Модели дискретного доступа

В основе моделей дискретного доступа (DAC) с различными модификациями лежат следующие идеи. Система защиты представляется в виде некоторого декартова произведения множеств, составными частями которых

являются интересующие автора модели составные части системы защиты, например: субъекты, объекты, уровни доступа, операции и т.д. В качестве математического аппарата выбирается аппарат теории множеств. Рассмотрим эти модели подробнее.

Одна из первых моделей безопасности была модель АДЕПТ-50. В ней представлено четыре типа сущностей: пользователи (u), задания (j), терминалы (t) и файлы(f), причем каждая сущность описывается тройкой (L,F, М), включающим параметры безопасности:

Уровень безопасности L —скаляр —элементы из набора иерархически упорядоченных уровней безопасности.

Полномочия F—группа пользователей, имеющих право на доступ к определенному объекту.

Режим М —набор видов доступа, разрешенных к определенному объекту или осуществляемых объектом. Пример: ЧИТАТЬ ДАННЫЕ, ПРИСОЕДИНЯТЬ ДАННЫЕ, ИСПОЛНИТЬ ПРОГРАММУ.

Если U={u} обозначает набор всех пользователей, известных системе,aF(i) —набор всех пользователей, имеющих право использовать объектi, то для модели формулируются следующие правила:

1.Пользовательuполучает доступ к системеuY.

2.Пользователь и получает доступ к терминалуt  uF(t), т.е. в том и только в том случае, когда пользователь и имеет право использовать терминал t.

3.Пользователь и получает доступ к файлуjA(j)A(f),C(j)C(f),M(j)M(f) иuF(f), т.е. только в случае:

привилегии выполняемого задания шире привилегий файла или равны им; пользователь является членом F(f). Трехмерный кортеж безопасности, полученный на основе прав задания, а не прав пользователя, используется в модели для управления доступом. Такой подход обеспечивает однородный контроль права на доступ над неоднородным множеством программ и данных, файлов, пользователей и терминалов. Например, наивысшим полномочием доступа к файлу для пользователя "СОВ. СЕКРЕТНО", выполняющего задание с "КОНФИДЕНЦИАЛЬНОГО" терминала будет "КОНФИДЕНЦИАЛЬНО".

Теперь рассмотрим модель, называемую пятимерным пространством безопасности Хартстона. В данной модели используется пятимерное пространство безопасности для моделирования процессов установления полномочий и организации доступа на их основании. Модель имеет пять основных наборов:

А —установленных полномочий;

U —пользователей;

Е —операций;

R —ресурсов;

S —состояний;

Область безопасности будет выглядеть как декартово произведение: AUERS.

Доступ рассматривается как ряд запросов, осуществляемых пользователями uдля осуществления операцииeнад ресурсами R,в то время, когда система находится в состоянииs. Например, запрос на доступ представляется четырехмерным кортежемq=(u,e,R,s),uU, еЕ,sS,rR. Величиныuиsзадаются системой в фиксированном виде. Таким образом, запрос на доступ — подпространство четырехмерной проекции пространства безопасности. Запросы получают право на доступ в том случае, когда они полностью заключены в соответствующие подпространства.

Процесс организации доступа можно описать алгоритмически следующим образом. Для запроса q, гдеq(u,e,R,s), набора U'вполне определенных групп пользователей, набора R'вполне определенных единиц ресурсов и набора Р правильных (установленных) полномочий, процесс организации доступа будет состоять из следующих процедур:

1.Вызвать все вспомогательные программы, необходимые для "предварительного принятия решений".

2.Определить из Uте группы пользователей, к которым принадлежитu. Затем выбрать из Р спецификации полномочий, которым соответствуют выделенные группы пользователей. Этот набор полномочийF(u) определяет привилегию пользователяu.

3.Определить из Р наборF(e) полномочий, которые устанавливаютeкак основную операцию. Этот набор называется привилегией операции е.

4.Определить из Р наборF(R) (привилегию единичного ресурса R) —полномочия, которые определяют поднабор ресурсов из R',имеющего общие элементы с запрашиваемой единицей ресурса R.

Полномочия, которые являются общими для трех привилегий в процедурах 2, 3, 4образуютD(q), так называемый домен полномочий для запроса

q:D(q)=F(u)F(e)F(R)

5.Удостовериться, что запрашиваемый ресурс R полностью включается в D(q),т.е. каждый элемент из R должен содержаться в некоторой единице ресурса, которая определена в домене полномочий D(q).

6.Осуществить разбиение набора D(q)на эквивалентные классы так, чтобы два полномочия попадали в эквивалентный класс тогда и только тогда, когда они специфицируют одну единицу ресурса. Для каждого такого класса логическая операция ИЛИ (или И) выполняется с условиями доступа элементов каждого класса.

Новый набор полномочий —один на каждую единицу ресурса, указанную в D(q),есть F(u, q) —фактическая привилегия пользователя и по отношению к запросу q.

7.Вычислить ЕАС —условие фактического доступа, соответствующего запросу q,осуществляя логическое И (или ИЛИ) над условиями доступа членов F(u, q).Это И (или ИЛИ) выполняется над всеми единицами ресурсов, которые перекрывают единицу запрошенного ресурса.

8.Оценить ЕАС и принять решение о доступе: разрешить доступ к R,если Rперекрывается;

- отказать в доступе в противном случае.

9.Произвести запись необходимых событий.

10.Вызвать все программы, необходимые для организации доступа после "принятия решения".

11.Выполнить все вспомогательные программы, вытекающие для каждого случая из условия 8.

12.Если решение о доступе было положительным — завершить физическую обработку.

Автор модели, Хартстон, отмечает, что приведенная последовательность шагов не всегда необходима в полном объеме. Например, в большинстве реализаций шаги 2и 6 осуществляются во время регистрации пользователя в системе.

К достоинствам моделей дискретного доступа можно отнести относительно простую реализацию. В качестве примера реализаций данного типа моделей можно привести так называемую матрицу доступа, строки которой соответствуют субъектам системы, а столбцы —объектам; элементы матрицы характеризуют права доступа.

К недостаткам относится "статичность моделей. Это означает то, что модель не учитывает динамику изменений состояния ВС, не накладывает ограничений на состояния системы.