Notes d'étude CISSP : Principes, conception et fonctions des modèles de sécurité

Chapitre 8 Principes, conception et fonctions des modèles de sécurité

8.1 Mettre en œuvre et gérer des processus d'ingénierie en utilisant des principes de conception sécuritaires

Il est très important de considérer la sécurité dès les premières étapes du développement du projet.

8.1.1 Objet et sujet

Principal : l'utilisateur ou le processus demandant l'accès à la ressource
Objet : l'accès souhaité par l'utilisateur ou le processus
Transfert de confiance : A fait confiance à B et B fait confiance à C, puis A fait confiance à C via un transfert de confiance

8.1.2 Systèmes fermés et ouverts

Les systèmes fermés sont conçus pour coordonner le travail avec d’autres systèmes dans un périmètre plus restreint. Avantages : plus sûrs. Inconvénients : manque d’intégration facile.
Les systèmes ouverts sont conçus pour utiliser les mêmes normes industrielles

8.1.3 Technologies utilisées pour assurer la confidentialité, l'intégrité et la disponibilité

Restrictions : les concepteurs de logiciels utilisent des restrictions de processus pour limiter le fonctionnement d'un programme. Les restrictions autorisent uniquement les processus à lire et à écrire des données dans des adresses et des ressources mémoire déterminées.
Limite : Chaque processus se voit attribuer un niveau d'autorisation. Un système simple n'a que deux niveaux d'autorisation, utilisateur et noyau. Chaque processus divise la zone logique de la mémoire. Le système d'exploitation est chargé de faire respecter les limites logiques et de ne pas autoriser d'autres processus à accéder Les limites physiques sont déterminées par la manière physique de se séparer, les limites physiques sont plus coûteuses et plus sûres.
Isolation : l'isolation des processus garantit que tout comportement n'affecte que la mémoire et les ressources liées au processus isolé.

8.1.4 Contrôle

Contrôle l'utilisation des règles d'accès pour limiter l'accès des sujets aux objets.
Deux types de contrôles : contrôle d'accès obligatoire (MAC) et contrôle d'accès discrétionnaire (DAC)
La différence entre le contrôle d'accès discrétionnaire et le contrôle d'accès obligatoire réside dans le fait que le sujet a une certaine capacité à définir les objets d'accès.
Objectif du contrôle d'accès : garantir la confidentialité et l'intégrité des données en cas d'accès non autorisé par des sujets autorisés ou non autorisés par l'organisation.

8.1.5 Confiance et garantie

Principes, contrôles et mécanismes de sécurité pris en compte avant et pendant la conception et le développement

8.2 Comprendre les concepts de base des modèles de sécurité

8.2.1 Base informatique de confiance TCB

Une combinaison de matériel, de logiciels et de méthodes de contrôle qui constituent une base de référence fiable pour la mise en œuvre de contrôles de sécurité.

frontière de sécurité
- Une frontière imaginaire qui sépare le TCB du reste du système
- Chemin de confiance : la limite de sécurité doit établir un canal sécurisé, appelé chemin de confiance.
Moniteurs et noyaux de référence
- Cette partie du TCB qui vérifie l'accès à chaque ressource avant d'accorder les demandes d'accès est appelée le moniteur de référence.
- L'ensemble des composants du TCB qui fonctionnent ensemble pour implémenter un moniteur de référence est appelé noyau de sécurité.
- Le but du noyau de sécurité est d'utiliser les composants appropriés pour implémenter les fonctionnalités du moniteur de référence et résister à toutes les attaques connues.

8.2.2 Modèle de machine à états

Le modèle de machine à états décrit un système sûr quel que soit son état.
Le modèle de machine à états de sécurité constitue la base de nombreux modèles de sécurité.

8.2.3 Modèle de flux d'informations (BIBA, BLP)

Le modèle de flux d'informations se concentre sur le flux d'informations
Le but de Bell-LaPadula est d'empêcher le flux d'informations d'un niveau de sécurité élevé vers un niveau de sécurité inférieur (écriture et lecture)
Biba empêche les informations de passer d'un niveau de sécurité bas à un niveau de sécurité élevé (lecture et écriture)
Le modèle de flux d'informations est conçu pour éviter les flux d'informations non autorisés, non sécurisés ou restreints.

8.2.4 Modèle sans interférence

Le modèle de non-interférence est basé sur le modèle de flux d'informations et se concentre sur la manière dont les actions des sujets à un niveau de sécurité affectent l'état du système. Toute opération effectuée à un niveau de sécurité supérieur n'affectera pas les opérations effectuées à un niveau inférieur.

8.2.5 Modèle Take-Grant

Utilisez un graphique orienté pour indiquer comment les autorisations sont transmises d'un sujet à un autre ou d'un sujet à un objet.

