45966 (Обеспечение системы документооборота), страница 8

При выполнении вышеперечисленных требований этот метод обладает следующими

достоинствами:

Утечка защищаемой информации из комплекса невозможна.

Обеспечивается защита хранимой информации при получении нарушителем физического

доступа к комплексу.

Есть уверенность в том, что при разработке комплекса туда не было встроено

закладок.

Возможность предусмотреть оптимальную настройку комплекса под нужды и специфику

конкретного учреждения.

Главным недостатком является чрезвычайно высокая сложность реализации проекта.

Такую задачу невозможно выполнить за приемлемое время и с приемлемыми

экономическими затратами.

Основным достоинством организационного метода является, напротив, простота

реализации с точки зрения программиста. Для реализации этого метода необходимо

разработать правила, регламентирующие работу пользователей, и систему

административных мер, ограничивающих доступ к комплексу, соблюдение которых

полностью исключает утечку информации. При этом нет необходимости применять

какие-либо криптографические средства, разрабатывать дополнительные программные

модули. Однако, в этом случае к каждому компьютеру необходимо будет поставить

круглосуточную охрану или убирать его в сейф. Также этот метод не

предусматривает защиты от ошибок пользователей, которые могут повлечь за собой

утечку или разрушение защищаемой информации. Кроме того, при помощи

административных мер трудно обеспечить действенную защиту информации от потери в

результате сбоев системы.

Применение третьего, программно-организационнго метода, несомненно, оптимально.

Комбинируя административные меры со специально разработанными программными

средствами можно получить достаточно надежную защиту при разумной затрате сил и

средств. Следуя этому методу, разработчик может выбирать какие механизмы защиты

можно реализовать программно, а какие проще решить при помощи административных

санкций. Этот метод имеет ряд достоинств. Вот основные:

Разработчик может обеспечить защиту от ошибок пользователя при помощи специально

разработанных программных средств.

Достаточно просто организуется защита хранимой информации припомощи

сертифицированных криптографических средств.

Защиту от модификации имеющегося ПО и от закладок можно реализовать при помощи

административных ограничений и использованием контрольных сумм.

Как и любой другой метод, комбинация организационных и программных средств имеет

свои недостатки. Главным из них является трудность выбора границы между этими

средствами. Необходимо найти "золотую середину", которая будет отражать

оптимальное использование как административных, так и программных средств. Также

необходимо убедиться, что совокупность используемых средств защиты полностью

обеспечивает защиту информации от утечки, потери, модификации.

Итак, проанализировав вышеперечисленные методы обеспечения безопасности

информации, а также требования предъявляемые к системе защиты СД МТ, надо

отметить необходимость создания некоторых специальных программных средств для

обеспечения безопасности, несмотря на то, что большинство мер СЗИ от НСД можно

реализовать с помощью средств, предоставляемых ПО, служащим основой для

разрабатываемой СД МТ, (примером может служить дискреционное управление

доступом, обеспечиваемое ОС Windows NT), или с помощью специальных программных

комплексов и средств, таких как межсетевые экраны или сканеры безопасности,

создаваемых компаниями специализирующимися на разработках в области

информационной безопасности, а также некоторого набора организационных мер.

Создаваемое СПО призвано не заменить существующие механизмы и средства защиты, а

напротив, усилить их, позволяя обеспечить соответствие выбранному классу защиты.

В настоящем дипломном проекте основное внимание уделяется управлению доступом к

данным, конкретно – реализации механизма мандатного управления доступом.

2.1.5. Управление доступом

Под управлением доступом понимается процесс регулирования использования ресурсов

АС. Управление доступом включает решение следующих задач:

идентификацию пользователей, персонала и ресурсов АС;

установление подлинности субъектов и объектов, допускаемых к использованию

ресурсов АС;

проверку полномочий субъектов на доступ к защищаемым ресурсам;

регистрацию (протоколирование) обращений к защищаемым ресурсам;

реакцию на несанкционированные действия.

