15. Вероятностная модель безопасности информационных потоков.

Безопасность информационных потоков — набор требований и правил, направленных на определение того, какие информационные потоки в системе являются разрешёнными, а какие нет. Данная модель не является самостоятельной, и используется в дополнение к мандатной или дискреционной модели управления доступа.

Информационный поток

Информационным потоком от объекта O (источник) к объекту O’ (приёмник) называется преобразование информации в объекте O , зависящее от информации в объекте O. Любая обработка информации внутри информационной системы происходит посредством данных потоков. Утечка информации также происходит только с помощью информационных потоков, а значит есть необходимость уметь разделять потоки на разрешенные (безопасные, не приводящие к утечке данных) и запрещенные (небезопасные, потенциально ведущие к утечке).

Решаемые проблемы

Рассмотрим основные проблемы мандатного управления доступа, решаемые использованием модели безопасности информационных потоков - проблему деклассификации и наличия скрытого канала.

Деклассификация

Проблема состоит в том, что в некоторых случаях, объект может понизить свой уровень доступа не нарушая формальных правил. Если перед этим данный объект возьмет под свой контроль некоторую информацию, то таким образом он переведет данную информацию на более низкий уровень секретности. Фактически произошло прямое нарушение свойства * ("запрет записи вниз"), но формально все правила были соблюдены. Если напрямую запретить возможность создания информационных потоков между соответствующими объектами, то после деклассификации объект с информацией не сможет никому передать полученные данные, не смотря на наличие разрешающего мандата.

 Скрытый канал

При анализе возможных информационных потоков необходимо составить полный список всех возможных потоков в системе. Поскольку скрытый канал для передачи данных обрабатывает информацию, то соответствующий информационный поток будет в этом списке. Если все потоки, которые потенциально могут вести к утечке информации будут запрещены, то скрытый канал будет неработоспособен.

Вероятностная модель безопасности информационных потоков

Ниже представлена одна из возможных систем, демонстрирующая основные идеи модели безопасности информационных потоков. В рассматриваемой модели объекты системы принадлежат трем группам:

Объекты, обрабатывающие информацию высокого уровня конфиденциальности H

Объекты, обрабатывающие информацию низкого уровня конфиденциальности L

Объекты системы защиты ∑

Все объекты из ∑ относятся к H, поскольку они обеспечивают защиту, то они должны иметь доступ к информации высокого уровня конфиденциальности.

Обозначим h мгновенное состояние всех объектов из H в данный конкретный момент. Поскольку возможное количество состояний конечно, то есть возможность пронумеровать их, после чего возможно оценить вероятность возникновения того или иного состояния объектов. Обозначим вероятность возникновения любого конкретного состояния p(H). Аналогичную вероятность для объектов, обрабатывающих информацию низкого уровня конфиденциальности, обозначим p(L).

Информационная невыводимость

Компьютерная система соответствует требованиям информационной невыводимости, если для p(H)>0 и p(L)>0, справедливо неравенство p(H|L)>0.

Сформулировать данное требование можно так: если есть вероятность перехода объектов, обрабатывающих информацию высокого уровня конфиденциальности, в состояние H, и есть вероятность перехода объектов, обрабатывающих информацию низкого уровня конфиденциальности, в состояние L, то есть и вероятность того, что объекты, которые обрабатывают информацию высокого уровня конфиденциальности, перейдут в указанное состояние после того, как объекты, обрабатывающие информацию низкого уровня конфиденциальности, перейдут в свое состояние.

Неравенство нулю условной вероятности p(l|h) означает, что требование отсутствия выводимости высокоуровневой информации на основе анализа состояний низкоуровневых объектов, одновременно приводит и к обратному, т. е. отсутствию возможностей выводимости низкоуровневой информации из анализа состояний высокоуровневых объектов. Данное свойство является избыточным и противоречит основным положениям мандатной политики, а именно – неопасности и допустимости потоков"снизу вверх" от низкоуровневых сущностей к сущностям с более высокими уровнями безопасности.

Нетрудно видеть, что полная изоляция разноуровневых сущностей системы является тривиальным и далеко не всегда приемлемым решением проблемы безопасности, так как существенно ограничивает функциональные возможности КС.

Другой подход, основывается на идеологии Информационное невлияние

Компьютерная система соответствует требованиям информационного невлияния (без учета времени), если для p(H)>0 и p(L)>0, справедливо равенство p(L|H)=p(L).

Данное требование можно сформулировать следующим образом: если есть вероятность перехода объектов, обрабатывающих информацию высокого уровня конфиденциальности, в состояние H, и есть вероятность перехода объектов, обрабатывающих информацию низкого уровня конфиденциальности, в состояние L, то вероятность того, что объекты, которые обрабатывают информацию высокого уровня конфиденциальности, перейдут в указанное состояние не зависит от того, перейдут ли объекты, обрабатывающие информацию низкого уровня конфиденциальности в свое состояние, или нет.

на состояние высокоуровневых объектов в текущий момент времени не влияет состояние низкоуровневых объектов в предшествующий момент времени. Иначе говоря, разноуровневые объекты не имеют возможности влиять на последующие состояния объектов другого (не своего) уровня

Данное требование более сильное, чем требование информационной невыводимости - выполнение требования информационного невлияния, автоматически влечет выполнения требования информационной невыводимости.

Требование информационного невлияния (с учетом времени), является более общим, и указывает на то, что некоторые влияние одной части системы на другую возможно. Например, если ведется журнал доступа (объект, обрабатывающий информацию высокого уровня конфиденциальности), то обращение к некоторому файлу будет зафиксировано в данном журнале, а следовательно будет изменено состояние H, путем изменения состояния L. Требование информационного невлияния (с учетом времени) позволяет не отказываться от использования журнала (и прочих средств защиты).

Вместе с тем, анализ процессов функционирования КС показывает, что соотношения являются также чрезвычайно жесткими, фактически совпадающими с требованиями полной изоляции разноуровневых сущностей. Выполнение соотношений может вступать в определенных ситуациях в противоречие с требованиями обеспечения безопасности информации не только в смысле конфиденциальности, но и в смысле ее законной доступности, сохранности. В частности, для обеспечения сохранности информации в КС может использоваться журнал фиксации текущих изменений всех объектов системы с целью обеспечения возможностей восстановления информации при сбоях и разрушениях. Ясно, что данный объект должен быть высокоуровневым, а его состояние должно зависеть от информации в предшествующий момент времени как высокоуровневых, так и низкоуровневых объектов. Более того, из данного примера видно, что с точки зрения безопасности информации могут быть обоснованными и обратные ситуации, когда значение низкоуровневого объекта в текущий момент времени определено значением высокоуровневого объекта в предыдущий момент времени, в частности, при восстановлении из высокоуровневого журнала изменений КС значения низкоуровневого файла после сбоя или разрушения последнего.