Контекст безопасности

Контекст безопасности — структура, включающая в себя все атрибуты управления доступом субъектов доступа (субъектов, например, процессов) и сущностей (объектов доступа, например, файлов или каталогов), существующие в соответствии с формальной мандатной сущностно-ролевой моделью управления доступом и информационными потоками (МРОСЛ ДП-моделью) и определяющие порядок доступа субъектов к сущностям.

В зависимости от реализации контекст безопасности может включать в себя:

• Контекст дискреционного управления доступом (разграничения доступа);

• Контекст мандатного управления доступом (разграничения доступа);

• Контекст ролевого управления доступом (разграничения доступа);

• Иные атрибуты, определяемые формальной моделью управления доступом и ее реализацией.

В рамках настоящего документа рассматриваются состав и структура контекста мандатного управления доступом (мандатного контекста).

Мандатный контекст

Мандатный контекст представляет собой полный набор мандатных атрибутовсубъекта или сущности.
Мандатный контекст включает в себя все мандатные атрибуты субъекта или сущности, и мандатных атрибутов вне мандатного контекста не существует.

Мандатный контекст включает в себя:

• Метку безопасности;

• Дополнительные мандатные атрибуты управления доступом.

Субъекты или сущности, которым явно не присвоен никакой мандатный контекст, считаются имеющими минимальный (нулевой) мандатный контекст, т.е. мандатный контекст в котором все мандатные атрибуты имеют минимальные допустимые значения (например, равны нулю).

Метка безопасности

Метка безопасности является составной и включает в себя две метки:

• Классификационную метку;

• Метку целостности.

Классификационная меткаявляется составной и включает в себя:

• Иерархический уровень конфиденциальности;

• Неиерархическую категорию конфиденциальности.

Метка целостности представлена одним мандатным атрибутом:

• Неиерархический уровень целостности.

Дополнительные мандатные атрибуты управления доступом

В зависимости от реализации формальной модели управления доступом отдельным субъектам или сущностям может быть дополнительно присвоен набор необязательных мандатных атрибутов управления доступом, не входящих в метку.
Необязательные мандатные атрибуты управления доступом позволяютуточнять правила мандатного доступа для отдельных субъектов или сущностей.

В качестве примера можно привести следующие мандатные атрибуты управления доступом, использованные в операционной системе специального назначения Astra Linux Special Edition (далее - ОС СН):

• Мандатный атрибут ccnr может присваиваться сущностям, являющимся контейнерами (т.е.сущностям, которые могут содержать другие сущности, например, каталогам файловой системы). Применяется только к контейнерам. Определяет, что контейнер может содержать сущности с различными  классификационными метками, но не большими, чем его собственная метка. Чтение содержимого такого контейнера разрешается субъекту вне зависимости от значения классификационной метки этого субъекта, при этом субъекту доступна информация только про находящиеся в этом контейнере сущности с классификационной меткой не большей, чем собственная  классификационная метка субъекта, либо про сущности-контейнеры, также имеющие мандатный атрибут управления доступом ccnr;
  
  

• Мандатный атрибут ccnri может присваиваться контейнерам и определяет, что контейнер может содержать сущности с различными уровнями целостности, но не большими, чем его собственный уровень целостности. Применяется только к контейнерам;

  Информация
  В ОС СН  "Смоленск" версия 1.6 с установленным обновлением № 20190222SE16 и в ОС СН  "Ленинград" версия 8.1 мандатный атрибут управления доступом ccnri включен для всех контейнеров, и не может быть изменен.

  
  
  

• Метки безопасности сущностей, не являющихся контейнерами, могут иметь следующие мандатные атрибуты управления доступом:

  • Мандатный атрибут ehole может присваиваться сущностям (файлам), имеющим минимальную классификационную метку, и приводить к игнорированию мандатных правил управления доступом к ним. Этот атрибут предназначен для сущностей, из которых субъект не может прочитать данные, записанные в них субъектами с более высокой  классификационной меткой, чем его собственная (например, /dev/null);

  • Мандатный атрибут whole присваивается сущностям (файлам) c ненулевой классификационной меткой и разрешает запись в них субъектам, имеющим более низкую классификационную метку (тогда как в обычном случае писать "снизу вверх" запрещено в соответствии с МРОСЛ ДП-моделью ИБ, реализованной в ОС СН);
    
    

• Субъекты могут иметь мандатные атрибуты-привилегии, предоставляющие права выполнения определённых административных действий. Полный перечень привилегий и предоставляемых ими прав определяется реализацией формальной модели управления доступом. Перечни мандатных привилегий для ОС СН "Смоленск" и "Ленинград" доступны в документации (см. "Руководство по КСЗ, часть 1").
  
  

Синонимыи близкие кнормативным терминам понятия, используемые в технической литературе и в компьютерной справочной документации