ST Engineering 5282 datadiode

Oplysningerne heri tilhører ST Electronics (Info-Security) Pte Ltd og må ikke kopieres, bruges eller videregives helt eller delvist til nogen tredjepart undtagen med skriftlig godkendelse fra ST Electronics (Info-Security) Pte Ltd eller , hvis det er godkendt i henhold til en kontrakt.

Kapitel 1 – ST Introduktion

ST reference

• Titel: ST Engineering Data Diode model 5282 og 5283 Security Target
• ST-version: 4.0
• ST-dato: 10. juni e 2022

TOE reference

TOE-reference: ST Engineering Data Diode model 5282, version 2.2.1055, model 5283 version 2.2.1055

• Navn: ST Engineering Data Diode
• Model: 5282 og 5283
• Version: 2.2.1055

TÅ Overview
The Target of Evaluation (TOE) er en netværksgateway, der sikrer fysisk lag envejs datatransmission gennem TOE.
TOE'en bruges til at forbinde to uafhængige netværk sammen, betegnet som afsendernetværket og modtagenetværket. Sendende netværk opretter forbindelse til TOE via InterfaceLAN (Sender)-interface, mens Receiving Network opretter forbindelse til TOE via InterfaceLAN (Receiver)-grænsefladen. Figur 1 illustrerer netværkskonfigurationen, som også er den evaluerede TOE-konfiguration.

TOE'en sikrer, at data kun kan strømme fra det afsendende netværk til det modtagende netværk, men ikke i den modsatte retning. TOE-blokdiagrammet er illustreret i figur 2.

TOE består af to undersystemer, nemlig afsender bundkort og modtager bundkort. Disse to undersystemer er fysisk adskilt fra hinanden og drives af uafhængige strømforsyninger. Envejsdatatransmissionsegenskaben opnås af parret tilpassede SFP+ (se figur 2), der er implementeret på henholdsvis afsender-bundkort og modtager-bundkort. SFP+ (senderen) på senderens bundkort består kun af en optisk sender og har ikke nogen ekstern grænseflade til at modtage optiske signaler, mens SFP+ (modtageren) på modtagerens bundkort kun består af en optisk sensor og ikke har optisk sender; data kan kun transmitteres optisk fra SFP+ (Sender) til SFP+ (Receiver) i kraft af den fysiske implementering.
Bemærk, at ledelsesportalen (web interface til at konfigurere TOE) og File Systemmoduler i både Sender Bundkort og Modtager Bundkort er ikke-TOE-moduler, og de betragtes ikke som en del af TOE.

TOE'ens fysiske lag envejs datatransmissionsegenskab kan løse to sikkerhedsproblemer:

• Det forhindrer informationslækage fra det modtagende netværk til det afsendende netværk.
• Det forhindrer integriteten af ​​de data, der findes i det afsendende netværk, i at blive kompromitteret af processer, der kører i det modtagende netværk.

TOE'en består af 2 modeller, dvs. 5282 og 5283, der implementerer samme design og envejsdatatransmissionsegenskab som vist i figur 2. Forskellene mellem modellerne er yderligere beskrevet i tabel 1 nedenfor.

TOE type
TOE er fysisk lag ensrettet netværksgateway.

TOE Beskrivelse

Fysisk omfang

TOE hardware og software

Hardware
Som illustreret i figur 2 består TOE'et af to undersystemer, nemlig afsenderbundkort og modtagerbundkort. Disse to bundkort er fysisk adskilt fra hinanden og er kun forbundet med hinanden via parret tilpassede SFP+. Det følgende giver en kort beskrivelse af bundkortene og tilpassede SFP+.

• afsender bundkort;
  Dette bundkort forbindes til Sending Network. Den forbinder kun til modtagerens bundkort via parret tilpassede SFP+.
• Modtager bundkort;
  Dette bundkort vil blive forbundet til det modtagende netværk. Den forbinder kun til Sender bundkort via parret tilpassede SFP+.
• SFP+ (afsender)
  Dette er et modul, der er en del af Sender Motherboard. Den består af en optisk sender, men indeholder ikke nogen ekstern grænseflade til at modtage optiske signaler; den er ikke i stand til at modtage optiske signaler fra eksterne.
• SFP+ (modtager)
  Dette er et modul, der er en del af modtagerens bundkort. Den består kun af en optisk sensor, men ikke en optisk sender; den er ikke i stand til at transmittere optiske signaler.
• Strømforsyning (afsender) og strømforsyning (modtager)
  Begge moduler er uafhængige strømforsyninger, der leverer strøm til det respektive Sender Motheboard og Recevier Motherboard.

