Исследование процесса разработки средств автоматизированного анализа выполнения правил политик безопасности

При решении задачи моделирования и анализа ПБ для ИС необходим инструментарий, который был бы универсален по отношению к моделям широкого класса, т. е. аппарат, независимый от ПБ, реализованных в исследуемых ИС.

Проведенный анализ моделей и их реализаций в современных ОС, а также методов, используемых при моделировании защищенных ИС, позволяет решить указанную задачу путем выработки логического подхода к анализу выполнения правил ПБ посредством представления объектов исследования с помощью логических предикатов и создания на его основе механизма автоматизированного анализа подсистем безопасности.

Обобщенное представление моделей контроля и управления доступом

Анализ теории моделей КУД показывает, что машина состояний — распространенный инструмент моделирования различных аспектов ИС. В частности он используется при создании моделей КУД, так называемых моделей безопасности состоянии. Базовыми элементами таких моделей являются состояния и переходы между ними. В общем случае под состоянием понимается образ ИС в некоторый момент времени, включающий все аспекты системы, связанные с безопасностью, а переход описывается функцией, которая определяет следующее состояние в зависимости от текущего состояния и поступившего запроса (функция перехода).

В качестве примера можно привести рассмотренные модели ХаррисонаРуззо-Ульмана и Белла-ЛаПадулы. Так, в модели Харрисона-Руззо-Ульмана пространство состояний системы образуется декартовым произведением множеств составляющих ее субъектов, объектов и прав — SxOxR, а текущее состояние системы в этом пространстве определяется тройкой (S, О, М), где М— матрица прав доступа М.

К этому же классу относятся модели КУД большинства ОС. В реальных системах (в том числе, и в ОС) алгоритм работы подсистемы КУД воплощен в виде правил работы монитора обращений — системного компонента, который выполняет функции перехвата системных запросов и сопоставления их с требованиями реализованной модели КУД. Средства защиты известных и широко распространенных ИС базируются на дискреционных, редко — мандатных, моделях состояний. При соблюдении требований модели система переходит в новое состояние.

Предлагается рассматривать отдельно переходы системы из состояния в состояние и условия выполнения правил модели КУД, Тогда поведение системы моделируется на основе теории конечных: автоматов, а безопасность системы — в виде набора условий, логических функций, заданных на множествах субъектов, объектов и атрибутов безопасности. Политика безопасности реализуется в системе посредством задания правил доступа средствами ИС, например, с помощью прав доступа к объектам, группированием субъектов и т. п. Политика безопасности рассматривается как ограничения, накладываемые на функционирование ИС. По причине ошибок администрирования, некорректной реализации модели КУД в системе или использования конфигурации безопасности по умолчанию системное состояние может оказаться не соответствующим ПБ, т. е. система может находиться в состоянии, в котором не выполняются правила политики.

Обозначим через St множество системных состояний с точки зрения безопасности. Состояние есть перечисление элементов ИС, определяющих ее безопасность (например, в ОС: учетные записи пользователей, права доступа, ключи реестра и т. д.) (рис 2.1). Произведем разграничение системных сущностей, С одной стороны, сущности могут быть активными, т. е. инициировать операции, выполняемые с информацией. С другой стороны сущности могут быть пассивными, т. е. являться контейнерами информации. Активные сущности назовем субъектами, пассивные — объектами Объекты являются предметом операций, которые могут выполняться субъектами. В случае, когда субъект сам является предметом операции (например, при изменении членства в группе), над субъектом могут производиться действия, как над объектом. Субъекты и объекты обладают определенными атрибутами, которые содержат информацию, позволяющую ИС функционировать правильно. Некоторые атрибуты, например, параметры управления доступом, предназначены исключительно для осуществления ПБ. Последние назовем атрибутами безопасности. Обозначим через S— множество субъектов, О — множество объектов, SA — множество атрибутов безопасности. Тогда множество St есть декартово произведение Sx OxSA.

Переход из состояния в состояние возможен как результат действий над сущностями ИС и их атрибутами. С точки зрения безопасности разрешения эта операции выдаются в соответствии с требованиями, указанными в модели КУД. В ИС компонент, выполняющий разрешительные функции, называется монитором обращений, он выполняет проверку соответствия между запросом на доступ и требованиями модели. Обозначим через и требования модели КУД. При выполнении требований ИС переходит из состояния st н состояние st' где st,(например, успешноесозданиесубъектаприводитк смене состояния).

Обозначим переход из состояния в состояние посредством функции переходов S, а запрос на доступ через q, тогда последующее состояние В общем случае, существует последовательность пар «запроссостояние», которая моделирует изменения системы от начального состояния до некоторого состояния называемогодостижимым.

Приведенное деление позволяет построить обобщенное представление моделей состояний (ОПМ) М = {St, R} (рис. 2.2).

Рис. 2.2 Обобщенное представление моделей состояний