Система высокого уровня доверия

Такие системы предназначены для обеспечения разделения доменов безопасности и обычно включают различные методы фильтрации содержимого, что позволяет определять информацию, запрещённую к передаче между доменами или уровнями секретности^[3], например, между различными военными подразделениями, разведывательными агентствами или иными структурами, для деятельности которых важно своевременное получение потенциально чувствительной информации^[4].

Цель системы высокого уровня доверия — позволить доверенному сетевому домену обмениваться информацией с иными доменами (в одностороннем или двустороннем режиме) без возникновения дополнительных угроз безопасности. Разработка, оценка и внедрение таких систем осуществляется с опорой на комплексное управление рисками. Каждая аккредитованная система обычно проходит Лабораторную оценку безопасности, что позволяет снизить потенциальные уязвимости и риски. В Соединённых Штатах оценка и аккредитация подобных решений осуществляется под эгидой Национального управления по стратегии и управлению кросс-доменных решений при Национальном агентстве безопасности США.

Системы CDS обеспечивают фильтрацию вирусов и вредоносных программ, операции анализа содержимого, а при передаче из доменов высокого уровня секретности в более низкий — процедуру аудированного ручного контроля. В ряде случаев используется защищённая операционная система, разграниченный по ролям административный доступ, резервирование аппаратных средств и другие меры.

Критерии разрешения передачи информации между доменами или обеспечения междоменной совместимости строятся строго на реализуемой политике безопасности. Такая политика может быть простой (например, сканирование антивирусным ПО и проверка по белому списку до передачи между равноправными сетями) или сложной (например, множественная фильтрация содержимого и обязательная проверка, редактирование и утверждение документа человеком до разрешения передачи из домена высокого уровня секретности^[5][6]. Для безопасной передачи информации из домена низкого уровня секретности в защищённые сегменты часто используется односторонняя сеть, которая гарантирует невозможность обратной утечки данных^[7][8]. Нередко такие решения включают в себя модуль высокой степени доверия.

Хотя исторически (по состоянию на 2019 год) кросс-доменные решения чаще используются в армии, разведке и правоохранительных органах, одним из гражданских примеров может служить инфраструктура авиалайнеров, где системы управления полётом и развлечений жёстко изолированы друг от друга^[9].

Выделяют три типа систем высокого уровня доверия^[10]. Это решения для доступа, передачи и многозуровневые, все они должны быть включены в базовый перечень до внедрения на объектах Министерства обороны США^[11].

Решение для доступа — обеспечивает пользователю возможность просматривать и обрабатывать информацию из доменов с различными уровнями секретности и условиями доступа. В теории оптимальное решение соблюдает требования разделения между доменами, не допуская пересечения данных между сетями и, тем самым, предотвращая «утечки» (data spills) на всех уровнях архитектуры OSI/TCP. Однако на практике такие инциденты считаются постоянной угрозой, которую проектировщики систем стараются минимизировать до допустимого уровня риска. Для этого задача передачи данных рассматривается как отдельная функция CDS^[12].

Решение для передачи — обеспечивает возможность перемещения информации между доменами разных уровней секретности или с различными условиями доступа при одинаковом уровне секретности.

Многозуровневое решение — в отличие от архитектуры Multiple Single Levels (MSL), где данные строго разделены по доменам, многозуровневое решение хранит все данные в одном домене. Оно опирается на принудительную метку и встроенную схему мандатного управления доступом для разграничения потока данных и их обработки в зависимости от полномочий и уровня допуска пользователя к чтению и записи. Таким образом, MLS представляет собой интегрированное CDS-решение, сочетающее функции доступа и передачи данных^[12].

Модуль высокой степени доверия (англ. High Assurance Guard, HAG) — это устройство с поддержкой многозуровневой безопасности, используемое для обмена информацией между различными доменами, например, между NIPRNet и SIPRNet. HAG — это разновидность контролируемого интерфейса между уровнями безопасности, одобренная по критериям Common Criteria.

HAG функционирует на множестве виртуальных машин или физических подсистем: одна или несколько отвечают за низший уровень секретности, другие — за более высокий. Аппаратная часть запускает специальное программное обеспечение управления знаниями, отслеживающее выдаваемую данные от более секретного компонента и блокирующее любую информацию, превышающую разрешённый для передачи уровень. В целом HAG позволяет перемещать данные с низким уровнем секретности, имеющиеся на системе с более высоким уровнем, в другую среду с соответствующим уровнем доступа. Например, в США HAG даёт возможность извлекать не секретную информацию из систем секретного класса и переносить её в несекретную систему. Система фильтров и правил проверки позволяет подтвердить отсутствие секретных сведений и разрешить передачу.

На уровне прикладного программного обеспечения HAG реализует обязательную политику целостности «evaluated mandatory integrity policy», защищая данные, приложения, файлы от несанкционированного раскрытия. На уровне операционной системы необходим многоуровневый ядро, исключающее смешение данных и процессов с разным уровнем секретности в обход жёсткой мандатной политики.

Такие системы проходят сертификацию по Common Criteria; в зависимости от класса информации допускается уровень доверия EAL 3 и выше. Например, при экспорте данных из секретного домена в несекретный требуется сертификация на уровне не ниже EAL 5 или EAL 5+ (расширенный).

Ряд производителей используют термины «Доверенная компьютерная система» или «Доверенные приложения высокой степени доверия» как эквиваленты термину HAG.

Модули HAG наиболее активно применяются в корпоративных системах электронной почты и рассылки сообщений (например, Defense Message System, DMS), где часть организаций пользуется только несекретной сетью, а другая часть — только секретной, и требуется гарантированная возможность передачи сообщений между ними.

В прежние десятилетия были разработаны многозуровневые средства защиты информации (MLS), обеспечивающие мандатный контроль доступа (MAC) с высокой степенью гарантии. Автоматизированные информационные системы могут иногда обмениваться сведениями, несмотря на требования не допускать раскрытия секретов перед вероятными противниками. Когда определение баланса между безопасностью и доступностью информации поручается пользователям, контроль называется дискреционным (DAC) и допускает управление рисками, в отличие от MAC, где упор делается на их избегание.