Управление доступом

2.1.5. Управление доступом

Под управлением доступом понимается процесс регулирования использования ресурсов АС. Управление доступом включает решение следующих задач:

·     идентификацию пользователей, персонала и ресурсов АС;

·     установление подлинности субъектов и объектов, допускаемых к использованию ресурсов АС;

·     проверку полномочий субъектов на доступ к защищаемым ресурсам;

·     регистрацию (протоколирование) обращений к защищаемым ресурсам;

·     реакцию на несанкционированные действия.

Рассмотрим подробнее общие вопросы проверки полномочий доступа, так как данному вопросу в основном и посвящен настоящий ДП.

2.1.5.1. Проверка полномочий субъектов на доступ к ресурсам

 После положительного установления подлинности пользователя (и системы со стороны пользователя) система должна осуществлять постоянную проверку полномочий поступающих от субъектов запросов. Проверка полномочий заключается в определении соответствия запроса субъекта предоставленным ему правам доступа к ресурсам. Такую процедуру часто называют "контроль полномочий" или "контроль доступа".

При создании механизмов контроля доступа необходимо, прежде всего, определить множества субъектов доступа, активных ресурсов, осуществляющих какие-либо действия над другими ресурсами, и объектов доступа, пассивных ресурсов, используемых субъектом доступа для выполнения операций. Субъектами могут быть, например, пользователи, задания, процессы и процедуры. Объектами - файлы, программы, семафоры, директории, терминалы, каналы связи, устройства, блоки ОП и т.д. Субъекты могут одновременно рассматриваться и как объекты, поэтому у субъекта могут быть права на доступ к другому субъекту. В конкретном процессе в данный момент времени субъекты являются активными элементами, а объекты - пассивными. Для осуществления доступа к объекту субъект должен обладать соответствующими полномочиями. Полномочие есть некий символ, обладание которым дает субъекту определенные права доступа по отношению к объекту, область защиты определяет права доступа некоторого субъекта ко множеству защищаемых объектов и представляет собой совокупность всех полномочий данного субъекта. При функционировании системы необходимо иметь возможность создавать новые субъекты и объекты. При создании объекта одновременно создается и полномочие субъектов по использованию этого объекта. Субъект, создавший такое полномочие, может воспользоваться им для осуществления доступа к объекту или же может создать несколько копий полномочия для передачи их другим субъектам. Непосредственная реализация контроля прав доступа обычно выполняется с помощью матриц доступа.

При использовании матричной модели доступа условия доступа каждого субъекта s к каждому объекту o определяются содержимым элемента матрицы доступа или матрицы установления полномочий M. Каждый элемент M_ij матрицы доступа M определяет права доступа i-го субъекта к j-му объекту (читать, писать, выполнять, нельзя использовать и т.п.). Пример матрицы доступа приведен на рисунке 2.3. Элементы в матрице доступа имеют следующие значения: r - чтение, w - запись, е - выполнение, 0 - нельзя использовать.

Рисунок 2.3. Пример матрицы доступа.

Элементы матрицы доступа могут содержать указатели на специальные процедуры, которые должны выполняться при обращении субъекта к объекту. Решение о доступе в этом случае осуществляется на основании результатов выполнения процедур, например:

·     решение о доступе в данный момент времени основывается на анализе предыдущих доступов к другим объектам;

·     решение о доступе основывается на динамике состояния системы (права доступа субъекта зависят от текущих прав доступа других субъектов);

·     решение о доступе основывается на значении определенных переменных, например, на значении таймера.

Необходимо отметить, что строка M[s,*] содержит список разрешенных операций субъекта s по отношению ко всем объектам (список возможностей), а столбец M[*,o] - определяет, какие субъекты имеют права доступа к объекту o и какие именно права доступа (список доступа).

Размерность матрицы доступа зависит от количества субъектов и объектов в системе и может быть достаточно большой. Для уменьшения размерности матрицы доступа могут применяться различные методы:

·     установление групп субъектов, называемых кликами, каждая из которых представляет собой группу субъектов с одинаковыми правами;

·     установление групп терминалов по классам полномочий (клики терминалов);

·     группировка объектов по уровням категорий (например, по уровням секретности);

·     хранение списка пар вида (o, f), где о - защищаемый объект, а f - разрешение на использование его субъектом.

Перечисленные методы и другие, им подобные, могут применяться как по отдельности, так и в совокупности.

В процессе функционирования системы множества субъектов и объектов могут динамически изменяться. Такие изменения могут происходить, например, в результате появления новых субъектов и объектов, уничтожения субъектов и объектов и изменения прав доступа субъектов к объектам. Соответственно, в процессе функционирования системы должна изменяться и матрица доступа. Динамика изменения множеств субъектов и объектов, а также матрицы доступа при выполнении некоторых операций представлена в таблице 2.2.

