跳到主要內容

資訊技術安全評估共同準則 (CC, ISO/IEC 15408, GB/T 18336) 產品檢測與認證服務

 



資訊技術安全評估共同準則 (CC, ISO/IEC 15408, GB/T 18336) 產品檢測與認證服務

資訊技術安全評估共同準則

資訊技術安全評估共同準則 (Common Criteria for IT Security Evaluation, ISO/IEC 15408)，簡稱共同準則 (Common Criteria) 或 CC，是針對實現資/通訊產品所使用資訊技術的安全性所進行的安全技術認證。 


共同準則是資訊安全性的架構，是建立在資/通訊產品的開發者可以在安全標的 (Security Target, ST) 檔案當中，標示安全功能需求 (Security Functional Requirements, SFR) 及安全保障需求 (Security Assurance Requirement, SAR)，或者也可以從資/通訊產品的保護剖繪 (Protection Profile, PP) 中取得這些資料。

  • ISO/IEC TR 15446 Information technology — Security techniques — Guidance for the production of protection profiles and security targets

開發商可以實現或是聲明其產品的安全屬性，檢測實驗室可以評估這些產品，根據不同的安全保障級別 (EAL)，評估與檢測的深度也不同，並確認其是否符合聲明的屬性。換句話說，共同準則提供了保證，資/通訊安全產品的規格、實現以及評估可以用一個嚴謹、標準化且可重覆的方式進行，而且可以與目標使用環境相稱。共同準則會維護一份已認證產品的清單，其中包括作業系統、存取控制系統、資料庫、及密鑰管理系統等。


參照相關國際標準：

  • ISO/IEC 15408-1 Information security, cybersecurity and privacy protection — Evaluation criteria for IT security — Part 1: Introduction and general model
  • ISO/IEC 15408-2 Information security, cybersecurity and privacy protection — Evaluation criteria for IT security — Part 2: Security functional components
  • ISO/IEC 15408-3 Information security, cybersecurity and privacy protection — Evaluation criteria for IT security — Part 3: Security assurance components
  • ISO/IEC 18045 Information security, cybersecurity and privacy protection — Evaluation criteria for IT security — Methodology for IT security evaluation
  • ISO/IEC TS 19608 Guidance for developing security and privacy functional requirements based on ISO/IEC 15408
  • ISO/IEC 19989-x Information security — Criteria and methodology for security evaluation of biometric systems 
  • ISO/IEC TR 20004 Information technology — Security techniques — Refining software vulnerability analysis under ISO/IEC 15408 and ISO/IEC 18045
  • ISO/IEC 19790 Information technology — Security techniques — Security requirements for cryptographic modules
  • ISO/IEC 24759 Information technology — Security techniques — Test requirements for cryptographic modules
  • ISO/IEC 20543 Information technology — Security techniques — Test and analysis methods for random bit generators within ISO/IEC 19790 and ISO/IEC 15408
  • ISO/IEC TR 19791 Information technology — Security techniques — Security assessment of operational systems

