Évaluation EAL 3 des produits McAfee® Hercules® Policy Auditor

Transcription

Rapport de certification
Évaluation EAL 3 des produits
McAfee® Hercules® Policy Auditor v4.5
et McAfee® Hercules® Remediation Manager v4.5
Préparé par :
le Centre de la sécurité des télécommunications Canada,
à titre d’organisme de certification dans le cadre
du Schéma canadien d’évaluation et de certification
selon les Critères communs
© Gouvernement du Canada, Centre de la sécurité des télécommunications Canada, 2008
N° du document :
Version :
Date :
Pagination :
383-4-88-CR
1.1
11 avril 2008
i à v, 1 à 15
SCCC – Rapport de certification
et McAfee Hercules® Remediation Manager v4.5
®
AVERTISSEMENT
Les produits de TI (technologies de l’information) décrits dans le présent rapport et indiqués
sur le certificat afférent ont été évalués selon la Méthodologie d’évaluation commune des
produits de sécurité des TI, version 2.3, afin d’en évaluer la conformité aux Critères
communs pour l’évaluation de la sécurité des technologies de l’information, version 2.3, par
un centre d’évaluation approuvé, établi dans le cadre du Schéma canadien d’évaluation et de
certification selon les Critères communs (SCCC). Ce rapport et le certificat afférent valent
uniquement pour la version et la diffusion des produits précisées dans la configuration qui a
été évaluée. L’évaluation a été effectuée conformément aux dispositions du SCCC, et les
conclusions formulées dans le rapport technique d’évaluation correspondent aux éléments
présentés en preuve. Le présent rapport et le certificat afférent ne constituent pas une
homologation des produits de TI par le Centre de la sécurité des télécommunications Canada
(CSTC) ou par toute autre organisation qui reconnaît ou entérine ce rapport et le certificat
afférent, et ne signifie pas, ni implicitement ni explicitement, que les produits de TI sont
garantis par le CSTC ou par toute autre organisation qui reconnaît ou entérine ce rapport et le
certificat afférent.
___________________________________________________________________________
Version 1.1
11 avril 2008
- Page i de v -
®
AVANT PROPOS
Le Schéma canadien d’évaluation et de certification selon les Critères communs (SCCC)
offre un service d’évaluation par une tierce partie en vue de déterminer la fiabilité des
produits de sécurité des TI. Les évaluations sont réalisées par un centre d’évaluation selon
les Critères communs (CECC) sous la direction de l’organisme de certification du SCCC, ce
dernier étant géré par le Centre de la sécurité des télécommunications Canada.
Un CECC est un laboratoire commercial qui a été approuvé par l’organisme de certification
du SCCC en vue d’effectuer des évaluations selon les Critères communs. Une des exigences
principales, à cette fin, est l’obtention de l’accréditation selon les prescriptions du Guide ISO
17025, Prescriptions générales concernant la compétence des laboratoires d’étalonnage et
d’essais. L’accréditation est obtenue dans le cadre du Programme d’accréditation des
laboratoires Canada (PALCAN), régi par le Conseil canadien des normes.
Le CECC qui a effectué cette évaluation est Electronic Warfare Associates-Canada, Ltd.
situé à Ottawa, en Ontario.
En décernant un certificat Critères communs, l’organisme de certification affirme que les
produits sont conformes aux exigences de sécurité précisées dans la cible de sécurité
connexe. Une cible de sécurité est un document qui comporte des spécifications requises,
définit les activités d’évaluation et en établit la portée. L’utilisateur d’un produit de TI
certifié devrait examiner la cible de sécurité, en plus du rapport de certification, pour
comprendre les hypothèses formulées dans le cadre de l’évaluation, l’environnement
d’utilisation prévu pour le produit, ses exigences de sécurité et le niveau de fiabilité (qui
correspond au niveau d’assurance de l’évaluation) auquel le produit satisfait aux exigences
de sécurité.
Le présent rapport de certification accompagne le certificat d’évaluation des produits daté du
11 avril 2008, ainsi que la cible de sécurité indiquée à la section 4 du rapport.
Le rapport de certification, le certificat d’évaluation des produits et la cible de sécurité sont
publiés dans la liste des produits certifiés dans le cadre du SCCC (http://www.csecst.gc.ca/services/common-criteria/trusted-products-f.html) et sur le site Web officiel du
programme des Critères communs (http://www.commoncriteriaportal.org).
___________________________________________________________________________
Version 1.1
11 avril 2008
- Page ii de v -
®
Le présent rapport de certification fait référence aux marques de commerce ou aux marques
de commerce déposées suivantes :
•
•
•
•
•
•
•
•
•
•
•
McAfee® et Hercules® sont des marques de commerce déposées de McAfee Inc. aux
États-Unis et dans d’autres pays.
Microsoft, Windows, Windows NT, Windows Server et SQL Server sont des marques de
commerce ou des marques de commerce déposées de Microsoft Corporation aux ÉtatsUnis et dans d’autres pays.
CVE est une marque de commerce de MITRE Corporation.
HP-UX est une marque de commerce de Hewlett Packard Company aux États-Unis.
Intel et Pentium sont des marques de commerce déposées de Intel.
