Основные понятия и определения политики безопасности

Размещено на http://www.allbest.ru/

Лекция

На тему: "Основные понятия и определения политики безопасности"

План

1. Теория безопасных систем (ТСВ)

2. Аксиомы защищенных АС

3. Понятия доступа и монитора безопасности

1. Теория безопасных систем (ТСВ)

Понятие "доверенная вычислительная среда" (trusted computing base-ТСВ) появилось в зарубежной практике обеспечения информационной безопасности достаточно давно. Смысл характеристики "доверенная" можно пояснить следующим образом.

Дискретная природа характеристики "безопасный" (в том смысле, что либо нечто является безопасным, полностью удовлетворяя ряду предъявляемых требований, либо не является, если одно или несколько требований не выполнены) в сочетании с утверждением "ничто не бывает безопасным на сто процентов" подталкивают к тому, чтобы вести более гибкий термин, позволяющий оценивать то, в какой степени разработанная защищенная АС соответствует ожиданиям заказчиков. В этом отношении характеристика "доверенный" более адекватно отражает ситуацию, где оценка, выраженная этой характеристикой (безопасный или доверенный), основана не на мнении разработчиков, а на совокупности факторов, включая мнение независимой экспертизы, опыт предыдущего сотрудничества с разработчиками, и в конечном итоге, является прерогативой заказчика, а не разработчика.

Доверенная вычислительная среда (ТСВ) включает все компоненты и механизмы защищенной автоматизированной системы, отвечающие за реализацию политики безопасности. Все остальные части АС, а также ее заказчик полагаются на то, что ТСВ корректно реализует заданную политику безопасности даже в том случае, если отдельные модули или подсистемы АС разработаны высококвалифицированными злоумышленниками с тем, чтобы вмешаться в функционирование ТСВ и нарушить поддерживаемую ею политику безопасности.

Минимальный набор компонентов, составляющий доверенную вычислительную среду, обеспечивает следующие функциональные возможности:

* взаимодействие с аппаратным обеспечением АС;

* защиту памяти;

* функции файлового ввода-вывода;

* управление процессами.

Некоторые из перечисленных компонентов были рассмотрены в данном разделе.

Дополнение и модернизация существующих компонентов АС с учетом требований безопасности могут привести к усложнению процессов сопровождения и документирования. С другой стороны, реализация всех перечисленных функциональных возможностей в рамках централизованной доверенной вычислительной среды в полном объеме может вызвать разрастание размеров ТСВ и, как следствие, усложнение доказательства корректности реализации политики безопасности. Так, операции с файлами могут быть реализованы в ТСВ в некотором ограниченном объеме, достаточном для поддержания политики безопасности, а расширенный ввод-вывод в таком случае реализуется в той части АС, которая находится за пределами ТСВ. Кроме того, необходимость внедрения связанных с безопасностью функций во многие компоненты АС, реализуемые в различных модулях АС, приводит к тому, что защитные функции распределяются по всей АС, вызывая аналогичную проблему.

Представляется оправданной реализация доверенной вычислительной среды в виде небольшого и эффективного (в терминах исполняемого кода) ядра безопасности (см. гл.4), где сосредоточены все механизмы обеспечения безопасности. В связи с перечисленными выше соображениями, а также с учетом определенной аналогии между данными понятиями такой подход предполагает изначальное проектирование АС с учетом требований безопасности. При этом в рамках излагаемой теории определены следующие этапы разработки защищенной АС:

* определение политики безопасности;

* проектирование модели АС;

* разработка кода АС;

* обеспечение гарантий соответствия реализации заданной политике безопасности.

2. Аксиомы защищенных АС

Рассматривая вопросы безопасности информации в АС, можно говорить о наличии некоторых "желательных" состояний данных систем. Эти желательные состояния (представленные в терминах модели собственно АС, например в терминах субъектно-объектной модели, которая будет рассмотрена ниже) описывают "защищенность" системы. Понятие "защищенности" принципиально не отличается от любых других свойств технической системы, например "надежной работы", и является для системы внешним, априорно заданным. Особенностью понятия "защищенность" является его тесная связь с понятиями "злоумышленник" (как обозначение внешней причины для вывода системы из состояния "защищенности") или "угроза" (понятие, обезличивающее причину вывода системы из защищенного состояния действиями злоумышленника), которое было рассмотрено в гл.1.

