Қорғау профилі - Protection Profile
A Қорғау профилі (PP) - бұл ISO / IEC 15408 стандартына сәйкес сертификаттау процесінің бөлігі ретінде қолданылатын құжат Жалпы критерийлер (CC). А-ның жалпы түрі ретінде Қауіпсіздік мақсаты (ST), оны әдетте пайдаланушы немесе қолданушы қауымдастығы жасайды және іске асырудың тәуелсіз сипаттамасын ұсынады ақпараттың сенімділігі қауіпсіздік талаптары. ҚП - бұл қауіп-қатерлер, қауіпсіздік мақсаттары, болжамдар, қауіпсіздік функционалдық талаптары (ҚТҚ), қауіпсіздікті қамтамасыз ету талаптары (ӘҚҚ) мен негіздемелердің жиынтығы.
Ақпараттық жүйе өнімдерінің белгілі бір тобына қатысты жеткізушілердің талаптарын дәлелдеу үшін ПП жалпы қауіпсіздікті бағалау критерийлерін көрсетеді. Басқалармен қатар, ол әдетте Бағалаудың сенімділік деңгейі (EAL), қауіпсіздікті бағалаудың тереңдігі мен қаталдығын көрсететін, 1-ден 7-ге дейінгі сан, әдетте, құжаттама және тестілеу түрінде, ҚП-да көрсетілген қауіпсіздік талаптарына сәйкес келетін өнім.
The Ұлттық стандарттар және технологиялар институты (NIST) және Ұлттық қауіпсіздік агенттігі (NSA) валидацияланған әзірлеу бойынша ынтымақтастық туралы келісімге келді АҚШ үкімет PP.
Мақсаты
PP бағалау жүйесінің мақсаты (TOE) деп аталатын белгілі бір жүйенің немесе өнімнің жиынтығы үшін қауіпсіздік проблемасын қатаң түрде айтады және осы талаптардың қалай жүзеге асырылатынын анықтамай осы проблеманы шешу үшін қауіпсіздік талаптарын белгілейді. PP бір немесе бірнеше басқа PP-ден талаптарды мұра ете алады.
СС-ке сәйкес өнімді бағалау және сертификаттау үшін өнім сатушысы а анықтауы керек Қауіпсіздік мақсаты (ST), олар бір немесе бірнеше PP-ға сәйкес келуі мүмкін. Осылайша, PP өнімнің ST үшін шаблон бола алады.
Проблемалық бағыттар
Қарапайым адамдар үшін EAL салыстыру оңай болғанымен, оның қарапайымдылығы алдамшы, себебі бағалау үшін пайдаланылатын PP (s) мен ST-дің қауіпсіздік салдарын түсінбей бұл сан мағынасыз. Техникалық тұрғыдан, бағаланған өнімді салыстыру EAL бағасын және функционалдық талаптарды бағалауды қажет етеді. Өкінішке орай, мақсатқа сай қолданылу үшін ҚП-ның қауіпсіздік салдарын түсіндіру үшін АТ қауіпсіздігі бойынша өте күшті тәжірибе қажет. Өнімді бағалау - бұл бір нәрсе, бірақ кейбір тауарлардың CC бағалауы белгілі бір қолданбаға сәйкес келетіндігін шешу - басқаша. Қандай сенімді агенттіктің бағалау үшін қажет IT қауіпсіздігінің тереңдігіне ие екендігі анық емес жүйелер Бірыңғай критерийлермен бағаланатын өнімдердің қолдану мүмкіндігі.
Бағалауды қолдану проблемасы жаңа емес. Бұл проблеманы ондаған жыл бұрын ақпаратты қорғауға болатын бағдарламалық жасақтама мүмкіндіктерін анықтайтын, олардың беріктігін бағалайтын және белгілі бір жұмыс ортасының қауіп-қатерлеріне қажет қауіпсіздік сипаттамаларын анықтайтын ауқымды зерттеу жобасы шешті. Нәтижелер құжатталған Радуга сериясы. EAL мен функционалдық талаптарды бөлудің орнына Қызғылт сары кітап функционалды қорғаныс мүмкіндіктері мен тиісті кепілдік талаптарын бір санат ретінде анықтайтын жетілдірілмеген тәсілге сүйенді. Осындай жеті санат осылайша анықталды. Әрі қарай Сары кітап қауіпсіздік орталарының матрицасын анықтады және әрқайсысының қауіптілігін бағалады. Содан кейін апельсин кітабының әрқайсысы үшін қандай қауіпсіздік ортасы жарамды екендігі анықталды. Бұл тәсіл өнімнің белгілі бір қосымшада қолдануға жарамдылығын анықтауға арналған қарапайым адамдар кітабын жасады. Бұл қолдану технологиясының жоғалуы күтпеген нәтиже Қызғылт сары кітаптың жалпы критерийлермен алмастырылуы.
PP бар қауіпсіздік құрылғылары
АҚШ үкіметінің бекітілген PP
- Антивирус
- Кілттерді қалпына келтіру
- Сертификаттарды басқару
- Төкендер
- ДББЖ
- Брандмауэрлер
- Операциялық жүйе
- IDS / сағ
АҚШ үкіметінің құрамына кірмейтін РР бекітілген
Сыртқы сілтемелер
Пайдаланылған әдебиеттер
- ^ М.Волкамер (2009). Электрондық дауыс беруді бағалау (8 тарау). Спрингер. ISBN 978-3-642-01661-5. Архивтелген түпнұсқа 2013-02-03.
- ^ https://www.commoncriteriaportal.org/files/ppfiles/anssi-profil_PP-2014_01.pdf