CC BY
113
Информационные технологии и безопасность
111
УДК 004.45
В. В. Яковлев, А. Д. Хомоненко
ОБЕСПЕЧЕНИЕ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ С ПОМОЩЬЮ СЕРВЕРА ЗАЩИТЫ z/OS SECURITY SERVER
Рассматриваются общая концепция формирования архитектуры безопасности информационных систем и вопросы управления защитой фирмы IBM. Описываются состав и назначение основных компонентов сервера защиты z/OS Security Server.
сервер защиты, архитектура, ресурсы, полномочия, профили.
Введение
В железнодорожной отрасли продукты фирмы IBM находят широкое применение при разработке и развертывании корпоративных информационных систем. В современных условиях при этом обязательно подразумеваются сетевые решения, в которых вопросы обеспечения информационной безопасности играют важную роль.
Информационная безопасность должна гарантировать
конфиденциальность (разумное ограничение доступа), целостность и достоверность информации, а также обеспечивавать учет и анализ всех событий, в ходе которых информация создается, модифицируется и распространяется по сети.
1 Общая концепция безопасности
Общая концепция IBM при формировании архитектуры безопасности построена на основе определений стандарта ISO 7498-2, в которых представлены следующие базовые механизмы обеспечения безопасности:
• идентификация и аутентификация (проверка подлинности) пользователей и взаимодействующих объектов;
• управление доступом, понимаемое как избирательное разрешение или отклонение запросов авторизованных пользователей (объектов) на доступ к ресурсам;
• конфиденциальность данных, гарантирующая их раскрытие только теми людьми (объектами), которым они предназначены;
• целостность данных, гарантирующая устойчивость к неавторизованной модификации содержания хранимых или передаваемых данных;
ISSN 1815-588 X. Известия ПГУПС
2008/3
Информационные технологии и безопасность
• доступность как способность обеспечивать беспрепятственный контроль выполнения трансакций.
При этом достижение концептуальных целей реализации названных механизмов в подходе IBM предусматривается на трех уровнях.
1. Платформенном (или операционных систем), на котором решаются главным образом задачи идентификации и аутентификации пользователей, управления доступом и целостности системного кода. Типичным примером этого в z/OS является использование средства системной авторизации SAF (System Authorization Facility) и внешнего менеджера безопасности RACF (Resource Access Control Facility) - широко известное средство управления доступом к ресурсам, разработанное компанией IBM.
2. Сетевом, расширяющем возможности реализации политики безопасности SP (Security Policy) на случай сетевых технологий вычислений и манипуляции с данными, включая функции обеспечения конфиденциальности и целостности. Примерами реализации этих механизмов в z/OS являются технологии межсетевых экранов (брандмауэров) и сервиса обнаружения вторжений IDS (Intrusion Detection Services). Первые из них реализуют набор правил, определяющих условия прохождения протокольных блоков данных через межсетевые границы. Сервисы IDS идентифицируют, документируют и анализируют подозрительные с точки зрения угроз безопасности события, извещают о них операторов.
3. Обмена данными (транcакций). Этот уровень подразумевает предоставление приложениям дополнительных сервисов, позволяющих им осуществлять специфичную парадигму защиты поверх базовых средств обеспечения безопасности. Примером такой реализации механизмов безопасности является протокол уровня защищенных сокетов SSL (Secure Socket Layer), разработанный компанией Netscape Communications Corporation. Этот протокол создает защищенное сквозное соединение виртуальной сети, обеспечивая взаимную аутентификацию абонентов, а также конфиденциальность, подлинность и целостность циркулирующей по соединению информации.
Как отмечено выше, в основе реализации механизмов безопасности первого уровня лежит использование средства SAF, являющегося частью операционной системы и обеспечивающего интерфейс между источниками запросов на доступ к ресурсам системы и структурой обеспечения безопасности, которая традиционно представляется в форме RACF. SAF и RACF работают совместно (см. рисунок) при определении возможности доступа к ресурсу. В качестве защищаемых ресурсов выступают наборы данных, мини-диски, терминалы, трансакции, ресурсы, описанные при установке пользователями, и др.