8.2.6 Matrice de contrôle d'accès

Matrice de contrôle d'accès : un tableau composé de sujets et d'objets qui représente les actions ou fonctions que chaque sujet peut effectuer sur chaque objet

8.2.7 Modèle Bell-LaPadula (résoudre le problème de confidentialité, lire ci-dessous et écrire ci-dessus)

Le modèle Bell-LaPadula empêche la fuite ou la transmission d'informations classifiées à des niveaux d'habilitation de sécurité inférieurs.
Bell-LaPadula se concentre sur le maintien de la confidentialité des objets
Le modèle Bell-LaPadula est basé sur le concept de machine à états et le modèle de flux d'informations, et adopte les concepts obligatoires de contrôle d'accès et de treillis.
Trois propriétés de Bell-LaPadula :
1. Attribut de sécurité simple : spécifie qu'un sujet ne peut pas lire les informations à un niveau de sensibilité plus élevé
2. *Attribut de sécurité, qui stipule que le sujet ne peut pas écrire d'informations sur des objets avec un niveau de sensibilité inférieur
3. Contrôle d'accès discrétionnaire, qui spécifie que le système utilise une matrice de contrôle d'accès pour mettre en œuvre un contrôle d'accès discrétionnaire

8.2.7 Modèle Biba (résoudre le problème d'intégrité, lire et écrire)

Le modèle Biba résout le problème d’intégrité
Attribut d'intégrité simple : spécifie que le sujet ne peut pas lire les objets à un niveau d'intégrité inférieur (ne peut pas lire)
*Attribut d'intégrité, qui précise que le sujet ne peut pas modifier les objets à un niveau d'intégrité supérieur (ne peut pas écrire vers le haut)
Le modèle Biba résout le problème :
- Empêcher les parties non autorisées de modifier le
- Empêcher les sujets autorisés d'apporter des modifications non autorisées aux objets
- Maintenir la cohérence entre les objets internes et externes
Inconvénients du modèle Biba :
- Problèmes de confidentialité et de disponibilité non résolus
- Ne pas répondre aux menaces internes
- La gestion du contrôle d'accès n'est pas décrite et aucune méthode n'est fournie pour attribuer et modifier les classifications de sujets ou d'objets.
- Aucune protection des canaux cachés

8.2.9 Modèle de Clark-Wilson (résoudre le problème d'intégrité)

Sujet - Programme - Objet, l'objet n'est accessible que via le programme, fournissant une méthode efficace pour protéger l'intégrité grâce à l'utilisation d'un bon traitement des transactions et de la séparation des tâches.
Les avantages de Clark :
- Aucun utilisateur ne peut modifier les données sans autorisation
- Mettre en œuvre la séparation des tâches

8.2.10 Modèle Brewer et Nash (Muraille de Chine) (changement dynamique des méthodes de contrôle d'accès en fonction du comportement des utilisateurs pour éviter les conflits d'intérêts)

Autoriser le contrôle d'accès à changer en fonction de l'activité précédente de l'utilisateur

8.2.11 Modèle Goguen-Mesegure (domaine ou liste d'objets par défaut)

Basé sur une liste prédéfinie de domaines ou d'objets auxquels le sujet peut accéder

8.2.12 Modèle de Sutherland (résoudre le problème d'intégrité)

Un modèle d'intégrité qui empêche toute interférence avec la prise en charge de l'intégrité

8.2.13 Modèle Graham-Denning (sécurité des sujets et objets lors de la création et de la suppression)

Faites attention à la sécurité des sujets et des objets lors de la création et de la suppression

8.3 Sélectionner des contrôles et des contre-mesures en fonction du modèle d'évaluation de la sécurité du système

8.3.1 Série arc-en-ciel

Les critères d'évaluation des systèmes informatiques de confiance (TCSEC) apparaissent, car la couverture s'appelle Rainbow Series.

8.3.2 Classification TCSEC (Orange Book) et fonctions requises

TCSEC combine la fonctionnalité du système et l'assurance du niveau de protection de la confidentialité en 4 catégories principales
- Protection vérifiée, niveau de sécurité le plus élevé
- protection obligatoire
- protection de l'autonomie
- protection minimale
Classification de protection (B3 et A1 sont les niveaux les plus élevés, entendus comme un contrôle d'accès fort) :
1. Protection de sécurité autonome (C1) Mettre en œuvre le contrôle d'accès via l'ID utilisateur ou le groupe d'utilisateurs et prendre certaines mesures de contrôle sur l'accès aux objets
2. Protection d'accès contrôlée (C2) : les utilisateurs doivent être représentés individuellement avant de pouvoir accéder à l'objet, des mesures d'autorisation des médias doivent être mises en œuvre et des mesures de connexion strictes qui restreignent l'accès aux utilisateurs invalides ou non autorisés doivent être mises en œuvre.
3. Sécurité basée sur des balises (B1) : chaque sujet et objet possède une balise de sécurité, et leur compatibilité d'autorisation est comparée en faisant correspondre les balises de sécurité du sujet et de l'objet.
4. Protection structurée (B2) : garantie de l'absence de canaux secrets, séparation des responsabilités entre opérateurs et administrateurs et isolation des processus
5. Domaine de sécurité (B3) : augmente encore la séparation et l'isolement des processus non pertinents et déplace l'attention du système vers des messages simples, réduisant ainsi les vulnérabilités exposées.
6. Protection vérifiée (A1) : L'écart avec B3 est le cycle de développement, où chaque étape du cycle de développement est contrôlée à l'aide de méthodes formelles.

