Manual de instruções do diodo de dados ST Engineering 5282

Diodo de Dados ST Engineering 5282

As informações aqui contidas são de propriedade da ST Electronics (Info-Security) Pte Ltd e não podem ser copiadas, usadas ou divulgadas no todo ou em parte a terceiros, exceto com aprovação por escrito da ST Electronics (Info-Security) Pte Ltd ou , se tiver sido autorizado por um contrato.

Capítulo 1 - Introdução ST

Referência ST

• Título: ST Engineering Data Diode modelo 5282 e 5283 Security Target
• Versão ST: 4.0
• Data ST: 10 de junho e 2022

Referência TOE

Referência TOE: ST Engineering Data Diode modelo 5282, versão 2.2.1055, modelo 5283 versão 2.2.1055

• Nome: Diodo de Dados de Engenharia ST
• Modelo: 5282 e 5283
• Versão: 2.2.1055

Dedo do pé acimaview
O Target of Evaluation (TOE) é um gateway de rede que garante a transmissão de dados unidirecional da camada física através do TOE.
O TOE é usado para conectar duas redes independentes, denotadas como Rede de Envio e Rede de Recepção. A Rede de Envio conecta-se ao TOE via interface InterfaceLAN (Remetente), enquanto a Rede Receptora se conecta ao TOE via interface InterfaceLAN (Receptor). A Figura 1 ilustra a configuração da rede que também é a configuração TOE avaliada.

O TOE garante que os dados possam fluir apenas da rede de envio para a rede de recebimento, mas não na direção inversa. O diagrama de blocos TOE é ilustrado na Figura 2.

O TOE consiste em dois subsistemas, ou seja, a placa-mãe do remetente e a placa-mãe do receptor. Esses dois subsistemas são fisicamente separados um do outro e são alimentados por fontes de alimentação independentes. A propriedade de transmissão de dados unidirecional é obtida pelo par de SFP+ personalizados (consulte a Figura 2) que são implementados na placa-mãe do remetente e na placa-mãe do receptor, respectivamente. O SFP+ (Receptor) da Placa Mãe Receptora é composto apenas por um transmissor óptico e não possui nenhuma interface externa para receber sinais ópticos enquanto o SFP+ (Receptor) da Placa Mãe Receptora é composto apenas por um sensor óptico e não possui transmissor óptico; os dados só podem ser transmitidos opticamente do SFP+ (Emissor) para o SFP+ (Receptor) em virtude da implementação física.
Observe que o Portal de Gerenciamento (web interface para configurar TOE) e File Os módulos do sistema na placa-mãe do remetente e na placa-mãe do receptor não são módulos TOE e não são considerados parte do TOE.

A propriedade de transmissão de dados unidirecional da camada física do TOE pode resolver dois problemas de segurança:

• Impede o vazamento de informações da Rede de Recebimento para a Rede de Envio.
• Impede que a integridade dos dados que residem na Rede de Envio seja comprometida por processos executados na Rede de Recepção.

O TOE consiste em 2 modelos, ou seja, 5282 e 5283, que implementam o mesmo projeto e propriedade de transmissão de dados unidirecional, conforme ilustrado na Figura 2. As diferenças entre os modelos são descritas na Tabela 1 abaixo.

Tipo TOE
O TOE é um gateway de rede unidirecional da camada física.

Descrição do TOE

Escopo Físico

Hardware e Software TOE

Hardware
Conforme ilustrado na Figura 2, o TOE consiste em dois subsistemas, ou seja, a placa-mãe do remetente e a placa-mãe do receptor. Essas duas placas-mãe são fisicamente separadas uma da outra e são conectadas entre si apenas através do par de SFP+ personalizado. A seguir, uma breve descrição das placas-mãe e do SFP+ personalizado.

