Управление ресурсами (Resource Managtment).

Для реализации управления ресурсами предусмотрены следующия механизмы решающие определенный круг задач.

Механизмы:

1. Ограничения- предоставляет администратору или разработчику возможности устанавливать лимиты потребления ресурсов приложениями(ресурсы выделяются не конкретным приложениям а так называемых work loads, например все приложения конкретного пользователя либо все приложения проекта)

2. Планирование- механизм принятия решения о выделении ресурсов приложениям

3. Разделения – данный механизм позволяет привязывать перечень доступных ресурсов к набору связанных задач. Он позволяет гарантировать представление процессов.

Вершиной дерева является проект каждый пользователь привязывается к определенному проекту или проекту по умолчанию, если такая привязка не выполнена администратором отдельно. При подключению к проекту создаётся новая задача и процессы создаются только в рамках этой задачи.

Задачи создаются при выполнении следующих команд(действий или функции):

login. cron, newtask, setproject, su.

Зоны.

Зоны представляют собой механизм dиртуализации в рамках которых создаются виртуальные копии ОС - зоны.

При этом для каждой зоны не создается отдельная копия ядра ОС, что позволяет оптимально рассходовать системные ресурсы, в ОС solaris представлены два типа зон: глобальные и не глобальные. Глобальная зона одна, из нее можно выполнять все действия по установки, настройке, загрузки и остановки не глобальных зон. Использование не глобальных зон для различных задач позволяет повысить безопасность системы за счет полной изоляции пользователей и процессов разных зон При которых компромитация приложений или действий пользователей одной зоны ни как не влияет на другие зоны.

24.02.12.

Аудит системы.

Аудит – сбор информации об использовании ресурсов системы.

Аудит основ. на 2 вещах:

- на технологии аудита (basic audit)

- на инструментарии контроля цел-ти(Reporting tool).

Собираемая инф-я (мониторинг) содержит в себе в т.ч. и данные о событиях без-ти, происходящих в системе.

Эти данные можно использ. для рассмотрения инциндентов анализа угроз без-ти и др. мероприятий.

В процессе аудита системы генерируется запись аудита, сохр-щаяся в файле (в разделе NFS), либо отправляется по протоколу syslog на др.хост.

Запись аудита генерир. в рез-те опр-х событий.Это м.б. приложения, опр.события и системные вызовы.

Аудит ситемы м.б.настроен под конкретные нужды, что явл. необходимым условием его применения в системах с разным уровнем произ-ти и безопасности.

BART предст. собой инструмент контроля цел-ти. Суть его работы состоит в том, что генерир-ся слепок объектов ФС и последующей проверки этих объектов на соответствие сохраненному эталону.

Доверенные разрешения (Trusted Extentions).

Предст.собой технологию ЗИ по ур.доступа, что позволяет реализ.политику ЗИ вне зависимости от ее владельца.

Данный подход позвол.реализ. поддержку 2 моделей:

1)DAC (Discriptional Access Control) – основал на привязке представления доступа владельцу.

2)MAC (Mandational Access Control) – основан на ур.доступа субъекта.

Рисунок: Trusted Solaris 8 -> Trusted Extensions, Solaris 10 Kernel.

Trusted Solaris 8: Labeled networking, labeled desktop,lable-aware services, измененный стекTCP/IP, изоляция процессов, Trusted privileges.

Trusted Extensions: Labeled networking, labeled desktop,lable-aware services.

Solaris 10 Kernel: TCP/IP, изоляция процессов, privileges.

Осн.понятием данной технологии явл.понятие Lable, на основе которого субъектам предост.доступ к объектам системы. Вввиду своей простоты технологии МАС явл. быстрее DAC.

Метки МАС можно отключать. После отключения политики МАС ядро ОС при попытке доступа проводит проверку, основанную на сравнении меток субъектов системы, запрашивающих доступ, и меток объектов, к которым доступ запрашивается.

Реализация такого многоуцровнего контроля доступа Solaris соответствует общим критериям и RBAC, гарантируя надежность, в то же время обеспечивая совместимость и эффективность. Совместимость достигается за счет использования существующих стандартов, а МАС реализ.за счет виртуализации среды исполнения ср-ми технологии Solaris Container.

Фактически для каждого уровня доступа создается своя собст.зона.

Эффективность обеспечивается за счет перемещения проверок доступа на уровне абстракции выше уровня файлов и директории.

Метки ассоциируются не с объектами ФС,а с зонами и с сетевыми интерфейсами.