Применение сегмента матрицы доступов хру в анализе информационной безопасности систем, реализующих мандатное разграничение доступа Текст научной статьи по специальности «Компьютерные и информационные науки»

Научный журнал КубГАУ, №101(07), 2014 года

1

УДК 004.02

ПРИМЕНЕНИЕ СЕГМЕНТА МАТРИЦЫ ДОСТУПОВ ХРУ В АНАЛИЗЕ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ СИСТЕМ, РЕАЛИЗУЮЩИХ МАНДАТНОЕ РАЗГРАНИЧЕНИЕ ДОСТУПА

Королев Игорь Дмитриевич доктор технических наук, профессор

Поддубный Максим Игоревич

Носенко Сергей Владимирович Филиал Военной академии связи (г. Краснодар), Краснодар, Россия

В данной статье рассматривается применение механизма изменения матрицы доступов ХРУ при анализе безопасности информационной системы, реализующей мандатное разграничение доступа на примере анализа безопасности информации при применении способа автоматической классификации формализованных документов в системе электронного документооборота

Ключевые слова: БЕЗОПАСНОСТЬ ИНФОРМАЦИИ, МАНДАТНАЯ ПОЛИТИКА БЕЗОПАСНОСТИ, ДИСКРЕЦИОННАЯ ПОЛИТИКА БЕЗОПАСНОСТИ, РАЗГРАНИЧЕНИЕ ДОСТУПА

Модель мандатного разграничения доступа обеспечивает информационную безопасность с помощью присвоения всем сущностям системы уровней конфиденциальности (доступа). Данные уровни или метки определяют все возможные доступы между ними. Однако из этого следует, что мандатное управление доступом не различает сущностей одного уровня доступа, и на их взаимодействия ограничения не распространяются. Поэтому мандатная модель, как правило, применяется обязательно совместно с дискреционной, которая используется для контроля за взаимодействиями между сущностями одного уровня и установки дополнительных ограничений, усиливающих мандатную модель.

Применение мандатного разграничения совместно с дискреционным реализовано в классической модели Белла-ЛаПадула. Исходя из того, что

UDC 004.02

THE USAGE OF HRU SEGMENT MATRIX ACCESS IN THE ANALYSIS OF INFORMATION SECURITY SYSTEMS WHICH MAKE MANDATORY ACCESS CONTROL

Korolyov Igor Dmitrievich Dr.Sci.Tech., professor

Poddubny Maksim Igorevich

Nosenko Sergey Vladimirovich

Branch of the Military Academy of connection,

Krasnodar, Russia

In this article we consider the usage of HRU access matrix changing system allowing for information security system which makes mandatory access control in case of information security analysis by using an automatic classification of formalized documents in the system of electronic document management

Keywords: INFORMATION SECURITY, MANDATORY SECURITY POLICY , DISCRETIONARY SECURITY POLICY, ACCESS CONTROL

http://ej.kubagro.ru/2014/07/pdf/119.pdf

Научный журнал КубГАУ, №101(07), 2014 года

2

данная модель не описывает конкретных действий системы при запросах, а лишь задает условия ее работы, обеспечивающие безопасность системы, механизмы реализации действий системы могут быть различными, но отвечающими требованиям безопасности[2].

Одним из таких запросов является запрос на изменение текущей структуры разрешения доступа в матрице М (дискреционной части модели). Действия системы по данному запросу должны осуществляться на основе механизма, реализующего изменение матрицы возможных доступов, исключающее утечку прав доступа. Данный механизм представлен в классической модели Харрисона-Руззо-Ульмана (ХРУ) [2]. Следовательно, возможно применение модели ХРУ для реализации действий системы по запросу на изменение матрицы прав доступа М.

Применение механизма модели ХРУ при анализе безопасности информационной системы, реализующей мандатное разграничение доступа, обладает научной новизной.

Применим данный подход при анализе информационной

безопасности системы, обеспечивающей мандатное разграничение доступа на примере способа автоматической классификации формализованных документов в системе электронного документооборота (способа классификации) [4].