Linux est une marque de commerce déposée de Linus Torvalds Inc.
Mac OS X est une marque de commerce déposée de Apple Computer Inc.
Red Hat est une marque de commerce déposée de Red Hat Inc.
Solaris est une marque de commerce de Sun Microsystems, Inc. aux États-Unis et dans
d’autres pays.
UNIX est une marque de commerce déposée aux États-Unis et dans d’autres pays,
autorisée exclusivement par X/Open Company, Ltd.
AIX est une marque de commerce déposée de International Business Machines
Corporation.
Toute reproduction du présent rapport est autorisée pourvu qu’il soit reproduit dans sa
totalité.
___________________________________________________________________________
Version 1.1
11 avril 2008
- Page iii de v -
®
TABLE DES MATIÈRES
AVERTISSEMENT....................................................................................................................... i
AVANT PROPOS ......................................................................................................................... ii
Sommaire ....................................................................................................................................... 1
1
Définition de la cible d’évaluation....................................................................................... 3
2
Description de la TOE .......................................................................................................... 3
3
Fonctionnalités de sécurité évaluées.................................................................................... 3
4
Cible de sécurité .................................................................................................................... 3
5
Conformité aux Critères communs ..................................................................................... 4
6
Politique de sécurité.............................................................................................................. 4
7
Hypothèses et clarification de la portée .............................................................................. 4
7.1
7.2
7.3
HYPOTHESES SUR L’UTILISATION SURE ...................................................................... 4
HYPOTHESES LIEES A L’ENVIRONNEMENT .................................................................. 5
ÉCLAIRCISSEMENT DE LA PORTEE .............................................................................. 5
8
Information sur l’architecture............................................................................................. 5
9
Configuration évaluée........................................................................................................... 6
9.1
9.2
CONFIGURATION AUTONOME ..................................................................................... 7
CONFIGURATION REPARTIE ........................................................................................ 9
10
Documentation ...................................................................................................................... 9
11
Activités d’analyse et d’évaluation.................................................................................... 10
12
Essais des produits STI....................................................................................................... 11
12.1
12.2
12.3
12.4
12.5
ÉVALUATION DES TESTS REALISES PAR LE DEVELOPPEUR ........................................ 11
TESTS FONCTIONNELS INDEPENDANTS ..................................................................... 11
TEST DE PENETRATION INDEPENDANT ...................................................................... 12
EXECUTION DES TESTS ............................................................................................. 12
RESULTATS DES TESTS ............................................................................................. 13
13
Résultats de l’évaluation .................................................................................................... 13
14
Commentaires, observations et recommandations de l’évaluateur ............................... 13
___________________________________________________________________________
Version 1.1
11 avril 2008
- Page iv de v -
®
15
Acronymes, abréviations et sigles...................................................................................... 14
16
Références............................................................................................................................ 15
___________________________________________________________________________
Version 1.1
11 avril 2008
- Page v de v -
®
Sommaire
Les produits McAfee® Hercules® Policy Auditor v4.5 et McAfee® Hercules® Remediation
Manager v4.5, de McAfee® Inc, désignés ci-après sous le nom de solution McAfee®
Hercules®, sont la cible d’évaluation (TOE) de la présente évaluation EAL 3.
La solution McAfee® Hercules® est conçue pour favoriser la correction automatique des
vulnérabilités des périphériques (serveurs et postes de travail) de réseau ainsi que
l’application des politiques de connexion en fonction de l’état de correction. Ces fonctions
peuvent être exécutées dans des réseaux TCP/IP standard axés sur des clients Microsoft®
