Формирование требований к построению безопасной системы

Постановка задачи системного анализа абстрактных моделей контроля доступа

Как отмечали в п. 3.1.1, требования к построению безопасной системы формируются применительно к соответствующей абстрактной модели контроля доступа. Еще раз остановимся на построении подобной модели на примере реализации дискреционного контроля доступа субъектов к статичным (присутствующим на момент назначения администратором правил доступа субъектов к объектам) объектам.

Исходя из сказанного (см. параграф 3.1), задача системного анализа абстрактных моделей контроля доступа с целью формирования требований к построению безопасной системы состоит в определении потенциально возможных последовательностей действий, в результате выполнения которых субъектом С₀ приобретается право R доступа к объекту О₀, исходно отсутствующее в ячейке матрицы М₀[С₀, О₀], и в предотвращении осуществления подобных действий, причем применительно к различным объектам доступа, присутствующим в ИС.

Замечания. Целью данной главы не является формирование полного набора требований, выполнение которых необходимо для построения безопасной системы. Рассматривается общий подход к формированию подобных требований, при рассмотрении которого можно увидеть, чем вызвана сложность эффективных СЗИ, почему они должны решать множество различных по своему назначению функциональных задач защиты.

В данной главе не рассматривается техническая реализация формулируемых требований. С соответствующими техническими решениями, многие из которых авторами запатентованы, можно познакомиться в работе [18].

9.2. Формирование требований для систем защиты информации базового уровня защиты Основной функциональной задачей ЗИ, решаемой системами базового уровня защиты, как отмечали ранее, является создание и разделение режимов обработки информации пользователями — сотрудниками предприятия. При создании режимов обработки информации реализуется либо ролевая модель контроля доступа, либо сессионная. Ролевая модель призвана обеспечить пользователя необходимыми и достаточными ему ресурсами, включая информацию, в рамках решения им соответствующих задач (выиолнения ролей) в ИС. Реализация сессионной модели предполагает решение той же задачи, но уже применительно к обработке пользователями в ИС информации различных уровней (категорий) конфиденциальности.

Таким образом, роли (режимы обработки информации) создаются под задачи, решаемые пользователями — сотрудниками предприятия (например, роль бухгалтера, менеджера и т. д.), сессии — под уровни конфиденциальности информации, обрабатываемой пользователями (например, открытая информация, служебного пользования и т. д.). Создание ролей и сессий реализуется контролем и разграничением прав доступа пользователей к ресурсам ИС.

В общем случае ролевую модель контроля доступа имеет смысл реализовывать и применительно к привилегированным в системе пользователям, например к системным администраторам, которые несут в себе повышенный уровень угрозы безопасности, гак как системой им предоставляются дополнительные возможности доступа к ресурсам. Основу защиты в данном случае составляет реализация СЗИ двух уровней иерархии администрирования — администратор безопасности и остальные интерактивные пользователи, которым (независимо от возможностей, предоставляемых им ОС) администратор безопасности может назначать соответствующие права доступа к ресурсам ИС.

Основными задачами средств защиты из состава СЗИ здесь являются:

• • локализация ресурсов (в том числе устройств, файловых объектов для локализации обрабатываемой информации, сетевых объектов и т. д.) для каждой роли либо сессии — разрешается использование в системе только необходимых для реализуемых в ИС ролей и (или) сессий ресурсов — объектов доступа;
• • локализация средств обработки информации (набора приложений) для каждой роли либо сессии — разрешается использование в системе только необходимых для реализуемых в ИС ролей или сессий приложений;
• • разграничение прав доступа субъектов (ролей или сессий) к ресурсам (формирование режимов обработки информации для каждой роли либо сессии) — разрешаются только необходимые права доступа субъектам к ресурсам, исключительно предназначенным для использования в соответствующей роли или сессии;
• • разделение доступа субъектов к обрабатываемой в ролях либо сессиях информации (разделение режимов обработки информации между ролями либо сессиями) — разграничивается доступ из одной роли, сессии, к информации, обрабатываемой в других ролях или сессиях.

Можно выделить две группы формируемых требований — требования к построению СЗИ и требования к формированию непротиворечивых правил доступа, которые рассмотрим далее.