Зегжда Д.П. Информационная безопасность
Подождите немного. Документ загружается.
говорим, что имеет место отказ службы. Реально блокирование может быть постоянным,
так чтобы запрашиваемый ресурс никогда не был получен, или оно может вызвать
только задержку запрашиваемого ресурса, достаточно долгую для того, чтобы он стал
бесполезным. В таких случаях говорят, что ресурс исчерпан.
2.1.2 Субъекты, объекты и доступ.
Под сущностью мы будем понимать любую именованную составляющую
компьютерной системы.
Субъект будет определяться как активная сущность, которая может инициировать
запросы ресурсов и использовать их для выполнения каких-либо вычислительных
заданий. Под субъектами мы будем обычно понимать пользователя, процесс или
устройство.
Объект будет определяться как пассивная сущность, используемая для хранения или
получения информации. Примеры объектов: записи, блоки, страницы, сегменты, файлы,
директории, биты, байты, слова, терминалы, узлы сети и т.д.
Хотя основную концепцию идентификации субъектов и объектов в системе описать
просто, при практической реализации часто бывает не тривиальной задачей определить:
что есть субъект, а что — объект. Например, в ОС процессы, конечно, являются
субъектами, в то время как файлы и связанные с ними директории — объектами. Однако,
когда субъекты получают коммуникационные сигналы от других субъектов, встает
вопрос, рассматривать ли их как субъекты или же, как объекты.
Обозначим в дальнейших рассуждениях произвольное множество субъектов при
помощи символа S, а произвольное множество объектов при помощи символа О.
В процессе исполнения субъекты исполняют операции. При исполнении субъектами
операций происходит взаимодействие субъектов и объектов. Такое взаимодействие
называется доступом. Доступ — это взаимодействие между субъектом и объектом, в
результате которого происходит перенос информации между ними. Существуют две
фундаментальные операции, переносящие информацию между субъектами и объектами.
Под операцией чтения понимается операция, результатом которой является перенос
информации от объекта к субъекту. Под операцией записи понимается операция,
результатом которой является перенос информации от объекта к субъекту. Данные
операции являются минимально необходимым базисом для описания широкого круга
моделей, описывающих защищенные системы.
2.1.3 Уровни безопасности, доверие и секретность.
Уровень безопасности определяется как иерархический атрибут, который может быть
ассоциирован с сущностью компьютерной системы для обозначения степени
чувствительности в смысле безопасности. Данная степень чувствительности может
помечать, например, степень ущерба от нарушения безопасности данной сущности в
компьютерной системе.
Когда в системе существуют такие иерархические отношения, то требуется некий
механизм, помечающий основное содержимое компьютерной системы, чтобы
безопасностная чувствительность была известна. Один из путей достижения этого —
ассоциировать каждую составляющую компьютерной системы с уровнем
безопасности.
Например, в военном деле набор уровней состоит из неклассифицированной
информации, конфиденциальной, секретной и особо секретной. Иерархия уровней
безопасности в военном деле устанавливается тем фактом, что особо секретная
информация рассматривается как вышестоящая над секретной, которая, в свою очередь
стоит выше конфиденциальной, а последняя стоит выше неклассифицированной.
Для представления уровней безопасности введем простые математические
структуры и соотношения. Обозначим множество уровней безопасности символом L;
иерархическое отношение между различными элементами L описываются символами:
"<" , "<", ">" и ">". L может рассматриваться как полностью упорядоченное множество
(т.е. любые два элемента L можно сравнить для определения того, равны они, или какой-
то из них больше другого).
Доверие определяется как атрибут, задающий чувствительность субъекта к
безопасности; секретность определяется как атрибут объекта, обозначающий
чувствительность к безопасности. Эти концепции можно представить при помощи
проекции субъектов и объектов на уровни безопасности посредством двух простых
функций: clearance и classification.
Областью значений каждой из функций является множество L. Функция clearance
определена на множестве S, а classification определена на множестве О. Эти функции
записываются в виде:
clearance: S→L
classification: 0→L
2.1.4 Политики и модели безопасности.
Определив в параграфе 2.1.2 понятие доступа, рассмотрим правила доступа субъектов
к объектам в компьютерной системе. Для этого введем понятие политики безопасности.
Политика безопасности подразумевает множество условий, при которых пользователи
системы могут получить доступ к информации и ресурсам. Таким образом, политика
безопасности определяет множество требований, которые должны быть выполнены в
конкретной реализации системы.
