Ahogyan az informatikai rendszerek egyre inkább áthatják az élet minden területét, az informatikai biztonság egyre inkább előtérbe kerül. A mai rendszerek biztonsága általában nem kielégítő, a védelmi megoldások áttekinthetetlenek és nehézkesek. Nemzetközi szabványok és előírások születnek a rendszerek osztályozására, és a követelményeknek való megfelelés tanúsítására (pl. Common Criteria), amelyeket Magyarország is elfogad, és alkalmazni kíván, ám a jogi meglapozás késik. A technikai szintű megközelítés mellett az átfogó, szervezeti szintű megközelítések is teret nyernek (ITIL, COBIT, BS7799). Hasonló a helyzet a minőség és a minőségi garanciák tekintetében, ahol az ISO minősítések mellett a CMM gyökerű minősítések iránti igények is egyre gyakoribbak, emellett ismét megjelenik a termék alapú minősítés iránti igény (ISO 9126). A program végső célja, hogy a tudásközpont létrehozzon egy olyan laboratóriumot, amelyik az IT biztonság és minőség vizsgálati és hitelesítő, a projekt végére pedig tanúsító laboratóriuma legyen. Egyetemi szervezeti egység szállító-függetlensége folytán ideális keret lehet egy ilyen laboratórium számára. Konkrét kutatási témáink között új fenyegetések analízise, azonosító és hitelesítő technikák, biztonságos fizetési protokollok, audit-módszertanok és ezek számítógépes támogatása, valamint a termék (szoftver), a folyamatok és az erőforrások minőségi attribútumainak meghatározása, metrikái és mérési módszerei szerepelnek. Tekintve, hogy biztonsági és minőségi követelmények a Tudásközpont szinte valamennyi projektjében felmerülnek, és ezek teljesítése korántsem rutin feladat, a program keretében keressük a megoldásokat a projektek konkrét problémáira is.

2006. eredményeinek összegzése

Előkészítő tanulmányban foglaltuk össze a közös biztonsági és minőségi labor kialakításának feltételrendszerét, és ebben rámutattunk a biztonsági és minőségi tanúsítás lehetséges kapcsolódási pontjaira. További kutatási feladatként fogalmaztuk meg a konkrét tanúsítási rendszerek (pl. CC és CMMI) harmonizálására és egyes bizonyítékok kölcsönös elismerésére vonatkozó javaslatok kidolgozását. Az elfogadott, kiérlelt módszerekkel még nem rendelkező termék alapú szoftverminősítés területén az ISO 9126 szabvány alapján - figyelemmel a tanúsítás definíciójaként elfogadott Goal/Question/Metric Method (GQM) módszertanra - kidolgoztunk egy méréstechnikai szoftverre vonatkozó minőségi profilt. Specifikáltuk a szabványnak megfelelő külső, belső és használati (external, internal és in-use) metrikák egy készletét.

Megvizsgáltuk a biztonsági és minőségi tanúsítási eljárásokat, és kialakítottuk egy generikus támogató szoftver architektúráját és rendszertevét. Ennek alapján származtattuk a CMMI auditot támogató szoftver (CMMI Assistant) rendszertervét, amelyet az „IT minőséglabor” projektben használtunk fel.

Az „IT Biztonsági labor” projekt keretében a maga fizikai valóságában is létrejött a vizsgáló laboratórium, és kidolgoztuk a CC szerinti vizsgálat módszereit és végrehajtási rendjét. A labor első tevékenységeként a „Virtuálisan zárt hálózatok” projektben alkalmazott egyik termék, a Navayo SecBox vizsgálatát kezdte meg a védelmi profil kidolgozásával.

