Rapport de certification

Transcription

1 Rapport de certification Préparé par : le Centre de la sécurité des télécommunications à titre d organisme de certification dans le cadre du Schéma canadien d évaluation et de certification selon les Critères communs Gouvernement du Canada, Centre de la sécurité des télécommunications, 2014 Numéro : CR Version : 1.0 Date : 1 er octobre 2014 Pagination : i à iii, 1 à 10

2 AVERTISSEMENT Le produit de technologies de l information (TI) décrit dans le présent rapport de certification et sur le certificat afférent a été évalué selon la Méthodologie d évaluation commune des produits de sécurité des technologies de l information, version 3.1, révision 4, à des fins de conformité aux Critères communs pour l évaluation de la sécurité des technologies de l information, version 3.1, révision 4, par un centre d évaluation approuvé, établi dans le cadre du Schéma canadien d évaluation et de certification selon les Critères communs (SCCC). Le présent rapport et le certificat afférent valent uniquement pour la version indiquée du produit, dans la configuration qui a été évaluée. L évaluation a été effectuée conformément aux dispositions du SCCC, et les conclusions formulées dans le rapport technique d évaluation correspondent aux éléments présentés en preuve. Le présent rapport et le certificat afférent ne constituent pas une homologation du produit TI par le Centre de la sécurité des télécommunications (CST) ou par toute autre organisation qui reconnaît ou entérine le présent rapport et le certificat afférent, et ne signifie pas, ni implicitement ni explicitement, que le produit TI est garanti par le CST ou par toute autre organisation qui entérine le présent rapport et le certificat afférent. - Page i sur iii -

3 AVANT-PROPOS Le Schéma canadien d évaluation et de certification selon les Critères communs (SCCC) offre un service d évaluation par une tierce partie en vue de déterminer la fiabilité des produits de sécurité des TI. Les évaluations sont réalisées par un centre d évaluation selon les Critères communs (CECC) sous la direction de l organisme de certification du SCCC, ce dernier étant géré par le Centre de la sécurité des télécommunications (CST). Un CECC est une installation commerciale qui a obtenu l approbation de l organisme de certification du SCCC en vue d effectuer des évaluations selon les Critères communs. Une des exigences principales, à cette fin, est l obtention de l accréditation selon les prescriptions du Guide ISO/IEC 17025:2005, Prescriptions générales concernant la compétence des laboratoires d étalonnage et d essais. L accréditation est obtenue dans le cadre du Programme d accréditation des laboratoires Canada (PALCAN), régi par le Conseil canadien des normes. Le CECC qui a mené la présente évaluation est EWA-Canada. En décernant le certificat, l organisme de certification affirme que les produits sont conformes aux exigences de sécurité précisées dans la cible de sécurité afférente. Une cible de sécurité est un document qui comporte des spécifications requises, définit les activités d évaluation et en établit la portée. L utilisateur d un produit de TI certifié devrait examiner la cible de sécurité, en plus du rapport de certification, afin de comprendre les hypothèses formulées dans le cadre de l évaluation, l environnement d exploitation prévu pour le produit, les fonctionnalités de sécurité qui ont été évaluées ainsi que les tests et les analyses qui ont été effectués par le CECC. Le présent rapport de certification accompagne le certificat d évaluation du produit daté du 1 er octobre 2014, et la cible de sécurité énoncée à la section 4 du présent rapport. Le rapport de certification, le certificat d évaluation du produit et la cible de sécurité figurent dans la liste des produits certifiés (LPC) dans le cadre du SCCC et sur le portail des Critères communs (site Web officiel du projet des Critères communs). Le présent rapport de certification fait référence aux marques déposées suivantes : SolarWinds et Orion sont des marques de commerce enregistrées de SolarWinds Worldwide LLC. Toute reproduction du présent rapport est autorisée pourvu qu il soit reproduit dans sa totalité. - Page ii sur iii -

4 TABLE DES MATIÈRES AVERTISSEMENT... i AVANT-PROPOS... ii Sommaire Définition de la cible d évaluation Description de la TOE Politique de sécurité Cible de sécurité Conformité aux Critères communs Hypothèses et clarification de la portée HYPOTHÈSES LIÉES À L UTILISATION SÛRE HYPOTHESES LIEES A L ENVIRONNEMENT Configuration évaluée Documentation Activités d analyse de l évaluation Essais des produits de sécurité des TI ÉVALUATION DES TESTS PAR LES DÉVELOPPEURS TESTS FONCTIONNELS INDEPENDANTS TESTS DE PENETRATION INDEPENDANTS DEROULEMENT DES TESTS RESULTATS DES TESTS Résultats de l évaluation Commentaires, observations et recommandations de l évaluateur Acronymes, abréviations et sigles Références Page iii sur iii -