Windows®, Solaris™, Red Hat® Linux®, HP-UX®, AIX®, Tru64® et Mac OS®X. Les
produits importent de l’information liée aux vulnérabilités d’un certain nombre de produits
commerciaux de tierce partie servant à la détection de vulnérabilités, et rassemblent cette
information pour former un résumé des vulnérabilités propres à chaque périphérique de
réseau. Ils exécutent automatiquement une séquence d’étapes de correction pour corriger les
vulnérabilités détectées. Leurs utilisateurs peuvent télécharger de nouvelles signatures du
serveur « V-Flash » exploité par McAfee®. La solution McAfee® Hercules® offre une
interface qui permet aux utilisateurs de parcourir la liste de vulnérabilités détectées dans les
périphériques de réseau. On peut définir des regroupements logiques de périphériques. On
peut établir un calendrier de correction automatisée pour un groupe. De plus, on peut dresser
pour le groupe une liste précise de vulnérabilités à corriger, nommées profil de correction.
Electronic Warfare Associates-Canada, Ltd. est le CECC qui a réalisé cette évaluation.
L’évaluation a pris fin en avril 2008 et a été menée selon les règles prescrites par le Schéma
canadien d’évaluation et de certification selon les Critères communs (SCCC).
La portée de l'évaluation est définie dans la cible de sécurité, laquelle décrit les hypothèses
formulées dans le cadre de l'évaluation, l'environnement projeté de la solution McAfee®
Hercules®, les exigences de sécurité des TI qu'il doit remplir et le niveau de fiabilité (niveau
d’assurance de l’évaluation) pour lequel il est affirmé que les produits satisfont aux
exigences de sécurité des TI. On recommande aux utilisateurs de la solution de s’assurer que
leur environnement d’exploitation est conforme à celui défini dans la cible de sécurité, et de
tenir compte des observations et des recommandations énoncées dans le présent rapport de
certification.
Les résultats documentés dans le rapport technique d’évaluation (RTE)1 de la solution
indiquent que celle-ci répond aux exigences d’assurance EAL 3 pour les fonctionnalités de
sécurité qui ont été évaluées. Cette évaluation a été réalisée selon la Méthodologie commune
pour la sécurité des technologies de l’information, version 2.3 (avec les interprétations
1
Le rapport technique d’évaluation est un document interne du SCCC qui contient de l’information exclusive
au propriétaire et (ou) à l’évaluateur, et qui n’est pas rendu public.
___________________________________________________________________________
Version 1.1
11 avril 2008
- Page 1 de 15 -
®
finales applicables), afin d’en déterminer la conformité aux Critères communs pour
l’évaluation de la sécurité des technologies de l’information, version 2.3).
Le Centre de la sécurité des télécommunications Canada, à titre d'organisme de certification
selon le SCCC, affirme que l'évaluation de la solution McAfee® Hercules® satisfait à toutes
les conditions de l'Arrangement relatif à la reconnaissance des certificats liés aux Critères
communs et que les produits figureront sur la liste des produits certifiés dans le cadre du
SCCC (LPC) et dans le portail des Critères communs (site Web officiel du projet Critères
communs).
___________________________________________________________________________
Version 1.1
11 avril 2008
- Page 2 de 15 -
®
1
Définition de la cible d’évaluation
La cible d’évaluation (TOE) pour la présente évaluation EAL 3 sont les produits McAfee®
Hercules® Policy Auditor v4.5 et McAfee® Hercules® Remediation Manager v4.5, ci-après
appelés solution McAfee® Hercules®.
Ce rapport concerne la TOE, qui comprend les systèmes principaux suivants :
a. McAfee® Hercules® Administrator;
b. McAfee® Hercules® Server; et
c. McAfee® Hercules® Client.
2
Description de la TOE
La solution McAfee® Hercules® est conçue pour favoriser la correction automatique des
vulnérabilités des périphériques (serveurs et postes de travail) de réseau ainsi que
l’application des politiques de connexion en fonction de l’état de correction. Ces fonctions
peuvent être exécutées dans des réseaux TCP/IP standard axés sur des clients Microsoft®
Windows®, Solaris™, Red Hat® Linux®, HP-UX®, AIX®, Tru64® et Mac OS®X. Les
produits importent de l’information liée aux vulnérabilités d’un certain nombre de produits
commerciaux de tierce partie servant à la détection de vulnérabilités, et rassemblent cette
information pour former un résumé des vulnérabilités propres à chaque périphérique de
réseau. Ils exécutent automatiquement une séquence d’étapes de correction pour corriger les
vulnérabilités détectées. Leurs utilisateurs peuvent télécharger de nouvelles signatures du
serveur « V-Flash » exploité par McAfee®. La solution McAfee® Hercules® offre une
interface qui permet aux utilisateurs de parcourir la liste de vulnérabilités détectées dans les
périphériques de réseau. On peut définir des regroupements logiques de périphériques. On
peut établir un calendrier de correction automatisée pour un groupe. De plus, on peut dresser
pour le groupe une liste précise de vulnérabilités à corriger, nommées profil de correction.
3
Fonctionnalités de sécurité évaluées
La liste complète des fonctionnalités de sécurité évaluées pour la solution McAfee®
