Rapport de certification

Transcription

1 Rapport de certification Symantec Security Information Manager Préparé par : Le Centre de la sécurité des télécommunications à titre d organisme de certification dans le cadre du Schéma canadien d évaluation et de certification selon les critères communs (SCCC) Gouvernement du Canada, Centre de la sécurité des télécommunications, 2014 Numéro du CR document : Version : 1.0 Date : 24 mars 2014 Pagination : i à iii, 1 à 8

2 AVERTISSEMENT Le produit de technologies de l information (TI) décrit dans le présent rapport de certification et sur le certificat afférent a été évalué selon la Méthodologie d évaluation commune des produits de sécurité des TI, version 3.1, révision 3, à des fins de conformité aux Critères communs d évaluation de la sécurité des TI, version 3.1, révision 4, par un centre d évaluation approuvé, établi dans le cadre du Schéma canadien d évaluation et de certification selon les Critères communs (SCCC). Le présent rapport et le certificat afférent valent uniquement pour la version indiquée du produit, dans la configuration qui a été évaluée. L évaluation a été effectuée conformément aux dispositions du SCCC, et les conclusions formulées dans le rapport technique d évaluation correspondent aux éléments présentés en preuve. Le présent rapport et le certificat afférent ne constituent pas une homologation du produit TI par le Centre de la sécurité des télécommunications (CST) ou par toute autre organisation qui reconnaît ou entérine ce rapport et le certificat afférent, et ne signifie pas, ni implicitement ni explicitement, que le produit TI est garanti par le CST ou par toute autre organisation qui entérine ce rapport et le certificat afférent. - Page i sur iii -

3 AVANT-PROPOS Le Schéma canadien d évaluation et de certification selon les Critères communs (SCCC) offre un service d évaluation par une tierce partie en vue de déterminer la fiabilité des produits de sécurité des TI. Les évaluations sont réalisées par un centre d évaluation selon les Critères communs (CECC) sous la direction de l organisme de certification du SCCC, ce dernier étant géré par le Centre de la sécurité des télécommunications. Un CECC est une installation commerciale qui a obtenu l approbation de l organisme de certification du SCCC en vue d effectuer des évaluations selon les Critères communs. Une des exigences principales, à cette fin, est l obtention de l accréditation selon les prescriptions du Guide ISO/IEC 17025:2005, Prescriptions générales concernant la compétence des laboratoires d étalonnage et d essais. L accréditation est obtenue dans le cadre du Programme d accréditation des laboratoires Canada (PALCAN), régi par le Conseil canadien des normes. Le CECC qui a mené la présente évaluation est EWA-Canada. En décernant le certificat, l organisme de certification affirme que les produits sont conformes aux exigences de sécurité précisées dans la cible de sécurité afférente. Une cible de sécurité est un document qui comporte des spécifications requises, définit les activités d évaluation et en établit la portée. L utilisateur d un produit TI certifié devrait examiner la cible de sécurité, en plus du rapport de certification, pour comprendre les hypothèses formulées dans le cadre de l évaluation, l environnement d utilisation prévu pour le produit, ses exigences de sécurité et le niveau de fiabilité (qui correspond au niveau d assurance de l évaluation) auquel le produit satisfait relativement aux exigences de sécurité. Le présent rapport de certification accompagne le certificat d évaluation du produit daté du 24 mars 2014 et la cible de sécurité énoncée à la section Error! Reference source not found. du présent rapport. Le rapport de certification, le certificat d évaluation du produit et la cible de sécurité sont affichés sur la liste des produits certifiés (LPC) dans le cadre du SCCC et sur le site portail des Critères communs (site Web officiel du projet des Critères communs). Le présent rapport de certification fait référence à la marque de commerce ou la marque déposée suivante : Symantec est une marque déposée de aux États-Unis et dans d autres pays. Toute reproduction du présent rapport est autorisée pourvu qu il soit reproduit dans sa totalité. - Page ii sur iii -