Software
Både Sender Bundkort og Modtager Bundkort fungerer på Linux operativsystem (OS). Det følgende beskriver de softwaremoduler, der kører på det respektive sender-bundkort og modtager-bundkort.

• Afsender bundkort
  • Afsenderservice
    Modtager data fra Sending Network via standard netværksprotokol, såsom TCP, UDP, SYSLOG, SNMP, SMTP, OPC, MODBUS, Video Streaming, Kafka.
  •  Data Diode Client
    • Konverterer standardprotokollen til den proprietære protokol
    • Sender dataene til SFP+ (Afsender) modul.
  • Ledelsesportal
    Giver administrationsportalens grænseflade (web interface), så brugere kan konfigurere den forventede netværksprotokol på InterfaceLAN (afsender).
  • File System:
    Gemmer den nødvendige konfiguration og log files, der læses og genereres af Sender Service-modulet.
• Modtager bundkort
  o Data Diode Server
  ▪ Modtager data fra SFP+ (Receiver) modul.
• Konverterer den proprietære protokol til standardnetværksprotokol
  • Modtagerservice
    • Sender dataene til modtagende netværk ved hjælp af standard netværksprotokol
  • Ledelsesportal
    • Giver administrationsportalens grænseflade (web interface), så brugere kan konfigurere den forventede netværksprotokol på InterfaceLAN (modtager).
  • File System:
    • Gemmer den nødvendige konfiguration og log files, der læses og genereres af modtagerservicemodulet.

Al softwaren i Sender Motherboard og Receiver Motherboard er ikke i stand til at kompromittere den fysiske lag envejs datatransmission (Layer 1), da softwaren ligger i Layer 2 og derover af Open Systems Interconnection (OSI) model.

Operativsystem

• Afsender bundkort OS: Linux
• Modtager bundkort OS: Linux

Ikke-TOE hardware og software
Ingen.

Leveringsmetode for TOE og dens brugervejledning
TOE'en leveres til kundens adresse af virksomhedens personale til lokal levering eller betroede kurertjenester til oversøisk levering.
Brugervejledningerne er tilgængelige i følgende dokumenter i PDF-format. Brugervejledningerne leveres til brugerne via e-mail:

• ST Engineering Data Diode Model 5282 version 2.2 Opsætningsvejledning v2.3. 2
• ST Engineering Data Diode Model 5283 version 2.2 Opsætningsvejledning v2.3. 2
• ST Engineering Data Diode Model 328X, 5282 og 5283 Acceptance Test v2.2
• ST Engineering Data Diode Model 328X, 5282 og 5283 Management Portal Brugervejledning v2.6. E

Logisk omfang af TOE
TOE'en tillader data at flyde fra det afsendende netværk til det modtagende netværk, men tillader ikke data at flyde i den modsatte retning i kraft af den fysiske implementering af et tilpasset SFP+-par på det respektive afsenderbundkort og modtagerbundkort; SFP+ (Sender) har ikke eksternt interface til at modtage optisk signal, mens SFP+ (Receiver) ikke har en optisk sender, derfor er det fysisk ikke muligt for data at flyde fra det modtagende netværk til det afsendende netværk via TOE.

Følgende sekvens beskriver datastrømmen gennem TOE'en:

1. Afsenderbundkortet modtager data fra afsendernetværket via InterfaceLAN (Sender).
2. Sender-bundkortet konverterer derefter datapakkerne fra en standardnetværksprotokol til en proprietær. De konverterede datapakker videresendes derefter til modtagerens bundkort via det tilpassede SFP+-par.
3. Modtager-bundkortet modtager proprietære datapakker fra afsender-bundkortet og konverterer dem til standardnetværksprotokol. De konverterede datapakker videresendes derefter til det modtagende netværk via InterfaceLAN (Receiver).