Hercules® figure à la section 5 de la cible de sécurité (ST).
4
Cible de sécurité
La cible de sécurité (ST) associée au présent rapport de certification (RC) est définie comme
suit :
Titre : Cible de sécurité, McAfee® Hercules® Policy Auditor et McAfee® Hercules®
Remediation Manager (McAfee® Hercules®), version 4.5
Version : 1.3
Date : 9 avril 2008
___________________________________________________________________________
Version 1.1
11 avril 2008
- Page 3 de 15 -
®
5
Conformité aux Critères communs
L’évaluation a été réalisée selon la Méthodologie commune pour la sécurité des technologies
de l’information, version 2.3, afin d’en déterminer la conformité aux Critères communs pour
l’évaluation de la sécurité des technologies de l’information, version 2.3.
La solution McAfee® Hercules® est :
a. conforme à la partie 2 des Critères communs, avec les exigences de sécurité
fonctionnelles basées uniquement sur les composants fonctionnels de la partie 2;
b. conforme à la partie 3 des Critères communs, avec les exigences de sécurité d’assurance
basées uniquement sur les composants d’assurance de la partie 3; et
c. conforme au niveau EAL 3 des Critères communs, contenant toutes les exigences de
sécurité d'assurance du niveau EAL 3.
6
Politique de sécurité
La solution McAfee® Hercules® applique un contrôle d'accès axé sur les rôles et des
politiques de contrôle de flux d’information pour contrôler l’accès des utilisateurs aux
ressources de système ainsi que les données sur les vulnérabilités et les corrections qui
circulent dans le système. Vous trouverez des détails sur la politique fonctionnelle de
sécurité de la TOE à la section 5.4 de la cible de sécurité.
7
Hypothèses et clarification de la portée
Les utilisateurs de la solution McAfee® Hercules® devraient tenir compte des hypothèses
formulées au sujet de son utilisation et des paramètres environnementaux requis pour
l’installation de la solution et son environnement opérationnel. Cela permettra d’utiliser la
TOE de manière adéquate et sûre.
7.1
Hypothèses sur l’utilisation sûre
Hypothèses relatives à l'environnement d’utilisation de la TOE :
a. Le personnel autorisé à installer, configurer et utiliser la solution McAfee® Hercules®
possède la formation appropriée et se conformera aux procédures d'utilisation sûre du
produit décrit dans la ST.
b. Le personnel autorisé à installer, configurer et utiliser la solution se conformera à toutes
les politiques organisationnelles, y compris les normes concernant l’utilisation sûre des
ressources informatiques et comprenant les politiques de sécurité en matière de matériel,
de réseau et de mot de passe.
___________________________________________________________________________
Version 1.1
11 avril 2008
- Page 4 de 15 -
®
c. L’organisation qui utilise la solution a mis en place des procédures de sauvegarde et de
reprise qui permettent de rétablir la configuration sûre du produit dans l’éventualité d’une
panne du matériel.
d. L’administrateur de la TOE applique toutes les politiques organisationnelles relatives à la
sécurité des mots de passe lors de l’attribution de justificatifs d’identité aux utilisateurs
de la TOE.
e. L’organisation a mis en place des politiques de contrôle d'accès axé sur les rôles qui
permettent de déterminer les employés qui seront autorisés à devenir des utilisateurs de la
TOE, incluant la liste des privilèges qui leur seront accordés.
7.2
Hypothèses liées à l’environnement
Hypothèses relatives à l'environnement d’exploitation de la TOE :
a.
L’ordinateur hôte sur lequel la solution McAfee® Hercules® est installée se trouve
dans un endroit physiquement protégé et seules les personnes autorisées peuvent y
accéder.
b.
L’ordinateur hôte sur lequel la solution est installée se trouve dans un environnement
réseauté protégé.
c.
Le système d’exploitation utilisé pour la solution est installé, configuré et fortement
sécurisé conformément aux directives du guide McAfee® Hercules® Security
Configuration Guide, version 4.5, révision 1.0.
Pour plus de détails concernant l’environnement de sécurité de la TOE, se reporter à la
section 3 de la ST (Environnement de sécurité de la TOE).
7.3
Éclaircissement de la portée
La solution McAfee® Hercules® assure la protection contre toute tentative accidentelle ou
épisodique de percer le système de sécurité par des attaquants possédant un faible potentiel
d'attaque. Elle n'est pas conçue pour assurer une protection contre les tentatives délibérées
d'attaque sophistiquée par des attaquants hostiles et bien financés. La solution mise sur
l'environnement pour assurer sa protection physique et logique.
8
Information sur l’architecture
La solution McAfee® Hercules® est un progiciel qui inclut les composants principaux
suivants :
McAfee® Hercules® Administrator Console. Ce composant assure l’interface hommemachine (HMI) de la solution. Il communique par un protocole SSL avec le ou les
composants McAfee® Hercules® Server, et peut interagir avec les comptes d’utilisateur
Windows®, et les privilèges de domaine et de NTFS. Il effectue son authentification (par le
___________________________________________________________________________
Version 1.1