8.3.3 Autres couleurs de la série arc-en-ciel

Redbook : appliqué aux ordinateurs autonomes connectés à un réseau
Livre vert : fournit des lignes directrices pour la création et la gestion des mots de passe

8.3.4 Catégories ITSEC et assurance et fonctionnalité requises

TCSEC se concentre presque exclusivement sur la confidentialité, ITSEC se concentre sur l'intégrité et la disponibilité en plus de la confidentialité
ITSEC ne s'appuie pas sur le concept de TCB et n'exige pas que les composants de sécurité du système soient isolés au sein du TCB
TCSEC exige que toute modification apportée au système soit réévaluée

8.3.5 Directives générales

Les Critères Communs (CC) sont une norme mondiale qui définit différents niveaux de test et de détermination des capacités de sécurité du système.

Reconnaissance des directives générales, des profils de protection et des objectifs de sécurité :
- Profil de protection PP : Spécifie les besoins de sécurité et de protection du produit évalué. Un ensemble d'exigences de sécurité indépendantes de la mise en œuvre qui répondent aux besoins spécifiques des consommateurs. PP répond « Que faut-il ? » plutôt que « Comment y parvenir ? »
- Objectif de sécurité ST : Spécifie la déclaration de sécurité constituée au sein de la TOE. En fonction de l'ensemble des exigences de sécurité et des instructions mises en œuvre, ST répond « Qu'est-ce qui est fourni ? », « Comment est-il mis en œuvre ?
- Cible d'évaluation TOE : produit ou système informatique + guides de gestion et documents guides d'utilisation associés. La TOE fait l’objet d’une évaluation Critères Communs
Structure des critères généraux
- Partie 1 : Introduction et modèle général Décrit les concepts généraux et le modèle sous-jacent utilisés pour évaluer la sécurité informatique et précise la conception des objectifs d'évaluation.
- Partie 2 : Description de la fonction de sécurité
- Partie 3 : Garantie de sécurité
Lignes directrices de mise en œuvre pour l’industrie et la sécurité internationale
- Normes de sécurité communes : normes CC, PCI-DSS (Payment Industry Data Security Standard), Organisation internationale de normalisation (ISO)

8.3.6 Certification et accréditation

Attestation
- Évaluation complète des caractéristiques de sécurité techniques et non techniques et autres mesures de protection des systèmes informatiques
- Après avoir évalué tous les facteurs et déterminé le niveau de sécurité du système, la phase de certification est terminée.
identification
- Les dirigeants reconnaissent, testent et documentent les capacités de sécurité des systèmes avec des configurations spécifiques. La certification et la qualification sont un processus itératif.
Systèmes de certification et d'accréditation
- 4 étapes du processus de certification et d’accréditation :
  1. Définition : L'affectation du personnel du projet, l'enregistrement des exigences du projet, ainsi que l'enregistrement, la négociation et la création d'accords d'habilitation de sécurité qui guident l'ensemble du processus de certification et d'accréditation.
  2. Validation : comprend le SSAA détaillé, les activités de développement de systèmes et l'analyse de certification
  3. Déterminer : le raffinement SSAA, l'évaluation de la certification des systèmes intégrés, l'élaboration de recommandations DAA et les résultats de l'accréditation DAA.
  4. Post-qualification : maintenance de SSAA, opérations du système, gestion du changement et vérification de la conformité

8.4 Comprendre les fonctions de sécurité des systèmes d'information

8.4.1 Protection de la mémoire

La protection de la mémoire est un composant de sécurité essentiel qui doit être conçu et implémenté dans le système d'exploitation.

8.4.2 Virtualisation

La technologie de virtualisation est utilisée pour exécuter un ou plusieurs systèmes d'exploitation dans la mémoire d'un seul système.

8.4.3 Module de plateforme de confiance

Trusted Platform Module : une description opportune de la puce de traitement de cryptage sur la carte mère, ainsi qu'un nom commun pour décrire l'implémentation
HSM (module de sécurité matériel) : utilisé pour gérer/stocker les clés de chiffrement numérique, accélérer les opérations de chiffrement, prendre en charge des signatures numériques plus rapides et augmenter la vitesse d'authentification de l'identité.

8.4.4 Interfaces

Le but des interfaces contraintes est de limiter ou d'arrêter le comportement des utilisateurs autorisés et non autorisés, et constitue une pratique du modèle de sécurité Clark-Wilson.

8.4.5 Tolérance aux pannes

La tolérance aux pannes fait référence à la capacité d'un système à continuer de fonctionner malgré une panne. La tolérance aux pannes est l'ajout de composants redondants.