ГОСТ Р ИСО/МЭК15408-2—2008
С.4.5 FAU
_
SAA.4 Сложная эвристика атаки
С.4.5.1 Замечания по применению для пользователя
На практике случай, когда средства анализа могут точно предсказать ожидаемое нарушение безопасности,
является редкой удачей. Тем не менее, существуют некоторые системные события, важные настолько, что всегда
заслуживают отдельного отслеживания. Примерами таких событий являются удаление файла с ключевыми дан
ными безопасности ФБО (например, файла паролей) или попытка удаленного пользователя получить админис
тративные привилегии. Такие события называют «характерными», поскольку они. в отличие от остальных собы тий.
свидетельствуют о попытках вторжения в систему Последовательность событий является упорядоченным
множеством «характерных» событий, которые могут указывать на попытки вторжения.
Сложность средств анализа в значительной степени будет зависеть от назначений, сделанных автором
ПЗ/ЗБ при определении базового множества «характерных» событий и последовательностей событий.
Автору ПЗ/ЗБ следует определить базовое множество «характерных» событий и последовательностей со
бытий, которые будут представлены в ФБО. Дополнительные «характерные» события и последовательности
событий могут быть определены разработчиком системы.
В ПЗ/ЗБ следует перечислить события, которые следует отслеживать ФБО с целью их анализа. Автору ПЗ/ЗБ
следует указать, на основании какой информации о событии его можно отнести к «характерным».
Административные уведомления следует доводить до уполномоченного пользователя так. чтобы он пони
мал значение этих событий и приемлемую реакцию на них.
При спецификации данных требований предусмотрена возможность привлечения иных источников данных
о функционировании системы, кроме данных аудита. Это сделано с целью расширения привлекаемых методов
обнаружения вторжения, которые при анализе показателей функционирования системы используют не только
данные аудита (примерами других типов источников данных являются параметры сетевых дейтаграмм, данные
о ресурсах|Учете или комбинации различных системных данных). Поэтому от автора ПЗ/ЗБ требуется
специфициро вать виды данных, используемых при контроле показателей функционирования системы.
Элементы FAU
_
SAA.4 «Сложная эвристика атаки» не требуют, чтобы реализация эвристик распознавания
прямой атаки осуществлялась теми же ФБО, выполнение которых подлежит мониторингу. Поэтому компоненты,
применяемые для обнаружения вторжения, можно разрабатывать независимо от системы, показатели функци
онирования которой подлежат анализу.
С.4.5.2 Операции
С.4.5.2.1 Назначение
В FAU
_
SAA.4.1 автору ПЗ/ЗБ следует идентифицировать базовое множество перечня последовательностей
системных событий, совпадение которых типично для известных сценариев проникновения. Эти последователь
ности событий представляют известные сценарии проникновения. Каждое событие в последовательности следу ет
сопоставлять с контролируемыми системными событиями, и если в итоге все системные события произошли в
действительности, это подтверждает (отображает) попытку проникновения.
В FAU
_
SAA.4.1 автору ПЗ/ЗБ следует специфицировать базовое подмножество системных событий, появле
ние которых, в отличие от иных показателей функционирования системы, гложет указывать на нарушение ПБО. К
ним относятся как события, сами по себе указывающие на очевидные нарушения ПБО. так и события, появление
которых является достаточным основанием для принятия мер предосторожности.
В FAU
_
SAA.4.2 автору ПЗ/ЗБ следует специфицировать информацию, используемую при определении пока
зателей функционирования системы. Информация является исходной для инструментальных средств анализа
показателей функционирования системы, применяемых в ОО. В эту информацию могут входить данные аудита,
комбинации данных аудита с другими системными данными и данные, отличные от данных аудита. При составле нии
ПЗ/ЗБ следует точно определить, какие системные события и атрибуты событий используются в качестве
исходной информации.
С.5 Просмотр аудита безопасности (FAU
_
SAR)
С.5.1 Замечания по применению
Семейство FAU
_
SAR определяет требования, относящиеся к просмотру информации аудита.
Следует, чтобы функции предоставляли возможность отбирать данные аудита до или после сохранения,
обеспечивая, например, возможность избирательного просмотра данных о следующих действиях:
- действия одного или нескольких пользователей (например идентификация, аутентификация, вход в ОО и
действия по управлению доступом):
- действия, выполненные над определенным объектом или ресурсом ОО:
- все события из указанного множества исключительных событий, подвергающихся аудиту;
- действия, связанные с определенным атрибутом ПБО.
Виды просмотра различаются по функциональным возможностям. Обычный просмотр позволяет только
просматривать данные аудита. Выборочный просмотр более сложен и содержит требования возможности поис ка
на основании одного или нескольких критериев с логическими (то есть типа «и/или») отношениями, сортиров ки или
фильтрации данных аудита до их просмотра.
98