Система определения показателя эффективности управления безопасностью для оптимизации настройки безопасности операционных систем

Полезная модель относится к системам оценки эффективности управления безопасностью операционных систем, реализующих дискреционный контроль доступа, на основе анализа конфигурационных параметров текущей настройки системы.

В основу полезной модели положена задача создания системы определения показателя эффективности управления безопасностью для оптимизации настройки безопасности операционных систем на основе введения составных частей, обеспечивающих анализ текущей конфигурации системы, в результате решения которой получают численное значение показателя эффективности управления безопасностью операционных систем, на основе которого оптимизируют настройку безопасности, что, в конечном итоге, позволяет уменьшить сложность администрирования безопасности операционных систем, сократить количество проблем, связанных со сложностью настройки безопасности операционных систем и тем самым более эффективно обеспечить их информационную безопасность.

1 н.п.ф., 1 илл.

Полезная модель относится к системам оценки эффективности управления безопасностью операционных систем, реализующих дискреционный контроль доступа, на основе анализа конфигурационных параметров текущей настройки безопасности системы.

Известны системы и методы, обеспечивающие безопасность операционных систем и основанные на анализе параметров конфигурации, например, US 2007136578, H04L 9/00, опубл. 2007-06-14, WO 2007021949, G06F 12/14, опубл. 2007-02-22, система и способы обеспечения улучшенной модели безопасности, заявка на изобретение РФ 2005120655, H04L 9/32, опубл. 2006-01-20.

Ни в одном из указанных материалов не содержится системы определения показателя эффективности управления безопасностью операционных систем и его применения для оптимизации настройки безопасности системы.

В основу полезной модели положена задача создания системы определения показателя эффективности управления безопасностью для оптимизации настройки безопасности операционных систем на основе введения составных частей, обеспечивающих анализ текущей конфигурации системы, в результате решения которой получают численное значение показателя эффективности управления безопасностью операционных систем, на основе которого оптимизируют настройку безопасности, что, в конечном итоге, позволяет уменьшить сложность администрирования безопасности операционных систем, сократить количество проблем, связанных со сложностью настройки безопасности операционных систем и тем самым более эффективно обеспечить их информационную безопасность.

Решение этой задачи обеспечивается тем, что в системе определения показателя эффективности управления безопасностью для оптимизации настройки безопасности операционных систем, содержащей блок анализа текущей конфигурации, включающей все учетные записи пользователей, все учетные записи групп пользователей с указанием группового членства, т.е. вхождения учетных записей пользователей и групп в другие учетные записи групп, все полные имена защищаемых информационных объектов операционной системы с указанием иерархической принадлежности, т.е. вхождения объектов в другие объекты-контейнеры (а именно, файлов и каталогов, ключей и разделов реестра с указанием их иерархии), все права доступа, установленные в операционной системе для каждой пары "учетная запись пользователя или группы - информационный объект операционной системы", все привилегии, установленные в операционной системе для каждой учетной записи пользователя и группы, к блоку анализа текущей конфигурации подсоединены блок расчета показателя эффективности управления безопасностью, а также блок управления настройкой безопасности.

Повышение эффективности управления безопасностью операционных систем обеспечивается за счет введения блока расчета показателя эффективности управления безопасности и блока управления настройкой безопасности.

Полезная модель поясняется с помощью фиг.1, на которой приведены составные части системы определения показателя эффективности управления безопасностью для оптимизации настройки безопасности операционных систем, показанные в виде блоков. Система определения показателя эффективности управления безопасностью для оптимизации настройки безопасности операционных систем содержит блок анализа текущей конфигурации 1. К блоку анализа текущей конфигурации 1 подсоединены блок расчета показателя эффективности управления безопасностью 2, а также блок управления настройкой безопасности 3.

Все блоки выполнены программно на базе специализированных регистров процессора.

Система определения показателя эффективности управления безопасностью для оптимизации настройки безопасности операционных систем работает следующим образом.