Az e-Biztonságfejlesztés projektcsoport „Belvédelmi algoritmusok” projektje olyan felhasználói viselkedésminták felismerését tűzte célul, amelyek a rendszer elleni támadásra utalnak. A kutatási feladat a rendszer használata során észlelhető viselkedési elemekből alkalmas viselkedési profilok felépítése és alkalmas kockázatelemzési, értékelési módszerek kidolgozása az esetleges támadások megbízható felismerésére. Az első év eredménye egy számos, független tényezőt felhasználó matematikai modell felállítása volt.

2007. év céljai, tevékenységei és eredményei

Új kutatási feladatként egy gyakorlati sérülékenységet vizsgáló módszer, az Ethical-hacking beillesztését tűztük ki az ismert biztonsági szabványokon alapuló módszertanokba. A CC szerinti minősítés területén egy újabb termék, a Balabit Zorp tűzfal v3.2 verziójának felkészítése a cél az EAL4+ szintű tanúsítvány elérésére. Ennek során az előző évben indított, EAL2+ szintet megcélzó előkészítéshez képest új szempontok, és így új alkalmazott kutatási feladatok oldandók meg.

Az ISO 9126 alapú minősítés, a CMMI Assistant, valamint a „Belvédelmi algoritmusok” projekt fejlesztési szakaszba lép. Ezekkel kapcsolatban a felmerülő, kutatási igényt támasztó problémákat kell kezelni.

 Kidolgoztuk az informatikai rendszerek sebezhetőségének “biztonságos” külső támadásokkal történő vizsgálatának elveit, módszereit, technikáit. Beillesztettük a kidolgozott módszertant a BS7799 COBIT, CC és ITIL szabványok szerinti vizsgálati eljárásokba. Az eredményeket felhasználva kidolgoztuk az IT biztonsági labor Ethical-hacking szolgáltatását.

Elkészült SecBox EAL2+ (strukturálisan tesztelt) szintű CC minősítését előkészítő dokumentumcsomag.

A Zorp tűzfal EAL4+ (módszeresen tervezett, tesztelt és átvizsgált) szintű CC minősítésre történő felkészítése során az elvégzendő feladatokat rendkívül alapos tervezést igényeltek, kiterjedt teszteket kellett végrehajtani, és precíz dokumentumokat kellett összeállítani. Mindenekelőtt a vizsgálat alá vont eszköz, termék és funkciók alapos és pontos definícióját kellett kidolgozni, ami önmagában is meglehetősen bonyolult feladatnak bizonyult (Security Target dokumentum összeállítása). A biztonsági funkciókat nem csak „fekete doboz” teszteléssel kell ellenőrizni, hanem a tervezésre és az előállítási folyamatra vonatkozó dokumentumokat, a szoftver forráskódját, a fejlesztő karbantartási folyamatait is vizsgálni, elemezni, dokumentálni kell. A munka eredményeként összeállítottuk azt a dokumentumcsomagot, amelynek alapján a tanúsítás a német Bundesamt für Sicherheit in der Informationstechnik-nál kezdeményezhető (nem kevesebb, mint 18 dokumentum). Az előkészítő tanulmányban megfogalmazott célkitűzést, amelyik javaslatok kidolgozását irányozta elő a konkrét tanúsítási rendszerek (pl. CC és CMMI) harmonizálására és egyes bizonyítékok kölcsönös elismerésére, alátámasztja, hogy számos kapcsolódási pontot találtunk a minőségtanúsítás követelményeihez.

Az ISO 9126 alapú minősítéshez tartozó mérési rendszer kidolgozása során a rendszer bevezetésével kapcsolatosan felmerült további szabványokkal való kapcsolat vizsgálata. Így első lépésben az ISO 12207 szabványban definiált fázisok és az egyes metrikák összerendelését adtuk meg, majd további szabványokkal (ISO 14598 sorozat, az ISO 25000, az ISO 15939) való kapcsolatokat határoztunk meg.

A CMMI Assistant fejlesztése és a „Belvédelmi algoritmusok” projektben folyó fejlesztés ebben az időszakban nem generált újabb kutatási feladatot a program profiljában.