Способ классификации в автоматическом режиме по заранее определенным признакам определяет области информационной

ответственности того или иного исполнителя, к которой относится поступающий в систему документ. Преимущество данного способа по сравнению с известными - возможность реализовать классификацию с учетом любых значений реквизитов. Реквизиты формализованного документа, содержащего сведения конфиденциального характера, строго определены [6]. Следовательно, способ классификации способен в автоматическом режиме присваивать уровни конфиденциальности

http://ej.kubagro.ru/2014/07/pdf/119.pdf

Научный журнал КубГАУ, №101(07), 2014 года

3

поступившим документам. Таким образом, способ классификации предоставляет право доступа к поступившему документу одним субъектам информационной системы и запрещает другим, т.е. принимает на себя часть функций системы разграничения доступа (СРД). Разграничение доступа, обеспечиваемое на основе уровней конфиденциальности объектов и уровней доступа субъектов информационных систем, является мандатным [2]. Согласно требованиям основных критериев оценки безопасности компьютерных систем, СРД должны строиться на основе математических моделей. С использованием математических моделей должно быть теоретически обосновано соответствие системы защиты требованиям заданной политики безопасности [2].

Свойство безопасности является основным в любых

информационных системах, имеющих уровни конфиденциальности. Следовательно, анализ способа классификации на предмет соответствия моделям безопасности информационных систем является актуальной задачей.

Объектом исследования является способ автоматической

классификации формализованных документов в системе электронного документооборота [4].

Предметом исследования являются свойства способа автоматической классификации формализованных документов в системе электронного документооборота, обеспечивающие безопасную обработку информации.

Определим следующие задачи исследования:

Представить способ классификации в виде математической модели Белла-ЛаПадула;

применить в качестве механизма изменения матрицы доступов модели Белла-ЛаПадула модель ХРУ.

http://ej.kubagro.ru/2014/07/pdf/119.pdf

Научный журнал КубГАУ, №101(07), 2014 года

4

Исследовательский характер заключается в применении в модели Белла-ЛаПадула механизма изменения матрицы доступа, свойственного модели ХРУ.

Анализируемый способ классификации разработан на основе средств алгебры конечных предикатов[1].

Для выполнения поставленной задачи определим элементы, которыми будем оперировать:

О' = где j = 1,'; O' - множество документов поступающих в автоматизированную систему, при этом O' Q О, где О-множество объектов автоматизированной системы (АС).

ZpeK = {za}, где a = 1, а'- множество реквизитов документа;

Ькс = [lg], где д = 1,'' -множество ключевых слов;

Т = {th}, где h = 1, h' - множество характеристик текста;

$' = {%'&), где к = 1,1с' - множество форм документа;

U = [и*], где + = 1'+' множество информационных областей АС;

, = {—Л, где е = 1, е' множество значимых слов в тексте документа определенной информационной области, обладающих определенным весом.

Проанализировав правила построения предикатов, с помощью которых осуществляется автоматическая классификация поступающих в автоматизированную систему документов [4], основные этапы работы системы можно описать следующим образом:

- в зависимости от признаков документа и слов, применяемых в данном признаке, определяются реквизиты документа: Ррек^рек, Т, Ьпр);

- по словам в реквизитах определяется форма поступившего

документа Рф ($', 2рек, ;

http://ej.kubagro.ru/2014/07/pdf/119.pdf

Научный журнал КубГАУ, №101(07), 2014 года

5

- после однозначного определения реквизитов и формы документа выбираются заранее определенные информационные области, в которых производится определение значимых слов и их «взвешивание»[4];

- веса, полученные в указанных областях, сравниваются с заданными

значениями, после чего определяется область информационной ответственности с учетом реквизитов, обозначающих степень

конфиденциальности документа [6]: P(U,W, V).

Выразим все этапы работы способа классификации одним предикатом P(U,W,LpeK,T,Lnp), где Ьрек - множество слов реквизита поступившего документа; Lnp - множество ключевых слов признака документа, при этом LpeK Q LKC и Lnp Q LKC.

Для анализа безопасности информации при применении способа классификации необходимо указанные элементы представить элементами классической модели Белла-ЛаПадула.

