Manual de instrucións do diodo de datos ST Engineering 5282

Diodo de datos ST Engineering 5282

A información contida neste documento é propiedade de ST Electronics (Info-Security) Pte Ltd e non se pode copiar, usar ou divulgar total ou parcialmente a ningún terceiro, excepto coa aprobación por escrito de ST Electronics (Info-Security) Pte Ltd ou , se foi autorizado en virtude dun contrato.

Capítulo 1 – ST Introdución

Referencia ST

• Título: ST Engineering Data Diode modelo 5282 e 5283 Security Target
• Versión ST: 4.0
• Data ST: 10 de xuño de 2022

Referencia TOE

Referencia TOE: ST Engineering Data Diode modelo 5282, versión 2.2.1055, modelo 5283 versión 2.2.1055

• Nome: ST Engineering Data Diode
• Modelo: 5282 e 5283
• Versión: 2.2.1055

TOE Overview
O Target of Evaluation (TOE) é unha pasarela de rede que garante a transmisión de datos unidireccional de capa física a través do TOE.
O TOE úsase para conectar dúas redes independentes xuntas, denominadas Rede de envío e Rede de recepción. A rede de envío conéctase a TOE mediante a interface InterfaceLAN (remitente) mentres que a rede de recepción conéctase a TOE a través da interface InterfaceLAN (receptor). A Figura 1 ilustra a configuración da rede que tamén é a configuración TOE avaliada.

O TOE garante que os datos só poidan fluír desde a rede de envío á rede de recepción, pero non na dirección inversa. O diagrama de bloques TOE móstrase na Figura 2.

O TOE consta de dous subsistemas, é dicir, a placa base emisora ​​e a placa base receptora. Estes dous subsistemas están separados fisicamente entre si e son alimentados por fontes de alimentación independentes. A propiedade de transmisión de datos unidireccional conséguese polo par de SFP+ personalizados (consulte a Figura 2) que se implementan na placa base do remitente e na placa base do receptor, respectivamente. O SFP+ (emisor) da placa base do remitente consta só dun transmisor óptico e non ten ningunha interface externa para recibir sinais ópticos, mentres que o SFP+ (receptor) da placa base do receptor consta só dun sensor óptico e non ten un transmisor óptico; Os datos só se poden transmitir ópticamente desde SFP+ (Emisor) ao SFP+ (Receptor) en virtude da implementación física.
Teña en conta que o Portal de Xestión (web interface para configurar TOE) e File Os módulos do sistema tanto na placa base emisora ​​como na placa base receptora non son módulos TOE e non se consideran parte do TOE.

A propiedade de transmisión de datos unidireccional da capa física do TOE pode resolver dous problemas de seguridade:

• Evita a fuga de información da rede de recepción á rede de envío.
• Evita que a integridade dos datos que residen na rede emisora ​​se vexa comprometida por procesos que se executan na rede receptora.

O TOE consta de 2 modelos, é dicir, 5282 e 5283 que implementan o mesmo deseño e propiedade de transmisión de datos unidireccional como se ilustra na Figura 2. As diferenzas entre os modelos descríbense con máis detalle na Táboa 1 a continuación.

Tipo TOE
O TOE é unha pasarela de rede unidireccional de capa física.

Descrición do TOE

Ámbito físico

TOE Hardware e Software

Hardware
Como se ilustra na Figura 2, o TOE consta de dous subsistemas, é dicir, a placa base emisora ​​e a placa base receptora. Estas dúas placas base están físicamente separadas entre si e están conectadas entre si só a través do par de SFP+ personalizado. O seguinte ofrece unha breve descrición das placas base e SFP+ personalizado.

