"РУКОВОДЯЩИЙ ДОКУМЕНТ. БЕЗОПАСНОСТЬ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ. КРИТЕРИИ ОЦЕНКИ БЕЗОПАСНОСТИ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ " (Утв. Приказом Гостехкомиссии РФ от 19.06.2002 N 187)
3. Класс FAU. Аудит безопасности
Аудит безопасности включает в себя распознавание, запись, хранение и анализ информации, связанной с действиями, относящимися к безопасности (например, с действиями, контролируемыми ПБО). Записи аудита, получаемые в результате, могут быть проанализированы, чтобы определить, какие действия, относящиеся к безопасности, происходили, и кто из пользователей за них отвечает.
Декомпозиция класса на составляющие его компоненты показана на рисунке 3.1.
Рисунок 3.1. Декомпозиция класса "Аудит безопасности"
3.1. Автоматическая реакция аудита безопасности (FAU_ARP)Характеристика семейства
Семейство FAU_ARP определяет реакцию на обнаружение событий, указывающих на возможное нарушение безопасности.
Ранжирование компонентов
В FAU_ARP.1 "Сигналы нарушения безопасности" ФБО должны предпринимать действия в случае обнаружения возможного нарушения безопасности.
Управление: FAU_ARP.1
Для функций управления из класса FMT может рассматриваться следующее действие:
а) управление действиями (добавление, удаление или модификация).
Аудит: FAU_ARP.1
Если в ПЗ/ЗБ включено семейство FAU_GEN "Генерация данных аудита безопасности", то следует предусмотреть возможность (в зависимости от выбранного уровня) аудита следующих действий/событий/параметров:
а) минимальный: действия, предпринимаемые в ответ на ожидаемые нарушения безопасности.
FAU_ARP.1. Сигналы нарушения безопасности
Иерархический для: Нет подчиненных компонентов.
FAU_ARP.1.1 ФБО должны предпринять [назначение: список наименее разрушительных действий] при обнаружении возможного нарушения безопасности.
Зависимости: FAU_SAA.1 Анализ потенциального нарушения
3.2. Генерация данных аудита безопасности (FAU_GEN)Характеристика семейства
Семейство FAU_GEN определяет требования по регистрации возникновения событий, относящихся к безопасности, которые подконтрольны ФБО. Это семейство идентифицирует уровень аудита, перечисляет типы событий, которые потенциально должны подвергаться аудиту с использованием ФБО, и определяет минимальный объем связанной с аудитом информации, которую следует представлять в записях аудита различного типа.
Ранжирование компонентов
FAU_GEN.1 "Генерация данных аудита" определяет уровень событий, потенциально подвергаемых аудиту, и состав данных, которые должны быть зарегистрированы в каждой записи.
В FAU_GEN.2 "Ассоциация идентификатора пользователя" ФБО должны ассоциировать события, потенциально подвергаемые аудиту, и личные идентификаторы пользователей.
Управление: FAU_GEN.1, FAU_GEN.2
Действия по управлению не предусмотрены.
Аудит: FAU_GEN.1, FAU_GEN.2
Нет идентифицированных действий/событий/параметров, для которых следует предусмотреть возможность аудита.
FAU_GEN.1. Генерация данных аудита
Иерархический для: Нет подчиненных компонентов
FAU_GEN.1.1 ФБО должны быть способны генерировать запись аудита для следующих событий, потенциально подвергаемых аудиту:
а) запуск и завершение выполнения функций аудита;
б) все события, потенциально подвергаемые аудиту, на [выбор: минимальный, базовый, детализированный, неопределенный] уровне аудита;
в) [назначение: другие специально определенные события,
потенциально подвергаемые аудиту].
FAU_GEN.1.2 ФБО должны регистрировать в каждой записи аудита, по меньшей мере, следующую информацию:
а) дата и время события, тип события, идентификатор субъекта и результат события (успешный или неуспешный);
б) для каждого типа событий, потенциально подвергаемых аудиту, из числа определенных в функциональных компонентах, которые включены в ПЗ/ЗБ [назначение: другая относящаяся к аудиту информация].
