ГОСТ Р ИСО/МЭК 15408-2-2013
С.4.4.2 Операции
С.4.4.2.1 Назначение
В FAU_SAA.3.1 автору ПЗ/ЗБ следует идентифицировать базовое подмножество системных со
бытий. появление которых, в отличие от иных показателей функционирования системы, может указы
вать на нарушение выполнения ФТБ. К ним относятся как события, сами по себе указывающие на
очевидные нарушения выполнения ФТБ, так и события, появление которых является достаточным
основанием для принятия мер предосторожности.
В FAU_SAA.3.2 автору ПЗ/ЗБ следует специфицировать информацию, используемую при опре
делении показателей функционирования системы. Информация является исходной для инструмен
тальных средств анализа показателей функционирования системы, применяемых в ОО. В эту инфор
мацию могут входить данные аудита, комбинации данных аудита с другими системными данными и
данные, отличные от данных аудита. При составлении ПЗ/ЗБ следует точно определить, какие сис
темные события и атрибуты событий используются в качестве исходной информации.
С.4.5 FAU_SAA.4 Сложная эвристика атаки
С.4.5.1 Замечания по применению для пользователя
На практике случай, когда средства анализа могут точно предсказать ожидаемое нарушение
безопасности, является редкой удачей. Тем не менее, существуют некоторые системные события,
важные настолько, что всегда заслуживают отдельного отслеживания. Примерами таких событий яв
ляются удаление файла с ключевыми данными безопасности ФБО (например, файла паролей) или
попытка удаленного пользователя получить административные привилегии. Такие события называют
характерными,
поскольку они. в отличие от остальных событий, свидетельствуют о попытках втор
жения в систему. Последовательность событий является упорядоченным множеством характерных
событий, которые могут указывать на попытки вторжения.
Сложность средств анализа в значительной степени будет зависеть от назначений, сделанных
автором ПЗ/ЗБ при определении базового множества характерных событий и последовательностей
событий.
В ПЗ/ЗБ следует перечислить события, которые следует отслеживать ФБО с целью их анализа.
Автору ПЗ/ЗБ следует указать, на основании какой информации о событии его можно отнести к харак
терным.
Административные уведомления следует доводить до уполномоченного пользователя таким
образом, чтобы он понимал значение этих событий и приемлемую реакцию на них.
При спецификации этих требований предусмотрена возможность привлечения иных источников
данных о функционировании системы, кроме данных аудита. Это было сделано с целью расширения
привлекаемых методов обнаружения вторжения, которые при анализе показателей функционирова
ния системы используют не только данные аудита (примерами других типов источников данных яв
ляются параметры сетевых дейтаграмм, данные о ресурсах/учете или комбинации различных сис-
192