أمن متعدد المستويات

الموسوعة الحرة

الأمن متعدد المستويات أو مستويات متعددة من الأمن ( MLS ) هو تطبيق نظام الكمبيوتر لمعالجة المعلومات ذات التصنيفات غير المتوافقة (أي على مستويات أمنية مختلفة)، والسماح بالوصول من قبل المستخدمين ذوي التصاريح الأمنية المختلفة واحتياجات المعرفة ، ومنع المستخدمين من الوصول إلى المعلومات التي يفتقرون إلى تصريح بها.

يُستخدم مفهوم الأمن متعدد المستويات في سياقين. الأول يشير إلى نظام قادر على حماية نفسه من التخريب، ويمتلك آليات قوية لفصل مجالات المعلومات، أي أنه جدير بالثقة. أما السياق الثاني فيشير إلى تطبيق حاسوبي يتطلب أن يكون الحاسوب قويًا بما يكفي لحماية نفسه من التخريب، وأن يمتلك آليات مناسبة لفصل مجالات المعلومات، أي أنه نظام يجب أن نثق به. هذا التمييز مهم لأن الأنظمة التي تتطلب الثقة ليست بالضرورة جديرة بالثقة.

أنظمة تشغيل موثوقة

غالبًا ما تتطلب بيئة تشغيل MLS نظام معالجة معلومات عالي الموثوقية، يُبنى عادةً على نظام تشغيل MLS ، ولكن ليس بالضرورة. يمكن دعم معظم وظائف MLS بواسطة نظام مُكوّن بالكامل من أجهزة كمبيوتر غير موثوقة، على الرغم من أنه يتطلب أجهزة كمبيوتر مستقلة متعددة مرتبطة بقنوات متوافقة مع معايير أمان الأجهزة (انظر القسم B.6.2 من تفسير الشبكة الموثوقة، NCSC-TG-005 ). ومن أمثلة MLS المُطبّقة بواسطة الأجهزة العزل غير المتماثل . [ 1 ] إذا كان أحد أجهزة الكمبيوتر يُستخدم في وضع MLS، فيجب أن يستخدم هذا الجهاز نظام تشغيل موثوقًا. ولأن جميع المعلومات في بيئة MLS يمكن الوصول إليها فعليًا بواسطة نظام التشغيل، فلا بد من وجود ضوابط منطقية قوية لضمان التحكم الصارم في الوصول إلى المعلومات. يتضمن هذا عادةً التحكم الإلزامي في الوصول باستخدام تصنيفات الأمان، مثل نموذج بيل-لابادولا .

عادةً ما يشترط العملاء الذين يستخدمون أنظمة تشغيل موثوقة خضوع المنتج لتقييم أمني رسمي. ويكون التقييم أكثر صرامةً لنطاق أمني أوسع، يشمل أدنى وأعلى مستويات التصنيف التي يمكن للنظام معالجتها. وكانت معايير تقييم أنظمة الحاسوب الموثوقة (TCSEC) أول معايير تقييم وُضعت لتقييم أنظمة إدارة المعلومات متعددة المستويات (MLS) في أنظمة الحاسوب. وبموجب هذه المعايير، وُجد ربط موحد وواضح [ 2 ] بين المتطلبات الأمنية ونطاق أمان أنظمة إدارة المعلومات متعددة المستويات. تاريخيًا، لم تُعتمد سوى تطبيقات قليلة قادرة على معالجة أنظمة إدارة المعلومات متعددة المستويات بنطاق أمني يتراوح من غير مصنف إلى سري للغاية. ومن بينها نظام SCOMP من شركة هانيويل ، ونظام SACDIN التابع للقوات الجوية الأمريكية ، ونظام Blacker التابع لوكالة الأمن القومي، ونظام MLS LAN من شركة بوينغ ، وجميعها خاضعة لمعايير TCSEC، وهي أنظمة تعود إلى ثمانينيات القرن الماضي وتعتمد على معالج Intel 80386. حاليًا، تُقيّم منتجات أنظمة إدارة المعلومات متعددة المستويات وفقًا لمعايير التقييم المشتركة (Common Criteria ). في أواخر عام ٢٠٠٨، حصل أول نظام تشغيل (المزيد أدناه) على شهادة مستوى ضمان تقييمي عالٍ: مستوى ضمان التقييم (EAL) - EAL 6+ / متانة عالية، وذلك ضمن برنامج حكومي أمريكي يتطلب أمنًا متعدد المستويات في بيئة عالية التهديد. وبينما يتشابه مستوى الضمان هذا مع مستوى ضمان الكتاب البرتقالي A1 القديم (مثل الأساليب الرسمية)، فإن المتطلبات الوظيفية تركز على سياسات العزل الأساسية وتدفق المعلومات بدلاً من سياسات المستوى الأعلى مثل Bell-La Padula. ونظرًا لأن المعايير المشتركة فصلت بين ضمان الجودة (EAL) والوظائف (ملف تعريف الحماية) في TCSEC، فقد فُقد إلى حد كبير الربط الموحد والواضح بين متطلبات الأمان وقدرات نطاق أمان MLS الموثقة في CSC-STD-004-85 عندما حلت المعايير المشتركة محل سلسلة Rainbow .

