ГОСТ Р 56938-2016

ФЕДЕРАЛЬНОЕ АГЕНТСТВО

               ПО ТЕХНИЧЕСКОМУ РЕГУЛИРОВАНИЮ И МЕТРОЛОГИИ




                           НАЦИОНАЛЬНЫЙ                     ГОСТР
                               СТАНДАРТ
                             РОССИЙСКОЙ
                                                            56938  —




                              ФЕДЕРАЦИИ                     2016




                      Защита информации

                 ЗАЩИТА ИНФОРМАЦИИ
            ПРИ ИСПОЛЬЗОВАНИИ ТЕХНОЛОГИЙ
                    ВИРТУАЛИЗАЦИИ

                       Общие положения


                           Издание официальное




                                  СтандартИ1ф<цм
                                       2011




индекс rw

ГОСТ Р 56938—2016


                                       Предисловие

     1 РАЗРАБОТАН Федеральным автономным учреждением «Государственный научно-исследова­
тельский испытательный институт проблем технической защиты информации Федеральной службы по
техническому и экспортному контролю» (ФАУ «ГНИИИ ПТЗИ ФСТЭК России»)

     2 ВНЕСЕН Техническим комитетом по стандартизации ТК 362 «Защита информации»

     3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому
регулированию и метрологии от 1 июня 2016 г. No 457-ст

     4 ВВЕДЕН ВПЕРВЫЕ

     5 ПЕРЕИЗДАНИЕ. Ноябрь 2018 г.




     Правила применения настоящего стандарта установлены в статье 26 Фсдвралыюго закона
от 29 июня 2015 г. No 162-ФЗ «О стандартизации в Российской Федерации». Информация об
изменениях к настоящему стандарту публикуется в ежегодном (по состоянию на 1 января текущего
года) информациотюм указателе «Национальные стандарты», а официальный текст изменений
и поправок — в ежемесячном информационном указателе «Национальные стандарты». В случае
пересмотра (замены) или отмены настоящего стандарта соответствующее уведомление будет
опубликовано в ближайшем выпуске ежемесячного информационного указателя «Национальные
стандарты». Соответствующая информация, уведомление и тексты размещаются также в
информационной системе общего пользования — на официальном сайте Федерального агентства
по техническому регулированию и метрологии в сети Интернет (www.gost.ru)




                                                    © Стандартинформ. оформление. 2016. 2018

     Настоящий стандарт не может быть полностью или частично воспроизведен, тиражирован и рас­
пространен в качестве официального издания без разрешения Федерального агентства по техническо­
му регулированию и метрологии
II

ГОСТ Р 56938—2016


                                                                         Содержание

1 Область применения.................................................................................................................................................... 1
2 Нормативные ссылки.................................................................................................................................................... 1
3 Термины и определения...................................................................................                                                                  2
4 Объекты защ иты ...........................................................................................................................................................3
5 Угрозы безопасности,обусловленные использованием технологий виртуализации..................................4
    5.1 Угрозы атаки на активное и/или пассивное виртуальное и/или физическое сетевое
        оборудование из физической и/или виртуальной се ти .............................................................................4
    5.2 Угрозы атаки на виртуальные каналы передачи........................................................................................ 4
    5.3 Угрозы атаки на гипервизор из виртуальной машины и/или физической с е т и ..................................4
    5.4 Угрозы атаки на защищаемые виртуальные устройства из виртуальной и/или физической сети . .4
    5.5 Угрозы атаки на защищаемые виртуальные машины из виртуальной и/или физической с е т и .. .5
    5.6 Угрозы атаки на защищаемые виртуальные машины из виртуальной и/или физической с е т и .. .5
    5.7 Угрозы атаки на систему хранения данных из виртуальной и/или физической с е ти ....................... 5
    5.8 Угрозы выхода процесса за пределы виртуальной машины.................................................................... 5
    5.9 Угрозы несанкционированного доступа к данным за пределами зарезервированного адресного
        пространства, в том числе выделенного под виртуальное аппаратное обеспечение.....................5
    5.10 Угрозы нарушения изоляции пользовательских данных внутри виртуальной маш ины ................5
    5.11 Угрозы нарушения процедуры аутентификации субъектов виртуального информационного
         взаимодействия................................................................................................................................................ 6
    5.12 Угрозы перехвата управления гипервизором.............................................................................................6
    5.13 Угрозы перехвата управления средой виртуализации...........................................................................6
    5.14 Угрозы неконтролируемого роста числа виртуальных м а ш и н ............................................................. 6
    5.15 Угрозы неконтролируемого роста числа зарезервированных вычислительных ресурсов........... 6
    5.16 Угрозы нарушения технологии обработки информации путем несанкционированного
         внесения изменений в образы виртуальных машин............................................................................... 6
    5.17 Угрозы несанкционированного доступа к хранимой в виртуальном пространстве защищаемой
         информации.............................................                              7
    5.18 Угрозы ошибок обновления гипервизора....................................................................................................7
6 Особенности защиты информации при использовании технологий виртуализации................................7
    6.1 Защита средств создания и управления виртуальной инфраструктурой............................................ 7
    6.2 Защита виртуальных вычислительных с и с т е м ......................................................................................... 10
    6.3 Защита виртуальных систем хранения данных..........................................................................................11
    6.4 Защита виртуальных каналов передачи данных....................................................................................... 12
    6.5 Защита отдельных виртуальных устройств обработки, хранения и передачи данных................... 13
    6.6 Защита виртуальных средств защиты информации и средств защиты информации,
        предназначенных для использования в среде виртуализации............................................................ 14
Приложение А (справочное) Схема взаимосвязи терминов, применяемых в области виртуализации .15
Приложение Б (справочное) Типовая структура информационной системы, построенной
             с использованием технологий виртуализации......................................................................... 16
Приложение В (справочное) Сводные данные об угрозах и мерах защиты информации.
             обрабатываемой с помощью технологий виртуализации..................................................... 17

