| Nemzeti Számítógép-biztonsági Központ | |
|---|---|
| Országos Számítógép-biztonsági Központ | |
| Ország | USA |
| Létrehozva | 1981 |
| Joghatóság | Amerikai Védelmi Minisztérium |
| Költségvetés | osztályozott |
| Átlagos népesség | osztályozott |
| Menedzsment | |
| Felügyelő | osztályozott |
| Helyettes | Volt helyettes |
| Weboldal | nsa.gov |
Az Egyesült Államok Nemzeti Számítógép-biztonsági Központja az Egyesült Államok Nemzetbiztonsági Ügynökségének része . Szövetségi szinten ő felel a számítógépes biztonságért. [1] A 80-as évek végén és a 90-es évek elején a Nemzetbiztonsági Ügynökség és az Egyesült Államok Nemzeti Számítógép-biztonsági Központja [2] a szivárványos könyvsorozatban publikált egy kritériumrendszert a számítógépes rendszerek megbízhatóságának értékelésére .
A National Computer Security Center (NCSC) az Egyesült Államok Nemzetbiztonsági Ügynökségének kormányzati szervezetének része . Kritériumot jelent a számítástechnikai berendezések biztonságának értékeléséhez. Ezek a kritériumok biztosítják, hogy az érzékeny információfeldolgozó létesítmények csak megbízható számítógépes rendszereket és alkatrészeket használjanak [3] . A szervezet az iparban, az oktatásban és a kormányzatban dolgozik, az információk bizalmas kezelésével vagy magas fokú titkosságával kapcsolatos területeken. A központ emellett támogatja az információbiztonsági rendszerek fejlesztésére irányuló projektek tudományos kutatását és szabványosítását. Az Országos Számítógép-biztonsági Központ régebbi neve DoD Computer Security Center (CSC) - a Honvédelmi Minisztérium számítógép-védelmi központja.
1967 októberében egy működő tudományos tanácsot állítottak össze, hogy megvitassák a számítógépes biztonsági kérdéseket, különösen a minősített információk távoli elérésű számítógépes rendszerekben való tárolását és feldolgozását [4] . 1970 februárjában a Task Force jelentést tett közzé "Security Controls for Computer Systems [5] " címmel. Számos ajánlást fogalmazott meg a minősített információk kiszivárogtatásának veszélyének csökkentése érdekében szükséges politikai és technikai intézkedésekre vonatkozóan. Az 1970-es évek elején és közepén bemutatták a számítógépes rendszerekben az erőforrások és információk cseréjével kapcsolatos technikai problémákat. A DoD Computer Security Initiative [6] 1977 -ben indult a védelmi miniszter égisze alatt a számítógépes biztonsági kérdések megoldására. A honvédelmi miniszter erőfeszítéseivel egyidőben újabb vizsgálat indult. Ez a számítógépes biztonsági problémák azonosításából és megoldásából állt egy biztonságos számítógépes rendszer felépítése és biztonságának felmérése érdekében. A tanulmányt a National Bureau of Standards (NBS) vezette . E munka részeként a Nemzeti Szabványügyi Hivatal két workshopot tartott a számítógépes biztonság teszteléséről és értékeléséről. Az elsőre 1977 márciusában, a másodikra 1978 novemberében került sor . A második műhelymunka egy záródokumentumot készített a számítógépes biztonsági értékelési kritériumok megadásával járó kihívásokról. A DoD Computer Security Centert 1981 januárjában hozta létre a Védelmi Minisztérium, hogy kibővítse a DoD Computer Security Initiative által megkezdett munkát, és jelenlegi nevét 1985-ben Nemzeti Számítógépbiztonsági Központra változtatta. Az Egyesült Államok Nemzetbiztonsági Ügynökségének része.
A központ fő célja, amint azt alapító okirata [7] tartalmazza , hogy elősegítse a minősített vagy bizalmas információkat kezelő megbízható számítógépes rendszerek széles körű elérhetőségét. Az ebben a dokumentumban bemutatott kritériumok a korábbi Nemzeti Szabványügyi Hivatal kritériumaiból alakultak ki .
A dokumentumokban feltüntetett alkotási célok:
Az Egyesült Államok Nemzeti Számítógép-biztonsági Központja hat alapvető követelményt dolgozott ki: négy az információhoz való hozzáférés ellenőrzésére vonatkozik; kettő pedig arról szól, hogy szilárd biztosítékokat szerezzünk arra vonatkozóan, hogy az információkhoz egy megbízható számítógépes rendszeren férünk hozzá [8] .
