3. Ож қорғау құралдарын аппаратты қамтамасыздандыру

Операциялық жүйені қорғау құралдарын аппаратты қамтамасыздандыру деп келесі есептерді шешу үшін қолданылатын құралдар мен әдістер жиынтығы түсіндіріледі:

6. компьютердің оперативті және виртуальды жадысын басқару;

7. көпесепті операциялық жүйеде есептер арасында процессорлық уақытты бөлу;

8. көпесепті операциялық жүйеде параллель есептердің орындалуын синхрондау;

9. операциялық жүйе ресурстарына есептердің бірлескен қатынауының түзетілуін қамтамасыз ету;

10. операциялық жүйе ресурстарына есептердің бірлескен қатынауы кезінде тұйыққа тірелу жағдайының болмауы.

4. Операциялық жүйені қорғаудың ішкі жүйесінің типтік архитектурасы

Операциялық жүйені қорғаудың ішкі жүйесінің типтік архитектурасы келесі негізгі функциялардан тұрады:

1. Қатынауды шектеу. Жүйенің әр қолданушысы оған ағымдағы қауіпсіздік саясатымен сәйкес рұқсат берілген операциялық жүйе объектілеріне ғана қатынай алады.

2. Идентификация және аутентификация. Бір де бір қолданушы жүйеге өзін шынымен де сол адам екенін дәлелдейтін аутентификациялық ақпарат бермей немесе өзін идентификацияламай, операциялық жүйемен жұмысын бастай алмайды.

3. Аудит. Операциялық жүйе арнайы журналда жүйенің қауіпсіздігін қолдау үшін әлеуметтік қауіпті жағдайларды тіркейді. Бұл жағдайлар жайлы жазбаларды бұдан кейін тек қана операциялық жүйенің администраторлары қарастырады.

4. Қауіпсіздік саясатын басқару. Қауіпсіздік саясаты әрдайым адекватты қалыпта болуы керек, яғни операциялық жүйелердің жұмыс істеу шарттарын өзгертуге, жүйеде өңделген және сақталған ақпаратты қорғауға қойылатын талаптарға және басқаларға әсер етуі тиіс. Қауіпсіздік саясатын басқару операциялық жүйеде тұрғызылған, сәйкес құралдарды жүйе администраторларының қолдануымен жүзеге асырылады.

5. Криптографиялық функциялар. Операциялық жүйеде шифрлеу байланыс каналы бойынша қолданушылардың парольдері мен жүйенің қауіпсіздігі үшін кейбір қиын мәліметтерді беру мен сақтауда қолданылады.

6. Желілік функциялар.

«Қызғылт кітап» С2 қорғалу стандартын қанағаттандыратын кез келген операциялық жүйе барлық жоғарыда келтірілген функцияларды орындайтын қорғаудың ішкі жүйесінен тұруы тиіс.

4.1 Операциялық жүйе объектілеріне қатынауды шектеу

Қатынау объектісі – қолданушылар мен қатынаудың кейбір субъектілеріне еркін қатынау шектелген, операциялық жүйенің кез келген элементі.

Объектіге қатынау әдісі – кейбір объектілер үшін анықталған операция (мысалы, файлдар үшін «оқу», «жазба» және т.б. қатынау әдістері анықталуы мүмкін).

Қатынау субъектісі – объектілермен операциялар орындауды инициирлеуге қабілетті кез келген мән.

Субъектілердің объектілерге қатынауын шектеу – әр «субъект-объект-әдіс» үштігі үшін берілген әдіс бойынша берілген субъектінің берілген объектіге қатынауына рұқсат беруді анықтайтын ережелер жиынтығы.

Суперқолданушы – объектілерге қатынау шегінің ережесін елемеуге мүмкіндігі бар субъект.

4.2 Қатынауды шектеу ережелері

Қатынауды шектеу ережелері келесі талаптарды қанағаттандыруы тиіс:

1) операциялық жүйе орнатылған, өндірісте қабылданған, ұқсас ережелерге сәйкестену;

2) қатынауды шектеу ережесі операциялық жүйелерге сәйкес артықшылықтарға ие болмайтын, қатынау субъектісінің әсерін бұзуды жібермеу керек.

3) қатынаудың кез келген объектісінің иесі болуы тиіс;

4) бір де бір қатынау әдісі бойынша бір де бір қатынау субъекті қатынайтын қол жетпес объектілер болмауы керек.