Очевидно, для проведения желаемой политики безопасности в системе должны
присутствовать соответствующие механизмы. В большинстве случаев механизмы
безопасности содержат некоторые автоматизированные компоненты, зачастую
являющиеся частью базового вычислительного окружения (операционной системы), с
соответствующим множеством процедур пользователя и администратора.
Теперь рассмотрим понятие модели безопасности. В то время, как политика
безопасности — это множество требований для конкретной системы, модель
безопасности — это абстрактное описание поведения целого класса систем, без
рассмотрения конкретных деталей их реализации. В результате, модели безопасности
являются полезным инструментарием при разработке определенных политик.
Политика безопасности компьютерной системы может быть выражена формальным и
неформальным образом.
Для неформальных политик безопасности широкое распространение получило
описание правил доступа субъектов к объектам в виде таблиц, наглядно
представляющих правила доступа. Обычно такие таблицы подразумевают, что
субъекты, объекты, и типы доступа для данной системы определены. Это позволяет
составить таблицу в виде одной колонки для различных определенных типов доступа, и
одной колонки для соответствующего отношения, которое должно соблюдаться между
субъектом и объектом для данного типа доступа.
Преимуществом такого способа представления политики безопасности является
то, что она гораздо легче для понимания малоквалифицированных пользователей и
разработчиков пользователями, чем формальное описание, т.к. для ее понимания не
требуется специальных математических знаний. Это снижает уровень помех,
создаваемых безопасностью в использовании данной системы. Основным
недостатком, однако, является то, что при такой форме представления гораздо легче
допустить логические ошибки, а более сложные выражения будет затруднительно
представить в табличной форме. Использование неформальных примечаний для
разрешения такого рода проблем только увеличивает вероятное появления ошибки.
Особенно это справедливо для политики безопасности нетривиальных систем,
подобных многопользовательским операционным системам.
В результате разработчики (а в дальнейшем и пользователи) безопасных
компьютерных систем начали использовать более формальные средства для описания
политик безопасности.
Чаще всего в основе формальных политик безопасности лежат модели
безопасности. Преимуществом формального описания является отсутствие противоречий
политике безопасности, и возможность теоретического доказательства безопасности
системы при соблюдении всех условий политики безопасности.
2.1.5 Анализ безопасности программ.
Как было показано в первой главе одним из важнейших аспектов проблемы
информационной безопасности компьютерных систем является противодействие РПС.
Существуют несколько подходов к решению этой задачи:
- создание специальных программных средств, предназначенных исключительно для
поиска и ликвидации конкретных видов РПС(типа антивирусных программ);
- проектирование ВС, архитектура и модель бeзoпаcности которых либо в принципе
не допускает существование РПС, либо ограничивает область их активности и
возможный ущерб;
- создание и применение методов и средств анализа программного обеспечения на
предмет наличия в них угроз информационной безопасности ВС и элементов РПС.
Первый подход не может привести к удовлетворительным результатам, т.к.
борется только с частными проявлениями сложной проблемы. Второй подход имеет
определенные перспективы, но требует серьезной переработки концепции ОС и их
безопасности, что связано с огромными затратами.
Поэтому наиболее эффективным представляется третий подход, позволяющий путем
введения обязательной процедуры анализа безопасности программ, достаточно надежно
защитить наиболее важные системы от РПС. Процедуру анализа программного
обеспечения на предмет наличия в них угроз информационной безопасности ВС будем
называть анализом безопасности программного обеспечения. Данный подход требует
разработки соответствующих теоретических моделей программ, ВС и РПС, создания
методов анализа безопасности и методик их применения. В п.2.3 предлагается
предложенный авторами оригинальный подход к формальной постановке задачи анализа
безопасности программ и классификация методов анализа безопасности на основе
объектно-ориентированного подхода.
2.2. Модели безопасности.
На основании материала, изложенного в предыдщем параграфе, нам необходимо
разработать формальное описание политик безопасности, используемых при защите
вычислительных системы от угроз, описанных нами в параграфе 2.1. Так как мы не
будем говорить о какой-то конкретной вычислительной системе, то как было сказано
нами в предыдущем параграфе, мы будем говорить не о политиках, а о моделях
безопасности.