• Placa-mãe do remetente;
  Esta placa-mãe se conecta à Rede de Envio. Ele só se conecta à placa-mãe do receptor através do par de SFP+ personalizado.
• Placa-mãe Receptora;
  Esta placa-mãe será conectada à Rede Receptora. Ele só se conecta à placa-mãe do remetente através do par de SFP + personalizado.
• SFP+ (Remetente)
  Este é um módulo que faz parte da placa mãe do remetente. Consiste em um transmissor óptico, mas não contém nenhuma interface externa para receber sinais ópticos; é incapaz de receber sinais ópticos externos.
• SFP+ (Receptor)
  Este é um módulo que faz parte da placa-mãe do receptor. Consiste apenas em um sensor óptico, mas não em um transmissor óptico; é incapaz de transmitir sinais ópticos.
• Fonte de Alimentação (Remetente) e Fonte de Alimentação (Receptor)
  Ambos os módulos são fontes de alimentação independentes que fornecem energia para a respectiva placa-mãe do remetente e placa-mãe do receptor.

Programas
Tanto a placa-mãe do remetente quanto a placa-mãe do receptor operam no sistema operacional (SO) Linux. O seguinte descreve os módulos de software executados na respectiva placa-mãe do remetente e da placa-mãe do receptor.

• Placa mãe do remetente
  • Serviço do remetente
    Recebe dados da Rede de Envio via protocolo de rede padrão, como TCP, UDP, SYSLOG, SNMP, SMTP, OPC, MODBUS, Streaming de Vídeo, Kafka.
  •  Cliente de diodo de dados
    • Converte o protocolo padrão para o protocolo proprietário
    • Envia os dados para o módulo SFP+ (Sender).
  • Portal de Gestão
    Fornece a interface do Portal de Gerenciamento (web interface) para que os usuários configurem o protocolo de rede esperado na InterfaceLAN (Sender).
  • File Sistema:
    Armazena a configuração e o log necessários files que é lido e gerado pelo módulo Sender Service.
• Placa-mãe do receptor
  o Servidor de diodo de dados
  ▪ Recebe dados do módulo SFP+ (Receptor).
• Converte o protocolo proprietário em protocolo de rede padrão
  • Serviço de Receptor
    • Envia os dados para a rede de recebimento usando o protocolo de rede padrão
  • Portal de Gestão
    • Fornece a interface do Portal de Gerenciamento (web interface) para que os usuários configurem o protocolo de rede esperado na InterfaceLAN (Receptor).
  • File Sistema:
    • Armazena a configuração e o log necessários files que é lido e gerado pelo módulo Receiver Service.

Todos os softwares da placa-mãe do remetente e da placa-mãe do receptor não são capazes de comprometer a transmissão de dados unidirecional da camada física (camada 1), pois o software reside na camada 2 e acima do modelo Open Systems Interconnection (OSI).

Sistema operacional

• SO da placa-mãe do remetente: Linux
• SO da placa-mãe do receptor: Linux

Hardware e software não TOE
Nenhum.

Método de entrega do TOE e sua orientação ao usuário
O TOE é entregue no endereço do cliente pela equipe da empresa para entrega local ou serviços de entrega confiáveis ​​para entrega no exterior.
Os guias do usuário estão disponíveis nos seguintes documentos em formato PDF. Os guias do usuário são entregues aos usuários por e-mail:

• ST Engineering Data Diode Modelo 5282 versão 2.2 Guia de instalação v2.3. 2
• ST Engineering Data Diode Modelo 5283 versão 2.2 Guia de instalação v2.3. 2
• ST Engineering Data Diode Modelo 328X, 5282 e 5283 Teste de Aceitação v2.2
• ST Engineering Data Diode Modelo 328X, 5282 e 5283 Management Portal Guia do Usuário v2.6. E

Escopo Lógico do TOE
O TOE permite que os dados fluam da Rede Emissora para a Rede Receptora, mas não permite que os dados fluam no sentido inverso em virtude da implementação física do par SFP+ customizado na respectiva Placa Mãe Emissora e Placa Mãe Receptora; O SFP+ (Emissor) não possui interface externa para receber sinal óptico enquanto o SFP+ (Receptor) não possui um transmissor óptico, portanto, fisicamente não é possível que os dados fluam da Rede Receptora para a Rede Emissora via TOE.

