ИБиЗИ_6

Дисциплина: Информационная безопасность и защита информации
Управление доступом
Полноценные, мультимедийные продукты своими руками !
КарГТУ Кафедра АМС старший преподаватель Радько Т.И.
Дисциплина: Информационная безопасность и защита информации
Управление доступом
Полноценные, мультимедийные продукты своими руками !
Одним из условий обеспечения безопасности
информационных систем является управление
доступом пользователя к информационным
ресурсам.
Необходимо контролировать доступ как к
информации в компьютере, так и к прикладным
программам.
КарГТУ Кафедра АМС старший преподаватель Радько Т.И.
Дисциплина: Информационная безопасность и защита информации
Управление доступом
Полноценные, мультимедийные продукты своими руками !
Для реализации управления доступом следует
получить ответы на следующие вопросы:
1) Кому, при каких условиях, к каким ресурсам
должен обеспечивать доступ к информационным
ресурсам?
2) Какие аппаратно-программные комплексы по
разграничению доступа и определению для всех
пользователей информационных и программных
ресурсов будут использоваться?
3) Каким образом будет происходить управление
процедурой доступа?
КарГТУ Кафедра АМС старший преподаватель Радько Т.И.
Дисциплина: Информационная безопасность и защита информации
Управление доступом
Полноценные, мультимедийные продукты своими руками !
Формальная постановка задачи:
Имеется совокупность субъектов и набор
объектов.
Задача управления доступом состоит в том,
чтобы для каждой пары "субъект-объект"
определить множество допустимых операций и
контролировать выполнение установленного
порядка.
КарГТУ Кафедра АМС старший преподаватель Радько Т.И.
Дисциплина: Информационная безопасность и защита информации
Управление доступом
Полноценные, мультимедийные продукты своими руками !
Средства управления доступом позволяют
специфицировать и контролировать действия,
которые субъекты (пользователи и процессы)
могут выполнять над объектами (информацией и
другими компьютерными ресурсами).
КарГТУ Кафедра АМС старший преподаватель Радько Т.И.
Дисциплина: Информационная безопасность и защита информации
Управление доступом
Полноценные, мультимедийные продукты своими руками !
Управление доступом может быть достигнуто при
использовании:
• дискреционного (произвольного),
• ролевого
• мандатного
управления доступом.
КарГТУ Кафедра АМС старший преподаватель Радько Т.И.
Дисциплина: Информационная безопасность и защита информации
Управление доступом
Полноценные, мультимедийные продукты своими руками !
Произвольное управление доступом — это
метод ограничения доступа к объектам,
основанный на учете личности субъекта или
группы, в которую субъект входит.
Произвольность управления состоит в том, что
некоторое лицо (обычно владелец объекта) может
по своему усмотрению передавать другим
субъектам или отбирать у них права доступа к
объекту.
КарГТУ Кафедра АМС старший преподаватель Радько Т.И.
Дисциплина: Информационная безопасность и защита информации
Управление доступом
Полноценные, мультимедийные продукты своими руками !
Отношение
"субъекты-объекты"
можно
представить в виде матрицы доступа, в строках
которой перечислены субъекты, в столбцах объекты, а в клетках, расположенных на
пересечении строк и столбцов, записаны
дополнительные условия (например, время и
место действия) и разрешенные виды доступа.
КарГТУ Кафедра АМС старший преподаватель Радько Т.И.
Дисциплина: Информационная безопасность и защита информации
Управление доступом
Полноценные, мультимедийные продукты своими руками !
Фрагмент матрицы доступа
Пользователь 1
Пользователь 2
Файл
Программа
Линия
связи
orw с
системной
консоли
e
rw с 8:00 до
18:00
Реляционная
таблица
a
"o" - обозначает разрешение на передачу прав доступа другим
пользователям,
"r" - чтение,
"w" - запись,
"e" - выполнение,
"a" - добавление информации
КарГТУ Кафедра АМС старший преподаватель Радько Т.И.
Дисциплина: Информационная безопасность и защита информации
Управление доступом
Полноценные, мультимедийные продукты своими руками !
Фрагмент матрицы доступа
Пользователь 1
Пользователь 2
Файл
Программа
Линия
связи
orw с
системной
консоли
e
rw с 8:00 до
18:00
Реляционная
таблица
a
Матрицу доступа, ввиду ее разреженности
(большинство клеток - пустые), неразумно хранить в
виде двухмерного массива. Обычно ее хранят по
столбцам, то есть для каждого объекта поддерживается
список "допущенных" субъектов вместе с их правами.