5 Sommaire Le produit (désigné ci-après sous le nom de Orion Software), de, est la cible d évaluation. Les résultats de l évaluation indiquent que Orion Software répond aux exigences d assurance de l évaluation (EAL) 2 de la fonctionnalité de sécurité évaluée. Orion Software est un ensemble d applications logicielles et de services tournant sur un ou plusieurs serveurs Windows. Les applications surveillent l état, la performance et la configuration d un ensemble de dispositifs et d applications connectés au réseau. De multiples instances des applications peuvent être déployées dans divers serveurs pour fournir une performance adéquate, en fonction de la taille du réseau. Une configuration de reprise est déployée pour accroître la disponibilité et la robustesse. La suite Orion comprend les composantes suivantes de surveillance et de gestion de réseaux, d applications, de systèmes et de stockage : Network Performance Monitor (NPM) 10.6, Server & Application Monitor (SAM) 6.0, Network Configuration Manager (NCM) 7.2, NetFlow Traffic Analyzer (NTA) 3.11, IP Address Manager (IPAM) 4.0, Voice & Network Quality Manager (VNQM) 4.1, User Device Tracker (UDT) 3.0.1, Web Performance Monitor (WPM) 2.0.1, Enterprise Operations Console (EOC) 1.4.1, Failover Engine (FoE) Le CECC qui a réalisé la présente évaluation est EWA-Canada. L évaluation a pris fin le 22 août 2014 et a été effectuée selon les règles prescrites par le Schéma canadien d évaluation et de certification selon les Critères communs (SCCC). La portée de l évaluation est définie dans la cible de sécurité, laquelle décrit les hypothèses formulées dans le cadre de l évaluation, l environnement projeté du produit Orion Software, et les exigences relatives aux fonctionnalités de sécurité et d assurance. On recommande aux utilisateurs du produit de s assurer que leur environnement d exploitation est conforme à celui qui est défini dans la cible de sécurité et de tenir compte des observations et des recommandations énoncées dans le présent rapport de certification. Le Centre de la sécurité des télécommunications, à titre d organisme de certification selon le SCCC, affirme que l évaluation du produit Orion Software satisfait à toutes les conditions de l Arrangement relatif à la reconnaissance des certificats liés aux Critères communs et que le produit figurera sur la liste des produits certifiés (LPC) dans le cadre du SCCC et sur le portail des Critères communs (site Web officiel du projet des Critères communs). - Page 1 sur 10 -

6 1 Définition de la cible d évaluation Le produit (désigné ci-après sous le nom de Orion Software), de, est la cible de l évaluation (TOE) de la présente évaluation (EAL 2). 2 Description de la TOE Orion Software est un ensemble d applications logicielles et de services tournant sur un ou plusieurs serveurs Windows. Les applications surveillent l état, la performance et la configuration d un ensemble de dispositifs et d applications connectés au réseau. De multiples instances des applications peuvent être déployées dans divers serveurs pour fournir une performance adéquate, en fonction de la taille du réseau. Une configuration de reprise est déployée pour accroître la disponibilité et la robustesse. La suite Orion comprend les composantes suivantes de surveillance et de gestion de réseaux, d applications, de systèmes et de stockage : Network Performance Monitor (NPM) 10.6, Server & Application Monitor (SAM) 6.0, Network Configuration Manager (NCM) 7.2, NetFlow Traffic Analyzer (NTA) 3.11, IP Address Manager (IPAM) 4.0, Voice & Network Quality Manager (VNQM) 4.1, User Device Tracker (UDT) 3.0.1, Web Performance Monitor (WPM) 2.0.1, Enterprise Operations Console (EOC) 1.4.1, Failover Engine (FoE) Page 2 sur 10 -

7 Voici un diagramme de l architecture du produit Orion Software : Images VMware tournant sur le serveur ESXi Serveur EOC TOE Serveur Orion TOE Ordinateur servant à l évaluation des vulnérabilités Routeur Routeur virtuel Commutateur (LAN) Serveur de base de données Poste de travail Client hôte VMware vsphere 3 Politique de sécurité Orion Software applique une politique de contrôle d accès axée sur les rôles afin de contrôler l accès des administrateurs au système. Par ailleurs, Orion Software applique des politiques relatives aux classes fonctionnelles de sécurité suivantes : Vérification de sécurité; Identification et authentification; Gestion de la sécurité. 4 Cible de sécurité La ST associée au présent rapport de certification est définie comme suit : SolarWinds Orion Software Security Target version 1.9, 19 août Conformité aux Critères communs L évaluation a été réalisée selon la Méthodologie d évaluation commune pour la sécurité des technologies de l information, version 3.1, révision 4, afin d en déterminer la conformité aux - Page 3 sur 10 -