11 avril 2008
- Page 5 de 15 -
®
biais du service intégré d’authentification de Windows®) au serveur d’information Internet
dans le composant McAfee® Hercules® Server. Il est conçu pour être installé et utilisé dans
un ordinateur Windows® de confiance configuré et contrôlé de manière appropriée et servant
à l’administration du réseau. Les utilisateurs de ce composant doivent posséder tous les
privilèges d’administration pour l’ordinateur qui héberge le produit, ainsi que pour le
composant McAfee® Hercules® Server et tous les ordinateurs clients. McAfee® Hercules®
Administrator Console assure la fonction d’interface homme-machine (HMI) de la solution et
inclut les dispositifs d’affichage et d’entrée par lesquels l’utilisateur interagit avec
l’application McAfee® Hercules®. L’information que la fonction HMI est en mesure de
collecter inclut les données sur les systèmes clients connectés et sur l’état des clients, la liste
des vulnérabilités d’un client ou d’un groupe de clients qui seront corrigées, l’état et les
signatures des corrections, les données numérisées et les vulnérabilités relevées dans les
clients.
McAfee® Hercules® Server. La configuration de base de McAfee® Hercules® Server inclut
les composants McAfee® Hercules® Server et McAfee® Hercules® Download Server, ainsi
que les services Windows® de McAfee® Hercules® Channel Server, qui permettent de
communiquer avec McAfee® Hercules® Client pour répartir les profils de correction et
collecter des données sur l’état d’avancement des corrections. Plusieurs de ces composants
peuvent être déployés dans un réseau et administrés par un seul composant McAfee®
Hercules® Administrator Console. McAfee® Hercules® Server est conçu pour être installé et
utilisé dans un serveur Windows® de confiance configuré et contrôlé de manière appropriée.
Il journalise également les événements de vérification, qui incluent des données sur le début
et la fin des mesures utilisées ainsi que sur celles qui ont réussi et qui ont échoué. Il exporte
des données d’utilisateur aux fins de sauvegarde et de transfert, et importe en plus des
données de correction, des données numérisées et des identificateurs de périphérique. Il peut
également importer des données dans les données numérisées sur les vulnérabilités de tiers.
McAfee® Hercules® Server permet de gérer les données, les profils et les rôles associés aux
corrections. Les profils de correction peuvent être approuvés et les données de profil
transmises aux systèmes clients, avec les données sur les corrections. Le composant reçoit
ensuite du client de l’information sur l’état des corrections. On peut établir pour les activités
de correction un calendrier d’exécution pour un client individuel ou un groupe de clients.
Clients McAfee® Hercules®Windows®, Unix® et Mac®. Les clients McAfee® Hercules®
Windows®, Unix® et Mac® sont des services qui appliquent des activités correctrices à des
périphériques de réseau tels les postes de travail et les serveurs. Ils communiquent avec
McAfee® Hercules® Server par un protocole HTTPS/SSL.
9
Configuration évaluée
La solution McAfee® Hercules® inclut deux configuration évaluées : autonome et répartie.
Les deux configurations incluent les mêmes composants fonctionnels; seule la manière dont
les composants sont regroupés diffère. Pour utiliser la TOE dans la configuration évaluée, il
___________________________________________________________________________
Version 1.1
11 avril 2008
- Page 6 de 15 -
®
faut configurer les différents composants de serveur de manière qu’ils utilisent des certificats
SSL (Secure Socket Layer), tel que décrit dans le guide McAfee® Hercules® Security
Configuration Guide. Les deux configurations sont décrites en détail aux sections 2.1.2 et
2.1.3 de la ST, respectivement.
9.1
Configuration autonome
McAfee® Hercules® Administrator Console. Fonctionne sur un ordinateur compatible
Intel® Pentium qui utilise l’un des systèmes d’exploitation suivants :
•
•
•
•
•
•
•
Windows® 2000 Server avec Service Pack 4,
Windows® 2000 Advanced Server avec Service Pack 4,
Windows 2000 Professional avec Service Pack 4,
Windows® XP Professional avec Service Pack 2,
Windows® Server 2003 Standard Edition avec Service Pack 1,
Windows® Server 2003 Enterprise Edition avec Service Pack 1,
Windows Vista Business ou Windows Vista Enterprise.
Les logiciels suivants sont également requis pour toutes les configurations :
•
•
•
Internet Explorer 5.5 ou version plus récente,
Microsoft .NET Framework v1.1 Service Pack 2, et Adobe Acrobat Reader™
7.0 ou version plus récente,
Windows® 2000 High Encryption Pack (si McAfee® Hercules® Administrator
Console fonctionne sous Windows® 2000).
Les exigences matérielles minimales et la configuration requise de McAfee® Hercules®
Administrator Console sont précisées dans les guides McAfee® Hercules® Installation Guide
et McAfee® Hercules® Security Configuration Guide, respectivement.
McAfee® Hercules® Server. Fonctionne sur un ordinateur compatible Intel® Pentium qui
utilise l’un des systèmes d’exploitation suivants :
•
•
Windows® Server 2003 Standard Edition avec Service Pack 1,
Windows® Server 2003 Enterprise Edition avec Service Pack 1.
