Курс лекций Защита Информации/Политика безопасности: различия между версиями

Добавить ссылки
Материал из Викиучебника — открытых книг для открытого мира
Интерактивная навигация по истории
← Предыдущая правка
Содержимое удалено Содержимое добавлено
ВизуальныйВики-текст
м {{BookCat}}; ссылки; пробелы.
 
Строка 2: Строка 2:
== Основные определения ==
== Основные определения ==


=== Политика безопасности ===
=== Политика безопасности ===
{{../Определение|{{../Термин|[[../Основные понятия и определения#Политика безопасности организации|Политика безопасности]]}} — совокупность норм и правил, регламентирующих процесс обработки информации, выполнение которого обеспечивает защиту от определенного множества угроз и составляет необходимое (иногда и достаточное) условие безопасности системы.}}
{{../Определение|{{../Термин|[[../Основные понятия и определения#Политика безопасности организации|{{SUBPAGENAME}}]]}} — совокупность норм и правил, регламентирующих процесс обработки информации, выполнение которого обеспечивает защиту от определенного множества угроз и составляет необходимое (иногда и достаточное) условие безопасности системы.}}
=== Модель политики безопасности ===
=== Модель политики безопасности ===
{{../Определение|{{../Термин|Модель политики безопасности}} — формальное выражение политики безопасности.}}
{{../Определение|{{../Термин|Модель политики безопасности}} — формальное выражение политики безопасности.}}
=== Три компоненты нарушения безопасности ===
=== Три компоненты нарушения безопасности ===
Строка 22: Строка 22:




=== [[../Субъектно-объектная модель|Объекто-субъектная модель]] ===
=== [[../Субъектно-объектная модель|Объекто-субъектная модель]] ===


Система является совокупностью взаимодействующих сущностей - ''[[../Основные понятия и определения#Субъект доступа|субъектов]]'' и ''[[../Основные понятия и определения#Объект доступа|объектов]]''. При этом ''объекты'' интуитивно можно представлять в виде контейнеров, содержащих информацию. А ''субъектами'' считать программы, которые воздействуют на ''объекты'' различными способами. При таком представлении системы безопасность обработки информации обеспечивается путем решения задачи управления доступом ''субъектов'' к ''объектам'' в соответствии с заданным набором правил и ограничений, который образует политику безопасности. Считается, что система безопасна, если субъекты не имеют возможности нарушить правила политики безопасности. Необходимо отметить, что общим подход для всех моделей является именно разделение множества сущностей, составляющих систему, на множество субъектов и объектов, хотя сами определения понятий ''объект'' и ''субъект'' в разных моделях могут существенно различаться.
Система является совокупностью взаимодействующих сущностей - ''[[../Основные понятия и определения#Субъект доступа|субъектов]]'' и ''[[../Основные понятия и определения#Объект доступа|объектов]]''. При этом ''объекты'' интуитивно можно представлять в виде контейнеров, содержащих информацию. А ''субъектами'' считать программы, которые воздействуют на ''объекты'' различными способами. При таком представлении системы безопасность обработки информации обеспечивается путем решения задачи управления доступом ''субъектов'' к ''объектам'' в соответствии с заданным набором правил и ограничений, который образует политику безопасности. Считается, что система безопасна, если субъекты не имеют возможности нарушить правила политики безопасности. Необходимо отметить, что общим подход для всех моделей является именно разделение множества сущностей, составляющих систему, на множество субъектов и объектов, хотя сами определения понятий ''объект'' и ''субъект'' в разных моделях могут существенно различаться.
Строка 28: Строка 28:
=== Отношения между субъектами и объектами ===
=== Отношения между субъектами и объектами ===


Все взаимодействия в системе моделируются установлением отношений определенного типа между субъектом и объектом. Множество типов отношений определяется в виде набора операций, который субъекты могут производить над объектами.
Все взаимодействия в системе моделируются установлением отношений определенного типа между субъектом и объектом. Множество типов отношений определяется в виде набора операций, который субъекты могут производить над объектами.


=== Контроль операций ===
=== Контроль операций ===


[[../Формальная модель нарушителя#Монитор безопасности потоков (монитор обращений)|Монитором взаимодействий]] контролирует все операции, и, соответственно, операции либо разрешаются, либо запрещаются.
[[../Формальная модель нарушителя#Монитор безопасности потоков (монитор обращений)|Монитором взаимодействий]] контролирует все операции, и, соответственно, операции либо разрешаются, либо запрещаются.