8 Critères communs pour l évaluation de la sécurité des technologies de l information, version 3.1, révision 4. Orion Software est : a) conforme au niveau EAL 2 des Critères communs, contenant toutes les exigences de sécurité d assurance du niveau EAL 2. b) Conforme à la partie 2 étendue des Critères communs, avec les exigences fonctionnelles basées sur les composants fonctionnels de la partie 2, à l exception des exigences suivantes explicitement désignées dans la ST : FNM_MDC Monitor Data Collection; FNM_ANL Monitor Analysis; FNM_RCT Management React; FNM_RDR Restricted Data Review; FNM_STG Monitor Data Storage. c) Conforme à la partie 3 des Critères communs, avec les exigences d assurance de sécurité basées uniquement sur les composants d assurance de la partie 3. 6 Hypothèses et clarification de la portée Les utilisateurs du produit Orion Software devraient considérer les hypothèses formulées au sujet de son utilisation et de ses paramètres environnementaux comme des exigences relatives à l installation et à l environnement opérationnel du produit. Ils pourront ainsi s assurer d utiliser la TOE de manière adéquate et sûre. 6.1 Hypothèses liées à l utilisation sûre Les hypothèses sur l utilisation sûre ci-dessous figurent dans la ST : Les administrateurs ne seront pas hostiles et respecteront les directives administratives lorsqu ils utiliseront la TOE et l administration sera assurée de manière compétente et permanente. L administrateur installera et configurera la TOE en fonction du guide destiné aux administrateurs. 6.2 Hypothèses liées à l environnement Les hypothèses liées à l environnement, énoncées ci-dessous, figurent dans la ST : La TOE a accès à toutes les données du système TI dont elle a besoin pour exécuter ses fonctions. La TOE possède l extensibilité adéquate pour les systèmes TI qu elle surveille. La TOE sera située dans un environnement doté de capacités de sécurité physique, d alimentation sans interruption et de contrôle de la température nécessaires pour assurer un fonctionnement fiable. Un réseau sera en place pour appuyer la communication entre les composants distribués de la TOE. Le réseau fonctionne adéquatement. - Page 4 sur 10 -

9 7 Configuration évaluée La configuration évaluée du produit Orion Software comprend : Une instance de l Orion Enterprise Operations Console (EOC) V1.4.1, installée sur un serveur Windows spécialisé. Une ou plusieurs instances du produit Orion Server, chacune installée sur un serveur Windows spécialisé. Chaque Orion Server comprend ce qui suit : a. Network Performance Monitor (NPM) V10.6.0, b. Orion Server & Application Monitor (SAM) V6.0.0, c. Orion Network Configuration Manager (NCM) V7.2.0, d. Orion Netflow Traffic Analyzer (NTA) V3.11.0, e. Orion IP Address Manager (IPAM) V4.0.0, f. Orion User Device Tracker (UDT) V3.0.1, g. Orion Web Performance Monitor (WPM) V2.0.1 h. Orion VoIP & Network Quality Manager (VNQM) V4.1.0 i. Orion Failover Engine (FoE) V6.7.0 est installé, par conséquent les serveurs Orion doivent être installés en paires redondantes. Les publications intitulées : SolarWinds ORION Suite for Federal Government Common Criteria Supplement, 1.2, 29 juillet 2014; SolarWinds ORION Common Components Administrator Guide, Version , 9 septembre 2013; SolarWinds Enterprise Operations Console Administrator Guide, Version 1.4, 21 mai 2013; SolarWinds NetFlow Traffic Analyzer Administrator Guide, , 1 er juillet 2013; SolarWinds IP Address Manager Administrator Guide, Version 4.0, 28 mai 2014; SolarWinds ORION Network Performance Monitor Administrator Guide, Version 10.6, 10 septembre 2013; SolarWinds ORION VoIP and Network Quality Manager Administrator Guide, Version 4.1, 27 août 2013; SolarWinds Web Performance Monitor Administrator Guide, , 9 septembre 2013; SolarWinds Server and Application Monitor Administrator Guide, Version 6.0, 12 septembre 2013; SolarWinds User Device Tracker Administrator Guide, Version 3.0, 23 mars décrivent la procédure à suivre pour installer et exploiter Orion Software dans sa configuration évaluée. - Page 5 sur 10 -

