GRSecurity

RSBAC

Проект RSBAC реализует мандатный и ролевой механизмы доступа. RSBAC – это среда для создания и использования различных моделей доступа. В её рамках уже разработаны несколько модулей – мандатный и ролевой механизмы и простое расширение списков доступа. С теоретической точки зрения эта работа основывается на публикации Абрамса и Ла Падула Обобщённая среда для управления доступом (GFAC, Generalized Framework for Access Control).

Помимо привычного администратора в операционную систему добавляется администратор безопасности, который может ограничить всех пользователей (в том числе и суперпользователя) в доступе к информации. Это создаёт лишний уровень привилегий на пути злоумышленника к полному контролю над системой, но возлагает большую ответственность на администратора безопасности.

RSBAC распространяется под лицензией GPL и представляет собой набор патчей к текущему ядру Linux. В отличие от SELinux, в основную ветку ядра Linux RSBAC не входит.

Функционально RSBAC состоит из нескольких модулей, а центральный компонент принимает комплексное решение, основываясь на результатах, возвращаемых каждым из активных в данный момент модулей (какие модули задействовать и в каком объеме определяется на этапе настройки системы). Начиная с версии 1.1.0, в RSBAC включены следующие модули, реализующие различные функции и модели управления доступом:

· MAC (Mandatory Access Control). Модуль MAC обеспечивает принудительное управление доступом на основе модели Белла-Лападулы.

· FC (Functional Control). Данный модуль реализует простую ролевую модель, в которой доступ к системной информации разрешен только администраторам системы, а доступ к информации, связанной с безопасностью, разрешен только офицерам безопасности.

· SIM (Security Information Modification). Модуль SIM обеспечивает возможность модификации данных, помеченных как "security information", только администраторами безопасности.

· PM (Privacy Model). Данный модуль реализует модель безопасности, направленную на обеспечение приватности личных данных. Основная идея состоит в том, чтобы пользователь мог получить доступ к персональным данным только, если они ему необходимы для выполнения текущей задачи и если он авторизован на ее выполнение. Кроме того, цели выполнения текущей задачи должны совпадать с целями, для которых эти данные собраны, либо должно быть получено согласие субъекта этих данных.

· MS (Malware Scan). Этот модуль обеспечивает сканирование всех файлов на наличие вредоносного кода. Дополнительно, данный модуль может контролировать все запросы на чтение файлов и соединений TCP/UDP. В текущей версии модуль умеет обнаруживать вирусы Bliss.A, Bliss.B, VHP-648, Israeli, Eddie2, Dark Avenger и 1704C.

· FF (File Flags). Модуль FF предоставляет механизм установки и проверки флагов на файлы и каталоги. Причем, модифицировать флаги разрешено только офицерам безопасности системы. Пока поддерживаются флаги execute_only (для файлов), read_only (для файлов и каталогов), search_only (для каталогов), secure_delete (для файлов), no_execute (для файлов) и add_inherited (для файлов и каталогов).

· RC (Role Compatibility). Данный модуль определяет 64 роли и 64 типа для каждого вида объекта. Виды объектов: file, dir, dev, ipc (interprocess communication), scd (system control data), process. Для каждой роли отношение к различным типам и другим ролям настраивается индивидуально, в зависимости от вида запроса. Используя данный модуль, можно настроить разделение обязанностей между администраторами, избежав при этом назначения избыточных прав.

· AUTH (Authorization Enforcement). Задача этого модуля – контролировать запросы процессов на смену текущего идентификатора пользователя. Под контролем данного модуля программе недостаточно просто иметь установленный бит suid, ей необходим специальный атрибут, разрешающий такое действие. Причем, он может быть, как глобальным (uid может быть сменен на любой), так и списочным (процесс может сменить свой uid только на определенные).

· ACL (Access Control List). Этот модуль определяет, какие субъекты могут получать доступ к данному объекту, и какие типы запросов им разрешены. Субъектом доступа может быть как простой пользователь, так и роль RC и/или группа ACL. Объекты группируются по видам, но каждый имеет собственный список ACL. Если права доступа к объекту не заданы явно, они наследуются от родительского объекта с учетом маски наследования прав. Эффективные права доступа субъекта к объекту складываются из прав, полученных непосредственно, и прав, полученных через назначение на роль или членство в группе ACL.

Вся дополнительная информация, используемая RSBAC, хранится в дополнительном каталоге, который доступен только ядру системы. В зависимости от описанного уровня абстракции исполняемых задач и необходимой степени защиты выбираются различные сочетания модулей.

RSBAC дает возможность избавить систему от общих недостатков Unix. Появление должности "офицер безопасности" (security officer, security administrator) решает проблему неподконтрольности основного администратора системы, а категории "офицер по защите данных" (data protection officer) децентрализует администрирование, позволяя практически реализовать принцип разделения привилегий, в соответствии с которым все критичные операции не должны производиться в одиночку.

Пакет GRSecurity представляет собой набор заплат для обеспечения безопасности ядра Linux версии 2.4. Цель проекта заключалась в создании безопасной и удобной в управлении ОС. GRSecurity предоставляет следующие возможности:

· запуск программ только в заданных директориях (Trusted Path Execution);

· случайное назначение номеров идентификаторов процессов и IP-дейтаграмм;

· усовершенствованная защита файлов – защищенные файлы могут быть скрытыми или с установленной защитой от изменений даже со стороны суперпользователя;

· защита процессов – ядро может отклонить отправку сигналов защищенным процессам. Процессы также могут быть скрытыми – каталог /proc не предоставит никакой информации об этом процессе;

· улучшенный контроль за правами доступа – применяется более эффективное назначение мандатов для предоставления привилегий, включая запрещение изменения мандатов пользователю с правами системного администратора;

· поддержка возможностей PaX (патч к ядру Linux, который предоставляет возможность настроить минимальные права доступа приложений к страницам памяти).

Все списки контроля доступа хранятся в удобных для чтения и изменения файлах.

Дата добавления: 2014-12-07