ISSN 1815-588 X. Известия ПГУПС
2008/3
Информационные технологии и безопасность
113
Взаимодействие RACF и SAF при доступе к ресурсам
Основываясь на первичном запросе пользователя, менеджер ресурса формирует свой запрос и передает его SAF. В зависимости от типа запроса SAF либо создает ответ, либо транслирует запрос RACF. При этом не требуется обращение к базе данных RACF, если ответ может быть оформлен с учетом данных, хранимых в памяти профилей.
Примерами менеджеров ресурсов являются:
• CICS (Customer Information Control System) - при входе в диалоговую систему и при авторизации трансакций CICS;
• z/OS Unix - ядро доступа к файлам, авторизации и др.,
• DFSMS (Data Facility Storage Management Subsystem) - для доступа к наборам данных и предоставления полномочий.
IBM реализовала продукт SAF, используя макрос, называемый RACROUTE [1], который обеспечивает выполнение подфункций для каждого выводимого макроса безопасности. Например, собранной программе нужно определить лишь RACROUTE REQUEST=VERIFY для верификации пользовательского идентификатора и RACROUTE REQUEST= AUTH для проверки авторизации.
Представленная концепция позволяет настраивать систему безопасности на использование различных продуктов безопасности. По мере появления улучшенных продуктов (например, модификации RACF) компания IBM обеспечивает включение дополнительных функций безопасности в SAF. Например, в течение нескольких последних лет SAF был адаптирован к обработке в среде Unix на мейнфреймах с использованием вызываемых сервисов для интерпретации широкого спектра приложений, таких как Java. Основными функциями SAF являются:
• обеспечение и поддержание безопасной среды для всех работ;
• корректное распространение информации, связанной с безопасностью. В частности, SAF выполняет раннюю верификацию и
ISSN 1815-588 X. Известия ПГУПС
2008/3
Информационные технологии и безопасность
авторизацию такого рода информации (идентификаторов пользователей и паролей), даже если RACF отсутствует или неактивно;
• создание и обслуживание идентификаторов защиты (токенов защиты), понимаемых как группа атрибутов защиты и существующих в форме перемещаемых структур данных. Токены позволяют ассоциировать среду безопасности с состоянием (активно, неактивно) исполняемых задач. Для генерации и обслуживания токенов SAF использует сервисы RACROUTE.
2 Сервер защиты z/OS Security Server (RACF)
Сервер защиты z/OS Security Server представляет собой пакет программ под операционной системой z/OS и включает четыре основных компонента:
• RACF;
• DCE Security Server;
• OS/390 Firewall Technologies;
• LDAP (Lightweight Directory Access Protocol).
В пакет включены многие другие продукты, например средство криптографии OCEP (Open Cryptographic Enhanced Plugin), сервер ключей (IKE демон) для автоматической инсталляции распределенных ключей защиты между конечными точками виртуальной частной сети VPN (Virtual Private Network), NAS (Network Authentication Service), Kerberos и др. Для эффективного поддержания механизмов управления доступа к наборам данных и ресурсам системы z/OS Security Server обеспечивает:
• идентификацию пользователя, совершающего попытку получить доступ к защищенной системе;
• определение и подтверждение подлинности и полномочий пользователя при его входе в систему;
• разрешение доступа к защищенному ресурсу только авторизованным пользователям, имеющим полномочия доступа соответствующего уровня;
• предоставление удобного способа выполнять административные функции по защите;
• регистрацию и отчет попыток неавторизованного доступа к защищенным ресурсам;
• создание списка защищенных паролем ресурсов и уровня защиты, заданного для каждого ресурса.
RACF имеет специального пользователя, называемого администратором защиты, который обладает полномочиями определять пользователей и ресурсы для RACF. Администратор защиты может авторизовать и других пользователей для выполнения задач
администрирования.