以下是一些共同準則的一些基本概念：

  • 評估標的 (Target of Evaluation, TOE)：是指要評估的系統或是產品，評估可以驗證標的效能相關的聲明。為了要符合實務情形，評估需要確認標的的安全特性：可以用以下方式來進行：
    • 保護剖繪 (Protection Profile, PP)：針對某一類資/通訊安全產品或系統 (例如用來進行數位簽章的智慧卡、物聯網設備、生物識別應用裝置、或是網路防火牆) 安全需求的檔案，多半是使用者或使用者群體 (例如，政府機構) 所產出，而且其安全產品是和使用者的特定用途有關。產品的供應商可以讓其產品滿足一個或是多個保護剖繪，並且讓其產品在這些保護剖繪下進行評估。這種情形下，保護剖繪可以是產品安全標的 (ST) 模版，或是安全標的作者至少會確保，所有相關保護剖繪的需求都會在產品的安全標的檔案中。尋求這類特定產品的顧客可以將重心放在符合其需求的保護剖繪，再找有相關認證的產品。
    • 安全標的 (Security Target, ST)：針對特定要被評估的資/通訊安全產品或系統安全性質的檔案。安全標的中可能會聲明此產品符合一個或是多個保護剖繪 (PP)。評估標的 (TOE) 會針對安全標上所列的安全功能需求 (SFR) 來評估，不多不少。因此，開發商可以調整其評估方式，精準的符合產品預期要有的安全效能。像網路防火牆不需要符合資料庫管理系統的所有安全需求，不同的防火牆也可能是用完全不同的安全功能需求清單來進行評估。一般來說，通過檢測與認證後，開發商會將安全標的 (ST) 對外發行，因此潛在客戶才可以依評估認證的安全特性來尋找產品。
    • 安全功能需求 (Security Functional Requirements, SFR)：說明評估標的 (TOE) 的安全功能。共同準則提供下列功能類別 (class) 的標準目錄。例如：安全功能需求可能會說明針對以角色為基礎的存取控制的使用者，需以什麼方式進行身分驗證。安全功能需求的列表可能會依不同評估而不同，就算是二個相同種類的產品也可能會有不同的列表。雖然共同準則沒有規定在安全標的中一定要有安全機能需求，不過會列出各個安全功能 (例如，依角色限制存取能力的機能)，若要正常運作，會和哪些其他機能（例如，識別不同角色的能力) 有相依性。
      1. Class FAU: Security Audit 安全稽核
      2. Class FCO: Communication 通信
      3. Class FCS: Cryptographic support 支援加密
      4. Class FDP: User Data Protection 用戶資料保護
      5. Class FIA: Identification and Authentication 識別與認證
      6. Class FMT: Security Management 安全功能管理
      7. Class FPR: Privacy 隱私
      8. Class FPT: Protection of the TSF 安全功能保護
      9. Class FRU: Resource Utilization 資源管理
      10. Class FTA: TOE Access 評估標的存取
      11. Class FTP: Trusted Path/Channels 安全通道



共同準則評估過程，透過下列品質保證的流程，建立有關產品安全特性的可信度資訊：

  • 安全保障需求 (Security Assurance Requirement, SAR)：敘述在產品開發及評估過程中，為了確認符合安全性功能所進行的措施。例如，評估會要求所有的程式原始碼都要放在變更與組態管理系統中，或是要進行全功能測試。共同準則提供下列評估類別 (Class) 的目錄，實際要求可能會隨評估等級而不同。特定產品的安全保障需求，會列在其保護剖繪 (PP) 及安全標的 (ST) 檔案中。
    1. Class APE: Protection Profile Evaluation 保護剖繪評估
    2. Class ASE: Security Target Evaluation 安全標的評估
    3. Class ADV: Development 開發技術評估
    4. Class AGD: Guidance Documents 指引文件評估
    5. Class ALC: Life-Cycle Support 生命週期支持評估
    6. Class ATE: Tests 測試
    7. Class AVA: Vulnerability Assessment 技術脆弱性評估
    8. Class ACO: Composition 組合評估
  • 評估保障等級 (Evaluation Assurance Level, EAL)：以數值方式來針對評估的深度以及嚴謹性進行評比。每一個 EAL 會對應一組預先定義好的安全保障需求 (SAR)，這些安全保障需求涵蓋產品開發的全部過程，有一定的嚴謹性。共同準則中。列有七個 EAL 等級，其中的 EAL 1是最基礎的 (不論實施或是評估都最便宜)，EAL 7 最高評估級別，也最嚴格 (也最貴)。一般而言，不會針對個別的保護剖繪 (PP) 或安全標的 (ST) 去指定評估保障等級，會針對一整組的保護剖繪及安全標的來定義，也有可能針對一些領域再擴充更高等級的安全需求。高評估保障等級不一定表示「安全性較高」，只表示的評估標的 (TOE) 所聲明的安全保障已用更深入的方式進行驗證及確認。



在信息技術共同評估方法 (CEM) 中，對於工作單元 (work unit)，定義了4 種動詞，相關定義及要求如下：

Verb
動詞		Definitions 定義
Check
核對		透過簡單的比對，產生判決。
評估人員不需具備特定專業能力。這動詞通常用來描述該內容符合對照 (mapped)。
Examine
檢查		應用評估人員得專業能力，進行分析，產生判決。
這動詞通常用來描述什麼 (WHAT) 被分析，以及分析的內容 (properties)。
Record
紀錄		記錄保留了對程序、事件、觀察、見解和結果的書面描述，並且要足夠詳細，以使評估過程中執行的工作能夠在日後重新構建。
Report
報告		評估技術報告 (Evaluation Technical Report, ETR) 或 觀察報告 (Observation Report, OR) 必須包含評估結果以及支持內容 (證據)。




