Полномочное управление доступом
Механизм полномочного (меточного, мандатного) управления доступом был разработан в 80-х годах прошлого века в интересах Министерства обороны США для обработки информации с различными грифами секретности.
Полномочный метод управления доступом включает:
o присвоение каждому объекту системы метки критичности, определяющей ценность содержащейся в нем информации;
o присвоение каждому субъекту системы уровня прозрачности (уровня допуска), определяющего максимальное значение метки критичности объектов, к которым субъект имеет доступ.
При этом цель системы защиты - не просто контролировать доступ пользователя к объектам АС, а контролировать его так, чтобы:
o пользователь не получил доступ к данным, более конфиденциальным, чем позволяет его форма допуска;
o не произошло копирование этих данных на носители с меньшими уровнями важности.
Можно выделить две системы присвоения меток конфиденциальности:
o иерархческая система меток (грифов) конфиденциальности;
o неиерархческая система меток конфиденциальности.
К сожалению, полномочный метод управления доступом не нашёл широкого распространения в коммерческом (негосударственном) секторе в связи со следующими причинами:
o отсутствием в коммерческой организации четкой классификации хранимой и обрабатываемой информации, аналогичной государственной;
o относительно высокой стоимостью реализации и большими накладными расходами.
Замкнутая программная среда
Механизм замкнутой программной среды предусматривает формирование жёсткого списка программ, разрешённых системе для запуска.
Однако при этом необходимо обеспечить выполнение определённых требований:
o «запрещено все, что явно не разрешено»;
o указание полных путей доступа к исполняемым файлам;
o запрет модификации (защита от подмены) файлов;
o формирование списка по журналам регистрации;
o наличие «мягкого» режима работы.
Регистрация и оперативное оповещение о событиях безопасности
Механизмы регистрации предназначены для получения и накопления (с целью последующего анализа) информации о состоянии ресурсов системы и о действиях субъектов, признанных администрацией АС потенциально опасными для системы. Анализ собранной средствами регистрации информации позволяет выявить факты совершения нарушений, характер воздействий на систему, определить, как далеко зашло нарушение, подсказать метод его расследования и способы поиска нарушителя и исправления ситуации.
Дополнительно, средства регистрации позволяют получать исчерпывающую статистику по использованию тех или иных ресурсов, межсетевому трафику, использованию сервисов, попыткам несанкционированного доступа, и т.п.
Кроме записи сведений об определённых событиях в специальные журналы для последующего анализа средства регистрации событий могут обеспечивать и оперативное оповещение администраторов безопасности (при наличии соответствующих возможностей по передаче сообщений) о состоянии ресурсов, попытках НСД и других действиях пользователей, которые могут повлечь за собой нарушение политики безопасности и привести к возникновению кризисных ситуаций.
При регистрации событий безопасности в системном журнале обычно фиксируется следующая информация:
o дата и время события;
o идентификатор субъекта (пользователя, программы), осуществляющего регистрируемое действие;
o действие (если регистрируется запрос на доступ, то отмечается объект и тип доступа).
Механизмы регистрации очень тесно связаны с другими защитными механизмами. Сигналы о происходящих событиях и детальную информацию о них механизмы регистрации получают от механизмов контроля (подсистем разграничения доступа,контроля целостности ресурсов и других).
В наиболее развитых системах защиты подсистема оповещения сопряжена с механизмами оперативного автоматического реагирования на определённые события.
Могут поддерживаться следующие основные способы реагирования на обнаруженные факты НСД (возможно с участием администратора безопасности):
o подача сигнала тревоги;
o извещение администратора безопасности;
o извещение владельца информации о НСД к его данным;
o снятие программы (задания) с дальнейшего выполнения;
o отключение (блокирование работы) терминала или компьютера, с которого были осуществлены попытки НСД к информации;
o исключение нарушителя из списка зарегистрированных пользователей и т.п.
Дата добавления: 2022-01-22; просмотров: 31; Мы поможем в написании вашей работы! |
Мы поможем в написании ваших работ!