ISSN 1815-588 X. Известия ПГУПС
2008/3
Информационные технологии и безопасность
115
RACF заносит информацию о пользователях, ресурсах и авторизациях доступа в профили своей базы данных и обращается к ней (или к памяти профилей) при анализе полномочий каждого пользователя по доступу к защищенным системным ресурсам. В качестве защищаемых RACF компонентов выступают:
• наборы данных, хранимых в DASD (Direct Access Storage Devices) и на магнитных лентах;
• общие классы ресурсов, такие как загрузочные модули, терминалы, приложения и др., представленные в таблице.
ТАБЛИЦА. Защищаемые RACF общие ресурсы
Классы ресурсов Примечание
Тома Памяти DASD; на магнитных лентах
Загрузочные модули (программы)
IMS (Information Management System) Трансакции; группы трансакций; группы приложений
Векторные операции -
OPC/A (Operations Planning and Control/Advanced)
TSO Logon-процедуры; учетные номера; атрибуты пользователей; группы заданной производительности
CICS Трансакции; запущенные трансакции; блоки описания спланированных программ; файлы; журналы; программы; маршруты пересылки данных; описания временной памяти
DFSMS Класс управления; класс памяти
Приложения Net View; MQM (Message Quene Manager); DB2; RSF (Remote Sharing Facility) и др.
Ресурсы, описанные установкой (Installation -defined resources) -
RACF обеспечивает дополнительную поддержку функций защиты и ведения единого репозитория, взаимодействуя с такими продуктами, как APPC, LAN File Service, Tivoli Management, Environment и др.
RACF различает классы ресурсов, функционально подобные друг другу. Например, том на магнитной ленте, независимо от его содержания или физического размещения, представляет специфичный способ хранения данных (тома на магнитных лентах - ресурсный класс). Терминалы также представляют класс ресурсов, так как вне зависимости от различий в физических атрибутах они выполняют схожие операции ввода/вывода. Управляющая информация по классам ресурсов представлена в таблице
ISSN 1815-588 X. Известия ПГУПС
2008/3
Информационные технологии и безопасность
описания классов (Class Descriptor Table) и включает имя класса, синтаксические правила для имен внутри класса, местоположение флагов класса (аудит, статистика).
RACF поддерживает информацию о пользователях, ресурсах и авторизации доступа в профилях RACF, хранимых в базе данных, и обращается к ним в случаях определения прав пользователей на доступ к защищаемым ресурсам.
Пользовательские профили создаются для каждого из них, определенного в RACF. Атрибуты пользователя определяют ответственность, полномочия и ограничения, которыми обладает определенный пользователь (выполнение административных задач, модификация RACF-профилей, выполнение задач аудита, задач оператора, технической поддержки и пр.). Категории защиты данных (Security Classification) определяют способность пользователей иметь доступ к защищенным ресурсам.
Пользователи могут быть объединены в группы с групповым идентификатором GID (Groups Identifier) как совокупность пользователей, имеющих одинаковые системные атрибуты.
Существуют три типа профилей ресурсов (для наборов данных и общих ресурсов): дискретные, общие и групповые. Дискретные профили имеют соотношение с ресурсом «один к одному», т. е. один профиль для каждого ресурса. Обычно используются для доступа к секретным ресурсам.
Общие профили реализуют соотношение «один ко многим», т. е. один профиль управляет доступом к одному или многим ресурсам. Они содержат список авторизованных пользователей и полномочия по доступу для каждого из них. Один общий профиль может защищать множество наборов данных, имеющих сходную структуру именования (например, в форме уровневых префиксов). Поэтому главным преимуществом общих профилей является возможность существенной экономии объема БД RACF и времени на обработку запросов.
В случае групповых профилей множество ресурсных имен ассоциируются с одним RACF-профилем, который содержит имена объединяемых ресурсов.
2.1 Определение и проверка полномочий пользователей
RACF использует идентификатор пользователя ID для определения личности пользователя, пытающегося получить доступ к системе, и пароль для подтверждения подлинности идентификатора [2].
При верификации определений пользователей и персональном учете RACF предполагает, что только одному пользователю известна его особая комбинация пароль-идентификатор.