Все операции контролируются и либо запрещаются, либо разрешаются в соответствии с правилами политики безопасности.
Все операции контролируются и либо запрещаются, либо разрешаются в соответствии с правилами политики безопасности.
Строка 40: Строка 40:
# Основной элемент модели безопасности - доказательство утверждения о том, что система, находящаяся в безопасном состоянии, не может перейти в небезопасное состояние при соблюдении всех установленных правил и ограничений.
# Основной элемент модели безопасности - доказательство утверждения о том, что система, находящаяся в безопасном состоянии, не может перейти в небезопасное состояние при соблюдении всех установленных правил и ограничений.


=== Классические модели ===
=== Классические модели ===


Среди классических моделей политик безопасности можно выделить два основных класса:
Среди классических моделей политик безопасности можно выделить два основных класса:
*дискреционные (произвольные);
*дискреционные (произвольные);
*мандатные (нормативные).
*мандатные (нормативные).
{{../Текст с двух сторон|←[[../Целостность данных|Целостность данных]]|[[../Язык описания политики безопасности|Язык описания политики безопасности]]→}}
{{../Текст с двух сторон|←[[../Целостность данных|Целостность данных]]|[[../Язык описания политики безопасности|Язык описания политики безопасности]]→}}

[[Категория:Защита информации]]
{{BookCat}}

Текущая версия от 12:52, 1 июня 2014

Курс лекций Защита Информации/Текст с двух сторон

Основные определения[править]

Политика безопасности[править]

Курс лекций Защита Информации/Определение

Модель политики безопасности[править]

Курс лекций Защита Информации/Определение

Три компоненты нарушения безопасности[править]

С нарушением безопасности системы связаны три компоненты:

  • злоумышленник — внешний по отношению к системе источник нарушителя свойства "безопасность";
  • объект атаки — часть, принадлежащая системе, на которую злоумышленник неожиданно производит воздействие;
  • канал воздействия — среда переноса злоумышленного воздействия.

Подходы к политике безопасности[править]

К политике безопасности существует два подхода:

  • формальное моделирование политики безопасности;
  • криптография.

Основные положения формальных политик безопасность[править]

Объекто-субъектная модель[править]

Система является совокупностью взаимодействующих сущностей - субъектов и объектов. При этом объекты интуитивно можно представлять в виде контейнеров, содержащих информацию. А субъектами считать программы, которые воздействуют на объекты различными способами. При таком представлении системы безопасность обработки информации обеспечивается путем решения задачи управления доступом субъектов к объектам в соответствии с заданным набором правил и ограничений, который образует политику безопасности. Считается, что система безопасна, если субъекты не имеют возможности нарушить правила политики безопасности. Необходимо отметить, что общим подход для всех моделей является именно разделение множества сущностей, составляющих систему, на множество субъектов и объектов, хотя сами определения понятий объект и субъект в разных моделях могут существенно различаться.

Отношения между субъектами и объектами[править]

Все взаимодействия в системе моделируются установлением отношений определенного типа между субъектом и объектом. Множество типов отношений определяется в виде набора операций, который субъекты могут производить над объектами.

Контроль операций[править]

Монитором взаимодействий контролирует все операции, и, соответственно, операции либо разрешаются, либо запрещаются.

Все операции контролируются и либо запрещаются, либо разрешаются в соответствии с правилами политики безопасности.

  1. Политика безопасности задается в виде правил, в соответствии с которыми должны осуществляться все взаимодействия между субъектом и объектом. Взаимодействия, проводящие к нарушению этих правил, пресекаются средствами контроля доступа и не могут быть осуществлены.
  2. Совокупность множеств субъектов, объектов и отношений между ними определяет состояние системы. Каждое состояние системы является либо безопасным, либо небезопасным в соответствии с предложенными в модели критериям безопасности.
  3. Основной элемент модели безопасности - доказательство утверждения о том, что система, находящаяся в безопасном состоянии, не может перейти в небезопасное состояние при соблюдении всех установленных правил и ограничений.

Классические модели[править]

Среди классических моделей политик безопасности можно выделить два основных класса:

  • дискреционные (произвольные);
  • мандатные (нормативные).

Курс лекций Защита Информации/Текст с двух сторон

Источник — https://ru.wikibooks.org/w/index.php?title=Курс_лекций_Защита_Информации/Политика_безопасности&oldid=93249