Рассмотрим подробнее общие вопросы проверки полномочий доступа, так как данному

вопросу в основном и посвящен настоящий ДП.

2.1.5.1. Проверка полномочий субъектов на доступ к ресурсам

После положительного установления подлинности пользователя (и системы со стороны

пользователя) система должна осуществлять постоянную проверку полномочий

поступающих от субъектов запросов. Проверка полномочий заключается в определении

соответствия запроса субъекта предоставленным ему правам доступа к ресурсам.

Такую процедуру часто называют "контроль полномочий" или "контроль доступа".

При создании механизмов контроля доступа необходимо, прежде всего, определить

множества субъектов доступа, активных ресурсов, осуществляющих какие-либо

действия над другими ресурсами, и объектов доступа, пассивных ресурсов,

используемых субъектом доступа для выполнения операций. Субъектами могут быть,

например, пользователи, задания, процессы и процедуры. Объектами - файлы,

программы, семафоры, директории, терминалы, каналы связи, устройства, блоки ОП и

т.д. Субъекты могут одновременно рассматриваться и как объекты, поэтому у

субъекта могут быть права на доступ к другому субъекту. В конкретном процессе в

данный момент времени субъекты являются активными элементами, а объекты -

пассивными. Для осуществления доступа к объекту субъект должен обладать

соответствующими полномочиями. Полномочие есть некий символ, обладание которым

дает субъекту определенные права доступа по отношению к объекту, область защиты

определяет права доступа некоторого субъекта ко множеству защищаемых объектов и

представляет собой совокупность всех полномочий данного субъекта. При

функционировании системы необходимо иметь возможность создавать новые субъекты и

объекты. При создании объекта одновременно создается и полномочие субъектов по

использованию этого объекта. Субъект, создавший такое полномочие, может

воспользоваться им для осуществления доступа к объекту или же может создать

несколько копий полномочия для передачи их другим субъектам. Непосредственная

реализация контроля прав доступа обычно выполняется с помощью матриц доступа.

При использовании матричной модели доступа условия доступа каждого субъекта s к

каждому объекту o определяются содержимым элемента матрицы доступа или матрицы

установления полномочий M. Каждый элемент Mij матрицы доступа M определяет права

доступа i-го субъекта к j-му объекту (читать, писать, выполнять, нельзя

использовать и т.п.). Пример матрицы доступа приведен на рисунке 2.3. Элементы в

матрице доступа имеют следующие значения: r - чтение, w - запись, е -

выполнение, 0 - нельзя использовать.

o1o2…on

s1rw w

s2rwrw 0

…

snerwe we

Рисунок 2.3. Пример матрицы доступа.

Элементы матрицы доступа могут содержать указатели на специальные процедуры,

которые должны выполняться при обращении субъекта к объекту. Решение о доступе в

этом случае осуществляется на основании результатов выполнения процедур,

например:

решение о доступе в данный момент времени основывается на анализе предыдущих

доступов к другим объектам;

решение о доступе основывается на динамике состояния системы (права доступа

субъекта зависят от текущих прав доступа других субъектов);

решение о доступе основывается на значении определенных переменных, например,

на значении таймера.

Необходимо отметить, что строка M[s,*] содержит список разрешенных операций

субъекта s по отношению ко всем объектам (список возможностей), а столбец M[*,o]

- определяет, какие субъекты имеют права доступа к объекту o и какие именно

права доступа (список доступа).

Размерность матрицы доступа зависит от количества субъектов и объектов в системе

и может быть достаточно большой. Для уменьшения размерности матрицы доступа

могут применяться различные методы:

установление групп субъектов, называемых кликами, каждая из которых

представляет собой группу субъектов с одинаковыми правами;

установление групп терминалов по классам полномочий (клики терминалов);

группировка объектов по уровням категорий (например, по уровням секретности);

хранение списка пар вида (o, f), где о - защищаемый объект, а f - разрешение

на использование его субъектом.

