एंटीवायरस के राज्य प्रमाणीकरण पर विचार

हर साल हमारे बहादुर नियामकों (पहली जगह पर एफएसबी और एफएसटीईसी) को आईटी विशेषज्ञों से अधिक से अधिक विभिन्न प्रकार के लाइसेंस, परमिट, प्रमाण पत्र और जैसी आवश्यकता होती है। एफएसबी अस्पष्ट वैश्विक लोगों के बजाय अपने "मालिकाना" एन्क्रिप्शन एल्गोरिदम का उपयोग करता है। FSTEC ने अपनी जानकारी की सुरक्षा के लिए अघोषित सुविधाओं, "देखभाल" के लिए अपनी खोज में, सॉफ्टवेयर उत्पादों के कोड में अपनी नाक को गहरा करने का प्रयास किया।
लेकिन क्या आधुनिक एंटीवायरस के लिए इस तरह के अध्ययन में कोई समझ है?

आप अपने घर के लिए किसी भी एंटीवायरस का उपयोग कर सकते हैं, लेकिन सरकारी एजेंसियों के लिए या व्यक्तिगत डेटा सूचना प्रणाली (ISPDn) में व्यक्तिगत डेटा की सुरक्षा के लिए आपको एक उत्पाद चुनना होगा जिसने उचित प्रमाणीकरण पारित किया है।

विधान

इसलिए, 11/17/2007 को रूसी संघ के सरकार नंबर 781 की डिक्री के अनुसार, ISPDn में उपयोग की जाने वाली सूचना सुरक्षा के साधनों को स्थापित तरीके से एक अनुरूपता मूल्यांकन प्रक्रिया (स्थापित आवश्यकताओं, जो FSTE दिशानिर्देशों में निर्धारित हैं) से गुजरना आवश्यक है। विशेष रूप से, सरकारी एजेंसियों के लिए केवल प्रमाणित समाधानों के उपयोग को 17 मार्च, 2008 के राष्ट्रपति के निर्णयों जैसे दस्तावेजों में लिखा गया है। नंबर 351 "अंतर्राष्ट्रीय सूचना विनिमय के सूचना और दूरसंचार नेटवर्क का उपयोग करते समय रूसी संघ की सूचना सुरक्षा सुनिश्चित करने के उपायों पर" और दिनांक 12 मई, 2004 नंबर 611 "अंतर्राष्ट्रीय सूचना विनिमय के क्षेत्र में रूसी संघ की सूचना सुरक्षा सुनिश्चित करने के उपायों पर।"

सॉफ़्टवेयर को मार्गदर्शक दस्तावेज़ की आवश्यकताओं के अनुपालन के लिए जाँच की जाती है “जानकारी तक अनधिकृत पहुंच के खिलाफ संरक्षण। भाग 1. सूचना सुरक्षा के लिए सॉफ्टवेयर। अघोषित अवसरों की अनुपस्थिति के नियंत्रण के स्तर के आधार पर वर्गीकरण । ”

RD की मुख्य बात यह प्लेट है:

नियंत्रण के स्तर के लिए आवश्यकताएँ। आवश्यकताओं की सूची।

संख्या	आवश्यकता का नाम	स्तर नियंत्रण
		4	3	2	1
	प्रलेखन आवश्यकताएँ
1	प्रलेखन की संरचना और सामग्री की निगरानी
1.1।	विशिष्टता (GOST 19.202-78)	+	=	=	=
1.2।	कार्यक्रम का विवरण (GOST 19.402-78)	+	=	=	=
1.3।	आवेदन का विवरण (GOST 19.502-78)	+	=	=	=
1.4।	व्याख्यात्मक नोट (GOST 19.404-79)	-	+	=	=
1.5।	सॉफ्टवेयर में शामिल कार्यक्रमों के पाठ (GOST 19.401-78)	+	=	=	=
	परीक्षण सामग्री आवश्यकताएँ
2।	सॉफ्टवेयर की प्रारंभिक स्थिति की निगरानी	+	=	=	=
3।	कार्यक्रम स्रोतों का स्थैतिक विश्लेषण
3.1।	स्रोत ग्रंथों की अतिरेक की पूर्णता और कमी को नियंत्रित करना	+	+	+	=
3.2।	सॉफ़्टवेयर स्रोत कोड का उसके ऑब्जेक्ट (बूट) कोड पर अनुपालन नियंत्रण	+	=	=	+
3.3।	संचार कार्यात्मक वस्तुओं प्रबंधन को नियंत्रित करें	-	+	=	=
3.4।	जानकारी द्वारा कार्यात्मक वस्तुओं के संबंधों की निगरानी करना	-	+	=	=
3.5।	सूचना वस्तुओं का नियंत्रण	-	+	=	=
3.6।	स्रोत कोड में निर्दिष्ट संरचनाओं की उपस्थिति की निगरानी करना	-	-	+	+
3.7।	कार्यात्मक वस्तुओं के निष्पादन मार्गों की सूची का गठन	-	+	+	=
3.8।	कार्यात्मक वस्तुओं के महत्वपूर्ण निष्पादन मार्गों का विश्लेषण	-	-	+	=
3.9।	नियंत्रित सॉफ़्टवेयर के स्रोतों से निर्मित फ़्लोचार्ट, आरेख, आदि के आधार पर कार्यात्मक वस्तुओं के संचालन के एल्गोरिदम का विश्लेषण	-	-	+	=
4।	कार्यक्रम स्रोतों का गतिशील विश्लेषण
4.1।	कार्यात्मक वस्तुओं के निष्पादन की निगरानी करना	-	+	+	=
4.2।	कार्यात्मक विश्लेषण के संचालन की प्रक्रिया में निर्मित कार्यात्मक वस्तुओं और मार्गों के वास्तविक निष्पादन मार्गों की तुलना	-	+	+	=
5।	रिपोर्टिंग	+	+	+	+

पदनाम

"-" - इस स्तर के लिए कोई आवश्यकताएं नहीं हैं;

"+" - नई या अतिरिक्त आवश्यकताएं;

"=" - आवश्यकताएँ पिछले स्तर की आवश्यकताओं के साथ मेल खाती हैं।

पैराग्राफ 3 के अनुसार "सॉफ्टवेयर की प्रारंभिक स्थिति की निगरानी" आवश्यकताओं की सूची

• नियंत्रण में सॉफ्टवेयर की प्रारंभिक स्थिति को ठीक करने और प्रलेखन में दिए गए परिणामों के साथ तुलना करना शामिल है।
• सॉफ्टवेयर की प्रारंभिक स्थिति के नियंत्रण के परिणामों को बूट मॉड्यूल के चेकसम के अनूठे मूल्यों और सॉफ्टवेयर में शामिल कार्यक्रमों के स्रोत कोड की गणना की जानी चाहिए।
• सॉफ़्टवेयर में शामिल प्रत्येक फ़ाइल के लिए चेकसम की गणना की जानी चाहिए।

हाँ, ठीक है, प्रलेखन में सभी प्रोग्राम फ़ाइलों के चेकसम को ठीक किया जाना चाहिए। यह क्रिप्टो राउटर के फर्मवेयर के लिए एक सवारी होगी (सामान्य तौर पर, यह वहां किया जाता है), लेकिन निश्चित रूप से एंटीवायरस के लिए नहीं! यहां तक ​​कि अगर हम प्रोग्राम मॉड्यूल को सीधे ध्यान में नहीं रखते हैं, तो हस्ताक्षर डेटाबेस (वैसे, "सॉफ़्टवेयर में शामिल") को लगभग चार बार अपडेट किया जाता है। सॉफ्टवेयर स्थिति की किस तरह की निगरानी पर चर्चा की जा सकती है?

फिलहाल, कई एंटी-वायरस कंपनियों के FSTEC प्रमाणित उत्पाद:

• ESET (NDV की कमी का चौथा स्तर);
• Dr.Web (स्तर 2 और 3);
• कास्परस्की लैब (स्तर 3);
• VBA32 (स्तर 4)।

उदाहरण के लिए

उदाहरण के लिए, कास्परस्की एंटी-वायरस (सिर्फ एक उदाहरण) लें, उन्हें अपने एफएसटीईसी प्रमाणपत्रों पर बहुत गर्व है, उन्हें ग्राहकों के सामने ट्रम्प करने का मौका नहीं मिला।

