Europos socialinis fondas KOMPIUTERIŲ IR OPERACINIŲ SISTEMŲ SAUGA 1. Kompiuterių ir operacinių sistemų saugumo pagrindai 1.2 Kompiuterių saugumo standartai ir įvertinimo kriterijai Mokomoji medžiaga parengta vykdant.
Download ReportTranscript Europos socialinis fondas KOMPIUTERIŲ IR OPERACINIŲ SISTEMŲ SAUGA 1. Kompiuterių ir operacinių sistemų saugumo pagrindai 1.2 Kompiuterių saugumo standartai ir įvertinimo kriterijai Mokomoji medžiaga parengta vykdant.
Europos socialinis fondas KOMPIUTERIŲ IR OPERACINIŲ SISTEMŲ SAUGA 1. Kompiuterių ir operacinių sistemų saugumo pagrindai 1.2 Kompiuterių saugumo standartai ir įvertinimo kriterijai Mokomoji medžiaga parengta vykdant ES struktūrinių fondų remtą projektą INFORMACIJOS SAUGOS STUDIJŲ MODULIŲ RENGIMAS IR DĖSTYTOJŲ KVALIFIKACIJOS TOBULINIMAS Sutarties Nr. ESF/2004/2.5.0-03-421/BPD-190 (SFMIS Nr. BPD2004-ESF-2.5.0-03-05/0082) Kauno technologijos universitetas, 2007 Europos socialinis fondas Autoriai doc. Algimantas Venčkauskas [email protected] (skirsniai: 0, 1.1, 1.2, 1.4, 2.1, 2.2, 2.3, 2.4, 2.5, 3.2, 3.3) doc. Eugenijus Toldinas [email protected] (skirsniai: 1.3, 3.1, 4.1, 4.2, 4.3) Kompiuterių katedra http://www.ifko.ktu.lt/~algvenck/KirOSsauga/ k2007os k2007ossp 2 © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai Europos socialinis fondas Modulio turinys (1) 1. Kompiuterių ir OS saugos pagrindai 1.1 Kas yra kompiuterių sauga? 1.2 Kompiuterių saugos standartai ir įvertinimo kriterijai 1.3 Formalūs kompiuterių saugos modeliai 1.4 Kriptografija ir kriptografijos protokolai 2. Operacinių sistemų sauga 2.1 OS apsaugos mechanizmai 2.2 Prieigos sauga 2.3 Failų sistemų sauga 2.4 OS saugos auditas, monitoringas 3 © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai Europos socialinis fondas Modulio turinys (2) 3. Kompiuterių sauga 3.1 Duomenų sauga kompiuterinėse laikmenose 3.2 Kompiuterių tinklų sauga 3.3 Rizikos mažinimas 4. Programų sauga 4.1 Programų saugos problemos: kenkėjiškos programos, piratavimas. 4.2 Programų saugos metodai, buferio perpildymo problema 4.3 C++ ir .NET sistemos saugos priemonės 4 © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai Europos socialinis fondas Paskaitos tikslai Šioje temoje nagrinėjami klausimai: Kompiuterių saugumo standartų tipai ir paskirtis. JAV vertinimo standartas, vadinamas „Oranžine knyga“ – pirmasis kompiuterių saugumo standartas. Tarptautiniai ir Europos šalių vertinimo standartai. Kompiuterių saugumo specifikacijos. 5 © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai Europos socialinis fondas Standartų reikšmė Kompiuterių saugumo specialistams būtinos atitinkamų standartų ir specifikacijų žinios. Formali priežastis - tai būtinybė laikytis kai kurių standartų (pavyzdžiui, kriptografinių) įtvirtinta įstatymiškai. Dalykinės priežastys: 6 standartai ir specifikacijos yra viena iš žinių kaupimo formų; ir vieni ir kiti yra pagrindinės aparatinių-programinių sistemų ir jų komponentų tarpusavio suderinamumo užtikrinimo priemonės. © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai Europos socialinis fondas Standartų ir specifikacijų grupes: vertinimo standartai, skirti kompiuterių sistemų ir saugumo priemonių vertinimui ir klasifikavimui pagal saugumo reikalavimus; specifikacijos, reglamentuojančios įvairius saugumo priemonių ir metodų realizavimo ir naudojimo aspektus. 