Замкнутая программная среда! - Форум по вопросам информационной безопасности

to CrBiNsk
Так неизменность программной среды это к контролю целостности относится, а не к ЗПС.

to Автор
Да, но теперь к производителям СЗИ, получается, подключились и офицеры ФСТЭК? Да и выгоды производителям СЗИ от ЗПС туманны.

ЗПС (неизменность программной среды) - один из механизмов, обеспечивающих целостность СЗИ.

"ЗПС (неизменность программной среды) - один из механизмов, обеспечивающих целостность СЗИ."
В РД такого не написано.

По поводу ЗПС.

При обнаружении уязвимостей в установленном ПО, при эксплуатации специально созданных эксплойтов, единственной защитой будет антивирус (который не эффективен для новых угроз) и ЗПС.
ЗПС - механизм нейтрализации данной угрозы.
Т.е. - если угроза эксплуатации уязвимостей актуальна в вашей системе, то ЗПС - обязателен.

для nekto | 69832
Да, это все логично и разумно, но в РД АС такого нет. Речь ведь идет о том, что некие офицеры ФСТЭК сказали об обязательности ЗПС. Вот и интересно на чем они основываются, когда говорят такое.

to Human | 69835

"...Вот и интересно на чем они основываются, когда говорят такое."

Недавно было сообщение об уязвимости в СЗИ и мера по её нейтрализации до получения патча (обновления) - включение ЗПС...

Не удивлюсь, если данное требование прописано в инструкции по установке и настройке конкретных СЗИ...

Товарищи, а поиском по форуму воспользоваться не судьба? Уже не раз обсуждалась эта проблема.
1. Явного требования к ЗПС в РД АС от НСД нет. Но:
2. Есть расплывчатая формулировка в ГОСТ по аттестации.
3. Есть требования ТУ на используемое СЗИ, в которых, как правило, механизм ЗПС обязателен к применению в АС классов 2А, 1В и 1Б. Для того же SN7 это указано в конце руководства администратора. Если память не изменяет, то для DL8.0-C аналогично.
4. ФСТЭК не может написать отсутствие ЗПС как нарушение, поскольку юридически им не на что сослаться (в АС, разумеется), если используется СЗИ, для которого ЗПС не приведена в требованиях ТУ. Но крови попить могут. Поэтому либо настраиваем ЗПС и не паримся, либо доходчиво в техпроекте и аттестационной документации разъясняем, почему этот механизм не используется. В частности, это актуально для АС, в которых производится частое обновление исполняемых модулей ПО (встречал такие и при аттестации по КОНФИ, и по ГТ).

Ну вот открыл я, к примеру, файл из пакета SN7 с импортозаместительным названием "Secret Net - Admin Guide - Construction *простихоспади* Principles", стр. 64:
и вижу, что для 1,2,3 классов АС включение ЗПС носит рекомендательный (а не обязательный) характер.

Дядя-с-усами | 69843
На самом деле, если внимательно почитать эту инструкцию, то для классов 3Б, 2Б, 1Д, ЗПС носит рекомендательный характер. Для классов 3А, 2А, 1Г, 1В, 1Б, ЗПС носит обязательный характер.
А вот в инструкции к Dallas Lock 8.0-C я не нашел рекомендаций по настройкам по классам.