числе санкционированное изменение списка пользователей СВТ и списка защищаемых объектов.
Право изменять правила разграничения доступа должно быть предоставлено выделенным субъектам (например, администрации, службе безопасности).
Должны быть предусмотрены средства управления, ограничивающие распространение прав на доступ.
Должен быть предусмотрен механизм, претворяющий в жизнь дискреционные правила разграничения доступа, как для явных действий пользователя, так и для скрытых. Под "явными" здесь подразумеваются действия, осуществляемые с использованием системных средств, а под "скрытыми" - иные действия, в том числе с использованием собственных программ работы с устройствами.
Для реализации МАНДАТНОГО (полномочного) принципа контроля доступа каждому субъекту и каждому объекту присваивают классификационные метки, отражающие их место в соответствующей иерархии. С помощью этих меток субъектам и объектам должны быть назначены классификационные уровни, являющиеся комбинациями уровня иерархической классификации и иерархических категорий. Данные метки должны служить ОСНОВОЙ мандатного принципа разграничения доступа.
При вводе новых данных в систему должны быть запрошены и получены от санкционированного пользователя классификационные метки этих данных. При санкционированном внесении в список пользователей нового субъекта ему должны быть назначены классификационные метки. Внешние классификационные метки (субъектов, объектов) должны точно соответствовать внутренним меткам (внутри СЗИ).
Должна быть предусмотрена возможность реализации МАНДАТНОГО принципа контроля доступа приме-
291
нительно ко всем объектам при явном и скрытом доступе со стороны любого из субъектов:
а) субъект может читать объект, если уровень иерархической классификации в классификационном уровне субъекта не меньше, чем уровень иерархической классификации в классификационном уровне субъекта, и неиерархические категории в классификационном уровне субъекта включают в себя все неиерархические категории в классификационном уровне объекта;
б) субъект осуществляет запись в объект, если классификационный уровень субъекта в иерархической классификации не больше, чем классификационный уровень объекта в иерархической классификации, и все неиерархические категории в классификационном уровне субъекта включены в неиерархические категории в классификационном уровне объекта.
Реализация мандатных ПРД должна предусматривать возможности сопровождения - изменения классификационных уровней субъектов и объектов специально выделенными субъектами.
ВСВТ должен быть реализован диспетчер доступа, т.е. средство, осуществляющее перехват всех сообщений субъектов к объектам, а также разграничение доступа в соответствии с заданным принципом разграничения доступа. При этом решение о санкционированности запроса на доступ следует принимать только при одновременном разрешении его дискреционными и мандатными правилами разграничения доступа . Таким образом, должны быть контролируемыми не только единичный акт доступа, но и потоки информации.
ВСВТ должна быть обеспечена идентификация субъектов при запросах на доступ, должна проверяться подлинность идентификатора субъекта - осуществляться
292
аутентификация. СВТ должно располагать необходимыми данными для идентификации и аутентификации и препятствовать доступу к защищаемым ресурсам неидентифицированных субъектов или субъектов, чья подлинность при аутентификации не подтвердилась.
СВТ должно обладать способностью связывать полученный результат идентификации и аутентификации со всеми действиями, относящимися к контролю, предпринимаемыми в отношении данного субъекта.
ВСВТ должна осуществляться очистка оперативной и внешней памяти. Очистка должна производиться путем записи маскирующей информации в память при ее освобождении (перераспределении).
При наличии в СВТ мультипрограммирования в интересах защиты информации должен существовать про- граммно-технический механизм, изолирующий программные модули одного процесса (одного субъекта) от программных модулей (других субъектов), т.е. в оперативной памяти ЭВМ программы разных пользователей должны быть защищены друг от друга.
ВСВТ должно быть обеспечено различение каждого устройство ввода-вывода и каждого канала связи как произвольно используемых или как идентифицированных ("помеченных"). При вводе с "помеченного" устройства (выводе на "помеченное" устройство) должно обеспечиваться соответствие между меткой вводимого (выводимого) объекта (классификационным уровнем ) и меткой устройства. Такое же соответствие должно быть при работе с "помеченным" каналом связи.
Изменения в назначении и разметке устройств и каналов должны осуществляться только под соответствующим контролем.
293
В СВТ должен обеспечиваться вывод информации на запрошенное пользователем устройство как для произвольно используемых устройств, так и для идентифицированных (при совпадении маркировки). При этом должен быть реализован механизм, с помощью которого санкционированный пользователь надежно сопоставляется с выделенным ему идентифицированным устройством.
2. Требования к учету Требования к учету определяют следующие показа-
тели защищенности, которые должны поддерживаться СВТ:
-регистрация;
-маркировка документов.
Должна обеспечиваться регистрация следующих событий:
а) использование идентификационного и аутентификационного механизма
б) запрос на доступ к защищаемому ресурсу (например, открытие файла, запуск программы);
в) создание и уничтожение объекта; г) действия, связанные с изменением ПРД.
Для каждого из этих событий должна быть зарегистрирована следующая информация:
-дата и время;
-субъект, осуществляющий регистрируемое дейст-
вие;
-тип события (если регистрируется запрос на доступ, то отмечают объект и тип доступа);
-успешно ли осуществилось событие (обслужен запрос на доступ или нет).
При защите должно быть обеспечено выборочное ознакомление с регистрационной информацией.
294
Для высоких классов защищенности СВТ должна быть предусмотрена РЕГИСТРАЦИЯ всех попыток доступа, всех действий оператора и выделенных субъектов (например, администраторов защиты).
В СВТ должен быть обеспечен вывод защищаемой информации на документ вместе с ее классификационной меткой.
3. Требования к гарантиям Требования к гарантиям определяют следующие
"показатели защищенности", которые должны поддерживаться СВТ :
а) гарантии проектирования; б) надежное восстановление;
в) целостность средств и комплексов средств защиты, установленных в СВТ;
г) контроль модификации; д) контроль дистрибуции; е) гарантии архитектуры;
ж) взаимодействие пользователя со средствами и комплексами средств защиты, установленными в СВТ;
з) тестирование.
На начальном этапе при проектировании механизмов защиты СВТ должна быть построена модель защиты, задающая принцип разграничения доступа и механизм управления доступом. Эта модель должна содержать:
а) непротиворечивые правила разграничения досту-
па;
б) непротиворечивые правила изменения правил разграничения доступа;
в) правила работы с устройствами ввода и вывода; г) формальную модель механизма управления дос-
тупом.
295