ВУЗ: Не указан
Категория: Не указан
Дисциплина: Не указана
Добавлен: 05.12.2019
Просмотров: 12430
Скачиваний: 24
356
Монитор обращений (МО) - субъект, активизирующийся при
возникновении потока от любого субъекта к любому объекту.
Можно выделить два вида МО:
индикаторный МО – устанавливающий только факт обращения
субъекта к объекту;
содержательный МО – субъект, полностью участвующий в потоке от
субъекта к объекту, при этом информация проходит через его
ассоциированные объекты-данные и существует тождественное отображение
объекта на какой-либо ассоциированный объект МО.
Монитор безопасности объектов (МБО)
– монитор обращений,
который разрешает поток, принадлежащий только множеству легального
доступа L. Разрешение потока в данном случае понимается как выполнение
операции над объектом-получателем потока, а запрещение – как
невыполнение (т. е. неизменность объекта-получателя потока).
Монитор безопасности объектов фактически является механизмом
реализации политики безопасности в компьютерной системе.
2.2. Обеспечение гарантий выполнения политики безопасности
При изменении функционально ассоциированных с субъектом
реализации политики безопасности (МБО) объектов могут измениться и
свойства самого МБО, заключающиеся в фильтрации потоков, и как
следствие
могут
возникнуть
потоки,
принадлежащие
множеству
неразрешенных потоков N. Введем в связи с этим понятие корректности
субъектов.
Субъекты Si, и Sj называются невлияющими друг на друга (или
корректными относительно друг друга), если в любой момент времени
отсутствует поток (изменяющий состояние объекта) между любыми
объектами Оi и Оj, ассоциированными соответственно с субъектами Si и Sj.
Причем Оj не является ассоциированным объектом Si, а Оi -
ассоциированным объектом Sj.
Смысл понятия корректности можно пояснить на примере:
существующие в едином пространстве оперативной памяти программы не
должны иметь функциональных возможностей изменения "чужого" вектора
кода и состояния переменных.
Субъекты Si и Sj называются абсолютно невлияющими друг на друга
(или абсолютно корректными относительно друг друга), если в условиях
предыдущего определения множества ассоциированных объектов указанных
субъектов не имеют пересечения ({Oi}Ç{Oj}= 0).
357
Монитор безопасности объектов разрешает порождение потоков только
из множества L, если все существующие в системе субъекты абсолютно
корректны относительно него и друг друга.
Сформулированное утверждение накладывает весьма жесткие и
трудноисполнимые условия на свойства субъектов.
Монитор порождения субъектов (МПС) – субъект, активизирующийся
при любом порождении субъектов.
Монитор безопасности субъектов (МБС) – такой МПС, который
разрешает порождение только фиксированного подмножества субъектов.
Обозначим через E - подмножество субъектов, порождения которых
разрешено МБС.
Компьютерная система называется замкнутой по порождению
субъектов (замкнутой программной средой), если в ней действует МБС.
Множество субъектов АС называется изолированным (абсолютно
изолированным), если в ней действует МБС и субъекты из порождаемого
множества корректны (абсолютно корректны) относительно друг друга и
МБС.
Любое подмножество субъектов изолированная программная среда
ИПС (абсолютно изолированная программная среда АИПС) включающее
МБС, также составляет ИПС (АИПС).
Дополнение ИПС (АИПС) субъектом, корректным (абсолютно
корректным) относительно других субъектов, является ИПС.
Теперь
возможно
переформулировать
достаточное
условие
гарантированного выполнения политики безопасности следующим образом.
Если в абсолютно изолированной компьютерной системе существует
МБО и порождаемые субъекты абсолютно корректны относительно МБО, а
также МБС абсолютно корректен относительно МБО, то в такой КС
реализуется только доступ, описанный правилами разграничения доступа
(ПРД).
Легко видеть, что данное утверждение является более конструктивным,
чем предыдущее достаточное условие гарантированной защищенности,
поскольку
ранее
требовалась
корректность
МБО
относительно
произвольного субъекта, что практически невозможно. В данном же случае
множество субъектов ограничено за счет применения механизма МБС, и
возможно убедиться в попарной корректности порождаемых субъектов.
При рассмотрении операции порождения субъекта возникает весьма
важная проблема, связанная с тем, что в реальных АС одинаково
поименованные объекты могут иметь различное состояние в пространстве
(например, быть размещенными в различных каталогах) или во времени.
Предположим, что зафиксировано состояние объекта Оj в некоторый момент
358
времени t0. Будем обозначать состояние объекта Оj в момент времени t как
Оj[t].