10 8 Documentation Outre les documents énumérés à la section 7, l entreprise fournit les documents suivants à ses clients : SolarWinds Orion Network Performance Monitor Quick Start Guide; SolarWinds Technical Reference SolarWinds Orion Web-Based Reports; SolarWinds Network Configuration Manager Administrator Guide; SolarWinds Orion Network Configuration Manager QuickStart Guide; SolarWinds Failover Engine v6.7 Administrator Guide; SolarWinds Technical Reference Orion Failover Installation Walkthrough; SolarWinds Technical Reference Preparing an Orion Failover Engine Installation. 9 Activités d analyse de l évaluation Les activités d analyse et d évaluation ont consisté en une évaluation structurée du produit Orion Software, notamment des éléments suivants : Développement : Les évaluateurs ont analysé la spécification fonctionnelle et les documents de conception de la solution Orion Software. Ils ont déterminé que la conception décrit de manière exacte et complète les interfaces des fonctionnalités de sécurité de la TOE (TSF) et les sous-systèmes TSF, de même que le processus des TSF lié à la mise en œuvre des exigences fonctionnelles de sécurité (SFR). Ils ont également analysé la description de l architecture de sécurité du produit Orion Software et ont établi que le processus d initialisation est sécurisé, que les fonctions de sécurité sont protégées contre le trafic et les contournements, et que les domaines de sécurité sont maintenus. De plus, ils ont vérifié de manière indépendante que les renvois dans les documents de conception sont corrects. Guides : Les évaluateurs ont examiné les guides d utilisation préparatoires et opérationnels de la solution Orion Software et ont déterminé qu ils décrivent en détail et sans ambiguïté la façon de transformer sans risque sans risques la TOE en configuration évaluée ainsi que la manière de l utiliser et de la gérer. Ils ont examiné et testé les guides d utilisation préparatoires et opérationnels et ont déterminé qu ils sont complets et suffisamment détaillés pour assurer une configuration sûre. Soutien au cycle de vie : Les évaluateurs ont analysé le système de gestion de la configuration de la solution Orion Software et la documentation connexe. Ils ont conclu que les éléments de configuration du produit étaient clairement indiqués. Les évaluateurs ont aussi examiné la documentation de livraison et ont établi qu elle décrit toutes les procédures nécessaires pour préserver l intégrité du produit Orion Software quand il est distribué aux utilisateurs. Toutes ces activités d évaluation ont obtenu la cote RÉUSSITE. - Page 6 sur 10 -

11 10 Essais des produits de sécurité des TI Les essais comportent les étapes suivantes : évaluation des tests faits par le développeur, exécution de tests fonctionnels indépendants, et exécution de tests de pénétration Évaluation des tests par les développeurs Les évaluateurs ont vérifié que le développeur avait satisfait à ses responsabilités en matière de tests en examinant les preuves connexes ainsi que les résultats consignés dans le RTE 1. Les évaluateurs ont analysé la couverture des tests du développeur et ont conclu qu elle était complète et précise. La correspondance entre la spécification fonctionnelle et les tests indiqués dans la documentation des tests du développeur est complète Tests fonctionnels indépendants Pendant cette évaluation, l évaluateur a mis au point des tests fonctionnels indépendants en examinant la documentation de conception et les guides. Tous les tests ont été planifiés et documentés de manière suffisamment détaillée pour permettre la reproductibilité des procédures d essai et des résultats. Cette approche de mesure de la portée des tests a permis d obtenir la liste d objectifs de tests suivante : a. Réexécution des tests de développeur : Ce test vise à répéter un sous-ensemble des tests de développeur. b. Initialisation : Ce test vise à confirmer que la TOE peut être installée et configurée dans la configuration évaluée, tel qu il est indiqué dans la cible de sécurité. c. Vérification : Ce test vise à démontrer que les dossiers de vérification sont protégés, que les ouvertures et les fermetures de session sont enregistrées; il vise aussi à illustrer les changements apportés à la gestion des nœuds. d. Identification et authentification : Ce test vise à confirmer que l authentification est obligatoire et que les attributs de la console Web sont propres à une personne. e. Rapports : Ce test vise à démontrer que les utilisateurs ont accès aux rapports et que leur accès peut être géré Tests de pénétration indépendants Après l examen indépendant des bases de données sur les vulnérabilités du domaine public et de tous les résultats de l évaluation, les évaluateurs ont effectué des tests indépendants et limités de pénétration. Les tests de pénétration ont principalement porté sur les éléments suivants : 1 Le rapport technique d'évaluation (RTE) est un document du SCCC qui contient de l'information exclusive au propriétaire et/ou à l'évaluateur, et qui n'est pas rendu public. - Page 7 sur 10 -