При рассмотрении понятия "злоумышленник" практически всегда выделяется объект его воздействия - часть системы, на которую направлены те или иные его действия ("объект атаки"). Следовательно, можно выделить три компонента, связанные с нарушением безопасности системы:

* "злоумышленник"- внешний по отношению к системе источник нарушения свойства "безопасность";

* "объект атаки"-часть, принадлежащая системе, на которую злоумышленник производит воздействие;

* "канал воздействия"-среда переноса злоумышленного воздействия.

Интегральной характеристикой защищаемой системы является политика безопасности - качественное (или качественно-количественное) выражение свойств защищенности в терминах, представляющих систему. Описание политики безопасности может включать или учитывать свойства злоумышленника и объекта атаки. Приведем пример. Наиболее часто рассматриваются политики безопасности, связанные с понятием "доступ". Доступ - категория субъектно-объектной модели, описывающая процесс выполнения операций субъектов над объектами.

Политика безопасности включает:

* множество возможных операций над объектами;

* для каждой пары "субъект, объект" (S_i , О_j ) множество разрешенных операций, являющееся подмножеством всего множества возможных операций.

Операции связаны обычно с целевой функцией защищаемой системы (т.е. с назначением системы и решаемыми задачами). Например, one-

рации "создание объекта", "удаление объекта", "перенос информации от произвольного объекта к предопределенному объекту" (операция "чтения") и т.д.

Можно сформулировать две аксиомы защищенных АС.

Аксиома 1. В защищенной АС всегда присутствует активный компонент (субъект), выполняющий контроль операций субъектов над объектами.

Этот компонент фактически отвечает за реализацию некоторой политики безопасности.

Аксиома 2. Для выполнения в защищенной АС операций над объектами необходима дополнительная информация (и наличие содержащего ее объекта) о разрешенных и запрещенных операциях субъектов с объектами.

В [4] сформулирована аксиома, имеющая фундаментальное значение для всей теории информационной безопасности.

Аксиома 3. Все вопросы безопасности информации в АС описываются доступами субъектов к объектам.

Важно заметить, что политика безопасности выражает в общем случае нестационарное состояние защищенности. Защищаемая система может изменяться, дополняться новыми компонентами (субъектами, объектами, операциями субъектов над объектами). Очевидно, что политика безопасности должна быть поддержана во времени, следовательно, в процесс изучения свойства защищаемой системы должны быть определены процедуры управления безопасностью.

С другой стороны, нестационарность защищаемой АС, а также вопросы реализации политики безопасности в конкретных конструкциях защищаемой системы (например, программирование контролирующего субъекта в командах конкретного процессора) предопределяют необходимость рассмотрения задачи гарантирования заданной политики безопасности.

Итак, резюмируя, можно сказать, что при рассмотрении политики безопасности необходимо решить четыре класса взаимосвязанных задач:

* формулирование и изучение политик безопасности;

* реализация политик безопасности;

* гарантирование заданной политики безопасности;

* управление безопасностью.

Рассмотрим подробно подходы к решению поставленных задач.

3. Понятия доступа и монитора безопасности

В теории информационной безопасности практически всегда рассматривается модель произвольной АС в виде конечного множества элементов. Указанное множество можно разделить на два подмножества: множество объектов и множество субъектов. Данное разделение основано на свойстве элемента "быть активным" или "получать управление" (применяется также термин "использовать ресурсы" или "пользоваться вычислительной мощностью"). Оно исторически сложилось на основе модели вычислительной системы, принадлежащей фон Нейману, согласно которой последовательность исполняемых инструкций (программа, соответствующая понятию "субъект") находится в единой среде с данными (соответствующими понятию "объект").

Модели, связанные с реализацией политики безопасности, как правило, не учитывают возможности субъектов по изменению состояния АС. Этот факт не является недостатком политик безопасности. Достоверность работы механизмов реализации политики безопасности считается априорно заданной, поскольку в противном случае невозможна формализация и анализ моделей. Однако вопрос гарантий политики безопасности является ключевым как в теории, так и в практике.

