Контекст безопасности

Контекст безопасности — структура, включающая в себя все атрибуты управления доступом субъектов доступа (субъектов, например, процессов) к объектам доступа (сущностям, например, файлам или каталогам), существующие в соответствии с формальной мандатной сущностно-ролевой моделью управления доступом и информационными потоками (МРОСЛ ДП-моделью) и определяющие порядок доступа субъектов к сущностям.

В зависимости от реализации контекст безопасности может включать в себя:

• Контекст дискреционного управления доступом (разграничения доступа);

• Контекст мандатного управления доступом (разграничения доступа);

• Контекст ролевого управления доступом (разграничения доступа);

• Иные атрибуты, определяемые формальной моделью управления доступом и ее реализацией.

В рамках настоящего документа рассматриваются состав и структура контекста мандатного управления доступом (мандатного контекста).

Мандатный контекст

Мандатный контекст представляет собой полный набор мандатных атрибутовсубъекта или сущности.
Мандатный контекст включает в себя все мандатные атрибуты субъекта или сущности, и мандатных атрибутов вне мандатного контекста не существует.

Мандатный контекст включает в себя:

• Метку безопасности;

• Дополнительные мандатные атрибуты управления доступом.

Субъекты или сущности, которым явно не присвоен никакой мандатный контекст, считаются имеющими минимальный (нулевой) мандатный контекст, т.е. мандатный контекст в котором все мандатные атрибуты имеют минимальные допустимые значения (например, равны нулю).

Метка безопасности

Метка безопасности является составной и включает в себя две метки:

• Классификационную метку;

• Метку целостности.

Классификационная меткаявляется составной и включает в себя два мандатных атрибута:

• Иерархический уровень конфиденциальности;

• Неиерархическую категорию конфиденциальности.

Метка целостности представлена одним мандатным атрибутом:

• Неиерархический уровень целостности.

Дополнительные мандатные атрибуты управления доступом

В зависимости от реализации формальной модели управления доступом отдельным субъектам или сущностям может быть дополнительно присвоен набор необязательных мандатных атрибутов управления доступом, не входящих в метку.
Необязательные мандатные атрибуты управления доступом позволяютуточнять правила мандатного доступа для отдельных субъектов или сущностей.

В качестве примера можно привести следующие мандатные атрибуты управления доступом, использованные в операционной системе специального назначения Astra Linux Special Edition:

• Мандатный атрибут ccnr может присваиваться сущностям, являющимся контейнерамиМандатные атрибуты меток безопасности сущностей, являющихся контейнерами (т.е.сущностямсущностей, которые могут содержать другие сущности, например, каталогам файловой системы). Применяется только к контейнерам:

  • Мандатный атрибут ccnr. Определяет, что контейнер может содержать сущности с различными  классификационными метками, но не большими, чем его собственная метка. Чтение содержимого такого контейнера разрешается субъекту вне зависимости от значения классификационной метки этого субъекта, при этом субъекту доступна информация только про находящиеся в этом контейнере сущности с классификационной меткой не большей, чем собственная  классификационная метка субъекта, либо про сущности-контейнеры, также имеющие мандатный атрибут управления доступом ccnr;
    
    

  • Мандатный атрибут ccnri

  может присваиваться контейнерам и определяет

  • . Определяет, что контейнер может содержать сущности с различными уровнями целостности, но не большими, чем его собственный уровень целостности. Применяется только к контейнерам;

    Информация
    В ОС Astra Linux Special Edition РУСБ.10015-01 (очередное обновление 1.6) с установленным обновлением № 20190222SE16 и в ОС Astra Linux Special Edition РУСБ.10265-01 (очередное обновление 8.1) мандатный атрибут управления доступом ccnri включен для всех контейнеров, и не может быть изменен.

    
    

  • Мандатный атрибут irelax. Определяет, что создавать сущности в контейнере может субъект с любой меткой целостности. При этом:
    • Если метка целостности субъекта меньше или равна метке целостности контейнера, то создаваемые в каталоге сущности наследуют метку целостности создающего их субъекта;
    • Если метка целостности субъекта выше или несравнима с меткой целостности контейнера, то метка целостности создаваемых сущностей устанавливается как наибольшее значение, одновременно меньшее или равное значениям меток целостности контейнера и субъекта. Атрибут доступен только при включенном расширенном режиме МКЦ (расширенный режим МКЦ доступен начиная с обновления БЮЛЛЕТЕНЬ № 2022-0819SE17 (оперативное обновление 1.7.2);
      
      

• Метки безопасности сущностей, не являющихся контейнерами (файлов), могут иметь следующие мандатные атрибуты управления доступом:

  • Мандатный атрибут ehole может присваиваться сущностям (файлам), имеющим нулевую минимальную метку безопасности. Его наличие приводит к игнорированию мандатных правил управления доступом к сущностям. Этот атрибут предназначен для сущностей, из которых субъекты не могут прочитать данные, записанные в них субъектами с более высокой  классификационной меткой, чем его собственная (например, /dev/null);
    
    

  • Мандатный атрибут whole присваивается сущностям (файлам) c максимальной классификационной меткой и разрешает запись в них субъектам, имеющим более низкую классификационную метку (тогда как в обычном случае писать "снизу вверх" запрещено в соответствии с МРОСЛ ДП-моделью ИБ, реализованной в Astra Linux Special Edition);
    
    

• Субъекты могут иметь мандатные атрибуты-привилегии, предоставляющие права выполнения определённых определенных административных действий. Полный перечень привилегий и предоставляемых ими прав определяется реализацией формальной модели управления доступом. Перечни мандатных привилегий для ОС Astra Linux Special Edition доступны в документации (см. "Руководство по КСЗ, часть 1" а также Привилегии PARSEC).
  
  

Синонимыи близкие кнормативным терминам понятия, используемые в технической литературе и в компьютерной справочной документации