Управление доступом к ресурсам распределенных информационных систем на основе отношений доверия тема диссертации и автореферата по ВАК РФ 05.13.19, кандидат физико-математических наук Иткес, Александр Александрович

• Иткес, Александр Александрович
• кандидат физико-математических наук
• 2010

Оглавление диссертации кандидат физико-математических наук Иткес, Александр Александрович

Введение

1 Модели и механизмы логического разграничения доступа в распределенных информационных системах

1.1 Ролевые модели логического разграничения доступа.

1.2 Многоуровневые модели логического разграничения доступа.

1.3 Модель принудительной типизации.

1.4 Традиционные механизмы разграничения доступа в операционной системе Linux

1.5 Модуль безопасности SELinux.

1.6 Модуль безопасности GRSecurity

1.7 Модуль безопасности RSBAC.

1.8 Разграничение доступа к объектам на сетевой среде с помощью IPTables

1.9 Программная система Netlabel.

1.10 Протокол Netlink.

1.11 Протокол Generic Netlink.

1.12 Выводы.

2 Представление одних моделей логического разграничения доступа в терминах других

2.1 Представление базовых моделей логического разграничения доступа.

2.2 Анализ дискреционных моделей логического разграничения доступа.

2.3 Анализ моделей разграничения доступа, реализуемых дополнительными модулях безопасности операционной системы Linux

2.4 Выводы.

3 Отношения доверия и объединение моделей логического разграничения доступа

3.1 Основные понятия.

3.2 Объединение ролевых моделей логического разграничения доступа.

3.2.1 Объединение простейших ролевых моделей.

3.2.2 Объединение иерархических ролевых моделей.

3.3 Объединение моделей принудительной типизации.

3.4 Объединение многоуровневых моделей логического разграничения доступа с помощью отношений доверия

3.4.1 Объединение традиционных многоуровневых моделей логического разграничения доступа.

3.4.2 Обобщенная многоуровневая модель логического разграничения доступа

3.5 Объединение дискреционных моделей логического разграничения доступа . 63 3.5.1 Объединение моделей гибкой типизации.

3.6 Контекстные отношения доверия.

3.7 Двухуровневые отношения доверия.

3.8 Выводы.

4 Программный комплекс Nettrust

4.1 Основные технические решения.

4.1.1 Хранение настроек доверия

4.1.2 Концепция передачи данных.

4.1.3 Дополнительные факторы, влияющие на отношения доверия между компонентами распределенной информационной системы.

4.1.4 Механизм определения доверия для UDP-приложений.

4.1.5 Управление настройками механизмов доверия.

4.1.6 Работа с таблицами доверия в ядре операционной системы.

4.1.7 Дополнительные задачи реализации двухуровневых отношений доверия

4.1.8 Вопросы, связанные с использованием пакетных сокетов.

4.2 Средства управления комплексом.

4.2.1 Управление Nettrust с помощью Netlink.

4.2.2 Управление Nettrust с помощью Generic Netlink.

4.2.3 Права доступа для управления настройками доверия

4.3 Прикладные средства управления настройками доверия.

4.3.1 Программа TrustCtl.

4.3.2 Язык описания отношений доверия TrustML.

4.3.3 Использование библиотеки LibNettrust.

4.4 Дополнительные элементы комплекса.

4.4.1 Конвертер меток безопасности.

4.4.2 Функции утилиты MkTrust.

4.5 Методика тестирования и результаты.

4.5.1 Тестирование базовых функций Nettrust.

4.5.2 Тестирование с использованием различных локальных систем контроля доступа субъектов к объектам.

4.5.3 Тестирование функции сброса привилегий.

4.6 Выводы.

