По каким классам Orange/Red Book сертифицирована Netware?

[Егор Бобрышев aka rm76]

задача - собрать сертификаты на nw4.11, 5.1, 6.0, ГТК и американские.
нашел на http://www.novell.ru/director/certificates/
сертификаты Гостекомиссии по 3му и 4му классу на NW5.1 и BM.
3й .. 4й класс (1в, 1г) - это к чему по цветным книжкам?
помню что преусловутый C2 - это 5й класс (1д, ком.тайна, только до грифа "конфиденциально") по ГТК

.. на novell.com нашел, что в декабре 1997го nw4.11 прошла по C2, но - только пресс-релиз.. и никаких ссылок.

итак..:

1.где найти сайт NCSC (The National Computrer Security Center, выдающий сертификаты по цветным книжкам) или другое место, содержащее списки серт. инсталляций?

2.где найти интерпретации классов безопасности по цветным кижкам?[/url]

[Андрей Тр. aka RH]

1.где найти сайт NCSC (The National Computrer Security Center, выдающий сертификаты по цветным книжкам) или другое место, содержащее списки серт. инсталляций?

2.где найти интерпретации классов безопасности по цветным кижкам?[/url]

http://developer.novell.com/research/de ... /06/02.htm

http://www.radium.ncsc.mil/tpep/

С сертификацией NCSC не все так просто, как я понимаю - в том смысле, что они не каждую версию отдельно сертифицируют. Насколько я понимаю, С2 в NCSC получила только 4.11 - остальное, возможно, получает его по RAMP или новелловского Yes.

[esokolov]

Сертификацию по Красной Книге (для сетей) проходила только Netware 4.11 в ограниченой конфигурации: служба каталога, служба печати и файловый сервис. Подробная информация публиковалась в Novell Application (или Developer) Notes в 1997 году (осень). Сертификация действительна только c операционной системой ДОС при использовании специальных рабочих станций имееющих выделенную аппаратную подсистему защиты (она используется как NTCB Partition), тогда стоила около $20000 за штуку (я не ошибся в нулях). Собственно сертифицировались эти самые станции и NetWare в качестве файл-сервера.

Что касается сертификатов Гостехкомиссии, то во-первых, их кому попало раздают, а во-вторых, по смыслу невозможно выдать сертификат 1в на файловый сервер. Только на сеть. Так же как и C2 по Красной Книге. Так что если вы хотите сертифицировать сеть, то вам придется сертифицировать именно эту конкретную сеть. У нас не Америка и NTCB на каждом узле от вас не потребуют, но могут настоять на использовании каких-нибудь (опять же сертифицированных) иммитаторов NTCB типа SecretNet от НПО Информзащита.

Вообщем это дело проходимое, по крайней мере в Москве. Четыре года назад мы получили сертификат по классу защиты 1в на свою сеть. Правда потом выяснилось, что он нам не нужен, но это уже другая история. Обращайтесь к "специалистам" в ту же Информзащиту, например. Они вам все организуют. Можно и к другим. Там принцип простой: есть несколько коммерческих компаний в которых "по совместительству" работают сотрудники Гостехкомиссии, они все что нужно сделают без проблем.

[Егор Бобрышев aka rm76]

Спасибо за развернутый ответ.
Я понимаю, что файл-сервер сертифицировать, а, точнее, _аттестовать_ отдельно не получится - сертификации, в терминологии буржуев, или, в терминологии ГТК, аттестации подлежит вся сеть, это ясно.

Просто, если аттестуемая сеть построена на _сертифицированных_ программных средствах и средствах защиты, ее аттестация пойдет куда легче. Обратиться к интегратору по СЗИ мы, Надымгазпром, к сожалению, не в состоянии - у нас, как у дочернего общества Газпрома уже есть Ведущий Системный Интегратор по СЗИ. К сожалению, в планы разработки СЗИ мы на ближайшее пару лет Газпромом не включены, а потому - пытаемся сообразить аттестацию если не сети, то хотя бы изолированного ее сегмента, где обращается "режимная" информация, своими силами.

1в нам, при этом, вобщем-то, не нужен, действительно. Наличие аттестованной по 1в сети - это совершенно особый уровень отношений с государством. Дело в том, что для нас копоративный стандарт - 1г + администрирование СЗИ + кодирование (кто сказал "шифрование"?! никакого шифрования...). Т.е. 1в де-факто, но не де-юре ;-)


Ээээххх.. Найти б где методику оценки, применяемую при аттестации.. Здавый смысл тут и рядом не валялся - как, напрмер, вообще что-либо может пройти на 1в, если операционных систем с должной защитой подсистемы памяти вообще не существует, кроме пары штучных поделок по posix1e ??...

[esokolov]

Если вас интересуют формальности, то следует понимать, что в России важны не методики оценки, а отношения с сертифицирующим органом. Если отношения сложились, то сертификат будет. Потом, если у вас есть определенный свыше интегратор, то зачем вам пороть отсебятину. Все равно интегратор будет гнуть свою линию, в том числе на закупки дополнительного П.О., оборудования, проведение работ и т.п. Это его кусок хлеба, а вы хотите его съесть. Вас же и обвинят в самодеятельности. В любом случае цена вопроса не будет никак зависеть от реальной готовности вашей сети к аттестации, скорее всего никто на вашу сеть и смотреть не будет. Утром деньги - вечером сертификат. Ну напишут какой-нибудь формальный документ о якобы проделанной работе и дело с концом.
Если же вас интересует реальное состояние в области безопасности, то причем здесь Гостехкомиссия. Действуйте по смыслу близко к Red Book. Если не нравится попробуйте использовать британский стандарт BS7799 правда его можно получить только за деньги, но зато он более "человеколюбив". Ну, американцы конечно считают его туфтой и говорят, что это просто компиляция уже имеющихся документов и стыдно продавать за деньги то, что у них бесплатно лежит на сайте. Но они не совсем правы. Компиляция тоже труд, и он имеет право на оплату.