4.2.7. Отображение политики среди взаимодействующих ссб

При реализации процедур УД в период обмена запросами доступа между взаимодействующими ССБ, иногда возникает необходимость отображения и трансляции ВИУД, которая привязана к запросу доступа. Это может быть след­ствием того, что взаимодействующие ССБ имеют различные структуры ВИУД, или потому, что одна и та же ВИУД имеет различную интерпретацию, завися­щую от политики обеспечения безопасности. Примерами данных, которые мо­гут отображаться между взаимодействующими ССБ, являются:

• идентификаторы пользователей, групп или ролевого объекта (например, пользователь А в ССБ Х может быть идентифицирован как пользователь ХА в ССБ Y);

• ролевые объекты и их атрибуты (например, администратор безопасно­сти в частной (корпоративной) сети, присоединённой к сети общего пользования, может быть идентифицирован в сети общего пользования как администратор безопасности присоединённой сети);

• идентификаторы пользователей для исполнения ими конкретных ролей или для участия в группе (например, все пользователи частной (корпора­тивной) сети могут быть исполнять в сети общего пользования роли при­соединённых пользователей).

4.3. Вспомогательная информация и средства уд

4.3.1. ВИ для УД

Различные типы ВИУД включают данные об инициаторе, целевом объ­екте, запросе доступа, процессе, объекте обработки и контекстно-зависимые данные. ВИУД может понадобиться при взаимодействии реальных систем, ко­торое может быть частью реализации функции УД. Когда такое информацион­ное взаимодействие имеет место, то очень важно, чтобы взаимодействующие объекты договорились о понимании абстрактного синтаксиса.

(Примечание. С целью обеспечения максимальной функциональной со­вместимости реальных систем необходима стандартизация структуры ВИУД. Иная ВИУД, которая не нуждается в стандартизации (например, хранимая ВИПР), в дан­ном стандарте не рассматривается.)

Выбор необходимой ВИУД зависит от выбранной политики обеспечения безопасности.

4.3.1.1. Виуд об инициаторе

ВИУД об инициаторе содержит данные об инициаторе.

Примеры содержания ВИУД об инициаторе могут быть следующие:

1. параметр подлинности пользователя для УД;

2. идентификатор иерархической группы, членство в которой продеклариро­вано;

3. идентификатор функциональной группы, членство в которой продеклариро­вано;

4. идентификаторы ролевых объектов, которые могут быть выбраны;

5. метки критичности;

6. метки обеспечения целостности.

(Примечание. Параметр подлинности пользователя для УД не обязательно будет таким же, как и при аутентификации, аудите или загрузке. Параметр под­линности пользователя для УД является уникальным в пространстве имён, опре­деляемом ЦБ ССБ.)

4.3.1.2. ВИУД о целевом объекте

ВИУД о целевом объекте содержит данные о целевом объекте.

Примеры ВИУД о целевом объекте могут быть следующие:

1. параметры подлинности целевого объекта для УД;

2. метки критичности;

3. метки обеспечения целостности;

4. идентификатор контейнера, который транслирует данные в целевом объ­екте.

4.3.1.3. ВИУД о запросе доступа

ВИУД о запросе доступа содержит данные о запросе доступа.

Примеры ВИУД о запросе доступа могут быть следующие:

1. разрешённый класс процедуры (например, чтение, запись);

2. уровень целостности, требуемый для использования процедуры;

3. тип данных процедуры.

4.3.1.4. ВИУД об объекте обработки

ВИУД об объекте обработки содержит данные об объекте обработки в за­просе доступа.

Примеры ВИУД об объекте обработки могут быть следующие:

1. метки критичности;

2. метки обеспечения целостности.

4.3.1.5. Контекстно-зависимая информация

Примеры контекстно-зависимой информации могут быть следующие:

1. периоды времени: доступ может быть предоставлен только в точно опреде­лённые периоды времени (день, неделя, месяц, год и т.д.);

2. маршрут: доступ может быть предоставлен только в том случае, когда мар­шрут отвечает требуемым параметрам и характеристикам;

3. местонахождение: доступ может быть предоставлен только инициаторам, размещённым в определённых системах, использующим определённые рабочие станции или терминалы, или только тем инициаторам, которые имеют определённое физическое местонахождение;

4. состояние системы: доступ может быть предоставлен только при опреде­лённой ВИПР, и когда система находится в соответствующем состоянии (например, период восстановления после катастрофы);

5. уровень аутентификации: доступ может быть предоставлен только тогда, когда используемые способы аутентификации имеют, по крайней мере, достаточный уровень;

6. другие варианты доступа, которые в текущий момент времени могут быть предоставлены тем или иным инициаторам.