跳转到内容

安全目標：修订间差异

维基百科，自由的百科全书
以互动方式浏览历史
←上一版本
删除的内容 添加的内容
可视化wikitext
无编辑摘要
InternetArchiveBot（留言 | 贡献）
机器人
2,027,196次编辑
补救2个来源，并将0个来源标记为失效。) #IABot (v2.0.9.5
 
（未显示2个用户的5个中间版本）
第1行： 第1行：
⚫
[[資訊技術安全評估共同準則]]（Common Criteria, CC）3.1版的Part 1<ref>Common Criteria Portal – http://www.commoncriteriaportal.org/cc/ {{Wayback|url=http://www.commoncriteriaportal.org/cc/ |date=20111103000613 }}</ref>將'''安全目標'''（Security Target，簡稱'''ST'''）定義為「針對特定評估目標（TOE）的安全需要，有關其實現方式的說明」。換句話說，安全目標定義了評估目標的邊界，以及評估目標的細節。在CC的產品評估流程中，會由產品的供應商提供此一文件。
{{expand language|en}}
⚫
[[資訊技術安全評估共同準則]]3.1版的Part 1<ref>Common Criteria Portal – http://www.commoncriteriaportal.org/cc/</ref>將'''安全目標'''（Security Target，簡稱'''ST'''）定義為「針對特定評估目標（TOE）的安全需要，有關其實現方式的說明」。換句話說，安全目標定義了評估目標的邊界，以及評估目標的細節。在CC的產品評估流程中，會由產品的供應商提供此一文件。


安全目標會定義特定資訊系統產品（評估目標，TOE）的[[信息保障]]安全需求以及功能需求。
安全目標會定義特定資訊系統產品（評估目標，TOE）的[[信息保障]]安全需求以及功能需求。
安全目標會用評估目標的說明、威脅、假設、安全objectives、安全功能需求（SFR）、安全保障需求（SAR）及理由，進行對安全問題完整及嚴謹的敘述。安全功能需求一般會有1-7的編號，稱為[[評估保障等級]]（EAL），表示其評估的深度以及嚴謹度，多半是指支持的文件及對產品需進行的測試。
安全目標會用評估目標的說明、威脅、假設、安全objectives、安全功能需求（SFR）、安全保障需求（SAR）及理由，進行對安全問題完整及嚴謹的敘述。安全功能需求一般會有1-7的編號，稱為[[評估保障等級]]（EAL），表示其評估的深度以及嚴謹度，多半是指支持的文件及對產品需進行的測試。


安全目標會包括一些（不過不會有太多細節）的實現相關資訊，說明產品處理安全需求的方式。其中也會包括一個到多個{{le|保護輪廓|Protection Profile}}（PP）。此情形下，安全目標需滿足保護輪廓中所有的一般性安全需求，也可能會定義額外的需求。
安全目標會包括一些的實現相關資訊，說明產品處理安全需求的方式（不過不會有太多細節）。其中也會包括一個到多個[[保護輪廓]]（PP）。此情形下，安全目標需滿足保護輪廓中所有的一般性安全需求，也可能會定義額外的需求。
== 安全目標大綱 ==
# 簡介：簡單說明TOE，包括其主要特徵以及目的
#* ST參考資料
#* TOE參考資料
#* TOE簡介
#* TOE說明
# 一致性宣告：識別TOE評估的一致性宣告
#* CC版本一致性宣告
#* CC Part 2一致性宣告
#* CC Part 3一致性宣告
#* PP一致性宣告：嚴格的一致性或是可證明的一致性
# 安全問題定義：說明操作環境的威脅以及假設。目的是要說明TOE要處理的安全問題以及其操作環境。
#* 威脅：威脅代理（threat agent）對資產所作的負面行動。會說威脅代理的專業知識、資源、機會以及動機。
#* 組織安全政策（OSP）：組織安全政策是TOE操作環境的組織所執行的一組安全規則、程序或是指南。
#* 假設：只針對有關TOE行為的操作環境
# 安全Objectives：針對安全問題定義所述的問題，其計劃解決方案簡潔抽象的敘述。每個安全Objectives至少要對應到一個威脅或是組織安全政策
#:# 要實現的安全層面也就是一些威脅緩解措施要達到的目的及目標，例如機密性、一致性、使用者認證、可用性、存取授權、可歸責性。
#:# 為了要支持適合的基礎功能需求，所需要的機密性、一致性或可用性<ref>{{Cite web |url=https://www.isa.org/uploadedFiles/Content/PDFs/6862_Cybersecurity-Training2017-Booklet_WEB.pdf |title=存档副本 |access-date=2023-11-01 |archive-date=2018-12-21 |archive-url=https://web.archive.org/web/20181221195901/https://www.isa.org/uploadedFiles/Content/PDFs/6862_Cybersecurity-Training2017-Booklet_WEB.pdf |dead-url=no }}</ref>
#* TOE的安全Objectives
#* 操作環境的安全Objectives
#* 安全Objectives理由：一系列的理據，說明所有的威脅以及假設都已被安全objectives有效的處理。
# 延伸元件定義：延伸元件需包括可量測且客觀的元素，可以證實一致性。
# 安全需求：定義及說明CC Part 2中的SFR，以及CC Part 3中的SAR。
#* 安全機能需求（SFR）：安全機能需求針對TOE的預期安全行為，提出清楚、不含糊、良好定義的敘述，。
#* 安全保障需求（SAR）：安全保障需求針對為了讓TOE得到信任，所做的預期活動，提出清楚、不含糊、已確立的敘述。
#* 安全需求理由：一系列的TOE安全Objectives的理據，說明SFR足夠，而且是必需求的。
# TOE摘要規格：讓評估者以及潛在客戶可以對TOE實現方式有一般性的瞭解。
#* 安全功能：會提供區域或是管道，讓未授權電子干預不會影響區域或是管道內的設備系統的正常功能。TOE摘要規格需說明TOE符合每一個SFR的情形。
#* TOE安全規格：說明開發者計畫如何滿足每一個SFR的高階觀點。
== 相關條目 ==
== 相關條目 ==
* [[資訊技術安全評估共同準則]]
* [[資訊技術安全評估共同準則]]
* {{le|保護輪廓|Protection Profile}}
* [[保護輪廓]]
* [[評估保障等級]]（EAL）
* [[評估保障等級]]（EAL）
* [[Common Criteria Testing Laboratory]]
* {{le|通用準則測試實驗室|Common Criteria Testing Laboratory}}