Kapitel 2 – Overensstemmelseskrav

Overensstemmelseskrav
TOE og ST er i overensstemmelse med Common Criteria (CC) Version 3.1, Revision 5, dateret: april 2017. TOE og ST er i overensstemmelse med CC Part 2 og CC Part 3. ST er pakkekonform med CC EAL4+ AVA_VAN.5 assurance-pakken.

Overensstemmelsesgrundlag
Ingen.

Kapitel 3 – Definition af sikkerhedsproblem

Denne TOE adresserer datalækagen fra det modtagende netværk til det afsendende netværk.

Trusler
Dette afsnit beskriver de trusler, der behandles af TOE:
T.RCVDATALEAK: En bruger eller proces på det modtagende netværk, der ved et uheld eller bevidst bryder datafortroligheden ved at overføre data via TOE til det afsendende netværk.

Organisatoriske sikkerhedspolitikker
Der er ingen organisatoriske sikkerhedspolitikker, som TOE skal overholde.

Forudsætninger
Antagelserne om TOE's påtænkte miljø er:

• A. FYSISK: TOE skal installeres og betjenes i et miljø, der forhindrer uautoriseret fysisk adgang.
• A.BRUGER: Brugerne er tillid til; brugerne må ikke ondsindet kompromittere sikkerhedsfunktionaliteten af ​​TOE. Brugerne er veluddannede; brugeren skal overholde de driftsprocedurer, der er fastsat i brugervejledningen.
• A.NETVÆRK: Informationsstrømmen mellem afsendende netværk og modtagenetværk skal passere gennem TOE, og der vil ikke være nogen anden netværksforbindelse mellem afsendende netværk og modtagenetværk.

Kapitel 4 Sikkerhedsmål

Sikkerhedsmål for TOE
O.ONEWAY: TOE'en skal tillade data at flyde fra det afsendende netværk til det modtagende netværk, men ikke i den modsatte retning, dvs. det modtagende netværk til det afsendende netværk.

Sikkerhedsmål for det operative miljø

• Følgende sikkerhedsmål er påkrævet for at hjælpe TOE'en med at levere dens envejsdatatransmissionssikkerhedsfunktion korrekt.
• Disse mål opfyldes gennem anvendelse af proceduremæssige eller administrative foranstaltninger.
  OE.FYSISK: TOE skal installeres og betjenes i et fysisk sikkert miljø, som forhindrer uautoriseret fysisk adgang.
• OE.USER: Brugerne er tillid til; brugerne må ikke ondsindet kompromittere sikkerhedsfunktionaliteten af ​​TOE. Brugerne er veluddannede; brugeren skal overholde de driftsprocedurer, der er fastsat i brugervejledningen.
• OE.NETVÆRK: Informationsstrømmen mellem det afsendende netværk og det modtagende netværk skal passere gennem TOE'et, og der må ikke være nogen anden netværksforbindelse mellem det afsendende netværk og det modtagende netværk.

Sikkerhedsmål Begrundelse

Tabel 2 kortlægger sikkerhedsmål til trusler og antagelser beskrevet i kapitel 3. Tabellen illustrerer, at hver trussel imødegås af mindst ét ​​sikkerhedsmål, at hver antagelse opretholdes af mindst ét ​​sikkerhedsmål, og at hvert mål imødegår mindst én trussel. eller opretholder mindst én antagelse.

Dette efterfølges derefter af forklarende tekst, der begrunder hver defineret trussel, at hvis alle sikkerhedsmål, der sporer tilbage til truslen, nås, fjernes truslen, formindskes tilstrækkeligt, eller at virkningerne af truslen afbødes tilstrækkeligt. Derudover er det vist, at hver defineret antagelse er opretholdt, hvis alle sikkerhedsmål for det operationelle miljø, der spores tilbage til antagelsen, er nået.