Перечисленные методы и другие, им подобные, могут применяться как по

отдельности, так и в совокупности.

В процессе функционирования системы множества субъектов и объектов могут

динамически изменяться. Такие изменения могут происходить, например, в

результате появления новых субъектов и объектов, уничтожения субъектов и

объектов и изменения прав доступа субъектов к объектам. Соответственно, в

процессе функционирования системы должна изменяться и матрица доступа. Динамика

изменения множествсубъектов и объектов, а также матрицы доступа при выполнении

некоторых операций представлена в таблице 2.2.

В таблице 2.2: S – множество субъектов; O – множество объектов, причем S

принадлежит O; M[s,o] – матрица доступа. Элементами матрицы M являются права

доступа g, принадлежащие G. Изменившиеся множества помечены штрихом.

Таким образом, при создании субъекта s' этот субъект вводится в состав элементов

множеств S и О. В матрице доступа появляется новая строка, соответствующая

новому субъекту: М'[s,о] = M[s,о]. M'[s',о] = 0; M'[s',s] = 0, так как субъект

создан, но его права по отношению к существующим субъектам и объектам не

определены. Матрицы доступа в той или иной степени используются во многих

защищенных системах.

Таблица 2.2.

Исходное состояниеОперацияРезультирующее состояние

S, O, M

s'  OСоздание субъекта s'S'= S  {s'}, O' = O  {s'}

M'[s,o] = M[s,o], s  S, o  O

M'[s',o] = 0, o  O'

M'[s',s] = 0, s  S'

S, O, M

o'  OСоздание объекта o'S'=S, O' = O  {o'}

M'[s,o] = M[s,o], s  S, o  O

M'[s,o'] = 0, s  S'

S, O, M

s'  SУничтожение субъекта s'S'= S  {s'}, O'= O  {s'}

M'[s,o] = M[s,o], s  S', o  O'

S, O, M

o'  O

o'  SУничтожение объекта o'S' = S, O' = O  {o'}

M'[s,o] = M[s,o], s  S', o O'

S, O, M

s  S

o  OВведение права g в М[s,o]S'=S, O' = O

M'[s,o] = M[s,o]  {g}

M'[s',o'] = M[s',o'], если (s',o')  (s',o')

S, O, M

s  S

o  OУдаление права g из М[s,o]S'=S, O' = O

M'[s,o] = M[s,o]  {g}

M'[s',o'] = M[s',o'], если (s',o')  (s',o')

Расширением матричной модели доступа является многоуровневая модель доступа.

Объекты в многоуровневой модели имеют различные уровни доступа (например, уровни

секретности), а субъекты – степени допуска. Разрешение допуска субъекта к

объекту является функцией от степени допуска конкретного субъекта и уровня

допуска конкретного объекта. Многоуровневая модель доступа создана на основе

теории алгебраических решеток. Данные могут передаваться между субъектами, если

выполняются следующие правила (здесь буквами а, b и с обозначим идентификаторы

субъектов, а буквами х, у и z, соответственно, их уровни доступа).

Данные могут передаваться субъектом самому себе:

x <= x (2.1. а)

Данные могут передаваться от субъекта а к субъекту с, если они могут

передаваться от субъекта a к субъекту b и от субъекта bк субъекту с:

если x <= у и y <= z, то x <= z (2.1. б)

Если х <= у и у <= х, то x = y (2.1. с)

Отметим, что рассмотренные правила представляют, соответственно, свойства

рефлективности, транзитивности и антисимметричности.

Примером использования многоуровневой модели доступа является система контроля

доступа, принятая в военном ведомстве США (рисунок 2.4). Уровнями доступа

выступают уровни секретности: НЕСЕКРЕТНО, КОНФИДЕНЦИАЛЬНО, СЕКРЕТНО, СОВЕРШЕННО

СЕКРЕТНО. Внутри отдельных уровней секретности для выделения разделов данных,

требующих специального разрешения на доступ к ним, определены категории: