Курс лекций Защита Информации/Политика безопасности: различия между версиями

Материал из Викиучебника — открытых книг для открытого мира
Содержимое удалено Содержимое добавлено
шаблон
Нет описания правки
Строка 13: Строка 13:
* формальное моделирование политики безопасности;
* формальное моделирование политики безопасности;
* криптография.
* криптография.

== Основные положения формальных политик безопасность ==

# Система является совокупностью взаимодействующих сущностей - ''субъектов'' и ''объектов''. При этом ''объекты'' интуитивно можно представлять в виде контейнеров, содержащих информацию. А ''субъектами'' считать программы, которые воздействуют на ''объекты'' различными способами. При таком представлении системы безопасность обработки информации обеспечивается путем решения задачи управления доступом ''субъектов'' к ''объектам'' в соответствии с заданным набором правил и ограничений, который образует политику безопасности. Считается, что система безопасна, если субъекты не имеют возможности нарушить правила политики безопасности. Необходимо отметить, что общим подход для всех моделей является именно разделение множества сущностей, составляющих систему, на множество субъектов и объектов, хотя сами определения понятий ''объект'' и ''субъект'' в разных моделях могут существенно различаться.
# Все взаимодействия в системе моделируются установлением отношений определенного типа между субъектом и объектом. Множество типов отношений определяется в виде набора операций, который субъекты могут производить над объектами.
# Все операции контролируются монитором взаимодействий и либо запрещаются, либо разрешаются в соответствии с правилами политики безопасности.
# Политика безопасности задается в виде правил, в соответствии с которыми должны осуществляться все взаимодействия между субъектом и объектом. Взаимодействия, проводящие к нарушению этих правил, пресекаются средствами контроля доступа и не могут быть осуществлены.
# Совокупность множеств субъектов, объектов и отношений между ними определяет ''состояние'' системы. Каждое состояние системы является либо ''безопасным'', либо ''небезопасным'' в соответствии с предложенными в модели критериям безопасности.
# Основной элемент модели безопасности - доказательство утверждения о том, что система, находящаяся в безопасном состоянии, не может перейти в небезопасное состояние при соблюдении всех установленных правил и ограничений.

Среди классических моделей политик безопасноти можно выделить два основных класса:
*дискреционные (произвольные);
*мандатные (нормативные).


[[Категория:Защита информации]]
[[Категория:Защита информации]]

Версия от 19:13, 9 июня 2013

Определение политики безопасности

Политика безопасности - совокупность норм и правил, регламентирующих процесс обработки информации, выполнение которого обеспечивает защиту от определенного множества угроз и составляет необходимое (иногда и достаточное) условие безопасности системы.

Модель политики безопасности - формальное выражение политики безопасности.

С нарушением безопасности системы связаны три компоненты:

  • злоумышленник - внешний по отношению к системе источник нарушителя свойства "безопасность";
  • объект атаки - часть, принадлежащая системе, на которую злоумышленник неожиданно производит воздействие;
  • канал воздействия - среда переноса злоумышленного воздействия.

К политике безопасности существует два подхода:

  • формальное моделирование политики безопасности;
  • криптография.

Основные положения формальных политик безопасность

  1. Система является совокупностью взаимодействующих сущностей - субъектов и объектов. При этом объекты интуитивно можно представлять в виде контейнеров, содержащих информацию. А субъектами считать программы, которые воздействуют на объекты различными способами. При таком представлении системы безопасность обработки информации обеспечивается путем решения задачи управления доступом субъектов к объектам в соответствии с заданным набором правил и ограничений, который образует политику безопасности. Считается, что система безопасна, если субъекты не имеют возможности нарушить правила политики безопасности. Необходимо отметить, что общим подход для всех моделей является именно разделение множества сущностей, составляющих систему, на множество субъектов и объектов, хотя сами определения понятий объект и субъект в разных моделях могут существенно различаться.
  2. Все взаимодействия в системе моделируются установлением отношений определенного типа между субъектом и объектом. Множество типов отношений определяется в виде набора операций, который субъекты могут производить над объектами.
  3. Все операции контролируются монитором взаимодействий и либо запрещаются, либо разрешаются в соответствии с правилами политики безопасности.
  4. Политика безопасности задается в виде правил, в соответствии с которыми должны осуществляться все взаимодействия между субъектом и объектом. Взаимодействия, проводящие к нарушению этих правил, пресекаются средствами контроля доступа и не могут быть осуществлены.
  5. Совокупность множеств субъектов, объектов и отношений между ними определяет состояние системы. Каждое состояние системы является либо безопасным, либо небезопасным в соответствии с предложенными в модели критериям безопасности.
  6. Основной элемент модели безопасности - доказательство утверждения о том, что система, находящаяся в безопасном состоянии, не может перейти в небезопасное состояние при соблюдении всех установленных правил и ограничений.

Среди классических моделей политик безопасноти можно выделить два основных класса:

  • дискреционные (произвольные);
  • мандатные (нормативные).