Зависимости: FPT_STM.1 Надежные метки времени.
FAU_GEN.2. Ассоциация идентификатора пользователя
Иерархический для: Нет подчиненных компонентов.
FAU_GEN.2.1 ФБО должны быть способны ассоциировать каждое событие, потенциально подвергаемое аудиту, с идентификатором пользователя, который был инициатором этого события.
Зависимости: FAU_GEN.1 Генерация данных аудита
FIA_UID.1 Выбор момента идентификации.
3.3. Анализ аудита безопасности (FAU_SAA)Характеристика семейства
Семейство FAU_SAA определяет требования для автоматизированных средств, которые анализируют показатели функционирования системы и данные аудита в целях поиска возможных или реальных нарушений безопасности. Этот анализ может использоваться для поддержки как обнаружения проникновения, так и автоматической реакции на ожидаемое нарушение безопасности.
Действия, предпринимаемые при обнаружении нарушений, могут быть при необходимости определены с использованием семейства FAU_ARP.
Ранжирование компонентов
В FAU_SAA.1 "Анализ потенциального нарушения" требуется базовый порог обнаружения на основе установленного набора правил.
В FAU_SAA.2 "Выявление аномалии, основанное на профиле" ФБО поддерживают отдельные профили использования системы, где профиль представляет собой шаблоны предыстории использования, выполнявшиеся участниками целевой группы профиля. Целевая группа профиля может включать в себя одного или нескольких участников (например, отдельный пользователь; пользователи, совместно использующие общий идентификатор или общие учетные данные; пользователи, которым назначена одна роль; все пользователи системы или сетевого узла), которые взаимодействуют с ФБО. Каждому участнику целевой группы профиля назначается индивидуальный рейтинг подозрительной активности, который показывает, насколько текущие показатели действий участника соответствуют установленным шаблонам использования, представленным в профиле. Этот анализ может выполняться во время функционирования ОО или при анализе данных аудита в пакетном режиме.
В FAU_SAA.3 "Простая эвристика атаки" ФБО должны быть способны обнаружить возникновение характерных событий, которые свидетельствуют о значительной угрозе осуществлению ПБО. Этот поиск характерных событий может происходить в режиме реального времени или при анализе данных аудита в пакетном режиме.
В FAU_SAA.4 "Сложная эвристика атаки" ФБО должны быть способны задать и обнаружить многошаговые сценарии проникновения. Здесь ФБО способны сравнить события в системе (возможно, выполняемые несколькими участниками) с последовательностями событий, известными как полные сценарии проникновения. ФБО должны быть способны указать на обнаружение характерного события или последовательности событий, свидетельствующих о возможном нарушении ПБО.
Управление: FAU_SAA.1
Для функций управления из класса FMT может рассматриваться следующее действие:
а) сопровождение (добавление, модификация, удаление) правил из набора правил.
Управление: FAU_SAA.2
Для функций управления из класса FMT может рассматриваться следующее действие:
а) сопровождение (удаление, модификация, добавление) группы пользователей в целевой группе профиля.
Управление: FAU_SAA.3
Для функций управления из класса FMT может рассматриваться следующее действие:
а) сопровождение (удаление, модификация, добавление) подмножества событий системы.
Управление: FAU_SAA.4
Для функций управления из класса FMT могут рассматриваться следующие действия:
а) сопровождение (удаление, модификация, добавление) подмножества событий системы;
б) сопровождение (удаление, модификация, добавление) набора последовательностей событий системы.
Аудит: FAU_SAA.1, FAU_SAA.2, FAU_SAA.3, FAU_SAA.4
Если в ПЗ/ЗБ включено семейство FAU_GEN "Генерация данных аудита безопасности", то следует предусмотреть возможность (в зависимости от выбранного уровня) аудита следующих действий/событий/параметров:
а) минимальный: подключение и отключение любого из механизмов анализа;
б) минимальный: автоматические реакции, выполняемые инструментальными средствами.
FAU_SAA.1. Анализ потенциального нарушения
Иерархический для: Нет подчиненных компонентов.
FAU_SAA.1.1 ФБО должны быть способны применить набор правил мониторинга событий, подвергающихся аудиту, и указать на возможное нарушение ПБО, основываясь на этих правилах.
