Разработка модели разграничения доступа

 

Наибольшую популярность получили две модели разграничения доступа – дискреционный, или избирательный (discretionary access control, DAC), и мандатный, или полномочный доступ (mandatory access control, MAC). Вторая модель стала развитием первой/38/.

Дискреционный контроль доступа позволяет субъектам определять права доступа к объектам при условии наличия прав собственности на данные объекты. Данный подход обеспечивает гибкость и динамичность в изменении полномочий. Матричным моделям присущи серьезные недостатки. Основной из них – это излишне детализированный уровень описания отношений субъектов и объектов. Из-за этого усложняется процедура администрирования системы защиты. Как следствие, усложнение администрирования может приводить к возникновению ошибок, росту количества уязвимостей и увеличению возможностей доступа к информации со стороны внешних и внутренних нарушителей.

С целью устранения недостатков матричных моделей были разработаны так называемые многоуровневые модели защиты, классическими примерами которых являются модель конечных состояний Белла-Ла-Падулы. Модель контроля и управления доступом Белла-ЛаПадула основана на мандатной модели управления доступом, но не полностью повторяет её. Многоуровневые модели предполагают формализацию процедуры назначения прав доступа посредством использования, так называемых меток конфиденциальности или мандатов L, назначаемых субъектам и объектам доступа . Метки доступа субъекта L() определяются в соответствии с уровнем допуска лица к информации, а для объекта доступа L() – признаками конфиденциальности информации. Наборы уровень доступа/уровень секретности описываются с помощью матрицы доступа.

Все возможные уровни допуска L четко определены и упорядочены по возрастанию секретности. Действуют два основных правила:

1. Пользователь может читать только объекты с уровнем допуска не выше его собственного:

O ⇔ L () ≥ L () (3.1)

2. Пользователь может изменять только те объекты, уровень допуска которых не ниже его собственного:

O ⇔ L () ≤ L () (3.2)

Таким образом, многоуровневая модель предупреждает возможность преднамеренного или случайного снижения уровня конфиденциальности защищаемой информации за счет ее утечки. Согласно рисунку 3.1, эта модель препятствует переходу информации из объектов с высоким уровнем конфиденциальности и узким набором категорий доступа в объекты с меньшим уровнем конфиденциальности и более широким набором категорий доступа.

 

 

Рисунок 3.1 – Cхема мандатного доступа субъектов к объектам АС

 

Так как отдельно взятые категории одного уровня равнозначны, то, чтобы их разграничить наряду с многоуровневой (мандатной) моделью, требуется применение матричной модели. Данные горизонтальные связи также представлены на рисунке 3.1./23/.

Модель дискреционного доступа, предложенная Хартсоном, вероятно наиболее наглядно в формальном плане иллюстрирует дискреционный принцип разграничения доступа, выраженный языком реляционной алгебры. Приведем ее основные положения в кратком изложении.

1. Система представляется совокупностью пяти наборов (множеств):

- множества пользователей U;

- множества ресурсов R;

- множества состояний S;

- множества установленных полномочий A;

- множества операций E.

2. Область безопасности представляется декартовым произведением:

A × U × E × R × S (3.3)

3. Пользователи подают запросы на доступ к ресурсам, осуществление которых переводит систему в новое состояние. Запросы на доступ представляются четырехмерными кортежами

q = (u, e, R', s), (3.4)

где u ∈ U, e ∈ E, s∈ S, R' ⊆ R (R'- требуемый набор ресурсов).

Таким образом, запрос на доступ представляет собой подпространство четырехмерной проекции пространства безопасности. Запрос удовлетворяется, если он полностью заключен в области безопасности (3.3).

4. Процесс организации доступа алгоритмически описывается следующим образом.

4.1. Определить из U те группы пользователей, к которым принадлежит u. Затем выбрать из A те спецификации, которым соответствуют выделенные группы пользователей. Этот набор полномочий F(u) определяет привилегию пользователя u.

4.2. Определить из множества A набор полномочий P =F(e), которые устанавливают e как основную операцию. Набор полномочий P =F(e) определяет привилегию операции e.

