Защита информации в компьютерных сетях. Кулябов Д.С. - 75 стр.

UptoLike

ВУЗ: 

РУДН | Москва

Составители: 

Рубрика: 

ЗАЩИТА ИНФОРМАЦИИ В КОМПЬЮТЕРНЫХ СЕТЯХ 75
которым требуется право записи в эти файлы, назначаются специальные
домены.
Системное ПО, файлы конфигурации и журналы также нуждаются в
защите. Для этой цели также определяются отдельные типы для систем-
ных библиотек, исполняемых файлов, файлов конфигурации и журналов, а
работающим с ними программам и ролям назначаются специальные доме-
ны. В результате запись журналов может вести только система регистра-
ции (syslog), а модификация системного ПО производится только адми-
нистраторами. Есть решение и для уже упомянутой проблемы, присущей
программам с повышенными привилегиями (с установленными флагами
suid или sgid). Для таких программ также назначаются отдельные доме-
ны, не позволяющие им превысить необходимые полномочия.
Политика безопасности уделяет особое внимание тщательному разде-
лению процессов по привилегиям и защите привилегированных процессов
от выполнения ошибочного или опасного кода. Путем установки атрибу-
та executable только на необходимые для исполнения привилегированным
процессом программы, политика безопасности может достичь того, что
при входе в привилегированный домен процессу будет позволено выполне-
ние только стартовой программы для данного домена, динамического ком-
поновщика и системных разделяемых библиотек. Администратор ограни-
чен выполнением системных программ и программ, созданных им самим
— выполнение программ, созданных другими пользователями запреще-
но. Более того, система минимизирует взаимодействие между обычными
пользовательскими процессами и системными. Только системным процес-
сам и администраторам разрешен доступ к записям в procfs, относящимся
к другим доменам; ограничено использование вызова ptrace по отношению
к другим процессам и доставка сигналов между разными доменами. При
использовании файловой системы также приняты дополнительные меры
предосторожности: домашние каталоги администраторов и обычных поль-
зователей отнесены к разным типам; создаваемым в каталогах общего
пользования (/tmp и др.) файлам также присваиваются разные типы, в
зависимости от создавшего их домена.
3.3.2.5. СРАВНЕНИЕ RSBAC И SELINUX
Вся дополнительная информация, используемая RSBAC, хранится в
дополнительном каталоге, который доступен только ядру системы. В за-
висимости от описанного уровня абстракции исполняемых задач и необхо-
димой степени защиты выбираются различные сочетания модулей. Можно
обойтись списками ACL — для большинства применений этого хватит,
можно защитить системную информацию и существенную с точки зрения
безопасности информацию, используя ролевую модель.
RSBAC дает возможность избавить систему от общих недостатков
Unix. Появление должности «офицер безопасности» (security officer, se-
curity administrator) решает проблему не подконтрольности основного ад-
министратора системы, а категории «офицер по защите данных» (data
protection officer) децентрализует администрирование, позволяя практи-
чески реализовать принцип «четырех глаз», в соответствии с которым

Страницы