Microsoft Windows и сертификация Common Criteria, часть I

Возможно, вы слышали об этом раньше. Возможно, вы слышали что-то вроде того, что операционная система Windows 2000 прошла сертификацию Common Criteria на уровне Evaluation Assurance 4 (EAL-4). Вопрос в том, знаете ли вы, что это значит, что это значит для вашей организации или в мире безопасности? В этой статье мы объясним, что такое сертификация Common Criteria и уровни EAL, почему они важны и расширят ваш кругозор в еще одной области системной безопасности. Во второй части этого набора статей мы рассмотрим, как это напрямую связано с линейками продуктов Windows (XP, 2000, 2003) и почему это важно знать и понимать.

«Чтобы получить полное руководство по безопасности, ознакомьтесь с учебным пособием Security+ Study Guide and DVD Training System на Amazon.com».

Что такое сертификация Common Criteria?

Как аналитики безопасности, мы всегда вынуждены создавать только высококачественный код (если мы программисты) или высокозащищенные сети, которые все еще функционируют в бизнес-среде. Если подумать, все инфраструктурные устройства выполняют некую форму «кода», поэтому в основном важно создавать высококачественный код. Почему я не сказал «высокозащищенный код»? Что ж, если бы код был высокого качества (проходя строгий контроль качества — процесс обеспечения качества), то у нас не было бы «эксплойтов» этого кода ежедневно. Написание высококачественного кода — это действительно то, что устраняет 90% недостатков в компьютерных системах и дыр, через которые ежегодно проникают тонны вирусов. Итак, в свою очередь, поскольку все вращается вокруг «денег», крайне важно быть «первым на рынке» — так что вот оно — уловка-22. Сертификация Common Criteria (во многом аналогичная лабораториям ICSA для большинства продуктов Firewall сегодня) — это сертификат, полученный для «доказательства» того, что такой продукт, как Microsoft Windows 2000, «сертификационно» протестирован и признан безопасным на определенном уровне. Достаточно страшно, что многие продукты не проходят эту сертификацию из-за того, что не соответствуют ее стандартам. Стандартами, если хотите, являются уровни EAL, которые мы обсудим позже в этой статье.

Помните, что безопасность начинается с надежного программного обеспечения и качественного кода. Затем «тестирование» этого кода подразумевает его безопасность. Кроме того, как только вы создадите программное обеспечение хорошего качества, вы должны знать, что его необходимо продолжать оценивать, чтобы поддерживать этот статус, а это означает, что важно иметь систему поддержки, чтобы «исправлять» то, что стало прорывом путем проб и ошибок.. Это значит, что Джо сидит дома и установил какую-то странную 16-битную программу, которую не тестировал продавец, продающий программное обеспечение, и вуаля — по какой-то причине рождается уязвимость в системе безопасности. Эта причина может заключаться в том, что он что-то перезаписал, и это создало проблему. Теперь поставщик программного обеспечения должен отследить проблему и, если она достаточно распространена, создать «исправление» для ее решения. Все это означает, что поставщик программного обеспечения, вероятно, заменил несколько программных файлов более новыми версиями, которые не могут быть использованы для этой последней проблемы, какой бы она ни была. Не хочу показаться смешным, но это действительно корни того, что означает эта сертификация. Чтобы продолжать продавать код, вероятно, было бы разумно показать миру, что он был тщательно протестирован и признан безопасным третьей стороной, не связанной напрямую с кошельками компании-поставщика программного обеспечения… таким образом, рождается сертификация по общим критериям.

Сертифицирован ли Windows Server 2003?
Ну нет. Поскольку это сайт безопасности Windows, я скажу здесь и сейчас, что Windows 2000 сертифицирована Common Criteria Certification. Это факт, что Windows Server 2003 еще не был сертифицирован, но это не значит, что он не оценивает сертификацию или каким-либо образом провалил ее; процесс сертификации занимает годы, и он еще не завершен. В конце этой статьи я разместил ссылку, чтобы показать ссылку на Microsoft.com, которая показывает эту информацию. В конце концов он завершит тестирование (которое иногда длится годами, поскольку оно очень строгое) и также будет сертифицирован.

Теперь, когда у вас есть четкое представление о том, почему существует эта сертификация, давайте перейдем к технической чепухе. Common Criteria — это международный стандарт, ратифицированный в 1999 году. Теперь этот стандарт заменяет старый стандарт, который, если вы помните со времен NT 4.0… называется C2.

Что такое С2?
Рейтинг «C2» — это рейтинг, присвоенный NCSC. Национальный центр компьютерной безопасности (или NCSC) оценивает продукты в соответствии с TCSEC Министерства обороны США, что означает «Критерии оценки надежных компьютерных систем». Этот рейтинг C2 можно найти в Оранжевой книге (она названа так потому, что у нее оранжевая обложка). Рейтинг C2 очень похож на сертификацию Common Criteria — это набор поддающихся проверке стандартов, по которым продукт должен быть проверен, чтобы доказать его ценность. C2 был старым способом, сертификация Common Criteria — новым способом.

Следует отметить, что Оранжевая книга оценивает только автономные системы; он не оценивает безопасность клиента по отношению к серверу и должен быть отмечен. Красная книга распространяется на сетевые системы, а не только на автономные системы.