5) жасырын ақпараттың азаюы жіберілмейді (В1 және одан жоғары қорғалу класына ғана талап қойылады).

Қатынау шегінің типтік моделдері:

4.2.1. Қатынаудың таңдаулы шектеулері келесі ережелер жүйесінен тұрады:

I. Операциялық жүйенің кез келген объектісі үшін оның иесі болады.

II. Объектінің иесі берілген объектіге басқа субъектілердің қатынауын еркінше шектей алады.

III. Әр «субъект-объект-әдіс» үштігі үшін қатынау мүмкіндігі бірмәнді анықталған.

IV. Қатынаудың кез келген әдісі бойынша кез келген объектіге қатынау мүмкіндігі бар ең болмағанда бір артық дәрежесі бар қолданушы (администратор) болады, (кейде, мысалы, NT-да администратор бөтен объектке қатынамас бұрын алдымен администратор артықшылығын қолдана отырып, өзін кез келген объектінің иесі деп хабарлайды да, өзіне қажетті құқығын алады және тек осыдан кейін ғана ол объектке қатынай алады. Бұл жағдайда администратордың өзінің артықшылығын қолданғаны объектінің бұрынғы иесімен байқалмай қоймайды).

Қатынаудың таңдаулы шегінде субъектілердің объектілерге қатынау құқығын анықтау үшін қатынау матрицасы қолданылады: матрица жолдары – объектілер, бағаналар – субъектілер (немесе керісінше). Матрицаның әр ұяшығында берілген субъектінің берілген объектіге қатынау құқығының жиынтығы сақталады. Қазіргі операциялық жүйелер үшін матрицаның көлемі – бірнеше ондаған мегабайт).

Практикада қатынау матрицасы жолдарын кодтаудың екі тәсілі қолданылады:

I. Қатынау векторы (UNIX) – бірнеше ішкі векторларға бөлінген, жазба ұзындықтағы вектор. Әрбір ішкі вектор кейбір субъектінің берілген объектісіне қатынау құқығын сипаттайды. Қатынау векторының көмегімен тек қана субъектінің жазба сандарын объектіге қатынау құқығын сипаттауға болады.

II. Қатынау тізімі (VAX/VMS, Windows NT) – элементтері - құрылым болып, төмендегілерден тұратын, айнымалы ұзындығының тізімі:

- субъект идентификаторы;

- осы субъектінің берілген объектіге құқығы;

- әртүрлі флагтар мен атрибуттар.

Қатынау матрицасын қатынау тізімінің жиынтығы түрінде кодтау - қатынауды шектеудің мықты және иілгіш механизмін іске асыруға мүмкіндік береді, бірақ объектіні қорғау атрибуттарын сақтау үшін үлкенірек оперативті және дискілік жадыны талап етеді, қатынауды шектеу ережелерін техникалық іске асыруды қиындатады және қатынау тізімінің элементтері бір-біріне қайшы келуімен байланысты проблемалар тудырады.

Айталық, қатынау тізімінің бір элементі кейбір қолданушыға объектіге қатынауға рұқсат береді, ал тізімнің басқа элементі осы қолданушы кіретін топ объектісіне қатынауға тиым салады. Қатынау тізімін қолдану үшін қатынауды шектеу ережесі осы қайшылықтарды шешу ережесін енгізу керек.

Жаңа объектіні құру кезінде объект иесі әртүрлі субъектілердің осы объектіге қатынау құқығын анықтау керек. Егер объект иесі мұны жасамаса, онда не жаңа объектке үнсіз келісім бойынша қорғау атрибуттары бекітіледі, не жаңа объект аталық объекттен қорғау атрибуттарын мұрагерленеді (каталогтар, контейнерлер және т.б.).

Қатынаудың таңдаулы шектеуі қатынау шектеуінің көп тараған механизмі болып табылады.

Кемшіліктер: ОЖ қорғалуы, тек қана қатынаудың таңдаулы шектеуін жүзеге асыратын қорғаудың ішкі жүйесі көп жағдайда жеткіліксіз.

(АҚШ-та тек қана қатынаудың таңдаулы шектеуі қолдайтын, мемлекеттік құпиядан тұратын ақпаратты компьютерлік жүйелерде сақтауға тыйым салынады).