تتضمن أنظمة التشغيل المجانية المتاحة والتي تدعم بعض الميزات نظام لينكس مع تفعيل ميزة لينكس المحسّن أمنيًا، ونظام فري بي إس دي . [ 3 ] كان يُعتقد سابقًا أن تقييم الأمان يمثل مشكلة لهذه التطبيقات المجانية لنظام لينكس المحسّن أمنيًا لثلاثة أسباب:

  1. من الصعب دائمًا تنفيذ استراتيجية الحماية الذاتية للنواة بالدقة المطلوبة لثقة MLS، وهذه الأمثلة لم يتم تصميمها أو اعتمادها وفقًا لملف تعريف حماية MLS، لذلك قد لا توفر الحماية الذاتية اللازمة لدعم MLS.
  2. وبصرف النظر عن مستويات EAL، فإن المعايير المشتركة تفتقر إلى قائمة بملفات تعريف الحماية عالية التأكيد المناسبة التي تحدد المتانة اللازمة للعمل في وضع MLS.
  3. حتى لو تم استيفاء الشرطين (1) و (2)، فإن عملية التقييم مكلفة للغاية وتفرض قيودًا خاصة على التحكم في تكوين البرامج التي تم تقييمها.

على الرغم من هذه الافتراضات، فقد تم اعتماد Red Hat Enterprise Linux 5 وفقًا لمعايير LSPP وRBACPP وCAPP في EAL4+ في يونيو 2007. [ 4 ] يستخدم نظام التشغيل Security-Enhanced Linux لتنفيذ MLS وكان أول شهادة Common Criteria لفرض خصائص أمان TOE مع Security-Enhanced Linux.

قد تكون استراتيجيات اعتماد الموردين مُضللة لغير المتخصصين. تستغل إحدى الاستراتيجيات الشائعة تركيز غير المتخصصين المفرط على مستوى EAL من خلال منح شهادات زائدة، مثل اعتماد ملف تعريف حماية EAL 3 (مثل CAPP) [ 5 ] لمستويات أعلى، مثل EAL 4 أو EAL 5. وتتمثل استراتيجية أخرى في إضافة ميزات دعم MLS (مثل ملف تعريف حماية التحكم في الوصول القائم على الأدوار (RBACPP) وملف تعريف حماية الأمان المُصنّف (LSPP)) واعتمادها لنواة نظام لم يتم تقييمها وفقًا لملف تعريف حماية يدعم MLS. هذه الميزات عبارة عن خدمات تعمل على النواة وتعتمد عليها لحمايتها من التلف والتخريب. إذا لم يتم تقييم النواة وفقًا لملف تعريف حماية يدعم MLS، فلا يمكن الوثوق بميزات MLS مهما بدت العروض التوضيحية مُبهرة. ومن الجدير بالذكر أن CAPP ليس ملف تعريف يدعم MLS تحديدًا، لأنه يستبعد تحديدًا إمكانيات الحماية الذاتية الضرورية لـ MLS.

