СПОСОБ ФОРМИРОВАНИЯ ПРАВИЛ ПОЛИТИК БЕЗОПАСНОСТИ, РЕАЛИЗУЮЩИХ МОДЕЛИ БЕЗОПАСНОСТИ НА ОСНОВЕ СОСТОЯНИЙ ИНФОРМАЦИОННЫХ СИСТЕМ

1. Способ формирования правил политик безопасности, реализующих модели безопасности на основе состояний информационных систем, путем описания состояния информационной системы и модели безопасности, отличающийся тем, что при описании состояния безопасности информационной системы фиксируют полное множество субъектов, объектов и их атрибутов безопасности, имеющихся в системе, и формируют предикаты, представляющие элементы этих множеств; при описании модели безопасности, реализованной в информационной системе, включают в него логические правила контроля доступа, представляющие условия, определенные на множествах субъектов, объектов, их атрибутов безопасности, и при выполнении этих условий разрешающие набор видов доступа субъектов к объектам; дальнейшие действия осуществляют для пары описания состояния информационной системы и описания модели безопасности информационной системы; формируют правила типа "Состав субъектов, объектов, атрибутов безопасности", представляя множества субъектов, объектов и их атрибутов безопасности, перечисленных в описании состояния, в виде предикатов, которые служат индикаторами безопасного состояния информационной системы; формируют правила типа "Значения атрибутов безопасности", представляя значения элементов множества атрибутов безопасности субъектов и объектов, перечисленных в описании состояния, в виде предикатов, которые дополняют правила типа "Состав субъектов, объектов, атрибутов безопасности" в качестве индикаторов безопасного состояния информационной системы; формируют правила типа "Ограничения доступа", представляя разрешения, имеющиеся у субъектов на доступ к объектам, перечисленным в описании состояния, в виде предикатов, которые дополняют правила типа "Состав субъектов, объектов, атрибутов безопасности" и типа "Значения атрибутов безопасности" в качестве индикаторов безопасного состояния информационной системы, при этом для каждой пары "субъект-объект" определяют множество разрешений, доступных субъектам по правилам модели безопасности, путем добавления разрешенных прав и удаления запрещенных прав к прямым правам доступа объекта, заданным для конкретного субъекта, с учетом прав, распространяющихся по иерархиям субъектов и объектов, т.е. с учетом унаследованных, групповых и прямых разрешений и запретов; прав, соответствующих конфигурационным параметрам безопасности; прав, соответствующих значениям конфигурационных параметров безопасности; прав, назначенных на зависимые объекты в информационной системе; прав, получаемых из меток доступа и целостности; составляют описание политики безопасности, объединяя созданные на предыдущих этапах предикаты описания правил.
2. Способ по п.1, отличающийся тем, что в качестве состояния безопасности информационной системы рассматривают полное множество субъектов, объектов доступа, их атрибутов безопасности, состав и влияние которых на безопасность определяется типом и версией операционной среды информационной системы, в состав которого включают такие конфигурационные параметры безопасности, как пользователи и группы пользователей; элементы файловой системы, в том числе диски, каталоги, файлы, ссылки, элементы реестра, в том числе разделы, ключи, параметры, ссылки; объекты ядра, в том числе задачи, процессы, потоки, драйверы, объекты синхронизации; ресурсы общего доступа, в том числе каталоги, принтеры; программные сервисы; COM/DCOM-объекты; объекты службы каталога; локальные и глобальные настройки системной политики безопасности; опции и настройки безопасности пользовательского и специального программного обеспечения; конфигурационные параметры сетевых служб; атрибуты безопасности субъектов и объектов, в том числе идентификаторы защиты, привилегии пользователей и групп пользователей, информация о владельцах объектов, списки прав доступа, метки доступа и целостности, иерархическое распределение субъектов, объектов, прав доступа, меток доступа и целостности.