T. RCVDATALEAK

• T.RCVDATALEAK: En bruger eller proces på det modtagende netværk, der ved et uheld eller bevidst bryder datafortroligheden ved at overføre data via TOE til det afsendende netværk.
• O.ONEWAY sikrer, at data kun får lov til at strømme fra det afsendende netværk til det modtagende netværk, men ikke i den modsatte retning
• OE.PHYSICAL sikrer, at TOE'en installeres i et fysisk sikkert miljø, dvs. kun autoriserede brugere har fysisk adgang til TOE'en. Dette forhindrer implementeringen og konfigurationen af ​​TOE i at være tampered og dermed omgå eller ændre envejs datatransmission SFP
• OE.USER sikrer, at brugerne er tillid; brugere vil ikke ondsindet omgå eller tamper sikkerhedsfunktionaliteten af ​​TOE. Det sikrer også, at brugeren er veluddannet; brugere vil ikke ubevidst fejlkonfigurere TOE'en, hvilket kan føre til at kompromittere TOE-sikkerhedsfunktionaliteten.
• OE.NETVÆRK sikrer, at alle netværksforbindelser mellem det afsendende netværk og det modtagende netværk passerer gennem TOE'et, således at envejsdatatransmissionen SFP bevares.

A.FYSISK
A. FYSISK: TOE vil blive installeret og betjent i et miljø, der forhindrer uautoriseret fysisk adgang. OE.PHYSICAL opretholder direkte A.PHYSICAL.

A.BRUGER
A.BRUGER: Brugerne er tillid til; brugerne må ikke ondsindet kompromittere sikkerhedsfunktionaliteten af ​​TOE. Brugeren er veluddannet; brugeren skal overholde de driftsprocedurer, der er fastsat i brugervejledningen. OE.USER opretholder direkte A.USER.

A.NETVÆRK
A.NETVÆRK: Informationsstrømmen mellem afsendende netværk og modtagenetværk skal passere gennem TOE, og der vil ikke være nogen anden netværksforbindelse mellem afsendernetværk og modtagenetværk.OE.NETWORK opretholder direkte A.NETWORK

Kapitel 5 Sikkerhedskrav

• Sikkerhedsfunktionelle krav
  TOE bruger to emner: Sendende netværk og modtagenetværk. Disse emner er forbundet med TOE via henholdsvis InterfaceLAN (Sender) og InterfaceLAN (Receiver). Disse emner har ingen egenskaber.
  Denne erklæring om SFR'er definerer ikke andre emner, objekter, operationer, sikkerhedsattributter eller eksterne enheder.
• Komplet informationsflowkontrol (FDP_IFC.2)
  • FDP_IFC.2 Komplet informationsflowkontrol
  • Hierarkisk til: FDP_IFC.1 Undersæt informationsflowkontrol
  • Afhængigheder: FDP_IFF.1 Simple sikkerhedsattributter
  • FDP_IFC.2.1 TSF'en skal håndhæve envejsdatatransmissionen i fysisk lag SFP på al information fra afsendende netværk til modtagende netværk gennem TOE'en og alle operationer, der får disse oplysninger til at strømme til og fra emner, der er omfattet af SFP.
  • FDP_IFC.2.2 TSF'en skal sikre, at alle operationer, der får nogen information i TOE'et til at strømme til og fra ethvert emne i TOE'et, er dækket af en informationsflowkontrol-SFP.
• Simple sikkerhedsattributter (FDP_IFF.1)
  • FDP_IFF.1 Simple sikkerhedsattributter
  • Hierarkisk til: Ingen andre komponenter.
  • Afhængigheder: FDP_IFC.1 Kontrol af delmængde af informationsflow FMT_MSA.3 Initialisering af statisk attribut1 FDP_IFF.1.1 TSF'en skal håndhæve envejsdatatransmissionen i fysisk lag SFP baseret på følgende typer emne- og informationssikkerhedsattributter:
• Emne: Sendende netværk , Modtagende netværk.
• Informationssikkerhedsattribut: Subject Identity2
  FDP-IFF.1.2 TSF'en skal tillade en informationsstrøm mellem et kontrolleret subjekt og kontrolleret information via en kontrolleret operation, hvis følgende regler gælder:
• TSF'en skal tillade, at data fra afsendernetværket strømmer til det modtagende netværk.
  • FMT_MSA.3 er ikke anvendelig, da der ikke er nogen sikkerhedsattributter, der skal initialiseres
  • Subjektidentiteten er defineret som afsendernetværket og modtagernetværket
• TSF skal nægte data fra det modtagende netværk at strømme til afsendernetværket.
  FDP_IFF.1.3 TSF skal håndhæve Ingen
  FDP_IFF.1.4 TSF'en skal udtrykkeligt godkende en informationsstrøm baseret på følgende regler: Ingen.
  FDP_IFF.1.5 TSF skal udtrykkeligt afvise en informationsstrøm baseret på følgende regler: Ingen
• Definition af udvidede komponenter
  Der er ingen udvidede komponenter defineret i denne ST.
• Begrundelse for sikkerhedskrav
• Sporing mellem SFR'er og sikkerhedsmålene for TOE
  Følgende tabel giver en kortlægning mellem sikkerhedskrav og sikkerhedsmål for TOE.
• Begrundelse for tilstrækkelighed
  Sikkerhedsmålet for TOE:
  • O.ONEWAY: TOE'en skal tillade data at flyde fra det afsendende netværk til det modtagende netværk, men ikke i den modsatte retning, dvs. det modtagende netværk til det afsendende netværk.
  • FDP_IFF.1 kræver, at al information, der flyder gennem TOE'en, er dækket af envejsdatatransmissionen i fysisk lag SFP. Dette sikrer, at ingen informationsstrømme, hverken eksplicitte eller skjulte, er undtaget fra envejsdatatransmission i fysisk lag SFP.
  • FDP_IFC.2 kræver, at data kun kan strømme fra det afsendende netværk til det modtagende netværk og ikke i den modsatte retning, dvs. det modtagende netværk til det afsendende netværk.
• Sikkerhedskrav
  Sikkerhedskravene til TOE er Evaluation Assurance Level 4+ AVA_VAN.5.