== 參考資料 ==
== 參考資料 ==
{{reflist|colwidth=30em}}
{{reflist}}


[[Category:電腦安全流程]]
[[Category:電腦安全流程]]

2023年12月30日 (六) 08:16的最新版本

資訊技術安全評估共同準則（Common Criteria, CC）3.1版的Part 1[1]將安全目標（Security Target，簡稱ST）定義為「針對特定評估目標（TOE）的安全需要，有關其實現方式的說明」。換句話說，安全目標定義了評估目標的邊界，以及評估目標的細節。在CC的產品評估流程中，會由產品的供應商提供此一文件。

安全目標會定義特定資訊系統產品（評估目標，TOE）的信息保障安全需求以及功能需求。 安全目標會用評估目標的說明、威脅、假設、安全objectives、安全功能需求（SFR）、安全保障需求（SAR）及理由，進行對安全問題完整及嚴謹的敘述。安全功能需求一般會有1-7的編號，稱為評估保障等級（EAL），表示其評估的深度以及嚴謹度，多半是指支持的文件及對產品需進行的測試。

安全目標會包括一些的實現相關資訊，說明產品處理安全需求的方式（不過不會有太多細節）。其中也會包括一個到多個保護輪廓（PP）。此情形下，安全目標需滿足保護輪廓中所有的一般性安全需求，也可能會定義額外的需求。

安全目標大綱

[编辑]
  1. 簡介：簡單說明TOE，包括其主要特徵以及目的
    • ST參考資料
    • TOE參考資料
    • TOE簡介
    • TOE說明
  2. 一致性宣告：識別TOE評估的一致性宣告
    • CC版本一致性宣告
    • CC Part 2一致性宣告
    • CC Part 3一致性宣告
    • PP一致性宣告：嚴格的一致性或是可證明的一致性
  3. 安全問題定義：說明操作環境的威脅以及假設。目的是要說明TOE要處理的安全問題以及其操作環境。
    • 威脅：威脅代理（threat agent）對資產所作的負面行動。會說威脅代理的專業知識、資源、機會以及動機。
    • 組織安全政策（OSP）：組織安全政策是TOE操作環境的組織所執行的一組安全規則、程序或是指南。
    • 假設：只針對有關TOE行為的操作環境
  4. 安全Objectives：針對安全問題定義所述的問題，其計劃解決方案簡潔抽象的敘述。每個安全Objectives至少要對應到一個威脅或是組織安全政策
    1. 要實現的安全層面也就是一些威脅緩解措施要達到的目的及目標，例如機密性、一致性、使用者認證、可用性、存取授權、可歸責性。
    2. 為了要支持適合的基礎功能需求，所需要的機密性、一致性或可用性[2]
    • TOE的安全Objectives
    • 操作環境的安全Objectives
    • 安全Objectives理由：一系列的理據，說明所有的威脅以及假設都已被安全objectives有效的處理。
  5. 延伸元件定義：延伸元件需包括可量測且客觀的元素，可以證實一致性。
  6. 安全需求：定義及說明CC Part 2中的SFR，以及CC Part 3中的SAR。
    • 安全機能需求（SFR）：安全機能需求針對TOE的預期安全行為，提出清楚、不含糊、良好定義的敘述，。
    • 安全保障需求（SAR）：安全保障需求針對為了讓TOE得到信任，所做的預期活動，提出清楚、不含糊、已確立的敘述。
    • 安全需求理由：一系列的TOE安全Objectives的理據，說明SFR足夠，而且是必需求的。
  7. TOE摘要規格：讓評估者以及潛在客戶可以對TOE實現方式有一般性的瞭解。
    • 安全功能：會提供區域或是管道，讓未授權電子干預不會影響區域或是管道內的設備系統的正常功能。TOE摘要規格需說明TOE符合每一個SFR的情形。
    • TOE安全規格：說明開發者計畫如何滿足每一個SFR的高階觀點。

相關條目

[编辑]

參考資料

[编辑]
  1. ^ Common Criteria Portal – http://www.commoncriteriaportal.org/cc/ （页面存档备份，存于互联网档案馆）
  2. ^ 存档副本 (PDF). [2023-11-01]. （原始内容存档 (PDF)于2018-12-21）. 
检索自“https://zh.wikipedia.org/zhwiki/w/index.php?title=安全目標&oldid=80295410”