FAU_SAA.1.2 ФБО должны реализовать следующие правила при мониторинге событий, подвергающихся аудиту:
а) накопление или объединение известных [назначение:
подмножество определенных событий, потенциально подвергаемых аудиту], указывающих на возможное нарушение безопасности;
б) [назначение: другие правила].
Зависимости: FAU_GEN.1 Генерация данных аудита.
FAU_SAA.2. Выявление аномалии, основанное на профиле
Иерархический для: FAU_SAA.1
FAU_SAA.2.1 ФБО должны быть способны сопровождать профили использования системы, где каждый отдельный профиль представляет известные шаблоны предыстории использования, выполнявшиеся участниками [назначение: спецификация целевой группы профиля].
FAU_SAA.2.2 ФБО должны быть способны сопровождать рейтинг подозрительной активности для каждого пользователя, чьи действия отражены в профиле, где рейтинг подозрительной активности показывает степень несогласованности действий, выполняемых пользователем, с установленными шаблонами использования, представленными в профиле.
FAU_SAA.2.3 ФБО должны быть способны указать на ожидаемое нарушение ПБО, когда рейтинг подозрительной активности пользователя превышает следующие пороговые условия [назначение: условия, при которых ФБО сообщает об аномальных действиях].
Зависимости: FIA_UID.1 Выбор момента идентификации.
FAU_SAA.3. Простая эвристика атаки
FAU_SAA.3.1 ФБО должны быть способны сопровождать внутреннее представление следующих характерных событий [назначение: подмножество событий системы], которые могут указывать на нарушение ПБО.
FAU_SAA.3.2 ФБО должны быть способны сравнить характерные события с записью показателей функционирования системы, полученных при обработке [назначение: информация, используемая для определения показателей функционирования системы].
FAU_SAA.3.3 ФБО должны быть способны указать на ожидаемое нарушение ПБО, когда событие системы соответствует характерному событию, указывающему на возможное нарушение ПБО.
Зависимости: отсутствуют.
FAU_SAA.4. Сложная эвристика атаки
Иерархический для: FAU_SAA.3
FAU_SAA.4.1 ФБО должны быть способны сопровождать внутреннее представление следующих последовательностей событий известных сценариев проникновения [назначение: список последовательностей событий системы, совпадение которых характерно для известных сценариев проникновения] и следующих характерных событий [назначение: подмножество событий системы], которые могут указывать на возможное нарушение ПБО.
FAU_SAA.4.2 ФБО должны быть способны сравнить характерные события и последовательности событий с записью показателей функционирования системы, полученных при обработке [назначение: информация, используемая для определения показателей функционирования системы].
FAU_SAA.4.3 ФБО должны быть способны указать на ожидаемое нарушение ПБО, когда показатели функционирования системы соответствуют характерному событию или последовательности событий, указывающим на возможное нарушение ПБО.
Зависимости: отсутствуют.
3.4. Просмотр аудита безопасности (FAU_SAR)Характеристика семейства
Семейство FAU_SAR определяет требования к средствам аудита, к которым следует предоставить доступ уполномоченным пользователям для использования при просмотре данных аудита.
Ранжирование компонентов
FAU_SAR.1 "Просмотр аудита" предоставляет возможность читать информацию из записей аудита.
FAU_SAR.2 "Ограниченный просмотр аудита" содержит требование отсутствия доступа к информации кому-либо, кроме пользователей, указанных в FAU_SAR.1.
FAU_SAR.3 "Выборочный просмотр аудита" содержит требование, чтобы средства просмотра аудита отбирали данные аудита на основе критериев просмотра.
Управление: FAU_SAR.1
Для функций управления из класса FMT может рассматриваться следующее действие:
а) сопровождение (удаление, модификация, добавление) группы пользователей с правом доступа к чтению записей аудита.
Управление: FAU_SAR.2, FAU_SAR.3
Действия по управлению не предусмотрены.