Рассматривая активную роль субъектов в АС, необходимо упомянуть о ряде важнейших их свойств, на которых базируется излагаемая ниже модель. Во-первых, человек-пользователь воспринимает объекты и получает информацию о состоянии АС через те субъекты, которыми он управляет и которые отображают информацию в воспринимаемом человеком виде. Во-вторых, угрозы компонентам АС исходят от субъекта как активного компонента, порождающего потоки и изменяющего состояние объектов в АС. В-третьих, субъекты могут влиять друг на друга через изменяемые ими объекты, связанные с другими субъектами, порождая в конечном итоге в системе субъекты (или состояния системы), которые представляют угрозу для безопасности информации или для работоспособности системы.

Будем считать разделение АС на субъекты и объекты априорным. Будем считать также, что существует априорный безошибочный критерий различения субъектов и объектов в АС (по свойству активности). Кроме того, предполагаем, что декомпозиция АС на субъекты и объекты фиксирована.

Подчеркнем отличие понятия субъекта АС от человека-пользователя следующим определением. Пользователь-лицо (физическое лицо), аутентифицируемое некоторой информацией и управляющее субъектом АС через органы управления компьютера. Пользователь АС является, таким образом, внешним фактором, управляющим состоянием субъектов. В связи с этим далее будем считать пользовательское управляющее воздействие таким, что свойства субъектов, сформулированные в ниже приводимых определениях, не зависят от него (т.е. свойства субъектов не изменяются внешним управлением). Смысл данного условия состоит в предположении того факта, что пользователь, управляющий программой, не может через органы управления изменить ее свойства (условие неверно для систем типа компиляторов, средств разработки, отладчиков и др.).

Будем также полагать, что в любой дискретный момент времени множество субъектов АС не пусто (в противном случае рассматриваются не соответствующие моменты времени, а отрезки с ненулевой мощностью множества субъектов).

Аксиома 4. Субъекты в АС могут быть порождены из объектов только активным компонентом (субъектами).

Специфицируем механизм порождения новых субъектов следующим определением.

Определение 1. Объект О_i называется источником для субъекта S_m, если существует субъект S_j , в результате воздействия которого на объект О_i в АС возникает субъект S_m.

Субъект S_j, порождающий новый субъект из объекта О_i , называется активизирующим субъектом для субъекта S_m, S_m назовем порожденным объектом.

Введем обозначение: Create (S_j , O_i) S_m - из объекта О_i порожден субъект S_m при активизирующем воздействии субъекта S_j . Create назовем операцией порождения субъектов (рис. 3.1).

доверенный вычислительный автоматизированный безопасность

Рис. 1. Порождение субъекта и поток

Операция Create задает отображение декартова произведения множеств субъектов и объектов на объединение множества субъектов с пустым множеством. Заметим также, что в АС действует дискретное время и фактически новый субъект S_m порождается в момент времени t + 1 относительно момента t, в который произошло воздействие порождающего субъекта на объект-источник. Очевидно, что операция порождения субъектов зависит как от свойств активизирующего субъекта, так и от содержания объекта-источника.

Считаем, что если Create (S_j , O_i) , то порождение нового субъекта из объекта О_i при активизирующем воздействии S_j невозможно. Так, практически во всех операционных средах существует понятие исполняемого файла - объекта, способного быть источником порождения субъекта. Например, для ОС MS DOS файл edit.com является объектом-источником порождения субъекта-программы текстового редактора, а порождающим субъектом является, как правило, командный интерпретатор shell (объект-источник - command.com).

Из архитектуры фон Неймана следует также, что с любым субъектом связан (или ассоциирован) некоторый объект (объекты), отображающий его состояние (например, для активной программы (субъекта) ассоциированным объектом будет содержание участка оперативной памяти с исполняемым кодом данной программы).

Определение 2. Объект О_i в момент времени t ассоциирован с субъектом S_m, если состояние объекта О_i повлияло на состояние субъекта в следующий момент времени (т.е. субъект S_m использует информацию, содержащуюся в объекте О_i ).

Введем обозначение "множество объектов {O_m}_t ассоциировано с субъектом S_i в момент времени t”: S_i({O_m}_t). Данное определение не является в полной мере формально строгим, поскольку состояние субъекта описывается упорядоченной совокупностью ассоциированных с ним объектов, а ассоциированный объект выделяется по принципу влияния на состояние субъекта, т.е. в определении прослеживается некая рекурсия. С другой стороны, известны рекурсивные определения различных объектов (например, определение дерева). Зависимость от времени позволяет однозначно выделять ассоциированные объекты в том случае, если в начальный момент ассоциированный объект можно определить однозначно (как правило, это вектор исполняемого кода и начальные состояния некоторых переменных программы).

