Requisitos mínimos de seguridad a la hora de comparar diferentes dispositivos de red o soluciones de ciberseguridad para su despliegue en la infraestructura de red corporativa.
En el listado de productos certificados de la página web de Common Criteria, la categoría de ‘Dispositivos de Red’ es una de las que agrupa un mayor y más diverso número de soluciones. Todas ellas tienen una característica en común, son productos que gestionan (procesan, filtran, distribuyen) información que fluye por una arquitectura de red.
En esta amplia categoría, podemos encontrar infinidad de soluciones certificadas Common Criteria con esta etiqueta, ya sea la tradicional electrónica de red como routers, switches, puntos de acceso, o soluciones de ciberseguridad para redes como firewalls, proxies, antivirus, redes privadas virtuales (VPN) y otras soluciones de detección de amenazas y protección de la información.
Aunque a priori nos parezca un grupo demasiado generalista, en realidad tiene su lógica. No perdamos la perspectiva del objetivo de una certificación Common Criteria. Muchas veces caemos en el error de pensar que esta certificación solamente va orientada a validar las funciones de seguridad ofrecidas por la solución. En realidad, lo más habitual es que en el proceso de certificación también se deba evaluar la seguridad de la propia solución.
Es decir, el laboratorio no solo asegura que las funcionalidades de la solución son conformes a lo que se espera de un producto de este tipo, sino que también comprueba que la solución ha sido desarrollada de un modo seguro para garantizar que no contiene riesgos de seguridad para sí misma o para el entorno donde se despliega. Es más, el laboratorio también revisa las guías del producto para asegurar que la documentación que se entrega al usuario final contiene las instrucciones críticas a nivel de seguridad.
Podemos coger un antivirus como ejemplo: el laboratorio no evalúa si un antivirus es capaz de detectar mayor o menor número de malware, o si lo hace más rápido o más lento que otra solución del mercado. Lo que evaluamos es que existe un proceso de detección de un contenido malicioso, y que este proceso se gestiona de forma segura. Nos aseguramos que el software no contiene vulnerabilidades (como las derivadas de usar librerías de terceras partes antiguas o con vulnerabilidades), y que no utiliza mecanismos de autentificación débiles. Estas son solo algunas de las actividades de evaluación que realizamos en el laboratorio.
Y es en este ámbito donde todas estás diferentes soluciones y productos de la categoría Network Devices tienen un punto de encuentro, ya que comparten los requisitos y niveles de seguridad que se le deben exigir a un dispositivo de red o a una solución (en formato físico o software/virtualizado) que se conecta a una red y maneja la información que circula por la misma.
Como ya abordamos en un artículo anterior sobre las principales preguntas que un CISO debería hacerse antes de escoger una solución de ciberseguridad o un dispositivo de red, existen diferentes opciones para llevar a cabo una evaluación de seguridad Common Criteria de una solución. En resumen, el desarrollador puede decidir él mismo los objetivos y el alcance de la evaluación (TOE) basándonos en un EAL (Evaluation Assurance Level) o puede utilizar un Perfil de Protección que se ajuste a la taxonomía de la solución.
Como también mencionábamos en el artículo referido anteriormente, los Perfiles de Protección son generados por grupos técnicos de trabajo a nivel internacional, que pueden estar compuestos por fabricantes, laboratorios de evaluación, organismos públicos, etc. Posteriormente son revisados y certificados por algún Organismo de Certificación reconocido Common Criteria, y luego se publican en esta página web.
Sin duda, el perfil que encaja en el 99% de las evaluaciones de seguridad de dispositivos de red, y uno de los perfiles de protección más utilizado, es el NDcPP, “Collaborative Protection Profile for Network Devices”, que se encuentra actualmente en su versión 2.2e, publicada el 23-03-2020.
Por ello, dos productos evaluados bajo NDcPP ofrecerán como mínimo las funcionalidades de seguridad obligatorias, evaluadas en un nivel de seguridad equiparable. Por el contrario, las garantías de un producto evaluado sin un perfil de protección variarán en función de lo que el propio desarrollador haya decidido declarar en la descripción de las funcionalidades de la solución que quiere evaluar.
El NDcPP proporciona un conjunto básico de requisitos de seguridad a exigir a una solución de red, con el objetivo de mitigar un listado concreto de amenazas de seguridad. Independientemente del propósito final de la solución o de cualquier funcionalidad de seguridad que el producto pueda usar.
Principalmente, este conjunto de referencia incluye requisitos para:
En resumen, el objetivo es asegurar que las capacidades de gestión del producto son seguras y que no suponga una amenaza de seguridad para el entorno de red en el que se va a desplegar.
Las amenazas que pretende mitigar el Perfil de Protección NDcPP se agrupan acorde a las áreas funcionales del producto:
Comunicaciones con el dispositivo de red
Actualizaciones válidas
Auditoría
Credenciales de administrador y dispositivo e información
Fallo del dispositivo
Con el objetivo de mitigar dichas amenazas, el perfil de protección para Network Devices, NDcPP, contiene los siguientes Requisitos Funcionales de Seguridad (SFR), agrupados por las áreas funcionales del TOE (Target of Evaluation) que listamos más abajo en el anexo y que el desarrollador deberá cumplir para superar la evaluación.
En resumen, a la hora de comparar diferentes dispositivos de red o soluciones de ciberseguridad para su despliegue en nuestra infraestructura de red corporativa, la certificación basada en el Perfil de Protección nos aporta las garantías mínimas sobre las funcionalidades del producto y su robustez frente a posibles amenazas de seguridad.
Requisitos sobre Comunicaciones Seguras
Requisitos sobre Autenticación de administrador
Operación Correcta
Auditoría
Actualizaciones confiables
Gestión
TOE Distribuido
Applus+ utiliza cookies propias y de terceros para fines analíticos y para mostrarte publicidad personalizada en base a un perfil elaborado a partir de tus hábitos de navegación (por ejemplo, páginas visitadas). Puedes aceptar todas las cookies pulsando el botón “Aceptar” o configurarlas o rechazar su uso. Para más información, consulta nuestra Política de Cookies.
Permiten el funcionamiento de la web, cargar contenido multimedia y proteger su seguridad. Consulta las cookies que almacenamos en nuestra Política de cookies.
Nos permiten conocer cómo interactúas con la web, el número de visitas en las diferentes secciones y establecer estadísticas para mejorar nuestras prácticas comerciales. Consulta las cookies que almacenamos en nuestra Política de cookies.