Les logiciels suivants sont également requis pour toutes les configurations :
•
•
•
•
•
•
IIS 6.0
Internet Explorer 6.0 et
Microsoft SQL Server 2005,
Microsoft Reporting Services,
Microsoft .NET Framework v1.1 Service Pack 2,
Microsoft ASP.Net.
Les exigences matérielles minimales et la configuration requise de McAfee® Hercules®
Server sont précisées dans les guides McAfee® Hercules® Installation Guide et McAfee®
Hercules® Security Configuration Guide, respectivement.
___________________________________________________________________________
Version 1.1
11 avril 2008
- Page 7 de 15 -
®
Clients McAfee® Hercules® Windows®, Unix® et Mac®. Un ou plusieurs périphériques de
réseau dans lesquels est installé le composant McAfee® Hercules® Client Version 4.5, et qui
utilisent un système d’exploitation Windows®, Unix® ou Mac®.
Système d’exploitation Windows®
Les systèmes Windows® pris en charge incluent les suivants :
•
•
•
•
•
•
•
•
•
•
•
•
•
•
Windows® NT 4.0 Workstation avec Service Pack 6,
Windows® NT 4.0 Standard Server avec Service Pack 6,
Windows® NT 4.0 Terminal Server avec Service Pack 6,
Windows® 2000 Professional,
Windows® 2000 Server,
Windows® 2000 Advanced Server,
Windows® XP Professional,
Windows® Server 2003 Standard Edition,
Windows® Server 2003 Enterprise Edition,
Windows® Vista Home Basic,
Windows® Vista Home Premium,
Windows® Vista Business,
Windows® Vista Enterprise,
Windows® Vista Ultimate.
Pour les plates-formes Windows® NT 4.0, on doit également utiliser Internet Explorer 5.5
avec Service Pack 2, ou une version plus récente. Les exigences de système minimales des
clients Windows® sont précisées dans le guide McAfee® Hercules® Enterprise Installation
Guide.
Système d’exploitation Unix®
Les systèmes Unix® pris en charge incluent les suivants :
•
•
•
•
•
•
Solaris™ 2.6, 7, 8, 9, 10,
Red Hat® Desktop 7.3, 8, 9,
Red Hat® Enterprise Linux (AS, EW, WS) 2.1, 3.0, 4.0,
AIX® 5.1, 5.2, 5.3,
HPUX® 11.0, 11iv1, et
Tru64® 5.1B.
___________________________________________________________________________
Version 1.1
11 avril 2008
- Page 8 de 15 -
®
Les logiciels suivants sont requis pour toutes les configurations :
•
•
•
OpenSSH v3.5p1 ou version plus récente,
SSL/HTTPS fonctionnant avec OpenSSL 0.96 ou version plus récente,
Sudo v1.6.7 ou version plus récente.
Les exigences de système minimales des clients Unix® sont précisées dans le guide McAfee®
Hercules® Installation Guide.
Système d’exploitation Mac®
Les systèmes Mac® pris en charge sont les suivants : Mac OS X 10.2, 10.3 et 10.4. Les
logiciels suivants sont requis pour toutes les configurations :
•
•
•
OpenSSH v3.5p1 ou version plus récente,
SSL/HTTPS fonctionnant sous OpenSSL 0.96 ou version plus récente, et
Sudo v1.6.7 ou version plus récente.
Les exigences de système minimales des clients Mac® sont précisées dans le guide McAfee®
Hercules® Installation Guide.
9.2
Configuration répartie
Dans cette configuration, les composants McAfee® Hercules® Channel Server et McAfee®
Hercules® Download Server peuvent être installés séparément de McAfee® Hercules® Server.
Ces composants ont les mêmes exigences que McAfee® Hercules® Server pour ce qui
concerne le système d’exploitation. La configuration de la TOE est décrite en détail dans le
guide McAfee® Hercules® Installation Guide.
10 Documentation
Les documents que McAfee® Inc. fournit à l’utilisateur sont les suivants :
a. McAfee® Hercules® Installation Guide;
b. McAfee® Hercules® QuickStart Guide;
c. McAfee® Hercules® Remedy Actions Reference;
d. McAfee® Hercules® Reporting Schema;
e. McAfee® Hercules® Security Configuration Guide;
f. McAfee® Hercules® Product Guide;
g. McAfee® Hercules® Vulnerability Assessment and Remediation Overview;
h. Creating Network Install Package for Microsoft Internet Explorer 6.0;
___________________________________________________________________________
Version 1.1
11 avril 2008
- Page 9 de 15 -
®
i. Using Hercules and Administrative Network Installation Points to Remediate Microsoft®
Office 2000.
Ces documents sont offerts en format Adobe PDF sur le disque compact fourni.
11 Activités d’analyse et d’évaluation
Les activités d’analyse et d’évaluation d’une évaluation structurée de la solution McAfee®
Hercules® incluent les aspects suivants :
Gestion de configuration : Les évaluateurs ont analysé la solution McAfee® Hercules® et la
documentation connexe. Ils ont constaté que les éléments de configuration de la solution y
sont clairement indiqués, et qu’ils peuvent être modifiés et contrôlés. Le système de gestion
de configuration du développeur a été observé à l'occasion d'une visite sur place; il a été jugé
évolué et bien développé.
Livraison et exploitation: Les évaluateurs ont examiné la documentation de livraison et ont
établi qu’elle décrit toutes les procédures nécessaires pour préserver l’intégrité de la solution
quand elle est distribuée aux utilisateurs. Les évaluateurs ont examiné et testé les procédures
d’installation, de génération et de démarrage, et ont déterminé qu’elles sont complètes et
suffisamment détaillées pour assurer une configuration sûre.
Document de conception : Les évaluateurs ont analysé les spécifications fonctionnelles et la