  Assurance klasse	Assurance komponent
  ADV: Udvikling	ADV_ARC.1 Beskrivelse af sikkerhedsarkitektur

  	ADV_FSP.4 Komplet funktionsspecifikation
  	ADV_IMP.1 Implementeringsrepræsentation af TSF
  	ADV_TDS.3 Grundlæggende modulopbygget design
  AGD: Vejledende dokumenter	AGD_OPE.1 Driftsbrugervejledning
  	AGD_PRE.1 Forberedende procedurer
  ALC: Livscyklusstøtte	ALC_CMC.4 Produktionssupport, acceptprocedurer og automatisering
  	ALC_CMS.4 Problem med at spore CM-dækning
  	ALC_DEL.1 Leveringsprocedurer
  	ALC_DVS.1 Identifikation af sikkerhedsmålinger
  	ALC_LCD.1 Udviklerdefineret livscyklusmodel
  	ALC_TAT.1 Veldefinerede udviklingsværktøjer
  ASE: Evaluering af sikkerhedsmål	ASE_CCL.1 Overensstemmelseskrav
  	ASE_ECD.1 Udvidet komponentdefinition
  	ASE_INT.1 ST introduktion
  	ASE_OBJ.2 Sikkerhedsmål
  	ASE_REQ.2 Afledte sikkerhedskrav
  	ASE_SPD.1 Sikkerhedsproblemdefinition
  	ASE_TSS.1 TOE oversigtsspecifikation
  ATE: Tester	ATE_COV.2 Analyse af dækning
  	ATE_DPT.1 Test: grundlæggende design
  	ATE_FUN.1 Funktionstest
  	ATE_IND.2 Uafhængig test – sample
  AVA: Sårbarhed vurdering	AVA_VAN.5 Avanceret metodisk sårbarhedsanalyse

   

• Begrundelse for sikkerhedskrav
  Den evalueringssikringspakke, der er valgt til evaluering af TOE, er EAL4+
  AVA_VAN.5 forsikringspakke. EAL4+ AVA_VAN.5 assurance-pakke blev valgt for at give modstand mod Højt angrebspotentiale, der er i overensstemmelse med kommercielle produkter til applikationer i regeringen. Det valgte sikkerhedsniveau er passende med de trusler, der er defineret for miljøet (fysisk beskyttelse af miljøet, begrænset grænseflade og adgang til TOE).
• Tabel over afhængighed af sikkerhedskrav
  Tabel 5 viser tilfredsstillelsen af ​​alle sikkerhedskravafhængigheder. For hvert sikkerhedskrav, der er inkluderet i ST, er CC-afhængighederne identificeret i kolonnen "CC-afhængighed", og de opfyldte afhængigheder identificeres i kolonnen "ST-afhængighed".

