Аудит безопасности

Аудит - регистрация в специальном журнале безопасности потенциально опасных событий для ОС. Необходимость ведения данного журнала обусловлена следующими причинами:

1. Подсистема защиты ОС не обладая интеллектом, не способна отличить случайные ошибки пользователей от злонамеренных действий (неправильный ввод пароля - случайность или взлом).

2. Необходимо хранить предисторию.

3. Если произошла атака, то администратор должен выяснить, когда была начата атака и каким образом она осуществлялась.

Требования к аудиту

1. Только ОС может добавлять записи в журнал безопасности ОС.

2. Ни один субъект доступа, в том числе и ОС не имеет возможности редактировать или удалять отдельные записи в журнале аудита.

3. Только пользователи-аудиторы, обладающие соответстующей привелегией, могут просматривать журнал аудита.

4. Только пользователи-аудиторы могут очищать журнал аудита. Запись об этом событии вносится в журнал.

5. При переполнении журнала аудита ОС аварийно завершает работу. После перезагрузки работать с ОС могут только аудиторы.

Политика аудита - совокупность правил, то, какие события должны регистрироваться в журнале аудита. Для адекватной политики безопасности, в журнале аудита должны обязательно регестрироваться следующие события

1. Попытки входа-выхода пользователей из системы.

2. Попытки изменения списка пользователей.

3. Попытки изменения политики безопасности, в том числе, и политики аудита.

Выбор остальных событий определяется администратором. В некотрых ОС реализована возможность оповещения аудиторов о наиболее важных событиях, которые произошли в системе.

В ОС UNIX поддерживается регистракция следующих событий:

1. Загрузка-выгрузка системы.

2. Успешный вход и выход из системы.

3. Создание-уничтожение процесса.

4. Сделать объект доступным (открыть файл, сообщение, смонтировать файловую систему и т.д.).

5. Отобразить объект в субъект (выполнение программы).

6. Модификация объекта (запись в файл).

7. Сделать объект недоступным (закрыть файл, размонтировать файловую систему и т.д.).

8. Создание объекта (файла,...).

9. Удаление объекта.

10. Изменение разграничения доступа.

11. Отказ доступа.

12.Действия системных администраторов и операторов.

13. Процессы, которые пытаются превысить свои полномочия.

14. Отказы в рессурсах (отсутствие файла, переполнение памяти, и т.д.).

15. Посылка сигналов и сообщений процессам.

16. Модификация процесса.

17. События системы контроля.

18. События базы данных (изменение базы данных безопасности и ее целостности).

19. События подсистемы (использование защищенных подсистем).

20. Использование привилегий (контроль действий с использованием различных привилегий).

Лекция № 15

Дата добавления: 2014-01-05