ГОСТ Р ИСО/МЭК 15408-2-2013
темных данных). Поэтому от автора ПЗ/ЗБ требуется специфицировать виды данных, используемых
при контроле показателей функционирования системы.
Элементы FAU_SAA.4 «Сложная эвристика атаки» не требуют, чтобы реализация эвристик рас
познавания прямой атаки осуществлялась теми же самыми ФБО. выполнение которых подлежит мо
ниторингу. Поэтому компоненты, применяемые для обнаружения вторжения, можно разрабатывать
независимо от системы, показатели функционирования которой подлежат анализу.
С.4.5.2 Операции
С.4.5.2.1 Назначение
В FAU_SAA.4.1 автору ПЗ/ЗБ следует идентифицировать базовое множество перечня последо
вательностей системных событий, совпадение которых типично для известных сценариев проникно
вения. Эти последовательности событий представляют известные сценарии проникновения. Каждое
событие в последовательности следует сопоставлять с контролируемыми системными событиями, и
если в итоге все системные события произошли в действительности, это подтверждает (отображает)
попытку проникновения.
В FAU_SAA.4.1 автору ПЗ/ЗБ следует специфицировать базовое подмножество системных со
бытий. появление которых, в отличие от иных показателей функционирования системы, может указы
вать на нарушение выполнения ФТБ. К ним относятся как события, сами по себе указывающие на
очевидные нарушения выполнения ФТБ. так и события, появление которых является достаточным
основанием для принятия мер предосторожности.
В FAU_SAA.4.2 автору ПЗ/ЗБ следует специфицировать информацию, используемую при опре
делении показателей функционирования системы. Информация является исходной для инструмен
тальных средств анализа показателей функционирования системы, применяемых в ОО. В эту инфор
мацию могут входить данные аудита, комбинации данных аудита с другими системными данными и
данные, отличные от данных аудита. При составлении ПЗ/ЗБ следует точно определить, какие сис
темные события и атрибуты событий используются в качестве исходной информации.
С.5 Просмотр аудита безопасности (FAU_SAR)
С.5.1 Замечания по применению
Семейство FAU_SAR определяет требования, относящиеся к просмотру информации аудита.
Следует, чтобы функции предоставляли возможность отбирать данные аудита до или после
сохранения, обеспечивая, например, возможность избирательного просмотра данных о следующих
действиях:
• действия одного или нескольких пользователей (например, идентификация, аутентифика
ция, вход в ОО идействия по управлению доступом);
- действия, выполненные над определенным объектом или ресурсом ОО;
193