تقدم شركة جنرال داينامكس نظام التشغيل PitBull ، وهو نظام تشغيل موثوق به متعدد المستويات. يتوفر PitBull حاليًا كنسخة محسّنة من Red Hat Enterprise Linux فقط ، ولكن كانت هناك إصدارات سابقة منه لأنظمة Sun Microsystems Solaris و IBM AIX وSVR4 Unix. يوفر PitBull آلية أمان Bell LaPadula ، وآلية تكامل Biba ، واستبدالًا لصلاحيات المستخدم المتميز ، والعديد من الميزات الأخرى. يشكل PitBull الأساس الأمني ​​لمنتج بيئة الشبكة الموثوقة (TNE) من جنرال داينامكس منذ عام 2009. تُمكّن TNE من تبادل المعلومات والوصول إليها على مستويات متعددة للمستخدمين في وزارة الدفاع ومجتمعات الاستخبارات الذين يعملون بمستويات تصنيف مختلفة. كما أنها الأساس لبيئة مشاركة التحالفات متعددة المستويات، وهي نظام جمع واستغلال معلومات ساحة المعركة الموسّع [ 6 ] (BICES-X).

تقدم شركة صن مايكروسيستمز ، المعروفة الآن باسم أوراكل ، ميزة "ملحقات سولاريس الموثوقة" كميزة مدمجة في نظامي التشغيل التجاريين سولاريس وأوبن سولاريس . بالإضافة إلى ملف تعريف حماية الوصول المُتحكم به (CAPP) وملفات تعريف حماية التحكم في الوصول القائم على الأدوار (RBAC)، حصلت "ملحقات سولاريس الموثوقة" أيضًا على شهادة EAL4 لملف تعريف حماية الأمان المُصنف (LSPP). [ 7 ] يشمل الهدف الأمني ​​وظائف سطح المكتب والشبكة. ينص LSPP على عدم السماح للمستخدمين بتجاوز سياسات التصنيف التي يفرضها نظام التشغيل ونظام X Window (خادم X11). لا يشمل التقييم تحليل القنوات السرية . ولأن هذه الشهادات تعتمد على CAPP، فإن عدم وجود شهادات من المعايير المشتركة يشير إلى أن هذا المنتج جدير بالثقة لأنظمة إدارة الخوادم المتعددة (MLS).

تقدم شركة BAE Systems نظام XTS-400 التجاري، الذي يدعم تقنية MLS بمستوى عالٍ من الموثوقية، وفقًا لبيانات الشركة. وقد خضعت المنتجات السابقة (بما فيها XTS-300) للتقييم وفقًا لمعيار TCSEC B3، وهو مستوى يدعم تقنية MLS. أما نظام XTS-400، فقد خضع للتقييم وفقًا لمعايير Common Criteria عند مستوى EAL5+، وذلك باستخدام ملفي الحماية CAPP وLSPP. يُذكر أن CAPP وLSPP هما ملفا حماية من مستوى EAL3، ولا يدعمان تقنية MLS بشكل أساسي، إلا أن الهدف الأمني ​​[ 8 ] لتقييم Common Criteria لهذا المنتج يتضمن مجموعة مُحسّنة من وظائف الأمان التي توفر إمكانية استخدام تقنية MLS.