Субъект в общем случае реализует некоторое отображение множества ассоциированных объектов в момент времени t на множество ассоциированных объектов в момент времени t + 1. В связи с этим можно выделить ассоциированные объекты, изменение которых изменяет вид отображения ассоциированных объектов (объекты, содержащие, как правило, код программы - функционально ассоциированные) и ассоциированные объекты-данные (являющиеся аргументом операции, но не изменяющие вида отображения). Далее под ассоциированными объектами понимаются функционально ассоциированные объекты, в иных случаях делаются уточнения.

Следствие (к определению 2). В момент порождения субъекта S_m из объекта O_i он является ассоциированным объектом для субъекта S_m.

Необходимо заметить, что объект-источник может быть ассоциированным для активизирующего субъекта, тогда порождение является автономным (т.е. не зависящим от свойств остальных субъектов и объектов). Если же объект-источник является неассоциированным (внешним) для активизирующего субъекта, то порождение не является автономным и зависит от свойств объекта-источника.

Свойство субъекта "быть активным" реализуется и в возможности выполнения действия над объектами. При этом отметим, что пассивный статус объекта необходимо требует существования потока информации от объекта к объекту (в противном случае невозможно говорить об изменении объектов), причем данный поток инициируется субъектом.

Определение 3. Потоком информации между объектом О_т и объектом O_j называется произвольная операция над объектом O_j, реализуемая в субъекте S_i и зависящая от О_т.

Заметим, что как О_j, так и О_т могут быть ассоциированными или неассоциированными объектами, а также "пустыми" объектами ().

Обозначим: Stream (S_i, O_m)-> О_j - поток информации от объекта О_m к объекту О_j (см. рис.1). При этом будем выделять источник (О_m) и получатель (приемник) потока (O_j). В определении подчеркнуто, что поток информации рассматривается не между субъектом и объектом, а между объектами, например объектом и ассоциированными объектами субъекта (либо между двумя объектами). Активная роль субъекта выражается в реализации данного потока (это означает, что операция порождения потока локализована в субъекте и отображается состоянием его функционально ассоциированных объектов). Отметим, что операция Stream может создавать новый объект или уничтожать его.

На рис. 2 схематически изображены различные виды потоков. Далее для краткости будем говорить о потоке, подразумевая введенное понятие потока информации.

Рис.2. Виды информационных потоков

Понятие ассоциированных с субъектом объектов, как легко видеть из изложенного выше, не является искусственной конструкцией. Корректно говорить о потоках информации можно лишь между одинаковыми сущностями, т.е. объектами. Кроме того, в ассоциированных объектах отображается текущее состояние субъекта. Отображениями Stream и Create описываются с точки зрения разделения на субъекты и объекты все события (изменения субъектов и объектов), происходящие в АС.

Из определения 3 следует также, что поток всегда инициируется (порождается) субъектом.

Определение 4. Доступом субъекта S_i к объекту О_j будем называть порождение потока информации между некоторым объектом (например, ассоциированным с субъектом объектами S_i ({О_m})) и объектом О_j.

Выделим все множество потоков Р для фиксированной декомпозиции АС на субъекты и объекты во все моменты времени (все множество потоков является объединением потоков по всем моментам дискретного времени) и произвольным образом разобьем его на два непересекающихся подмножества: N и L. Имеем

P = N L, N L =

Обозначим: N -подмножество потоков, характеризующее несанкционированный доступ; L - подмножество потоков, характеризующих легальный доступ. Дадим некоторые пояснения к разделению на множества L и N. Понятие "безопасности" подразумевает наличие и некоторого состояния опасности - нежелательных состояний какой-либо системы (в данном случае АС). Будем считать парные категории типа "опасный-безопасный" априорно заданным для АС и описываемыми политикой безопасности, а результатом применения политики безопасности к АС - разделение всего множества потоков на множества "опасных" потоков N и множество "безопасных" L. Деление на L и N может описывать как свойство целостности (потоки из N нарушают целостность АС) или свойство конфиденциальности (потоки из N нарушают конфиденциальность АС), так и любое другое произвольное свойство.