Введение диссертации (часть автореферата) на тему «Управление доступом к ресурсам распределенных информационных систем на основе отношений доверия»

Актуальность темы

В течение последних десяти лет сфера применения сложных, территориально распределенных информационных систем неуклонно расширяется. Вместе с этой тенденцией возрастает и величина потенциального ущерба, который может быть причинен обществу в результате некорректной работы подобных систем. Сбои в их работе могут возникать случайно, не по злому умыслу, а также в результате намеренных действий как лиц, внешних по отношению к системе, так и администраторов, ответственных за те или иные аспекты ее сопровождения. Диапазон потенциальных нарушителей с точки зрения их целей и возможностей достаточно широк. Он простирается от подростков, желающих показать свои знания в области информационных технологий, до террористических и военно-политических организаций, имеющих целью на длительное время вывести из строя жизненно важные для страны информационные системы [25], причинив государству как можно больший ущерб. Такой ущерб может иметь не только экономические, но и социальные, политические последствия. Отказы или сбои в работе современных информационных систем могут привести к экологическим или техногенным катастрофам, к человеческим жертвам и, учитывая тенденции развития общества и темпы развития телекоммуникаций, в будущем риски подобных событий будут повышаться.

При анализе методов защиты сложных информационных систем часто упоминается «правило слабого звена». Оно заключается в том, что система защищена настолько надежно, насколько можно гарантировать защиту самой слабой её компоненты. Во многом указанное утверждение справедливо. Однако, не следует пренебрегать защитой системы в целом в том случае, если часть её оказывается под контролем злоумышленников. Существует несколько причин для возникновения подобной ситуации. Первая из них состоит в том, что как бы хорошо ни были защищены компоненты распределенной информационной системы от внешней угрозы, злоумышленник может получить контроль над одной из них в каком-то смысле «случайно». Вторая причина заключается в том, что, зачастую, подлежащие защите системы сталкиваются с нападениями не только внешних по отношению к организации, обеспечивающей ее безопасность, но и внутренних нарушителей. Не следует также упускать из вида «комбинированные» угрозы, исходящие как извне, так и изнутри такой организации. Третья причина, по которой необходимо разрабатывать меры безопасности в том числе и в условиях, когда некоторые из компонент системы контролируются злоумышленником, состоит том, что многие крупные распределенные информационные системы создаются путём объединения более мелких, составляющих ее компонент. До объединения эти подсистемы могут иметь различные уровни защищенности. Некоторые из них, по крайней мере на начальном этапе их совместной работы, могут быть защищены недостаточно надежно.

С учетом изложенного, практический интерес представляет разработка способов адекватного описания методов эффективного анализа политик безопасности сложно организованных, территориально распределенных информационных систем, моделей разграничения доступа к их ресурсам и соответственно реализующих их программных механизмов. Такие подходы и способы, с одной стороны, должны минимизировать взаимозависимость компонент подлежащей защите системы и уменьшать возможный ущерб от несанкционированного доступа к некоторым из них. С другой стороны, они призваны сделать компоненты достаточно сильно связанными для того, чтобы система в целом могла успешно выполнять свои основные функции. Дополнительные сложности при этом возникают при обеспечении безопасности систем, отдельные компоненты которых имеют различные, изначально не согласованные друг с другом политики информационной безопасности. Однако, пользователи этих систем по объективным причинам вынуждены участвовать в интенсивном обмене информацией посредством незащищенных каналов сетей связи общего пользования.

Одним из важнейших в комплексе средств обеспечения безопасности информационных систем, в том числе распределенных, является логическое разграничения доступа к их информационным и вычислительным ресурсам. Суть такого разграничения заключается в поддержке заранее принятых правил, по которым принимается решение о том, разрешено ли субъектам информационной системы то или иное действие над ее объектами. При использовании распределенных на сетевой среде сложных информационных систем повышенное внимание должно быть уделено механизмам логического разграничения доступа субъектов к удаленным объектам, принадлежащим другим компонентам подконтрольной распределенной информационной системы. Осуществление доступа субъекта к удаленному на сетевой среде объекту, как правило, возможно только с использованием другого субъекта, расположенного в той же компоненте распределенной информационной системы, что и объект доступа. В качестве такого «другого субъекта» может выступать, например, HTTP- или SSH-сервер. По этой причине задача управления логическим разграничением доступа к ресурсам распределенных информационных систем неразрывно связана с задачей управления доверием между субъектами этих систем, то есть управления возможностями субъектов осуществлять доступ к объектам посредством других субъектов.

Представленные соображения свидетельствуют о том, что тема диссертации основное содержание которой посвящено разработке математических методов и реализации на их основе программных средств управления доступом к ресурсам сложных, распределенных на сетевой среде информационных систем на основе отношений доверия между субъектами этих систем, является актуальной.

