ГОСТ Р 55768—2013
5.7 Сервисы безопасности
5.7.1 Цели
Далее описываются свойства сервисов безопасности. Обсуждается взаимодействие этих серви
сов с остальными сервисами СОАОГС.
Сервисы безопасности содействуют применению политики, связанной с безопасностью, внутри
(виртуальной) организации.
В общем, целью принудительного применения политики безопасности является обеспечение воз
можностидостижения бизнес-целей высшего уровня. Зачастуюсуществуеточеньтонкий баланс между
повышающейся стоимостью, связанной с возрастающим принудительным применением политики, и
увеличивающимисяпотерямииз-занезащищенности, вызваннойуменьшениемстрогости принудитель
ного применения, когданапотенциальную прибыльилинаграды могут отрицательно повлиятьусложне
ние иотсутствие гибкостистрогих требований политики. Внекоторыхслучаяхзаконодательныеправила и
правовые мандаты соответствуютсвязанной с ними политикой безопасности.
То обстоятельство, что приложения, специфичныедля Грид. могутраспространятьсянанесколько
административныхдоменов, предполагает, что каждый из этихдоменов может иметьсобственные биз
нес-цели. которые передаются на каждый домен раздельно, устанавливая и проводя свои собственные
политики, которые могут существенноотличаться междусобой в правилахи сложности. Все внутренние
взаимодействия, связанныес рабочим потоком в приложениях Грид. должны строгопридерживаться как
локальной политики, проводимойдоменом, таки политик, установленныхдля ВО, т. е. соглашений, при
нятых междуорганизациями.
Длядостижения целей безопасности ассоциаций и бизнеса политика безопасности может, напри
мер. определять принудительные требования к конфиденциальности и целостности сообщений, авто
ризации взаимодействующих объектов, минимальной сложности аутентификации, протоколированию
безопасности иаудиту, разделениюответственности, детектированию вторжений ивыдавливания, про
верке политики авторизации, операциям с минимальными дополнительными привилегиями, механиз
мам контроля основного доступа, механизмам контроля доступа по усмотрению, доверительному и
гарантированномууровню окружения, изоляции приложения.
Архитектурные компоненты безопасности СОАОГС должны поддерживать, интегрировать и уни
фицировать популярные модели безопасности, механизмы, протоколы, платформы и технологии с
целью обеспечения возможности безопасного взаимодействия множества систем. Указанные компо
ненты должны поддерживать интегрирование с существующими архитектурами и моделями безопас
ности между платформами иокружением узлов. Это предполагает, чтоданная архитектура может быть
выражена в терминах любых существующих механизмов безопасности (таких как Kerberos); расширяе
мой.чтобы онамоглаинкорпорироватьновыесервисы безопасности, кактолькоонистанутдоступными; и
моглаинтегрироватьсясужесуществующимисервисами безопасности. Кроме того, сервисы, которые
«проходят сквозь» многиедомены и среды узлов, должны иметь возможность взаимодействовать меж
дусобой, что приводит кнеобходимостиинтероперабельностинамногихуровнях; протоколов, политики
объектов. Вдополнениеопределенные ситуациимогут делатьневозможнымустановлениедоверитель
ныхотношений между наборомсайтов перед выполнением задачи. Известно, чтодомены, участвующие в
Грид. могу иметь различную инфраструктуру безопасности (или Kerberos, или PKI). Таким образом,
существует необходимость реализации требуемых доверительных взаимоотношений посредством
некоторыхформ федеративных объединений механизмовбезопасности.
5.7.2 Свойства
Свойства сервисов безопасности зависят от технологических требований, которые следуют из
проводимой политики.
Пример — Для т о го чтоб ы им еть возм ож ность проводить установленную полити
к
у, не
к
оторы е
уровни сервисов вынуждены с о о тв е т с т в о в а т ь сервисам безопасности,
к
оторы е переходят в та
к
ие
свойства
к
а
к
ма
к
симальная л а те н т н о с ть , время от
к
ли
к
а, д о ступ н о сть и восстановление.
Вомногихслучаяхприменение сервисов безопасностидолжно иметьвозможность получатьнеоб
ходимые свойства посредством использованиядругих сервисов.
Пример — Сервис информации об а тр и б ута х м ож ет использовать сервисы данных для доступа
к
информации в дире
к
тории или базе данных, и он м ож ет использовать свойства отображения данных э ти
х сервисов для достижения желательны х свойств д оступности, требуем ы х для исполнения у с т а
новленной п олити
к
и безопасности.
25