Материал: Технология проектирования систем защиты информации в информационно-телекоммуникационных системах. Язов Ю.К

онно - телекоммуникационные системы, объединяемых в три группы:

- третья группа классифицирует ИТКС, в кото-

рых работает один пользователь, допущенный ко всей

информации ИТКС, размещенной на носителях одного

уровня конфиденциальности. Группа содержит два

класса - 3Б и 3А;

- вторая группа классифицирует ИТКС, в кото-

рых пользователи имеют одинаковые права доступа

(полномочия) ко всей информации ИТКС, обрабатывае-

мой и ( или ) хранимой на носителях различного уровня

конфиденциальности. Группа содержит два класса-2Б и

2А;

- первая группа классифицирует многопользовательские ИТКС, в которых одновременно обрабатывается и (или) хранится информация разных уровней конфиденциальности и не все пользователи имеют право доступа ко всей информации ИТКС. Группа содержит пять классов -

1Д, 1Г, 1В, 1Б и 1А.

В зависимости от установленного класса ИТКС в рамках указанных подсистем должен быть реализован определенный перечень требований по защите инфор-

301

мации от НСД. Общая номенклатура требований, из состава которой должны выбираться требования для конкретной системы защиты, включает следующее

(табл.14).

В подсистемах управления доступом должны быть реализованы:

1.Идентификация, проверка подлинности и контроль доступа субъектов: в систему; к терминалам, ЭВМ, узлам сети ЭВМ, каналам связи, внешним устройствам ЭВМ; к программам; к томам, каталогам, файлам, записям, полям записей.

2.Управление потоками информации.

При этом подсистемой управления доступом должна осуществляться идентификация и проверка подлинности субъектов доступа:

для класса защищенности 3А, 3Б, 1Д при входе в систему по паролю условно-постоянного действия, длиной не менее шести символов;

для класса защищенности 2 Б, 2А, 1Г, 1В при входе в систему по идентификатору (коду) и паролю условнопостоянного действия длиной не менее шести символов;

для класса защищенности 1Б при входе в систему

по идентификатору (коду) и паролю временного дейст-

вия длиной не менее восьми символов. Кроме того,

должны осуществляться: идентификация терминалов,

ЭВМ, узлов сети ЭВМ, каналов связи, внешних уст-

ройств ЭВМ по физическим адресам ( номерам ); иден-

302

тификация программ, томов, каталогов, файлов, запи-

сей, полей записей по именам; контроль доступа субъ-

ектов к защищаемым ресурсам в соответствии с матри-

цей доступа; управление потоками информации с по-

мощью меток конфиденциальности (при этом уровень

конфиденциальности накопителей должен быть не ниже

уровня конфиденциальности записываемой на него ин-

формации);

для класса защищенности 1А при входе в систему по биометрическим характеристикам или специальным устройствам (жетонам, картам, электронным ключам) и паролю временного действия длиной не менее восьми бук- венно-цифровых символов. Кроме того, должны осуществляться: аппаратурная идентификация и проверка подлинности терминалов, ЭВМ, узлов сети ЭВМ, каналов связи, внешних устройств ЭВМ по уникальным встроенным устройствам; идентификация и проверка подлинности программ, томов, каталогов, файлов, записей, полей записей по именам и контрольным суммам (паролям, ключам); контроль доступа субъектов к защищаемым ресурсам в соответствии с матрицей доступа; управление потоками информации с помощью меток конфиденциальности (при этом уровень конфиденциальности накопителей должен быть не ниже уровня конфиденциальности записываемой на него информации).

303

В подсистеме регистрации и учета должны быть реализованы:

1. Регистрация и учет:

входа (выхода) субъектов доступа в (из) системы (узел сети); выдачи печатных (графических) выходных документов;

запуска (завершения) программ и процессов (заданий, задач);

доступа программ субъектов доступа к защищаемым файлам, включая их создание и удаление, передачу по линиям и каналам связи;

доступа программ субъектов доступа к терминалам, ЭВМ, узлам сети ЭВМ, каналам связи, внешним устройствам ЭВМ, программам, томам, каталогам, файлам, записям, полям записей;

изменения полномочий субъектов доступа; создаваемых защищаемых объектов доступа.

2.Учет носителей информации.

3.Очистка (обнуление, обезличивание) освобождаемых областей оперативной памяти ЭВМ и внешних накопителей.

4.Сигнализация попыток нарушения защиты

При этом для класса защищенности 3Б должна осуществляться регистрация входа/ выхода субъектов доступа в систему / из системы, либо регистрация загрузки и инициализации операционной системы и ее программного останова. Регистрация выхода из системы или остановки не проводится в моменты аппаратурного отключения ИТКС. В параметрах регистрации указываются:

время и дата входа/выхода субъекта доступа в систему/из системы или загрузки/остановка системы;

должен проводиться учет всех защищаемых носителей информации с помощью их любой маркировки с

304

занесением учетных данных в журнал (учетную карточку).

305