В таблице 2.2: S – множество субъектов; O – множество объектов, причем S принадлежит O; M[s,o] – матрица доступа. Элементами матрицы M являются права доступа g, принадлежащие G. Изменившиеся множества помечены штрихом.

Таким образом, при создании субъекта s' этот субъект вводится в состав элементов множеств S и О. В матрице доступа появляется новая строка, соответствующая новому субъекту: М'[s,о] = M[s,о]. M'[s',о] = 0; M'[s',s] = 0, так как субъект создан, но его права по отношению к существующим субъектам и объектам не определены. Матрицы доступа в той или иной степени используются во многих защищенных системах.

Таблица 2.2.

Расширением матричной модели доступа является многоуровневая модель доступа. Объекты в многоуровневой модели имеют различные уровни доступа (например, уровни секретности), а субъекты – степени допуска. Разрешение допуска субъекта к объекту является функцией от степени допуска конкретного субъекта и уровня допуска конкретного объекта. Многоуровневая модель доступа создана на основе теории алгебраических решеток. Данные могут передаваться между субъектами, если выполняются следующие правила (здесь буквами а, b и с обозначим идентификаторы субъектов, а буквами х, у и z, соответственно, их уровни доступа).

Данные могут передаваться субъектом самому себе:

x <= x (2.1. а)

Данные могут передаваться от субъекта а к субъекту с, если они могут передаваться от субъекта a к субъекту b и от субъекта bк субъекту с:

если x <= у и y <= z, то x <= z (2.1. б)

Если х <= у и у <= х, то x = y (2.1. с)

Отметим, что рассмотренные правила представляют, соответственно, свойства рефлективности, транзитивности и антисимметричности.

Примером использования многоуровневой модели доступа является система контроля доступа, принятая в военном ведомстве США (рисунок 2.4). Уровнями доступа выступают уровни секретности: НЕСЕКРЕТНО, КОНФИДЕНЦИАЛЬНО, СЕКРЕТНО, СОВЕРШЕННО СЕКРЕТНО. Внутри отдельных уровней секретности для выделения разделов данных, требующих специального разрешения на доступ к ним, определены категории: АТОМНЫЙ, НАТО и ДРУГИЕ. Для получения доступа к данным определенной категории субъект должен иметь не только доступ к данным соответствующего уровня (по секретности), но и разрешение на доступ по категории. Например, субъект, имеющий доступ к данным с уровнем СОВЕРШЕННО СЕКРЕТНО и категории НАТО, не может получить доступ к данным с категориями АТОМНЫЙ и ДРУГИЕ уровня СОВЕРШЕННО СЕКРЕТНО.

Похожие работы

Совершенствование системы документооборота в Отделе участковых милиции Ленинского РОВД

Скачать

213973

23

2

... операций в несколько раз. 4 Обоснование экономической эффективности проекта Задачей проекта является проектирование автоматизированной системы управления документооборотом Отдела организации деятельности участковых уполномоченных милиции Ленинского РОВД. Результатом проекта является снижение трудоемкости, сокращение объема документооборота, повышение достоверности и качества входящей и ...

Математическое обеспечение комплекса задач “Автоматизированная система документооборота учереждения

Скачать

200314

8

2

... , практически, не используются. Проблема информатизации Минторга может быть решена путем создания Автоматизированной Информационной системы Министерства Торговли РФ (АИС МТ РФ) в соответствии с настоящим Техническим предложением.   ГЛАВА 2. МАТЕМАТИЧЕСКОЕ ОБЕСПЕЧЕНИЕ КОМПЛЕКСА ЗАДАЧ "СИСТЕМА ДОКУМЕНТООБОРОТА УЧЕРЕЖДЕНИЯ”. функции поиска и архивации 2.1. Постановка задачи и её спецификация ...

Автоматизированные системы документооборота

Скачать

53065

0

0

... · (25 – 20)· 80 / 1992=11752,41рублей,  что составляет 20% от годового фонда заработной платы менеджера 11 разряда, занятого подготовкой и переработкой документов в автоматизированной системе документооборота. 5.2. Экономия затрат на оплату машинного времени При замене базового программного продукта (ПП) на новое, как правило, уменьшается время использования вычислительных средств. Расчет ...

Анализ информационно-технического обеспечения системы управления персоналом

Скачать

116809

6

1

... сетям, что позволяет иметь более полную информацию о рынке труда в целом и даже об отдельных работниках - их прошлых мест работы, специализации, квалификации и т.п. 2. Анализ информационно-технического обеспечения системы управления персоналом ООО "БТСП" 2.1 Краткая характеристика предприятия ООО "БТСП" ООО "БТСП" - это предприятие по перевозке пассажиров, грузов и ремонту прочих ...