Определение 5. Правила разграничения доступа субъектов к объектам есть формально описанные потоки, принадлежащие подмножеству L.

В предлагаемой субъектно-ориентированной модели не уточняются известные модели политик безопасности (политика безопасности описывает только критерии разбиения на множества L и N), но формулируются условия корректного существования элементов АС, обеспечивающих реализацию той или иной политики безопасности. Поскольку критерий разбиения на множества L и N не связан со следующими далее утверждениями (постулируется лишь наличие субъекта, реализующего фильтрацию потоков), то можно говорить об инвариантности субъектно-ориентированной модели относительно любой принятой в АС политики безопасности (не противоречащей условиям утверждений).

Определение 6. Объекты О_i и О_j тождественны в момент времени t, если они совпадают как слова, записанные в одном языке.

Для введения понятия тождественности субъектов условимся о наличии процедуры сортировки ассоциированных объектов, которая позволяет говорить о возможности попарного сравнения. На практике всегда существует алгоритм, обеспечивающий возможность попарного сравнения и зависящий от конкретной архитектуры АС. Например, достаточно легко выделить и попарно сравнивать, например, участки оперативной памяти, отвечающие коду программ (отличающиеся абсолютным адресом загрузки в оперативную память) или содержанию переменных и массивов.

Определение 7. Субъекты S_i и S_j тождественны в момент времени t, если попарно тождественны все ассоциированные с ними объекты.

Следствие (из определений 6 и 7). Порожденные субъекты тождественны, если тождественны порождающие субъекты и объекты-источники.

Верность данного следствия вытекает из тождества функционально ассоциированных объектов в порождающих субъектах, которые отвечают за порождение нового субъекта, а также из тождества аргументов (ассоциированных объектов-данных), которые отвечают объектам-источникам.

Для разделения всего множества потоков в АС на подмножества L и N необходимо существование активного компонента (субъекта), который:

* активизировался бы при возникновении любого потока;

* производил бы фильтрацию потоков в соответствии с принадлежностью множествам L или N.

Заметим, что если существуют Stream (S_i, O_j)->O_m и Stream (S_k, O_m)-»O_i, то существует и Stream ((S_i, S_k), О_j)->O_i, т.е. отношение "между объектами существует поток" является транзитивным (относительно пары субъектов). Именно в этом смысле будем говорить об участии субъекта (S_k) в потоке (если O_m является ассоциированным объектом субъекта, не тождественного S_i). Введем несколько определений.

Определение 8. Монитор обращений (МО) - субъект, активизирующийся при возникновении потока от любого субъекта к любому объекту.

Можно выделить два вида МО: индикаторный МО - устанавливающий только факт обращения субъекта к объекту; содержательный МО - субъект, функционирующий таким образом, что при возникновении потока от ассоциированного объекта О_m любого субъекта S_i к объекту O_j и обратно существует ассоциированный с МО объект О_то (в данном случае речь идет об ассоциированных объектах-данных), тождественный объекту О_m или одному из S_i({O_m}). Содержательный МО полностью участвует в потоке от субъекта к объекту (в том смысле, что информация проходит через его ассоциированные объекты-данные и существует тождественное отображение объекта на какой-либо ассоциированный объект МО).

Теперь сформулируем понятие монитора безопасности (в литературе также применяется понятие монитора ссылок). Это понятие связано с упоминаемой выше задачей фильтрации потоков. Поскольку целью является обеспечение безопасности АС, то и целевая функция монитора -фильтрация для обеспечения безопасности (отметим еще раз. что разделение на N и L задано априорно).

Определение 9. Монитор безопасности объектов (МБО)-монитор обращений, который разрешает поток, принадлежащий только множеству легального доступа L. Разрешение потока в данном случае понимается как выполнение операции над объектом-получателем потока, а запрещение - как невыполнение (т.е. неизменность объекта-получателя потока).

Монитор безопасности объектов фактически является механизмом реализации политики безопасности в АС.

Постулируя наличие в АС субъекта, реализующего политику безопасности рассмотрим основные политики безопасности с использованием [1].

Размещено на Allbest.ru