Операция порождения субъекта Create (Sk, Oj)->Si, называется
порождением с контролем неизменности объекта, если для любого момента
времени t>t0, в который активизирована операция порождения объекта
Create, порождение субъекта Si возможно только при тождественности
объектов Оj[t0] и Oj[t].
Порожденные субъекты Si[t1] и Si[t2] тождественны, если выполняется
операция порождения с контролем неизменности объектов. Если в момент
времени t0 в изолированной АС действует только порождение субъектов с
контролем неизменности объекта и существуют потоки от любого субъекта к
любому объекту, не противоречащие условию корректности (абсолютной
корректности) субъектов, то в любой момент времени t>t0 AC также остается
изолированной (абсолютно изолированной).
2.3. Методология проектирования гарантированно защищенных
КС
Сущность данной методологии состоит в том, что при проектировании
защитных механизмов КС необходимо опираться на совокупность
приведенных выше достаточных условий, которые должны быть
реализованы для субъектов, что гарантирует защитные свойства,
определенные при реализации МБО в КС (т. е. гарантированное выполнение
заданной МБО политики безопасности). Рассмотренная концепция
изолированной программной среды является расширением зарубежных
подходов
к
реализации
ядра
безопасности.
Обычно
модель
функционирования ядра безопасности изображается в виде следующей
схемы, представленной на рис. 4.1. "База данных защиты" означает объект,
содержащий в себе информацию о потоках множества L (защита по "белому
списку" - разрешения на потоки) или N (защита по "черному списку" -
запрещение на потоки).
359
Рис.4.1. Классическая модель ядра безопасности
Для учета влияния субъектов в КС необходимо рассматривать
расширенную схему взаимодействия элементов системы реализации и
гарантирования ПБ.
На рис. 4.2 подчеркнута роль монитора безопасности субъектов при
порождении субъектов из объектов.
Рис.4.2. Ядро безопасности с учетом контроля порождения субъектов
Взаимодействие субъектов и объектов при порождении потоков
уточнено введением ассоциированных с субъектом объектов. Конструкция
ОУ на схеме обозначает объект управления, т. е. объект, содержащий
информацию о разрешенных значениях отображения Stream (об элементах
множества L или N) и Create. Объект управления может быть ассоциирован
(ассоциированный объект-данные) как с МБО, так и с МБС.
2.4. Метод генерации изолированной программной среды (ИПС)
Для создания гарантированно защищенной КС (в смысле выполнения
заданной политики безопасности) необходимо:
1, Убедиться в попарной корректности субъектов, замыкаемых в ИПС
(либо убедиться в корректности любого субъекта относительно МБО и
МБС);
2. Cпроектировать и реализовать программно (или программно-
аппаратно) МБС так, чтобы:
360
- для любого субъекта и любого объекта производился контроль
порождения субъектов (т. е. чтобы реализация МБС соответствовала его
определению);
- порождение любого субъекта происходило с контролем неизменности
объекта-источника.
3. Реализовать МБО в рамках априорно сформулированной политики
безопасности.
Важную роль при проектировании ИПС играет свойство КС,
заключающееся в поэтапной активизации субъектов из объектов различного
уровня представления информации. Рассмотрим в таблице 4.1 иерархию
уровней при загрузке операционной системы.
Таблица 2.1.
Уровень
Субъект
Локализация
Представление
информации
Через какие
функции
реализуются потоки
0
Субъект аппаратно
-
программного
уровня
ПЗУ (
Bios)
сектора
через
микропрограммы
ПЗУ
1
Субъект
уровня
первичной загрузки
Загрузчик ОС
сектора
через
Bios
или
первичный
загрузчик
2
Субъект
уровня
вторичного
загрузчика (драйвер)
драйверы ОС
сектора
через
Bios
или
первичный
загрузчик
3
Субъект уровня ОС
ядро ОС
файлы
через драйверы
4
Субъект
пользовательского
уровня
прикладные
приложения
файлы
через ядро ОС
В общем случае можно говорить о рекурсивной структуре объектов
некоторого уровня, вмещающей объекты предыдущего уровня. На нулевом
уровне первичный объект (элементарная структура нижнего уровня) в
таблице 2.1 соответствует термину «сектор».
С учетом иерархической структуры представления объектов можно
говорить о том, что в начальные этапы активизации КС декомпозиция на
субъекты и объекты динамически изменяется. Следовательно, основная
теорема ИПС может быть применима только на отдельных интервалах
времени, когда уровень представления объектов постоянен и декомпозиция
фиксирована. Можно утверждать, что ИПС, действующую от момента