Validation of the Ontology Based Model of the Common Criteria Evaluation Evidences

• Autorzy: Białas A.

Warianty tytułu

Walidacja modelu materiału dowodowego do oceny zabezpieczeń według metodyki Wspólne Kryteria bazującego na ontologii

• Języki publikacji: EN

Abstrakty

EN

The paper concerns the validation of the selected issues related to the new ontology-based approach to the elaboration and management of evidences prepared by developers for the FT security evaluation process according to the Common Criteria standard. The evidences arc implied by the claimed EAL (Evaluation Assurance Level) for a developed IT product or system, called TOE (Target of Evaluation). The evidences envisage the TOE features and its development environment. The validation and use of the author’s elaborated ontology are discussed, including: composing evidences for the given TOE and EAL, expressing details of evidences documents, issuing queries to get given information about model, etc.The paper also shows how the evidences are organized, developed and used. This work is aimed at the development of a prototype of a knowledge base, designed mainly for developers to allow them to compose and manage different kinds of evidences elaborated on the patterns basis. This knowledge base can be used by a software tool aiding developers who produce evaluation evidences.

PL

Artykuł przedstawia wybrane zagadnienia dotyczące walidacji modelu materiału dowodowego służącego do oceny zabezpieczeń informatycznych, opracowanego w oparciu o metody inżynierii wiedzy i metodykę “Wspólne Kryteria” (ISO/IEC 15408 Common Criteria). Artykuł stanowi kontynuację artykułu [3], nakreślającego tło tematyki i wprowadzającego ontologię środków specyfikacji (SMO - Spécification Means Ontology). Niniejszy artykuł poświęcono walidacji modelu danych opartego na SMO i związanego z metodyką Common Criteria. Na wstępie artykuł zawiera krótkie informacje wprowadzające dotyczące: podejścia onto logicznego, rozważanej dziedziny wiedzy oraz pojęć wprowadzonych przez SMO. Główną część artykułu (Rozdział 5) poświęcono wybranym zagadnieniom dotyczącym wykorzystania ontologii SMO i związanej z nią bazy wiedzy - zagadnieniom napotkanym podczas walidacji rozwiązań na przykładzie projektu systemu zaporowego. W sekcji 5.1 wskazano punkt startowy tworzenia materiału dowodowego dla produktu informatycznego, czyli przedmiotu oceny (TOE - Target of Evaluation). Punktem tym jest specyfikacja funkcji zabezpieczających zawarta w zadaniu zabezpieczeń (ST - Security Target). Funkcje te należy zaimplementować w produkcie informatycznym na zadanym poziomie uzasadnionego zaufania EAL (Evaluaüon Assurance Level), czyli opracować na odpowiednim poziomie szczegółowości materiał dowodowy. Jego wykaz dla systemu zaporowego MyFirewall/EAL4+ zawiera Tab. 1. Sekcja 5.2 ilustruje model materiału dowodowego implikowanego przez komponenty danego pakietu EAL - pokazuje organizację materiału jako całości z uwzględnieniem wzbogacenia i rozszerzenia pakietu EAL4 do EAL4+.

Słowa kluczowe

EN

Common Criteria; IT security evaluation; knowledge engineering; modelling; ontology; assurance methods

• Wydawca: Instytut Informatyki Teoretycznej i Stosowanej Polskiej Akademii Nauk
• Czasopismo: Theoretical and Applied Informatics
• Rocznik: 2013
• Tom: Vol. 25, No. 3-4
• Strony: 201--222
• Opis fizyczny: Bibliogr. 17 poz., rys.

Twórcy

autor

Białas A.

