11.4. Формальное построение модели защиты: пример

11.4.1. Описание объекта защиты

Рассмотрим пример АС, объединяющей несколько подразделений предприятия (рис. 11.1). В каждом подразделении имеется своя иерархически построенная локальная сеть, объединяющая одноранговые сети отделов. Сеть подразделения выполнена по звездообразной структуре, сети отделов имеют кольцевидную структуру. В сети подразделения имеется ряд серверов: информационный, почтовый и т.д. Сеть подразделения находится в пределах контролируемой зоны, связь между подразделениями обеспечивается посредством криптографически закрытых каналов связи. Безопасность сети подразделения обеспечивается должностным лицом — администратором сети, за безопасность всей АС отвечает должностное лицо — администратор системы.

Рассматриваемая АС предоставляет информационно-справочные и информационно-расчетные услуги должностным лицам подразделений (пользователям) и обеспечивает ведение юридически значимого электронного документооборота. Кроме того, существует набор административных и защитных механизмов (подсистем), играющий вспомогательную роль.

В АС может обрабатываться информация различного уровня конфиденциальности. Пользователи имеют различные полномочия по доступу к информации, поэтому данная АС должна относиться к классу защищенности 1Г (или 1Д) согласно РД Гостежо-миссии [3]. Это налагает ограничения снизу по необходимости реализации средств и механизмов зашиты.

Среди функций АС выделим:

• создание и удаление пользователей вместе со всеми атрибутами безопасности информации, а также их личными записями;

• изменение полномочий пользователей;

• администрирование прав и других атрибутов защиты (пароли, ключи шифрования и электронной цифровой подписи);

• корректное создание, передача и обработка инструкций, выполненных в электронной форме, отображение результатов работы, в том числе на внешних носителях.

Рис. 11.1 Структура гипотетической автоматизированной системы (АС)

Компонентами АС являются объекты, реализующие логически законченную функциональность, например персональные компьютеры, серверы баз данных, серверы электронной почты и т.д. Угрозы информационной безопасности и риски индивидуальны для каждого компонента, но каждый компонент должен подчиняться единым правилам — политике безопасности системы. Причем эти правила должны быть едиными не только для сети масштаба подразделения, но и для всей рассматриваемой АС. Именно этим вызвана необходимость введения в рассмотрение должностного лица — администратора системы.

11.4.2. Декомпозиция ас на субъекты и объекты

Выполним декомпозицию АС на субъекты и объекты. Согласно [26], под субъектом понимается «лицо или процесс, действия которого регламентируются правилами разграничения доступа»; Таким образом, субъект — активная компонента АС. Учитывая, что согласно субъектно-объектной модели субъекты порождаются из объектов, мы будем понимать под субъектами процессы, а субъектов — физических лиц — называть пользователями.

Объект — «единица информационного ресурса автоматизированной системы, доступ к которой регламентируется правилами разграничения доступа» [26]. Объектом может быть и поле базы данных, и целая локальная сеть — все зависит от детализации рассмотрения. Правила разграничения доступа (ПРД) — «совокупность правил, регламентирующих права доступа субъектов дот ступа к объектам доступа». Еще в «Оранжевой книге» была приведена аксиома безопасности, гласящая, что все вопросы безопасности определяются ПРД субъектов к объектам.

Все программные, аппаратные, людские компоненты АС являются ее ресурсом. Так как в данном пункте рассматривается только защита от НСД техническими мерами, под ресурсом АС будем понимать программную среду. Владельцем ресурса АС является предприятие. Объекты сети существуют в ресурсе и представляют, собой данные, несущие информацию о ресурсе, в них скрыты также потенциальные субъекты АС. В самом деле, применив операцию «исполнение» к какому-либо объекту, мы активизируем субъекта. Объекты существуют в АС и «при выключенном питании» (хотя, естественно, могут быть объекты в оперативной памяти). Субъекты существуют только в оперативной памяти и инициализируются при включении питания компьютеров сети.

При этом происходит цепочка порождений субъектов: пользователь включает питание, при загрузке операционной системы, порождается первый, субъект, который порождает следующие субъекты, и т.д. Порядок порождения субъектов при включении, питания компьютера может быть изображен в виде дерева, в корне которого находится пользователь, а в листьях — пользовательские процессы. Порождение субъектов всей сети в целом, так же как и одного компьютера в процессе работы, может быть изображено лесом деревьев.

Субъект может иметь право на доступ к объекту для выполнения различных операций. Основные из них принято считать «чтение», «запись», «выполнение». Объект сам, как правило, не «может знать» прав доступа к нему, поэтому для осуществления доступа субъект обращается к другому субъекту, монитору обращений (монитору ссылок). Будем называть в дальнейшем монитор обращений администратором. Администратор в общем случае сопоставляет права доступа данного субъекта к данному объекту с записанным в таблице (при дискреционных ПРД) или сравнивает уровень конфиденциальности субъекта и объекта (при мандатных ПРД) и разрешает либо запрещает доступ.

Субъекта-администратора целесообразно декомпозировать на администраторов, выполняющих отдельные функции. Например, в работе [43] принята такая декомпозиция:

• администратор разграничения доступа (АРД), выполняющий функции монитора обращений;

• администратор процессов (АП), выполняющий функции МБС, описанного выше;

• администратор управления доступом (АУД), выполняющий сервисные функции по управлению доступом (например, генерация и доведение до пользователей атрибутов безопасности, паролей, ключей и т.п.).

АРД состоит из ряда администраторов, размещающихся на различных уровнях эталонной модели взаимодействия открытых систем — от сетевого до уровня представления данных.

Рис. 11.2. Взаимодействие субъектов, объектов и администраторов

Программными администраторами управляют администраторы — физические лица:

• администратор сети (АС) — пользователь, обладающий дополнительными полномочиями по управлению функциями безе опасности; именно от его имени запускаются субъекты-администраторы;

• администратор системы, отвечающий за безопасность информации во всей АС ВН в целом.

На рис. 11.2 изображено взаимодействие субъектов, объектов и администраторов. Показан также собственник, который и указывает администраторам ПРД к объектам (разрабатывает или утверждает политику безопасности).