3.3.7.1. Механизм обеспечения замкнутости программной среды заданием пользователям списков исполняемых файлов

Данный механизм состоит в задании для каждого пользователя списка процессов (исполняемых файлов), которые ему разрешено запускать. Соответственно объект доступа в матрице доступа к исполняемым файлам представляет собой список исполняемых файлов.

Корректность функционирования механизма связана с предотвращением явных и скрытых каналов модификации списка санкционированных исполняемых файлов, а также запуска исполняемых файлов, не вошедших в список.

Требования к корректности функционирования механизма:

• Исполняемый файл должен быть задан с указанием его полного пути, что предотвращает возможность запуска несанкционированного процесса с таким же именем из другого места. При этом пользователю должен быть запрещен запуск программ с внешних устройств ввода (локальных и общих – разделяемых в сети), а также из общих папок (разделяемых в сети файловых объектов);

• К исполняемому файлу должен быть запрещен доступ пользователя «на запись» и «на модификацию», что предотвращает возможность разместить вместо него исполняемый файл несанкционированой программы;

• К исполняемым файлам, разрешенным на запуск пользователю, должны быть отнесены не только исполняемые файлы соответствующих приложений, но и исполняемые файлы системных процессов, запуск которых необходим для корректной работы пользователя с системой и приложениями.

Очевидный недостаток данного способа реализации механизма обеспечения замкнутости программной среды – сложность настройки механизма защиты.

3.3.7.2. Механизм обеспечения замкнутости программной среды заданием пользователям каталогов с исполняемыми файлами, разрешенных на запуск

Для механизма обеспечения замкнутости программной среды, опирающегося на разграничения, задаваемые списками разрешенных к запуску процессов, необходимо сопоставлять с каждым пользователем свой собственный список разрешенных к запуску программ (либо задавать ограничение программной среды общим для всех пользователей – для системы в целом). Такой подход интуитивно понятен, но имеет существенные недостатки. Главным из них является необходимость перечислять в этих списках все процессы, разрешенные к запуску пользователем, в том числе и системные процессы и процессы,запускаемые уже разрешенными процессами. Таким образом списки разрешенных процессов становятся очень громоздкими, существенно снижается производительность системы, за счет больших затрат времени на анализ таких списков при каждом обращении к объекту файловой системы. Сильно усложняется администрирование подобной системы защиты, особенно при установке новых программ и удалении существующих, что связано с необходимостью модификации настроек.

Обеспечить замкнутость программной среды можно не непосредственно заданием списков разрешенных к запуску процессов (что запускать), а областью дискового пространства (каталогом), откуда пользователю можно запускать процессы (откуда запускать). Другими словами, для каждого пользователя может быть выделен каталог, откуда ему может разрешаться запуск программ (возможно, один, единый каталог) – на каталог должно быть установлено право «Исполнение» для пользователя, причем в данный каталог ему должен быть запрещен доступ «на запись» и «на модификацию», с целью предотвращения возможности пользователем внесения в данный каталог других, не разрешенных к запуску программ, а также с целью предотвращения возможности модификации расположенных в каталоге программ. При этом список разрешенных к запуску программ (не процессов) определяется набором программ, инсталлированных администратором безопасности в каталог, откуда пользователю разрешен их запуск. Кардинально упрощается задача администрирования средства защиты.

К подобным каталогам для пользователей обязательно должны быть отнесены Windows (где располагаются системные процессы) и, например, Program Files (либо некая его часть – отдельные папки).

Таким образом, могут быть сформулированы следующие требования к корректности функционирования механизма:

• Исполняемые файлы должны быть заданы с указанием полного пути каталогов, из которых разрешен их запуск, что предотвращает возможность запуска несанкционированного процесса с таким же именем из другого места. При этом пользователю должен быть запрещен запуск программ с внешних устройств ввода (локальных и общих – разделяемых в сети), а также из общих папок (разделяемых в сети файловых объектов);

• К каталогам с исполняемыми файлами должен быть запрещен доступ пользователя «на запись» и «на модификацию», что предотвращает возможность разместить в них исполняемый файл несанкционированной программы;

• К каталогам с исполняемыми файлами, разрешенными на запуск пользователю, должны быть отнесены не только каталоги с исполняемыми файлами соответствующих приложений (но и Program Files), но и каталог с исполняемыми файлами системных процессов – системный диск (Windows), запуск которых необходим для корректной работы пользователя с системой и приложениями.

Итак, достоинством данного механизма является серьезное упрощение его администрирования, т.к. исключается необходимость перечисления всех процессов, которые запускает программа, при разрешении ее запуска пользователем, в списке разрешенных для запуска пользователю процессов (при установке и удаленни программы из списка разрешенных к запуску).

Вывод. В качестве основного механизма обеспечения замкнутости программной среды следует рассматривать механизм, основанный на задании пользователям каталогов исполняемых файлов (данный подход принципиально более прост в администрировании, чем задание списков исполняемых файлов, а, следовательно, характеризуется значительно меньшей вероятностью ошибок при задании настроек механизма обеспечения замкнутости программной среды).