4 TABLE DES MATIÈRES AVERTISSEMENT... i AVANT-PROPOS... ii Sommaire Définition de la cible d'évaluation Description de la TOE Fonctions de sécurité évaluées Cible de sécurité Conformité aux Critères communs Politique de sécurité Hypothèses et clarification de la portée HYPOTHÈSES LIÉES À L'UTILISATION SÛRE HYPOTHÈSES LIÉES À L'ENVIRONNEMENT Configuration évaluée Documentation Activités d'analyse de l'évaluation Essais des produits de sécurité des TI ÉVALUATION DES TESTS PAR LES DÉVELOPPEURS TESTS FONCTIONNELS INDÉPENDANTS TESTS DE PÉNÉTRATION INDÉPENDANTS DÉROULEMENT DES TESTS RÉSULTATS DES TESTS Résultats de l'évaluation Commentaires, observations et recommandations de l'évaluateur Acronymes, abréviations et sigles Références Page iii sur iii -

5 Sommaire Le produit Symantec Security Information Manager (ci-après nommé ), de,est la cible d évaluation (TOE pour Target of Evaluation) de la présente évaluation correspondant au niveau d assurance (EAL) 2 augmenté. Le produit permet d analyser les événements historiques de sécurité et de produire des rapports sur les mesures de sécurité en vue d attester de la conformité aux exigences d une politique de sécurité. Le produit fournit des corrélations entre les événements et l archivage de données en temps réel afin de contrer les menaces à la sécurité et de préserver les données de sécurité essentielles. Le produit collecte, analyse et archive l information des dispositifs de sécurité, des applications essentielles et des services du réseau. EWA-Canada est le CECC qui a réalisé cette évaluation. L évaluation s est terminée le 26 févier 2014 et a été effectuée selon les règles prescrites par le Schéma canadien d évaluation et de certification selon les Critères communs (SCCC). La portée de cette évaluation est définie par la cible de sécurité (ST pour Security Target), qui indique les hypothèses formulées pendant l évaluation, l environnement prévu pour l utilisation de, les exigences de sécurité ainsi que le niveau d assurance (niveau d assurance de l évaluation) auquel il est affirmé que le produit satisfait aux exigences de sécurité. On recommande aux utilisateurs du produit de s assurer que leur environnement d exploitation est conforme à celui qui est défini dans la cible de sécurité et de tenir compte des observations ainsi que des recommandations énoncées dans le présent rapport de certification. Les résultats consignés dans le rapport technique d évaluation (RTE) 1 du produit indiquent que celui-ci répond aux exigences du niveau d assurance EAL 2 augmenté pour les fonctionnalités de sécurité qui ont été évaluées. L évaluation a été réalisée selon la Méthodologie d évaluation commune pour la sécurité des technologies de l information, version 3.1, révision 4, afin d en déterminer la conformité aux Critères communs pour l évaluation de la sécurité des technologies de l information, version 3.1, révision 4. L augmentation prise en compte lors de l évaluation est la suivante : ALC_FLR.2 Procédures pour signaler les anomalies. Le Centre de la sécurité des télécommunications, à titre d organisme de certification du SCCC, déclare que l évaluation du produit satisfait à toutes les conditions de l Arrangement relatif à la reconnaissance des certificats liés aux Critères communs et que le produit figurera sur la liste des produits certifiés (LPC) selon les Critères communs et sur le portail des Critères communs (site Web officiel du projet des Critères communs). 1 Le rapport technique d'évaluation (RTE) est un document du SCCC qui contient de l'information exclusive au propriétaire et/ou à l'évaluateur, et qui n'est pas rendu public. - Page 1 of 8 -

