15.4.3. Універсальні механізми безпеки

Вище було перелічено механізми безпеки, специфічні для певних сервісів або рівнів моделі OSI. Рекомендації Х.800 визначають універсальні, або, як їх ще на­зивають, повсюдні (Pervasive), механізми безпеки. До них належать:

66. довірена функціональність;

67. мітки безпеки;

68. детектування подій;

69. аудит безпеки;

70. відновлення безпеки.

Довірена функціональність

Будь-яка функціональність, що безпосередньо забезпечує механізми безпеки або надає доступ до таких механізмів, має бути довіреною.

Процедури, які застосовуються для підтвердження того, що апаратні та (або) програмні компоненти справді заслуговують на довіру, знаходяться поза межами Рекомендацій Х.800.

Мітки безпеки

Ресурси, що містять дані, можуть мати асоційовані з ними мітки безпеки. Най

частіше за допомогою таких міток визначають рівень чутливості даних до порушення їхньої безпеки (наприклад, їх конфіденційність).

Використання міток безпеки було розглянуто у розділах 4 (на рівні моделей) і 14 (у практичній реалізації).

Детектування подій

Детектування подій, що впливають на безпеку, полягає у виявленні порушень

безпеки, а іноді й в реєстрації подій, на кшталт успішного входження в систему і доступу до об'єктів. Детектування різних подій, що впливають на безпеку, може супроводжуватися:

♦ локальним інформуванням про подію;

71. віддаленим інформуванням про подію;

72. реєстрацією події у журналі;

73. дією з відновлення.

Аудит безпеки

Аудит безпеки — це незалежний огляд і аналіз системних записів і дій, який здійснюють з метою перевірки адекватності керування системою та її відповід­ності встановленій політиці та процедурам, а також задля оцінювання завданих пошкоджень і надання рекомендацій щодо змінень у керуванні, політиці та про­цедурах. Аудит безпеки вимагає занесення відповідної інформації до певного про­токолу. Реєстрація та запис інформації належить до механізмів безпеки, а аналіз і генерування звітів — до функцій керування безпекою.

Відновлення безпеки

Цей механізм обробляє запити від механізму оброблення подій і виконує дії з відновлення безпеки відповідно до встановлених правил. Відновлення може відбуватися:

♦ миттєво (миттєве відключення чи розрив з'єднання);

74. тимчасово (тимчасове блокування деякої сутності);

75. у тривалий термін (занесення сутності у «чорний список» або змінення клю­чової інформації).

У табл. 15.6 наведено механізми, які можуть бути задіяні для реалізації сер­вісів безпеки.

Таблиця 15.6. Сервіси безпеки та задіяні ними механізми
Сервіс	Механізм
	Шифрування Цифровий підпис Керування доступом Цілісність даних Автентифікаційний обмін Заповнення трафіку Керування маршрутом Нотаризація
Автентифікація сторін Автентифікація джерела даних Керування доступом Конфіденційність даних під час обміну із встановленням з'єднання Конфіденційність даних під час обміну без встановлення з'єднання Конфіденційність окремих полів даних Конфіденційність трафіку Цілісність даних під час обміну із встановленням з'єднання з відновленням Цілісність даних під час обміну із встановленням з'єднання без відновлення Цілісність окремих полів даних під час обміну з встановленням з'єднання Цілісність даних під час обміну без встановлення з'єднання Цілісність окремих полів даних під час обміну без встановлення з'єднання Унеможливлення відмови від авторства з підтвердженням справжності джерела даних Унеможливлення відмови від авторства з підтвердженням доставления	+ + + + + + + + + + + + + + + + + + + + + + + + + + + + + + + +

15.4.4. Керування безпекою

Рекомендаціям з керування безпекою (адміністрування функцій безпеки) при- свячено значну частину Рекомендацій Х.800. Ми зупинимося лише на найго- ловніших моментах.

У загальному випадку в розподіленій системі можуть бути впроваджені різні політики безпеки. Сутності, для яких встановлена єдина політика безпеки і які знаходяться під єдиним адміністративним керуванням, поєднують у так званий домен безпеки (Security Domain).

Адміністрування безпеки взаємодії відкритих систем полягає в поширенні інформації, необхідної для роботи сервісів і механізмів безпеки, а також у збиранні та аналізуванні інформації про їх функціонування. Можна назвати такі приклади адміністрування безпеки, як розповсюдження криптографічних ключів, встановлення параметрів захисту, реєстрація звичайних і надзвичайних подій безпеки, активізація та деактивізація сервісів тощо.

Концептуальною основою адміністрування безпеки є інформаційна база керування безпекою (Security Management Information Base, SMIB). Хоча вона може бути зорганізована не лише як єдине або розподілене сховище, потрібно, щоб кожна з кінцевих систем мала інформацію, необхідну для реалізації обраної політики безпеки.

SMIB реалізують у вигляді:

76. таблиці даних;

77. файлу;

78. даних або правил, впроваджених у програмне забезпечення.

Керування безпекою може потребувати обміну відповідними даними між різ ними системами. Усі протоколи керування (насамперед, протоколи керування безпекою) та комунікаційні канали, якими здійснюється обмін, — потенційно вразливі. Це вимагає особливої уваги до захисту протоколів керування. Керування безпекою взаємодії відкритих систем здійснюють шляхом:

♦ адміністрування системи у цілому;

79. адміністрування сервісів безпеки;

80. адміністрування механізмів безпеки. Адміністрування системи в цілому здійснюється шляхом:

81. загального керування політикою безпеки, зокрема через підтримку її актуаль­ності;

82. взаємодії з іншими функціями керування безпекою взаємодії відкритих систем;

83. взаємодії з функціями адміністрування сервісів безпеки та функціями адміністрування механізмів безпеки;

84. керування реагуванням на події;

85. керування аудитом безпеки;

86. керування відновленням безпеки. Адміністрування сервісів здійснюється шляхом:

87. визначення об'єктів, що підлягають захисту конкретним сервісом;

88. визначення і підтримки правил добирання механізмів безпеки (за наявності альтернатив) для забезпечення потрібного сервісу безпеки;

89. взаємодії з іншими адміністраторами стосовно механізмів безпеки, які вимагають узгоджених дій;

90. взаємодії з іншими функціями адміністрування сервісів безпеки та функція­ми адміністрування механізмів безпеки.

	Адміністрування механізмів безпеки здійснюють шляхом керування:
♦	ключами;
♦	шифруванням;
♦	механізмом цифрового підпису;
♦	параметрами доступу;
♦	цілісністю даних;
♦	автентифікацією;
♦	заповненням трафіку;
♦	маршрутизацією;
♦	нотаризацією.