7 © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai Europos socialinis fondas Pagrindiniai vertinamieji standartai: JAV gynybos ministerijos standartas „Patikimų kompiuterinių sistemų vertinimo kriterijai“ ir jo interpretacija tinklo konfigūracijoms; „Europos šalių harmonizuoti kriterijai“; Tarptautinis standartas „Informacinių technologijų saugumo vertinimo kriterijai“; Britų standartas BS 7799 „Informacinio saugumo valdymas. Praktinės taisyklės“ , ISO/IEC 17799. 8 © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai Europos socialinis fondas Kai kurios techninės specifikacijos: Kompiuterių tinklo saugumo klausimuose svarbiausios yra: X.800 „Saugumo architektūra atvirų sistemų tarpusavio sąveikai“; X.500 „Direktorijų tarnyba: koncepcijų, modelių ir servisų apžvalga“; X.509 „Direktorijų tarnyba: atvirų raktų ir atributų sertifikatų karkasai“ specifikacijų. 9 © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai Europos socialinis fondas „Oranžinė knyga“ - vertinimo standartas Pirmasis vertinimo standartas, plačiai paplitusiu ir padariusiu didelį poveikį kompiuterių saugumo standartizavimui daugelyje šalių tapo JAV gynybos ministerijos standartas - „Patikimų kompiuterinių sistemų įvertinimo kriterijai“ (Trusted Computer System Evaluation Criteria, TCSEC). 1983 m. Rašoma ne apie saugias, o apie patikimas sistemas, tai yra sistemas, kuriomis galima tam tikru laipsniu pasitikėti. 10 © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai Europos socialinis fondas „Oranžinėje knygoje“ patikima sistema tai: „sistema naudojanti pakankamas aparatines ir programines priemones, kad užtikrinti tuo pat metu grupės vartotojų įvairaus slaptumo laipsnio informacijos apdorojimą nepažeidžiant prieigos teisių“. 11 © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai Europos socialinis fondas Patikimumo laipsnio vertinamo kriterijai: Saugumo politika Užtikrintumas 12 © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai Europos socialinis fondas Saugumo politika - tai įstatymų, taisyklių ir elgesio normų, nustatančių, kaip organizacija apdoroja, saugo ir platina informaciją, rinkinys. Kuo aukštesnis pasitikėjimo sistema laipsnis, tuo griežtesnė ir įvairesnė turi būti saugumo politika. Saugumo politika – tai akyvus apsaugos aspektas, apimantis galimų pavojų analizę ir pasipriešinimo priemonių pasirinkimą. 13 © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai Europos socialinis fondas Užtikrintumas tai pasitikėjimo laipsnis, kuris gali būti suteiktas kompiuterių sistemos architektūrai ir realizacijai. Saugumo pasitikėjimas gali išplaukti kaip iš testavimo rezultatų analizės, taip ir iš (formalaus arba ne) bendro sistemos ir atskirų jos komponentų plano ir realizacijos patikrinimo. Užtikrintos garantijos laipsnis parodo kiek korektiški (taisyklingi) mechanizmai, atsakantys už saugumo politikos realizavimą. Tai pasyvus apsaugos aspektas. 14 © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai Europos socialinis fondas Protokolavimas Svarbi saugumo užtikrinimo priemonė yra atskaitingumo (protokolavimo) mechanizmas. Patikima sistema turi fiksuoti visus įvykius, liečiančius saugumą. Protokolų vedimas turi būti papildomas auditu, tai yra registracinės informacijos analize. 15 © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai Europos socialinis fondas Patikima kompiuterinė bazė Patikimos kompiuterinės bazės koncepcija yra pagrindinė vertinat saugumo patikimumo laipsnį. Patikima kompiuterinė bazė – tai informacinės sistemos apsaugos mechanizmų (įskaitant aparatinę ir programinę įrangą), atsakančių už saugumo politikos įgyvendinimą, visuma. Kompiuterinės bazės patikimumas apibrėžiamas išimtinai jos realizacija ir pradinių duomenų, įvedamų sistemos administratoriaus, korektiškumu. 