Контроль целостности субъектов
Согласно модели Белла-Лападулла, каждый субъект одновременно является объектом. При этом под содержимым субъекта обычно понимают содержимое контекста процесса, куда входит содержимое общих и специальных регистров (контекст процесса постоянно изменяется). Кроме содержимого или значения субъект имеет ряд специфических атрибутов, приоритет, список привилегий, набор идентификаторов и др. характеристики. В этом смысле поддержание целостности субъекта, то есть предотвращение его несанкционированной модификации, можно рассматривать как частный случай этой задачи для объектов вообще.
В то же время субъект является активным компонентом системы. Для защиты целостности субъекта, в качестве представителя которого выступает процесс:
Рабочая среда или область исполнения процесса – область, которая является логически защищенной подсистемой, которой доступны все ресурсы системы, относящиеся к соответствующему процессу. Другими словами, область исполнения процесса является виртуальной машиной. В рамках этой области процесс может выполнять любые санкционированные действия без опасения нарушения целостности. Область исполнения процесса может быть разделена или включена в подобласти, составляющие иерархическую структуру. Процесс может менять эти области (process switching), смена всегда связана с переходом центрального процессора в привилегированный режим работы.
Контроль целостности обеспечивается процедурами ядра безопасности, контролируемыми механизмами поддержки ДВБ:
виртуальной памяти (для создания области данного процесса);
режим исполнения процесса (определяет его возможности в рамках данной области и вне ее).
Механизмы поддержки областей исполнения процесса обеспечивают контроль их целостности достаточно надежно. Однако даже разделенные процессы должны иметь возможность обмениваться информацией. Для этого разработаны несколько специальных механизмов, чтобы можно было осуществлять обмен информацией между процессами без ущерба безопасности или целостности каждого из них. К таким механизмам относятся, например, кластеры флагов событий, почтовые ящики и другие системные структуры данных. Следует однако учитывать, что с их помощью может осуществляться утечка информации, поэтому если использование таких механизмов разрешено, их обязательно следует контролировать.
Контроль доступа.
Контроль доступа - ограничение возможностей использования ресурсов системы программами, процессами или другими системами (для сети) в соответствии с политикой безопасности.
Доступ - выполнение субъектом некоторой операции над объектом из множества разрешенных для данного типа.
Пример: чтение, открытие, запись набора данных, обращение к устройству и т.д.
Контроль должен осуществляться при доступе к:
- оперативной памяти;
- разделяемым устройствам прямого доступа;
- разделяемым устройствам последовательного доступа;
- разделяемым программам и подпрограммам;
- разделяемым наборам данных.
Основным объектом внимания средств контроля доступа являются совместно используемые наборы данных и ресурсы системы. Совместное использование объектов порождает ситуацию "взаимного недоверия" при которой разные пользователи одного объекта не могут до конца доверять друг другу. Тогда, если с этим объектом что-нибудь случится, все они попадают в круг подозреваемых.
Существует четыре основных способа разделения субъектов к совместно используемым объектам:
1. Физическое - субъекты обращаются к физически различным объектам (однотипным устройствам, наборам данных на разных носителях и т.д.).
2. Временное - субъекты с различными правами доступа к объекту получают его в различные промежутки времени.
3. Логическое - субъекты получают доступ к совместно используемому объекту в рамках единой операционной среды, но под контролем средств разграничения доступа, которые моделируют виртуальную операционную среду "один субъект - все объекты"; в этом случае разделение может быть реализовано различными способами разделение оригинала объекта, разделение с копированием объекта и т.д.
4. Криптографическое - все объекты хранятся в зашифрованном виде, права доступа определяются наличием ключа для расшифрования объекта.
Существует множество различных вариантов одних и тех же способов разделения субъектов, они могут иметь разную реализацию в различных средствах защиты.
Контроль доступа субъектов системы к объектам (не только к совместно используемым, но и к индивидуальным) реализуется с помощью тех же механизмов, которые реализуют ДВБ и осуществляется процедурами ядра безопасности.
II.4.5. Принципы реализации политики безопасности.
Группирование.
Группирование - объединение множества субъектов под одним групповым именем; всем субъектам, принадлежащим одной группе, предоставляются равные права. Принципы объединения пользователей в группы:
ссылки на одни и те же объекты;
одинаковый характер вычислений;
работа над совместным проектом и т.д.
Один субъект может входить в несколько групп и иметь разные права доступа к объекту.
Возможна иерархическая реализация группирования:
субъект – член нескольких групп, которые являются подмножествами других групп.
Контроль групп, создание и присвоение привилегий – обязанности руководителя группы или администратора безопасности.
Правила умолчания.
Принимаются конкретным средством защиты, но схожи для большинства;
Если используется древовидная файловая структура, нужно учитывать во внимание правила умолчания для каталогов.
Минимум привилегий.
Каждый пользователь и процесс должны иметь минимальное число привилегий, необходимых для работы.
Один из основополагающих принципов.