Cтруктура и моделирование компонентов системы централизованого управления сзи нсд. Аникин И.В., Ляшко Д.А.

 Аникин И.В.,

Ляшко Д.А.,

Казанский национальный исследовательский технический университет

им. А.Н. Туполева-КАИ,

г. Казань

Защита АС от НСД является одной из важнейших задач по обеспечению информациионной безопасности в современных АС. При этом необходимо ориентироваться на  следующие основные признаки, определяющие специфику современных АС - многоплатформенность, мультисервисность, сегментированность, территориальная разнесенность компонентов, наличие значительного количества пользователей, получающих доступ к большому количеству ресурсов.  В таких условиях независимое администрирование отдельных средств защиты информации (СрЗИ) от НСД, присутствующих в АС, становится неэффективным и может привести к рассогласованию конфигураций различных СрЗИ, увеличивает объемы работ по администрированию СрЗИ, количество ошибок администрирования, увеличивает общие затраты на построение СЗИ НСД. Таким образом, значительную актуальность для современных АС приобретает создание системы централизованного удаленного администрирования СрЗИ  от НСД (СУДАД-ЗИ), реализующей функции по защите информации от НСД согласно требованиям ФСТЭК, а также соответствующего программного комплекса (ПКСУДАД-ЗИ).  В настоящее время недостаточное количество исследований проводится в области разработки теоретической базы взаимодействия компонентов СУДАД-ЗИ, в связи с чем, значительную актуальность приобретает ее разработка. В докладе решаются задачи разработки структуры и определения состава компонентов СУДАД-ЗИ, произведено теоретико-множественное и функциональное моделирование ее подсистем.

Для управления СУДАД-ЗИ рассматриваются специальные АС (класса 1В), представляющие многоплатформенные мультисегментные сети со следующими особенностями:

- в АС могут использоваться автоматизированные рабочие места (АРМ) пользователей, функционирующие под управлением различных операционных систем (ОС): в том числе Windows, а также сертифицированными ОС ИНТРОС, MCBC;

- в случае взаимодействия с внешними сетями, в АС используется межсетевое экранирование (МЭ);

- наряду с внутренними средствами защиты операционных систем (Windows, ИНТРОС, MCBC), в АС могут использоваться используются иные СЗИ НСД, сертифицированные ФСТЭК;

- в АС присутствуют сервера баз данных, функционирующих на различных платформах, в том числе MySQL и Postgres SQL;

- для решения задач резервного копирования информации, в АС существует сервер резервного копирования.

Таким образом, в рассматриваемых АС присутствует значительное количество разнотипных СрЗИ, требующих централизованного управления:

- внутренние СрЗИ различных операционных систем;

- СрЗИ, реализованных в рамках СЗИ НСД, сертифицированных ФСТЭК;

- внутренние СрЗИ различных серверов баз данных;

- СрЗИ межсетевого экрана.

При создании СУДАД-ЗИ наиболее удобным подходом является ориентирование на клиент-серверную архитектуру, а также применение системы программных агентов, устанавливаемых на администриуемые узлы, и управляемых с единой консоли администратора безопасности информации (АБИ). С учетом этого, а также требований, предъявляемых к СЗИ НСД класса 1В, предлагается следующая структура СУДАД-ЗИ (рис. 1).

Основными компонентами СУДАД-ЗИ, через которые организуется управление функциями по защите АС от НСД, являются графическая консоль АБИ, Менеджер и Агенты.

Графическая консоль АБИ используется АБИ для управления агентами и отображения текущего состояния АС. Менеджер предназначен для обработки и диспетчеризации запросов других компонентов СУДАД-ЗИ (Консоли АБИ, Агентов), мониторинга АС и регистрации событий, происходящих в АС. Агенты устанавливаются на администриуемые узлы и предназначены для организации взаимодействия между компонентами СУДАД-ЗИ путем обмена сообщениями.

Значительную актуальность имеет теоретическое исследование Менеджера и Агентов на уровне разработки их математических моделей.

Предлагается следующая формальная модель Агента:

где        - ядро агента;

             - загрузчик ядра агента;

             - транспортная библиотека агента;

             - подсистема трансляции запросов.