16 © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai Europos socialinis fondas Kreipinių monitorius Pagrindinė patikimos kompiuterinės bazės paskirtis vykdyti kreipinių monitoriaus funkcijas, t.y. kontroliuoti subjektų teises atlikti tam tikras operacijas su objektais. Monitorius tikrina kiekvieną vartotojo kreipinį į programas ar duomenis ir sulygina su galimų veiksmų sąrašais. 17 © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai Europos socialinis fondas Monitoriaus savybės: Izoliacija. Monitorius turi būti apsaugotas nuo jo darbo atskleidimo. Pilnumas. Monitorius turi būti iškviečiamas kiekvieno kreipinio metu ir neturi būti galimybių jį apeiti. Verifikavimo galimybė. Monitorius turi būti kompaktiškas, kad būtų galima pilnai jį ištestuoti ir išanalizuoti. Branduolys taip pat turi garantuoti savo nekeičiamumą. 18 © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai Europos socialinis fondas Saugumo perimetras Patikimos skaičiavimo bazės riba vadinama saugumo perimetru. Komponentai, esantys už saugumo perimetro, bendru atveju gali būti nepatikimi. 19 © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai Europos socialinis fondas Saugumo politika apima tokius elementus: laisvanoriškas (individualus) kreipinių valdymas; pakartotinio objektų naudojimo saugumas; saugumo žymės; priverstinis kreipinių valdymas. 20 © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai Europos socialinis fondas Laisvanoriškas kreipinių valdymas Šis kreipinių į objektus apribojimo metodas, pagrįstas subjekto ar grupės, kuriai priklauso subjektas, asmenybės įvertinimu. Laisvanoriškumas yra tame, kad tam tikras asmuo, paprastai objekto savininkas, savo nuožiūra kitiems subjektams nustato tam tikras kreipties į objektą teises. 21 © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai Europos socialinis fondas Pakartotinio objektų panaudojimo saugumas Tai svarbus kreipinių valdymo priemonių papildymas, apsaugantis nuo atsitiktinio ar sąmoningo slaptos informacijos ištraukimo iš “šiukšlių”. Pakartotinio panaudojimo saugumas turi būti garantuotas operatyvinės atminties sritims (tame tarpe, ekrano buferiams, iššifruotiems slaptažodžiams ir t.t.), diskų blokams ir aplamai magnetinėms laikmenoms. 22 © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai Europos socialinis fondas Priverstinis kreipinių valdymas Saugumo žymės. Priverstinio kreipinių valdymo realizavimui subjektams ir objektams priskiriamos saugumo žymės. Subjekto žymė aprašo jo patikimumą, objekto žymė jame esančios informacijos slaptumo (uždarumo) laipsnį. 23 © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai Europos socialinis fondas Saugumo žymių struktūra: slaptumo lygis; kategorijų sąrašas. Saugumo lygiai sudaro sutvarkytą aibę, pvz.: visiškai slaptai; slaptai; konfidencialu; neslapta. Kategorijos sudaro nesutvarkytą rinkinį. Jų paskirtis aprašyti probleminę sritį, kuriai priklauso duomenys. 24 © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai Europos socialinis fondas Priverstinis kreipinių valdymas Šis metodas pagrįstas subjekto ir objekto saugumo žymių sulyginimu. Subjektas gali skaityti objekte esančią informaciją, jeigu subjekto slaptumo lygis ne žemesnis, kaip objekto, o visos kategorijos, išvardintos objekto saugumo žymėje, yra ir subjekto žymėje. Tokiu atveju sakoma, kad subjekto žymė dominuoja objekto žymei. Subjektas gali rašyti informaciją į objektą, jeigu objekto žymė dominuoja subjekto žymei. 