Блок анализа текущей конфигурации 1 выполняет сбор параметров безопасности операционной системы, входящих в ее текущую конфигурацию, а именно: учетные записи пользователей, все учетные записи групп пользователей с указанием группового членства, т.е. вхождения учетных записей пользователей и групп в другие учетные записи групп, все полные имена защищаемых информационных объектов операционной системы с указанием иерархической принадлежности, т.е. вхождения объектов в другие объекты-контейнеры (а именно, файлов и каталогов, ключей и разделов реестра с указанием их иерархии), все права доступа, установленные в операционной системе для каждой пары "учетная запись пользователя или группы - информационный объект операционной системы", все привилегии, установленные в операционной системе для каждой учетной записи пользователя и группы

Блок расчета показателя эффективности управления безопасностью 2 операционных систем предназначен для подсчета параметров безопасности операционной системы, входящих в ее текущую конфигурацию безопасности, и определения на этой основе числового значения оценки эффективности управления безопасностью операционной системы, которое определяется по формуле , где N_G - количество учетных записей групп пользователей в конфигурации безопасности операционной системы; N_O - количество информационных объектов в конфигурации безопасности операционной системы; |G_i| - мощность группы G_i, т.е. количество учетных записей пользователей, включенных в группу G_i; i - числовой индекс (номер) сквозной нумерации учетных записей групп пользователей в конфигурации безопасности операционной системы, i принимает значения от 1 до N_G; ACE_пр(O_j) - количество прямых записей прав доступа АСЕ объекта О_j (прямые записи прав доступа АСЕ - записи АСЕ, установленные непосредственно на объект, что отличает их от записей прав доступа, унаследованных по иерархии объектов; метка "np" идентифицирует в формуле прямые записи); j - числовой индекс (номер) сквозной нумерации информационных объектов в конфигурации безопасности операционной системы, j принимает значения от 1 до N_O.

Переменные, входящие в формулу, определяются с помощью блока анализа текущей конфигурации 1, в котором осуществляется сбор параметров, и блока расчета показателя эффективности управления безопасностью 2, в котором осуществляется подсчет собранных параметров и расчет показателя. Оба блока предназначены для обработки параметров, влияющих на безопасность операционной системы. Поскольку разграничение доступа в любой операционной системе реализуется путем воздействия на управляемые параметры безопасности с целью создания определенной настройки этих параметров и при этом обязательно участвуют учетные записи пользователей, учетные записи групп пользователей и записи прав доступа, поэтому именно эти составляющие конфигурации выступают индикаторами эффективной настройки безопасности операционной системы и именно они выбраны для расчета показателя эффективности управления безопасностью. Эффективность управления безопасностью отражает сложность настройки системы, рассчитанную на основе таких параметров. Показателем эффективности в предлагаемой полезной модели является среднее количество записей прав доступа АСЕ, установленных для учетных записей пользователей, являющихся членами групп. Таким образом, показатель эффективности S трактуется как среднее количество прямых записей прав доступа АСЕ, поделенное на среднее количество учетных записей членов групп; при этом граничные значения показателя выбираются на основе проведенных экспериментальных исследований. Остальные формулы сгруппированы по управляемым параметрам операционной системы, на которые допустимо воздействие с целью оказания влияния на показатель эффективности и получение более эффективной, и в этом смысле оптимальной, настройки безопасности операционной системы.

При этом в блоке управления настройкой безопасности 3 производится выбор варианта оптимизации настройки безопасности на основе значения показателя эффективности управления безопасностью, полученного в блоке расчета показателя эффективности управления безопасностью 2. В зависимости от значения S определяется необходимость оптимизации настройки безопасности (приведено в таблице, определенной на основе обобщения имеющегося опыта).

Диапазон значений показателя S	Заключение о качестве текущей настройки безопасности системы	Необходимость оптимизации настройки безопасности
S<0,01	Очень высокое	Не требуется
0,01S<0,1	Высокое	Требуется только в случае большого объема системы (порядка 105 объектов)
0,1S<0,5	Среднее	Требуется, кроме случая малого объема системы (до 105 объектов)

Диапазон значений показателя S	Заключение о качестве текущей настройки безопасности системы	Необходимость оптимизации настройки безопасности
0,5S1	Низкое	Требуется независимо от объема системы
S>1	Очень низкое	Требуется немедленно в любом случае

Если оптимизация настройки безопасности операционной системы требуется, то производится проверка следующих критериев выбора воздействия на конфигурационные параметры операционной системы для оптимизации настройки безопасности. Если оптимизация не требуется, то критерии не проверяются и воздействие на конфигурационные параметры операционной системы не производится.

Варианты воздействий на конфигурационные параметры операционной системы для оптимизации настройки безопасности определяются следующими критериями:

Критерий 1. N_U<N _G, где N_U - количество учетных записей пользователей в конфигурации безопасности операционной системы; N_G - количество учетных записей групп пользователей в конфигурации безопасности операционной системы. Заключение о текущей настройке безопасности: избыточное количество учетных записей групп пользователей. Оптимизация настройки безопасности: пересмотреть необходимость учетных записей групп пользователей, удалить лишние и дублирующиеся по смыслу.