مناطق المشاكل

تُعدّ عملية تطهير البيانات مشكلةً في أنظمة إدارة المعلومات الأمنية. فالأنظمة التي تُطبّق قيودًا على هذه الأنظمة، كتلك المُحدّدة في نموذج بيل-لابادولا ، لا تسمح بالمشاركة إلا إذا كان من الواضح أنها لا تُخالف القيود الأمنية. يستطيع المستخدمون ذوو التصاريح الأمنية الأقل مشاركة أعمالهم بسهولة مع المستخدمين ذوي التصاريح الأعلى، ولكن ليس العكس. لا توجد آلية فعّالة وموثوقة تُمكّن مستخدمًا مُصرّحًا له بتصنيف "سري للغاية" من تعديل ملف "سري للغاية"، وإزالة جميع المعلومات السرية للغاية، ثم تسليمه إلى مستخدمين ذوي تصاريح أمنية "سري" أو أقل. عمليًا، تتجاوز أنظمة إدارة المعلومات الأمنية هذه المشكلة عبر وظائف مُميّزة تسمح لمستخدم موثوق بتجاوز آلية إدارة المعلومات الأمنية وتغيير التصنيف الأمني ​​للملف. مع ذلك، فإن هذه التقنية غير موثوقة.

تُشكّل القنوات السرية مشكلة أخرى لأنظمة MLS. لكي يحافظ نظام MLS على سرية المعلومات بشكل كامل، يجب ألا يكون هناك أي سبيل لعملية سرية للغاية لنقل أي نوع من الإشارات إلى عملية سرية أو أدنى منها. يشمل ذلك الآثار الجانبية مثل التغييرات في الذاكرة أو مساحة القرص المتاحة، أو التغييرات في توقيت العملية. عندما تستغل عملية ما مثل هذا الأثر الجانبي لنقل البيانات، فإنها تستغل قناة سرية. من الصعب للغاية إغلاق جميع القنوات السرية في نظام حاسوبي عملي، وقد يكون ذلك مستحيلاً عملياً. تُعدّ عملية تحديد جميع القنوات السرية بحد ذاتها عملية معقدة. لا تحاول معظم أنظمة MLS المتوفرة تجارياً إغلاق جميع القنوات السرية، على الرغم من أن هذا يجعل استخدامها غير عملي في التطبيقات عالية الأمان.

تُشكّل آلية التجاوز مشكلةً عند استخدامها كوسيلة للتعامل مع عنصر عالي الأمان في النظام كما لو كان موثوقًا به من قِبل نظام أمان متعدد المستويات (MLS). ومن الأمثلة الشائعة على ذلك استخراج البيانات من عنصر سري عالي الأمان في النظام لإرسالها إلى وجهة غير مصنفة، مع الاستشهاد بإحدى خصائص البيانات كدليل موثوق على أنها غير مصنفة "فعليًا" (مثل "التنسيق الصارم"). لا يمكن الوثوق بنظام عالي الأمان في الحفاظ على أي دليل موثوق، والنتيجة هي فتح مسار بيانات علني دون وجود طريقة منطقية لتأمينه. قد يكون التجاوز محفوفًا بالمخاطر لأنه، على عكس قنوات الاختراق السرية ذات النطاق الترددي الضيق التي يصعب استغلالها، يمكن أن يُشكّل التجاوز ثغرة كبيرة وعلنية في النظام يسهل استغلالها. غالبًا ما ينشأ التجاوز نتيجةً لعدم استخدام بيئات تشغيل موثوقة للحفاظ على فصل مستمر لمجالات الأمان وصولًا إلى مصدرها. عندما يقع هذا المصدر خارج حدود النظام، قد لا يكون من الممكن التحقق من صحة الفصل الموثوق به وصولًا إلى المصدر. في هذه الحالة، قد يكون خطر التجاوز حتميًا إذا كان تدفق البيانات ضروريًا بالفعل.