В ходе определений и проверки RACF определяет:
ISSN 1815-588 X. Известия ПГУПС
2008/3
Информационные технологии и безопасность
117
• имеется ли описание пользователя в RACF;
• имеет ли пользователь действующий пароль (или альтернативное средство) и групповое имя;
• правильность UID или GID в системе z/OS Unix System Services;
• не находится ли UID в статусе REVOKE (отмены полномочия), который вообще предотвращает вход в систему пользователя или определенных групп;
• может ли пользователь работать в системе в этот день или время дня (ограничение накладывается при инсталляции);
• уполномочен ли пользовательский доступ к терминалу;
• уполномочен ли пользовательский доступ к приложению.
После завершения этих процедур RACF определяет область полномочий пользователя для текущей терминальной сессии или выполнения пакетного задания.
В среде z/OS RACF допускает ряд альтернативных возможностей использования паролей:
• предоставляет рабочим станциям и клиентским машинам в среде клиент-сервер возможность использовать «билет передачи» (Pass Ticket) вместо пароля. Pass Ticket может быть сгенерирован RACF или другой авторизованной функцией и используется только один раз на данной компьютерной системе в пределах десяти минут после порождения;
• использование карты описания оператора (OIDCARD) вместо или в добавление к паролю в течение терминальной сессии. Требование от пользователя не только знания пароля, но и предоставления OIDCARD увеличивает надежность того, что идентификатор пользователя был введен истинным пользователем;
• в среде z/OS Unix System Services, где пользователи идентифицируются с помощью числовых идентификаторов UID и групповыми идентификаторами GID, последние также могут использоваться RACF для управления доступом к системным ресурсам. В отличие от имен пользователей и групповых имен эти числовые идентификаторы могут использоваться несколькими пользователями или группами одновременно, хотя такое совместное использование не рекомендуется;
• в среде клиент-сервер RACF может отображать цифровые сертификаты клиентов на пользовательские идентификаторы. Цифровые сертификаты или цифровые ID, выдаваемые администратором сертификатов (Certificate Authority) содержат информацию, которая, подобно паспортной системе, уникально идентифицирует клиента.
Например, IBM HTTP Server for z/OS отождествляет клиентов, используя клиентские сертификаты, на защищенной SSL-сессии. При этом
ISSN 1815-588 X. Известия ПГУПС
2008/3
Информационные технологии и безопасность
НТТР-сервер передает клиентский цифровой сертификат системе z/OS Unix System Services для подтверждения, которая далее передает сертификат RACF для поиска пользовательского IP из профиля отображений в БД RACF. Таким образом, доступ к защищенным Web-страницам или другим ресурсам осуществляется без ID и пароля пользователя.
2.2 Авторизация пользователя для доступа к ресурсам
После идентификации и проверки полномочий пользователя RACF осуществляет контроль за взаимодействием между пользователем и системными ресурсами. RACF по запросу менеджеров ресурсов определяет не только, какие пользователи могут получить доступ, но и уровень доступа, например: READ (для чтения, отображения или копирования ресурса) или UPDATE (для записи, модификации или передачи ресурса). Уровни доступа организованы в RACF иерархически. Так, UPDATE включает READ и т. д.
Для выполнения задач авторизации RACF использует макрос RACROUTE=AUTH. Пользователь получает доступ к ресурсу после выполнения следующих действий:
1) контроля профилей на предмет наличия у пользователя соответствующих прав. Наборы данных z/OS защищены профилями класса DATASET;
2) проверки категорий (классов) защиты, установленных для пользователей, и данных. Сначала RACF сравнивает уровень защиты пользователя и профилей защиты. При этом, если ресурс имеет более высокий уровень защиты, чем пользователь, RACF отклоняет запрос. Затем RACF сравнивает список категорий доступа в профиле пользователя со списком категорий в профиле ресурса. Если последний содержит категорию, которой нет в профиле пользователя, запрос также отклоняется;
3) предоставляет пользователю доступ к ресурсу, если удовлетворяется любое из условий:
• ресурс является набором данных, и префикс высшего уровня соответствует идентификатору пользователя;
• идентификатор пользователя имеется в списке доступа с достаточными правами;
• достаточный уровень полномочия по доступу (universal access authority).
