Модулийн нэр: mac_mls.ko
Цөмийн тохиргооны мөр:
options MAC_MLS
Ачаалалтын тохируулга: mac_mls_load="YES"
mac_mls(4) бодлого нь систем дэх субьектууд болон обьектуудын хоорондын хандалтыг мэдээллийн урсгалын чанд бодлогын тусламжтайгаар хянаж хэрэгжүүлдэг.
MLS орчнуудад «clearance» буюу цэвэрлэгээ түвшин нь субьект болон обьектуудын хаяг/шошгонд тасалгаануудын цуг тохируулагддаг. Эдгээр цэвэрлэгээ буюу мэдрэхүйн түвшингүүд нь зургаан мянгаас их тоонд хүрч болох учир ямар ч администраторын хувьд субьект эсвэл обьект бүрийг нарийн тохируулах нь сүрдмээр ажил байдаг. Харин үүнийг хөнгөвчлөх гурван ширхэг «хормын» хаяг/шошго энэ бодлогод орсон байдаг.
Эдгээр хаяг/шошгонууд нь mls/low
,
mls/equal
болон mls/high
юм. Эдгээр хаяг/шошгонууд нь гарын авлагын хуудсанд дэлгэрэнгүй
тайлбарлагдсан болохоор энд зөвхөн товчхон тайлбарлая:
mls/low
хаяг/шошго нь доод тохиргоог агуулдаг
бөгөөд энэ нь түүнийг бусад бүх обьектуудаар захируулахыг зөвшөөрдөг.
mls/low
-ээр хаяглагдсан болгон доод цэвэрлэгээний
түвшинтэй байх бөгөөд өндөр түвшний мэдээлэлд хандах нь зөвшөөрөгдөөгүй
байх болно. Мөн энэ хаяг/шошго нь цэвэрлэгээний өндөр түвшингийн обьектуудад
бичих эсвэл тэдгээрт мэдээлэл дамжуулахаас сэргийлдэг.
mls/equal
хаяг/шошго энэ бодлогоос чөлөөлөгдөхөөр
болсон обьектуудад тавигдах ёстой.
mls/high
хаяг/шошго нь цэвэрлэгээний боломжит
хамгийн өндөр түвшин юм. Энэ хаяг/шошгыг заасан обьектууд систем дэх
бусад бүх обьектуудаас давуу эрхтэй байх бөгөөд гэхдээ тэдгээр нь доод
ангиллын обьектуудад мэдээлэл алдагдахыг зөвшөөрөхгүй
байх болно.
MLS дараах боломжуудыг олгодог:
Шатлаагүй зэрэглэлүүдийн олонлогтой аюулгүй байдлын шаталсан түвшин;
Тогтмол дүрмүүд: дээш уншихгүй, доош бичихгүй (субьект нь өөрөөсөө дээд түвшинд биш зөвхөн өөрийн түвшний болон доод түвшний обьектуудад унших хандалттай байж болно. Үүнтэй адилаар субьект нь өөрөөсөө доод түвшинд биш зөвхөн өөрийн түвшний болон дээд түвшний обьектуудад бичих хандалттай байж болно.);
Нууцлаг байдал (өгөгдлийн зохисгүй ил болголтоос сэргийлэх);
Мэдрэмжийн олон түвшингүүдэд өгөгдөлтэй зэрэгцээгээр ажиллах системүүдийн дизайны үндэс (нууц болон итгэмжлэгдсэн мэдээллийн хооронд мэдээлэл алдахгүйгээр).
Тусгай төхөөрөмжүүд болон интерфэйсүүдийн хувьд дараах
sysctl
-ийн тааруулах боломжтой
хувьсагчууд байдаг:
security.mac.mls.enabled
нь
MLS бодлогыг нээх/хаахад хэрэглэгддэг.
security.mac.mls.ptys_equal
нь
бүх pty(4) төхөөрөмжүүдийг үүсгэлтийнх нь үеэр
mls/equal
гэж хаяглана.
security.mac.mls.revocation_enabled
нь
обьектуудын хаяг/шошго доод зэргийнх уруу болж өөрчлөгдсөний дараа
тэдгээрт хандах хандалтыг цуцлахад хэрэглэгддэг.
security.mac.mls.max_compartments
нь
обьектуудад хамгийн их тооны тасалгааны түвшингүүдийг тохируулахад
хэрэглэгддэг; үндсэндээ системд зөвшөөрөгдсөн тасалгааны хамгийн их
дугаар байна.
MLS хаяг/шошгонуудтай ажиллахын тулд setfmac(8) байдаг. Обьектод хаяг/шошгыг олгохын тулд дараах тушаалыг ажиллуулна:
#
setfmac mls/5 test
test
файлын хувьд MLS
хаяг/шошгыг авахын тулд дараах тушаалыг ажиллуулна:
#
getfmac test
Энэ нь MLS бодлогын боломжуудын товч
дүгнэлт юм. Өөр нэг хандлага нь MLS
бодлогын мэдээллийг тохируулах мастер бодлогын файлыг
/etc
санд үүсгэж
тэр файлыг setfmac
тушаалд өгөх явдал
юм. Энэ аргыг бүх бодлогуудыг авч үзсэнийхээ дараа тайлбарлах
болно.
Олон түвшинт аюулгүй байдлын бодлогын модулиар администратор эмзэг мэдээллийн урсгалыг хянахын тулд төлөвлөдөг. Анхдагчаар өөрийн блок дээш унших, блок доош бичих мөн чанараараа систем бүгдийг доод төлөвт болгодог. Бүгд хандах боломжтой байх бөгөөд администратор тохиргооны явцад аажмаар үүнийг мэдээллийн итгэмжлэгдсэн байдлыг нэмэгдүүлэн өөрчилдөг.
Дээрх гурван үндсэн хаяг/шошгоноос гадна администратор
хэрэглэгчид болон бүлгүүдийг шаардлагын дагуу тэдгээрийн
хооронд мэдээллийн урсгалыг хаахаар бүлэглэж болно.
Цэвэрлэгээний түвшингүүдэд мэдээллийг танигдсан үгсээр хайх нь
амар байж болох бөгөөд жишээ нь Confidential
,
Secret
, болон Top Secret
гэх зэрэг ангиллууд байж болох юм. Зарим администраторууд
төслийн түвшингүүд дээр үндэслэн өөр бүлгүүдийг үүсгэж
болох юм. Ангиллын аргаас үл хамааран ийм хязгаарласан бодлогыг хийхээс
өмнө сайн бодож гаргасан төлөвлөгөө байж байх ёстой.
Энэ аюулгүй байдлын бодлогын модулийн хувьд зарим жишээ тохиолдлууд гэх юм бол e-commerce вэб сервер, компанийн чухал мэдээлэл болон санхүүгийн байгууллагын орчнуудыг агуулсан файл сервер байж болох юм. Хамгийн үнэмшилгүй газар бол зөвхөн хоёр, гуравхан хэрэглэгчтэй ажлын станц байх юм.
Энэ болон бусад баримтуудыг ftp://ftp.FreeBSD.org/pub/FreeBSD/doc/ хаягаас татаж авч болно.
FreeBSD-ийн талаар
<questions@FreeBSD.org>
хаягтай холбоо барихаасаа өмнө
баримтыг уншина уу.
Энэ бичиг баримттай холбоотой асуулт байвал
<doc@FreeBSD.org>
хаягаар цахим захидал явуулна уу.
Энэ бичиг баримтын орчуулгатай холбоотой асуулт байвал
<admin@mnbsd.org>
хаягаар цахим захидал явуулна уу.