Методы ограничения доступа к информации.

В модель информационной безопасности введены определения объекта и субъекта доступа. Каждый объект имеет некоторые операции, которые над ним может производить субъект доступа, и которые могут быть разрешены или запрещены данному субъекту или множеству субъектов. Возможность доступа обычно выясняется на уровне операционной системы КС и определяется архитектурой операционной системы и текущей политикой безопасности. Для удобства описания методов и средств разграничения доступа субъектов к объектам введем некоторые понятия.

Метод доступа к объекту - операция, определенная для данного объекта. Ограничение доступа к объекту связано именно с ограничением возможных методов доступа.

Владелец объекта - субъект, которому принадлежит (создан им) объект и который несет ответственность за конфиденциальность содержащейся в объекте информации, а также за доступ к объекту.

Право доступа к объекту - право на доступ к объекту по одному или группе методов доступа.

Разграничение доступа - совокупность правил, определяющая для каждой тройки субъект-объект-метод наличие или отсутствие права доступа по указанному методу.

Существует несколько моделей разграничения доступа. Наиболее распространенными являются:

• дискреционная модель разграничения доступа;

• полномочная (мандатная) модель разграничения доступа.

Дискреционная модель, или избирательное разграничение доступа; характеризуется следующим набором правил:

• для любого объекта существует владелец;

• владелец может произвольно ограничивать доступ субъектов к данному объекту;

• для каждой тройки субъект-объект-метод возможность доступа определена однозначно;

• существует хотя бы один привилегированный пользователь (администратор), имеющий возможность обратиться к любому объекту по любому методу доступа.

В этой модели для определения прав доступа используется матрица доступа, строки которой - субъекты, а столбцы - объекты. В каждой ячейке хранится набор прав доступа данного субъекта к данному объекту. Типичный объем матрицы доступа для современной операционной системы составляет десятки мегабайт.

Полномочная (мандатная) модель характеризуется следующим набором правил:

• каждый объект имеет гриф секретности. Чем выше его числовое значение, тем секретнее объект;

• каждый субъект доступа имеет уровень допуска.

Допуск субъекта к объекту в этой модели разрешен только в том случае, если субъект имеет значение уровня допуска не менее, чем, , значение грифа секретности объекта. Достоинством этой модели является отсутствие необходимости хранить большие объемы информации о разграничении доступа. Каждый субъект хранит только значение своего уровня доступа, а каждый объект - значение своего грифа секретности.

Отметим, что политика безопасности такой популярной операционной системы, как Windows XP, поддерживает обе модели разграничения прав доступа.

Методы мониторинга несанкционированных действий

Политика безопасности предполагает контроль за работой КС и ее компонентов, который заключается в фиксировании и последую­щим анализе событий в специальных журналах - журналах аудита.

Периодически журнал просматривается администратором операционной системы или специальным пользователем – аудитором, которые анализируют сведения, накопленные в нем.,

Если обнаружится успешная атака, то очень важно выяснить, когда и как она была проведена, не исключено, что это можно будет сделать по журналу аудита.

К подсистеме аудита предъявляются следующие требования:

1. Только сама КС может добавлять записи в журнал аудита. Это исключит возможность компрометации аудитором других пользователей.

2. Ни один субъект доступа, в том числе и сама КС, не может редактировать или удалять записи в журнале.

3. Журнал могут просматривать только аудиторы, имеющие соответствующую привилегию.

4. Только аудиторы могут очищать журнал. После очистки в него обязательно вносится запись о времени и имени пользователя, очистившего журнал. Должна поддерживаться страховая копия журнала, создаваемая перед очисткой. При переполнении журнала операционная система прекращает работу и дальнейшая работа может осуществляться до очистки журнала только аудитором.

5. Для ограничения доступа должны применяться специальные средства защиты, которые предотвращают доступ администратора и его привилегии по изменению содержимого любого файла.

Желательно страховую копию журнала сохранять на WORM-CD, исключающих изменение данных.

Для обеспечения надежной защиты операционной системы в журнале должны регистрироваться следующие события:

• попытки входа/выхода пользователей из системы;

• попытки изменения списка пользователей;

• попытки изменения политики безопасности, в том числе и политики аудита.

Окончательный выбор набора событий, фиксируемых в журнале, возлагается на аудитора и зависит от специфики информации, обрабатываемой системой. Слишком большой набор регистрируемых событий не повышает безопасность, а уменьшает, так как среди множества записей можно просмотреть записи, представляющие угрозы безопасности.

13