25 © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai Europos socialinis fondas Atskaitomybė Jeigu saugumo politiką suprasti siaurai, t.y. kaip kreipimosi teisių apribojimą, tai atskaitomybės mechanizmas yra tokios politikos papildymas. Atskaitomybės tikslas - bet kuriuo laiko momentu žinoti, kas dirba sistemoje ir ką veikia. 26 © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai Europos socialinis fondas Atskaitomybės priemonių kategorijos: identifikacija ir autentifikavimas; patikimo kelio suteikimas; registracinės informacijos analizė. 27 © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai Europos socialinis fondas Identifikacija ir autentifikavimas Kiekvienas vartotojas, prieš gaudamas teisę atlikti sistemoje kokius nors veiksmus, turi save identifikuoti. Įprastas identifikacijos būdas - vartotojo vardo įvedimas, įeinant į sistemą. Standartinė tapatumo patikrinimo (autentifikavimo) priemonė - slaptažodis, nors gali būt vartojamos įvairios asmeninės kortelės, biometriniai įrenginiai (akies rainelės ar pirštų antspaudų skanavimas) arba jų kombinacijos. 28 © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai Europos socialinis fondas Patikimo kelio suteikimas Patikimas kelias sujungia vartotoją betarpiškai su patikima kompiuterine baze, aplenkiant potencialiai pavojingas sistemos komponentes. Patikimo kelio suteikimo tikslas – užtikrinti vartotojui aptarnaujančios sistemos autentiškumą. 29 © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai Europos socialinis fondas Registracinės informacijos analizė Auditas nagrinėja veiksmus ir įvykius vienaip ar kitaip susijusius su sistemos saugumu. Tokiems įvykiams priklauso: 1) įėjimas į sistemą (sėkmingas arba ne); 2) išėjimas iš sistemos; 3) kreipimasis į nutolusią sistemą; 4) operacijos su failais (atidarymas, uždarymas, pervardinimas, ištrynimas); 5) privilegijų ar kitų saugumo atributų keitimas (kreipimosi režimo, patikimumo laipsnio ir t.t.). 30 © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai Europos socialinis fondas Užtikrintumas Užtikrintumas – tai matas, su kuriuo galima tvirtinti, kad pasirinktas tinkamas priemonių rinkinys, suformuotai saugumo politikai įgyvendinti, ir kad kiekviena iš šių priemonių teisingai atlieka jai skirtas funkcijas. “Oranžinėje knygoje” nagrinėjamos dvi užtikrintumo rūšys – operacinis ir technologinis. Pirmoji priklauso sistemos architektūriniams ir realizavimo aspektams, antroji – sudarymo ir palaikymo metodams. 31 © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai Europos socialinis fondas Operacinis užtikrintumas jungia tokių elementų patikrinimą: sistemos architektūra; sistemos vientisumas (integralumas); informacijos perdavimo kanalų analizė; patikimas administravimas; patikimas atstatymas po trikčių. 32 © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai Europos socialinis fondas Technologinis užtikrintumas apima visą sistemos gyvavimo ciklą, t.y.: projektavimas; realizavimas; testavimas; pardavimas; eksploatacija. 33 © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai Europos socialinis fondas Dokumentacija Dokumentacija – būtina garantuoto sistemos patikimumo sąlyga, ir tuo pačiu saugumo politikos įgyvendinimo instrumentas. Be dokumentacijos neaišku kokios saugumo politikos laikytis ir ką dėl to reikia daryti. 34 © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai Europos socialinis fondas Saugumo klasės D - minimali apsauga; C1 - asmens veikimo laisvės apsauga; C2 - kontroliuojamos kreipties apsauga; B1 - fiksuoto lygio apsauga; B2 - struktūrizuota apsauga; B3 - saugos sritys (domains); A1 - patikrinto projekto apsauga. 35 © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai „Oranžinės knygos“ interpretacija tinklo konfigūracijoms Europos socialinis fondas Tarp apsaugos mechanizmų tinklo konfigūracijose pirmoje vietoje yra kriptografija, padedanti išlaikyti kaip konfidencialumą, taip ir vientisumą. Sisteminis prieinamumo klausimų svarstymas yra naujovė palyginus su „Oranžine knyga“. Patikima sistema turi turėti galimybę aptikti neprieinamumo situacijas, sugebėti grįžti prie normalaus darbo ir atremti atakas prieš prieinamumą. 36 © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai Europos socialinis fondas Europos šalių harmonizuoti kriterijai Harmonizuoti kriterijai“ publikuoti 1991 metų birželį keturių šalių - Prancūzijos, Vokietijos, Niderlandų ir Didžiosios Britanijos, atitinkamų organizacijų vardu. Europos „Kriterijai“ aptaria visas pagrindines kompiuterių saugumo dedamąsias – konfidencialumą, vientisumą, prieinamumą. Kriterijuose atskiriamos sistemos ir produktai. 37 © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai Europos socialinis fondas Britų standartas BS 7799 Britų standartas BS 7799 priskiriamas prie administracinio ir procedūrinio lygių informacinio saugumo standartų. Šis standartas faktiškai turi tarptautinį (ISO/IEC 17799) statusą. 38 © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai Europos socialinis fondas Standartas ISO/IEC 15408 Pats pilniausias ir šiuolaikiškiausias tarp vertinimo standartų yra tarptautinis standartas – „Informacinių technologijų saugumo vertinimo kriterijai“ (išleistas 1999 metų gruodžio 1 dieną). „Bendrieji kriterijai“ ištiktųjų yra meta-standartas, nustatantis informacinių sistemų saugumo vertinimo instrumentus ir jų naudojimo tvarką. BK - tai bibliotekų rinkinys, skirtas rašyti turiningas „programas“ – saugumo užduotis, tipinius apsaugos profilius ir pan. 39 © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai Paskirstytų sistemų informacinė apsauga. Rekomendacijos X.800 Europos socialinis fondas Rekomendacijose X.800 išskiriami tokie saugumo servisai ir jų atliekami vaidmenys: Autentifikavimas. Tinklo saugumo mechanizmai 40 © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai Europos socialinis fondas Autentifikavimas (X.800) bendravimo partnerių autentifikavimas naudojamas nustatant sujungimą ir galbūt periodiškai seanso metu; prieigos valdymas; duomenų ir srauto (tinklo duomenų srautų) konfidencialumas; duomenų vientisumas; prieinamumas (duomenų šaltinio autentifikavimas). 41 © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai Europos socialinis fondas Tinklo saugumo mechanizmai (X.800) Saugumo servisų (funkcijų) realizavimui gali būti naudojami tokie mechanizmai ir jų kombinacijos: šifravimas; elektroninis skaitmeninis parašas; prieigos valdymo mechanizmai; duomenų vientisumo kontrolės mechanizmai; autentifikavimo mechanizmai; srauto papildymo mechanizmai; maršrutizavimo valdymo mechanizmai; notarizacijos mechanizmai. 42 © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai Europos socialinis fondas X.500 X.500 šeimos rekomendacijos aprašo katalogų servisą. Tarp šio serviso teikiamų galimybių paprastai išskiria draugišką įvardijimą (kreipimąsi į objektus vardais, patogiais žmogaus požiūriu) ir vardų atvaizdavimą į adresus (dinaminis objekto ir jo išdėstymo susiejimas – būtina tinklo sistemų „savęs konfigūravimosi“ palaikymo sąlyga). 