4.3. Определить из множества A набор полномочий P =F(R'), разрешающих доступ к набору ресурсов R'. Набор полномочий P =F(R') определяет привилегию ресурсов R'.

Полномочия, которые являются общими для всех трех привилегий, образуют так называемый домен полномочий запроса D(q)

D(q) = F(u) ∩ F(e) ∩ F(R').

4.4. Убедиться, что запрашиваемый набор ресурсов R' полностью содержится в домене запроса D(q), т. е. любой r из набора R' хотя бы один раз присутствует среди элементов D(q).

4.5. Осуществить разбиение D(q) на эквивалентные классы так, чтобы в один класс попадали полномочия (элементы D(q)), когда они специфицируют один и тот же ресурс r из набора R'.

В каждом классе произвести операцию логического ИЛИ элементов D(q) с учетом типа операции e.

В результате формируется новый набор полномочий на каждую единицу ресурса, указанного в D(q) - F(u, q). Набор F(u, q) называется фактической привилегией пользователя u по отношению к запросу q.

4.6. Вычислить условие фактического доступа (EAC), соответствующее запросу q, через операции логического ИЛИ по элементам полномочий F(u, q) и запрашиваемым ресурсам r из набора R', и получить тем самым набор R'' – набор фактически доступных по запросу ресурсов.

4.7. Оценить EAC и принять решение о доступе:

- разрешить доступ, если R'' и R' полностью перекрываются;

- отказать в доступе в противном случае/25/.

 

Для АСОД ОАО Альфапроект характерна дискреционная модель разграничения доступа, соответственно необходимо разработать дискреционный принцип разграничения доступа для АСОД.

Ресурсы, подлежащие защите, располагаются на файловом сервере, соответственно необходимо рассмотреть структуры каталогов, в которых располагаются ресурсы. Все ресурсы четко разделены по отдельным каталогам, к которым имеют доступ соответствующие пользователи. Структура каталогов повторяет организационную структуру предприятия, что упрощает процесс построения модели. На рисунке 3.2 изображена структура каталогов, расположенных на файловом сервере.

 

 

Рисунок 3.2 – Структура каталогов на сервере предприятия ОАО Альфапроект

 

Пользователи на предприятии объединены в группы, для удобства администрирования. Группы пользователей образованы согласно занимаемым ими должностям. На рисунке 3.3 представлена структура должностей ОАО Альфапроект. Каждая из должностей имеет свои категории прав и свое множество ресурсов (каталогов) на которые распространяются соответствующие им категории прав. Таким образом, разграничение доступа должно проводиться с учетом возможностей на выполнение тех или иных операций с ресурсами в АСОД для каждой должности, и пользователя (сотрудника) имеющего данную должность.

 

 

Рисунок 3.3 – Структура должностей предприятия ОАО Альфапроект

 

Рассмотрев структуру каталогов и структуру должностей, можно приступить к созданию модели разграничения доступа. На рисунке 3.4 представлена модель разграничения доступа для ОАО Альфапроект. Данная модель полностью отражает права доступа на ресурсы расположенные на файловом сервере для групп и пользователей. Согласно модели пользователи (П) группы 1 (Гр₁) имеет доступ на запись только к собственным каталогам (К_n). Пользователи входящие в группу 2 (Гр₂-начальники отделов) помимо прав на запись собственных каталогов, имеют права доступ на чтение каталогов пользователей работающих в отделе. Пользователи состоящие в группе 3 (Гр₃-директор) так же как и пользователи Гр₁ имеют права доступа на запись в собственный каталог и права доступа на чтение всех каталогов находящихся на файловом сервере.

Результат разграничения доступа записывается, т.е. производит изменения, в списки доступа АСL, которые в свою очередь представляет прямоугольную матрицу (таблицу), строки которой соответствуют субъектам доступа, столбцы объектам доступа, а в ячейках записываются разрешенные операции соответствующего субъекта над соответствующим объектом (таблица 3.1).

