Комментарии 18
Еще в .10-х годах столетия внутренние информационные системы были в значительной степени открытыми. Сейчас широко распространено шифрование трафика внутри организаций, что сказывается на пропускной способности и увеличивает расходы. И не только на оборудование, но и на персонал. И расходы эти будут только увеличиваться
ЦАП, конечно, тоже DAC. Казалось бы, причем тут цифро-аналоговое преобразование…
А какие примеры по данным моделям можно привести? Является ли отдельно взятая операционная система моделью управления доступом, например, ОС Windows или Astra Linux? Или моделью будет являться только совокупность нескольких составляющих: специализированное ПО, аппаратное оборудование, ОС и т.п.?
Я бы не рассматривал операционную систему как модель управления доступом, они просто реализованы там, то-есть встроены в ОС. Например в Windows реализована дискреционная модель:
В Linux для каждого файла устанавливаются разрешения доступа для трех категорий субъектов: владелец файла, члены той же группы, что и владелец, и все остальные пользователи. Для каждой из этих категорий устанавливаются права на чтение (r), запись (w) и выполнение (x). Набор прав доступа объекта может быть представлен в виде символьной строки. Например, запись «rwxr-xr--» означает, что владелец файла может делать с ним все, что угодно; члены его группы могут читать и исполнять файл, но не могут записывать, а прочим пользователям доступно только чтение.
А по вопросу о том, что модель это совокупность аппаратного оборудования, ОС и ПО, модель эта система, она может быть встроена уже куда-то, как в Windows или Linux, либо её необходимо внедрять, тогда на помощь приходят инструменты для реализации какой-нибудь модели информационной безопасности. Одним из таких инструментов является Solar inRights, в котором можно реализовать все модели описанные в статье.
Надеюсь, ответил на вопрос:)
Можно ли говорить про модели информационной безопасности, что одна лучше другой?
Нет, каждая модель по-разному подходит для той или иной деятельности организации. Например:
Мандатная модель, не обладает достаточной гибкостью для крупных компаний. Она предназначена скорее для государственных учреждений и компаний, которым требуется повышенный уровень безопасности. Дискреционная модель походит для предприятий, где не требуется высокий уровень безопасности. А также места, которые требуют наибольшей гибкости и полезности. Типичные варианты использования включают школы, коучинговые центры, малый бизнес, стартапы и малый бизнес.
Обо всём этом говорится в статье, в выводах по каждой модели и в заключении.
К сожалению, статья по своему содержанию была бы актуальна четверть века назад. С той поры наука, технологии, практика и нормативная база в предметной области моделирования управления доступом шагнули далеко вперед.
Статья содержит массу научных, технических и терминологический ошибок и неточностей. Например:
• не «модель информационной безопасности», а «формальная модель управления доступом» (см. ГОСТ Р 59453.1-2021);
• «Моделями называют системы распределения полномочий в информационной инфраструктуре компаний» – ошибочное определение, модель не система, а «формальная модель управления доступом – математическое или формализованное (машиночитаемое, пригодное для автоматизированной обработки) описание средства защиты информации и компонентов среды его функционирования, предоставление доступов между которыми регламентируется политиками управления доступом, реализуемыми этим средством защиты информации», т.е. данное автором определение больше соответствует термину «политика управления доступом»;
• не «уровень допуска», а «уровень доступа», при этом объектам назначаются «уровни конфиденциальности»;
• «Одной из проблем этой модели считается беспрепятственность обмена информацией между пользователями одного уровня» – ошибочное суждение, классическая модель Белла-ЛаПадулы включает дискреционное управление доступом (в ней есть матрица доступов и ds-свойство безопасности);
• «У пользователей с высоким уровнем допуска нет никаких возможностей коммуникации с нижними уровнями. Возможно, наверху сидят очень умные люди, советы которых были бы просто бесценны, но мы об этом никогда не узнаем» – это не проблема систем с мандатным управлением доступом, такого вида суждения не состоятельны;
• «(DAC), разрешает или запрещает доступ к элементу на основе политики, установленной группой владельцев и/или субъектами объекта» - при реализации дискреционного управления доступом наличие владельца у каждого объекта не обязательно;
• «RBAC позволяет сотрудникам иметь права доступа только к той информации, которая им необходима для работы, и не позволяет им получать доступ к информации, которая у ним не относится» – ошибочное суждение, суть ролевого управления доступом – получение субъектами прав доступа к объектам только через роли, и все;
• «Роль сотрудника в организации определяет разрешения, которые ему предоставляются, и гарантирует, что сотрудники более низкого уровня не смогут получить доступ к конфиденциальной информации или выполнить задачи высокого уровня» – ошибочное суждение, ролевое управление доступом непосредственно не связано с защитой информации различных уровней конфиденциальности (мандатным управлением доступом);
• Формально соответствующей атрибутивному управлению доступом (ABAC) можно считать любую модель. При этом автор упускает из виду основной недостаток ABAC – отсутствие возможности в общем случае строгого доказательства безопасности системы, т. е. получения доверия к ней. Таким образом, ABAC при всей его гибкости можно использовать только в «бытовых» целях, в этом смысле оно ничем не лучше дискреционного управления доступом.