2.3 Регистрация и составление отчетов
Идентифицировав и проверив полномочия пользователя и затем установив ограничения на доступ к ресурсам, RACF производит
ISSN 1815-588 X. Известия ПГУПС
2008/3
Информационные технологии и безопасность
119
регистрацию попыток пользователей получить доступ к системе и защищенным ресурсам, ввода команд RACF, а также составляет отчеты с информацией обо всех попытках получения доступа к защищенным ресурсам. RACF регистрирует эти события главным инструментом z/OS -SMF (System Management Facility) 80-го типа записей.
3 Управление защитой с помощью RACF
Требования к защите изменяются в зависимости от потребностей конкретной системы обработки данных. RACF позволяет удовлетворить требования к защите для каждой отдельной системы обработки данных, предоставляя возможность выбрать конкретный способ управления защитой из ряда возможностей: гибкое управление доступом к
защищенным ресурсам; защита ресурсов, описанных при инсталляции; возможность сохранять информацию для других программных продуктов; выбор централизованного или децентрализованного управления профилями; легко используемые панели ввода RACF-команд ISPF (Interactive System Productivity Facility); прозрачность для конечных пользователей, которые не обязаны осознавать, что RACF защищает их данные; возможность использования программ выхода, написанных для каждой конкретной инсталляции; текущий контроль защиты данных; составление отчетов RACF.
3.1 Гибкое управление
RACF позволяет системе обработки данных устанавливать собственные правила для осуществления контроля доступа к ресурсам с помощью определения, что является защищенным, на каком уровне и кто имеет право получить доступ к защищенным ресурсам. Благодаря гибкой структуре RACF любая информационная система может настроить RACF на взаимодействие со своей операционной средой. Благодаря возможности настройки управления защитой при инсталляции каждая информационная система может адаптировать средства RACF для удовлетворения своих потребностей защиты.
3.2 Защита ресурсов, описанных при инсталляции
Кроме предварительно определенных ресурсов, таких как наборы данных, мини-диски, терминалы и трансакции, определенные для IMS/ESA и CICS/ESA, RACF позволяет вычислительной системе защищать свои собственные ресурсы, описанные при инсталляции. Наличие такой возможности существенно увеличивает гибкость управления ресурсами, которые могут быть защищены в вычислительной системе.
ISSN 1815-588 X. Известия ПГУПС
2008/3
Информационные технологии и безопасность
В среде с системно-управляемой памятью RACF позволяет администратору памяти управлять использованием классов данных и памятью, а также дает возможность передавать информацию другим программным продуктам.
RACF обеспечивает сохранение информации, необходимой для других продуктов, если эта информация относится к тем пользователям или ресурсам, с которыми взаимодействует такой продукт. Например, RACF может сохранять информацию в профилях:
• пользователя для последующего использования ее TSO/E;
• наборов данных, групп и пользователей для использования ее DFSMS;
• общих ресурсов для использования ее средством Hyperbatch;
• общих ресурсов для использования ее VTAM (Virtual Telecommunications Access Method).
Дополнительным свойством гибкости является способность администратора защиты возлагать ответственность за обслуживание этой информации на других администраторов в системе. Например, информация, используемая DFSMS, может быть передана в управление администратору памяти.
3.3 Прозрачность для пользователей
Обычно пользователи систем обработки данных не хотят, чтобы их данные могли быть прочитаны или изменены другими субъектами, кроме тех случаев, когда это специально подразумевается. К сожалению, пользователи всех типов часто не решаются предпринимать меры для обеспечения защиты своих данных, так как во многих случаях проще проигнорировать процедуру защиты, чем ее использовать.
При использовании RACF конечный пользователь может не осознавать, что его данные защищены. Используя административные возможности RACF, вычислительная система способна сделать использование RACF незаметным для большинства конечных пользователей.
3.4 Использование программ выхода
RACF позволяет написать собственные программы выхода для каждой конкретной системы обработки данных для удовлетворения уникальных потребностей защиты. Эти программы выхода могут быть связаны с командами RACF либо они могут обрабатывать проверку авторизации или пароли пользователей.