6 1 Définition de la cible d évaluation La cible d évaluation (TOE pour Target of Evaluation) de la présente évaluation correspondant au niveau d assurance (EAL) 2 augmenté est Symantec Security Information Manager (ci-après nommé ), de. 2 Description de la TOE Le produit permet d analyser les événements historiques de sécurité et de produire des rapports sur les mesures de sécurité en vue d attester de la conformité aux exigences d une politique de sécurité. Le fournit des corrélations entre les événements et l archivage de données en temps réel afin de contrer les menaces à la sécurité et de préserver les données de sécurité essentielles. Le produit collecte, analyse et archive l information des dispositifs de sécurité, des applications essentielles et des services du réseau. 3 Fonctions de sécurité évaluées La liste complète des fonctionnalités de sécurité évaluées pour le produit se trouve à la section 6 de la ST. 4 Cible de sécurité La ST associée au présent rapport de certification est définie comme suit : Titre : Security Target Symantec Security Information Manager Version Version : 1.7 Date : 30 janvier Conformité aux Critères communs L évaluation a été réalisée selon la Méthodologie d évaluation commune pour la sécurité des technologies de l information, version 3.1, révision 4, afin d en déterminer la conformité aux Critères communs pour l évaluation de la sécurité des technologies de l information, version 3.1, révision 4. Le est : a. conforme à la partie 2 étendue des Critères communs, avec les exigences fonctionnelles basées sur les composants fonctionnels de la partie 2, à l exception des exigences suivantes explicitement définies dans la ST : SIM_ANL.1 Analyse des événements; SIM_RES.1 Résolution des incidents; b. conforme à la partie 3 des Critères communs, avec les exigences d assurance de sécurité basées uniquement sur les composants d assurance de la partie 3; c. conforme au niveau EAL 2 augmenté des Critères communs, contenant toutes les exigences d assurance de sécurité du paquet EAL 2, ainsi que l augmentation suivante : ALC_FLR.2 Procédures pour signaler les anomalies. - Page 2 of 8 -

7 6 Politique de sécurité Le produit applique une politique de contrôle d accès administratif afin de contrôler l accès au système par les utilisateurs. La section 6 de la ST contient de plus amples renseignements sur cette politique de sécurité. Par ailleurs, applique des politiques de vérification de sécurité, d identification et d authentification, et de gestion de la sécurité. D autres détails sur les politiques de sécurité se trouvent à la section 6 de la ST. 7 Hypothèses et clarification de la portée Les utilisateurs du produit devraient considérer les hypothèses formulées au sujet de son utilisation et de ses paramètres environnementaux, dont entre autres les exigences liées à l installation et à l environnement opérationnel du produit. 7.1 Hypothèses liées à l utilisation sûre Les hypothèses sur l utilisation sûre, qui sont énoncées ci-dessous, figurent également dans la ST. Les administrateurs de la TOE sont bien formés pour installer, configurer et gérer la TOE de manière sécurisée et fiable. les administrateurs de la TOE et les utilisateurs du réseau local ne sont pas insouciants, volontairement négligents ni hostiles, et respectent les instructions fournies dans la documentation de la TOE. 7.2 Hypothèses liées à l environnement Les hypothèses liées à l environnement, énoncées ci-dessous, figurent dans la ST. Les plateformes de traitement sur lesquelles se trouve la TOE sont situées dans une installation dont l accès est contrôlé. Les plateformes de traitement sur lesquelles se trouve la TOE ainsi que les logiciels essentiels sur lesquels elle s appuie pour appliquer les politiques de sécurité seront protégés contre toute modification physique non autorisée. 8 Configuration évaluée La configuration évaluée du produit ne touche que les logiciels et comprend ce qui suit : Server exploité sur le système d exploitation RedHat Enterprise Linux 6.4 x86 64 bits; Management Console exploité sur un des systèmes d exploitation suivants : Windows-XP 32 bits SP3 et 64 bits SP2 Windows Server bits et 64 bits SP2; Windows Server bits et 64 bits SP2; - Page 3 of 8 -

8 Windows Vista 32 bits et 64 bits SP2; Windows 7 32 bits et 64 bits. Les publications suivantes décrivent les procédures d installation et d exploitation du produit dans la configuration qui a été évaluée. a. Symantec Security Information Manager Installation Guide; b. Symantec Security Information Manager Administrator Guide; c. Symantec Security Information Manager User Guide. 9 Documentation Les documents que fournit aux utilisateurs sont les suivants : a. Symantec Security Information Manager Installation Guide; b. Symantec Security Information Manager Administrator Guide; c. Symantec Security Information Manager User Guide; d. Symantec Security Information Manager Release Notes. 10 Activités d analyse de l évaluation Les activités d analyse et d évaluation ont consisté en une évaluation structurée du produit, y compris de ce qui suit : Développement : Les évaluateurs ont analysé les spécifications fonctionnelles et la documentation de conception du produit. Ils ont établi que la conception décrivait de manière exacte et complète les interfaces des fonctions de sécurité de la TOE (TSF pour TOE security functionality) et les sous-systèmes TSF, de même que le processus des TSF lié à la mise en œuvre des exigences fonctionnelles de sécurité (SFR pour Security Functionality Requirement). Les évaluateurs ont analysé le produit et ont établi que le processus d initialisation était sécurisé, que les fonctions de sécurité étaient protégées contre le trafiquage et les contournements et que les domaines de sécurité étaient maintenus. De plus, ils ont indépendamment vérifié que les renvois dans les documents de conception sont corrects. Guides : Les évaluateurs ont examiné les guides d utilisation préparatoires et opérationnels du produit et ont constaté qu ils décrivaient suffisamment en détail et sans ambiguïté la façon sûre de transformer la TOE en configuration évaluée et la manière d utiliser et de gérer le produit. Ils ont examiné et testé les guides d utilisation préparatoires et opérationnels, et ont déterminé qu ils sont complets et suffisamment détaillés pour assurer une configuration sûre. Support au cycle de vie : Les évaluateurs ont analysé le système de gestion de la configuration du produit et la documentation connexe. Ils ont constaté que les éléments de configuration du produit étaient clairement indiqués. Le système de gestion de la configuration du développeur a été observé lors de la visite des lieux, et les évaluateurs ont constaté que ce système est évolué et bien développé. - Page 4 of 8 -

