- 87 -

сегмента КС, при котором некоторым субъектам доступны ресурсы управляемых рабочих мест (такова, например, конфигурация одноранговой сети с разделяемыми (SHARED) объектами коллективного доступа).

Конфигурация 10 не представляет интереса, поскольку описывает классический случай изменения локального ОУ локальным субъектом управления.

Конфигурация 11 является функциональным объединением конфигураций

9 и 10.

Конфигурации 13-15 рассматривают либо распределенный объект управления, либо разделенный ОУ (в этом случае необходимо рассматривать объединение рассмотренных конфигураций).

Ниже последовательно детализируем различные варианты технологий управления и рассмотрим их особенности.

Будем учитывать также возможность существования в КС таких ЛС КС, для которых не установлены никакие средства защиты и потенциально доступны удаленные объекты управления.

3.3. Система удаленного управления безопасностью в отсутствии локального объекта управления

Данная конфигурация соответствует конфигурации 5 таблицы 1. В данном случае важно, что ЛС КС не имеет объекта управления, объект управления принадлежит внешнему сегменту КС и создается субъектом внешнего сегмента.

Технически удобно реализовать работу субъекта управления в рамках другого ЛС КС (рабочего места администратора); субъект управления будет создавать ОУ где-либо во внешнем сегменте, доступном субъектам локальной КС.

Утверждение 3 (необходимое условие 1 для создания системы корректного управления)

Необходимым условием для выполнения МБО заданной политики безопасности в рамках ЛС КС при наличии локальных объектов и выделении во множестве потоков непустого подмножества легальных потоков к локальным объектам является наличие в удаленном ОУ элементов, описывающих потоки между субъектами и локальными объектами.

Доказательство Первоначально определим область применения утверждения. Если все

множество потоков к локальным объектам является либо разрешенным, либо запрещенным (либо такие объекты отсутствуют), то ОУ может не включать потоков к локальным объектам, поскольку для любого локального объекта делается однозначный вывод о доступе к нему.

Если же есть хотя бы один локальный объект, к которому разрешен или запрещен доступ, то данный поток должен быть описан в ОУ.

От противного. Пусть МБО выполняет заданную ПБ. Для определенности предположим, что некоторый поток Stream(Si, Ok)->Om описан как нелегальный, тогда если в ОУ данный поток не указан, то МБО не сможет запретить данный

- 88 -

поток в случае его возникновения, а следовательно, и реализовать ПБ. Противоречие.

Несмотря на то, что данное утверждение является достаточно очевидным, оно, тем не менее, описывает важную техническую проблему, возникающую при управлении МБО и МБС. Проблема заключается в необходимости доступа к объектам ЛС КС при формировании удаленного ОУ со стороны удаленного управляющего субъекта.

Как видно из условий сформулированного выше утверждения, можно выделить две основные разновидности управления при существовании удаленного ОУ - управление при пустом множестве либо L, либо N и управление при непустом множестве L и N для ЛС КС.

В первом случае администратор при помощи субъекта управления изменяет удаленный ОУ, который включает только потоки между удаленными субъектами и удаленными объектами. Как правило, данная конфигурация реализуется в сетях с одним или несколькими серверами (т.е. в случае наличия ресурса общего пользования, где и находится ОУ).

Во втором случае управляющий субъект должен иметь доступ к объектам ЛС КС. Рассмотрим два способа организации доступа к объектам ЛС КС для внешнего субъекта.

1.Постоянный доступ к объектам ЛС КС при помощи локального субъекта (субъект обеспечения постоянного доступа).

2.Транспортировка информации об объектах ЛС КС к какому-либо удаленному объекту во время стартового периода работы пользователя при помощи локального субъекта.

Две конфигурации отличаются только интервалом времени активности локального субъекта, при помощи которого осуществляется доступ УС.

Способ постоянного доступа к объектам ЛС КС требует активности некоторого локального субъекта, управляемого удаленным субъектом администрирования. Основной проблемой в данном случае является возможность управления локальным субъектом со стороны злоумышленника. Вполне очевидно, что для включения в ОУ потоков между любым объектом и субъектом локальный субъект (управляемый удаленным субъектом администрирования) должен иметь доступ ко всем объектам ЛС КС. В этом случае (см. часть 4) субъект внешнего злоумышленника будет иметь такой же доступ также ко всем объектам ЛС КС. Канал управления в данном случае является и каналом НСД.

Уменьшить или блокировать возможности удаленного злоумышленника (в частности, полностью исключить возможности изменения объектов ЛС КС (доступ на запись)) возможно, если субъект постоянного доступа имеет доступ только на чтение к объектам ЛС КС.

Для обеспечения корректного управления необходимо отсутствие злоумышленных субъектов во всей КС. Достаточным условием для этого является существование ИПС на каждом ЛС КС и наличие МБО, запрещающее доступ к объектам ЛС КС любого субъекта, кроме управляющего. Докажем это.