Поскольку Общие критерии являются многонациональными, это означает, что использование сертифицированного продукта во всем мире должно означать большую безопасность, большую безопасность для клиентов, использующих продукт. Это не значит, что если у вас неправильно сконфигурировано программное обеспечение, то это проблема производителя — это ваша проблема. Если вы совершенно не смогли что-то остановить из-за того, что ваш продукт был неисправен, то это проблема производителя.

Теперь, когда мы понимаем Общие критерии, давайте посмотрим на уровни EAL. Общие критерии определяют ряд уровней гарантии оценки (EAL) для продуктов, находящихся на стадии оценки, таких как Windows Server 2003.

Понимание уровней EAL

В Common Criteria уровни EAL довольно просто используются для демонстрации «силы».

Более высокая сертификация EAL в конечном итоге указывает на более высокий уровень уверенности в том, что продукты поставщика работают хорошо и могут быть безопасными. Не маленькая задача в наши дни.

Windows 2000 сертифицирован…
Как я упоминал ранее, Windows 2000 прошла сертификацию. Тестирование Microsoft Windows 2000 было завершено не так давно и получило сертификат EAL 4 + Flaw Remediation. Это гарантирует, что вы получаете хорошо проверенный продукт.

EAL (или уровни обеспечения оценки) — это просто… уровни, которые должны быть достигнуты оцениваемым продуктом. EAL основаны на очень простой мысли — степени гибкости и использования системы, а также уровне обеспечения безопасности, обеспечиваемом этим уровнем использования. «EAL» — это определение того, как эта конкретная система была протестирована. Это отличная вещь, продукт, который работает так, как рекламируется: гибкий и безопасный.

У вас есть семь EAL. EAL 1 — самый низкий, EAL 7 — самый высокий. Вы можете проверить текущие уровни и списки на сайтах, указанных в конце этой статьи. Уровень определяет уровень гарантии.

Уровни гарантии оценки
EAL 1 охватывает самый низкий и самый базовый из сертифицируемых гарантий оценки. Как ни странно, этот рейтинг охватывает только «функциональность» продукта, а не обязательно его безопасность. На самом деле этот рейтинг EAL означает, что система будет работать в производственной среде (она функциональна), но в системе не тестируется безопасность для достижения рейтинга EAL 1.

EAL 2 охватывает следующий этап рейтинговой системы. Помните, чем выше рейтинг, тем надежнее система. Важно понимать, что этот рейтинг означает только то, что код был проверен в соответствии с более слабым набором стандартов, чем в следующем уровне EAL 3. По сути, в EAL 2 механизмы безопасности теперь проверяются, но умеренно. Это означает, что код проверяется, но не так строго, как на уровне 3.

EAL 3 становится более строгим, но опять же — реинжиниринг кода не производится, процесс разработки не прерывается, EAL 3 может быть достигнут, но он все еще расплывчатый, не то что 4, где теперь требуются затраты на «исправление» того, что необходимо исправить, чтобы получить более высокий и более строгий рейтинг.

EAL 4 (Windows 2000, NetWare, некоторые развертывания Unix) — наиболее распространенный уровень EAL, который вы, вероятно, встретите. Это связано с тем, что это первый уровень, который доказывает, что система безопасна, поскольку поставщик был готов «исправить» проблемы в процессе разработки продукта, чтобы получить этот рейтинг. EAL 4 влечет за собой расходы для поставщика, при обнаружении недостатков возможен реинжиниринг.

EAL 5 — это более высокий уровень, чем четвертый — совсем не умеренный, это очень строгий процесс. EAL 5 не понадобится (стоимость выше, время затрачено больше), чтобы доказать, на что способен EAL 4.

EAL 6 отличается тем, что он применяется специально к клиентам, запрашивающим его, в ситуациях очень высокого риска, которые требуют дополнительного времени и затрат на сертификацию. EAL 6 означает, что разработка систем основана на безопасности… система должна быть безопасной.

EAL 7 используется только в системах с чрезвычайно высоким риском, которые невозможно использовать — опять же, время затрачивается дольше, а стоимость гарантии выше. Использование этого уровня ограничено очень специфическими системами с очень специфическими функциями безопасности.

Примечание. Другой набор уровней из ITSEC можно найти в конце этой статьи.

Резюме:

В этой статье мы рассмотрели, почему вы должны знать и понимать сертификацию Common Criteria и как она напрямую отражается на продуктах Windows. Во второй части мы расскажем о сертификации Windows 2000 и других сертифицированных продуктах Microsoft, а также о том, почему это важно для вас, аналитика по безопасности.

Ссылки и ссылки:
Общие критерии сайта Microsoft.com
http://www.microsoft.com/presspass/features/2003/apr03/04-14WS03Security.asp

Веб-сайты общих критериев
Великобритания
http://www.cesg.gov.uk

НАС
http://niap.nist.gov

Схема общих критериев
http://niap.nist.gov/cc-scheme/

Уровни английского языка
http://www.cesg.gov.uk/site/iacs/index.cfm?menuSelected=1&displayPage=13

Уровни ИТСЕК
http://www.cesg.gov.uk/site/iacs/index.cfm?menuSelected=1&displayPage=12