Глава 3

Ниже приводятся результаты применения модели к иерархическим системам, причем под иерархическими понимаются такие системы, в ко­торых данный субъект имеет разрешенный доступ ко всем объектам, до­ступ к которым имеют субъекты, стоящие в иерархии ниже данного. Рас­смотрены три вида иерархии:

1. кольцевая структура, в которой субъекты представлены совокуп­ ностью концентрических колец, причем субъект, относящийся к внутрен­ нему кольцу, имеет разрешенный доступ ко всем объектам, к которым имеют разрешенный доступ все субъекты, относящиеся к внешним (относительно данного) кольцам, а доступ в обратном направлении не должен разрешаться;

2. двоичная симметричная структура типа дерева, в которой каж­ дый субъект представлен только одним узлом дерева, причем каждый субъект должен иметь разрешенный доступ ко всем объектам, к которым имеют разрешенный доступ все субъекты, расположенные ниже данного в иерархической структуре, но не имеют доступа к объектам, к которым имеют доступ субъекты более высоких уровней иерархии;

3. произвольные структуры с частичным упорядочением.

Для названных видов иерархии получены следующие результаты:

1. в системах с кольцевой структурой, в которых выполняется усло­ вие /В/=/А/=и, с монотонным механизмом доступа при S"_n(f)<U присвоение кода, удовлетворяющего сформулированным выше услови­ ям кольцевой структуры, максимизирует абсолютную и относительную степень защиты при выполнении следующих условий: в присвоении ис­ пользуется р!"„(/) минимальных кодов объектов, где P!"_n(f) - так назы­ ваемый уровень линейной иерархии (для различных механизмов доступа вычисляется по различным зависимостям и составляет 1 - 6); присвоение кодов осуществляется шаг за шагом, начиная с внутреннего кольца, до­ бавляя каждый раз 1 бит, для чего разработана специальная алгоритми­ ческая процедура; субъекты по кодам доступа распределяются с макси­ мально возможной равномерностью;

2. в системах с двоичной симметричной структурой типа дерева оп­ тимальное (т. е. удовлетворяющее условиям доступа в иерархии и макси­ мизирующее абсолютную и относительную степени защиты) присвоение кодов доступа достигается итерационной процедурой, на каждом шаге которой объекты дерева делятся на два класса так, чтобы выделенные поддеревья находились в различных классах;

3. для произвольных иерархических структур с частичным упорядо­ чением доказано, что нижней оценкой числа неразрешенных доступов

Угрозы и методология оценки уязвимости информации

является п/2 ([п/с{]_цел -1), где п - число узлов в иерархической структуре, a d - число возможных кодов доступа.

Рассмотрим далее теоретико-эмпирический подход к оценке уязви­мости информации.

В § 3.4 было показано, что все необходимые показатели уязвимости могут быть вычислены на основе так называемых базовых показателей.

По определению, базовым является показатель уязвимости инфор­мации в одном структурном компоненте АСОД относительно одного дестабилизирующего фактора и относительно одного нарушителя одной категории (для факторов, связанных с злоумышленными действиями лю­дей).

Для определения базовых показателей уязвимости различных видов применяются так называемые аналитические модели, которые позволяют определять искомые величины (в данном случае - показатели уязвимости информации) путем проведения вычислений по заранее установленным (выведенным) зависимостям.

Ниже приводятся некоторые такие аналитические модели.

а) Нарушение физической целостности информации. В соответствии с приведенной на рис. 3.9 общей моделью процесса нарушения физи­ческой целостности информации введем следующие обозначения: Р _iex-вероятность того, что на вход 1-го структурного компонента поступает информация с нарушенной целостностью; Pgk ^ц - вероятность того, что целостность информации, находящейся (обрабатываемой, хранимой, пе­редаваемой) в z-m структурном компоненте, будет нарушена под воздей­ствием у'-го дестабилизирующего фактора и (в случае злоумышленных действий людей) относительно одного нарушителя k-й категории. Для тех дестабилизирующих факторов, которые не связаны с злоумышленными действиями людей, индекс "А:"игнорируется, т.е. значения Pg_k ^ц для всех k одинаковы и зависят только от i и7 ; Р ^Ч yk выл - вероятность того, что целостность выходящей из г'-го компонента информации нарушена под воздействием у'-го дестабилизирующего фактора и (в случае злоумышлен­ных действий людей) относительно одного нарушителя k-к категории (относительно индекса "k" справедливо высказанное выше замечание).

Нас, естественно, интересует наличие нарушения целостности вы­ходной информации, т.е. величина Р ^ _№К. В соответствии с теоремой умножения вероятностей случайных событий эта величина может быть выражена следующей зависимостью: