ГОСТ Р ИСО/МЭК15408-2— 2008
Приложение С
(обязательное)
Аудит безопасности (FAU)
Семейства аудита по ИСО/МЭК 15408 предоставляют авторам ПЗ/ЗБ возможность определить требования
для мониторинга действий пользователя и в некоторых случаях обнаружить существующие, возможные или гото
вящиеся нарушения ПБО. Функции аудита безопасности ОО определены с тем. чтобы помочь осуществлять кон
троль за относящимися к безопасности событиями, и выступают как сдерживающий фактор нарушений безопас
ности. Требования семейств аудита используют функции, включающие в себя защиту данных аудита, формат
записи, выбор событий, а также инструментальные средства анализа, сигналы оповещения при нарушении и
анализ в реальном масштабе времени. Журнал аудита следует представлять в формате, доступном человеку
либо явно (например, храня журнал аудита в таком формате), либо неявно (например, применяя инструменталь
ные средства предварительной обработки данных аудита) или с использованием обоих методов.
При составлении требований аудита безопасности автору ПЗ/ЗБ следует обращать внимание на взаимо
связь семейств и компонентов аудита. Возможность реализации совокупности требований аудита в соответствии
со списками зависимостей компонентов может привести и к некоторым недостаткам функции аудита (например,
при проведении аудита всех событий, относящихся к безопасности, не будет возможности управлять ими на
селективной основе, такой как принадлежность к отдельному пользователю или объекту).
С.1 Требования аудита в распределенной среде
Реализация требований аудита для сетей и других больших систем может значительно отличаться от реа
лизации таких требований в автономной системе. Для больших и сложных систем требуется более продуманный
план сбора и управления данными аудита, поскольку их труднее интерпретировать (и даже хранить). Обычный
список, упорядоченный по времени, или журнал событий, подвергающихся аудиту, не применимы в глобальных, не
синхронизированных сетях, в которых одновременно происходит множество событий.
Кроме того, в распределенном ОО в различных хост-компьютерах и серверах могут быть различные полити
ки назначения имен. Для того чтобы избежать избыточности и «столкновения» имен, может потребоваться обще-
сетевое соглашение об их согласованном представлении для аудита.
Для обслуживания распределенной системы может потребоваться хранилище данных аудита из многих
объектов, доступное потенциально широкому кругу уполномоченных пользователей.
Наконец, к злоупотреблениям уполномоченных пользователей своими правами следует отнести система
тическое уничтожение отдельных областей хранения данных аудита, относящихся к действиям администратора.
Декомпозиция класса FAU «Аудит безопасности» на составляющие его компоненты показана на
рисунке С.1.
С.2 Автоматическая реакция аудита безопасности (FAU
_
ARP)
С.2.1 Замечания по применению
Семейство FAU
_
ARP «Автоматическая реакция аудита безопасности» содержит требования по обработке
событий аудита. Конкретное требование может включать в себя требования сигнала тревоги или действий ФБО
(автоматическая реакция). Например, ФБО могут обеспечивать подачу сигнала тревоги в реальном времени,
прерывание процесса с выявленным нарушением, прекращение обслуживания, блокирование или закрытие
учетных данных пользователя.
Событие аудита определяется как «возможное нарушение безопасности*, если так указано в компонентах
семейства FAU
_
SAA «Анализ аудита безопасности».
С.2.2 FAU
_
ARP.1 Сигналы нарушения безопасности
С.2.2.1 Замечания по применению для пользователя
При сигнале тревоги следует предпринять определенные действия. Они могут включать в себя информиро
вание уполномоченного пользователя, предоставление уполномоченному пользователю перечня возможных
мер противодействия или выполнение корректирующих действий. Автору ПЗ/ЗБ следует быть особенно внима
тельным при определении последовательности проведения таких действий.
С.2.2.2 Операции
С.2.2.2.1 Назначение
В элементе FAU
_
ARP.1.1 автору ПЗ/ЗБ следует определить действия, предпринимаемые в случае возмож
ного нарушения безопасности. Примером списка таких действий является: «информировать уполномоченного
пользователя, блокировать субъекта, действия которого могут привести к нарушению безопасности». Можно так
же указать, что предпринимаемые действия могут определяться уполномоченным пользователем.
С.З Генерация данных аудита безопасности (FAU
_
GEN)
С.3.1 Замечания по применению
Семейство FAU
_
GEN «Генерация данных аудита безопасности» содержит требования по спецификации
событий аудита, которые следует генерировать с использованием ФБО для событий, относящихся к безопас
ности.
93