同；营收益：评估可能需要，例如政府合同；营 销论点；更好的安全？计算机安全 18本章内容安全评估标准的发展过程 安全评估的框架橘皮书(TCSEC)橘皮书(TCSEC) 信息技术安全评估标准(ITSEC) 联邦标准（ SC）联邦标准（US Federal Criteria） 共同标准（Common Criteria） BS7799管理体系 信息保障技术框架(IATF)信息保障技术框架(IATF) 信息安全等级保护计算机安全 19TCSECTCSEC是第一个评估安全产品(操作系统)的指 导方针导方针 TCSEC主要集中在

13、“国家安全”部分，但是其 可以更加普遍的应用它可以可以更加普遍的应用，它可以 为用户提供一个可用于评定计算机安全系统可信程 度的评判标准 为计算机安全系统生产商提供指导 为要求一个计算机安全系统时作为说明安全需求的 基础基础 可信计算基(TCB)的评估，要确保有一个引用监 控器(RM)；设计用来对系统实施多级安全控器()；设对系统实多级安 高保证性总是与形式化方法、简单的TCB以及 结构化设计方法学相联系；复杂系统一定会划 入较低的评估类别中 计算机安全 20入较低的评估类别中TCSECTCSEC的评估类是设计来说明安全需求的典型 模式的具体的安全特点需求和保证需求都是模式的；具体的安全特点需

14、求和保证需求都是 结合在这些评估类的定义中 一个评估类描述的主题有：个评估类描述的主题有： 安全策略：用主体和对象来说明的强制的和自主的 访问控制策略 标记对象：标签用于说明对象的安全敏感度 主体识别：单个主体必须能被识别和认证 问责性必须保留与安全相关的审计日志问责性：必须保留与安全相关的审计日志 保证：主要涉及安全体系结构的操作保证；诸如设 计方法、测试盒配置管理的生命周期保证 文档：安全系统的系统管理员和用户需要的安装以 及使用安全产品的指南；评估者需要测试和设计文 档计算机安全 21档 持续的保护：安全机制不可破坏TCSEC在TCSEC中，美国国防部按处理信息的等 级和应采用的响应措施

15、将计算机安全从级和应采用的响应措施，将计算机安全从 高到低分为：A、B、C、D四类七个级别， 共27条评估准则 安全级别定义是递增的一个级别的所有安全级别定义是递增的。一个级别的所有 需求自动地包括在更高级别的需求中 橘皮书是美国国家安全机构执行的独立于 应用的安全评估的基础应用的安全评估的基础 随着安全等级的提高，系统的可信度随之 增加风险逐渐减少 计算机安全 22增加，风险逐渐减少TCSEC的安全级别四个安全等级： D最小保护级D - 最小保护级 C - 自主保护级 B - 强制保护级（“需要知道”） A - 验证保护级（基于“标签”）计算机安全 23最小保护级（D级）D类是最低保护等级，

16、即最小保护级类是最低保护等级，即最小保护级 是为那些经过评估，但不满足较高评估等 级要求的系统设计的只具有个级别级要求的系统设计的，只具有一个级别 该类是指不符合要求的那些系统，因此， 这种系统不能在多用户环境下处理敏感信 息息计算机安全 24自主保护级（C级）C类为自主保护级类为自主保护级 具有一定的保护能力，采用的措施是自主 访问控制和审计跟踪访问控制和审计跟踪 一般只适用于具有一定等级的多用户环境 具有对主体责任及其动作审计的能力 C类分为C1和C2两个级别C类分为C1和C2两个级别: 自主安全保护级（C1级) 控制访问保护级（C2级）计算机安全 25自主安全保护级（C1级）C1级TCB通过隔离用户与数据，使用户具级通过隔离用户与数据，使用户具 备自主安全保护的能力 它具有多种形式的控制能力对用户实施它具有多种形式的控制能力，对用户实施 访问控制 为用户提供可行的手段，保护用户和用户 组信息，避免其他用户对数据的非法读写组信息，避免其他用户对数据的非法读写 与破坏 C1级的系统适用于处理同敏感级别数C1级的系统适