ГОСТ Р 56938—2016


Н А Ц И О Н А Л Ь Н Ы Й              С Т А Н Д А Р Т           Р О С С И Й С К О Й              Ф Е Д Е Р А Ц И И


                                              Защита информации

        ЗАЩИТА ИНФОРМАЦИИ ПРИ ИСПОЛЬЗОВАНИИ ТЕХНОЛОГИЙ ВИРТУАЛИЗАЦИИ

                                                Общие положения

             Information security, protection. Information security with virtualization technology. General



                                                                                      Д ата введения — 2017— 06— 01




     1 Область применения
      Настоящий стандарт устанавливает требования по защите информации, обрабатываемой с ис­
пользованием технологий виртуализации.
      В настоящем стандарте рассматриваются только угрозы безопасности и меры защиты информа­
ции, обрабатываемой с помощью технологий виртуализации. Меры защиты информации, изложенные
в настоящем стандарте, предназначены для применения только в случае обработки информации с
использованием технологий виртуализации. Кроме мер защиты информации, изложенных в настоя­
щем стандарте, для обеспечения требуемого уровня защищенности информации, обрабатываемой в
информационных системах, построенных с использованием технологий виртуализации, необходимо
дополнительно применять меры защиты информации, общеупотребимые для любых автоматизирован­
ных систем в защищенном исполнении.
      Настоящий стандарт применяют совместно с другими стандартами, устанавливающими харак­
теристики продукции, правила осуществления и характеристики процессов проектирования (включая
изыскания), производства, строительства, монтажа, наладки, эксплуатации, хранения, перевозки, реа­
лизации и утилизации, выполнения работ или оказания услуг в области защиты информации.


     2 Нормативные ссы лки
     В настоящем стандарте использованы нормативные ссылки на следующие стандарты:
     ГОСТ 34.003 Информационная технология. Комплекс стандартов на автоматизированные систе­
мы. Автоматизированные системы. Термины и определения
     ГОСТ Р 50922 Защита информации. Основные термины и определения
     ГОСТ Р 53114 Защита информации. Обеспечение информационной безопасности в организа­
ции. Основные термины и определения
     ГОСТ Р ИСО/МЭК 27000 Информационная технология. Методы и сродства обеспечения без­
опасности. Системы менеджмента информационной безопасности. Общий обзор и терминология
      П р и м е ч а н и е — При пользовании настоящим стандартом целесообразно проверить действие ссылочных
стандартов в информационной системе общего пользования — на официальном сайте Федерального агентства по
техническому регулированию и метрологии в сети Интернет или по ежегодному информационному указателю «(На­
циональные стандарты#, который опубликован по состоянию на 1 января текущего года, и по выпускам ежемесяч­
ного информационного указателя «Национальные стандарты» за текущий год. Если заменен ссылочный стандарт,
на который дана недатированная ссылка, то рекомендуется использовать действующую версию этого стандарта
с учетом всех внесенных в данную версию изменений. Если заменен ссылочный стандарт, на который д ана дати­
рованная ссылка, то рекомендуется использовать версию этого стандарта с указанным выше годом утверждения
(принятия). Если после утверждения настоящего стандарта в ссылочный стандарт, на который дана датированная
ссылка, внесено изменение, затрагивающее положение, на которое дана ссылка, то это положение рекомендуется
применять без учета данного изменения. Если ссылочный стандарт отменен без замены, то положение, в котором
дана ссылка на него, рекомендуется применять в части, не затрагивающей эту ссылку.


Издание оф ициальное

                                                                                                                    1