Разработка модели разграничения доступа для фгуп

Для АСОД ФГУП характерна дискреционная модель разграничения доступа, соответственно необходимо разработать дискреционный принцип разграничения доступа для АСОД.

Ресурсы, подлежащие защите, располагаются на файловом сервере, соответственно необходимо рассмотреть структуры каталогов, в которых располагаются ресурсы. Все ресурсы четко разделены по отдельным каталогам, к которым имеют доступ соответствующие пользователи. Структура каталогов повторяет организационную структуру предприятия, что упрощает процесс построения модели. На рисунке 3.2 изображена структура каталогов, расположенных на файловом сервере.

 

 

Рисунок 3.2 – Структура каталогов на сервере

 

Пользователи на предприятии объединены в группы, для удобства администрирования. Группы пользователей образованы согласно занимаемым ими должностям. На рисунке 3.3 представлена структура должностей ФГУП. Каждая из должностей имеет свои категории прав и свое множество ресурсов (каталогов) на которые распространяются соответствующие им категории прав. Таким образом, разграничение доступа должно проводиться с учетом возможностей на выполнение тех или иных операций с ресурсами в АСОД для каждой должности, и пользователя (сотрудника) имеющего данную должность.

 

 

Рисунок 3.3 – Структура должностей предприятия

 

Рассмотрев структуру каталогов и структуру должностей, можно приступить к созданию модели разграничения доступа. На рисунке 3.4 представлена модель разграничения доступа для ФГУП. Данная модель полностью отражает права доступа на ресурсы расположенные на файловом сервере для групп и пользователей. Согласно модели пользователи (П) группы 1 (Гр₁) имеет доступ на запись только к собственным каталогам (К_n). Пользователи входящие в Гр₂ (начальники отделов) помимо прав на запись собственных каталогов, имеют права доступ на чтение каталогов пользователей работающих в отделе. Пользователи состоящие в Гр₃ (директор) так же как и пользователи Гр₁ имеют права доступа на запись в собственный каталог и права доступа на чтение всех каталогов находящихся на файловом сервере.  

Результат разграничения доступа записывается, т.е. производит изменения, в списки доступа АСL, которые в свою очередь представляет прямоугольную матрицу (таблицу), строки которой соответствуют субъектам доступа, столбцы объектам доступа, а в ячейках записываются разрешенные операции соответствующего субъекта над соответствующим объектом (таблица 3.1).

"Прописанные" в ячейках матрицы права доступа в виде разрешенных операций над объектами определяют виды безопасных доступов соответствующего субъекта к соответствующему объекту. Для выражения типов разрешенных операций используются специальные обозначения, составляющие основу (алфавит) некоторого языка описания политики разграничения. Таким образом, в рамках дискреционной политики каждая ячейка агрегирует некоторое подмножество троек "субъект-операция(поток)-объект"/25/.

Таблица 3.1 – Матрица права доступа

 

Объекты доступа

Субъекты доступа

 

…

…

r

r

…

w

 

r

w

r

…

r

…

w

 

…

…

…

….

…

…

r

w

…

r

…

w

 

…

…

…

….

…

…

w

e

…

w

…

r

 

 

 

Рисунок 3.4 – Модель разграничения доступа для ФГУП

 

Теперь необходимо математически описать модель разграничения доступа.

Конечным итогом разработанной модели должен стать массив, в котором содержатся имена пользователей, принадлежащие им ресурсы, категория прав доступа m, и неотъемлемый атрибут имя учетной записи системного администратора и соответствующая ему категория прав доступа m ко всем ресурсам.

Под категорией прав доступа понимается возможность выполнения, каких либо действий над определенным ресурсом или группой ресурсов. Среди категорий можно выделить следующие:

n – запрет на доступ;

r – возможность чтения ресурса;

w – возможность записи ресурса и дальнейшего его чтения;

с – возможность выполнения вех возможных операций над ресурсами, без возможности изменения свойств доступа к ресурсу;

f – возможность выполнения вех возможных операций над ресурсами, с возможности изменения свойств доступа к ресурсу.

Но каждая категория прав m включает в себя более низкую категорию:

 

 

 

Так же необходимо отметить, что системный администратор имеет самую высокую категорию прав доступа – f.

Теперь рассмотрим непосредственно представление модели разграничения доступа, выраженную языком реляционной алгебры.

k – множество групп;

l – множество пользователей;

m – множество ресурсов (каталогов);

n – множество категорий прав доступа;

o –имя системного администратора в АС.

1. Необходимо получить список групп k и пользователей l, входящих в эти группы.

{ ; }                                                                                    (3.5)

Такие что:

                                                                           (3.6)

2. Определение администратора o АС из всех пользователей l:

                                          (3.7)

Для администратора o, права доступа n всегда «f».

таким образом, производим объединение множества пользователей и групп, в которых состоят первые, и имя администратора с правами «f»:

{ ; = { ; }                                        (3.8)

3. Теперь необходимо определить категории прав доступа, т.е. поставить в соответствие группам пользователей соответствующие категории прав доступа n. Для этого производится назначение соответствующей группе пользователей соответствующие категории прав доступа. Мы уже имеем список групп k, теперь определяем для каждого  соответствующие категории прав :

                                                                                 (3.9)

1. Теперь необходимо определить каталоги, принадлежащие группам. Для этого производим поиск каталогов, принадлежащих i группе, следующим образом:

Для каждого пользователя определяем каталоги принадлежащие ему:

                                                                   (3.10)

И записываются во временный файл К.

После этого из полученного списка выбираем первый путь каталога , разбиваем его путь на части:

                                                                                (3.11)

Далее а,b,c, присваивается номер категории прав доступа:

а=1

b=2

c=3

Если группе  соответствует категория прав  и i = 1, то производим поиск по а, если i = 2, то поиск по b, если i = 3 то поиск по с, т.е. в переменной х присваиваем значение а или b или с:

                                                          (3.12)

Все полученный результаты дописываем во временный файл К.

2. Организуем полученные результаты

                                                             (3.13)

После получения выражения вида (3.13) мы имеем все необходимы данные для назначения прав доступа пользователям k на ресурсы m.

3. Производим запись прав доступа n на каталоги m для пользователей k в таблицу доступа АCL, средствами встроенной утилиты cаcls.exe.