Аудит: FAU_SAR.1
Если в ПЗ/ЗБ включено семейство FAU_GEN "Генерация данных аудита безопасности", то следует предусмотреть возможность (в зависимости от выбранного уровня) аудита следующих действий/событий/параметров:
а) базовый: чтение информации из записей аудита.
Аудит: FAU_SAR.2
Если в ПЗ/ЗБ включено семейство FAU_GEN "Генерация данных аудита безопасности", то следует предусмотреть возможность (в зависимости от выбранного уровня) аудита следующих действий/событий/параметров:
а) базовый: неуспешные попытки читать информацию из записей аудита.
Аудит: FAU_SAR.3
Если в ПЗ/ЗБ включено семейство FAU_GEN "Генерация данных аудита безопасности", то следует предусмотреть возможность (в зависимости от выбранного уровня) аудита следующих действий/событий/параметров:
а) детализированный: параметры, используемые при просмотре.
FAU_SAR.1. Просмотр аудита
Компонент FAU_SAR.1 предоставит уполномоченным пользователям возможность получать и интерпретировать информацию. Для человека-пользователя эту информацию требуется представлять в понятном для него виде. Для внешнего объекта ИТ информацию требуется представлять только в электронном виде.
Иерархический для: Нет подчиненных компонентов.
FAU_SAR.1.1 ФБО должны предоставлять [назначение: уполномоченные пользователи] возможность читать [назначение: список информации аудита] из записей аудита.
FAU_SAR.1.2 ФБО должны предоставлять записи аудита в виде, позволяющем пользователю воспринимать содержащуюся в них информацию.
Зависимости: FAU_GEN.1 Генерация данных аудита.
FAU_SAR.2. Ограниченный просмотр аудита
Иерархический для: Нет подчиненных компонентов.
FAU_SAR.2.1 ФБО должны запретить всем пользователям доступ к чтению записей аудита, за исключением пользователей, которым явно предоставлен доступ для чтения.
Зависимости: FAU_SAR.1 Просмотр аудита.
FAU_SAR.3. Выборочный просмотр аудита
Иерархический для: Нет подчиненных компонентов.
FAU_SAR.3.1 ФБО должны предоставить возможность выполнить [выбор: поиск, сортировка, упорядочение] данных аудита, основанный на [назначение: критерии с логическими отношениями].
Зависимости: FAU_SAR.1 Просмотр аудита.
3.5. Выбор событий аудита безопасности (FAU_SEL)Характеристика семейства
Семейство FAU_SEL определяет требования для отбора событий, которые будут подвергаться аудиту во время функционирования ОО, а также требования для включения или исключения событий из совокупности событий, подвергающихся аудиту.
Ранжирование компонентов
FAU_SEL.1 "Избирательный аудит" содержит требования возможности включения или исключения события из совокупности событий, подвергающихся аудиту, на основе атрибутов, определяемых разработчиком ПЗ/ЗБ.
Управление: FAU_SEL.1
Для функций управления из класса FMT может рассматриваться следующее действие:
а) сопровождение прав просмотра/модификации событий аудита.
Аудит: FAU_SEL.1
Если в ПЗ/ЗБ включено семейство FAU_GEN "Генерация данных аудита безопасности", то следует предусмотреть возможность (в зависимости от выбранного уровня) аудита следующих действий/событий/параметров:
а) минимальный: все модификации конфигурации аудита, происходящие во время сбора данных аудита.
FAU_SEL.1 Избирательный аудит
Иерархический для: Нет подчиненных компонентов.
FAU_SEL.1.1 ФБО должны быть способны к включению событий, потенциально подвергаемых аудиту, в совокупность событий, подвергающихся аудиту или к их исключению из этой совокупности по следующим атрибутам:
а) [выбор: идентификатор объекта, идентификатор пользователя идентификатор субъекта, идентификатор узла сети, тип события];
б) [назначение: список дополнительных атрибутов, на которых основана избирательность аудита].
Зависимости: FAU_GEN.1 Генерация данных аудита
FMT_Mtd.1 Управление данными ФБО.
3.6. Хранение данных аудита безопасности (FAU_STG)Характеристика семейства
Семейство FAU_STG определяет требования, при выполнении которых ФБО способны создавать и сопровождать журнал аудита безопасности.