من الأمثلة الشائعة على التجاوز الحتمي، نظامٌ مُستهدفٌ مُلزمٌ باستقبال حزم بيانات IP سرية من مصدر غير موثوق، وتشفير بيانات المستخدم السرية دون تشفير رأس الحزمة، ثم إرسالها إلى شبكة غير موثوقة. يقع المصدر خارج نطاق سيطرة النظام المُستهدف. ورغم أن المصدر غير موثوق (على سبيل المثال، مستوى أمان النظام عالٍ)، إلا أنه يُعامل كما لو كان نظام MLS لأنه يُوفر حزمًا ذات رؤوس غير مُصنفة وبيانات مستخدم سرية بنص عادي، وهو ما يُعرف ببنية بيانات MLS. ولأن المصدر غير موثوق، فقد يكون تالفًا ويُخفي أسرارًا في رأس الحزمة غير المُصنفة. قد تكون رؤوس الحزم التالفة غير مفهومة، لكن يستحيل على النظام المُستهدف تحديد ذلك بدقة معقولة. بيانات المستخدم محمية تشفيرًا بشكل جيد، لكن رأس الحزمة قد يحتوي على أسرار قابلة للقراءة. إذا مرر النظام المُستهدف الحزم التالفة إلى شبكة غير موثوقة، فقد لا تكون قابلة للتوجيه، لكن قد تتمكن عملية تالفة أخرى في الشبكة من التقاط الحزم وتأكيد استلامها، وقد لا يكتشف النظام المُستهدف التسريب. قد يُمثل هذا تسريبًا كبيرًا وواضحًا يصعب اكتشافه. إن اعتبار الحزم المصنفة ذات الرؤوس غير المصنفة بمثابة هياكل عالية المستوى في النظام، بدلًا من كونها هياكل MLS حقيقية، يُشكل تهديدًا شائعًا ولكنه خطير للغاية.

يمكن تجنب معظم عمليات الاختراق. غالبًا ما ينتج الاختراق الذي يمكن تجنبه عندما يصمم مهندسو الأنظمة نظامًا قبل مراعاة الأمن بشكل صحيح، ثم يحاولون تطبيق الأمن لاحقًا كوظائف إضافية. في هذه الحالة، يبدو الاختراق هو الطريقة الوحيدة (والسهلة) لجعل النظام يعمل. تُقترح بعض المخططات شبه الآمنة (وتُعتمد!) التي تفحص محتويات البيانات المخترقة في محاولة عبثية للتأكد من خلوها من أي أسرار. هذا غير ممكن دون الثقة في شيء ما يتعلق بالبيانات، مثل تنسيقها، وهو ما يتعارض مع افتراض عدم الثقة في المصدر للحفاظ على أي خصائص لبيانات المصدر. إن "الاختراق الآمن" المضمون هو مجرد خرافة، تمامًا مثل ما يُسمى بـ" حارس عالي الموثوقية " (HAG) الذي يُنفذ الاختراق بشفافية. لقد تم الاعتراف منذ فترة طويلة بالمخاطر التي تُسببها هذه الحلول؛ فالحلول الحالية هي في النهاية إجرائية وليست تقنية. لا توجد طريقة لمعرفة كمية المعلومات السرية التي تُؤخذ من أنظمتنا عن طريق استغلال الاختراق على وجه اليقين.

نقاش: "لا يوجد شيء اسمه MLS"

يصمم بعض غير المتخصصين أنظمة حوسبة آمنة، ويستنتجون أن مفهوم MLS غير موجود. قد يُعزى ذلك إلى انخفاض عدد خبراء أمن الحاسوب [ 9 ] ، وإلى أن مصطلح MLS أصبح يُستخدم بمعنيين مختلفين: MLS كبيئة معالجة، وMLS كقدرة. يستند الاعتقاد بعدم وجود MLS إلى عدم وجود منتجات معتمدة للعمل في بيئة أو نمط MLS، وبالتالي فإن MLS كقدرة غير موجودة. لا يستلزم أحدهما الآخر. تعمل العديد من الأنظمة في بيئة تحتوي على بيانات ذات مستويات أمان متفاوتة، وبالتالي تُصنف ضمن MLS وفقًا لنظرية القيمة المتوسطة لأمن الحاسوب (CS-IVT) [ 10 ] . ويتفاقم هذا الالتباس، إذ أن أنظمة التشغيل وقواعد البيانات والشبكات المعتمدة من وكالة الأمن القومي الأمريكية (NSA) والمتوافقة مع MLS موجودة بالفعل في وضع التشغيل منذ سبعينيات القرن الماضي، وما زالت منتجات MLS تُصنع وتُسوّق وتُنشر.