КарГТУ Кафедра АМС старший преподаватель Радько Т.И.
Дисциплина: Информационная безопасность и защита информации
Управление доступом
Полноценные, мультимедийные продукты своими руками !
Достоинство произвольного управления – гибкость
(для каждой пары "субъект-объект" можно
независимо задавать права доступа).
КарГТУ Кафедра АМС старший преподаватель Радько Т.И.
Дисциплина: Информационная безопасность и защита информации
Управление доступом
Полноценные, мультимедийные продукты своими руками !
Недостатки:
• рассредоточенность управления доступом ведет к
тому, что доверенными должны быть многие
пользователи, а не только системные операторы или
администраторы.
• права доступа существуют отдельно от данных.
Ничего не мешает пользователю, имеющему доступ к
секретной информации, переписать ее в доступный
всем файл или заменить полезную утилиту ее
"троянским" аналогом.
КарГТУ Кафедра АМС старший преподаватель Радько Т.И.
Дисциплина: Информационная безопасность и защита информации
Управление доступом
Полноценные, мультимедийные продукты своими руками !
Существуют механизмы управления доступом,
которые поддерживают степень детализации
управления доступом на уровне следующих
категорий: владелец информации, заданная группа
пользователей и «мир» (все другие авторизованные
пользователи).
Это позволяет владельцу ресурса иметь права
доступа, отличающиеся от прав всех других
пользователей и определять особые права доступа
для указанной группы людей, а также для всех
остальных (мира).
КарГТУ Кафедра АМС старший преподаватель Радько Т.И.
Дисциплина: Информационная безопасность и защита информации
Управление доступом
Полноценные, мультимедийные продукты своими руками !
При
большом
количестве
пользователей
произвольное управление доступом становится
крайне сложными для администрирования: число
связей в них пропорционально произведению
количества пользователей на количество объектов.
Необходимы
решения
в
объектноориентированном стиле, способные эту сложность
понизить.
Таким решением является ролевое управление
доступом (РУД).
КарГТУ Кафедра АМС старший преподаватель Радько Т.И.
Дисциплина: Информационная безопасность и защита информации
Управление доступом
Полноценные, мультимедийные продукты своими руками !
Суть ролевого управления доступом заключается в
том, что между пользователями и их привилегиями
появляются промежуточные сущности - роли.
КарГТУ Кафедра АМС старший преподаватель Радько Т.И.
Дисциплина: Информационная безопасность и защита информации
Управление доступом
Полноценные, мультимедийные продукты своими руками !
Модель состоит из следующих сущностей:
пользователи, роли и привилегии.
Интуитивно понятно, что пользователь это
либо человек, либо программа работающая от
имени пользователя.
Роль это вид деятельности пользователя в
организации.
Привилегия это разрешение на определенный
доступ к одному или нескольким объектам
системы.
КарГТУ Кафедра АМС старший преподаватель Радько Т.И.
Дисциплина: Информационная безопасность и защита информации
Управление доступом
Полноценные, мультимедийные продукты своими руками !
В ролевой модели:
• Пользователь может иметь одну или несколько
ролей (преподаватель, зав.кафедрой) и несколько
пользователей могут принадлежать одной роли.
• Несколько привилегий могут принадлежать
одной роли (просматривать оценки, выставлять оценки,
исправлять их) и несколько ролей могут иметь одну и
ту же привилегию.
• Также в этой модели присутствует частично
упорядоченное множество - иерархия ролей.
КарГТУ Кафедра АМС старший преподаватель Радько Т.И.
Дисциплина: Информационная безопасность и защита информации
Управление доступом
Полноценные, мультимедийные продукты своими руками !
Между ролями может быть определено
отношение частичного порядка, называемое
наследованием.
Если
роль
r2
является
наследницей r1, то все права r1 приписываются r2,
а все пользователи r2 приписываются r1.
Можно представить себе формирование
иерархии ролей, начиная с минимума прав (и
максимума пользователей), приписываемых роли
"сотрудник", с постепенным уточнением состава
пользователей и добавлением прав (роли
"системный администратор", "бухгалтер" и т.п).
КарГТУ Кафедра АМС старший преподаватель Радько Т.И.
Дисциплина: Информационная безопасность и защита информации
Управление доступом
Полноценные, мультимедийные продукты своими руками !
Фрагмент иерархии ролей
КарГТУ Кафедра АМС старший преподаватель Радько Т.И.
