_______________________________
Курило А.П., Ухлинов Л.М.
Проведен анализ назначения и функций контроля доступа к ресурсам информационных систем. Показано, что существующие системы контроля доступа имеют ряд общих свойств, позволяющих говорить об их унифицированности. Сформулированы основные направления развития средств и систем контроля доступа, обеспечивающие возможность управления безопасностью информации в территориально рассредоточенных автоматизированных системах ее обработки.
В современных системах обеспечения безопасности информации особое место занимают средства контроля доступа. Традиционно контроль доступа к информационно-вычислительным ресурсам предполагает определение и ограничение доступа пользователей программ или процессов к устройствам, программам и данным вычислительной системы. Однако с развитием информационных технологий, переходом к использованию для доступа к информационным базам систем телекоммуникаций с широким спектром услуг несколько расширяется и область применения средств контроля доступа.
Контроль доступа обычно обеспечивает три формы защиты: контроль доступа в помещения, предотвращающий попытки физического несанкционированного доступа (НСД) к средствам вычислительной техники; системный контроль доступа, предотвращающий НСД к вычислительным ресурсам системы обработки данных и контроль доступа к данным, предотвращающий НСД к обрабатываемой информации. При этом используются следующие механизмы контроля доступа [1]:
Идентификация и аутентификация пользователя выполняются в начале сеанса на специализированной рабочей станции. Однако процедуры идентификации и подтверждения подлинности (аутентификации) могут быть активизированы вновь в процессе установления различных сетевых соединений и до получения доступа к сетевым ресурсам с целью дополнительного контроля доступа.
В процессе идентификации система контроля доступа запрашивает имя пользователя и идентификатор. Если указанная пара идентифицирующих элементов отсутствует в списках контроля доступа, то выполнение каких-либо операций в системе не разрешается. При этом идентифицирующая информация используется для протоколирования каждого конкретного подключения к системе. В результате идентификации определяется источник запроса на доступ. На следующем этапе СКД устанавливает подлинность субъекта. Для этого предназначен механизм аутентификации.
Обычно для аутентификации используется пароль, который представляет собой секретный, уникальный код, известный только определенному пользователю. Предоставление доступа обычно не выполняется до тех пор, пока не будет введен пароль, соответствующий идентификатору и типу запроса. В отличие от идентификаторов пароли должны быть секретными и изменяемыми.
Кроме проверки пароля возможны другие способы аутентификации пользователя, в том числе:
Следующим механизмом контроля доступа является механизм регистрации. При регистрации определяются условия, соблюдение которых обязательно для получения доступа. В большинстве случаев доступ будет предоставлен только тогда, когда и идентификатор, и пароль санкционированы. В более сложных системах контроля предоставление или отказ доступа основывается на анализе типа компьютерного подключения (например, локальный или удаленный терминал, сеть, групповой процесс или подпроцесс). Такие системы могут управлять доступом, основываясь на типе терминала или удаленного компьютера. Доступ может быть предоставлен только в том случае, если пользователь или программа локализованы с определенным сетевым адресом, а их подключение разрешено в определенное время дня и в конкретный день недели. В еще более сложных системах при неуспешной попытке регистрации посылается сообщение администратору безопасности и блокируется место попытки до тех пор, пока администратор не отменит блокировку.
После успешной идентификации пользователя и установления его подлинности выполняется контроль использования информационно-вычислительных ресурсов. В большинстве случаев система контроля отслеживает все этапы взаимодействия между пользователем и защищаемыми ресурсами. При этом выполняются следующие функции:
Протоколирование и аудит выполняемых с ресурсами операций предназначены для ведения специальных системных журналов. Анализ этих журналов позволяет администратору безопасности:
К настоящему времени у нас в стране и за рубежом разработан широкий спектр различных систем контроля доступа. При этом список фирм, специализирующихся на их создании, насчитывает более 30 для стран Европы, более 20 — для США и около десятка отечественных. Описание основных изделий, ориенти-рованных на применение в распределенных информационно-вычислительных системах, приведено в [3]. На основании анализа их характеристик и свойств можно сделать следующие выводы:
Однако эффективное применение данных систем требует большого объема статистических данных о поведении санкционированных пользователей.
Многофункциональные программные среды "Символ-ЕС" и "Символ-ПК" разработаны для широкого круга применения, одним из которых может быть управление безопасностью информации. В их основе лежит потоковая символьно-продукционная система, обеспечивающая естественное и компактное описание логики символьных (битовых) сообщений, поступающих в реальном масштабе времени от различных источников. Основная проблема при реализации этого подхода заключается в -представлении неявных знаний, дифференциации нормативных положений по контролю доступа и опыта их практической реализации в условиях слабой формализации и отсутствия соответствующих прикладных методик.
Более перспективным решением в этих условиях является применение специализированных систем поддержки принятия решений (СППР) [5, 9], идея которых основывается на концепции сложности и неоднозначности процессов выработки решений в реальной вычислительной среде. Специально разработанные СППР для управления безопасностью позволяют максимально автоматизировать и ускорить процесс выработки управляющих воздействий при обнаружении попыток НСД к информационно-вычислительным ресурсам.
Таким образом, в заключение можно сделать вывод о достаточно высокой степени унификации систем контроля доступа, базирующихся на четком определении решаемых ими задач и механизмов реализации защитных функций. При этом перспективным направлением развития систем контроля доступа является повышение их интеллектуальности, обеспечивающей переход от реализации частных функций защиты информации в отдельных элементах автоматизированных систем ее обработки к управлению безопасностью информации в территориально рассредоточенных системах сложной структуры.
Литература
1. DataPro Reports on Information Security. - Vol. 3, April 1992.
2. Хоффман Л. Дж. Современные методы защиты информации. М.: Советское радио, 1980. — 256 с.
3. DataPro Reports on Information Security. — Vol. 3, March 1993.
4. Мафтик С- Механизмы защиты в сетях ЭВМ: Пер. с англ. - М.: Мир, 1993. - 216 с.
5. Ухлинов Л.М. Управление безопасностью информации в автоматизированных системах. - М.: МИФИ, 1996. - 112 с.
6. Denning D.E. An intrusion-detection model // IEEE Transactions on Software Engineering, 1987. V- 13. № 2. P. 222-232.
7. Барсуков В.С, Дворяикин С.В., Шеремет И.А. Безопасность связи в каналах телекоммуникаций // Технологии электронных коммуникаций, 1992. Т. 20..
8. Шеремет И.А. Интеллектуальные программные среды для АСОИ. - М.: Физматлит., 1994. - 544 с.
9. Скиба В.Ю., Ухлинов А.М. Базовые модели СППР по управлению безопасностью (сохранностью) информации // Известия Академии Наук. Теория и системы управления. 1995. № 1. С. 139-148.
© Информационное общество, 1996, вып. 1, с. 67-72.