Предисловие (стр. 91 )

19.1.1. Безопасность данных и программно-технических элементов

Технологии автоматизированной обработки данных, характерные для ИС, определяют  основные подходы к обеспечению безопасности данных и программно-технических элементов. Прежде всего необходимо выделить задачу, которую должен решать человек. В данном случае человек (менеджер высшего уровня руководства организацией) должен определить основные черты политики безопасности.

Политика безопасности – это совокупность норм и правил, определяющих принятые в организации меры по обеспечению безопасности информации, связанной с деятельностью организации. Только человек, четко осознающий цели организации и условия ее функционирования, может определить, какую информацию необходимо защищать и насколько существенными могут стать потери от несанкционированного распространение, искажения или разрушения информации.

После того, как политика безопасности определена, должен решаться вопрос о технологии ее реализации в автоматизированном контуре. Для реализации сформулированных в терминах естественного языка правил и норм политики безопасности необходимо и использовать (или разработать) некоторую формальную модель, которая допускает эффективное программирование на каком-либо формальном языке. Наибольшее распространение в настоящее время получили две базовые модели безопасности данных: дискреционная и мандатная.

Обе рассматриваемые модели основаны на следующих исходных посылках:

Автоматизированная система является совокупностью взаимодействующих сущностей — субъектов и объектов. Объекты можно интуитивно представлять в виде сущностей, содержащих информацию, а субъекты можно считать выполняющимися процессами, которые воздействуют на объекты различными способами.

Безопасность обработки данных обеспечивается путем решения задачи управления доступом субъектов к объектам в соответствии с заданным набором правил и ограничений. При этом определения понятий объект и субъект в разных моделях  существенно различаются.

Все взаимодействия в системе моделируются установлением отношений определенного типа между субъектами и объектами. Множество типов отношений определяется в виде набора операций, которые субъекты могут производить над объектами.

Совокупность множеств субъектов, объектов и отношений между ними (установившихся взаимодействий) определяет состояние системы.

Модель безопасности Харрисона-Руззо-Ульмана, является классической дискреционной моделью. Модель реализует произвольное управление доступом субъектов к объектам и контроль за распространением прав доступа. В рамках этой модели система обработки информации представляется в виде совокупности активных сущностей — субъектов (множество S), которые осуществляют доступ к информации, пассивных сущностей — объектов (множество O), содержащих защищаемую информацию, и конечного множества прав доступа R = {r1, …, rn}, означающих полномочия на выполнение соответствующих действий (например, чтение, запись, выполнение).

Для того, чтобы включить в область действия модели и отношения между субъектами, используется допущение, что все субъекты одновременно являются и объектами. Поведение системы моделируется с помощью понятия состояния. Пространство состояний системы образуется декартовым произведением множеств составляющих ее объектов, субъектов и прав доступа: O×S×R. Текущее состояние системы Q в этом пространстве определяется тройкой, состоящей из множества субъектов, множества объектов и матрицы прав доступа M, описывающей текущие права доступа субъектов к объектам: Q=(S, O,M). Обычно принято считать, что строки матрицы соответствуют субъектам, а столбцы — объектам, поскольку множество объектов включает в себя множество субъектов, матрица имеет вид прямоугольника. Элемент матрицы M[s, o] содержит набор прав субъекта s к объекту o, принадлежащих множеству прав доступа R. Поведение системы во времени моделируется переходами между различными состояниями.

Основная проблема, ограничивающая применение классической дискреционной модели в системах безопасности реальных ИС, состоит в невозможности формальной защиты от действий «троянской» программы. Под «троянской» программой понимается программа, которая осуществляет выполнение некоторых скрытых от пользователя, недокументированных и обычно деструктивных функций.54 Когда «троянская» программа, которую злоумышленник внедрил в программное обеспечение некоторого  пользователя, переносит информацию из доступного этому пользователю объекта в объект, доступный злоумышленнику, то формально никакое правило дискреционной политики безопасности не нарушается, но несанкционированная передача информации происходит.