• Placa base remitente;
  Esta placa base conéctase á rede de envío. Só se conecta á placa base do receptor a través do par de SFP+ personalizado.
• Placa base receptora;
  Esta placa base conectarase á rede de recepción. Só se conecta á placa base Sender a través do par de SFP+ personalizado.
• SFP+ (remitente)
  Este é un módulo que forma parte da placa base do remitente. Consta dun transmisor óptico pero non contén ningunha interface externa para recibir sinais ópticos; non é capaz de recibir sinais ópticos do exterior.
• SFP+ (receptor)
  Este é un módulo que forma parte da placa base do receptor. Só consta dun sensor óptico pero non dun transmisor óptico; non é capaz de transmitir sinais ópticos.
• Fonte de alimentación (emisor) e fonte de alimentación (receptor)
  Ambos os módulos son fontes de alimentación independentes que proporcionan enerxía á placa base do remitente e á placa base receptora respectivas.

Software
Tanto a placa base do remitente como a placa base do receptor funcionan no sistema operativo (SO) Linux. A continuación descríbense os módulos de software que se executan na respectiva placa base do remitente e da placa base do receptor.

• Placa base remitente
  • Servizo de remitente
    Recibe datos de Sending Network a través do protocolo de rede estándar, como TCP, UDP, SYSLOG, SNMP, SMTP, OPC, MODBUS, Video Streaming, Kafka.
  •  Cliente de diodos de datos
    • Converte o protocolo estándar no protocolo propietario
    • Envía os datos ao módulo SFP+ (Remitente).
  • Portal de xestión
    Ofrece a interface do portal de xestión (web interface) para que os usuarios configuren o protocolo de rede esperado na InterfaceLAN (Remitente).
  • File Sistema:
    Almacena a configuración e o rexistro necesarios files que é lida e xerada polo módulo Servizo de remitente.
• Placa base receptora
  o Servidor de diodos de datos
  ▪ Recibe datos do módulo SFP+ (Receptor).
• Converte o protocolo propietario nun protocolo de rede estándar
  • Servizo de Receptores
    • Envía os datos a Rede de recepción mediante o protocolo de rede estándar
  • Portal de xestión
    • Ofrece a interface do portal de xestión (web interface) para que os usuarios configuren o protocolo de rede esperado na InterfaceLAN (Receptor).
  • File Sistema:
    • Almacena a configuración e o rexistro necesarios files que é lida e xerada polo módulo de servizo de receptor.

Todo o software da placa base do remitente e da placa base do receptor non poden comprometer a transmisión de datos unidireccional da capa física (Capa 1), xa que o software reside na capa 2 e superior do modelo de interconexión de sistemas abertos (OSI).

Sistema Operativo

• Sistema operativo da placa base remitente: Linux
• Sistema operativo da placa base do receptor: Linux

Hardware e software non TOE
Ningún.

Método de entrega do TOE e a súa orientación ao usuario
O persoal da empresa envía o TOE ao enderezo do cliente para a entrega local ou os servizos de mensaxería de confianza para a entrega no exterior.
As guías de usuario están dispoñibles nos seguintes documentos en formato PDF. As guías de usuario envíanse aos usuarios por correo electrónico:

• ST Engineering Data Diode Model 5282 versión 2.2 Guía de configuración v2.3. 2
• ST Engineering Data Diode Model 5283 versión 2.2 Guía de configuración v2.3. 2
• ST Engineering Data Diode Modelo 328X, 5282 e 5283 Proba de aceptación v2.2
• ST Engineering Data Diode Model 328X, 5282 and 5283 Management Portal User Guide v2.6. E

Ámbito lóxico do TOE
O TOE permite que os datos flúen desde a rede de envío á rede receptora, pero non permite que os datos flúen na dirección inversa en virtude da implementación física do par SFP+ personalizado na respectiva placa base do remitente e da placa base do receptor; SFP+ (Remitente) non ten unha interface externa para recibir o sinal óptico mentres que SFP+ (Receptor) non ten un transmisor óptico, polo tanto, non é fisicamente posible que os datos flúen dende a Rede de recepción á Rede de envío a través do TOE.

