1) Списки полномочий субъектов (Profile)

В данной модели полномочия доступа субъекта представляются в виде списков (цепочек) соответствующих значений для всех объектов, к которым он имеет доступ (любого вида). это равносильно представлению матрицы по строкам с исключением ячеек, имеющих пустые значения.

Такое представление матрицы доступа называется профилем (profile) субъекта.

В системах с большим количеством объектов профили могут иметь большие размеры и, вследствие этого, ими трудно управлять; изменение профилей нескольких субъектов может потребовать большого количества операций и привести к трудностям в работе системы. поэтому профили обычно используются лишь администраторами безопасности для контроля работы субъектов.

2) Списки контроля доступа (Access Control List)

Чаще всего матрицу доступа хранят по столбцам, то есть для каждого объекта поддерживается список допущенных субъектов вместе с их правами. Элементами списка могут быть имена групп и шаблоны субъектов, что несомненно помогает администратору. Некоторые проблемы возникают при удалении субъекта, когда приходится удалять его имя из всех списков доступа.

Списки доступа – исключительно гибкое средство. Посредством списков несложно добавить права или явным образом запретить доступ.

3) Aggregate Access Control List

Если объектов в системе очень много, то задать вручную перечень прав каждого субъекта на доступ к объекту достаточно сложно. Поэтому матрица доступа может агрегироваться, например:

в качестве субъектов оставляются только исходные пользователи, а в соответствующую ячейку матрицы помещаются функции, результат вычисления которых определяет права доступа субъекта, порожденного пользователем, к объекту О. Эти функции могут изменяться во времени. В частности, возможно изъятие прав после выполнения некоторого события.

4) Role-Based Access Control, RBAC

При большом количестве пользователей управление доступом становится крайне сложным для администрирования, так как число связей в системе пропорционально произведению количества пользователей на количество объектов. Необходимы решения в объектно-ориентированном стиле, способные эту сложность понизить, например, ролевое управление доступом. Модель РУД является развитием дискреционной модели. В ней права доступа субъектов системы на объекты группируются с учетом специфики их применения, образуя роли. Для каждого пользователя одновременно могут быть активными несколько ролей, каждая из которых дает ему определенные права. Как правило, РУД применяется в системах защиты современных СУБД, отдельные элементы РУД реализуются в сетевых ОС (группы на локальном уровне или контейнеры на уровне домена).

2. Полномочная/мандатная модель уровней безопасности

Для реализации принудительного управления доступом с субъектами и объектами ассоциируются метки безопасности. Метка субъекта описывает его благонадежность, метка объекта - степень конфиденциальности содержащейся в нем информации.

Согласно "Оранжевой книге", метки безопасности состоят из двух частей - уровня секретности и списка категорий. Уровни секретности образуют упорядоченное множество, категории - неупорядоченное. Назначение последних - описать предметную область, к которой относятся данные.

Принудительное (мандатное) управление доступом основано на сопоставлении меток безопасности субъекта и объекта. Для этого:

• все субъекты и объекты системы должны быть однозначно идентифицированы

• каждому объекту системы присвоена метка критичности, определяющая ценность содержащейся в ней информации

• каждому субъекту системы присвоен уровень прозрачности или уровень доступа (security clearance), определяющий максимальное значение метки критичности объектов, к которым субъект имеет доступ

Если значения меток субъекта и объекта одинаковы, то они принадлежат одному уровню безопасности. Организация меток имеет иерархическую структуру. Чем важнее объект, тем выше его метка критичности. Самыми защищенными оказываются объекты с наиболее высокими значениями метки критичности.

Каждый субъект, кроме уровня прозрачности, имеет текущее значение у­ро­вня безопасности – уровень конфиденциальности, который может изменяться от некоторого минимального значения до значения его уровня прозрачности.

Субъект может читать информацию из объекта, если уровень секретности субъекта не ниже, чем у объекта, а все категории, перечисленные в метке безопасности объекта, присутствуют в метке субъекта. В таком случае говорят, что метка субъекта доминирует над меткой объекта. Смысл сформулированного правила прост - читать можно только то, что разрешено.

Субъект может записывать информацию в объект, если метка безопасности объекта доминирует над меткой субъекта. В частности, "конфиденциальный" субъект может записывать данные в секретные файлы, но не может - в несекретные.

Такой способ управления доступом называется принудительным, поскольку он не зависит от воли субъектов (даже системных администраторов). После того, как зафиксированы метки безопасности субъектов и объектов, становятся фиксированными и права доступа.

Основное назначение принудительной политики безопасности – регулиро­вание доступа субъектов системы к объектам с различным уровнем критич­ности и предотвращение утечки информации с верхних уровней должностной иерархии на нижние, а также блокирование возможных проникновений с ниж­них уровней на верхние. При этом часто она функционирует на фоне избирательной политики, придавая ее требованиям иерархически упорядоченный характер (в соответствии с уровнями безопасности).

Примером является система контроля доступа, принятая в военном ведомстве США, где уровнями доступа являются уровни секретности – несекретно, конфиденциально, секретно, совершенно секретно. Внутри отдельных уровней секретности определены категории для выделения разделов данных, требующих специального разрешения на доступ к ним. Для получения доступа к данным определенной категории, субъект должен иметь не только доступ к данным соответствующего уровня по степени секретности, но и разрешение на доступ по категории.