Мандатная модель управления доступом основана на правилах секретного документооборота, принятых в государственных учреждениях многих стран. Основным положением модели, взятым из реальной практики, является  назначение всем участникам процесса обработки защищаемой информации, и документам, в которых она содержится, специальной метки, например конфиденциально, секретно,  и т. п., получившей название уровня безопасности. Все уровни безопасности упорядочиваются с помощью установленного отношения доминирования. Например уровень секретно считается более высоким чем уровень конфиденциально, или доминирует над ним. Контроль доступа осуществляется в зависимости от уровней безопасности взаимодействующих сторон на основании двух простых правил:

1. Уполномоченный субъект имеет право читать только те документы, уровень безопасности которых не превышает его собственный уровень безопасности;

2. Уполномоченный субъект имеет право заносить информацию только в те документы, уровень безопасности которых не ниже его собственного уровня безопасности.

Первое правило обеспечивает защиту информации, обрабатываемой более доверенными (высокоуровневыми) субъектами, от доступа со стороны менее доверенных (низкоуровневых) субъектов. Второе правило предотвращает передачу информации (сознательную или несознательную) со стороны высокоуровневых участников процесса обработки информации к низкоуровневым участникам.

Таким образом, если в дискреционных моделях управление доступом происходит путем предоставления субъектам полномочий по осуществлению определенных операций над определенными объектами, то  мандатные модели управляют доступом косвенно, с помощью назначения всем сущностям системы уровней безопасности, которые определяют все допустимые взаимодействия между ними. Следовательно, мандатное управление доступом не различает сущностей, которым присвоен одинаковый уровень безопасности, и на их взаимодействия ограничения отсутствуют. Поэтому, в тех ситуациях, когда управление доступом требует более гибкого подхода, мандатная модель применяется совместно с какой-либо дискреционной моделью. При этом дискреционная модель используется для контроля за взаимодействиями между сущностями одного уровня и для установки дополнительных ограничений, усиливающих мандатную модель.

Система в  мандатной модели безопасности представляется в виде множеств субъектов S, объектов O(множество объектов включает множество субъектов, S⊂O), и прав доступа read(чтение) и write(запись). В мандатной модели обычно рассматриваются только два вида доступа. Использование столь жесткого подхода, не позволяющего осуществлять гибкое управление доступом, объясняется тем, что в мандатной модели контролируются не операции, осуществляемые субъектом над объектом, а потоки информации, которые могут быть только двух видов: либо от субъекта к объекту (запись), либо от объекта к субъекту (чтение).

Уровни безопасности субъектов и объектов задаются с помощью функции уровня безопасности  F:S∪O→L, которая ставит в соответствие каждому объекту и субъекту уровень безопасности, принадлежащий множеству уровней безопасности L.

19.1.2. Структура системы обеспечения безопасности и надежности ИС

Основой программных решений, характерных для информационных систем, явились системы управления базами данных, работающие как надстройка над операционной системой. Средства реализации бизнес-логики наряду с созданием специализированных серверов приложений встраивались в СУБД. Ориентация на использование универсального клиента (браузера) как единого интерфейса доступа к корпоративной информационной инфраструктуре стала общепринятой.

Необходимость и целесообразность интеграции базовых программных технологий привела к формированию новых требований по повышению качества, скорости и безопасности программных комплексов, обеспечивающих высоконадежное функционирование программных средств реализации компонент корпративных информационных систем. Производители программных средств и провайдеры услуг Интернет предприняли усилия по построению схем прямого выхода на потребителя и непосредственной интеграции корпоративной информации в технологические схемы ведения бизнеса и, в частности, взаимодействия с бизнес-партнером.

Интеграция программных средств обработки информации и средств ее доставки приводит к необходимости создания комплексных программных систем обеспечения безопасности и надежности ИС. Комплексная система обеспечения информационной безопасности должна строиться с учетом средств и методов, характерных для четырех уровней экономической информационной системы:

уровня прикладного программного обеспечения, отвечающего за взаимодействие с пользователем;

уровня системы управления базами данных, отвечающего за хранение и обработку данных информационной системы;

уровня операционной системы, отвечающего за функционирование СУБД и иного прикладного программного обеспечения;

уровня среды доставки, отвечающего за взаимодействие информационных серверов и потребителей информации.

Система защиты должна эффективно функционировать на всех этих уровнях.

Проблема обеспечения безопасности и надежности ИС может быть определена как решение трех взаимосвязанных задач:

Конфиденциальность – обеспечение пользователям доступа только к данным, для которых пользователь имеет явное или неявное разрешение на доступ (синонимы – секретность, защищенность).

Целостность – обеспечение защиты от преднамеренного или непреднамеренного изменения информации или процессов ее обработки.