ISSN 1815-588 X. Известия ПГУПС
2008/3
Информационные технологии и безопасность
121
3.5 Текущий контроль защиты данных
Монитор защиты данных RACF DSMON (Data Security Monitor) позволяет авторизованному пользователю получать отчеты о состоянии среды защиты в системе, особенно о ресурсах, управляемых RACF. Отчеты DSMON можно использовать для сравнения действительного уровня защиты, обеспечиваемого в вычислительной системе, с запланированным уровнем защиты.
Примерами информации, которую можно получить из отчетов монитора защиты данных, являются список всех пользователей с атрибутами SPECIAL, OPERATIONS и AUDITOR, список программ выхода RACF, написанных для конкретной вычислительной системы, и список программ в таблице программ, авторизованных для вызова RACF.
3.6 Программа записи отчетов RACF
Программа записи отчетов RACF позволяет аудиторам или администраторам защиты получать доступ к средствам RACF и использовать ресурсы, защищаемые ими. Программа записи отчетов RACF обеспечивает широкий набор видов отчетов, которые позволяют производить текущий контроль и проверку правильности использования системы и ресурсов.
Программа записи отчетов RACF составляет список содержимого записей средства управления системой (SMF) в удобном для чтения формате.
Программа записи отчетов RACF может тоже порождать отчеты на основе информации, содержащейся в записях SMF, например:
• отчеты, описывающие попытки получения доступа к отдельным защищаемым с помощью RACF ресурсам в виде идентификаторов пользователей, количества и типа удачных попыток получения доступа и количества и типов попыток нарушения защиты;
• отчеты, описывающие деятельность пользователей и групп;
• отчеты, отражающие итоги использования системы и ресурсов.
4 Обслуживающая программа разгрузки данных SMF
Обслуживающая программа разгрузки данных SMF, как и программа записи отчетов RACF, обрабатывает записи SMF. При этом она позволяет выполнить более комплексную проверку, чем программа записи отчетов RACF.
Выходная информация обслуживающей программы разгрузки данных SMF может быть: непосредственно просмотрена, использована в качестве входных данных для программ, написанных для конкретной вычислительной установки; обработана обслуживающей программой
ISSN 1815-588 X. Известия ПГУПС
2008/3
Информационные технологии и безопасность
слияния/сортировки; передана программе управления базой данных, такой как DB2.
Программа управления базой данных может составить как справочные, так и общие отчеты на базе выходной информации от программы разгрузки данных SMF. Эти отчеты могут быть полезными при обработке подозрительных попыток доступа авторизованных пользователей, которые могут оказаться пропущенными при работе программы, предназначенной для составления отчетов о неавторизованных попытках доступа. Поскольку данные чаще ошибочно портятся авторизованными пользователями, чем умышленно копируются неавторизованными пользователями, такие отчеты особенно важны для защиты.
5 z/OS Unix System Services
Функции безопасности Unix System Services реализованы в RACF частично как расширение существующих RACF-функций, частично как новые функции RACF. Эти функции включают аутентификацию пользователей, контроль доступа к файлам и привилегированных пользователей. Пользователи Unix System Services определены командами RACF.
Класс операционных систем Unix включает множество предложений поставщиков, таких как AIX компании IBM, HP-Ux компании Hewlett Packard, Solaris (Sun). Некоторые системы ряда распространяются свободно (Linux, Free BCD). Общей характеристикой этих операционных систем является то, что решение задач обеспечения безопасности осуществляется средствами пользовательских идентификаторов (UID и GID), битов разрешения и списков управления доступом ACLs (Access Control Lists).
В Unix-архитектуре каждый пользователь системы имеет имя пользователя и идентификатор UID (обычно число из диапазона 0-2 -1). Подобным образом идентифицируются группы. В некоторых Unix-системах пользователь может одновременно быть включенным только в одну группу. В других, например в AIX, - в несколько, аналогично функции RACF «список групп».
Каждый объект (файл или каталог) файловой системы HFS (Hierarchical File System) имеет девять битов разрешения (permission bits), разделенных на три группы по три бита. Три бита в каждой из групп обозначают соответственно разрешение чтения, записи и исполнения. Разрешение чтения в каталоге позволяет распечатку файлов и поддиректориев; разрешение записи в директорий позволяет создавать, обновлять или удалять объект каталога, разрешение исполнения -осуществлять операции поиска.
