11.4. Формальное построение модели защиты: пример

11.4.1. Описание объекта защиты

Рассмотрим пример АС, объединяющей несколько подразде­лений предприятия (рис. ИЛ). В каждом подразделении имеется своя иерархически построенная локальная сеть, объединяющая одноранговые сети отделов. Сеть подразделения выполнена по звездообразной структуре, сети отделов имеют кольцевидную структуру. В сети подразделения имеется ряд серверов: информа­ционный, почтовый и т.д. Сеть подразделения находится в пре­делах контролируемой зоны, связь между подразделениями обес-

Рис. 11.1. Структура гипотетической автоматизированной системы (АС)

печивается посредством криптографически закрытых каналов свя­зи. Безопасность сети подразделения обеспечивается должност­ным лицом — администратором сети, за безопасность всей АС отвечает должностное лицо — администратор системы.

Рассматриваемая АС предоставляет информационно-справоч­ные и информационно-расчетные услуги должностным лицам подразделений (пользователям) и обеспечивает ведение юриди­чески значимого электронного документооборота. Кроме того, существует набор административных и защитных механизмов (под­систем), играющий вспомогательную роль.

В АС может обрабатываться информация различного уровня конфиденциальности. Пользователи имеют различные полномо­чия по доступу к информации, поэтому данная АС должна отно­ситься к классу защищенности 1Г (или 1Д) согласно РД Гостехко-миссии 13]- Это налагает ограничения снизу по необходимости реализации средств и механизмов защиты.

Среди функций АС выделим:

• создание и удаление пользователей вместе со всеми атрибута­ми безопасности информации, а также их личными записями;

• изменение полномочий пользователей;

• администрирование прав и других атрибутов защиты (паро­ли, ключи шифрования и электронной цифровой подписи);

• корректное создание, передача и обработка инструкций, вы­полненных в электронной форме, отображение результатов рабо­ты, в том числе на внешних носителях.

Компонентами АС являются объекты, реализующие логически законченную функциональность, например персональные компь­ютеры, серверы баз данных, серверы электронной почты и т.д. Угрозы информационной безопасности и риски индивидуальны для каждого компонента, но каждый компонент должен подчи­няться единым правилам — политике безопасности системы. При­чем эти правила должны быть едиными не только для сети масш­таба подразделения, но и для всей рассматриваемой АС. Именно этим вызвана необходимость введения в рассмотрение должност­ного лица — администратора системы.

11.4.2. Декомпозиция ас на субъекты и объекты

Выполним декомпозицию АС на субъекты и объекты. Соглас­но [26], под субъектом понимается «лицо или процесс, действия которого регламентируются правилами разграничения доступа». Таким образом, субъект — активная компонента АС. Учитывая, что согласно субъектно-объектнои модели субъекты порождаются из объектов, мы будем понимать под субъектами процессы, а субъектов — физических лиц — называть пользователями.

Объект — «единица информационного ресурса автоматизиро­ванной системы, доступ к которой регламентируется правилами разграничения доступа» |26|. Объектом может быть и поле базы данных, и целая локальная сеть — все зависит от детализации рассмотрения. Правила разграничения доступа (ПРД) — «сово­купность правил, регламентирующих права доступа субъектов до­ступа к объектам доступа». Еще в «Оранжевой книге» была приве­дена аксиома безопасности, гласящая, что все вопросы безопас­ности определяются ПРД субъектов к объектам.

Все программные, аппаратные, людские компоненты АС явля­ются ее ресурсом. Так как в данном пункте рассматривается толь­ко защита от НСД техническими мерами, под ресурсом АС будем понимать программную среду. Владельцем ресурса АС является предприятие. Объекты сети существуют в ресурсе и представляют собой данные, несущие информацию о ресурсе, в них скрыты также потенциальные субъекты АС. В самом деле, применив опе­рацию «исполнение» к какому-либо объекту, мы активизируем субъекта. Объекты существуют в АС и «при выключенном пита­нии» (хотя, естественно, могут быть объекты в оперативной памя­ти). Субъекты существуют только в оперативной памяти и иници­ализируются при включении питания компьютеров сети.

При этом происходит цепочка порождений субъектов: пользо­ватель включает питание, при загрузке операционной системы порождается первый субъект, который порождает следующие субъекты, и т.д. Порядок порождения субъектов при включении питания компьютера может быть изображен в виде дерева, в корне которого находится пользователь, а в листьях — пользователь­ские процессы. Порождение субъектов всей сети в целом, так же как и одного компьютера в процессе работы, может быть изобра­жено лесом деревьев.

Субъект может иметь право на доступ к объекту для выполне­ния различных операций. Основными из них принято считать «чтение», «запись», «выполнение». Объект сам, как правило, не «может знать» прав доступа к нему, поэтому для осуществления доступа субъект обращается к другому субъекту, монитору обра­щений (монитору ссылок). Будем называть в дальнейшем мони­тор обращений администратором. Администратор в общем случае сопоставляет права доступа данного субъекта к данному объекту с записанным в таблице (при дискреционных ПРД) или сравнивает уровень конфиденциальности субъекта и объекта (при мандатных ПРД) и разрешает либо запрещает доступ.

Субъекта-администратора целесообразно декомпозировать на администраторов, выполняющих отдельные функции. Например, в работе (43) принята такая декомпозиция:

• администратор разграничения доступа (АРД), выполняющий функции монитора обращений;

• администратор процессов (АП), выполняющий функции МБС, описанного выше;

. администратор управления доступом (АУД), выполняющий сервисные функции по управлению доступом (например, генера­ция и доведение до пользователей атрибутов безопасности, паро­лей, ключей и т.п.).

АРД состоит из ряда администраторов, размещающихся на раз­личных уровнях эталонной модели взаимодействия открытых си­стем — от сетевого до уровня представления данных.

Администраторы безопасности

Создание

Пользователи

Разрешение/запреты

Ресурс Доступ

Процесс (субъект)

Процесс (субъект)

Собственник

Объект

Объект

Рис. 11.2. Взаимодействие субъектов, объектов и администраторов

Программными администраторами управляют администрато­ры — физические лица:

• администратор сети (АС) — пользователь, обладающий до­полнительными полномочиями по управлению функциями без­опасности; именно от его имени запускаются субъекты-админис­траторы;

• администратор системы, отвечающий за безопасность инфор­мации во всей АС ВН в целом.

На рис. 11.2 изображено взаимодействие субъектов, объектов и администраторов. Показан также собственник, который и указы­вает администраторам ПРД к объектам (разрабатывает или утвер­ждает политику безопасности).