Предлагается следующая формальная модель ядра агента:

, где        

 - состояние ядра агента, являющееся элементом множества состояний 

.

 - окружение клиентов, с которыми взаимодействует агент, где  - структура данных типа «очередь» - очередь сообщений, которая используется для хранения сообщений, для клиента.

Рис 1. Структура СУДАД-ЗИ

Сообщения  представляют собой тройки элементов , где  - контекст сообщения, состоящий из двух частей: имени контекста , маршрута передачи сообщения , представляющего собой последовательность идентификаторов ядер агентов , на которые пересылаются сообщения.  - максимальный набор хранимых в очереди сообщений;  - нецелочисленный коэффициент превышения или занижения отведенного Агенту лимита объема сообщений в его очереди;  - количество сообщений, которое Агенты могут запросить за один вызов;  - будет ли получать Агент сообщения в свою очередь.

 - окружение ядра Агента, представляющее собой тройку элементов , где  - уникальный строковый идентификатор ядра Агента;  - ключ аутентификации для ядра Агента;  - номер TCP-порта для обслуживания запросов по сети;  - необходимость логирования внутренней работы ядра;  - таймаут удерживания простаивающего соединения в открытом режиме;  - место назначения, используемое при передаче файлов между Агентами.

 - окружение соседних агентов, представляющее собой пятерку элементов , где  - уникальный строковый идентификатор соседнего Агента;  - ключ аутентификации для соседнего Агента;  - основной IP-адрес соседнего Агента;  - дублирующий IP-адрес (если существует) соседнего Агента;   - номер TCP-порта для обслуживания запросов по сети; - положительное число указывает ограничение скорости передачи данных в байтах в секунду для Агента.

 - точки входа для обработки агентом запросов.

Работа Менеджера заключается в управлении взаимодействием четырёх самостоятельных, одновременно выполняющихся процессов (планирование запросов, обработка сообщений, мониторинг, регистрация событий) с потоками входящих сообщений, базой данных и очередью исходящих сообщений. Функциональная схема работы менеджера представлена на рис. 2.

Передача сообщений от Менеджера к Агентам выполняется в виде заданий через очередь исходящих сообщений.

Задание представляет собой единицу работы в СУДАД-ЗИ. Предлагается использовать модель задания в виде

, где,

 - имя задания;  - периодичность запуска задания ;  - дата запуска;  - время запуска;  - конфигурация задания; Report - отчет о выполнении задания;  - время завершения выполнения;  - результат выполнения.

Записи системного журнала представляются в виде следующего кортежа:

, где

etypeI{ Неопределенный тип, Деятельность субъекта доступа, Изменение состояния процесса субъектом доступа, Доступ процесса к локальным ресурсам, Доступ процесса к каналам связи, Изменение прав доступа субъектом доступа, Попытка НСД, Системное событие} – идентификатор типа события; atypeI{ Неопределенный тип, Загрузка, Активизация, Деактивизация, Чтение, Запись, Создание, Удаление} – идентификатор типа деятельности; rtypeI{ Неопределенный тип, Успех, Неудача, Частичный успех, Системная ошибка, Информационное сообщение} – идентификатор типа результатов деятельности;

Рис. 2. Функциональная схема работы менеджера

date – дата события; time – время события; agent_id – идентификатор агента; stypeI{ОС Windows,INTROS, MCBC,МЭ} – идентификатор типа администрируемой СЗИ;  subject – субъект; object – объект; desc – описание события.

На базе разработанных структуры СУДАД-ЗИ и моделей, разработан ПКСУДАД-ЗИ для АС, позволяющий осуществлять централизацию управления СрЗИ НСД.

Библиографический список

1. Горковенко Е.В., Соколова С.П. Организация системы с мандатной политикой информационной безопасности // Проблемы информационной безопасности. Компьютерные системы. № 1, 2008.  – с. 18-27.
2. Конявский В.А. Управление защитой информации на базе СЗИ НСД «АККОРД» - М.: Радио и связь, 1999. – 325 с.