6.2. Анализ компонент распределенной системы

Анализ и оценка защиты распределенных систем, как единого целого, предполагает анализ частей, а затем построение оценки защищенности всей системы в целом. Анализ компонент и синтез единой оценки защищенности всей системы необходим также при модернизации системы, при замене старых компонент новыми, при синтезе системы из блоков или частей, для того, чтобы иметь возможность использовать разработки различных производителей, для доказательства существования NTCB, удовлетворяющей требованиям ОК.

При анализе возникают две проблемы.

1 . Как разделить сеть так, чтобы из анализа и оценки компонент можно построить оценку защищенности системы в целом.

2. Какими критериями надо пользоваться при анализе компонент и как из результатов для компонент синтезировать общую оценку.

В предыдущем пункте мы наметили контуры ответа на первый вопрос. В случае, когда декомпозиция происходит так, что в каждой компоненте реализован монитор обращения, то, при выполнении условий теоремы предыдущего пункта, во всей системе есть монитор обращения. Тогда гипотетическое объединение распределенной системы в единую вычислительную систему, как это было обозначено выше, позволяет провести анализ наличия всех остальных функций NTCB. И наоборот, декомпозиция единой гарантированно защищенной вычислительной системы из предыдущего пункта так, что в любой компоненте реализован монитор обращений, позволяет рассредоточить функции NTCB по различным компонентам.

В "Красной книге" допускается, что ТСВ любого класса (с соответствующими оговорками) может быть синтезирована из реализации 4 функций:

• поддержки дискреционной политики (Д);

• поддержки мандатного контроля (М);

• функции идентификации/аутентификации (I);

• аудита (А).

Исходя из этого, предполагается, что любая подсистема защиты, подлежащая отдельной оценке и экспертизе на предмет встраивания в распределенную систему, должна удовлетворять внутри себя условиям теоремы пункта 6.1 и выполнять некоторый набор из перечисленных функций (всего имеется 16 вариантов таких наборов). При наличии этих свойств подсистема может быть компонентой распределенной сети и входить в NTCB. Приведем примеры включения таких подсистем.

Пример 1. Пусть дана М - компонента (то есть подсистема, единственной функцией которой является поддержка мандатного контроля доступа). Пусть также эта подсистема обладает монитором обращений, оценена как самостоятельная система по классу А1. Тогда ее можно включить как компоненту в гарантированно защищенную распределенную систему обработки информации, например, для выполнения функций многоуровневой коммутации пакетов. Покажем это на схеме, взятой из "Красной книги".

Рис. 18. Схема многоуровневой коммутации пакетов

На приведенной схеме показана взаимосвязь М-компоненты с другими компонентами и, в частности, с подсистемами ТСВ. Минимальное взаимодействие необходимо с системой аудита.

Пример 2. Данный пример из "Красной книги" показывает использование Д-компоненты в качестве одноуровневого файлового сервера сети.

Рис. 19. Использование Д-компоненты в качестве одноуровневого файлового сервера сети

В этом примере обозначение С2+ показывает, что система может быть оценена по классу С2, но иметь дополнительные функции, которые присущи дискреционной политике и аудиту в классе ВЗ и выше. (Дополнительно требуется выполнение функции блокировки при превышении числа опасных событий выше порога, матрица запрещенных доступов и т.д.)

Пример 3. В данном примере мы покажем использование компоненты I для организации интерфейса с несекретными пользователями. Основная функция компоненты - контроль доступа терминала. Вся работа по аутентификации пользователя проводится в этой компоненте, а затем в разрешение доступа и аудиторскую информацию переписываются только идентификаторы вместе с соответствующей информацией.

Рис. 20. Использование компоненты I для организации интерфейса с несекретными пользователями

Пример 4. В рассматриваемом примере, также взятом из "Красной книги", А - компонента выполняет функцию сбора одноуровневой АИ в сети. Обозначение C2+ показывает, что в системе, классифицированной уровнем С2, выполняются дополнительные (по классу ВЗ) функции.

Рис. 21. Пример из "Красной книги"