ГОСТ Р ИСО/МЭК15408-2— 2008
Ь)для каждого типа событий, потенциально подвергаемых аудиту, из числа определенных
в функциональных компонентах, которые включены в ПЗ/ЗБ, [назначение:
другая относящаяся
к
аудиту информация].
7.2.6 FAU
_
GEN.2 Ассоциация идентификатора пользователя
Иерархический для: нет подчиненных компонентов.
Зависимости: FAU
_
GEN.1 Генерация данных аудита
FIA
_
UID.1 Выбор момента идентификации
7.2.6.1 FAU
_
GEN.2.1
ФБО должны быть способны ассоциировать каждое событие, потенциально подвергаемое
аудиту, с идентификатором пользователя, который был инициатором этого события.
7.3 Анализ аудита безопасности (FAU
_
SAA)
7.3.1 Характеристика семейства
Семейство FAU
_
SAA определяет требования для автоматизированных средств, которые анализи
руют показатели функционирования системы и данные аудита в целях поиска возможных или реальных
нарушений безопасности. Этот анализ может использоваться для поддержки какобнаружения проникнове
ния, так и автоматической реакции на ожидаемое нарушение безопасности.
Действия, предпринимаемые при обнаружении нарушений, могут быть при необходимости определе
ны с использованием семейства FAU
_
ARP «Автоматическая реакция аудита безопасности».
7.3.2 Ранжирование компонентов
Рисунок 12 — Ранжирование компонентов семейства FAU
_
SAA
В FAU
_
SAA.1«Анализ потенциального нарушения» требуется базовый порогобнаружения на основе
установленного набора правил.
В FAU
_
SAA.2 «Выявление аномалии, основанное на профиле» ФБО поддерживают отдельные про
фили использования системы, где профиль представляет собой шаблоны предыстории использования,
выполнявшиеся участниками целевой группы профиля. Целевая группа профиля может включать в себя
одного или нескольких участников (например, отдельный пользователь; пользователи, совместно исполь
зующие общий идентификатор или общие учетные данные: пользователи, которым назначена одна роль;
все пользователи системы или сетевого узла), которые взаимодействуютс ФБО. Каждому участнику целе
вой группы профиля назначается индивидуальный рейтинг подозрительной активности, который показы
вает. насколько текущие показатели действий участника соответствуют установленным шаблонам исполь
зования, представленным в профиле. Этот анализ может проводиться во время функционирования ОО или
при анализеданных аудита в пакетном режиме.
В FAU
_
SAA.3 «Простая эвристика атаки» ФБО должны быть способны обнаружить возникновение
характерных событий, которые свидетельствуют о значительной угрозе осуществлению ПБО. Этот поиск
характерных событий может происходить в режиме реального времени или при анализе данных аудита в
пакетном режиме.
В FAU
_
SAA.4 «Сложная эвристика атаки» ФБО должны быть способны задать и обнаружить много
шаговые сценарии проникновения. Здесь ФБО способны сравнить события в системе (возможно, выпол
няемые несколькими участниками) с последовательностями событий, известными как полные сценарии
проникновения. ФБО должны быть способны указать на обнаружение характерного события или последо
вательности событий, свидетельствующихо возможном нарушении ПБО.
7.3.3 Управление: FAU
_
SAA.1
Для функций управления из класса FMT могут рассматриваться следующие действия:
а) сопровождение (добавление, модификация, удаление) правил из набора правил.
7.3.4 Управление: FAU
_
SAA.2
Для функций управления из класса FMT могут рассматриваться следующие действия:
сопровождение (удаление, модификация, добавление) группы пользователей в целевой группе
а)
профиля.
13