РД СВТ, КВО и вредоносный код.

Аватар пользователя e.v.rodygin
Автор: Родыгин Евгений, Группа "Кронштадт"
(0)
()
Опубликовано в:

Как же соотносятся указанные в названии сущности. Давайте посмотрим.
Итак, предположим в составе КВО используется недоверенное программное обеспечение (НПО). НПО => ПО, для которого не проводились испытания на безопасность применения в составе АС/ИС КВО, такие испытания не завершены или завершены с отрицательным результатом.
Не будем вдаваться в подробности исследований НПО, но предположим, что данное НПО содержит в себе некий вредоносный код. Для примера НПО сохраняет обрабатываемую защищаемую информацию для последующей организации НСД (сохраняет пароль пользователя для выдачи его другому пользователю). Дополнительно НПО имеет функции нарушения работы других программ например, портить их код, заражать вирусом и т.п.

Есть предположение, что если установить на АРМ, где используется такое НПО сертифицированное СрЗИ, соответствующее 3 классу РД СВТ, то указанные и подобные вредоносные функции НПО будут гарантированно нейтрализованы!

Давайте заглянем в РД СВТ.
Показатели защищенности СВТ, указанные в РД СВТ, применяются только к общесистемным программным средствам и операционным системам (с учетом архитектуры ЭВМ) (п.п. 1.2.). Иными словами, требования данного РД предъявляются к среде функционирования прикладного программного обеспечения.
В соответствии с п. 1.3. РД СВТ, требования к показателям защищенности реализуются с помощью программно-технических средств. Совокупность всех средств защиты составляет комплекс средств защиты (далее КСЗ).
В соответствии с РД СВТ, объектами доступа являются любые информационные объекты СВТ. Соответственно, обеспечение защиты информационных объектов, которые обрабатываются прикладным программным обеспечением прямо возложено на комплекс средств защиты. Никакие требования к прикладному программному обеспечению руководящим документом не предъявляются.
В соответствии с требованиями РД СВТ КСЗ должен контролировать не только обращения прикладного программного обеспечения к ресурсам СВТ, но и потоки информации.
Выполнение комплексом средств защиты требований РД СВТ по очистке памяти (п. 2.5.3.), изоляции модулей (п. 2.5.4.), защите ввода и вывода на отчуждаемый физический носитель информации (включая каналы связи) (п. 2.5.6.) должно исключить любые попытки прикладных процессов несанкционированно распространять защищаемую информацию, а так же влиять на работу других программных модулей АС. Данные требования должны обеспечиваться для всего прикладного программного обеспечения вне зависимости от его характеристик!
По результатам анализа требований РД СВТ, можно сделать вывод о том, что КСЗ ОБЯЗАН обеспечить требуемый уровень защищенности вне зависимости от характеристик прикладного программного обеспечения. Иными словами, любые попытки прикладного программного обеспечения выполнить несанкционированные действия должны пресекаться механизмами КСЗ.

Таким образом, сертифицированное СрЗИ - обязано нейтрализовать указанные выше функции НПО. Или нет?

Тэги: 
 
Комментарии в Facebook
 

Вы сообщаете об ошибке в следующем тексте:
Нажмите кнопку «Сообщить об ошибке», чтобы отправить сообщение. Вы также можете добавить комментарий.