TCSEC
From CS Wiki
- Trusted Computer Security Evaluation Criteria
- 1983년에 미국에서 제정
- 표지가 오렌지색이라 오렌지북이라 불림
- 보안등급은 크게는 A, B, C, D 4단계, 세부적으론 A1, B3, B2, B1, C2, C1, D 총 7단계로 나뉜다.
- 4가지 요구사항 : 정책(Security Policy), 책임성(Accountability), 보증(Assurance), 문서(Documentation)
- TNI, TDI, CSSI 등 시스템 분류에 따라 적용 기준이 다르다.
보안등급 명세[edit | edit source]
A1[edit | edit source]
- 검증된 보호
- 수학적으로 완벽한 시스템
- 현재까지 A1 등급을 받은 시스템은 없으므로 사실상 이상적인 시스템
B3[edit | edit source]
- 보안 영역
- 운영체제에서 보안에 불필요한 부분을 모두 제거하고 모듈에 따른 분석 및 테스트가 가능
- 또한 시스템 파일 및 디렉터리에 대한 접근 방식을 지정하고, 위험 동작을 하는 사용자의 활동에 대해서는 자동 백업
- 현재까지 B3등급을 받은 시스템은 극히 일부
B2[edit | edit source]
- 계층 구조화된 정보보호
- 시스템에 정형화된 보안 정책이 존재하며 B1 등급의 기능을 모두 포함
B1[edit | edit source]
- 레이블된 정보보호
- 시스템 내의 보안 정책을 적용할 수 있고 각 데이터에 대해 보안 레벨 설정 가능
- 시스템 파일이나 시스템에 대한 권한 설정 가능
C2[edit | edit source]
- 통제된 접근보호
- 각 계정별 로그인이 가능하며 그룹 ID에 따라 통제가 가능한 시스템
- 보안 감사가 가능하며 특정 사용자의 접근 거부 가능
- 윈도우 NT 4.0과 현재 사용되는 대부분의 유닉스 시스템이 이 등급에 해당
C1[edit | edit source]
- 임의적 정보보호
- 일반적인 로그인 과정이 존재하는 시스템
- 사용자간 침범이 차단되어 있고 모든 사용자가 자신이 생성한 파일에 대해 권한 설정 및 접근 통제 가능
- 초기의 유닉스 시스템이 이 등급에 해당
D[edit | edit source]
- 최소한의 보호
- 위 등급에 해당하지 않는 경우
- 제대로된 보안 통제가 이루어지고 있지 않음