Для того, чтобы перейти к описанию моделей безопасности, необходимо обозначить
принципы их построения, т.е. построить их классификацию. Предлагаемая
авторами классификация моделей безопасности построена по принципу используемых
в описании модели понятий субъекта и объекта. Данная классификация отражает
принципы постепенного семантического уточнения характеристик субъектов и
объектов модели. Семантическое уточнение касается как уточнения особенностей
описания фундаментальных операций доступа, используемых субъектами системы, так
и введения в модель новых типов доступа с соответствующими ограничениями на
них. Еще одной важной характеристикой, по которой могут быть классифицированы
модели, является характеристики множества субъектов и объектов системы.
Классификация моделей безопасности представлена в таблице 2.1.
Номер
Модели
Характеристики
типа
Субъекта-объекта
в модели
Операции,
Используемые
В модели
Особенности
Операций
доступа
Субъектов к
Объектам
Комментарии Модель
секретности,
Представитель
класса
Модель
Целостности,
представитель
Класса
1 Унитарный субъект-
Унитарный объект
READ,
WRITE
Обеспечивается
хорошее
разделение
субъектов друг
от друга
Модели
дискретного
доступа
Модель
Кларка-
Вилсона
2 Множество
унитарных
субъектов и
множество
унитарных объектов
упорядочены в
соответствии с
уровнями
безопасности
сущностей
READ,
WRITE
Ограничения
накладывваютс
я на
простейшие
операции
READ, WRITE
Модель Белла-
Лападула
Модель Биба
3 В множестве
субъектов имеются
доверенные
субъекты
READ,
WRITE
Доверенные
субъекты не
подчиняются
ограничениям
на операции
READ,
WRITE,
определенные в
модели 2
Модель
доверенных
субъектов
-
4 Субъекты
выполняются на
нескольких
устройствах
обработки
READ,
WRITE
Операции
READ,
WRITE могут
быть
удаленными
Удаленный
характер
операций
READ, WRITE
может вызвать
противоречия
Модели
распределенных
систем(синхронные
и асинхронные)
-
в модели 2
5 Переход системы из
состояния в
состояние в один
момент времени
может
осуществляться под
воздействием более
одногго субъекта
READ,
WRITE
В один момент
времени
несколько
субъектов могут
получить
доступ к
нескольким
объектам
Модели
распределенных
систем
(асинхронные)
6 Субъекты модели
имеют сложную
структуру
READ,
WRITE, SET
ACTIVE
SUBJECT
Субъект может
получить
доступ к
другому
субъекту как к
объекту
Субъекты
модели
включают в
свое описание
объектную
часть. По
данному
принципу
строятся
системы,
основанные на
передаче
сообщений.
Мощность
объединения
множества
субъектов и
объектов не
постоянна.
7 Мощность множеств
субъектов и
объектов мдели
динамически
изменяется
READ,
WRITE,
CREATE,
DELETE
В описание
модели
включены
операции
CREATE и
DELETE
Мощность
объединения
множества
субъектов и
объектов не
постоянна
8 Субъекты могут
выполнять
специализированные
операции над
объектами сложной
структуры
READ,
WRITE,
CREATE,
DELETE,
операции над
объектами
специфической
структуры
Кроме
простейших
операций в
модели могут
появиться
операции,
направленные
на
специфичную
Модель
защищенности
сети. Модель
MMS.
обработку
информации
9 Накладываются
ограничения на ввод
и вывод
информации
субъектов системы
READ,
WRITE
Ог раничения
накладываются
на поток
информации
Модели
невмешательства,
модель
невыводимости.
10 Субъекты и объекты
модели имеют
вероятностные
характеристики
READ,
WRITE
Вероятностные
характеристики
операций
доступа
Вероятностные
модели
Таблица 2.1. Классификация моделей безоасности.
Следует отметить, что в настоящем параграфе модели рассматриваются в
соответствии с типом угроз, от которых защищают системы, синтезированные на
основании данных моделей. В параграфе 2.2.1 рассматриваются модели, защищающие от
угрозы раскрытия информации. В параграфе 2.2.2 описаны математические основы
моделей контроля целостности информации. На основании данных моделей можно
синтезировать политики безопасности используемые в системах, имеющих защиту от
атак, связанных с угрозами целостности информации. И, наконец, в параграфе 2.2.3,
описаны теоретические принцип синтеза механизмов, используемых при синтезе
политик безопасности для систем, предотвращающих угрозы отказ служб.