Критерий 2. и , где N_U - количество учетных записей пользователей в конфигурации безопасности операционной системы; N_G - количество учетных записей групп пользователей в конфигурации безопасности операционной системы; |G_i| - мощность группы G_i, т.е. количество учетных записей пользователей, включенных в группу G_i; i - числовой индекс (номер) сквозной нумерации учетных записей групп пользователей в конфигурации безопасности операционной системы, i принимает значения от 1 до N_G; N_O - количество информационных объектов в конфигурации безопасности операционной системы, на которые установлены прямые записи прав доступа АСЕ; АСЕ_пр(О _k) - количество прямых записей прав доступа АСЕ объекта О_k (прямые записи прав доступа АСЕ - записи АСЕ, установленные непосредственно на объект, что отличает их от записей прав доступа, унаследованных по иерархии объектов; метка "np" идентифицирует в обозначении АСЕ_пр прямые записи); k - числовой индекс (номер) сквозной нумерации информационных объектов в конфигурации безопасности операционной системы, k принимает значения от 1 до N_O. Заключение о текущей настройке безопасности: недостаточное количество учетных записей групп пользователей. Оптимизация настройки безопасности: создать новые учетные записи групп пользователей и распределить учетные записи пользователей по группам; задавать права доступа на уровне учетных записей групп пользователей.

Критерий 3. , где N_U - количество учетных записей пользователей в конфигурации безопасности операционной системы; N_G - количество учетных записей групп пользователей в конфигурации безопасности операционной системы; |G_i| - мощность группы G_i, т.е. количество учетных записей пользователей, включенных в группу G_i; i - числовой индекс (номер) сквозной нумерации учетных записей групп пользователей в конфигурации безопасности операционной системы, i принимает значения от 1 до N_G; P_d(U_j) - количество привилегий, действующих в конфигурации в отношении учетной записи пользователя U_j (множество действующих привилегий образовано привилегиями, назначенными самой учетной записи пользователя, и привилегиями всех учетных записей групп, членом которых назначена в конфигурации учетная запись данного пользователя). Заключение о текущей настройке безопасности: практически не используются или недостаточно используются привилегии. Оптимизация настройки безопасности: использовать в настройке привилегии; установить, какие права доступа могут быть заменены привилегиями, и заменить их.

Критерий 4. . Данное условие проверяется отдельно для каждой учетной записи пользователя U_x и учетной записи группы G _y, где x и y - числовые индексы (номера) сквозной нумерации учетных записей пользователей и учетных записей групп пользователей, соответственно, в конфигурации безопасности операционной системы; x принимает значения от 1 до N_U, а y принимает значения от 1 до N_G; N_U - количество учетных записей пользователей в конфигурации безопасности операционной системы; N_G - количество учетных записей групп пользователей в конфигурации безопасности операционной системы; N_O - количество информационных объектов в конфигурации безопасности операционной системы, на которые установлены прямые записи прав доступа АСЕ; ACE_пр(U_x|G_y, О _j) - количество прямых записей АСЕ, установленных учетной записи пользователя U_x или группы G_y на объект О_j (символ I обозначает связку "ИЛИ"), j - числовой индекс (номер) сквозной нумерации информационных объектов, на которые установлены прямые записи прав доступа АСЕ в конфигурации безопасности операционной системы, j принимает значения от 1 до N_O; P_d(U_x|G _y, О_k) - количество привилегий, действующих в конфигурации в отношении учетной записи пользователя U _x или учетной записи группы G_y (символ I обозначает связку "ИЛИ") на объект О_k и разрешения которых дублируются правами доступа на объект О_k, k - числовой индекс (номер) сквозной нумерации информационных объектов, на которые установлены прямые записи прав доступа АСЕ в конфигурации безопасности операционной системы, k принимает значения от 1 до N_O. Заключение о текущей настройке безопасности: избыточное количество записей АСЕ, дублирующих привилегии. Оптимизация настройки безопасности: удалить записи АСЕ, дублирующие привилегии; в дальнейшем не создавать дублирующие АСЕ, а использовать привилегии.

Критерий 5. , где N_O - количество информационных объектов в конфигурации безопасности операционной системы; D(O_i ) - глубина вложенности объекта O_i, т.е. количество его объектов-контейнеров; АСЕ(О_k) - общее количество записей прав доступа АСЕ, установленных на объект О_k ; ACE_np(O_j) - количество прямых записей прав доступа АСЕ, установленных на объект О_j, i, k, j - числовые индексы (номера) сквозной нумерации информационных объектов в конфигурации безопасности операционной системы, i, k, j принимают значения от 1 до N_O. Заключение о текущей настройке безопасности: недостаточно используется механизм наследования прав доступа, избыточное количество прямых прав. Оптимизация настройки безопасности: заменить прямые права, установленные на файлы и каталоги наследованием прав от родительских каталогов.