- 89 -

Утверждение 4 (необходимое условие 2 для создания системы корректного управления)

Пусть в КС выделяется конечное множество ЛС КС и объединение всех субъектов и объектов ЛС КС составляет все множество субъектов и объектов КС. В случае существования локального субъекта постоянного доступа в любой ЛС КС и наличии управляющего удаленного субъекта достаточным условием корректного управления является существование ИПС с контролем целостности объектов источников в рамках каждого ЛС КС и существование МБО в рамках каждой ЛС КС, запрещающего доступ любого локального субъекта к удаленному ОУ (кроме субъекта управления).

Доказательство Выберем произвольный ЛС КС. Возможны два случая - в составе

субъектов ЛС КС есть субъект управления, либо субъект управления отсутствует.

Первый случай.

В каждом ЛС КС (также и в рассматриваемом) генерируется ИПС с контролем неизменности объектов источников, следовательно, реализуются только потоки, разрешенные МБО, по условию утверждения доступ к ОУ невозможен.

Второй случай. В ИПС возможны только потоки, разрешенные МБО, аналогично, по условию утверждения доступ разрешен только субъекту управления.

Утверждение доказано.

Данное утверждение структурно конкретизирует предыдущее утверждение, описывая условия, при которых корректно управление в КС, разделяемой на несколько ЛС КС.

На практике выполнение условий данного утверждения возможно только в топологически замкнутой КС (например, ЛВС, которая построена как топологически замкнутая сеть - т.е. подключение дополнительных рабочих станций без защитных субъектов (МБО, МБС) невозможно).

Как отмечалось выше, доступ на чтение к объектам ЛС КС при наличии субъекта полного доступа в ряде случаев нежелателен. Исходя из этого, требуется уточнить ПБ в части запрета доступа к локальным объектам одного ЛС КС со стороны субъектов другого ЛС КС.

Легко видеть, что предыдущее утверждение в этом случае дополняется реализацией в локальном МБО правила запрета потоков между локальным субъектом и удаленным объектом, принадлежащим другому ЛС КС локальному объекту (к части объектов потоки могут быть разрешены). Информация о разрешенных потоках может храниться в удаленном ОУ.

Необходимо остановиться на работе пользователя-злоумышленника. Особенность в данном случае состоит в том, что пользователь пытается реализовать потоки, не описанные в ОУ (для множества L). В случае существования удаленного объекта управления он может осуществить данную цель следующим образом.

- 90 -

Поскольку удаленный ОУ описывается некоторым положением в общедоступном удаленном ресурсе хранения (путем), а путь к ОУ для локального МБО является ассоциированным объектом, то возможны действия по корректировке данного пути таким образом, чтобы он указывал на локальный объект управления. Необходимо отметить также, что методы логического преобразования ОУ (с целью его предназначения данному пользователю - например, дополнение электронной цифровой подписи к ОУ на личном ключе администратора и проверка на его открытом ключе) решают проблему лишь частично, поскольку субъект МБО, принадлежащий ЛС КС, может быть изменен с редуцированием данных проверок. Следовательно, ИПС в рамках каждого ЛС КС в данном случае является не только достаточным, но и необходимым условием корректного управления.

3.4.Система управления безопасностью при локальном объекте управления

ипри удаленном управляющем субъекте

Рассматриваемая конфигурация является некой “смысловой инверсией” ранее рассмотренной. Для нее можно сформулировать аналогичные утверждения, связанные со свойствами ОУ.

Утверждение 5

Необходимым условием для выполнения МБО заданной политики безопасности в рамках ЛС КС при наличии локальных объектов и выделении во множестве потоков непустого подмножества легальных потоков к удаленным объектам является наличие в локальном ОУ элементов, описывающих потоки между субъектами и удаленными объектами.

Доказательство данного утверждения аналогично доказательству предыдущего утверждения.

Вданной конфигурации управления также возникает проблема доступа к объектам ЛС КС при формирования локального ОУ со стороны удаленного управляющего субъекта, причем в данном случае кроме доступа к локальным объектам на чтение необходим и доступ на запись для коррекции локального ОУ. Следовательно, данная конфигурация является более сложной с точки зрения обеспечения корректного управления.

Как видно из условий сформулированного утверждения, можно, как и ранее, выделить две основные разновидности управления при существовании локального ОУ - управление при пустом множестве либо L, либо N и управление при непустом множестве L и N для удаленного сегмента КС.

Впервом случае администратор при помощи субъекта управления изменяет (создает) локальный ОУ, который включает только потоки между локальными субъектами и локальными объектами.

Во втором случае управляющий субъект должен иметь доступ к объектам ЛС КС. Аналогично предыдущему случаю рассмотрим два способа организации доступа к объектам ЛС КС для внешнего субъекта.

1. Постоянный доступ к объектам ЛС КС при помощи локального субъекта.