A seguinte secuencia describe o fluxo de datos a través do TOE:

1. A placa base do remitente recibe datos da rede de envío a través da InterfaceLAN (remitente).
2. A placa base do remitente converte entón os paquetes de datos dun protocolo de rede estándar a outro propietario. Despois, os paquetes de datos convertidos envíanse á placa base do receptor a través do par SFP+ personalizado.
3. A placa base do receptor recibe paquetes de datos propietarios da placa base do remitente e convérteos ao protocolo de rede estándar. A continuación, os paquetes de datos convertidos envíanse á rede receptora mediante InterfaceLAN (Receptor).

Capítulo 2 – Reclamacións de conformidade

Reclamacións de conformidade
O TOE e o ST cumpren os Common Criteria (CC) Versión 3.1, Revisión 5, con data de abril de 2017. O TOE e ST son conformes á Parte 2 CC e á Parte 3 CC. O paquete ST é conforme ao paquete de garantía CC EAL4+ AVA_VAN.5.

Xustificación de conformidade
Ningún.

Capítulo 3 – Definición do problema de seguridade

Este TOE aborda a fuga de datos da rede receptora á rede de envío.

Ameazas
Esta sección describe as ameazas que aborda o TOE:
T.RCVDATALEAK: Usuario ou proceso na Rede Receptora que incumpre de forma accidental ou deliberada a confidencialidade dos datos ao transmitir datos a través de TOE á Rede Remitente.

Políticas de Seguridade Organizacional
Non hai Políticas de Seguridade Organizacional coas que o TOE deba cumprir.

Suposicións
As suposicións realizadas sobre o entorno previsto do TOE son:

• A.FÍSICO: O TOE instalarase e operarase nun ambiente que impida o acceso físico non autorizado.
• A.USUARIO: Os usuarios son de confianza; os usuarios non comprometerán maliciosamente a funcionalidade de seguridade do TOE. Os usuarios están ben formados; o usuario deberá cumprir os procedementos operativos estipulados na guía de usuario.
• A.RED: O fluxo de información entre a rede de envío e a rede de recepción debe pasar polo TOE e non haberá outra conexión de rede entre a rede de envío e a rede de recepción.

Capítulo 4 Obxectivos de seguridade

Obxectivos de seguridade para o TOE
O. ONEWAY: O TOE permitirá que os datos flúen desde a rede emisora ​​á rede receptora pero non en sentido inverso, é dicir, a rede receptora á rede emisora.

Obxectivos de seguridade para o contorno operativo

• Os seguintes obxectivos de seguridade son necesarios para axudar ao TOE a proporcionar correctamente a súa función de seguridade de transmisión de datos unidireccional.
• Estes obxectivos conséguense mediante a aplicación de medidas procesuais ou administrativas.
  OE.FÍSICO: o TOE instalarase e operarase nun ambiente fisicamente seguro que impida o acceso físico non autorizado.
• OE.USER: Os usuarios son de confianza; os usuarios non comprometerán maliciosamente a funcionalidade de seguridade do TOE. Os usuarios están ben formados; o usuario deberá cumprir os procedementos operativos estipulados na guía de usuario.
• OE.NETWORK: o fluxo de información entre a rede de envío e a rede de recepción pasará polo TOE e non haberá outra conectividade de rede entre a rede de envío e a rede de recepción.

Obxectivos de seguridade Fundamentos

A táboa 2 mapea os obxectivos de seguridade coas ameazas e as hipóteses descritas no capítulo 3. A táboa ilustra que cada ameaza é contrarrestada por polo menos un obxectivo de seguridade, que cada suposición é mantida por polo menos un obxectivo de seguridade e que cada obxectivo contrarresta polo menos unha ameaza. ou mantén polo menos unha suposición.

A continuación segue un texto explicativo que proporciona unha xustificación para cada ameaza definida de que, se se alcanzan todos os obxectivos de seguridade que se remontan á ameaza, a ameaza elimínase, diminúe o suficiente ou mitiga o suficiente os efectos da ameaza. Ademais, móstrase que cada suposto definido se cumpre se se alcanzan todos os obxectivos de seguridade para o ambiente operativo que se remontan ao suposto.

