1. Концепция безопасности системы защиты

Концепция безопасности разрабатываемой системы - «это набор законов, правил и норм поведения, определяющих, как орга­низация обрабатывает, защищает и распространяет информацию. В частности, правила определяют, в каких случаях пользователь имеет право оперировать с определенными наборами данных. Чем надежнее система, тем строже и многообразнее должна быть концепция безопасности. В зависимости от сформулированной концепции можно выбирать конкретные механизмы, обеспечивающие безопасность системы. Концепция безопасности - это активный компонент защиты, включающий в себя анализ возмож­ных угроз и выбор мер противодействия».

Концепция безопасности разрабатываемой системы согласно «Оранжевой книге» должна включать в себя следующие элементы:

• произвольное управление доступом;

• безопасность повторного использования объектов;

• метки безопасности;

• принудительное управление доступом.

Рассмотрим содержание перечисленных элементов.

Произвольное управление доступом - это метод ограничения доступа к объектам, основанный на учете личности субъекта или группы, в которую субъект входит. Произвольность управления состоит в том, что некоторое лицо (обычно владелец объекта) может по своему усмотрению давать другим субъектам или отбирать у них права доступа к объекту.

С концептуальной точки зрения текущее состояние прав доступа при произвольном управлении описывается матрицей, в строках которой перечислены субъекты, а в столбцах - объекты. В клетках, расположенных на пересечении строк и столбцов, записываются способы доступа, допустимые для субъекта по отношению к объекту (например, чтение, запись, выполнение, возможность передачи прав другим субъектам и т.п.).

Очевидно, прямолинейное представление подобной матрицы невозможно, поскольку она очень велика и разрежена (т.е. большинство клеток в ней пусты). В операционных системах более компактное представление матрицы доступа основывается или на структурировании совокупности субъектов (например, владелец/группа/прочие), или на механизме списков управления доступом, т.е. на представлении матрицы по столбцам, когда для каждого объекта перечисляются субъекты вместе с их правами доступа. За счет использования метасимволов можно компактно описывать группы субъектов, удерживая тем самым размеры списков управления доступом в разумных рамках.

Большинство операционных систем и систем управления базами данных реализуют именно произвольное управление досту­пом. Главное его достоинство - гибкость, главные недостатки - рассредоточенность управления и сложность централизованно­го контроля, а также оторванность прав доступа от данных, что позволяет копировать секретную информацию в общедоступные файлы.

2. Гарантированность системы защиты

Гарантированность - «мера доверия, которая может быть оказана архитектуре и реализации системы. Гарантированность может проистекать как из тестирования, так и из проверки (формальной или нет) общего замысла и исполнения системы в целом и ее компонентов. Гарантированность показывает, насколько корректны механизмы, отвечающие за проведение в жизнь выб­ранной концепции безопасности. Гарантированность можно счи­тать пассивным компонентом защиты, надзирающим за самими защитниками».

Гарантированность - это мера уверенности, с которой мож­но утверждать, что для проведения в жизнь сформулированной концепции безопасности выбран подходящий набор средств и что каждое из этих средств правильно исполняет отведенную ему роль. В «Оранжевой книге» рассматриваются два вида гаранти­рованное™ - операционная и технологическая. Операционная гарантированность относится к архитектурным и реализацион­ным аспектам системы, в то время как технологическая - к мето­дам построения и сопровождения.

2.1. Операционная гарантированность - это способ убедиться в том, что архитектура системы и ее реализация действительно проводят в жизнь избранную концепцию безопасности и вклю­чают в себя проверку следующих элементов:

• архитектуры системы;

• целостности системы;

• анализа тайных каналов передачи информации;

• надежного администрирования;

• надежного восстановления после сбоев.

Архитектура системы должна способствовать реализации мер безопасности или прямо поддерживать их. Примеры подоб­ных архитектурных решений в рамках аппаратуры и операцион­ной системы - разделение команд по уровням привилегирован­ности, защита различных процессов от взаимного влияния за счет выделения каждому своего виртуального пространства, особая защита ядра ОС. В принципе меры безопасности не обязательно должны быть заранее встроены в систему - достаточно принци­пиальной возможности дополнительной установки защитных продуктов надежности компонентов.

Целостность системы в данном контексте означает, что ап­паратные и программные компоненты надежной вычислитель­ной базы работают должным образом и что имеется аппаратное и программное обеспечение для периодической проверки цело­стности.

Анализ тайных каналов передачи информации - тема, специфич­ная для режимных систем, когда главное - обеспечить конфиден­циальность информации. Тайным называется канал передачи информации, не предназначенный для обычного использования. Обычно тайные каналы используются не столько для передачи информации от одного злоумышленника к другому, сколько для получения злоумышленником сведений от внедренного в систе­му «троянского коня».

Надежное администрирование в трактовке «Оранжевой кни­ги» означает, что должны быть логически выделены три роли -системного администратора, системного оператора и админист­ратора безопасности. Физически эти обязанности может выпол­нять один человек, но в соответствии с принципом миними­зации привилегий в каждый момент времени он должен выпол­нять только одну из трех ролей. Конкретный набор обязаннос­тей администраторов и оператора зависит от специфики орга­низации.

Надежное восстановление после сбоев - метод обеспечения гарантированное™, при котором должна быть сохранена це­лостность информации, в частности целостность меток безопас­ности. Надежное восстановление включает в себя два вида дея­тельности - подготовку к сбою (отказу) и собственно восста­новление. Подготовка к сбою - это и регулярное выполнение резервного копирования, и выработка планов действий в экст­ренных случаях, и поддержание запаса резервных компонентов. Восстановление, вероятно, связано с перезагрузкой системы и выполнением ремонтных и/или административных процедур.

2.2. Технологическая гарантированность охватывает весь жиз­ненный цикл системы, т.е. этапы проектирования, реализации, тестирования, внедрения и сопровождения. Все перечисленные действия должны выполняться в соответствии с жесткими стан­дартами, чтобы обезопаситься от утечки информации и нелегаль­ных «закладок».

Критерии, изложенные в «Оранжевой книге», позволили спе­циалистам ранжировать информационные системы защиты инфор­мации по степени надежности. В этом документе определяются четыре уровня безопасности (надежности) - D, С, В и А. Уровень D предназначен для систем, признанных неудовлетворительными. В настоящее время он содержит две подсистемы управления дос­тупом. По мере перехода от уровня С к А к надежности систем предъявляются все более жесткие требования. Уровни С и В под­разделяются на классы (Cl, C2, Bl, B2, ВЗ) с постепенным возрас­танием надежности. Таким образом, всего имеется шесть классов безопасности - С1, С2, В1, В2, ВЗ, А1. Чтобы система в результате процедуры сертификации могла быть отнесена к некоторому клас­су, ее концепция безопасности и гарантированность должны удов­летворять разработанной системе требований, соответствующей этому классу.