12 a. Utilisation d outils automatisés de balayage des vulnérabilités en vue de découvrir des vulnérabilités possibles des couches réseau, plateforme et application. b. Vérification de fuites d information : Ce test vise à démontrer que le trafic entre le EOC Server, l Orion Server et le Database Server est protégé. c. Ouvertures de session utilisateur parallèles : Ce test vise à confirmer que le système n est pas compromis par l ouverture de sessions administrateur en parallèle. d. Panne de courant : Ce test vise à simuler une panne de courant pour vérifier si la TOE redémarre de la manière appropriée. e. Utilisation abusive des données : Ce test consiste à entrer des données invalides dans les champs de la console Web d Orion afin de vérifier si les messages d erreur appropriés s affichent. Les tests de pénétration indépendants n ont permis de découvrir aucune vulnérabilité exploitable dans l environnement d exploitation prévu Déroulement des tests Orion Software a fait l objet d une série complète et exhaustive de tests fonctionnels et de pénétration indépendants, officiellement documentés. Les tests ont eu lieu dans les installations EEPSTI (Évaluation et essais des produits de sécurité des technologies de l information). Des représentants de l organisme de certification du SCCC ont assisté à une partie des tests indépendants. Les activités détaillées de test, y compris les configurations, les procédures, les scénarios de test, les résultats prévus et les résultats observés, sont documentées dans un document de résultats de test distinct Résultats des tests Les tests du développeur et les tests fonctionnels indépendants ont produit les résultats prévus, ce qui fournit l assurance que le produit Orion Software se comporte de la manière spécifiée dans la ST et dans les spécifications fonctionnelles. 11 Résultats de l évaluation Cette évaluation a mené à l obtention du niveau d assurance EAL 2. Toutes les activités d évaluation ont obtenu la cote RÉUSSITE. Ces résultats sont corroborés par les preuves contenues dans le RTE. - Page 8 sur 10 -

13 12 Commentaires, observations et recommandations de l évaluateur La TOE doit être installée conformément au SolarWinds Orion Suite for Federal Government Common Criteria Supplement, qui indique quelle version de chaque composante individuelle est requise. Le supplément contient aussi des détails sur les paramètres de configuration à respecter. Il faut s assurer que la fonction de mise à jour automatique est désactivée, puisque la nouvelle version mise à jour constituerait une version non évaluée du produit. 13 Acronymes, abréviations et sigles Acronyme, abréviation ou sigle CECC EAL EEPSTI EOC FoE IPAM LPC NCM NPM NTA PALCAN RTE SAM SCCC SFR ST TI TOE TSF UDT VNQM WPM Description Centre d évaluation selon les Critères communs Niveau d assurance de l évaluation Évaluation et essais de produits de sécurité des technologies de l information Enterprise Operations Console Failover Engine IP Address Manager Liste des produits certifiés Network Configuration Manager Network Performance Monitor Network Traffic Analyzer Programme d accréditation des laboratoires Canada Rapport technique d évaluation Server & Application Monitor Schéma canadien d évaluation et de certification selon les Critères communs Security Functional Requirement (exigences fonctionnelles de sécurité) Cible de sécurité Technologie de l information Cible d évaluation TOE Security Function (fonctionnalité de sécurité de la TOE) User Device Tracker VOIP and Network Quality Manager Web Performance Monitor - Page 9 sur 10 -

14 14 Références La présente section énumère tous les documents de référence utilisés comme ouvrage de première main dans la compilation de ce rapport : a. SCCC, Publication n 4, Contrôle technique, version 1.8, octobre 2010; b. Critères communs pour l évaluation de la sécurité des technologies de l information, version 3.1, révision 4, septembre c. Méthodologie d évaluation commune pour la sécurité des technologies de l information, version 3.1, révision 4, septembre d. SolarWinds Orion Software Security Target version 1.9, 19 août 2014 e. Evaluation Technical Report for SolarWinds Orion Suite for federal Government v1.0, version 1.1, 22 août Page 10 sur 10 -