T. RCVDATALEAK

• T.RCVDATALEAK: Usuario ou proceso na Rede Receptora que incumpre de forma accidental ou deliberada a confidencialidade dos datos ao transmitir datos a través de TOE á Rede Remitente.
• O.ONEWAY garante que só se permite que os datos fluyan desde a rede de envío á rede de recepción, pero non na dirección inversa.
• OE.PHYSICAL garante que o TOE se despregue nun ambiente fisicamente seguro, é dicir, só se permite o acceso físico ao TOE aos usuarios autorizados. Isto evita que a implementación e a configuración do TOE sexan tamperido, evitando ou modificando o SFP de transmisión de datos unidireccional
• OE.USER garante que os usuarios sexan de confianza; os usuarios non ignorarán ou tamper a funcionalidade de seguridade do TOE. Tamén garante que o usuario estea ben adestrado; os usuarios non configurarán mal o TOE sen sabelo, o que pode levar a comprometer a funcionalidade de seguridade do TOE.
• OE.NETWORK garante que todas as conexións de rede entre a rede de envío e a rede de recepción pasen polo TOE para que se conserve o SFP de transmisión de datos unidireccional.

A.FÍSICO
A.FÍSICO: O TOE instalarase e operarase nun ambiente que impida o acceso físico non autorizado. OE.FÍSICO defende directamente A.FÍSICO.

A.USUARIO
A.USUARIO: Os usuarios son de confianza; os usuarios non comprometerán maliciosamente a funcionalidade de seguridade do TOE. O usuario está ben adestrado; o usuario deberá cumprir os procedementos operativos estipulados na guía de usuario OE.USER defende directamente A.USER.

A.REDE
A.RED: o fluxo de información entre a rede de envío e a rede de recepción debe pasar polo TOE e non haberá outra conexión de rede entre a rede de envío e a rede de recepción. OE.NETWORK mantén directamente A.NETWORK

Capítulo 5 Requisitos de seguridade

• Requisitos funcionais de seguridade
  O TOE utiliza dúas materias: Rede de envío e Rede de recepción. Estas materias están conectadas ao TOE a través de InterfaceLAN (Emisor) e InterfaceLAN (Receptor), respectivamente. Estas materias non teñen atributos.
  Esta declaración de SFR non define outros suxeitos, obxectos, operacións, atributos de seguridade ou entidades externas.
• Control de fluxo de información completo (FDP_IFC.2)
  • FDP_IFC.2 Control completo do fluxo de información
  • Xerárquico a: FDP_IFC.1 Control de fluxo de información de subconxunto
  • Dependencias: FDP_IFF.1 Atributos de seguridade sinxelos
  • FDP_IFC.2.1 A TSF aplicará a transmisión de datos unidireccional na capa física SFP en toda a información desde a rede emisora ​​ata a rede receptora a través do TOE e todas as operacións que fagan que esa información flúe cara e desde os suxeitos cubertos polo SFP.
  • FDP_IFC.2.2 A TSF asegurarase de que todas as operacións que fan que calquera información do TOE flúe cara e desde calquera suxeito do TOE estean cubertas por un SFP de control de fluxo de información.
• Atributos de seguranza simples (FDP_IFF.1)
  • FDP_IFF.1 Atributos de seguridade sinxelos
  • Xerárquico a: sen outros compoñentes.
  • Dependencias: FDP_IFC.1 Control de fluxo de información de subconxunto FMT_MSA.3 Inicialización de atributos estáticos1 FDP_IFF.1.1 A TSF aplicará a transmisión de datos unidireccional no SFP de capa física baseándose nos seguintes tipos de suxeitos e atributos de seguridade da información:
• Asunto: Rede de envío, Rede de recepción.
• Atributo de seguridade da información: Identidade do suxeito2
  FDP-IFF.1.2 A TSF permitirá un fluxo de información entre un suxeito controlado e a información controlada a través dunha operación controlada se se cumpren as seguintes regras:
• O TSF permitirá que os datos da rede emisora ​​fluyan á rede receptora.
  • FMT_MSA.3 non é aplicable xa que non hai atributos de seguridade para inicializar
  • A identidade do suxeito defínese como a Rede de envío e a Rede de recepción
• A TSF denegará que os datos da rede receptora fluyan á rede emisora.
  FDP_IFF.1.3 A TSF aplicará o None
  FDP_IFF.1.4 A TSF autorizará explícitamente un fluxo de información baseándose nas seguintes regras: Ningún.
  FDP_IFF.1.5 A TSF denegará explícitamente un fluxo de información baseándose nas seguintes regras: Ningún
• Definición ampliada de compoñentes
  Non hai compoñentes estendidos definidos neste ST.
• Xustificación dos requisitos de seguridade
• Rastrexo entre os SFR e os obxectivos de seguridade para o TOE
  A seguinte táboa ofrece unha correlación entre os requisitos de seguridade e os obxectivos de seguridade do TOE.
• Xustificación da suficiencia
  Obxectivo de seguridade do TOE:
  • O. ONEWAY: O TOE permitirá que os datos flúen desde a rede emisora ​​á rede receptora pero non en sentido inverso, é dicir, a rede receptora á rede emisora.
  • FDP_IFF.1 require que toda a información que flúe polo TOE estea cuberta pola transmisión de datos unidireccional na capa física SFP. Isto garante que ningún fluxo de información, xa sexa explícito ou encuberto, estea exento da transmisión de datos unidireccional na capa física SFP.
  • FDP_IFC.2 require que os datos só poidan fluír desde a rede emisora ​​á rede receptora e non na dirección inversa, é dicir, a rede receptora á rede emisora.
• Requisitos de garantía de seguridade
  Os requisitos de garantía de seguridade para o TOE son o nivel de garantía de avaliación 4+ AVA_VAN.5.