كثيرًا ما يستنتج غير المتخصصين أن الاعتراف بأن نظامًا ما يعمل في بيئة MLS (بمعنى MLS الذي يركز على البيئة) يعني الوقوع في مأزق المشكلة، حيث يُنظر إليها على أنها مشكلة بلا حلول MLS (بمعنى MLS الذي يركز على القدرات). إن MLS معقد بشكل خادع، ومجرد عدم وضوح الحلول البسيطة لا يُبرر استنتاج عدم وجودها. قد يؤدي هذا إلى جهلٍ مُعيق بأمن الحاسوب، يتجلى في همساتٍ مثل "لا يُمكن الحديث عن MLS" و"لا وجود لشيء اسمه MLS". تتغير هذه الحجج المُنكرة لـ MLS بسرعةٍ كبيرةٍ يصعب معها معالجتها. لذا، من المهم توضيح الفرق بين بيئة MLS وقدرات MLS.

  • نظام MLS كبيئة أمنية أو نمط أمني : قد ينظر مجتمعٌ ذو مستخدمين ذوي تصاريح أمنية متفاوتة إلى نظام MLS على أنه آلية لتبادل البيانات ، حيث يمكن للمستخدمين مشاركة المعلومات مع متلقين تسمح تصاريحهم الأمنية باستلامها. يعمل النظام في نمط MLS عندما يكون لديه (أو يمكن أن يكون لديه) اتصال بوجهة ذات مستوى أمني أدنى من أي بيانات يحتويها النظام. هذا مُحددٌ في معيار CS-IVT. يعتمد تحديد النمط الأمني ​​للنظام كليًا على بيئته الأمنية، وتصنيف البيانات التي يحتويها، وتصاريح الوصول المباشر أو غير المباشر إلى النظام أو مخرجاته أو إشاراته، بالإضافة إلى اتصال النظام ومنافذه بالأنظمة الأخرى. النمط الأمني ​​مستقل عن الإمكانيات، مع ذلك، لا ينبغي تشغيل النظام في نمط لا يستحق الثقة فيه.
  • نظام إدارة المحتوى كخاصية : يميل مطورو المنتجات أو الأنظمة المصممة للسماح بمشاركة بيانات نظام إدارة المحتوى إلى اعتباره بشكل عام قدرةً على فرض قيود على مشاركة البيانات أو سياسة أمنية، مثل الآليات التي تطبق نموذج بيل-لابادولا . يُعتبر النظام قادرًا على إدارة المحتوى إذا أمكن إثبات قدرته على تطبيق سياسة أمنية بشكل فعّال.

كان الاستخدام الأصلي لمصطلح MLS يشير إلى بيئة أو نمط الأمان. ولحل هذا الالتباس، يُنصح بالاحتفاظ بالتعريف الأصلي لـ MLS وتحديد ما إذا كان النظام يدعم MLS عند استخدامه في هذا السياق.

هندسة MILS

يُعدّ نظام مستويات الأمان المستقلة المتعددة (MILS) بنيةً تعالج عنصر فصل النطاقات في نظام MLS. تجدر الإشارة إلى أن مكتب إدارة دورة حياة البيانات (UCDMO)، وهو الجهة الحكومية الأمريكية المسؤولة عن الأنظمة متعددة النطاقات والمستويات، قد استحدث مصطلح " الوصول عبر النطاقات" كفئة ضمن معاييره الأساسية للأنظمة المعتمدة من وزارة الدفاع ومجتمع الاستخبارات ، ويمكن اعتبار هذه الفئة مماثلةً لنظام MILS.

تسمح نماذج الأمان، مثل نموذج بيبا (للسلامة) ونموذج بيل-لابادولا (للسرية)، بتدفق أحادي الاتجاه بين نطاقات أمان معينة يُفترض أنها معزولة. يعالج نظام إدارة المعلومات متعدد المستويات (MILS) العزل الأساسي لنظام إدارة المعلومات متعدد المستويات (MLS) دون معالجة التفاعل المُتحكم به بين النطاقات التي تتناولها النماذج المذكورة أعلاه. ويمكن للقنوات الموثوقة المتوافقة مع معايير الأمان المذكورة أعلاه ربط نطاقات MILS لدعم المزيد من وظائف MLS.