A sequência a seguir descreve o fluxo de dados através do TOE:

1. A placa-mãe do remetente recebe dados da rede de envio via InterfaceLAN (Sender).
2. A placa-mãe do remetente então converte os pacotes de dados de um protocolo de rede padrão para um proprietário. Os pacotes de dados convertidos são então encaminhados para a placa-mãe receptora através do par SFP+ personalizado.
3. A placa-mãe do receptor recebe pacotes de dados proprietários da placa-mãe do remetente e os converte em protocolo de rede padrão. Os pacotes de dados convertidos são então encaminhados para a Rede Receptora via InterfaceLAN (Receptor).

Capítulo 2 - Reivindicações de Conformidade

Reivindicações de conformidade
O TOE e ST estão em conformidade com os Critérios Comuns (CC) Versão 3.1, Revisão 5, datada de: abril de 2017. O TOE e ST estão em conformidade com CC Parte 2 e CC Parte 3. O ST é compatível com o pacote de garantia CC EAL4+ AVA_VAN.5.

Razão de Conformidade
Nenhum.

Capítulo 3 - Definição do problema de segurança

Este TOE aborda o vazamento de dados da rede de recebimento para a rede de envio.

Ameaças
Esta seção descreve as ameaças que são abordadas pelo TOE:
T.RCVDATALEAK: Um usuário ou processo na Rede Receptora que acidentalmente ou deliberadamente viola a confidencialidade dos dados ao transmitir dados através do TOE para a Rede Receptora.

Políticas de segurança organizacional
Não há Políticas de Segurança Organizacional com as quais o TOE deva cumprir.

Suposições
As suposições feitas sobre o ambiente pretendido do TOE são:

• A.FÍSICO: O TOE deve ser instalado e operado em um ambiente que impeça o acesso físico não autorizado.
• A.USER: Os usuários são confiáveis; os usuários não devem comprometer maliciosamente a funcionalidade de segurança do TOE. Os usuários são bem treinados; o usuário deve cumprir os procedimentos operacionais estipulados na orientação do usuário.
• A.NETWORK: O fluxo de informações entre a Rede Emissora e a Rede Receptora deve passar pela TOE e não haverá outra conexão de rede entre a Rede Emissora e a Rede Receptora.

Capítulo 4 Objetivos de Segurança

Objetivos de segurança para o TOE
O.ONEWAY: O TOE deve permitir que os dados fluam da rede de envio para a rede de recebimento, mas não na direção inversa, ou seja, da rede de recebimento para a rede de envio.

Objetivos de segurança para o ambiente operacional

• Os seguintes objetivos de segurança são necessários para ajudar o TOE a fornecer corretamente sua função de segurança de transmissão de dados unidirecional.
• Estes objectivos são satisfeitos através da aplicação de medidas processuais ou administrativas.
  OE.FÍSICO: O TOE deve ser instalado e operado em um ambiente fisicamente seguro que impeça o acesso físico não autorizado.
• OE.USER: Os usuários são confiáveis; os usuários não devem comprometer maliciosamente a funcionalidade de segurança do TOE. Os usuários são bem treinados; o usuário deve cumprir os procedimentos operacionais estipulados na orientação do usuário.
• OE.NETWORK: O fluxo de informações entre a Rede Emissora e a Rede Receptora deve passar pelo TOE e não deve haver nenhuma outra conectividade de rede entre a Rede Emissora e a Rede Receptora.

Fundamentação dos Objetivos de Segurança

A Tabela 2 mapeia os objetivos de segurança para ameaças e suposições descritas no Capítulo 3. A tabela ilustra que cada ameaça é combatida por pelo menos um objetivo de segurança, que cada suposição é sustentada por pelo menos um objetivo de segurança e que cada objetivo contraria pelo menos uma ameaça ou sustenta pelo menos uma suposição.

Isso é seguido por um texto explicativo fornecendo justificativa para cada ameaça definida de que, se todos os objetivos de segurança que remontam à ameaça forem alcançados, a ameaça será removida, suficientemente diminuída ou que os efeitos da ameaça sejam suficientemente mitigados. Além disso, cada suposição definida é mantida se todos os objetivos de segurança para o ambiente operacional que remontam à suposição forem alcançados.