Прописанные в ячейках матрицы права доступа в виде разрешенных операций над объектами определяют виды безопасных доступов соответствующего субъекта к соответствующему объекту. Для выражения типов разрешенных операций используются специальные обозначения, составляющие основу (алфавит) некоторого языка описания политики разграничения. Таким образом, в рамках дискреционной политики каждая ячейка агрегирует некоторое подмножество троек "субъект-операция(поток)-объект"/25/.

 

Таблица 3.1 – Матрица права доступа

	Объекты доступа
Субъекты доступа				…		…
	r	r	…	w		r
	w	r	…	r	…	w
	…	…	…	….	…	…
	r	w	…	r	…	w
	…	…	…	….	…	…
	w	e	…	w	…	r

 

 

 

Рисунок 3.4 – Модель разграничения доступа для ОАО Альфапроект

 

Теперь необходимо математически описать модель разграничения доступа.

Конечным итогом разработанной модели должен стать массив, в котором содержатся имена пользователей, принадлежащие им ресурсы, категория прав доступа m, и неотъемлемый атрибут имя учетной записи системного администратора и соответствующая ему категория прав доступа m ко всем ресурсам.

Под категорией прав доступа понимается возможность выполнения, каких либо действий над определенным ресурсом или группой ресурсов. Среди категорий можно выделить следующие:

n – запрет на доступ;

r – возможность чтения ресурса;

w – возможность записи ресурса и дальнейшего его чтения;

с – возможность выполнения вех возможных операций над ресурсами, без возможности изменения свойств доступа к ресурсу;

f – возможность выполнения вех возможных операций над ресурсами, с возможности изменения свойств доступа к ресурсу.

Но каждая категория прав m включает в себя более низкую категорию:

Так же необходимо отметить, что системный администратор имеет самую высокую категорию прав доступа – f.

Теперь рассмотрим непосредственно представление модели разграничения доступа, выраженную языком реляционной алгебры.

k – множество групп;

l – множество пользователей;

m – множество ресурсов (каталогов);

n – множество категорий прав доступа;

o –имя системного администратора в АС.

1. Необходимо получить список групп k и пользователей l, входящих в эти группы.

{ ; } (3.5)

Такие что:

(3.6)

2. Определение администратора o АС из всех пользователей l:

(3.7)

Для администратора o, права доступа n всегда «f».

таким образом, производим объединение множества пользователей и групп, в которых состоят первые, и имя администратора с правами «f»:

{ ; = { ; } (3.8)

3. Теперь необходимо определить категории прав доступа, т.е. поставить в соответствие группам пользователей соответствующие категории прав доступа n. Для этого производится назначение соответствующей группе пользователей соответствующие категории прав доступа. Мы уже имеем список групп k, теперь определяем для каждого соответствующие категории прав :

(3.9)

1. Теперь необходимо определить каталоги, принадлежащие группам. Для этого производим поиск каталогов, принадлежащих i группе, следующим образом:

Для каждого пользователя определяем каталоги принадлежащие ему:

(3.10)

И записываются во временный файл К.

После этого из полученного списка выбираем первый путь каталога , разбиваем его путь на части:

(3.11)

Далее а,b,c, присваивается номер категории прав доступа:

а=1

b=2

c=3

Если группе соответствует категория прав и i = 1, то производим поиск по а, если i = 2, то поиск по b, если i = 3 то поиск по с, т.е. в переменной х присваиваем значение а или b или с:

(3.12)

Все полученный результаты дописываем во временный файл К.

2. Организуем полученные результаты

(3.13)

После получения выражения вида (3.13) мы имеем все необходимы данные для назначения прав доступа пользователям k на ресурсы m.

3. Производим запись прав доступа n на каталоги m для пользователей k в таблицу доступа АCL, средствами встроенной утилиты cаcls.exe.

 

Программное средство управления доступом должно отвечать следующим требованиям:

− Работа в среде ОС Windows.

− Высокий уровень надежности назначения прав доступа.

− Непрерывность работы.

− Простота в использование.

− Использование минимальных ресурсов компьютера.

− Возможность конфигурирования.

− Минимальные затраты на разработку.

Наиболее высокий уровень надежности назначения прав можно достигнуть, применяя их на уровне файловой системы. Что в принципе сходно со способом разграничения доступа в АD.