5. Понятие надежной системы и критерии оценки надежности

В оранжевой книге надежные системы определяются как системы, использующие достаточные аппаратные и программные средства, чтобы обеспечить одновременную обработку информации разной степени секретности группой пользователей без нарушений прав доступа.

Надежность систем оценивается по двум основным признакам:

1. Политика безопасности (ПБ)

Набор законов правил и норм поведения, определяющих как организация обрабатывает, защищает и распространяет информацию. Чем надежнее система, тем строже и разнообразнее должна быть политика безопасности. ПБ – активный компонент защиты, включающий в себя анализ всевозможных угроз и выбор мер противодействия.

2. Гарантированность

Гарантированность - мера доверия, которое может быть оказано архитектуре и реализации системы. Гарантированность показывает, насколько корректны механизмы, приводящие в жизнь ПБ. Ее можно считать пассивным компонентом защиты, надзирающим за самими защитниками.

Важным средством обеспечения безопасности является механизм подотчетности (протоколирование). Составление протоколов должно дополнятся аудитом, то есть анализом регистрационной информации. При оценке степени гарантированности, при которой систему можно считать надежной, является концепция надежной вычислительной базы.

Вычислительная база – совокупность защитных механизмов компьютерной системы (аппаратных и программных), отвечающих за проведение в жизнь политики безопасности.

Надежность вычислительной базы определяется исключительно ее реализацией и корректностью исходных данных, которые вводит административный персонал (данные о благонадежности пользователей).

Основное назначение надежной вычислительной базы – выполнять функции монитора обращений, то есть контролировать допустимость выполнения субъектами определенных операций над объектом.

Каждое обращение пользователя к программе или данным проверяется на предмет согласованности со списком действий, допустимых для данного пользователя.

От монитора обращений требуется выполнение 3х свойств:

1. Изолированность (защита от отслеживания своей работы)

2. Полнота (должен вызываться при каждом обращении и не должно быть способов его обхода)

3. Верифицируемость (монитор должен быть компактным), чтобы его можно было проанализировать и протестировать, будучи уверенным в полноте тестирования.

6. Основные элементы политики безопасности

Политика безопасности должна включать следующие элементы

1. Произвольное управление доступом

Это метод ограничения доступа к объектам, основанный на учете личности субъекта или группы, в которую этот субъект входит.

Произвольность управления состоит в том, что некое лицо (владелец объекта) может по своему усмотрению давать или забирать другим субъектам права доступа к объекту.

Текущее состояние прав доступа при произвольном управлении описывается матрицей. Строка, в которой перечислены субъекты, а в столбцах – объекты. В клетках на пересечении – способы доступа, допустимые для субъекта по отношению к объекту (чтение, запись, воспроизведение…). Большинство ОС и СУБД реализуют именно произвольное управление доступом. Главное достоинство – гибкость, недостатки – рассредоточенность управления и сложность централизованного контроля, оторванность прав доступа от данных, что позволяет копировать секредоступную информацию в общедоступном файле.

2. Безопасность повторного использования объектов

Это дополнение средств урпавления доступом предназнач для случайного или преднамеренного извлечения информации из «мусора». Должна гарантироваться для областей оперативной памяти, для дисковых блоков, магнитных носителей. Пользователя покидающего организацию, необходимо лишить не только прав доступа к системе, но и лишить доступа ко всем объектам.

3. Метки безопасности

Для организации принудительного управления доступом субъектам и объектам используются метки безопасности. Метка субъекта описывает его благонадежность. Метка объекта – степень секретности сокрытой в ней информации.

4. Принудительное управление доступом

Главная проблема, которую необходимо решать с метками - обеспечение их целостности:

1. Не достаточно неотмеченных объектов и субъектов

2. При любых операциях с данными метки должны оставаться неизменными

Принцип минимизации привилегий – самое разумное средство защиты.

Г – сопоставление меток объектов и субъектов

Субъект (пользователь) – может читать информацию из объекта. Если уровень секретности субъекта не ниже, чем у объекта, а все категории, перечисленные в метке безопасности объекта присутствуют в метке субъекта. Метка субъекта доминирует над меткой объекта. Субъект может записывать информацию в объект, если метка безопасности субъекта доминирует над меткой объекта. В частности конфиденциальный субъект может писать в секретные, но не может в несекретные.

Данный способ управления доступом является принудительным, так как не зависит от воли субъекта. Г реализовано во многих вариантах ОС и СУБД, отличающихся повышенными мерами безопасности.