ГОСТ Р ИСО/МЭК15408-2—2008
7.3.5 Управление: FAU
_
SAA.3
Для функций управления из класса FMT могут рассматриваться следующие действия:
а) сопровождение (удаление, модификация, добавление) подмножества событий системы.
7.3.6 Управление: FAU
_
SAA.4
Для функций управления из класса FMT могут рассматриваться следующие действия:
a) сопровождение (удаление, модификация, добавление) подмножества событий системы;
b
)сопровождение (удаление, модификация, добавление) набора последовательностей событий сис
темы.
7.3.7 Аудит: FAU.SAA.1, FAU
_
SAA.2, FAU
_
SAA.3, FAU
_
SAA.4
Если в ПЗ/ЗБ включено семейство FAU
_
GEN «Генерация данных аудита безопасности», то следует
предусмотреть возможность аудита следующих действий:
a) минимальный: подключение и отключение любого из механизмов анализа;
b
)минимальный: автоматические реакции, выполняемые инструментальными средствами.
7.3.8 FAU
_
SAA.1 Анализ потенциального нарушения
Иерархический для: нет подчиненных компонентов.
Зависимости: FAU
_
GEN.1 Генерация данных аудита
7.3.8.1 FAU
_
SAA.1.1
ФБО должны быть способны применять набор правил мониторинга событий, подвергаю
щихся аудиту, и указывать на возможное нарушение ПБО, основываясь на этих правилах.
7.3.8.2 FAU
_
SAA.1.2
ФБО должны осуществлять следующие правила при мониторинге событий, подвергающих
ся аудиту:
a) накопление или объединение известных [назначение:
подмножество определенных со
бытий, потенциально подвергаемых аудиту],
указывающих на возможное нарушение безопас
ности;
b
) [назначение:
другие правила].
7.3.9 FAU
_
SAA.2 Выявление аномалии, основанное на профиле
Иерархический для: FAU
_
SAA.1 Анализ потенциального нарушения
Зависимости: FIAJJID.1 Выбор момента идентификации
7.3.9.1 FAU
_
SAA.2.1
ФБО должны быть способны сопровождать профили использования системы, где каждый
отдельный профиль представляет известные шаблоны предыстории использования, выполняв
шиеся участниками [назначение:
специфи
к
ация целевой группы профиля].
7.3.9.2 FAU
_
SAA.2.2
ФБО должны быть способны сопровождать рейтинг подозрительной активности для каждо
го пользователя, чьи действия отражены в профиле, где рейтинг подозрительной активности
показывает степень несогласованности действий, выполняемых пользователем, с установлен
ными шаблонами использования, представленными в профиле.
7.3.9.3 FAU
_
SAA.2.3
ФБО должны быть способны указывать на ожидаемое нарушение ПБО, когда рейтинг подо
зрительной активности пользователя превышает следующие пороговые условия [назначение:
условия, при
к
оторых ФБО сообщают об аномальных действиях].
7.3.10 FAU
_
SAA.3 Простая эвристика атаки
Иерархический для: FAU
_
SAA.1 Анализ потенциального нарушения
Зависимости: нет зависимостей.
7.3.10.1 FAU
_
SAA.3.1
ФБО должны быть способны сопровождать внутреннее представление следующих харак
терных событий [назначение:
подмножество событий системы
], которые могут указывать на
нарушение ПБО.
7.3.10.2 FAU
_
SAA.3.2
ФБО должны быть способны сравнивать характерные события с записью показателей
функционирования системы, полученных при обработке [назначение:
информация, используе
мая для определения по
к
азателей фун
к
ционирования системы].
7.3.10.3 FAU
_
SAA.3.3
ФБО должны быть способны указывать на ожидаемое нарушение ПБО, когда событие сис
темы соответствует характерному событию, указывающему на возможное нарушение ПБО.
14