  Clase de garantía	Compoñente de garantía
  ADV: Desenvolvemento	ADV_ARC.1 Descrición da arquitectura de seguridade

  	ADV_FSP.4 Especificación funcional completa
  	ADV_IMP.1 Representación da implantación da TSF
  	ADV_TDS.3 Deseño modular básico
  AGD: Documentos de orientación	AGD_OPE.1 Orientación operativa do usuario
  	AGD_PRE.1 Procedementos preparativos
  ALC: Apoio ao ciclo de vida	ALC_CMC.4 Apoio á produción, procedementos de aceptación e automatización
  	ALC_CMS.4 Problemas no seguimento da cobertura de CM
  	ALC_DEL.1 Procedementos de entrega
  	ALC_DVS.1 Identificación das medidas de seguridade
  	ALC_LCD.1 Modelo de ciclo de vida definido polo desenvolvedor
  	ALC_TAT.1 Ferramentas de desenvolvemento ben definidas
  ASE: Avaliación de obxectivos de seguridade	ASE_CCL.1 Reclamacións de conformidade
  	ASE_ECD.1 Definición ampliada de compoñentes
  	ASE_INT.1 ST introdución
  	ASE_OBJ.2 Obxectivos de seguridade
  	ASE_REQ.2 Requisitos de seguridade derivados
  	ASE_SPD.1 Definición do problema de seguridade
  	ASE_TSS.1 Especificación resumida da TOE
  ATE: Probas	ATE_COV.2 Análise da cobertura
  	ATE_DPT.1 Probas: deseño básico
  	ATE_FUN.1 Probas funcionais
  	ATE_IND.2 Probas independentes – sample
  AVA: Vulnerabilidade avaliación	AVA_VAN.5 Análise metódica avanzada de vulnerabilidades

   

• Xustificación dos requisitos de garantía de seguridade
  O paquete de garantía de avaliación seleccionado para a avaliación do TOE é EAL4+
  AVA_VAN.5 paquete de garantía. Elixiuse o paquete de garantía EAL4+ AVA_VAN.5 para proporcionar resistencia contra un alto potencial de ataque que é compatible cos produtos comerciais para aplicacións no goberno. O nivel de garantía elixido é o adecuado coas ameazas definidas para o medio ambiente (protección física polo medio ambiente, interface limitada e acceso ao TOE).
• Táboa de dependencia de requisitos de seguridade
  A táboa 5 mostra a satisfacción de todas as dependencias dos requisitos de seguridade. Para cada requisito de seguridade incluído no ST, as dependencias CC identifícanse na columna "Dependencia CC" e as dependencias satisfeitas na columna "Dependencia ST".

