11.4 Формальное построение модели защиты: пример

11.4.1 Описание объекта защиты

Рассмотрим пример АС, объединяющей несколько подразделений предприятия (рис. 11.1). В каждом подразделении имеется своя иерархически построенная локальная сеть, объединяющая одноранговые сети отделов. Сеть подразделения выполнена по звездообразной структуре, сети отделов имеют кольцевидную структуру. В сети подразделения имеется ряд серверов: информационный, почтовый и т.д. Сеть подразделения находится в пределах контролируемой зоны, связь между подразделениями обеспечивается посредством криптографически закрытых каналов связи. Безопасность сети подразделения обеспечивается должностным лицом - администратором сети, за безопасность всей АС отвечает должностное лицо - администратор системы.

Рассматриваемая АС предоставляет информационно-справочные и информационно-расчетные услуги должностным лицам подразделений (пользователям), обеспечивает ведение юридически значимого электронного документооборота. Кроме того, существует набор административных и защитных механизмов (подсистем), играющий вспомогательную роль.

В АС может обрабатываться информация различного уровня конфиденциальности. Пользователи имеют различные полномочия по доступу к информации, поэтому данная АС должна относиться к классу защищенности 1Г (или 1Д) согласно РД Гостехкомиссии []. Это налагает ограничения снизу по необходимости реализации средств и механизмов защиты.

Среди функций АС выделим:

• создание и удаление пользователей вместе со всеми атрибутами безопасности информации, а также их личными записями;

• изменение полномочий пользователей;

• администрирование прав и других атрибутов защиты (пароли, ключи шифрования и электронной цифровой подписи);

• к орректное создание, передача и обработка инструкций, выполненных в электронной форме, отображение результатов работы, в том числе на внешних носителях.

Рис. 11.1. Гипотетическая АС

Компонентами АС являются объекты, реализующие логически законченную функциональность, например, персональные компьютеры, серверы баз данных, серверы электронной почты и т.д. Угрозы информационной безопасности, риски индивидуальны для каждого компонента, но каждый компонент должен подчиняться единым правилам, политике безопасности системы.

Причем эти правила должны быть едиными не только для сети масштаба подразделения, но и для всей рассматриваемой АС. Именно этим вызвана необходимость введения в рассмотрение должностного лица – администратора системы.

11.4.2 Декомпозиция ас на субъекты и объекты

Выполним декомпозицию АС на субъекты и объекты. Согласно [15], под субъектом понимается «лицо или процесс, действия которого регламентируются правилами разграничения доступа». Таким образом, субъект – активная компонента АС. Учитывая, что согласно субъектно-объектной модели субъекты порождаются из объектов, то мы будем понимать под субъектами процессы, а субъектов-физических лиц называть пользователями.

Объект – «единица информационного ресурса автоматизированной системы, доступ к которой регламентируется правилами разграничения доступа» [15]. Объектом может быть и поле базы данных, и целая локальная сеть – все зависит от детализации рассмотрения. Правила разграничения доступа (ПРД) – «совокупность правил, регламентирующих права доступа субъектов доступа к объектам доступа». Еще в «Оранжевой книге» была приведена аксиома безопасности, гласящая, что все вопросы безопасности определяются ПРД субъектов к объектам.

Все программные, аппаратные, людские компоненты АС являются ее ресурсом. Так как в данном пункте рассматривается только защита от НСД техническими мерами, то под ресурсом АС будем понимать программную среду. Владельцем ресурса АС является предприятие. Объекты сети существуют в ресурсе и представляют собой данные, несущие информацию о ресурсе, а также в них скрыты потенциальные субъекты АС. В самом деле, применив операцию «исполнение» к какому-либо объекту, мы активизируем субъекта. Объекты существуют в АС и «при выключенном питании» (хотя, естественно, могут быть объекты в оперативной памяти). Субъекты существуют только в оперативной памяти и инициализируются при включении питания компьютеров сети.

При этом происходит цепочка порождений субъектов – пользователь включает питание, при загрузке операционной системы порождается первый субъект, который порождает следующих и т.д. Порядок порождения субъектов при включении питания компьютера может быть изображен в виде дерева, в корне которого находится пользователь, а в листьях – пользовательские процессы. Порождение субъектов всей сети в целом, также как и одного компьютера в процессе его работы, может быть изображено лесом деревьев.

Субъект может иметь право на доступ к объекту для выполнения различных операций. Основными из них принято считать «чтение», «запись», «выполнение». Объект сам, как правило, не «может знать» прав доступа к нему. Поэтому для осуществления доступа субъект обращается к другому субъекту, монитору обращений (монитору ссылок). Будем называть в дальнейшем монитор обращений администратором. Администратор в общем случае сопоставляет права доступа данного субъекта к данному объекту с записанным в таблице (при дискреционных ПРД), либо сравнивает уровень конфиденциальности субъекта и объекта (при мандатных ПРД) и разрешает либо запрещает доступ.

Субъекта-администратора целесообразно декомпозировать на администраторов, выполняющих отдельные функции. Например, в работе принята такая декомпозиция:

• администратор разграничения доступа (АРД), выполняющий функции монитора обращений;

• администратор процессов (АП), выполняющий функции МБС, описанного выше;

• администратор управления доступом (АУД), выполняющий сервисные функции по управлению доступом (например, генерация и доведение до пользователей атрибутов безопасности, паролей, ключей и т.п.).

АРД состоит из ряда администраторов, размещающихся на различных уровнях эталонной модели взаимодействия открытых систем – от сетевого до уровня представления данных.

Программными администраторами управляют администраторы - физические лица:

• администратор сети (АС) – пользователь, обладающий дополнительными полномочиями по управлению функциями безопасности. Именно от его имени запускаются субъекты-администраторы;

• администратор системы, отвечающий за безопасность информации во всей АС ВН в целом.

На рис. 11.2 изображено взаимодействие субъектов, объектов и администраторов. На нем показан еще и собственник, который и указывает администраторам ПРД к объектам (разрабатывает или утверждает политику безопасности).

Рис. 11.2. Пояснение понятий субъекта, объекта, ресурса