'

Безопасность сервисов

Понравилась презентация – покажи это...





Слайд 0

Безопасность сервисов Дмитрий Истомин, директор по развитию Уральского центра систем безопасности


Слайд 1

Содержание Какой он – безопасный сервис? Бизнес-процессы, показатели, безопасное состояние. Когда и зачем думать про безопасность? Как сделать сервис безопасным с минимумом затрат? Никак! SDL. Цикл разработки Оценка рисков Как сделать так, чтобы мне поверили? Безопасность на уровне требований и проектирования. Пример оформления ссылки | Дополнительная ссылка


Слайд 2

Какой он – безопасный сервис? Сервис – это автоматизация бизнес-процесса. Безопасный сервис – это безопасная автоматизация бизнес-процесса. Безопасный сервис – это безопасная автоматизация безопасного бизнес-процесса. Безопасно = риски приемлемы VS Безопасно = функционально! Безопасно для кого? Владелец или пользователь?


Слайд 3

Когда нужно думать о безопасности?


Слайд 4

Как сделать безопасный сервис без затрат? Никак


Слайд 5

Модель сервиса   Структурные элементы: хранилища данных, посредники, процессы и границы доверия Информационные потоки


Слайд 6

Модель угроз STRIDE model: S – Spoofing of Identity – подмена идентификатора. T – Tampering with Data – случайное/преднамеренное искажение данных R – Repudiation – отказ от авторства I – Information Disclosure – утечка информации D – Denial of Service – блокирование доступа E – Elevation of Privilege – првышение прав доступа


Слайд 7

Модель угроз


Слайд 8

Как сделать сервис безопасным? Пример методики разработки: Secure Development Lifecycle Стадии: 1. Формирование требований (Reqiurements) 2. Проектирование (Design) 3. Реализация (Implementation) 4. Проверка (Verification) 5. Выпуск (Release) 6. Поддержка (Response)


Слайд 9

У меня все безопасно. Как мне поверят? Пользователь хочет быть уверен в том, что: Архитектура безопасна (функциональные требования) Реализация заслуживает доверия (требования доверия) Что влияет: Личный опыт и опыт близкого круга людей Экспертная оценка


Слайд 10

ISO 15408 Common Criteria Сервис – это автоматизация бизнес-процесса. Безопасный сервис – это безопасная автоматизация бизнес-процесса. Безопасный сервис – это безопасная автоматизация безопасного бизнес-процесса. Безопасное состояние – риски приемлемы.


Слайд 11

У меня все безопасно. Как мне поверят?


Слайд 12

Требования безопасности Функциональные требования налагаются на те функции, которые предназначены для поддержания безопасности и определяют желательный безопасный режим функционирования. Примеры функциональных требований: требования к идентификации, аутентификации, аудиту безопасности, неотказуемости источника Требования доверия налагаются на действия разработчика и оценщика. Примеры требований доверия: требования к строгости процесса разработки, по поиску потенциальных уязвимостей и анализу их влияния на безопасность.


Слайд 13

Требования безопасности Класс – наиболее общее группирование требований безопасности. Все составляющие класса имеют общую направленность. Составляющие класса называются семействами. Семейство – это группа наборов требований безопасности, имеющих общие цели безопасности, но различающихся акцентами или строгостью. Составляющие семейства называются компонентами. Компонент описывает набор требований безопасности, который является наименьшим выбираемым набором требований безопасности. Компоненты составлены из отдельных элементов. Элемент - это выражение требований безопасности на самом нижнем уровне. Он является тем неделимым требованием безопасности, которое может быть верифицировано при оценке.


Слайд 14

Требования безопасности. Пример Класс FIA – требования к функциям установления и верификации заявленного идентификатора пользователя Семейство FIA_SOS – требования к механизмам, которые реализуют определенную метрику качества для предоставляемых секретов и генерируют секреты, удовлетворяющие определенной метрике. Компоненты: FIA_SOS.1 "Верификация секретов" содержит требование, чтобы ФБО верифицировали, отвечают ли секреты определенной метрике качества. FIA_SOS.2 "Генерация секретов ФБО" содержит требование, чтобы ФБО были способны генерировать секреты, отвечающие определенной метрики качества.


Слайд 15

ОУД Оценочные уровни доверия (ОУД) - это предопределенные пакеты требований доверия. ОУД является базовым набором требований доверия для оценки. Каждый ОУД определяет непротиворечивый набор требований доверия. Совместно ОУД формируют упорядоченное множество, которое является предопределенной в ОК шкалой доверия «ОК» устанавливает ряд гарантированных уровней соответствия Оценочный уровень доверия (ОУД), используемых при оценке продуктов. Профили защиты для уровней ОУД1–ОУД4 являются общими для всех стран, поддерживающих стандарт ОК. Для высших уровней ОУД5–ОУД7 профили защиты индивидуально разрабатываются каждой страной для учета национальных особенностей защиты государственных секретов.


Слайд 16


Слайд 17

Итоговая оценка


Слайд 18

Спасибо за внимание!


×

HTML:





Ссылка: