Мандатное управление доступом

Мандатное управление доступом (англ. Mandatory access control, MAC) — разграничение доступа субъектов к объектам, основанное на назначении метки конфиденциальности для информации, содержащейся в объектах, и выдаче официальных разрешений (допуска) субъектам на обращение к информации такого уровня конфиденциальности. Также иногда переводится как Принудительный контроль доступа. Это способ, сочетающий защиту и ограничение прав, применяемый по отношению к компьютерным процессам, данным и системным устройствам и предназначенный для предотвращения их нежелательного использования.

Согласно требованиям ФСТЭК, мандатное управление доступом или «метки доступа» являются ключевым отличием систем защиты государственной тайны РФ старших классов 1В и 1Б от младших классов защитных систем на классическом разделении прав по матрице доступа.

Пример: субъект «Пользователь № 2», имеющий допуск уровня «не секретно», не может получить доступ к объекту, имеющему метку «для служебного пользования». В то же время субъект «Пользователь № 1» с допуском уровня «секретно» право доступа (в режиме "только чтение") к объекту с меткой «для служебного пользования» имеет. Для сохранения внесенных изменений субъект "Пользователь № 1" должен сохранить редактируемый объект в каталоге с меткой "секретно".

Особенности

Мандатная модель управления доступом, помимо дискреционной и ролевой, является основой реализации разграничительной политики доступа к ресурсам при защите информации ограниченного доступа. При этом данная модель доступа практически не используется «в чистом виде», обычно на практике она дополняется элементами других моделей доступа.

Для файловых систем оно может расширять или заменять дискреционный контроль доступа и концепцию пользователей и групп.

Самое важное достоинство заключается в том, что пользователь не может полностью управлять доступом к ресурсам, которые он создаёт.

Политика безопасности системы, установленная администратором, полностью определяет доступ, и обычно пользователю не разрешается устанавливать более свободный доступ к своим ресурсам, чем тот, который установлен администратором пользователю. Системы с дискреционным контролем доступа разрешают пользователям полностью определять доступность своих ресурсов, что означает, что они могут случайно или преднамеренно передать доступ неавторизованным пользователям. Такая система запрещает пользователю или процессу, обладающему определённым уровнем доверия, получать доступ к информации, процессам или устройствам более защищённого уровня. Тем самым обеспечивается изоляция пользователей и процессов, как известных, так и не известных системе (неизвестная программа должна быть максимально лишена доверия, и её доступ к устройствам и файлам должен ограничиваться сильнее).

Очевидно, что система, которая обеспечивает разделение данных и операций в компьютере, должна быть построена таким образом, чтобы её нельзя было «обойти». Она также должна давать возможность оценивать полезность и эффективность используемых правил и быть защищённой от постороннего вмешательства.

Поддержка в современных операционных системах

Изначально такой принцип был воплощён в операционных системах Flask и других ориентированных на безопасность операционных системах.

Исследовательский проект АНБ SELinux добавил архитектуру мандатного контроля доступа к ядру Linux и позднее был внесён в главную ветвь разработки в августе 2003 года.

Мандатная система разграничения доступа реализована в ОС FreeBSD Unix.

В SUSE Linux и Ubuntu есть архитектура мандатного контроля доступа под названием AppArmor.

В сертифицированных в системах сертификации Минобороны России и ФСТЭК России операционных системах МСВС, Astra Linux Special Edition, Стрелец и аналогичных механизм мандатного разграничения доступа реализован, как и механизм дискреционного разграничения доступа, в ядре ОС. Решение о запрете или разрешении доступа субъекта к объекту принимается на основе типа операции (чтение/запись/исполнение), мандатного контекста безопасности, связанного с каждым субъектом, и мандатной метки, связанной с объектом.

В сетевые пакеты протокола IPv4 в соответствии со стандартом RFC1108 внедряются мандатные метки, соответствующие метке объекта — сетевое соединение. В защищенных комплексах гипертекстовой обработки данных, электронной почты и в других сервисах в Astra Linux мандатное разграничение реализовано на основе программного интерфейса библиотек подсистемы безопасности PARSEC. В других операционных системах используются собственные библиотеки подсистемы безопасности.

Поддержка в современных системах управления базами данных

В СУБД ЛИНТЕР мандатный контроль доступа к данным организуется на уровне таблиц, столбцов записей и отдельных полей записей.

В Oracle Database есть подсистема Oracle Label Security (LBAC, Label-Based Access Control system)

В PostgreSQL в версии 9.2 появилась начальная поддержка SELinux.

Литература

• РУКОВОДЯЩИЙ ДОКУМЕНТ «Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации»
• ГОСТ Р 50922-96. Защита информации. Основные термины и определения.
• РУКОВОДЯЩИЙ ДОКУМЕНТ «Концепция защиты средств вычислительной техники и автоматизированных систем от несанкционированного доступа к информации».
• РУКОВОДЯЩИЙ ДОКУМЕНТ «Руководство по разработке профилей защиты и заданий по безопасности».
• РУКОВОДЯЩИЙ ДОКУМЕНТ «Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от НСД к информации».

См. также

• Критерии определения безопасности компьютерных систем
• Модель Белла — Лападулы
• Модель систем военных сообщений
• Дискреционное управление доступом
• TrustedBSD
• Trusted Solaris