ISSN 1815-588 X. Известия ПГУПС
2008/3
Информационные технологии и безопасность
123
В z/OS каждый пользователь системы имеет идентификатор UID. Для каждого UID в БД RACF определен пользовательский профиль в классе USER, содержащий всю информацию о пользователе. В продукте z/OS Unix System Services поддерживается два уровня безопасности: Unix-уровень, традиционный для Unix, и z/OS Unix-уровень с дополнительными функциями по безопасности. Второй из них (рекомендуемый) уровень безопасности реализуется, если определен по крайней мере один из профилей BPX.DAEMON или BPX. SERVER в классе FACILITY. В этом случае существенно усиливается общая безопасность системы, в особенности в плане улучшения управления процедурами смены параметров идентичности суперпользователей. В частности, одной из целей инсталляций систем безопасности является сокращение числа суперпользователей до абсолютного минимума, что достигается использованием функции структурирования суперпользователя (superuser granularity).
Заключение
В целом использование концепции RACF позволяет обеспечить такие исключительные свойства для усиления Unix-безопасности, как:
• степень детализации процессов аудита и генерации отчетов, обеспечивающая исчерпывающую проверку многочисленных событий с записью этой информации в SMF, которая недоступна даже для суперпользователей;
• защита программ-демонов от модификаций и неправильного использования;
• включение функции управления структурой суперпользователей, позволяющей снизить число необходимых системных суперпользователей;
• защита стека TCP/IP, портов, сетевых адресов от использования их неавторизованными пользователями;
• возможность присваивания различных идентификаторов не только для процессов, но и для цепочки подпроцессов внутри них позволяет осуществлять управление доступом в z/OS Unix на более структурированной основе;
• структура ключей памяти, аппаратно реализованная в z900 в совокупности с концепцией адресации, принятой в z/OS, изолирует приложения друг от друга и от операционной системы.
Библиографический список
1. z/OS WebSphere J2EE Security Handbook, ibm.com/redbooks / H. Wunderlich, U. Boche, J. Briggs, J. Diaz and oth. - ITSO, 2003. - 768 p. - SG24-6846-01.
ISSN 1815-588 X. Известия ПГУПС
2008/3
Информационные технологии и безопасность
2. Информационная безопасность и защита информации в корпоративных сетях железнодорожного транспорта / В. В. Яковлев, А. А. Корниенко. - М. : УМК МПС России, 2002. - 328 с.
Современные технологии - транспорту
УДК 625.142.42
А. А. Бекиш
ДЕСЯТИЛЕТНИЙ ОПЫТ ЭКСПЛУАТАЦИИ ЖЕЛЕЗОБЕТОННЫХ ШПАЛ «SWETRAK» СО СКРЕПЛЕНИЯМИ «PANDROL FASTKLIP» НА ЛИНИИ САНКТ-ПЕТЕРБУРГ-МОСКВА
Проведен анализ результатов десятилетней эксплуатации стометрового экспериментального участка пути со шпалами «Swetrak» и скреплением «Pandrol Fastklip» на линии С.-Петербург-Москва. Показаны преимущества этой конструкции пути по сравнению с традиционно применяемой (шпалы Ш1, скрепления КБ) и вновь укладываемой (шпалы ШС АРС, скрепления АРС-4) на Октябрьской дороге. Использованы результаты эксплуатационных наблюдений за экспериментальным участком и обследований опытной конструкции пути, производившихся работниками Октябрьской дороги и сотрудниками Петербургского университета путей сообщения. Показана возможность и целесообразность применения на российских железных дорогах шпал «Swetrak» и скреплений «Pandrol Fastklip».
железобетонные шпалы, промежуточные скрепления, путь, конструкция, технология, опытный участок, эксплуатация, текущее содержание, затраты, рельсовая колея, геометрические параметры, разброс, стабильность, эффективность.
Введение
ISSN 1815-588 X. Известия ПГУПС
2008/3
