سیاست های اجباری

بررسی اصول امنیتی پایگاه های داده بخش پنجم

توسط ehsanhs | گروه مقاله های کامپیوتر | 1395/04/14

نظرات 0

 2-4-3-3-2  سیاست اجباری

در جاهایی که حجم بزرگی از اطلاعات نیاز به امنیت شدید دارد از این سیاست استفاده می‌شود. نام دیگر این سیاست ، سیاست کنترل انتشار است زیرا مانع از انتشار اطلاعات از منابع سطح بالا به منابع سطح پایین می‌شود. دسترسی به داده‌ها از طریق کلاس‌های امنیتی تعریف شده برای منابع و درخواست‌کننده‌ها صورت می‌گیرد و  به هر كاربر و منبع موجود در سيستم ، سطحي از امنيت داده مي‌شود. سطح امنیت متناظر با یک درخواست‌کننده نشان دهندۀ درجۀ اعتمادی است که به او وجود دارد و سطح کلاس بندی متناظر با یک منبع نشان دهنده درجۀ اهمیت اطلاعات موجود در آن منبع است و یا به عبارت دیگر نشان دهنده پتانسیل آسیب‌رسی به سیستم در صورت فاش شدن غیر مجاز اطلاعات آن منبع است. در ساده ترين حالت ، سطوح امنيت به صورت سلسله مراتبي  تعريف مي‌شود.
دو مولفه مهم در کلاس بندی منابع وجود دارد :
سطح کلاس بندی  : که منعکس کننده سطح اطلاعاتی که آن منبع دارد. این سطوح عبارنتد از :
  • 0 = غیر محرمانه(U)
  • 1 = محرمانه(C)
  • 2 = سری(S)
  • 3 = فوق سری(TS)
طبقه  : که منعکس کننده دپارتمان‌های یک سازمان و یا حوزه‌های سیستمی ‌است. برای مثال در محیط‌های نظامی ‌این حوزه‌ها می‌توانند شامل هسته‌ای – ناتو – جاسوسی و در محیط‌های صنعتی شامل تولید – مهندسی – پرسنل – مدیریت باشد. تعداد طبقه‌های قابل استنتاج برای m حوزه ، 2m  می‌باشد. برای این کلاس‌های امنیت رابطه‌هایی بصورت زوج مرتب تعریف می‌شود که مولفه اول نشان دهنده سطح کلاس و مولفه دوم نشان دهنده طبقه است. دو زوج مرتب SC1=(A1,C1) و SC2(A2,C2) را در نظر بگیرید. رابطۀ SC1≤SC2 در صورتی برقرار است که A1≤A2 و C2 C1 باشد. بنابراین رابطۀ ((ناتو ، هسته‌ای) ، 3) ≥ (ناتو ، 2) برقرار است و رابطۀ (ناتو ، 3) ≥ ((‌ناتو‌، هسته‌ای‌) ‌‌،‌2‌) برقرار نیست.
البته این طبقه بندی(فوق سري ، سري ، محرمانه و غير محرمانه) در مورد درخواست‌کننده‌ها نیز وجود دارد. رابطه "فوق سري > سري<محرمانه<غير محرمانه" در بين این طبقات صادق است. هر سطح امنيت ، حق دسترسي به گروه خود و گروه‌هاي زيرين خود را دارد. دسترسي به يك منبع به وسيله يك درخواست كننده ، تنها در صورتي مجاز است كه  سطوح امنيت ، هم در منبع و هم در درخواست كننده برقرار باشد. به طور كلي دو قانون زير بايد برقرار باشد.
کنترل انتشار اطلاعات برای تامین محرمانگی
 
شکل2-8 : کنترل انتشار اطلاعات برای تامین محرمانگی
قانون خواندن : سطح امنيت درخواست كننده بايد از سطح امنيت منبعي