T.RCVDATALEAK

• T.RCVDATALEAK: Um usuário ou processo na Rede Receptora que acidentalmente ou deliberadamente viola a confidencialidade dos dados ao transmitir dados através do TOE para a Rede Receptora.
• O.ONEWAY garante que os dados só possam fluir da rede de envio para a rede de recebimento, mas não na direção inversa
• OE.PHYSICAL garante que o TOE seja implantado em um ambiente fisicamente seguro, ou seja, somente usuários autorizados têm permissão de acesso físico ao TOE. Isso evita que a implementação e a configuração do TOE sejam tamp, contornando ou modificando o SFP de transmissão de dados unidirecional
• OE.USER garante que os usuários sejam confiáveis; os usuários não ignorarão maliciosamente ou tamper a funcionalidade de segurança do TOE. Também garante que o usuário seja bem treinado; os usuários não irão, inadvertidamente, configurar incorretamente o TOE, o que pode comprometer a funcionalidade de segurança do TOE.
• OE.NETWORK garante que todas as conexões de rede entre a Rede de Envio e a Rede de Recepção passem pelo TOE para que o SFP de transmissão de dados unidirecional seja preservado.

A. FÍSICA
A.FÍSICO: O TOE será instalado e operado em ambiente que impeça o acesso físico não autorizado. OE.PHYSICAL apoia diretamente A.PHYSICAL.

UM USUÁRIO
A.USER: Os usuários são confiáveis; os usuários não devem comprometer maliciosamente a funcionalidade de segurança do TOE. O usuário é bem treinado; o usuário deve cumprir os procedimentos operacionais estipulados na orientação do usuário OE.USER defende diretamente A.USER.

UMA REDE
A.NETWORK: O fluxo de informações entre a rede de envio e a rede de recebimento deve passar pelo TOE e não haverá outra conexão de rede entre a rede de envio e a rede de recebimento. OE.NETWORK sustenta diretamente A.NETWORK

Capítulo 5 Requisito de Segurança

• Requisitos Funcionais de Segurança
  O TOE usa dois assuntos: Rede de Envio e Rede de Recepção. Esses assuntos são conectados ao TOE via InterfaceLAN (Sender) e InterfaceLAN (Receiver), respectivamente. Esses sujeitos não têm atributos.
  Esta declaração de SFRs não define outros assuntos, objetos, operações, atributos de segurança ou entidades externas.
• Controle de fluxo de informações completas (FDP_IFC.2)
  • FDP_IFC.2 Controle completo do fluxo de informações
  • Hierárquico para: FDP_IFC.1 Controle de fluxo de informações de subconjunto
  • Dependências: FDP_IFF.1 Atributos de segurança simples
  • FDP_IFC.2.1 O TSF deve impor a transmissão de dados unidirecional na camada física SFP em todas as informações da Rede de Envio para a Rede de Recepção através do TOE e todas as operações que fazem com que essas informações fluam de e para assuntos cobertos pelo SFP.
  • FDP_IFC.2.2 O TSF deve garantir que todas as operações que fazem com que qualquer informação no TOE flua de e para qualquer assunto no TOE sejam cobertas por um SFP de controle de fluxo de informações.
• Atributos de segurança simples (FDP_IFF.1)
  • FDP_IFF.1 Atributos de segurança simples
  • Hierárquico para: Nenhum outro componente.
  • Dependências: FDP_IFC.1 Controle de fluxo de informações de subconjunto FMT_MSA.3 Inicialização de atributo estático1 FDP_IFF.1.1 O TSF deve impor a transmissão de dados unidirecional na camada física SFP com base nos seguintes tipos de atributos de segurança de assunto e informação:
• Assunto: Rede de envio , Rede de recebimento.
• Atributo de segurança da informação: Subject Identity2
  FDP-IFF.1.2 O TSF deve permitir um fluxo de informações entre um assunto controlado e informações controladas por meio de uma operação controlada se as seguintes regras forem válidas:
• O TSF deve permitir que os dados da Rede de Envio fluam para a Rede de Recepção.
  • FMT_MSA.3 não é aplicável, pois não há atributos de segurança para inicializar
  • A identidade do sujeito é definida como a rede de envio e a rede de recebimento
• A TSF deve negar o fluxo de dados da Rede Receptora para a Rede Receptora.
  FDP_IFF.1.3 O TSF deve aplicar o Nenhum
  FDP_IFF.1.4 O TSF deve autorizar explicitamente um fluxo de informações com base nas seguintes regras: Nenhuma.
  FDP_IFF.1.5 A TSF deve negar explicitamente um fluxo de informações com base nas seguintes regras: Nenhuma
• Definição de Componentes Estendidos
  Não há componentes estendidos definidos neste ST.
• Justificativa do Requisito de Segurança
• Rastreamento entre SFRs e os objetivos de segurança para o TOE
  A tabela a seguir fornece um mapeamento entre os requisitos de segurança e os objetivos de segurança do TOE.
• Justificativa para Suficiência
  O objetivo de segurança do TOE:
  • O.ONEWAY: O TOE deve permitir que os dados fluam da rede de envio para a rede de recebimento, mas não na direção inversa, ou seja, da rede de recebimento para a rede de envio.
  • FDP_IFF.1 requer que todas as informações que fluem através do TOE sejam cobertas pela transmissão de dados unidirecional na camada física SFP. Isso garante que nenhum fluxo de informação, seja explícito ou encoberto, seja isento da transmissão de dados unidirecional na camada física SFP.
  • FDP_IFC.2 requer que os dados só possam fluir da rede de envio para a rede de recebimento e não na direção inversa, ou seja, da rede de recebimento para a rede de envio.
• Requisitos de garantia de segurança
  Os requisitos de garantia de segurança para o TOE são o Nível de Garantia de Avaliação 4+ AVA_VAN.5.