Egy világosan meghatározott biztonsági szabályzatnak kell lennie, amely irányítja a rendszert. Az azonosított alanyok és objektumok ismeretében meg kell határozni a rendszer által használt szabályokat, hogy meg lehessen határozni, hogy egy adott alany hozzáfér-e egy adott objektumhoz. A számítógépes rendszereket olyan biztonsági szabályzatnak kell vezérelnie, amely szabályokat tartalmaz a bizalmas vagy titkos információkhoz való hozzáférésre a későbbi feldolgozás céljából. Ezen túlmenően diszkrecionális hozzáférés-szabályozásra van szükség annak biztosítására, hogy csak kiválasztott felhasználók vagy felhasználói csoportok férhessenek hozzá az adatokhoz.
A hozzáférés-vezérlési címkéket az objektumokhoz kell társítani. A számítógépen tárolt információkhoz való hozzáférés szabályozásához a kötelező biztonsági szabályoknak megfelelően lehetővé kell tenni, hogy minden objektumot olyan címkével láthassunk el, amely megbízhatóan azonosítja az objektumot. Például az alanyok és objektumok osztályozása, hogy hozzáférést biztosítson azokhoz az alanyokhoz, amelyek potenciálisan hozzáférhetnek az objektumhoz.
Az egyes tantárgyakat meg kell határozni. Az információhoz való hozzáférésnek azon kell alapulnia, hogy ki kér hozzáférést, és milyen információosztályokhoz fér hozzá. Az azonosítást és jogosultságot a számítógépes rendszernek biztonságosan karban kell tartania, és minden olyan aktív elemhez hozzá kell rendelni, amely a rendszerben a biztonságával kapcsolatos tevékenységet végez.
Az auditálási információkat szelektíven kell tárolni és védeni, hogy a biztonságot befolyásoló tevékenységeket vissza lehessen vezetni az e tevékenységekért felelős félig. A megbízható rendszernek képesnek kell lennie a biztonsággal kapcsolatos események naplózására . A biztonsági incidensek kivizsgálása céljából kezelt naplóadatokat védeni kell a módosítástól és az illetéktelen megsemmisítéstől.
A számítógépes rendszernek tartalmaznia kell olyan hardver- vagy szoftvermechanizmusokat, amelyek függetlenül értékelhetők. Ezt azért kell megtenni, hogy megbizonyosodjunk arról, hogy a rendszer megfelel a fenti 1-4. követelményeknek. Annak érdekében, hogy a biztonsági politikát, a jelölést, az azonosítást és az elszámoltathatóságot egy számítógépes rendszer kényszerítse ki, meghatározott és egységes hardver- és szoftvergyűjteményre van szükség, amely ezeket a funkciókat ellátja. Ezeket a mechanizmusokat általában az operációs rendszerbe építik be , és úgy tervezték, hogy biztonságos módon hajtsanak végre egy feladatot. Az ilyen mechanizmusokra való hagyatkozás alapját egyértelműen dokumentálni kell oly módon, hogy független felülvizsgálat lehessen bizonyítani e mechanizmusok elégségességét.
Az ezen alapvető követelményeknek megfelelő, megbízható mechanizmusokat folyamatosan védeni kell a hamisítástól és a jogosulatlan változtatásoktól. Egyetlen számítógépes rendszer sem lehet igazán biztonságos, ha a biztonsági politikát megvalósító hardver- és szoftvermechanizmusok maguk is ki vannak téve jogosulatlan módosításnak vagy felforgatásnak .
A Számítógép-biztonsági Központ oktatási céllal információkat terjeszt a számítógép-biztonsági kérdésekről. A szervezet ad otthont az információbiztonsági rendszerek éves országos konferenciájának is. A konferencia hozzájárul a kereslet növekedéséhez és a beruházások növeléséhez az információbiztonsági kutatás területén. Az első országos konferencia a NISSC – a National Information Systems Security Conference [9] . A konferencia 23 éven keresztül, 10 évvel a számítógép-biztonsági törvény 1987-es elfogadása előtt a számítógép- és információbiztonsági rendszerek vezető globális fóruma volt.
Az Országos Számítógép-biztonsági Központ feladata a Narancs és Vörös Könyv kiadása , amelyek részletezik a számítástechnikai rendszerek és hálózatok biztonságos használatát az információbiztonság szempontjából. A számítógépes rendszerek biztonságának meghatározásának kritériumai a Rainbow Series kiadványok részét képezik , amelyeket többnyire a Common Criteria is megismétel . Ezenkívül a Számítógép-biztonsági Központ számos publikációt adott ki a számítógépes biztonság témájában.
[CSC] Department of Defense, "Password Management Guideline" [10] , CSC-STD-002-85, 1985. április 12., 31 oldal.