  ST SFR	Dependencia ST	Dependencia CC	Xustificación
  FDP_IFC.2	FDP_IFF.1	FDP_IFF.1
  FDP_IFF.1	FDP_IFC.2	FDP_IFC.1 FMT_MSA.3	FMT_MSA.3 non é aplicable porque hai non hai atributos de seguridade para inicializar.

   

• Especificación resumida do TOE
  O TOE aborda dous requisitos funcionais de seguridade: FDP_IFC.2 e FDP_IFF.1. Traballan xuntos para satisfacer o obxectivo de seguridade do TOE. A continuación ofrécese unha descrición dos mecanismos técnicos xerais que utiliza o TOE para satisfacer cada SFR definido. Inclúe a descrición da funcionalidade de seguridade dada en cada SFR por referencia e ofrece un alto nivel view da súa implantación no TOE
  • FDP_IFC.2:
    O TOE consta de dous subsistemas, é dicir, a placa base emisora ​​e a placa base receptora. Tanto a placa base emisora ​​como a placa nai receptora son totalmente independentes, cada unha coa súa propia alimentación e interfaces de rede independentes, cada unha pechada nunha carcasa que non admite sinais eléctricos ou ópticos a través de outras interfaces que non sexan as descritas. En base á guía do usuario (indicada na sección 1.4.1.3), a placa base do remitente só está conectada á rede emisora ​​e non á rede receptora. Pola contra, a placa base do receptor está conectada só á rede receptora.
    A placa base emisora ​​e a placa base receptora están conectadas só por un único cable de fibra óptica. Este cable de fibra óptica está conectado a cada unha das placas base do remitente e a placa base do receptor a través dos seus respectivos SFP+ personalizados, é dicir, SFP+ (remitente) e SFP+ (receptor). Isto garante que todos os datos que flúen polo TOE deben fluír polo cable de fibra óptica e, polo tanto, están cubertos pola transmisión de datos unidireccional SFP.
  • FDP_IFF.1:
    O módulo SFP+ (emisor) converte os sinais eléctricos entrantes en sinais ópticos mentres que o módulo SFP+ (receptor) converte os sinais ópticos entrantes en sinais eléctricos. O módulo SFP+ (Remitente) contén un transmisor óptico e non un sensor óptico que pode recibir sinais ópticos externamente. Pola contra, o módulo SFP+ (Receptor) contén só un sensor óptico e non un transmisor óptico. Polo tanto, SFP+ (remitente) e SFP+ (receptor) xuntos só permiten que os datos flúen desde a rede de envío á rede de recepción, pero non na dirección inversa.

Referencias

1. Criterios comúns para a avaliación da seguridade das tecnoloxías da información, parte 1: introdución e modelo xeral, abril de 2017, versión 3.1, revisión 5
2. Criterios comúns para a avaliación da seguridade da tecnoloxía da información, parte 2: compoñentes funcionais de seguridade, abril de 2017, versión 3.1, revisión 5
3. Criterios comúns para a avaliación da seguridade da tecnoloxía da información, parte 3: compoñentes de garantía de seguridade, abril de 2017, versión 3.1, revisión 5
4. Criterios comúns para a avaliación da seguridade das tecnoloxías da información, metodoloxía de avaliación, abril de 2017, versión 3.1, revisión 5.

AFFIXACIÓNS

• CC Criterios Comúns
• Nivel de garantía de avaliación EAL
• Requisitos de garantía de seguridade SAR
• Requisitos funcionais de seguridade SFR
• Política funcional de seguridade SFP
• Módulo de diodos de datos SFP+
• Obxectivo da avaliación do TOE
• Función de seguridade TSF TOE
• Obxectivo de seguridade ST