  Classe de Garantia	Componente de Garantia
  ADV: Desenvolvimento	ADV_ARC.1 Descrição da arquitetura de segurança

  	ADV_FSP.4 Especificação funcional completa
  	ADV_IMP.1 Representação de implementação do TSF
  	ADV_TDS.3 Design modular básico
  AGD: Documentos de orientação	AGD_OPE.1 Orientação operacional do usuário
  	AGD_PRE.1 Procedimentos preparativos
  ALC: Suporte ao ciclo de vida	ALC_CMC.4 Suporte à produção, procedimentos de aceitação e automação
  	ALC_CMS.4 Cobertura do CM de rastreamento de problemas
  	ALC_DEL.1 Procedimentos de entrega
  	ALC_DVS.1 Identificação das medidas de segurança
  	ALC_LCD.1 Modelo de ciclo de vida definido pelo desenvolvedor
  	ALC_TAT.1 Ferramentas de desenvolvimento bem definidas
  ASE: avaliação do alvo de segurança	ASE_CCL.1 Reivindicações de conformidade
  	ASE_ECD.1 Definição de componentes estendidos
  	Introdução ASE_INT.1 ST
  	ASE_OBJ.2 Objetivos de segurança
  	ASE_REQ.2 Requisitos de segurança derivados
  	ASE_SPD.1 Definição do problema de segurança
  	Especificação resumida do TOE ASE_TSS.1
  ATE: Testes	ATE_COV.2 Análise de cobertura
  	Teste ATE_DPT.1: projeto básico
  	ATE_FUN.1 Teste funcional
  	ATE_IND.2 Teste independente – sample
  AVA: Vulnerabilidade avaliação	AVA_VAN.5 Análise de vulnerabilidade metódica avançada

   

• Justificativa para Requisitos de Garantia de Segurança
  O pacote de garantia de avaliação selecionado para a avaliação do TOE é o EAL4+
  Pacote de garantia AVA_VAN.5. O pacote de garantia EAL4+ AVA_VAN.5 foi escolhido para oferecer resistência contra alto potencial de ataque que é consistente com produtos comerciais para aplicações no governo. O nível de garantia escolhido é adequado às ameaças definidas para o ambiente (proteção física pelo ambiente, interface limitada e acesso ao TOE).
• Tabela de Dependências de Requisitos de Segurança
  A Tabela 5 descreve a satisfação de todas as dependências de requisitos de segurança. Para cada requisito de segurança incluído no ST, as dependências CC são identificadas na coluna “dependência CC” e as dependências satisfeitas são identificadas na coluna “dependência ST”.