• Instytut Technik Innowacyjnych EMAG ul. Leopolda 31, Katowice, Poland

Bibliografia

• [1] Common Criteria for IT security evalualion, part 1-3. v. 3.1. 2009.
• [2] Criteria Portal, http://www.commoncriteriaportal.org/ Accessed Feb 2013.
• [3] Bialas A.: Ontology Based Model of the Common Criteria Evaluation Evidences. Theoretical and Applied Informatics, ISSN 1896-5334, Vol. 25 (2013), no. 2, pp.69-91.
• [4] Noy, N.F., McGuiness, D.L.: Ontology Development 101: A Guide to Creating Your First Ontology. In: Stanford Knowledge Sysl. Lab. Tech. Rep. KSL-01-05 and Stanford Medical Informatics Tech. Rep. SMI-2001-0880. Stanford University, CA, 2001. http://www- ksl.stanford.edu/people/dlm/papers/ontology-tutorial-noy-mcguinness-ab.stract.html Accessed March 2013.
• [5] Protégé Ontology Editor and Knowledge Acquisition System, v.3.4. Stanford University. http://protege.stanford.edu/(2008). Accessed May 2008, March 2013.
• [6] Bialas, A.: Ontology-based Security Problem Definition and Solution for the Common Criteria Compliant Development Process. In: Proceedings of 2009 Fourth International Conference on Dependability of Computer Systems (DepCoS-RELCOMEX 2009), pp. 3-10. ISBN 978-0-7695-3674-3, IEEE Computer Society, Los Alamitos; Washington; [1]Tokyo.
• [7] Bialas, A: Validation of the Specification Means Ontology on the Simple Firewall Case. In: Arabnia H., Daimi K. (Eds.), Proc. of the 2009 Int. Conf. on Security and Management, (WORLDCOMP'09 - The 2009 World Congress in Computer Science, Computer Engineering, and Applied Computing), Vol. I, pp. 278-284. ISBN: 1-60132-124-4, 1-60132- 125-2 (1-60132-126-0, CSREA Press, Las Vegas.
• [8] Białas A., Ontological approach to the motion sensor security development. Electrical Review (Przegląd Elektrotechniczny), ISSN 0033-2097, vol. 85 (R.85), Number 11/2009, 36-44. Sigma-NOT, Warsaw.
• [9] Bialas, A.: Semifonnal framework for ICT security development. Presentation on the 8th International Common Criteria Conference, Rome, 25-27 September 2007. http://www.8iccc.com/index.php Accessed April 2009.
• [10] Bialas, A.: Semifonnal Approach to the IT Security Development. In: W. Zamojski, J. Mazurkiewicz, J. Sugier, T. Walkowiak (Eds.) Proc. of the Int. Conf. on Dependability of Computer Systems 11
• [11] Białas, A., Semiformal Common Criteria Compliant IT Security Development Fromework. Studia Informatica Vol. 29, Number 2B(77). Silesian University of Technology Press Gliwice 2008. http://www.zmsi.aei.polsl.pl/accessed March 2013.
• [12] Białas, A.: Ontology-based Approach to the Common Criteria Compliant IT Security Development. In: H. Arabnia, S., Aissi, M., Bedworth (cds.) Proc. of the 2008 Int. Conf. on Security and Management, pp. 586-592. CSREA Press, Las Vegas.
• [13] ISO/TEC TR 15446. Guide for the production of protection profiles and security targets, 2009.
• [14] BSI Guidelines for Developer Documentation according to Common Criteria Version 3.1. Bundesamt fiir Sicherheit in der Informationstechnik, Bonn, 2007.
• [15] Higtiki W.H.: Success/id Common Criteria Evaluation. A Practical Guide for Vendors. Copyright 2010 by Wesley Hisao Higaki, Lexington, KY 2011.
• [16] CCMODE (Common Criteria compliant, Modular, Open IT security Development Environment). Project co-financed from EU Resources within European Regional Development Fund (UDA POIG 01.03.01.156/08 http://www.commoncriteria.pl/. Accesscd 20 March 2013.
• [17] Białas A. (pod red.):Komputerowe wspomaganie procesu rozwoju produktów informatycznych o podwyższonych wymaganiach bezpieczeństwa, Wydawnictwo Instytutu Technik Innowacyjnych EMAG, sfinansowano ze środków UE POIG 1.3.1, Katowice 2012; (Białas A. (Ed): Computer-aided development of the high integrity IT products, Institute of Innovative Technologies EMAG, Katowice, 2012, monograph in Polish).