يتبع نهج MILS استراتيجية تتميز بمصطلح قديم، وهو MSL ( متعدد المستويات الفردية )، والذي يعزل كل مستوى من المعلومات داخل بيئته الفردية الخاصة ( النظام العالي ).

قد يكون التواصل الصارم بين العمليات والعزل الذي يوفره نظام MILS أكثر فائدة لتطبيقات البرمجيات فائقة الموثوقية من نظام MLS. ومن الجدير بالذكر أن MILS لا يتناول البنية الهرمية التي يجسدها مفهوم مستويات الأمان. ويتطلب ذلك إضافة تطبيقات استيراد/تصدير خاصة بين المجالات، كل منها يحتاج إلى اعتماد مناسب. لذا، قد يكون من الأنسب تسمية MILS بـ "مجالات أمان مستقلة متعددة" (محاكاة MLS على MILS تتطلب مجموعة مماثلة من التطبيقات المعتمدة لتطبيقات MLS). وبسبب عدم تناوله للتفاعل الجاهز بين المستويات بما يتوافق مع العلاقات الهرمية لنموذج بيل-لا بادولا، فإن MILS سهل التنفيذ (بشكل خادع تقريبًا) في البداية، ولكنه يحتاج إلى تطبيقات استيراد/تصدير تكميلية معقدة لتحقيق الثراء والمرونة المتوقعين من تطبيقات MLS العملية.

ينبغي لأي مقارنة بين نظامي MILS وMLS أن تأخذ في الاعتبار ما إذا كان اعتماد مجموعة من تطبيقات التصدير الأبسط أسهل من اعتماد نواة نظام MLS واحدة أكثر تعقيدًا. ويعتمد هذا السؤال جزئيًا على مدى تفاعلات الاستيراد والتصدير التي تتطلبها الجهات المعنية. ومن مزايا نظام MILS إمكانية عدم اشتراط جميع تطبيقات التصدير أعلى مستويات الضمان.

أنظمة MSL

هناك طريقة أخرى لحل هذه المشكلات تُعرف باسم " الطبقات المتعددة أحادية المستوى" . يتم عزل كل مستوى أمان في نطاق منفصل غير موثوق به. ويضمن غياب أي وسيلة اتصال بين النطاقات استحالة التفاعل بينها. عادةً ما تكون آلية هذا العزل هي الفصل المادي بين أجهزة كمبيوتر منفصلة. يُستخدم هذا الأسلوب غالبًا لدعم التطبيقات أو أنظمة التشغيل التي لا تدعم الطبقات المتعددة أحادية المستوى، مثل نظام التشغيل مايكروسوفت ويندوز .

التطبيقات

تُعدّ البنية التحتية، كأنظمة التشغيل الموثوقة، عنصرًا هامًا في أنظمة إدارة المحتوى متعدد المستويات (MLS). ولكن، لتحقيق المعايير المطلوبة في تعريف نظام إدارة المحتوى متعدد المستويات (MLS) وفقًا لمعيار CNSSI 4009 (المُعاد صياغته في بداية هذه المقالة)، يجب أن يوفر النظام واجهة مستخدم تُمكّن المستخدم من الوصول إلى المحتوى ومعالجته على مستويات تصنيف متعددة من خلال نظام واحد. وقد خصصت UCDMO جلسةً خاصةً بنظام إدارة المحتوى متعدد المستويات (MLS) في ندوة ضمان المعلومات التابعة لوكالة الأمن القومي الأمريكية (NSA) عام 2009، حيث سلّطت الضوء على العديد من أنظمة إدارة المحتوى متعدد المستويات (MLS) المعتمدة (قيد التشغيل) والناشئة. تجدر الإشارة إلى استخدام نظام إدارة المحتوى متعدد المستويات (MLS) في SELinux . [ 11 ]