  ST SFR	Dependência de ST	Dependência CC	Justificação
  FDP_IFC.2	FDP_IFF.1	FDP_IFF.1
  FDP_IFF.1	FDP_IFC.2	FDP_IFC.1 FMT_MSA.3	FMT_MSA.3 não é aplicável porque há nenhum atributo de segurança para inicializar.

   

• Especificação do Resumo TOE
  O TOE aborda dois requisitos funcionais de segurança: FDP_IFC.2 e FDP_IFF.1. Eles trabalham juntos para satisfazer o objetivo de segurança do TOE. O seguinte fornece uma descrição dos mecanismos técnicos gerais que o TOE usa para satisfazer cada SFR definido. Inclui a descrição da funcionalidade de segurança fornecida em cada SFR por referência e fornece uma view da sua implementação no TOE
  • FDP_IFC.2:
    O TOE consiste em dois subsistemas, ou seja, a placa-mãe do remetente e a placa-mãe do receptor. Tanto a placa-mãe do remetente quanto a placa-mãe do receptor são totalmente independentes, cada uma com sua própria alimentação independente e interfaces de rede, cada uma fechada em um gabinete que não admite sinais elétricos ou ópticos através de outras interfaces que não as descritas. Com base na orientação do usuário (indicada na seção 1.4.1.3), a placa-mãe do remetente é conectada apenas à rede de envio e não à rede de recebimento. Por outro lado, a Placa Mãe Receptora está conectada apenas à Rede Receptora.
    A placa-mãe do remetente e a placa-mãe do receptor são conectadas apenas por um único cabo de fibra óptica. Este cabo de fibra óptica é conectado a cada uma das placas-mãe do remetente e da placa-mãe do receptor por meio de seus respectivos SFP+ personalizados, ou seja, SFP+ (remetente) e SFP+ (receptor). Isso garante que todos os dados que fluem através do TOE devem fluir através do cabo de fibra óptica e, portanto, são cobertos pelo SFP de transmissão de dados unidirecional.
  • FDP_IFF.1:
    O módulo SFP+ (Emissor) converte os sinais elétricos de entrada em sinais ópticos, enquanto o módulo SFP+ (Receptor) converte os sinais ópticos de entrada em sinais elétricos. O módulo SFP+ (Sender) contém um transmissor óptico e não um sensor óptico que pode receber sinais ópticos externamente. Por outro lado, o módulo SFP+ (Receptor) contém apenas um sensor óptico e não um transmissor óptico. Assim, SFP+ (Remetente) e SFP+ (Receptor) juntos fisicamente apenas permitem que os dados fluam da Rede de Envio para a Rede de Recepção, mas não na direção inversa.

Referências

1. Critérios Comuns para Avaliação de Segurança de Tecnologia da Informação, Parte 1: Introdução e modelo geral, abril de 2017, Versão 3.1 Revisão 5
2. Critérios Comuns para Avaliação de Segurança de Tecnologia da Informação, Parte 2: Componentes funcionais de segurança, abril de 2017, Versão 3.1 Revisão 5
3. Critérios Comuns para Avaliação de Segurança de Tecnologia da Informação, Parte 3: Componentes de garantia de segurança, abril de 2017, Versão 3.1 Revisão 5
4. Critérios Comuns para Avaliação de Segurança de Tecnologia da Informação, Metodologia de Avaliação, abril de 2017, Versão 3.1 Revisão 5.

AFefgiações

• Critérios Comuns CC
• Nível de Garantia de Avaliação EAL
• Requisitos de garantia de segurança SAR
• Requisitos Funcionais de Segurança SFR
• Política Funcional de Segurança SFP
• Módulo de Diodo de Dados SFP+
• Objetivo de Avaliação TOE
• Função de segurança TSF TOE
• Alvo de Segurança ST