Цели и задачи работы

Основной целью настоящей работы является исследование и разработка математических методов и реализующих их программных механизмов с открытым исходным кодом под управлением операционной системы Linux для логического разграничения доступа к ресурсам распределенных на сетевой среде информационных систем на основе отношений доверия. Для достижения поставленной цели в работе сформулированы и решаются следующие задачи.

• Исследование и сравнительный анализ свойств некоторых используемых на практике моделей логического разграничения доступа субъектов к объектам распределенных информационных систем (в дальнейшем, для краткости - моделей ЛРД) и реализующих их программных средств с открытым исходным кодом на основе механизмов операционной системы Linux.

• Построение математических методов объединения на основе отношений доверия различных моделей логического разграничения доступа к ресурсам сложных распределенных информационных систем.

• Разработка и тестовые испытания программных средств управления логическим разграничением доступа субъектов к объектам сложных распределенных на сетевой среде информационных систем путем использования отношений доверия.

Методы исследования

Для решения поставленных в данной работе задач используются:

• математическое моделирование механизмов логического разграничения доступа;

• методы дискретной математики и математической логики;

• методы программной инженерии.

Основные результаты

В работе получены следующие основные результаты.

• Проведен доказательно строгий сравнительный анализ возможностей представления одних широко используемых на практике моделей логического разграничения доступа к ресурсам информационных систем, использующих UNIX-подобные операционные системы, через другие.

• Разработаны математические методы объединения широко используемых на практике моделей логического разграничения доступа к ресурсам распределенных на сетевой среде сложно организованных информационных систем с использованием отношений доверия.

• Разработан и прошел тестовые испытания прототип программного комплекса с открытым исходным кодом для управления логическим разграничением доступа к ресурсам распределенных на сетевой среде сложно организованных информационных систем, работающих под управлением операционной системы Linux, использующий отношения доверия. Возможности данного программного комплекса, получившего название Nettrust, включают передачу по сети информации о пользователе, инициировавшем сетевое соединение и принятие решения о создании сетевого соединения на основании данной информации.

Научная новизна работы

Научная новизна настоящей работы заключается в создании доказательно обоснованных математических методов интеграции различных моделей логического разграничения доступа в сложных распределенных информационных системах. Разработаны математические методы объединения ролевых моделей ЛРД, моделей принудительной типизации, многоуровневых моделей и некоторого класса дискреционных моделей ЛРД. Разработана обобщенная многоуровневая модель ЛРД, являющаяся аналогом многоуровневой модели ЛРД для использования в распределенных на сетевой среде сложных информационных системах.

Практическая значимость

Результаты работы создают методологическую основу для разработки программных средств обеспечения безопасности распределенных информационных систем, компоненты которых с открытым исходным кодом функционируют на базе ОС Linux. По результатам работы автором спроектирован и реализован прототип программного комплекса Nettrust, предназначенного для управления доступом субъектов к объектам в распределенных на сетевой среде сложных информационных системах.

Личный вклад автора

Личный вклад автора данной работы заключается в выполнении следующих задач:

• сформулированы и доказаны необходимые и достаточные условия возможности интеграции некоторых математических моделей ЛРД с помощью отношений доверия;

• спроектирован и реализован пакет программных средств для управления доступом субъектов к объектам сложных распределенных информационных систем на основе отношений доверия, проведены его тестовые испытания.

Апробация работы

Результаты работы докладывались: на научной конференции «Математика и безопасность информационных технологий» в 2005 году; На конференции «Ломоносовские чтения» в МГУ в 2006 и 2009 годах, на семинаре «Проблемы современных информационно-вычислительных систем» под руководством д.ф.-м.н., проф. В. А. Васенина (механико-математический факультет МГУ имени М. В. Ломоносова) в 2005 и 2010 годах.

Публикации

По результатам диссертационной работы вышли 4 научных публикации, из которых одна статья [3] - в журнале из перечня ведущих рецензируемых изданий, рекомендованных ВАК. Материалы работы вошли в главу 3 опубликованной в 2008 году коллективной монографии «Критически важные объекты и кибертерроризм. Часть 2. Аспекты программной реализации средств противодействия» под ред. В. А. Васенина. [25].

Структура работы

Диссертационная работа состоит из введения, четырех глав, заключения, списка литературы и девяти приложений.