適用對象

  1. 資/通訊產品開發商
  2. 資/通訊產品生產、製造商


資/通訊產品共同準則評估與認證


  • 什麼時候可以開始規劃共同準則評估與認證：由於共同準則評估涵蓋全產品生命週期，包含設計、開發、生產、測試、交付等各階段的安全評估，所以，當您的產品還在設計階段是最佳時機。
  • 如何選擇一個信譽卓著的發證機構：參考 CCRA 交互承認機制中的被授權發證國家 (Certificate Authorizing Members) 的發證機構。
  • CC 證書效期：在 TOE 沒有進行任何變更的情況下，一般效期為 3 ~ 5 年，依發證國家與機構之不同，可能會有所差異。

評估與驗證流程



服務內容

共同準則評估與認證過程中，我們可以提供，但不限於下列服務：

  1. 共同準則標準應用教育訓練
  2. 協助開發商 TOE 相關技術文件準備 
  3. 協助製造商環境安全認證準備
  4. 共同準則認可實驗室評估與認證輔導

共同準則評估與認證推廣方案：

為了協助您儘快釐清共同準則評估與認證的可行性，請預先準備下列資料，便於討論：

  1. 安全產品目標市場、客戶特定要求 (例如 PP, EAL)
  2. 產品服務說明、架構、使用手冊
  3. 安全功能、架構、規格說明書
  4. 產品安全技術說明書 (安全硬件、軟件、韌體)，特別說明產品用的哪些 "加密技術” (例如演算法、加解密模組 (FIPS-140-2/3 認證))
聯絡資料：Philip KU, philip.ku@tksg.global  [ PGP Public Key ]

(PGP Fingerprint: BE11 C1CC BFE2 A3A9 4929  3D1C 10FF C3BE A51C 92F7)

標籤：

留言

張貼留言

這個網誌中的熱門文章

WUSON的CISSP課後筆記整理-葉柏毅Alex Yeh

  CISSP考試心得-Alex Yeh 心智圖 心智圖PDF Structure Architecture Framework Approach Methodology Domain 口訣 Domain 1. Security and Risk Management   C、I、A+GRC(安全和風險管理） Domain 2. Asset Security   盤點、分類、保護（資產安全） Domain 3. Security Architecture and Engineering   時時都安全、處處都安全（安全架構和工程） Domain 4. Communication and Network Security   處處都安全（通信及網路安全） Domain 5. Identity and Access Management (IAM)   I + 3A（身分識別及存取控制） Domain 6. Security Assessment and Testing   查驗、訪談、測試（安全評鑑及測試） Domain 7. Security Operations   日常維運、持續改善（安全維運） Domain 8. Software Development Security   時時都安全、處處都安全（軟體開發安全） 美國法定目標（FISMA）/ 資通安全法 CIA Ｃ機密性：資料不被偷 Ｉ完整性：資料不被竄改 Ａ可用性：資料隨時可用 Integrity完整性 Data Integrity（資料完整性） Authenticity（資料真偽；真實性） Non-repudiation 不可否認性（法律上）：傳送方不能否認未傳收；接受方不能否認未收到。 FISMA NIST FIPS 199 NIST SP 800 資產Asset：有價值Value的東西，且值得保護 Assets 通常指資訊系統 資料 電腦系統 操作系統 軟體 網路 資料中心（機房） 人（最重要） 業務流程 資安目標（定義）： 透過安全管制措施，保護資訊資產不受到危害，以達到CIA目標 進而支持組織的業務流程 將安全融入組織業務流程（人事/採購），產銷人發財 支持組織的「產品」及「服務」持續交付 為公司創造價值，實現公司的使命及願景 公司最高經營階層的管理作為就叫做治理. 管理是達成目標的一套有系統的
張貼留言
閱讀完整內容