43 © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai Europos socialinis fondas JAV standartas FIPS 140-2 „Saugumo reikalavimai kriptografiniams moduliams“ kriptografinis modulis – tai aparatūros ir/arba programinių (tame tarpe įterptinių) komponentų, realizuojančių patvirtintas saugumo funkcijas (įskaitant kriptografinius algoritmus, kriptografinių raktų generavimą ir paskirstymą, autentifikavimą) ir patalpintas aiškiai apibrėžto, nepertraukiamo perimetro ribose, rinkinys. 44 © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai Europos socialinis fondas Santrauka Kuriant ir eksploatuojant saugias kompiuterių sistemas, būtinos atitinkamų standartų ir specifikacijų žinios. Formali priežastis yra būtinybė laikytis kai kurių standartų įtvirtinta įstatymiškai. Standartai ir specifikacijos yra viena iš žinių kaupimo formų. 45 © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai Europos socialinis fondas Santrauka (2) Aukščiausiame lygmenyje išskiriamos dvi iš esmės besiskiriančias viena nuo kitos standartų ir specifikacijų grupes: vertinimo standartai, skirti kompiuterių sistemų ir saugumo priemonių vertinimui ir klasifikavimui pagal saugumo reikalavimus; specifikacijos, reglamentuojančios įvairius saugumo priemonių ir metodų realizavimo ir naudojimo aspektus. 46 © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai Europos socialinis fondas Santrauka (3) Vertinimo standartai: „Oranžine knyga“ Europos šalių “Harmonizuoti kriterijai“ Britų standartas BS7799, ISO/IEC17799 ISO/IEC 15408 Kompiuterių saugumo specifikacijos: Rekomendacijos X.800. X.500 šeimos rekomendacijos JAV standartas FIPS 140-2 47 © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai Europos socialinis fondas Mokymosi medžiaga http://www.ifko.ktu.lt/~algvenck/KirOSsauga/: Teorinė medžiaga - Mokomoji knyga, Laboratorinių darbų medžiaga, ten yra ir referatų temos, Pateiktys. 48 © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai Europos socialinis fondas Literatūra BISHOP, Matt. Computer Security: Art and Science. Addison Wesley Professional, 2002.- 1136 p. ISBN-10: 0-201-44099-7; ISBN-13: 978-0-20144099-7 BARRETT, Daniel J; SILVERMAn, Richard E.; BYRNES, Robert G. Linux Security Cookbook. Oreilly, 2003. - 334 p BOSWORTH, Seymour (Editor); KABAY, M. E. (Editor). Computer Security Handbook, 4th Edition. Wiley, 2002. – 1224 p. ISBN: 978-0-471-41258-8 DANSEGLIO, Mike; ALLEN, Robbie. Windows Server 2003 Security Cookbook Security Solutions and Scripts for System Administrators. Oreilly, 2005. – 520p. PRESTON, W. Curtis. Backup & Recovery. Oreilly, 2007. - 760 p. SZOR, Peter. Art of Computer Virus Research and Defense. Addison Wesley Professional, 2005. – 744 p. ISBN-10: 0-321-30454-3; ISBN-13: 978-0-32130454-4 49 © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai Europos socialinis fondas Papildoma literatūra PIPKIN, Donald L. Information security: protecting the global enterprise. Prentice Hall, 2000. - 364 p. ISBN 0-13-017323-1 TANENBAUM, Andrew S. Modern Operating Systems, 2/E. Prentice Hall, 2001 - 976 p. ISBN-10: 0130313580; ISBN-13: 9780130313584 CARRIER, Brian. File System Forensic Analysis. Addison Wesley Professional. 2005.- 6000 p. ISBN-10: 0-321-26817-2; ISBN-13: 978-0-32126817-4 50 © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai Europos socialinis fondas Ačiū už dėmesį Klausimai... 51 © A. Venčkauskas, 2007 Kompiuterių ir operacinių sistemų sauga | Kompiuterių saugos standartai