Примеры практической реализации методов контроля доступа и решаемых ими задач защиты
В данном разделе учебного пособия рассмотрим примеры практической реализации методов контроля доступа, позволяющей реализовать сформулированные требования в части построения безопасной системы; рассмотрим примеры использования методов контроля доступа для решения актуальных современных задач защиты информации. Отметим, что все рассматриваемые в учебном пособии технические решения реализованы и апробированы, в том числе приведенные разграничительные политики доступа в рамках построения комплексной системы защиты информации «Панцирь+» для ОС Мюго80Й?тс1оУ8.
Реализация методов контроля доступа к создаваемым файлам
Реализация мандатного метода контроля доступа
Как отмечали, важнейшим достоинством данного метода является простота администрирования, практически сводящая на нет вероятность ошибки администрирования средства защиты, что позволяет его использовать, в том числе для реализации разделительной политики доступа в рамках построения сессионного контроля доступа к файловым объектам.
Для иллюстрации кардинального упрощения задачи администрирования рассмотрим всю процедуру настройки мандатного контроля доступа к создаваемым файлам [15].
Прежде всего, требуется завести пользователей в средстве защиты/в системе. Пользователи либо заводятся из интерфейса средства защиты, приведенного на рис. 18, либо импортируются в средство защиты из системы, после чего для них устанавливается пароль на вход в систему, включая задание возможности входа в систему в безопасном режиме, см. рис. 18, что крайне важно с точки зрения реализации эффективной защиты. Естественно, для системных пользователей пароль установить нельзя.
В результате заведенные в системе и в средстве защиты пользователи отображаются в окне интерфейса средства защиты, в виде, приведенном на рис. 19. Системные пользователи отображаются черным цветом, пользователи с установленным паролем для входа в систему - зеленым, пользователи, пароль которым не установлен - красным,их вход в систему невозможен.
После заведения пользователей из меню, приведенного на рис.20, задаются уровни доступа (мандатные уровни). Уровни задаются как количественным значением меток безопасности (мандатов), которые собственно и сравниваются диспетчером доступа, так и их смысловой транскрипцией.
В результате заведенные в системе уровни доступа отображаются в виде, представленном на рис.21.
Рисунок 18.Интерфейс задании пользователей в средстве защиты
Рисунок 19.0тображение созданных в системе пользователей
Рисунок 20.Меню задании уровней доступа (мандатных уровней)
Рисунок 21.0тображение заданных в системе уровней доступа
(мандатных уровней)
Далее для тех пользователей, доступ к создаваемым файлам которыми должен контролироваться, сопоставляются метки безопасности. Им присваивается уровень доступа, см. рис.22 а), уровень доступа назначается из созданного до этого списка, см. рис.22 б).
Рисунок 22.3адание пользователям уровней доступа (мандатных уровней)
Пользователи с заданными для них уровнями доступа отображаются в интерфейсе в виде, приведенном на рис.23.
Рисунок 23.0тображение в интерфейсе заданных в системе пользователей с заданными для них уровнями доступа (мандатными уровнями)
Напомним, что будет происходить при назначении пользователям уровней доступа[15]. При создании файла контролируемым пользователем (пользователем, которому присвоен уровень доступа) создаваемым файлом автоматически будет наследоваться уровень доступа (метка безопасности) создавшего его пользователя. Файл будет автоматически размечаться диспетчером доступа: в атрибутах создаваемого файла им будетсохраняться мандатный уровень (метка безопасности)создавшего файл пользователя. Наследование будет происходить и в том случае, если контролируемый пользователь не создает новый, а модифицирует неразмеченный ранее файл.
При последующем обращении к контролируемому файлу (к размеченному файлу) доступ к нему будет контролироваться: разрешаться/запрещаться в соответствии с заданными правилами мандатного доступа. Доступ к контролируемому файлу от неконтролируемого пользователя, которому не присвоен уровень доступа, будет запрещен.
Настройка правил мандатного доступа осуществляется из интерфейса, приведенного на рис.24. В окне интерфейса, приведенного на рис.24, могут быть заданы следующие правила доступа: возможность чтения/записи пользователем файла одного с ним уровня и возможность чтения пользователем файла более низкого уровня доступа (категории).
Рисунок 24.Интерфейс наст ройки правил мандат ного доступа
Выбор (задание) правил, см. рис.24, позволяет использовать как иерархические, так и неиерархические метки безопасности.
Замечание. Ранее в пособии мы обосновали, что «непротиворечивая модель мандатного контроля доступа» предполагает реализацию неиерархических меток безопасности. Неиерархические метки безопасности должны назначаться и при построении метода сессионного контроля доступа в части реализации разделительной политики между сессиями, назначаемыми учетными записями пользователей. Также неиерархические метки безопасности с соответствующей их смысловой транскрипцией могут использоваться при реализации ролевой модели контроля доступа.
Как отмечали, правила мандатного контроля доступа задаются для двух основных типов доступа: чтение и запись (разрешение записи включает разрешение модификации/удаления/переименования).
Вот и все требуемые настройки! Больше ничего не нужно настраивать, а главное, не требуется каким-либо образом размечать файловые объекты (назначать им метки безопасности), создавать папки для последующего сохранения в них пользователями файлов. Вся разметка создаваемых в процессе работы файлов (т.е. тех файловых объектов, к которым контролируется доступ с использованием меток безопасности - мандатов) производится автоматически средством защиты.
Для возможности обзора произведенной в процессе работы системы разметки файлов, созданных контролируемыми субъектами (пользователями, которым присвоены метки безопасности), в состав средства защиты включена специальная утилита обзора разметки созданных файлов. С ее использованием, выбрав соответствующий файловый объект в программе-проводнике, администратор может посмотреть, какие права унаследованы файлом при его создании (отображается имя пользователя, создавшего файл, - учетная запись, его уровень доступа), см. рис.25. Используя данную утилиту, администратор может удалить разметку либо создать необходимую ему разметку вручную, включив тем самым файл (в том числе и системный) в мандатную схему контроля доступа.
Рисунок 25.0тображение разметки созданных контролируемыми пользователями
файлов при мандатном контроле доступа