[補充]Common Attacks

  參考來源： Wuson - Common-attacks  , Wiki 如翻譯或解釋有誤，歡迎提出更正。 Brute force： 蠻力攻擊 （英語：Brute-force attack） ，又稱為 窮舉攻擊 （英語：Exhaustive attack）或 暴力破解 ，是一種 密碼分析 的方法，即將密碼進行逐個推算直到找出真正的密碼為止。 Advanced Persistent Threat (APT) ：高級長期威脅（英語：advanced persistent threat，縮寫：APT），又稱高級持續性威脅、先進持續性威脅等，是指隱匿而持久的電腦入侵過程，通常由某些人員精心策劃，針對特定的目標。其通常是出於商業或政治動機，針對特定組織或國家，並要求在長時間內保持高隱蔽性。高級長期威脅包含三個要素：高級、長期、威脅。高級強調的是使用複雜精密的惡意軟體及技術以利用系統中的漏洞。長期暗指某個外部力量會持續監控特定目標，並從其獲取數據。威脅則指人為參與策劃的攻擊。 Multi-vector, polymorphic attacks Buffer Overflows： 緩衝區溢位 （buffer overflow），在 電腦學 上是指標對 程式設計 缺陷，向程式輸入 緩衝區 寫入使之溢位的內容（通常是超過緩衝區能儲存的最巨量資料量的資料），從而破壞程式執行、趁著中斷之際並取得程式乃至系統的控制權。 Mobile Code: ActiveX, JavaApplet, Flash, JavaScript Malicious Software (Malware) Drive-by download attacks： 路過式下載 ，網頁掛馬攻擊 (Drive-by Downloads) Spyware Trojan Horse Keyloggers Password Crackers Spoofing欺騙 Masquerading，偽裝 Sniffers，竊聽 Eavesdropping，竊聽（隔牆有耳） Tapping，竊聽 Emanations 流出 and TEMPEST Spontaneous emission of electromagnetic radiation” (EMR) subject to TEMPEST eavesdropping 受 TEMPE
張貼留言
閱讀完整內容

The Effective CISSP考試攻略

  資料來源： https://wentzwu.com/the-effective-cissp%e8%80%83%e8%a9%a6%e6%94%bb%e7%95%a5/ The Effective CISSP考試攻略 考試的難易 一個好的考試，通常會讓你準備的很辛苦！但通過考試後會讓你一直駡，怎麼考出來的題目沒有想像中難！但這就是一個好的考試！這種考試通常有一定的門檻及鑑別度。 到2020/07/01止，台灣有337位CISSP；2019/05/31是304位；2018/12/31是287位。 即使您在資訊軟體產業有相當的資歷，或已有資安的經驗，仍請不要忽視CISSP考試對資安治理、管理及技術的涵蓋面與勺鑽度。 一般而言，有十年以上工作經驗的朋友，可以將考試的目標訂在： 三個月到一年內 ， 投入250小時到1000小時 作題目不少於2500題 考試的掌握度 CISSP考試大綱 要儘可能弄懂、裏頭的專有名詞不可以有看不懂的；必須能達到看得懂、說得出，並搭配作題目2500題以上，才能達到參加CISSP考試的基本門檻了。 作題目的最低標準：課本提供的線上題庫的全部題目，外加其它題庫1500題以上，都必須達到90%以上的水準。 答題技巧 考試的作答，基本上要以官方CBK、指定教材及NIST的指引為準。 除了K書，答題的技巧也要刻意練習及培養。 CISSP考試的題目，基本上都是透過社群運作，讓大家參與出題，所以題庫很大並且不斷在更新。因此，請著重在觀念的理解，力求以實力考過，不要迷信題目作很多或作考古題就會過。 應考策略 建議選擇在週一請假，並選在下午考試。 週六及週日可以用大塊的時間準備考試，讓自己進入戰鬥狀態。 睡個好眠後，週一上午持續複習；讓自己一直處於考試的戰鬥狀態。 下午考試當天，我個人不喝有刺激性的飲料(如咖啡)、習慣補一顆維他命B群(或考試前一個小時補充液態維他命)，以及中午只吃輕食；進入考場前會先至洗手間用肥皂液洗手、深呼吸及舒展筋骨。 考試作答 作答時先刪去不可能的答案，再選一個對的或 最佳的 答案。 若是考簡體中文，不確定的題目可以標記(mark)起來，繼續作下一題，最後再回來作答。 若是考新版的英文試(CAT 1
張貼留言
閱讀完整內容