Также рекомендации статьи полностью игнорируют требования отечественных регуляторов, например, «Требования по безопасности информации к операционным системам» ФСТЭК России (https://fstec.ru/dokumenty/vse-dokumenty/spetsialnye-normativnye-dokumenty/trebovaniya-po-bezopasnosti-informatsii-utverzhdeny-prikazom-fstek-rossii-ot-14-aprelya-2023-g-n-64?ysclid=lqbzah5ahx83092092).
Вывод. Для погружения в проблематику моделирования управления доступом и применения соответствующих формальных моделей рекомендую использовать профильную литературу, а также примеры успешного использования формальных моделей в практике разработки и эксплуатации отечественных средств защиты информации (например, в ОС Astra Linux Special Edition):
• https://docs.cntd.ru/document/1200179191?ysclid=lqbysxrpsi185680278;
• http://www.techbook.ru/book.php?id_book=1137;
• https://www.techbook.ru/book.php?id_book=1247;
• https://habr.com/ru/companies/astralinux/articles/670060/.
Ты Алёша?
Статья написана, грубо говоря, для чайников это должно быть очевидно. В самой статье указан средний уровень сложности. В статье предполагалось, что каждая модель по-разному подходит для деятельностей различных организаций. Выписывать про ГОСТы надо на научных конференциях, а не в чате в интернете.
⡌⠔⢂⠡⠂⢅⠢⠁⠆⢡⠂⠅⠢⢁⠆⠡⠂⢅⠢⠁⠆⢡⠂⠅⠢⢁⠆⠡⠂⢅⠢⠁⠆⢡⠂⠅⠢⢁⠆⠡⠂⢅⠂ ⡌⢂⠌⠤⠉⢄⢂⠉⠄⠃⢌⡈⡁⠆⡈⠆⡉⠀⣀⠉⡄⠃⢌⡈⡁⠆⡈⠆⡉⠄⣂⠉⡄⠃⢌⡈⡁⠆⡈⠆⡉⠄⢊ ⡜⠠⡈⠤⠈⢄⠂⠰⢈⠡⢂⠐⡐⠄⡐⠤⢁⠒⠠⠌⠀⠑⡠⢐⣡⣮⡴⣶⡷⠶⢆⣌⠄⠱⡀⠰⠐⡈⠔⢠⠡⠘⠠ ⢆⠡⠐⢂⡉⠤⠘⣀⠂⢡⠂⡁⠆⡘⢀⠒⡈⠄⢁⠈⠀⢀⢱⣾⠟⡥⢺⠋⡐⠡⢊⢻⣧⠡⠐⣁⠊⡐⠌⠄⣂⠉⠔ ⠎⡠⠉⠤⠐⢂⠡⠄⢊⠄⢂⠡⢂⠡⠌⡐⡈⠄⠄⠂⡀⣴⠟⡠⢋⣐⡁⢂⠡⡑⡌⢆⣻⡇⠡⠄⢂⠡⠌⢂⠄⢊⡐ ⠣⠄⢃⢂⠉⠄⠒⡈⢄⠊⢄⠡⢂⠂⣈⠐⠄⡁⠀⠂⢤⣏⣔⡡⢺⣿⣿⣦⡁⠒⡌⢂⣿⡃⢡⠘⠠⠡⠘⡠⠌⢂⡐ ⠣⠌⢂⠄⠃⠤⠑⡈⠄⢊⠄⠐⠠⠒⠠⠌⢂⠀⠀⠠⢸⣿⡟⣡⢻⡧⣿⠏⠿⣧⢀⠃⢾⡟⠠⣈⠡⠌⢡⠐⡈⠤⠐ ⠣⠌⠂⡄⠘⡠⢁⢂⡉⠤⠘⢠⠁⡌⠡⠐⠠⠀⠄⢀⣿⡿⡜⢤⢻⡗⣿⢎⡱⠐⡌⢼⣿⡇⢡⢀⠒⡈⢄⢂⠡⢂⠡ ⢣⢈⠡⠄⢃⡐⠌⢠⠐⢂⡉⠄⠒⢀⠡⢉⡀⠰⠀⢦⣿⢳⡉⢆⣹⣯⣿⠎⡴⠑⣬⢻⣿⡄⣁⠂⢂⠡⢂⠂⣂⠡⢂ ⡃⠄⠒⡈⠤⠐⡨⠄⠊⡄⠰⢈⠡⢂⠰⠀⠄⠑⡈⢾⣿⢣⠜⢠⠚⡧⣿⠑⠤⢉⠴⣻⣿⣧⠠⠘⡠⢁⢂⠡⠄⠒⡠ ⡱⢈⠡⠐⠂⠥⠐⣈⠡⠄⠃⡄⢃⡐⢂⠉⠤⠀⡈⢺⣿⢡⠊⡄⡉⣿⠠⠘⡀⠎⡰⢹⣿⡷⢀⢃⡐⠂⠌⡐⣈⠡⠐ ⡅⢂⠌⢡⠐⢂⠁⠄⠒⣈⠡⠐⢂⠰⠀⠌⠄⢀⠐⣺⣧⢣⠑⡄⡐⣿⠰⢁⠒⢠⠑⣣⣿⣿⢂⠂⠤⢉⠰⠐⡀⠆⠡ ⡜⠠⣈⠂⠌⢂⠒⡈⠡⠄⢂⡉⠄⣂⠈⠤⠈⡀⢈⣼⡧⣃⠎⡐⠰⠀⡅⠢⠘⡀⠎⡔⣿⣿⠎⣀⠃⡐⢂⠡⠒⡈⠡ ⢆⠡⢠⠘⣈⠐⢂⠡⠡⠘⡠⠐⠌⠠⠘⠠⠠⠀⠀⢺⣷⡱⢊⡔⠡⢡⢀⠃⡁⠆⡑⢬⣹⣿⡒⠄⡘⠠⠌⡠⠑⣀⠃ ⠎⡐⠄⠒⢀⠘⡀⠆⠡⡑⠠⠑⡈⢄⠑⠀⡄⠀⠀⢹⣿⡜⡥⢂⠱⢀⠢⠘⡀⠆⠡⢆⣻⣿⡱⡈⠤⠑⡠⢁⠒⠠⠌ ⢣⠐⣈⠡⢂⢂⠡⠌⢠⢀⠃⡡⠌⡀⠎⠡⢀⠀⢈⠢⣹⣷⡱⣉⢆⠡⢂⠡⠒⣈⠑⢮⡹⣿⡱⢠⠁⠆⣁⠢⠌⢡⠈ ⡃⠔⡀⢒⠠⢂⠂⡈⢄⠢⠘⡀⠆⢁⠘⠠⠀⠐⠀⠆⣉⣿⡷⣭⣆⢇⠢⡁⠒⢠⢉⠶⣹⢿⣇⠣⠌⡐⠠⢂⠘⡠⠌ ⡑⢂⠁⠆⢂⡁⠆⠌⡠⠂⠅⠒⡈⠤⢈⡁⠆⠡⢰⣵⣾⠿⣟⠳⡝⢮⡑⠤⠉⡄⢊⠵⣋⠾⣟⡄⠃⠌⣁⠢⠁⡔⠠ ⡱⠈⢌⡐⠡⠐⠨⠄⢡⠘⡈⠔⡁⠂⢁⠰⣈⣶⡿⢫⠅⡋⠔⡩⢘⠢⣼⣶⠡⢀⠃⠎⣍⠳⣝⣮⠁⠎⣀⠢⠡⣀⠃ ⠥⠘⢠⠀⣁⠐⢂⡈⠀⠆⣁⠒⡈⠔⡁⢆⣿⢏⠒⡡⢈⠄⢣⣐⣣⣾⠛⡀⠆⣁⠊⠔⣈⠱⣊⢽⣎⠒⢄⠂⡡⠄⠌ ⡃⠅⡂⠡⠄⠊⡀⡐⢉⠰⢀⠂⣈⠰⢈⣾⡟⡄⢃⡐⠂⡜⡰⢾⡟⡡⢊⠐⡰⠀⠜⣀⠂⠱⣈⢾⣿⡉⠆⠌⡐⠨⠐ ⡑⢂⠡⠡⡈⠅⡐⡈⠔⠂⡌⢐⠠⠂⡅⢻⡇⠜⡠⢀⠣⡐⡹⢆⡳⢄⠡⠒⠠⢉⡐⠠⠌⣁⠲⣼⣿⢋⠔⡁⠢⢁⠅ ⡑⢂⠡⢂⠠⠘⢠⠐⠌⠐⢠⠁⢢⠡⠘⡄⠻⣆⡁⠢⠐⡡⢘⢣⡓⢎⠢⣉⠰⠁⡄⢣⡘⢤⣳⣿⠋⡌⢂⠌⣁⠢⢈ ⣑⠂⣁⠢⢀⠊⡄⡘⠠⡉⢄⡘⠀⠆⢡⠈⡑⡘⠻⠇⢥⡴⣥⢦⡽⠾⠳⠆⢢⠙⡬⡷⠾⠟⠋⠤⠑⢠⠊⡐⡀⠆⠡
Огромное спасибо Вам за помощь. Благодарю за Ваши усилия и потраченное время. Приятно, что мою статью прочитал такой известный человек!
Как уже писал выше, судя по DAC=ЦАП - это похоже на машинный перевод, но если так, почему нет ссылки на первоисточник?..
Какую модель информационной безопасности выбрать?