信息系統(tǒng)安全技術--安全審計與分析-資料下載頁
2025-01-18 08:07本頁面
【正文】 ITSEC和TCSEC，并取代 “ Orange Book”。 ISO 15408由三個部分組成 第一部分：定義了如何創(chuàng)建安全目標和需求，還提供了一個術語的概述 第二部分：定義了如何建立能夠使商業(yè)通信更安全的需求列表 第三部分：提出了如何建立能夠達到公司安全需求的 “ 保險內(nèi)容 ” 的過程。 ISO 15408的第三部分 第三部分的內(nèi)容描述很仔細和復雜，作為審計人員只需要理解這些條款的基本內(nèi)容即可。許多專家用它們來： 作為廠商需要的特殊設置 提供了審計人員和 IT專家在商業(yè)和技術交流中常用的術語 定義了為更新網(wǎng)絡或特殊產(chǎn)品而建立特殊過程的需求 需要由軟件和硬件廠商聲明的證明能力 與安全審計員有關的概念和術語 術語 描述 Protection Profile（ PP） 需要的網(wǎng)絡服務和元素的項系列表，包括安全目標 Security Objectives 列出如何提出特別的弱點的書面描述。這是一種總體的陳述。安全需求比目標陳述更具體 Security Target（ ST） 由生產(chǎn)廠商提供的描述安全工具的用處的一組聲明。與安全目標和安全需求不同。安全需求是由廠商實施在軟硬件上的，而安全目標只是由 IT部門和網(wǎng)絡審計人員定義的目標 與安全審計員有關的概念和術語 術語 描述 Target of Evaluation（ TOE） 你將要審計的某個操作系統(tǒng)，網(wǎng)絡，分布式的程序或軟件。使用安全目標和安全對象，你可以確定系統(tǒng)是否滿足了目標以及對象是否達到了聲明的功能 Packages 任何允許 IT專家達到安全目標和要求的可以重復使用的內(nèi)容。例如七個 EAL。你可以合并這些 Package來確保額外的安全 Evaluation Assurance Level（ EAL） 七個事先定義好的 Packages，用來幫助 IT專家評件規(guī)劃的和已經(jīng)存在的網(wǎng)絡和系統(tǒng) Evaluation Assurance Level EAL提供了描述和預測特別的操作系統(tǒng)和網(wǎng)絡的安全行為的通用的方法。等級數(shù)越高，則要求得越嚴格。 EAL1需要由TOE廠商做出聲明的證明， EAL7需要你核實和記錄下實施過程的每一個步驟。 Evaluation Assurance Level 設計的證明： EAL1只要求檢查產(chǎn)品的文件，而 EAL7要求對系統(tǒng)進行完全的記錄完整的獨立的分析 抵御攻擊的能力： EAL1需要產(chǎn)品至少聲明能夠提供對攻擊的有效防范；而 EAL 7需要操作系統(tǒng)能夠抵御復雜的破壞數(shù)據(jù)機密性和拒絕服務是的攻擊 七個 EAL類別 EAL類別 描述 EAL1 功能上的測試：分析產(chǎn)品的聲明，和實施TOE的基本測試 EAL2 結(jié)構(gòu)上的測試：需要選擇 TOE的重要元素來經(jīng)受具有權威資格的測試，例如程序開發(fā)者 EAL3 系統(tǒng)的測試和檢查：進行測試的要求非常嚴格，在有限的基礎上，操作系統(tǒng)的所有元素都必須獨立的檢驗 七個 EAL類別（續(xù)） EAL類別 描述 EAL4 系統(tǒng)的設計，測試和回顧：這一級別的保證是允許已經(jīng)完成的程序和以前實施的系統(tǒng)進行更改的最高保證。這一級別還需要操作系統(tǒng)通過抵御低級別的攻擊的測試 EAL5 半正式的設計和測試：操作系統(tǒng)必須可以經(jīng)受適度的，比較復雜的攻擊 EAL6 半正式的驗證設計和測試：與 EAL5相同，但是需要第三方的 TOE設計核實 EAL7 操作系統(tǒng)必須完整地回顧和被證明能夠抵御靈活的攻擊。正式的設計和測試：確保發(fā)展的過程有組織，由第三方記錄所有的過程。例如，所有通行都必須被記錄下來 謝謝！
試題試卷相關推薦
鄂ICP備17016276號-1