信息系統(tǒng)安全技術(shù)--安全審計(jì)與分析-資料下載頁
2025-02-27 01:01本頁面
【正文】 ISO 15408由三個(gè)部分組成 第一部分：定義了如何創(chuàng)建安全目標(biāo)和需求，還提供了一個(gè)術(shù)語的概述 第二部分：定義了如何建立能夠使商業(yè)通信更安全的需求列表 第三部分：提出了如何建立能夠達(dá)到公司安全需求的“保險(xiǎn)內(nèi)容”的過程。 ISO 15408的第三部分 第三部分的內(nèi)容描述很仔細(xì)和復(fù)雜，作為審計(jì)人員只需要理解這些條款的基本內(nèi)容即可。許多專家用它們來： 作為廠商需要的特殊設(shè)置 提供了審計(jì)人員和 IT專家在商業(yè)和技術(shù)交流中常用的術(shù)語 定義了為更新網(wǎng)絡(luò)或特殊產(chǎn)品而建立特殊過程的需求 需要由軟件和硬件廠商聲明的證明能力 與安全審計(jì)員有關(guān)的概念和術(shù)語 術(shù)語 描述 Protection Profile（ PP） 需要的網(wǎng)絡(luò)服務(wù)和元素的項(xiàng)系列表，包括安全目標(biāo) Security Objectives 列出如何提出特別的弱點(diǎn)的書面描述。這是一種總體的陳述。安全需求比目標(biāo)陳述更具體 Security Target（ ST） 由生產(chǎn)廠商提供的描述安全工具的用處的一組聲明。與安全目標(biāo)和安全需求不同。安全需求是由廠商實(shí)施在軟硬件上的，而安全目標(biāo)只是由 IT部門和網(wǎng)絡(luò)審計(jì)人員定義的目標(biāo) 與安全審計(jì)員有關(guān)的概念和術(shù)語 術(shù)語 描述 Target of Evaluation（ TOE） 你將要審計(jì)的某個(gè)操作系統(tǒng)，網(wǎng)絡(luò)，分布式的程序或軟件。使用安全目標(biāo)和安全對(duì)象，你可以確定系統(tǒng)是否滿足了目標(biāo)以及對(duì)象是否達(dá)到了聲明的功能 Packages 任何允許 IT專家達(dá)到安全目標(biāo)和要求的可以重復(fù)使用的內(nèi)容。例如七個(gè) EAL。你可以合并這些 Package來確保額外的安全 Evaluation Assurance Level（ EAL） 七個(gè)事先定義好的 Packages，用來幫助 IT專家評(píng)件規(guī)劃的和已經(jīng)存在的網(wǎng)絡(luò)和系統(tǒng) Evaluation Assurance Level EAL提供了描述和預(yù)測(cè)特別的操作系統(tǒng)和網(wǎng)絡(luò)的安全行為的通用的方法。等級(jí)數(shù)越高，則要求得越嚴(yán)格。 EAL1需要由TOE廠商做出聲明的證明， EAL7需要你核實(shí)和記錄下實(shí)施過程的每一個(gè)步驟。 Evaluation Assurance Level 設(shè)計(jì)的證明： EAL1只要求檢查產(chǎn)品的文件，而 EAL7要求對(duì)系統(tǒng)進(jìn)行完全的記錄完整的獨(dú)立的分析 抵御攻擊的能力： EAL1需要產(chǎn)品至少聲明能夠提供對(duì)攻擊的有效防范；而 EAL 7需要操作系統(tǒng)能夠抵御復(fù)雜的破壞數(shù)據(jù)機(jī)密性和拒絕服務(wù)是的攻擊 七個(gè) EAL類別 EAL類別 描述 EAL1 功能上的測(cè)試：分析產(chǎn)品的聲明，和實(shí)施TOE的基本測(cè)試 EAL2 結(jié)構(gòu)上的測(cè)試：需要選擇 TOE的重要元素來經(jīng)受具有權(quán)威資格的測(cè)試，例如程序開發(fā)者 EAL3 系統(tǒng)的測(cè)試和檢查：進(jìn)行測(cè)試的要求非常嚴(yán)格，在有限的基礎(chǔ)上，操作系統(tǒng)的所有元素都必須獨(dú)立的檢驗(yàn) 七個(gè) EAL類別（續(xù)） EAL類別 描述 EAL4 系統(tǒng)的設(shè)計(jì)，測(cè)試和回顧：這一級(jí)別的保證是允許已經(jīng)完成的程序和以前實(shí)施的系統(tǒng)進(jìn)行更改的最高保證。這一級(jí)別還需要操作系統(tǒng)通過抵御低級(jí)別的攻擊的測(cè)試 EAL5 半正式的設(shè)計(jì)和測(cè)試：操作系統(tǒng)必須可以經(jīng)受適度的，比較復(fù)雜的攻擊 EAL6 半正式的驗(yàn)證設(shè)計(jì)和測(cè)試：與 EAL5相同，但是需要第三方的 TOE設(shè)計(jì)核實(shí) EAL7 操作系統(tǒng)必須完整地回顧和被證明能夠抵御靈活的攻擊。正式的設(shè)計(jì)和測(cè)試：確保發(fā)展的過程有組織，由第三方記錄所有的過程。例如，所有通行都必須被記錄下來 謝謝！ 演講完畢，謝謝觀看！
外語相關(guān)推薦
鄂ICP備17016276號(hào)-1