Az útmutató leírja a jelszóval kapcsolatos sebezhetőség minimalizálásának lépéseit a jelszóalapú hitelesítési forgatókönyvek mindegyikében.[NCSC1] NCSC, "A Guide to Understanding AUDIT in Trusted Systems" [11] , NCSC-TG-001, 2-es verzió, 1988. június 1., 25 oldal.
Útmutató a megbízható rendszerekben történő auditáláshoz a számítógépes rendszerbe való behatolás észleléséhez és az erőforrásokkal való visszaélések azonosításához.[NCSC2] NCSC, "Útmutató a DISZKRECIÓS HOZZÁFÉRÉSSZABÁLYOZÁS megértéséhez megbízható rendszerekben" [12] , NCSC-TG-003, 1-es verzió, 1987. szeptember 30., 29 oldal.
Útmutató a megbízható rendszerek auditálásához a diszkrét hozzáférés-vezérléssel. A diszkrecionális hozzáférés-vezérlés napjainkban a számítógépes rendszerekben alkalmazott legelterjedtebb hozzáférés-szabályozási mechanizmus.[NCSC3] NCSC, "A Guide to Understanding CONFIGURATION MANAGEMENT in Trusted Systems" [13] , NCSC-TG-006, 1-es verzió, 1988. március 28., 31 oldal.
Útmutató az auditáláshoz megbízható rendszerekben a konfiguráció ellenőrzéséhez. A konfiguráció vezérlése a következő lépésekből áll: azonosítás, vezérlés, állapotnaplózás és auditálás.[NTISS] NTISS, "Advisory Memorandum on Office Automation Security Guideline" [14] , NTISSAM CONPUSEC/1-87, 1987. január 16., 58 oldal.
Ez a dokumentum útmutató az AU-ban a biztonságért, valamint a szoftver- és hardverellátásért felelős felhasználóknak vagy rendszergazdáknak. Ez az útmutató a következőket írja le: fizikai biztonság, személyzet biztonsága, eljárási biztonság, szoftver és hardver intézkedések, PEMIN elleni védelem és kommunikációs biztonság az önálló SS-hez, a gazdagéphez csatlakozó terminálként használt SS-hez és a LAN-ban használt SS-hez. Megkülönböztetik a hajlékonylemez-meghajtóval (hajlékonylemez-meghajtó) és a HDD-vel (merevlemez-meghajtóval) felszerelt hangszórókat.[NCSC4] National Computer Security Center, "Glossary of Computer Security Terms", NCSC-TG-004, NCSC, 1988. október 21.
A számítógépes biztonság fogalmainak szószedete.
[NCSC5] National Computer Security Center, "Trusted Computer System Evaluation Criteria", DoD 5200.28-STD, CSC-STD-001-83, NCSC, 1985. december.
[NCSC7] Nemzeti Számítógép-biztonsági Központ, "Útmutató a Védelmi Minisztérium megbízható számítógépes rendszereinek értékelési kritériumainak alkalmazásához meghatározott környezetekben", CSC-STD-003-85, NCSC, 1985. június 25.
[NCSC8] National Computer Security Center, "Technical Rationale Behind CSC-STD-003-85: Computer Security Requirements", CSC-STD-004-85, NCSC, 85. június 25.
[NCSC9] National Computer Security Center, "Magnetic Remanence Security Guideline", CSC-STD-005-85, NCSC, 1985. november 15.
[NCSC10] National Computer Security Center, "Guidelines for Formal Verification Systems", Szállítási lista száma: 89-660-P, The Center, Fort George G. Meade, MD, 1990. április 1.
[NCSC11] National Computer Security Center, "Glossary of Computer Security Terms", Szállítási lista száma: 89-254-P, The Center, Fort George G. Meade, MD, 1988. október 21..
[NCSC12] Nemzeti Számítógépes Biztonsági Központ, "Trusted UNIX Working Group (TRUSIX) indoklás a UNIX rendszer hozzáférés-vezérlési lista funkcióinak kiválasztásához", Szállítási lista száma: 90-076-P, The Center, Fort George G. Meade, MD , 1990.
[NCSC13] National Computer Security Center, "Trusted Network Interpretation", NCSC-TG-005, NCSC, 1987. július 31.
[NCSC14] Tinto, M., "Computer Viruses: Prevention, Detection and Treatment", National Computer Security Center C1 Technikai Jelentés C1-001-89, 1989. június.
[NCSC15] Nemzeti Számítógép-biztonsági Konferencia, "12. Nemzeti Számítógép-biztonsági Konferencia: Baltimore Convention Center, Baltimore, MD, 1989. október 10-13.: Információs rendszerek biztonsága, mai megoldások – A holnap koncepciói", National Institute of Standards and National Computer. Biztonsági Központ, 1989.