Элементами модели Белла-ЛаПадула являются:

О = (oj], где j = 1,' - множество объектов системы;

6 = {s8}, где i = 1,' - множество субъектов системы;

R = {read, write, execute, append} - множество видов прав доступа субъектов s8 на объекты Oj;

М - матрица доступов, строки которой соответствуют субъектам, а столбцы - объектам. M[s, о] Q R, где R - права доступа субъекта s8 на объект Oj;

В = {Нтек Q 6 X О X R} - множество возможных множеств текущих доступов в системе;

(L, <) - решетка уровней конфиденциальности, например:

L = {U(unclussified),C(confidential),6(secret),T6(top secret)}, где U < C < 6 < T6;

http://ej.kubagro.ru/2014/07/pdf/119.pdf

Научный журнал КубГАУ, №101(07), 2014 года

6

(fs,f°,fc)£F = LsxL°xLs - тройка функций (fs,f°,fc),

определяющих fs: S ^-уровень доступа субъекта; f°: О ^ L уровень конфиденциальности объекта; fc:S^L - текущий уровень доступа субъекта, при этом для любого s8 £ S справедливо неравенство fc(Si) < fs(Si);

V = BxMxF = {%у}, где у = 1, у'- множество состояний системы;

Q = {[\}, где ] = 1,]' - множество запросов системе;

0={>_},где' = 1,'' - множество ответов системы по запросам, например: D = {yes, по, error};

W' = QxDxVxV - множество действий системы, где четверка (Чр>>ъ%у+1>%у) £ W'означает, что система по запросу q\с ответом перешла из состояния в состояние%Х+1;

N0 = {0,1,2 ...} - множество значений времени;

X - множество функций x:Nf ^ Q, задающих все возможные

последовательности запросов к системе;

Y - множество функций y:N0 ^ D, задающих все возможные

последовательности ответов системы по запросам;

Z - множество функций z: N0 ^ V, задающих все возможные последовательности состояний системы.

В классической модели Белла-ЛаПадула рассматривается три вида запросов к системе:

запросы изменения множества текущих доступов Втек;

запросы изменения функций f;

запросы изменения текущей структуры разрешения доступа в матрице М.

Система является безопасной, если соблюдаются свойства безопасности - ss, *, ds[2].

http://ej.kubagro.ru/2014/07/pdf/119.pdf

Научный журнал КубГАУ, №101(07), 2014 года

7

Следовательно, функции способа классификации должны реализоваться в рамках указанных обращений, не нарушая свойств безопасности системы. Следует особо отметить, что система мандатного разграничения доступа в данном случае не описывает принципов безопасного администрирования. Т.к. администрирование описывается другими моделями и требует отдельного исследования, в работе оно рассматриваться не будет (будем считать его безопасным, чем возведем в ранг ограничений).

Система разграничения доступа является статичной, следовательно, необходимо рассматривать последовательность состояний системы. Исходя из представленного описания реализации способа классификации, разделим анализ на два этапа.

1. Анализ безопасности информации при определении области

информационной ответственности исполнителей M[s, о] Q где ;-

правадоступасубъекта s8 на объект о.

2. Изменение уровня конфиденциальности объекта соответственно степени конфиденциальности поступившего документа.

Для удобства понимания работы системы представим каждый этап отдельным запросом системы, и, как следствие, отдельным состоянием:

%0- Документ о'споступает в АС. К объекту не имеет доступа ни один субъект кроме администратора. Начальное состояние является безопасным.

- запрос на изменение M (реализует 1-й этап);

%2 - запрос на изменение /0(о'1)(реализует 2-й этап).

На первом этапе производится запрос на изменение матрицы доступов М. Представим необходимые элементы способа классификации элементами модели Белла-ЛаПадула,

где и* £ (в виде su £ 6;

we £ ,в виде ow £ О;

http://ej.kubagro.ru/2014/07/pdf/119.pdf

Научный журнал КубГАУ, №101(07), 2014 года

8

е LpeK в виде о1рек е О;

th Е Т в виде о0 е О;

1пр Е Lв виде о1пр Е О.

Для реализации запроса применим сегмент матрицы доступов ХРУ [7].

