Specification of security environment of IT security-related products according to Common Criteria

• Autorzy: Białas A.

Warianty tytułu

PL

Wypracowanie specyfikacji otoczenia zabezpieczeń w procesie projektowania według Wspólnych Kryteriów dla produktów teleinformatycznych zawierających elementy zabezpieczeń

• Języki publikacji: EN

Abstrakty

EN

The paper concerns IT security development and evaluation processes according to the Common Criteria - CC (ISO/IEC 15408) family of standards, and is based on the results of the author's earlier works dealing with modelling of these processes. The paper focuses on the workout of the security environment specification based on the previously identified features of an IT security-related product, presented in [2]. The security environment presents the nature and scope of the IT security-related product and discusses the threats, policy rules and assumptions of the product working environment. This specification is used for the security objectives definition, which is the basis for further IT security development stages. The UML-based approach was introduced to specify the security environment using predefmed generics contained within the design library. It is part of the common development framework and a computer-aided tool developed on the framework. Using the UML in the Common Criteria based IT security development process allows achieving morę consistent designs in an easier way.

PL

Artykuł dotyczy zagadnień projektowania i oceny bezpieczeństwa produktów teleinformatycznych zawierających elementy zabezpieczeń, zgodnie z wymaganiami określonymi we Wspólnych kryteriach oceny zabezpieczeń teleinformatycznych (ISO/IEC 15408) i w standar­dach z nimi związanych. Wykorzystując wyniki wcześniejszych prac autora, dotyczących formalizacji i modelowania procesu projektowania zabezpieczeń oraz opracowania środków (pewnego rodzaju języka) do tworzenia specyfikacji projektowych, w artykule skupiono uwagę na sposobie wypracowania specyfikacji otoczenia zabezpieczeń na podstawie określonej wcześniej charakterystyki produktu teleinformatycznego (urządzenia, programu, oprogramowania układowego, systemu). W tym sensie artykuł stanowi bezpośrednią kontynuację rozważań zawartych w pracy [2]. Specyfikacja otoczenia zabezpieczeń wyraża potrzeby odnoszące się do zapewnienia bezpie­czeństwa produktu. Zawiera założenia dotyczące środowiska jego funkcjonowania, występujące w nim zagrożenia oraz sformalizowane reguły polityki bezpieczeństwa, których należy przestrzegać podczas jego użytkowania. Specyfikacja ta pozwala na zdefiniowanie celów zabezpieczeń, które są transformowane na wymagania, a potem na funkcje zabezpieczające (nie dyskutowane w artykule). W celu poprawy efektywności procesu projektowania oraz zapewnienia możliwości budowy komputerowego narzędzia wspomagającego, zastosowano język modelowania UML oraz zbiór tak zwanych generyków, opisujących elementarne zagadnienia bezpieczeństwa, stanowiący uzupełnienie, jako środka specyfikacji, komponentów zawartych w standardzie Wspólne kryteria.

Słowa kluczowe

EN

Common Criteria; IT security; design; evaluation, development; computer aiding; security engineering; modelling; UML (United Modelling Language)

• Wydawca: Instytut Informatyki Teoretycznej i Stosowanej Polskiej Akademii Nauk
• Czasopismo: Theoretical and Applied Informatics
• Rocznik: 2006
• Tom: Vol. 18, nr 2
• Strony: 141--157
• Opis fizyczny: Bibliogr. 13 poz., rys..

Twórcy

autor

Białas A.

• Institute of Control Systems Ul. Długa 1-3 41-506 Chorzów, Poland

Bibliografia

• [1] Białas A.: IT security development – computer-aided tool supporting design and evaluation, In: Kowalik J, Gorski J., Sachenko A. (editors): Cyberspace Security and Defense: Research Issues, NATO reference: ARW 980492, NATO Science Series II, vol. 196, Springer 2005.
• [2] Białas A.: Identifying the features of the IT security-related products for the IT development process according to Common Criteria, Archiwum Informatyki Teoretycznej i Stosowanej, Polska Akademia Nauk, tom 17 (2005), zeszyt 1, pp. 3-18, 2005.
• [3] Białas A.: IT security modelling, In: Arabnia, H. R., Editor; Liwen He & Youngsong Mun, Associate Co Editors, Proceedings of the 2005 International Conference on Security and Management (The World Congress In Applied Computing - SAM'05: June, Las Vegas, USA), ISBN# 1 932415 82 3, 2005, Publisher: CSREA Press.
• [4] Booch G., Rumbaugh J., Jacobson I.: UML- Przewodnik uŜytkownika, Wyd. II, Wydawnictwa Naukowo-Techniczne, Warszawa 2002, (The Unified Modelling Language –User Guide).
• [5] Common Evaluation Methodology for Information Technology Security, Part 1: Introduction and General Model, Part 2: Evaluation Methodology, 1997,1999.
• [6] CCToolbox: http://cc-control.sparta.com/
• [7] Galitzer S.: Introducing Engineered Composition (EC): An Approach for Extending the Common Criteria to Better Support Composing Systems, Published in the Workshop for Application of Engineering Principles to System Security Design (WAEPSSD) Proceedings, September 2003.
• [8] ISO/IEC 15408, Information technology – Security techniques – Evaluation criteria for IT security (Common Criteria, Part 1-3), 1999.
• [9] ISO/IEC 15446, Information technology – Security techniques – Guide for the production of protection profiles and security targets.
• [10] Jurjens J.: UMLsec: Extending UML for Secure Systems Development, UML 2002, Dresden, LNCS, Springer-Verlag, 2002. 157
• [11] Lavatelli C.: EDEN: A formal framework for high level security CC evaluations, e-Smart’2004, Sophia Antipolis 2004.
• [12] SecCert: http://www.iss.pl
• [13] TL SET, TL FIT http://trusted-logic.fr