  ST SFR	ST afhængighed	CC afhængighed	Begrundelse
  FDP_IFC.2	FDP_IFF.1	FDP_IFF.1
  FDP_IFF.1	FDP_IFC.2	FDP_IFC.1 FMT_MSA.3	FMT_MSA.3 er ikke anvendelig, fordi der er ingen sikkerhedsattributter at initialisere.

   

• TOE oversigtsspecifikation
  TOE adresserer to sikkerhedsfunktionelle krav: FDP_IFC.2 og FDP_IFF.1. De arbejder sammen for at opfylde sikkerhedsmålet for TOE. Det følgende giver en beskrivelse af de generelle tekniske mekanismer, som TOE'en bruger til at opfylde hver defineret SFR. Den inkluderer beskrivelsen af ​​sikkerhedsfunktionalitet givet i hver SFR ved reference og giver et højt niveau view af deres implementering i TOE
  • FDP_IFC.2 :
    TOE består af to undersystemer, nemlig afsender bundkort og modtager bundkort. Både Sender Bundkort og Modtager Bundkort er helt uafhængige, hver med sine egne uafhængige strøm- og netværksgrænseflader, hver indesluttet i et kabinet, der ikke tillader elektriske eller optiske signaler via andre end de beskrevne grænseflader. Baseret på brugervejledningen (angivet i afsnit 1.4.1.3), er afsenderbundkortet kun forbundet til det afsendende netværk og er ikke forbundet til det modtagende netværk. Modtagerens bundkort er omvendt kun forbundet til det modtagende netværk.
    Sender-bundkortet og modtager-bundkortet er kun forbundet med et enkelt fiberoptisk kabel. Dette fiberoptiske kabel er forbundet til hvert af Sender Bundkort og Modtager Bundkort via deres respektive tilpassede SFP+ dvs. SFP+ (Sender) og SFP+ (Receiver). Dette sikrer, at alle data, der strømmer gennem TOE'en, skal strømme gennem det fiberoptiske kabel og derved er dækket af envejs datatransmission SFP.
  • FDP_IFF.1:
    SFP+ (Sender) modulet konverterer indgående elektriske signaler til optiske signaler, mens SFP+ (Receiver) modulet konverterer indkommende optiske signaler til elektriske signaler. SFP+ (Sender) modulet indeholder en optisk sender og ikke en optisk sensor, der kan modtage optiske signaler eksternt. Omvendt indeholder SFP+ (Receiver) modulet kun en optisk sensor og ikke en optisk sender. Derfor tillader SFP+ (afsender) og SFP+ (modtager) sammen fysisk kun data at strømme fra det afsendende netværk til det modtagende netværk, men ikke i den modsatte retning.

Referencer

1. Fælles kriterier for informationsteknologisikkerhedsevaluering, del 1: Introduktion og generel model, april 2017, Version 3.1 Revision 5
2. Fælles kriterier for informationsteknologisikkerhedsevaluering, del 2: Sikkerhedsfunktionelle komponenter, april 2017, Version 3.1 Revision 5
3. Fælles kriterier for informationsteknologisikkerhedsevaluering, del 3: Sikkerhedssikringskomponenter, april 2017, Version 3.1 Revision 5
4. Common Criteria for Information Technology Security Evaluation, Evalueringsmetodologi, april 2017, Version 3.1 Revision 5.

AFFEGATIONER

• CC Fælles Kriterier
• EAL Evaluation Assurance Level
• SAR-sikkerhedskrav
• SFR Sikkerhedsfunktionelle krav
• SFP-sikkerhedsfunktionspolitik
• SFP+ datadiodemodul
• TOE Mål for evaluering
• TSF TOE sikkerhedsfunktion
• ST Sikkerhedsmål

Dokumenter/ressourcer

ST Engineering 5282 datadiode [pdf] Brugsanvisning 5282, 5283, 5282 Data Diode, 5282, Data Diode, Diode

Referencer

• Brugermanual