Предикат P(U, W, Ьрек, Т, Lnp) представим в виде условий команды «определить информационную область», а выбор субъектов, к области информационной ответственности которых относится поступивший документ, - в виде срабатывания одного из примитивных операторов «внести» право доступа к объекту заданного субъекта [2]. Все документы, относящиеся к области информационной ответственности, будут однозначно определены указанным предикатом. Каждая область ответственности выражена своим предикатом, которые вместе составляют систему, обеспечивающую гарантированное отнесение поступившего документа к одной из них [3].

Кроме того, для реализации второго этапа в зависимости от реквизитов, обозначающих степень конфиденциальности поступившего документа, необходимо создать признак «узнаваемый» системой. По данному признаку система присвоит одну из предусмотренных меток конфиденциальности. В качестве указанного признака введем в сегмент матрицы доступов ХРУ объект ог Е О, наличие права доступа к которому различных субъектов сигнализирует системе о степени конфиденциальности поступившего документа. При этом для установки данного признака в «исходное положение» все команды «определить информационную область» (независимо от условий), должны начинаться с выполнения примитивного оператора «удалить право» всех субъектов s8 к объекту ог.

http://ej.kubagro.ru/2014/07/pdf/119.pdf

Научный журнал КубГАУ, №101(07), 2014 года

9

£ 6- доверенный субъект, который производит запросы к системе (например, администратор), реализующие функции способа

классификации.

Схематично сегмент описан в таблице 1, при этом наличие или отсутствие права доступа субъекта suк объектам, представляющим элементы способа классификации, будет представлять собой наличие или отсутствие условий для определения области информационной ответственности.

Таблица 1 - Сегмент матрицы доступов, реализующий 1-й этап

- ow owt oipeK olt L рек ot ott olnp olt ltnp or

su read 0 0 0 read 0 0 read 0

0 0 read read 0 0 0 0 0

sw 0 read 0 0 0 read 0 0 0

s1 0 0 0 0 0 0 0 0 0 0 0 0 0

Предикат Р реализовывается в команде «определить

информационную область». Команда в общем виде записывается так: сommand«определить информационную область» (sc, s2, o'c): if (own £ M[s1,of1])and (read £ M[su,ow])and ...

and ( read £ M

Su,Oi,Bp])then

«удалить» право readmM[su, or];

«внести» право на чтение read в M[s2, ot1];

endif

sU) olpeK j) and ... and Цread £ M

if Uread £ M

«внести» право на чтение readвM[su, or];

su,Oinpj)then

endif

http://ej.kubagro.ru/2014/07/pdf/119.pdf

Научный журнал КубГАУ, №101(07), 2014 года

10

end.

Таким образом, на первом этапе система по запросу qc перешла из безопасного состояния v0 в состояние vc, т.е. (q1,d1,v1,v0) Е W. Так как сегмент является недоступным для субъектов системы, а все изменения матрицы прав доступа не выходят на данном этапе за его рамки, следовательно, свойства безопасности системы (sd, ss, *) не нарушены, то есть %стакже безопасно[1].

Условия команды, в результате выполнения которых срабатывают примитивные операторы, для удобства понимания разделим на два «типа». Первый - «удаляет» права доступа к объекту от (признак конфиденциальности предыдущего документа) и предоставляет право доступа субъектам соответствующей зоны информационной ответственности, второй - предоставляет право доступа к объекту ог на основе степени конфиденциальности поступившего документа.

Количество условий каждого типа в команде будет равно количеству «видов» документов, поступающих в информационную систему и применяемых степеней конфиденциальности в системе соответственно. В данной команде представлен один «вид» документа, относящийся к области информационной ответственности^^, в которую входит один субъект s2, имеющий право ознакомления (только чтение) с поступившим документом, и определяется одна степень конфиденциальности поступившего документа. При наличии большего количества условий, согласно заданных систем предикатов, лежащих в их основе, совпадение будет лишь одно, т.е. зона ответственности и степень конфиденциальности будут определены однозначно [5].