9 Les évaluateurs ont examiné la documentation de livraison et ont établi qu elle décrit toutes les procédures nécessaires pour préserver l intégrité du produit quand il est distribué aux utilisateurs. Les évaluateurs ont examiné les procédures de correction d anomalies utilisées par le développeur pour le produit. Lors d une visite du site, ils ont également examiné la preuve générée par le respect des procédures. Ils ont conclu que celles-ci étaient adéquates et permettaient de pister et de corriger les anomalies de sécurité et de communiquer cette information, et les corrections pertinentes, aux utilisateurs du produit. Évaluation des vulnérabilités : Les évaluateurs ont analysé de façon indépendante les vulnérabilités du produit. De plus, ils ont effectué une recherche dans les bases de données des vulnérabilités disponibles dans le domaine public afin de cerner des vulnérabilités potentielles du produit. Ils ont relevé des vulnérabilités potentielles : les tests de pénétration (voir section 11.3) ont toutefois démontré qu aucune des vulnérabilités potentielles n était exploitable dans l environnement opérationnel de du produit. Toutes ces activités d évaluation ont obtenu la cote RÉUSSITE. 11 Essais des produits de sécurité des TI Les essais comportent les étapes suivantes : évaluation des tests faits par le développeur, exécution de tests fonctionnels indépendants, et exécution de tests de pénétration Évaluation des tests par les développeurs Les évaluateurs ont vérifié que le développeur avait satisfait à ses responsabilités en matière de tests en examinant les preuves connexes ainsi que les résultats consignés dans le RTE 2. Les évaluateurs ont analysé la couverture des tests du développeur et ont conclu qu elle était complète et précise. La correspondance entre la spécification fonctionnelle et les tests indiqués dans la documentation des tests du développeur est complète Tests fonctionnels indépendants Pendant l évaluation, les évaluateurs ont mis au point des tests indépendants en examinant les documents de conception et les guides d utilisation et d administration, ainsi que la documentation des tests réalisés par le développeur, en observant et exécutant un échantillon de tests du développeur, et en créant des scénarios de test en plus des tests réalisés par le développeur. Tous les tests ont été planifiés et documentés de manière suffisamment détaillée pour permettre la reproductibilité des procédures d essai et des résultats. Cette approche de couverture des tests a permis d obtenir la liste ci-dessous des objectifs de test de l évaluation d'ewa-canada. 2 Le rapport technique d'évaluation (RTE) est un document du SCCC qui contient de l'information exclusive au propriétaire et/ou à l'évaluateur, et qui n'est pas rendu public. - Page 5 of 8 -

