ГОСТ Р ИСО/МЭК15408-2—2008
- спецификации управления доступом на основе времени;
- спецификации управления доступом на основе источника;
- атрибуты управления доступом, управляемые их владельцем.
F.2.2 FDP
_
ACF.1 Управлениедоступом, основанное на атрибутах безопасности
F.2.2.1 Замечания по применению для пользователя
Компонент FDP
_
ACF.1 обеспечивает требования к механизму, который поддерживает управление досту
пом. основанное на атрибутах безопасности, ассоциированных с субьектами и объектами. Каждый объект и
субъект имеет совокупность ассоциированных с ним атрибутов, таких как расположение, время создания, права
доступа (например списки контроля доступа). Данный компонент позволяет автору ПЗ/ЗБ специфицировать
атри буты. которые будут использоваться для посредничества при управлении доступом, а также правила
управления доступом на основе этих атрибутов.
Примеры атрибутов, которые может назначать автор ПЗ’ЗБ. представлены ниже.
Атрибут «идентификатор» может быть ассоциирован с пользователями, субъектами или объектами для
использования при посредничестве. Примерами этого атрибута могут быть имя загрузочного модуля программы,
используемой при создании субъекта, или атрибут безопасности, назначенный загрузочному модулю про
граммы.
Атрибут «время» может использоваться для определения того, что доступ будет предоставляться только в
указанные время суток, дни недели или календарный год.
Атрибут «местоположение» мог бы определять место как формирования запроса на операцию, так и вы
полнения операции, либо то и другое. Применение таких атрибутов может основываться на внутренних таблицах
для сопоставления логических интерфейсов ФБО с местами расположения терминалов, процессоров и т. д.
Атрибут «группирование» позволяет, в целях управления доступом, ассоциировать единую группу пользова
телей с некоторой операцией. При необходимости, для спецификации максимального числа групп пользовате
лей. пользователей в группе и групп, в которые может одновременно входить пользователь, следует использо вать
операцию уточнения.
Компонент FDP
_
ACF.1 содержит также требования, дающие функциям управления доступом возможность
явно предоставлять или запрещать доступ к объектам на основании атрибутов безопасности. Его можно исполь
зовать для предоставления полномочий, прав доступа или разрешения доступа в пределах ОО. Такие полномо
чия, права или разрешения можно применять к пользователям, субъектам (представляющим пользователей
или приложения) и объектам.
F.2.2.2 Операции
F.2.2.2.1 Назначение
В FDP
_
ACF.1.1 автору ПЗ/ЗБ следует специфицировать имя ПФБ управления доступом, осуществляемой
ФБО. Имя и область действия ПФБ управления доступом определяются в компонентах семейства FDP
_
ACC.
В FDP
_
ACF.1.1 автору ПЗ’ЗБ следует специфицировать атрибуты безопасности и/или именованные группы
атрибутов безопасности, которые функция будет использовать при спецификации правил, для каждого управля
емого субъекта или объекта. Такими атрибутами безопасности могут быть, например идентификатор пользовате ля.
идентификатор субъекта, роль, время суток, местоположение, списки контроля доступа, а также любые другие
атрибуты, специфицированные автором ПЗ/ЗБ. Для удобства ссыпок на атрибуты безопасности неоднократного
применения можно ввести именованные группы атрибутов безопасности. Именованные группы могут оказаться
полезными при ассоциации «ролей», определенных в семействе FMT
_
SMR «Роли управления безопасностью», и
соответствующих им атрибутов с субъектами. Другими словами, каждую роль можно связать с именованной
группой атрибутов.
В FDP
_
ACF.1.2 автору ПЗ,’ЗБ следует специфицировать для данной ПФБ правила управления доступом
контролируемых субъектов к контролируемым объектам и контролируемым операциям на контролируемых объек
тах. Эти правила определяют, когда доступ предоставляется, а когда в нем отказано. В них могут быть специфици
рованы функции управления доступом общего характера (использующие, например обычные биты разрешения)
или структурированные функции управления доступом (использующие, например списки контроля доступа).
В FDP
_
ACF.1.3 автору ПЗ/ЗБ следует специфицировать основанные на атрибутах безопасности правила,
которые будут использоваться для явного разрешения доступа субъектов к объектам и дополняют правила,
установленные в FDP
_
ACF.1.1. Они вынесены в отдельный элемент FDP
_
ACF.1.3, поскольку описывают исключе
ния из правил, установленных в FDP
_
ACF.1.1. Например, правила явного разрешения доступа могут быть основа ны
на векторе полномочий, ассоциированном с субъектом и всегда обеспечивающим ему доступ к объектам, на
которые распространяется специфицируемая ПФБ управления доступом. Если подобная возможность нежела
тельна. то автору ПЗ/ЗБ следует указать «Нет» в данной операции.
В FDP
_
ACF.1.4 автору ПЗ/ЗБ следует специфицировать основанные на атрибутах безопасности правила,
которые будут использоваться для явного отказа в доступе субъектов к объектам и дополняют правила, установ
ленные в FDP
_
ACF.1.1. Они вынесены в отдельный элемент FDP
_
ACF.1.4. поскольку описывают исключения из
правил, установленных в FDP
_
ACF.1.1. Например, правила явного отказа в доступе могут быть основаны на векто ре
полномочий, ассоциированном с субъектом и явно отказывающем ему в доступе к объектам, на которые
распространяется специфицируемая ПФБ управления доступом. Если подобная возможность нежелательна, то
автору ПЗ’ЗБ следует указать «Нет» в данной операции.
112