"वर्किंग विंडोज के लिए Kaspersky एंटी-वायरस 6.0" सॉफ्टवेयर उत्पाद के लिए अनुरूपता का प्रमाण पत्र (संख्या 1384) 2007 में वापस जारी किया गया था, फिर इसे 2013 तक बढ़ा दिया गया, जिस दौरान नियंत्रण रेखा ने इसके लिए 4 (!) प्रमुख अपडेट (एमपी) जारी किए और प्रमाण पत्र वही है! ! इसका मतलब है कि किसी ने उत्पाद का परीक्षण नहीं किया है, सिर्फ इसलिए कि प्रमुख संस्करण की संख्या नहीं बदली है ... और यह हस्ताक्षर डेटाबेस के दैनिक अद्यतन का उल्लेख नहीं है।



प्रमाण पत्र में कोई चेकसम नहीं हैं। तार्किक रूप से, वे क्यों हैं? पहले अपडेट में, ज्यादातर फाइलें बस बदल जाएंगी। बेशक, यह कागजी कार्रवाई पूरी तरह से आईटी विभागों के प्रमुखों के पांचवें बिंदुओं को शामिल करती है, लेकिन क्या जो लोग ऐसी चीजें जारी करते हैं, वे वास्तव में स्थिति की पूरी बकवास नहीं समझते हैं ..?



और यहां, एफएसबी से अनुरूपता के प्रमाण पत्र में, वे हैं, लेकिन उनमें क्या बिंदु है? बस स्थापित करने से पहले वितरण की जांच करें।

और परिणाम क्या है?

आपके पास एक उपाय पर कागज के टुकड़ों का एक गुच्छा है, लेकिन :

1. कोई भी आपको इस बात की गारंटी नहीं देता है कि कोड में कोई भी त्रुटि नहीं है (माना जाता है), इसमें गंभीर लोग भी शामिल हैं, जिनका इस्तेमाल सिस्टम से पूरी तरह से समझौता करने के लिए किया जा सकता है। उसी कैस्परस्की एंटी-वायरस 6.0 का उपयोग करने के अनुभव से, मैं कह सकता हूं कि सभी प्रमाणपत्रों के बाद बस बड़ी संख्या में त्रुटियां शेष हैं (अच्छी तरह से, अन्य उत्पादों में कम :)। क्या यह साबित करना संभव है, उदाहरण के लिए, एक परित्यक्त "बफर ओवरफ्लो" छेद की जानबूझकर? शायद ही ...

2. नए खतरों को अद्यतन करने और उनका इलाज करने के लिए उन्नत प्रणालियों के लिए धन्यवाद, लगभग कोई भी आधुनिक एंटी-वायरस अपडेट सेंटर से कमांड द्वारा मनमानी कार्रवाई (तथाकथित उपचार स्क्रिप्ट) कर सकता है। आपको कंप्यूटर पर कुछ फ़ाइलों को खोजने के लिए कमांड देने से क्या रोकता है, उन्हें गारंटी दें, और फिर, सभी उपयोगकर्ता समझौतों के अनुसार, उन्हें "वायरस प्रयोगशाला विश्लेषकों के विश्लेषण के लिए" स्थानांतरित करें? यह क्या है? ठीक है, ऐसा होता है, हमने इन फ़ाइलों को दुर्भावनापूर्ण माना और, आपकी सुरक्षा का ख्याल रखते हुए, हमने उनका विश्लेषण किया। अपने भले के लिए! शांति से सोएं, आपके गुप्त दस्तावेजों में किसी भी दुर्भावनापूर्ण मैक्रोज़ का पता नहीं चला है, और उस विश्लेषक को हमने अपनी आँखें खोली और हमारी जीभ काट दी;)

निष्कर्ष

इस तरह के सॉफ्टवेयर उत्पादों में अघोषित क्षमताओं की अनुपस्थिति को नियंत्रित करने के मौजूदा तरीकों के रूप में गतिशील खतरों से जानकारी की रक्षा के साधन निराशाजनक रूप से पुराने हैं और कुछ भी गारंटी नहीं दे सकते हैं। और वास्तव में, इस तरह की प्रणाली को मज़बूती से रखने की क्षमता संदिग्ध लगती है।
प्रमाणपत्र आपको केवल नियामकों की जांच करने से बचाएगा, लेकिन किसी भी खतरे से नहीं। खैर, यह हमारे देश के लिए काफी तार्किक है, दुर्भाग्य से ... पी वर्ग =