conception de haut niveau de la solution McAfee® Hercules® et ils ont déterminé qu’elles
sont intrinsèquement cohérentes, et complètement et exactement instanciées dans toutes les
interfaces et fonctions de sécurité. De plus, ils ont indépendamment vérifié que les renvois
dans les documents de conception sont corrects.
Guides : Les évaluateurs ont examiné les guides d’utilisation et d’administration de la
solution McAfee® Hercules® et ils ont déterminé que la documentation décrit suffisamment
en détail et sans ambiguïté la façon d’utiliser et de gérer de manière sûre le produit, et qu’elle
est cohérente avec les autres documents soumis à l’évaluation.
Support au cycle de vie : Les évaluateurs ont examiné les procédures de sécurité de
développement au cours d'une visite et ont déterminé que les mesures de sécurité de
l'environnement de développement étaient suffisamment détaillées pour assurer la
confidentialité et l'intégrité de la conception et de la mise en œuvre de la solution McAfee®
Hercules®.
Estimation des vulnérabilités : La résistance des fonctions de la solution McAfee®
Hercules® annoncée dans la ST a été validée par une analyse d'évaluateur indépendante. Les
évaluateurs ont également validé l’analyse de vulnérabilité du développeur et convenu
qu’elle décrit de manière suffisante chacune des vulnérabilités potentielles et explique de
manière rationnelle les raisons pourquoi ces vulnérabilités ne sont pas exploitables dans
l’environnement visé. De plus, les évaluateurs ont mené un examen indépendant des bases
de données des vulnérabilités du domaine public et de tous les résultats de l'évaluation afin
___________________________________________________________________________
Version 1.1
11 avril 2008
- Page 10 de 15 -
®
de s'assurer que le développeur a tenu compte de toutes les vulnérabilités potentielles. Ils ont
effectué des tests de pénétration indépendants qui n’ont révélé aucune vulnérabilité résiduelle
exploitable dans l'environnement d'exploitation prévu de la TOE.
Toutes ces activités d’évaluation ont obtenu la cote RÉUSSITE.
12 Essais des produits STI
Les essais comportent les étapes suivantes : tests de couverture, tests fonctionnels et tests
indépendants. Les évaluateurs ont examiné les activités de test du développeur et vérifié que
celui-ci avait satisfait à ses responsabilités en matière de tests.
12.1 Évaluation des tests réalisés par le développeur
Les évaluateurs ont vérifié que le développeur avait satisfait à ses responsabilités en matière
de tests en examinant les preuves connexes ainsi que les résultats consignés dans le RTE2.
McAfee® utilise un processus de test rigoureux qui permet de tester les modifications et les
rustines de chaque version de la solution. Des tests de régression détaillés sont effectués sur
toutes les versions.
Les évaluateurs ont examiné l’analyse de la couverture des tests réalisés par le développeur
et ont jugé qu’elle était complète et exacte. La correspondance entre la spécification
fonctionnelle et les tests indiqués dans la documentation des tests du développeur est
complète.
12.2 Tests fonctionnels indépendants
Pendant l’évaluation, les évaluateurs ont élaboré des tests fonctionnels afin d’étayer les tests
du développeur en examinant la documentation de conception et les guides, en examinant la
documentation des tests du développeur, en répétant un sous-ensemble des procédures de test
du développeur et en créant des scénarios de test allant au-delà des tests réalisés par le
développeur.
Tous les tests ont été planifiés et documentés de manière suffisamment détaillée pour
permettre la reproductibilité des procédures d’essai et des résultats. Cette approche de
couverture des tests a permis d’obtenir la liste ci-dessous des objectifs de test de Electronic
Warfare Associates-Canada, Ltd. :
2
Le rapport technique d’évaluation est un document interne du SCCC qui contient de l’information exclusive
au propriétaire et (ou) à l’évaluateur, et qui n’est pas rendu public.
___________________________________________________________________________
Version 1.1
11 avril 2008
- Page 11 de 15 -
®
a. Initialisation : Le but de cet objectif de test est d’obtenir les procédures de détermination
de la configuration du système afin de s’assurer que la TOE testée est correcte;
b. Réexécution des tests de développeur : Le but de cet objectif de test est de répéter les
tests de développeur;
c. Identification et authentification : Le but de cet objectif de test est de s’assurer du respect
des exigences en matière d’identification et d’authentification;
d. Vérification : Le but de cet objectif de test est de s’assurer que les données de vérification
sont enregistrées et qu’elles peuvent être consultées;
e. Utilisateurs et rôles : Le but de cet objectif de test est de s’assurer que les fonctions
d’utilisateurs et de rôles sont correctes;
f. Protection des données des utilisateurs : Le but de cet objectif de test est de déterminer la
capacité de la TOE de protéger les données de l’utilisateur;
g. Fonctionnalité de produit de base : Le but de cet objectif de test est d’exécuter les
fonctions de la TOE pour s’assurer que les annonces de sécurité ne sont pas compromises
par inadvertance.