На втором этапе производится запрос изменения функций f. При поступлении данного обращения система проверяет условия, наличие соответствующих прав субъекта, сделавшего запрос (в нашем случае это доверенный субъект sc), наличие прав доступа к объекту ог, определяемых

http://ej.kubagro.ru/2014/07/pdf/119.pdf

Научный журнал КубГАУ, №101(07), 2014 года

11

системой как соответствующая отметка конфиденциальности. По запросу изменения система совершает действие([2, >2, %2, %i) е ,, где fQ (o'c) = L (в соответствии со степенью конфиденциальности поступившего документа).

Так как на данном этапе не рассматриваются элементы (s8,Oj,rso), а метка конфиденциальности однозначно определена в состоянии %c, состояние системы %2 будет безопасным.

Результатом обоих этапов является состояние системы %2 = В2 X М2Х F2, которое относится к начальному состоянию

следующим образом:

В2 = В;

М2 = M[s2,o'i] U {read};

fo(o'1) = L (в соответствии со степенью конфиденциальности поступившего документа).

Внесение права доступа к объекту or рассматривать нет необходимости, т.к. оно будет удалено при запуске следующей команды «определить информационную область». Это сравнение наглядно показывает, что этапы способа классификации выполнены в полном объеме, авсе промежуточные состояния системы безопасны.

Выводы:

1. Применение механизма изменения матрицы доступов ХРУ в модели Белла-ЛаПадула позволяет анализировать действие системы по запросу изменения текущей структуры разрешения доступа в матрице М.

2. Способ автоматической классификации формализованных документов в системе электронного документооборота может обеспечивать безопасную обработку информации в рамках мандатного разграничения доступа.

http://ej.kubagro.ru/2014/07/pdf/119.pdf

Научный журнал КубГАУ, №101(07), 2014 года

12

3. Однозначное определение зоны информационной ответственности исполнителей и степени конфиденциальности поступившего документа позволяет применять способ автоматической классификации формализованных документов в системе электронного документооборота в СРД.

Список литературы:

1. Бондаренко М.Ф., Шабанов-Кушнаренко Ю.П. Об алгебре конечных предикатов. [Текст]// Научно-технический журнал «Бионика интеллекта». ХНУРЭ, г. Харьков, Украина - 2011 № 3(77).

2. Девянин П.Н. Модели безопасности компьютерных систем: Учеб.пособие для студ. высш. учеб. заведений. 2-е издание / П.Н. Девянин - М.: Горячия линия -Телеком, 2013 - 337 с.

3. Королев И.Д. Подходы к оперативной идентификации формализованных электронных документов в автоматизированных делопроизводствах / И. Д. Королев, С.В. Носенко // Политематический сетевой электронный научный журнал Кубанского государственного аграрного университета (Научный журнал КубГАУ) [Электронный ресурс]. - Краснодар: КубГАУ, 2013. - №08(092). - IDA [article ID]: 0921308074. -Режим доступа: http://ej.kubagro.ru/2013/08/pdf/74.pdf, 0,875 у.п.л.

4. Носенко С.В. Автоматическая классификация формализованных документов в системе электронного документооборота/ С. В. Носенко, И. Д. Королев // Политематический сетевой электронный научный журнал Кубанского государственного аграрного университета (Научный журнал КубГАУ) [Электронный ресурс]. - Краснодар: КубГАУ, 2014. - №02(096). - IDA [article ID]: 0961402042. -Режим доступа: http://ej.kubagro.ru/2014/02/pdf/42.pdf.

5. Носенко С.В. Математическая модель отнесения документов автоматизированной системы к информационным областям ответственности исполнителей / С.В. Носенко, И.Д. Королев // Политематический сетевой электронный научный журнал Кубанского государственного аграрного университета (Научный журнал КубГАУ) [Электронный ресурс]. - Краснодар: КубГАУ, 2013. - №08(092). -IDA [article ID]: 0921308057. - Режим доступа: http://ej.kubagro.ru/2013/08/pdf/57.pdf, 0,625 у.п.л.

