Содержание
Оглавление | ||
---|---|---|
|
Информация | ||
---|---|---|
| ||
Данная статья неприменима к Astra Linux Special Edition РУСБ.10015-10 |
панель |
---|
Механизмы мандатного управления доступом и мандатного контроля целостности реализованы в ядре ОС и затрагивают следующие подсистемы:
В механизме мандатного управления доступом определены следующие термины:
Сущностям и субъектам присваиваются следующие мандатные атрибуты:
Мандатные атрибуты субъекта/сущности объединяются в мандатный контекст этого субъекта/сущности. Путем использования уровней и категорий конфиденциальности обеспечивается защита от несанкционированного доступа к информации в части:
Принятие решения о запрете или разрешении доступа субъекта к сущности принимается на основе типа операции (чтение/запись/исполнение), мандатного контекста безопасности субъекта и мандатного контекста безопасности сущности. Субъекты или сущности, которым явно не задан мандатный контекст, считаются имеющими минимальный (нулевой) мандатный контекст, т.е. мандатный контекст, в котором метка безопасности и все мандатные атрибуты имеют минимальные допустимые значения (например, равные нулю). |
панель | ||||||||||||||||||||||||||||||||||||||||||||||||
---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
Мандатный контекст безопасностиМандатный контекст включает в себя:
|
панель | |
---|---|
PARSEC-привилегииPARSEC-привилегии, так же как и Linux-привилегии, наследуются процессами от своих «родителей». Процессы, запущенные от имени суперпользователя, имеющего максимальный (Высокий) уровень целостности по умолчанию, независимо от явного назначения им привилегий, имеют возможность осуществлять большинство привилегированных действий. PARSEC-привилегии и их описание приведены в таблице ниже. | |
Привилегия | Описание |
PARSEC_CAP_AUDIT pcapaudit 0x00002 | Позволяет управлять политикой аудита. |
PARSEC_CAP_BYPASS_XATTR | Отключает проверку подписи файлов в xattr . |
PARSEC_CAP_CAP | Позволяет устанавливать любой непротиворечивый набор привилегий для другого процесса и читать привилегии, присвоенные процессам. |
PARSEC_CAP_CHMAC | Позволяет изменять метки безопасности файловых объектов. |
PARSEC_CAP_FILE_CAP | Не используется. |
PARSEC_CAP_IGNMACCAT | Позволяет игнорировать мандатную политику по категориям доступа. |
PARSEC_CAP_IGNMACINT | Позволяет игнорировать мандатную политику по уровням целостности. |
PARSEC_CAP_IGNMACLVL | Позволяет игнорировать мандатную политику по уровням конфиденциальности. |
PARSEC_CAP_INHERIT_INTEGRITY | При создании файловых объектов на них автоматически устанавливается максимально возможная целостность, однако не выше, |
PARSEC_CAP_IPC_OWNER | Отменяет мандатные ограничения при работе с сущностями IPC, такими как shared memory, message queue и т.д. (Parsec аналог Linux-привилегии |
PARSEC_CAP_MAC_SOCK | Позволяет изменять метки безопасности точек соединения (UNIX-сокетов). Для сетевых сокетов использовать привилегию |
PARSEC_CAP_PRIV_SOCK | Позволяет создавать новые сетевые сокеты процесса в привилегированном режиме (метка ehole). Привилегированный сокет позволяет осуществлять сетевое взаимодействие, игнорируя мандатную политику. Для точек соединения (UNIX-сокетов) использовать привилегию |
PARSEC_CAP_PROCFS | Включает игнорирование уровней конфиденциальности и уровней целостности при работе с |
PARSEC_CAP_READSEARCH | Позволяет игнорировать мандатную политику при чтении и поиске файловых объектов (но не при записи). |
PARSEC_CAP_SETMAC | Позволяет изменять метку безопасности процессов. Привилегия не позволяет процессу повышать уровень целостности другого процесса, а только понижать. |
PARSEC_CAP_SIG | Позволяет посылать сигналы процессам, игнорируя мандатные права. |
PARSEC_CAP_SUMAC | Позволяет запускать процессы с другой классификационной меткой (с другим иерархическим уровнем конфиденциальности и другими неиерархическими категориями доступа). |
PARSEC_CAP_UNSAFE_SETXATTR | Позволяет устанавливать мандатные атрибуты объектов файловой системы без учета мандатных атрибутов родительского объекта-контейнера. |
PARSEC_CAP_UPDATE_ATIME | Позволяет изменять время доступа к файловым объектам |
панель | ||||||||||||||||||||||||
---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
|