10 a. Initialisation : Ce test vise à confirmer que l administrateur peut installer et configurer la TOE en suivant les guides fournis avec le produit et qu il peut reproduire les paramètres et l environnement tel qu il est énoncé dans la ST. b. Réexécution des tests du développeur : Ce test vise à répéter un sous-ensemble des tests du développeur. c. Gestion de la sécurité : Ce test vise à confirmer que le Server s intègre à un serveur Active Directory. d. Gestion des incidents : Ce test vise à confirmer que les incidents sont vérifiés et suivis. e. Génération et diffusion de rapports : Ce test vise à confirmer que les utilisateurs autorisés peuvent générer et diffuser des rapports et des recherches standards Tests de pénétration indépendants Après l examen indépendant des bases de données sur les vulnérabilités du domaine public et de tous les résultats de l évaluation, les évaluateurs ont effectué des tests indépendants et limités de pénétration. Les tests de pénétration concernaient principalement ce qui suit : a. Balayage des ports : Ce test vise à identifier les ports ouverts suspects sur le système de la TOE. b. Surveillance concernant la fuite d information : Ce test vise à déterminer s il y a une fuite de données durant l ouverture ou la fermeture de session ou durant d autres scénarios. c. Contournement et gestion de la séance : Ce test vise confirmer que la séance d interface Web est gérée de manière sûre. Les tests de pénétration indépendants n ont permis de découvrir aucune vulnérabilité exploitable dans l environnement d exploitation prévu Déroulement des tests a fait l objet d une série complète de tests fonctionnels et de pénétration indépendants documentés de manière officielle. Les tests ont eu lieu dans les installations EEPSTI (Évaluation et essais des produits de sécurité des technologies de l information) d'ewa- Canada. Des représentants de l organisme de certification du SCCC ont assisté à une partie des tests indépendants. Les activités détaillées de test, y compris les configurations, les procédures, les scénarios de test, les résultats prévus et les résultats observés, sont documentées dans un document de résultats de test distinct Résultats des tests Les tests réalisés par le développeur et les tests fonctionnels indépendants ont produit les résultats prévus, ce qui donne l assurance que le produit se comporte de la manière spécifiée dans la ST et dans les spécifications fonctionnelles. 12 Résultats de l évaluation Cette évaluation a mené à l obtention du niveau d assurance EAL 2 +. Toutes les activités d évaluation ont obtenu la cote RÉUSSITE. Ces résultats sont corroborés par les preuves contenues dans le RTE. - Page 6 of 8 -

11 13 Commentaires, observations et recommandations de l évaluateur La TOE doit être exploité conformément aux guides d installation et d administration et doit être installée dans un environnement d exploitation non hostile et bien géré. Les évaluateurs recommandent que les utilisateurs lisent la ST et s assurent que toutes les hypothèses formulées au sujet de l environnement sont exactes, dans l environnement prévu de la TOE. Les évaluateurs recommandent fortement aux utilisateurs de la TOE de consulter le document intitulé Guidance Supplement pour obtenir des références de guides d utilisation pertinents afin de configurer la TOE dans la configuration évaluée. Un administrateur n ayant pas reçu la formation appropriée pourrait mal configurer la TOE par inadvertance, ce qui pourrait aisément donner lieu à un traitement inattendu des menaces à la sécurité. Au cours des tests et de l évaluation des vulnérabilités, l évaluateur a noté que la TOE et l environnement opérationnel contiennent un grand nombre d options de configuration. 14 Acronymes, abréviations et sigles Acronyme, abréviation ou sigle Description CECC EAL EEPSTI GC LPC PALCAN RTE SCCC SFR ST TI TOE TSF 15 Références Centre d évaluation selon les Critères communs Evaluation Assurance Level (niveau d assurance de l évaluation) Évaluation et essais de produits de sécurité des technologies de l information Gestion des configurations Liste des produits certifiés Programme d accréditation des laboratoires Canada Rapport technique d évaluation Schéma canadien d évaluation et de certification selon les critères communs Security Functional Requirement (Exigences fonctionnelles de sécurité) Cible de sécurité Technologie de l information Target of Evaluation (cible d évaluation) TOE Security Functionality (fonctionnalité de sécurité de la TOE) Voici tous les documents de référence utilisés pour la compilation du présent rapport : a. SCCC, Publication n o 4, Contrôle technique, version 1.8, octobre Page 7 of 8 -

12 b. Critères communs pour l évaluation de la sécurité des technologies de l information, version 3.1, révision 4, septembre c. Méthodologie d évaluation commune pour la sécurité des technologies de l information, version 3.1, révision 4, septembre d. Symantec Security Information Manager Version 4.8.1, 1.7, 30 janvier e. Evaluation Technical Report, Symantec Security Information Manager v8.4.1, v1.1, 26 février Page 8 of 8 -