Ранжирование компонентов
В FAU_STG.1 "Защищенное хранение журнала аудита" содержатся требования защиты журнала аудита от несанкционированного удаления и/или модификации.
FAU_STG.2 "Гарантии доступности данных аудита" определяет гарантии, что ФБО поддерживают имеющиеся данные аудита при возникновении нежелательной ситуации.
FAU_STG.3 "Действия в случае возможной потери данных аудита" определяет действия, которые необходимо предпринять, если превышен заданный порог заполнения журнала аудита.
FAU_STG.4 "Предотвращение потери данных аудита" определяет действия при переполнении журнала аудита.
Управление: FAU_STG.1
Действия по управлению не предусмотрены.
Управление: FAU_STG.2
Для функций управления из класса FMT может рассматриваться следующее действие:
а) сопровождение параметров, которые управляют возможностями хранения журнала аудита.
Управление: FAU_STG.3
Для функций управления из класса FMT могут рассматриваться следующие действия:
а) отслеживание порога заполнения;
б) сопровождение (удаление, модификация, добавление) действий, которые нужно предпринять при возможном сбое хранения журнала аудита.
Управление: FAU_STG.4
Для функций управления из класса FMT может рассматриваться следующее действие:
а) сопровождение (удаление, модификация, добавление) действий, которые нужно предпринять при сбое хранения журнала аудита.
Аудит: FAU_STG.1, FAU_STG.2
Нет идентифицированных действий/событий/параметров, для которых следует предусмотреть возможность аудита.
Аудит: FAU_STG.3
Если в ПЗ/ЗБ включено семейство FAU_GEN "Генерация данных аудита безопасности", то следует предусмотреть возможность (в зависимости от выбранного уровня) аудита следующих действий/событий/параметров:
а) базовый: предпринимаемые действия после превышения порога заполнения.
Аудит: FAU_STG.4
Если в ПЗ/ЗБ включено семейство FAU_GEN "Генерация данных аудита безопасности", то следует предусмотреть возможность (в зависимости от выбранного уровня) аудита следующих действий/событий/параметров:
а) базовый: предпринимаемые действия при сбое хранения журнала аудита.
FAU_STG.1. Защищенное хранение журнала аудита
Иерархический для: Нет подчиненных компонентов.
FAU_STG.1.1 ФБО должны защищать хранимые записи аудита от несанкционированного удаления.
FAU_STG.1.2 ФБО должны быть способны к [выбор: предотвращение, выявление] модификации записей аудита.
Зависимости: FAU_GEN.1 Генерация данных аудита.
FAU_STG.2. Гарантии доступности данных аудита
FAU_STG.2.1 ФБО должны защищать хранимые записи аудита от несанкционированного удаления.
FAU_STG.2.2 ФБО должны быть способны к [выбор: предотвращение, выявление] модификации записей аудита.
FAU_STG.2.3 ФБО должны обеспечить поддержку [назначение: показатель сохранности записей аудита] при наступлении следующих событий: [выбор: переполнение журнала аудита, сбой, атака].
Зависимости: FAU_GEN.1 Генерация данных аудита.
FAU_STG.3. Действия в случае возможной потери данных аудита
Иерархический для: Нет подчиненных компонентов.
FAU_STG.3.1 ФБО должны выполнить [назначение: действия, которые нужно предпринять в случае возможного сбоя хранения журнала аудита], если журнал аудита превышает [назначение: принятое ограничение].
Зависимости: FAU_STG.1 Защищенное хранение журнала аудита.
FAU_STG.4. Предотвращение потери данных аудита
Иерархический для: FAU_STG.3
FAU_STG.4.1 ФБО должны выполнить [выбор: "игнорирование событий, подвергающихся аудиту", "предотвращение событий, подвергающихся аудиту, исключая предпринимаемые уполномоченным пользователем со специальными правами", "запись поверх самых старых хранимых записей аудита"] и [назначение: другие действия, которые нужно предпринять в случае возможного сбоя хранения журнала аудита] при переполнении журнала аудита.
Зависимости: FAU_STG.1 Защищенное хранение журнала аудита.