Дисциплина: Информационная безопасность и защита информации
Управление доступом
Полноценные, мультимедийные продукты своими руками !
При ролевом управлении доступом должны
соблюдаться принципы разделения обязанностей.
Статическое
разделение
обязанностей
налагает
ограничения
на
приписывание
пользователей ролям.
Например, если пользователь приписан роли "бухгалтер", то
он не может быть приписан роли "архивариус".
КарГТУ Кафедра АМС старший преподаватель Радько Т.И.
Дисциплина: Информационная безопасность и защита информации
Управление доступом
Полноценные, мультимедийные продукты своими руками !
Динамическое
разделение
обязанностей
отличается от статического только тем, что
рассматриваются роли, активные в течение одного
сеанса пользователя (то есть один пользователь
может быть приписан к нескольким ролям).
Например, один и тот же пользователь имеет право
выступать и в роли "бухгалтер", и в роли "кассир", но не
одновременно: чтобы стать "бухгалтером", он должен
сначала закрыть кассу. Тем самым реализуется так
называемое "временное ограничение доверия".
КарГТУ Кафедра АМС старший преподаватель Радько Т.И.
Дисциплина: Информационная безопасность и защита информации
Управление доступом
Полноценные, мультимедийные продукты своими руками !
Ролевой доступ облегчает администрирование,
поскольку он позволяет сделать подсистему
разграничения доступа управляемой при сколь
угодно большом числе пользователей.
Кроме того, ролей должно быть значительно
меньше, чем пользователей. В результате число
администрируемых
связей
становится
пропорциональным сумме (а не произведению)
количества пользователей и объектов.
КарГТУ Кафедра АМС старший преподаватель Радько Т.И.
Дисциплина: Информационная безопасность и защита информации
Управление доступом
Полноценные, мультимедийные продукты своими руками !
Для реализации принудительного управления
доступом
с
субъектами
и
объектами
ассоциируются метки безопасности.
Метка
субъекта
описывает
его
благонадежность, метка объекта — степень
закрытости содержащейся в нем информации.
Принудительное (мандатное) управление
доступом реализуется на основе результатов
сравнения меток безопасности субъекта и
объекта.
КарГТУ Кафедра АМС старший преподаватель Радько Т.И.
Дисциплина: Информационная безопасность и защита информации
Управление доступом
Полноценные, мультимедийные продукты своими руками !
Согласно
«Оранжевой
книге»
метки
безопасности состоят из двух частей — уровня
секретности данных и списка категорий, к которой
относятся данные.
• Уровни
секретности,
поддерживаемые
системой, образуют упорядоченное множество,
которое может выглядеть, например, так: совершенно
секретно; секретно; конфиденциально; несекретно.
• Категории образуют неупорядоченный набор.
Их назначение — описать предметную область, к
которой относятся данные.
КарГТУ Кафедра АМС старший преподаватель Радько Т.И.
Дисциплина: Информационная безопасность и защита информации
Управление доступом
Полноценные, мультимедийные продукты своими руками !
• Субъект может читать объект, только если
уровень секретности субъекта не меньше, чем
уровень секретности объекта, и категории
субъекта включают в себя все категории объекта;
• Субъект осуществляет запись в объект, только
если уровень секретности субъекта не больше,
чем уровень секретности объекта, и все категории
субъекта включаются в категории объекта.
КарГТУ Кафедра АМС старший преподаватель Радько Т.И.
Дисциплина: Информационная безопасность и защита информации
Управление доступом
Полноценные, мультимедийные продукты своими руками !
СС —
совершено
секретно;
С — секретно;
ДСП — для
служебного
пользования;
НС — не
секретно.
«Пользователь № 2», имеющий допуск уровня «не секретно», не может
получить доступ к объекту, имеющего метку «для служебного пользования».
В то же время, субъект "Пользователь «№ 1» с допуском уровня «секретно»,
право доступа к объекту с меткой «для служебного пользования» имеет.
КарГТУ Кафедра АМС старший преподаватель Радько Т.И.
Дисциплина: Информационная безопасность и защита информации
Управление доступом
Полноценные, мультимедийные продукты своими руками !
Мандатный управления доступом называется
принудительным, поскольку он не зависит от
воли
субъектов
(даже
системных
администраторов).
После того, как зафиксированы метки
безопасности субъектов и объектов, оказываются
зафиксированными и права доступа.
КарГТУ Кафедра АМС старший преподаватель Радько Т.И.