В соответствии с классификацией, приведенной таблице 1, простейшими моделями
являются модели, в описании которых используется понятие унитарного субъекта и
объекта. Данным моделям, моделям разграничения доступа, посвящен параграф
2.2.1.1. В моделях дискретного доступа не делается никаких предположений о
характеристиках субъектов и объектов системы.
Описание моделей безопасности дано на формальном уровне. Рассуждения и
доказательства в основном ведутся в терминах взаимоотношений субъект-объект,
описанных нами в первом параграфе.
Необходимо отметить, что в параграфе 2.2.1.3 приведены специализированные
модели. Их формальное описание лежит на грани между моделью и политикой
безопасности вследствие того, что в него включены особенности систем, для которых
данное описание было разработано. Мы отнесли данные описания к моделям
безопасности, т.к. данные описания обладают достаточной степенью абстрактности и
могут быть перенесены на другие типы систем без потери общности.
В параграфе 2.2.2.2 описана модель Кларка-Вилсона. Данная модель является примером
неформальной мoдeли безопасности со всеми ее недостатками и достоинствами.
2.2.1 Модели разграничения доступа.
Модели разграничения доступа служат для синтеза политик безопасности,
направленных на предотвращение угрозы раскрытия, заключающейся в том, что
информация становится известной тому, кому не следовало бы ее знать. Данные модели
могут быть классифицированы следующим образом:
- модели разграничения доступа, построенные по принципу предоставления прав
(модели 1 -8 из таблицы 1);
- модели разграничения доступа, построенные на основе принципов теории
информации Шеннона (модель 9 из таблицы 1);
- модели разграничения доступа, построенные на основе теории вероятностей (модель
10 из таблицы 1).
В дальнейших пунктах мы рассмотрим модели разграничения доступа, построенные
на основании перечисленных выше принципов.
2.2.1.1 Модели разграничения доступа, построенные по принципу предоставления
прав.
Модели разграничения доступа, построенные по принципу предоставления прав
являются самой естественной основой для построения политик разграничения доступа.
Система, политика безопасности которой построена на основании данного принципа,
впервые была описана в литературе в середине шестидесятых годов.
Неформально право доступа может быть описано как "билет", в том смысле, что
владение "билетом" разрешает доступ к некоторому объекту, описанному в билете.
Основными типами моделей, построенных на предоставлении прав, являются
модели дискретного (2.2.1.1.1) и мандатного (2.2.1.1.2.) доступа. Модели данного типа
используются в большинстве реальных систем, синтезированных в настоящее время.
Требования, на которых основаны данные модели, лежат в основе требований,
сформулированных в различных государственных нормативных документах.
2.2.1.1.1 Модели дискретного доступа.
В основе моделей дискретного доступа (DAC) с различными модификациями лежат
следующие идеи. Система защиты представляется в виде некоторого декартова
произведения множеств, составными частями которых являются интересующие автора
модели составные части системы защиты, например: субъекты, объекты, уровни доступа,
операции и т.д. В качестве математического аппарата выбирается аппарат теории
множеств. Рассмотрим эти модели подробнее.
Одна из первых моделей безопасности была модель АДЕПТ-50[7]. В ней
представлено четыре типа сущностей: пользователи(u), задания(j), терминалы(t) и
файл(f), причем каждая сущность описывается тройкой (L, F,М), включающим
параметры безопасности:
Уровень безопасности L — скаляр — элементы из набора иерархически
упорядоченных уровней безопасности.
Полномочия F— группа пользователей, имеющих право на доступ к определенному
объекту.
Режим М — набор видов доступа, разрешенных к определенному объекту или
осуществляемых объектом. Пример: ЧИТАТЬ ДАННЫЕ, ПРИСОЕДИНЯТЬ ДАНЫЕ,
ИСПОЛНИТЬ ПРОГРАММУ.
Если U={u} обозначает набор всех пользователей, известных системе, а F(i) — набор
всех пользователей имеющих право использовать объект i, то для мoдели
формулируются следующие правила:
1. Пользователь u получает доступ к системе uY
2. Пользователь u получает доступ к терминалу t uF(t), т.е. в том и только в том
случае, когда пользователь u имеет право использовать терминал t.
3. Пользователь u получает доступ к файлу J A(j)≥A(f), C(j)C(f), M(j)M(f) и
uF(f), т.е. только в случае:
- привилегии выполняемого задания шире привилегий файла или равны им;
- пользователь является членом F(f).
Трехмерный кортеж безопасности, полученный основе прав задания, а не прав
пользователя, используется в модели для управления доступом. Такой подход