Р Нарушениесвойства Ограниченияис.9.4. Схема запрещенного взаимодействия конфиденциального объекта

При формализации многоуровневого управления безопасностью, модель БеллаЛа Падулы определяет структуру класса доступа и упорядочивает отношения между классами доступа (доминирование). Кроме того, определяются два уникальных класса доступа: SYSTEM HIGH, который превосходит все остальные классы доступа, и SYSTEM LOW, который превосходят все другие классы. Изменения классов доступа в рамках модели БеллаЛа Падулы не допускаются.

Управление доступом в модели БеллаЛа Падулы происходит как с использованием матрицы управления доступом, так и с использованием меток безопасности и ранее приведенных правил простой безопасности и свойства ограничения.

В дополнение к имеющимся режимам доступа чтения и записи матрица управления доступом включает режимы добавления, исполнения и управления, причем последний определяет, может ли субъект передавать другим субъектам права доступа, которыми он обладает по отношению к объекту.

Управление при помощи меток безопасности усиливает ограничение предоставляемого доступа на основе сравнения атрибутов класса доступа субъектов и объектов.

В модели БеллаЛа Падулы определено около двадцати функций (правил операций), выполняемых при модификации компонентов матрицы доступа, при запросе и получении доступа к объекту (например, при открытии файла), создании и удалении объектов; при этом для каждой функции доказывается сохранение ею в соответствии с определением безопасного состояния. Лишь немногие разработки безопасных систем использовали функции, предложенные Белла и Ла Падулы, чаще использовались собственные функции, разработанные на основе функций модели БеллаЛа Падулы. Поэтому в настоящее время, когда говорят о модели БеллаЛа Падулы, имеются в виду только простое условие безопасности и свойство ограничения, а не функции, составляющие основу модели, и их доказательства.