Критерий 6. , где N_O - количество информационных объектов в конфигурации безопасности операционной системы; D(O_i ) - глубина вложенности объекта О_i, т.е. количество его объектов-контейнеров; i - числовой индекс (номер) сквозной нумерации информационных объектов в конфигурации безопасности операционной системы, i принимает значение от 1 до N_O ; N_F - общее количество объектов, которые не имеют вложенных объектов в конфигурации системы; N_K - общее количество объектов-контейнеров, имеющих вложенные объекты в конфигурации системы. Заключение о текущей настройке безопасности: неэффективная структура каталогов. Оптимизация настройки безопасности: изменить структуру каталогов: уменьшить глубину вложенности информационных объектов и сократить число объектов-контейнеров.

Пояснение предлагаемой полезной модели приведем на примере.

1. Производят расчет показателя эффективности управления безопасностью S для операционной системы Windows.

Например, для системы, в текущей конфигурации которой:

N_U - количество пользователей = 8;

N_G - количество групп пользователей = 11;

N_F - количество файлов = 62321;

N _K - количество каталогов = 4140;

- количество записей прав доступа АСЕ, установленных на объекты, = 262975;

- количество прямых записей прав доступа АСЕ = 10904;

N_O - общее количество информационных объектов (в данном случае файлов и каталогов) = 66461;

- количество объектов, на которые установлены прямые записи прав доступа АСЕ = 5502;

- количество учетных записей пользователей, являющихся членами групп = 10;

- количество привилегий = 15;

(Администраторы, O_j) - количество прямых записей прав доступа АСЕ, установленных для учетной записи группы Администраторы, = 5401;

(Администраторы, О_k) - количество замещений разрешающих записей АСЕ действующими привилегиями, заданными в системе для учетной записи группы Администраторы, = 66506,

- количество объектов-контейнеров (каталогов) = 409462,

значение показателя эффективности управления безопасностью в данном случае получают равным .

2. Анализируют таблицу диапазонов показателя эффективности управления безопасностью. Определяют необходимость оптимизации настройки безопасности на основе рассчитанного значения показателя эффективности управления безопасностью. Поскольку значение S принадлежит интервалу 0,1S<0,5, то делают вывод о среднем качестве настройки и заключают, что в такой системе необходимо выполнить оптимизацию текущей настройки безопасности.

3. Поскольку оптимизация текущей настройки безопасности требуется, то выполняют проверку критериев и определяют необходимые воздействия на конфигурационные параметры операционной системы, указанные для соответствующих критериев.

Критерий 1 выполняется, т.к. N _U<N_G (8<11), что соответствует условию срабатывания. Критерий выполняется, что свидетельствует об избытке учетных записей групп пользователей. Необходимо пересмотреть необходимость учетных записей групп пользователей, удалить излишние и дублирующиеся по смыслу.

Критерий 2 не выполняется, т.к. (8/11<10/11), что не соответствует условию срабатывания.

Критерий 3 выполняется, т.к. (15<10+11), что соответствует условию срабатывания, что свидетельствует о недостаточности использования привилегий. Рекомендуется больше использовать механизм привилегий; установить, какие права доступа могут быть заменены привилегиями, и заменить их.

Критерий 4 выполняется, например, для учетной записи группы Администраторы, т.к. (5401<66506), что соответствует условию срабатывания и что свидетельствует об избытке записей прав доступа АСЕ, дублирующих привилегии. Необходимо удалить записи АСЕ, дублирующие привилегии, и в дальнейшем не создавать дублирующие АСЕ, а использовать механизм привилегий.

Критерий 5 не выполняется, т.к. (409462/66461=6.16<24.12=262975/10904), что не соответствует условию срабатывания.

Критерий 6 не выполняется, т.к. (409462/66461=6,16<15,05=62321/4140), что не соответствует условию срабатывания.

Технический результат: система определения показателя эффективности управления безопасностью для оптимизации настройки безопасности операционных систем основана на использовании конфигурируемых (управляемых) параметров безопасности операционных систем, составляющих настройку безопасности, и на введении адекватного критерия оценки эффективности управления безопасностью, что обеспечивает повышение эффективности управления и оптимального использования механизмов безопасности операционных систем.

Система определения показателя эффективности управления безопасностью для оптимизации настройки безопасности операционных систем, содержащая блок анализа текущей конфигурации, отличающаяся тем, что к блоку анализа текущей конфигурации подсоединены блок расчета показателя эффективности управления безопасностью и блок управления настройкой безопасности.