12.3 Test de pénétration indépendant
Après l’examen des preuves de l’analyse des vulnérabilités, les évaluateurs ont effectué des
tests indépendants et limités des vulnérabilités. Les tests de pénétration concernaient
principalement :
•
•
•
•
•
les vulnérabilités génériques,
le balayage de port,
la surveillance du trafic de réseau,
des tests relatifs à l'utilisation impropre par l’utilisateur de la TOE (injection de
réseau et injection SQL), et
des tests relatifs à l'utilisation impropre par une entité externe (attaques par
dépassement de mémoire tampon et saisie de mot de passe).
Les tests de pénétration indépendants n’ont permis de découvrir aucune vulnérabilité
exploitable dans l’environnement d’exploitation prévu.
12.4 Exécution des tests
La solution McAfee® Hercules® a fait l’objet d’une série complète de tests fonctionnels
formellement documentés. Les tests ont eu lieu dans les installations EEPSTI (Évaluation et
essais des produits de sécurité des technologies de l'information) de Electronic Warfare
Associates-Canada, Ltd. L'organisme de certification du SCCC a assisté à une partie des
tests indépendants. Les activités détaillées de test, y compris les configurations, les
___________________________________________________________________________
Version 1.1
11 avril 2008
- Page 12 de 15 -
®
procédures, les scénarios de test, les résultats prévus et les résultats observés sont
documentés dans un document de résultats de test distinct.
12.5 Résultats des tests
Les tests réalisés par le développeur et les tests fonctionnels indépendants ont produit les
résultats prévus, ce qui donne l’assurance que la solution McAfee® Hercules® se comporte de
la manière spécifiée dans la ST et dans les spécifications fonctionnelles.
13 Résultats de l’évaluation
Cette évaluation a constitué la base du niveau d’assurance EAL 3. Toutes les activités
d’évaluation ont obtenu la cote RÉUSSITE. Ces résultats sont corroborés par les preuves
contenues dans le RTE.
14 Commentaires, observations et recommandations de l’évaluateur
La documentation complète de la solution McAfee® Hercules® inclut un guide exhaustif
d’installation, un guide de configuration de sécurité ainsi qu’un guide de produit.
La solution est facile à configurer, à utiliser et à intégrer dans un réseau d’entreprise.
Les fonctions de gestion de la configuration (CM) et d'assurance de la qualité (QA) de
McAfee® Inc. incluent les contrôles requis pour gérer toutes les activités inhérentes à ces
fonctions.
___________________________________________________________________________
Version 1.1
11 avril 2008
- Page 13 de 15 -
®
15 Acronymes, abréviations et sigles
Cette section donne la signification des acronymes, abréviations et sigles utilisés dans le
présent rapport.
Acronyme/abréviation/sigl
e
CECC
CM
CVE
EAL
EEPSTI
HMI
LPC
NTFS
OS
PALCAN
QA
RTE
SCCC
SFP
SQL
SSL
ST
TI
TOE
Description
Centre d’évaluation selon les Critères
communs
Gestion de la configuration
Common Vulnerabilities and Exposures
Niveau d’assurance de l’évaluation
Évaluation et essais de produits de sécurité
des technologies de l’information
Interface homme-machine
Liste des produits certifiés
NT File System
Système d’exploitation
Programme d’accréditation des laboratoires
Canada
Assurance de la qualité
Rapport technique d’évaluation
Schéma canadien d’évaluation et de
certification selon les Critères communs
Politique d’une fonction de sécurité
Structured Query Language
Secure Socket Layer
Cible de sécurité
Technologie de l’information
Cible d’évaluation
___________________________________________________________________________
Version 1.1
11 avril 2008
- Page 14 de 15 -
®
16 Références
Voici tous les documents de référence utilisés pour la compilation du présent rapport :
a.
Schéma canadien d’évaluation et de certification selon les Critères communs (SCCC),
Publication n° 4, Contrôle technique, version 1.0.
b.
Critères communs pour l’évaluation de la sécurité des technologies de l’information,
version 2.3, août 2005.
c.
Common Methodology for Information Technology Security Evaluation, CEM,
version 2.3, août 2005
d.
Cible de sécurité, McAfee® Hercules® Policy Auditor et McAfee® Hercules®
Remediation Manager (McAfee® Hercules®) Version 4.5, version numéro 1.3,
9 avril 2008.
e.
Rapport technique d’évaluation (RTE), McAfee® Hercules® Policy Auditor v4.5 et
McAfee® Hercules® Remediation Manager v4.5, évaluation EAL 3, Critères
communs d'évaluation n° 383-4-88, document n° 1566-000-D002, version 1.1, 10
avril 2008.
___________________________________________________________________________
Version 1.1
11 avril 2008
- Page 15 de 15 -

Évaluation EAL 3 des produits McAfee® Hercules® Policy Auditor

Transcription

Documents pareils

Installation de McAfee Enterprise ULB sur un ordinateur Windows :

Renouvellement des licences – McAfee

Puis-je utiliser mon contrôleur DJ Hercules avec d`autres logiciels

Service Expert en ligne d`Aliant

McAfee Internet Security for Mac 2014

Installation de McAfee Entreprise ULB sur un MAC

Télécharger le document ici

Communiqué_Avec sa nouvelle gamme de PC de bureau Pro 3000

Parmis un choix plétorique de périphériques Hercules

McAfee Web Gateway - Administration