6. О государственной тайне: Закон РФ № 5485-1 от 21.07.1993 г., (в ред. от 21.12.2013 г.) // Собрание законодательства РФ. 23.12.2013. № 51. Ст. 6697

7. Поддубный М. И. Анализ безопасности информации при применении модели

отнесения документов автоматизированной системы к информационным областям ответственности исполнителей /М.И. Поддубный, И.Д. Королев // Политематический сетевой электронный научный журнал Кубанского государственного аграрного университета (Научный журнал КубГАУ) [Электронный ресурс]. - Краснодар: КубГАУ, 2013. - №09(093). - IDA [article ID]: 0931309042. - Режим доступа:

http://ei.kubagro.ru/2013/09/pdf/42.pdf

References

http://ej.kubagro.ru/2014/07/pdf/119.pdf

Научный журнал КубГАУ, №101(07), 2014 года

13

1. Bondarenko M.F., Shabanov-Kushnarenko Ju.P. Ob algebre konechnyh predikatov. [Tekst]// Nauchno-tehnicheskij zhurnal «Bionika intellekta». HNURJe, g. Har'kov, Ukraina -2011 № 3(77).

2. Devjanin P.N. Modeli bezopasnosti komp'juternyh sistem: Ucheb.posobie dlja stud. vyssh. ucheb. zavedenij. 2-e izdanie / P.N. Devjanin - M.: Gorjachija linija - Telekom, 2013

- 337 s.

3. Korolev I.D. Podhody k operativnoj identifikacii formalizovannyh jelektronnyh

dokumentov v avtomatizirovannyh deloproizvodstvah / I.D. Korolev, S.V. Nosenko // Politematicheskij setevoj jelektronnyj nauchnyj zhurnal Kubanskogo gosudarstvennogo agrarnogo universiteta (Nauchnyj zhurnal KubGAU) [Jelektronnyj resurs]. - Krasnodar: KubGAU, 2013. - №08(092). - IDA [article ID]: 0921308074. - Rezhim dostupa:

http://ej.kubagro.ru/2013/08/pdf/74.pdf, 0,875 u.p.l.

4. Nosenko S.V. Avtomaticheskaja klassifikacija formalizovannyh dokumentov v

sisteme jelektronnogo dokumentooborota/ S.V. Nosenko, I.D. Korolev // Politematicheskij setevoj jelektronnyj nauchnyj zhurnal Kubanskogo gosudarstvennogo agrarnogo universiteta (Nauchnyj zhurnal KubGAU) [Jelektronnyj resurs]. - Krasnodar: KubGAU, 2014. -

№02(096). - IDA [article ID]: 0961402042. - Rezhim dostupa:

http://ej.kubagro.ru/2014/02/pdf/42.pdf.

5. Nosenko S.V. Matematicheskaja model' otnesenija dokumentov avtomatizirovannoj sistemy k informacionnym oblastjam otvetstvennosti ispolnitelej / S.V. Nosenko, I.D. Korolev // Politematicheskij setevoj jelektronnyj nauchnyj zhurnal Kubanskogo gosudarstvennogo agrarnogo universiteta (Nauchnyj zhurnal KubGAU) [Jelektronnyj resurs].

- Krasnodar: KubGAU, 2013. - №08(092). - IDA [article ID]: 0921308057. - Rezhim dostupa: http://ej.kubagro.ru/2013/08/pdf/57.pdf, 0,625 u.p.l.

6. O gosudarstvennoj tajne: Zakon RF № 5485-1 ot 21.07.1993 g., (v red. ot

21.12.2013 g.) // Sobranie zakonodatel'stva RF. 23.12.2013. № 51. St. 6697

7. Poddubnyj M.I. Analiz bezopasnosti informacii pri primenenii modeli otnesenija

dokumentov avtomatizirovannoj sistemy k informacionnym oblastjam otvetstvennosti ispolnitelej /M.I. Poddubnyj, I.D. Korolev // Politematicheskij setevoj jelektronnyj nauchnyj zhurnal Kubanskogo gosudarstvennogo agrarnogo universiteta (Nauchnyj zhurnal KubGAU) [Jelektronnyj resurs]. - Krasnodar: KubGAU, 2013. - №09(093). - IDA [article ID]:

0931309042. - Rezhim dostupa: http://ej.kubagro.ru/2013/09/pdf/42.pdf

http://ej.kubagro.ru/2014/07/pdf/119.pdf