توجد العديد من قواعد البيانات المصنفة كأنظمة MLS. لدى أوراكل منتج يُسمى Oracle Label Security (OLS) يُزعم أنه يُطبّق ضوابط وصول إلزامية عن طريق إضافة عمود "تصنيف" إلى كل جدول في قاعدة بيانات أوراكل . مع ذلك، فإن هذه التصنيفات اعتباطية ومنفصلة عن أي آلية إنفاذ أساسية لنظام التشغيل. يجري نشر OLS في قيادة الاستخبارات والأمن التابعة للجيش الأمريكي (INSCOM) كأساس لقاعدة بيانات استخباراتية "شاملة المصادر" تغطي شبكتي JWICS و SIPRNet . في هذه الحالة، تُستخدم إجراءات مادية، بما في ذلك الوصول على مستوى النظام العالي والوصول المخصص، لفرض ضوابط وصول إلزامية وفقًا للمعايير الفيدرالية. يُعد Trusted Rubix تطبيق MLS الوحيد الذي يعمل على منفذ MLS UNIX ويمكن شراؤه جاهزًا للاستخدام. في الواقع، كان Trusted Rubix منتج إدارة قواعد البيانات العلائقية الوحيد المتاح من مركز معلومات منتجات الأمن المعتمدة (ASPIC) التابع لوكالة الأمن القومي الأمريكية (NSA).

توجد أيضًا العديد من تطبيقات المستخدم النهائي لنظام إدارة المحتوى متعدد الوسائط (MLS). إحدى إمكانيات MLS الأخرى الموجودة حاليًا في خط الأساس لـ UCDMO تُسمى MLChat ( مؤرشفة بتاريخ 17 مارس 2013 على Wayback Machine) ، وهي عبارة عن خادم دردشة يعمل على نظام التشغيل XTS-400 ، وقد طُوّر بواسطة مختبر الأبحاث البحرية الأمريكي . نظرًا لأن محتوى المستخدمين من نطاقات مختلفة يمر عبر خادم MLChat، يُستخدم فحص الكلمات البذيئة لحماية المحتوى المصنف، وقد دار نقاش حول ما إذا كان هذا نظام MLS حقيقيًا أم أنه شكل من أشكال حماية بيانات نقل النطاقات المتعددة . تُدار ضوابط الوصول الإلزامية من خلال مزيج من آليات XTS-400 وآليات خاصة بالتطبيقات. [ 12 ]

تتضمن تطبيقات نظام إدارة المعلومات الطبية (MLS) غير المدرجة حاليًا ضمن خط الأساس لـ UCDMO العديد من تطبيقات BlueSpace . تمتلك BlueSpace عدة تطبيقات لنظام إدارة المعلومات الطبية، منها عميل بريد إلكتروني، وتطبيق بحث، ونظام قيادة وسيطرة (C2). تستخدم BlueSpace استراتيجية البرمجيات الوسيطة لتمكين تطبيقاتها من العمل على مختلف المنصات، حيث تُنسق واجهة مستخدم واحدة عبر عدة أنظمة تشغيل Windows ( جلسات طرفية افتراضية أو عن بُعد). كما قام مختبر الأبحاث البحرية الأمريكي بتطبيق إطار عمل لتطبيقات الويب متعدد المستويات يُسمى MLWeb، والذي يدمج إطار عمل Ruby on Rails مع قاعدة بيانات متعددة المستويات تعتمد على SQLite3 .

لعلّ أبرز تغيير يشهده مجال الأمن متعدد المستويات اليوم هو اندماجه مع المحاكاة الافتراضية. يتجه عدد متزايد من أنظمة التشغيل الموثوقة نحو التخلي عن تصنيف الملفات والعمليات، والتوجه بدلاً من ذلك نحو حاويات يونكس أو الآلات الافتراضية . ومن الأمثلة على ذلك المناطق في نظام Solaris 10 TX ، وبرنامج إدارة الخلايا المبطنة في أنظمة مثل منصة Integrity من Green Hill ، وXenClient XT من Citrix. وتُعدّ منصة High Assurance من وكالة الأمن القومي الأمريكية، كما هي مُطبقة في بيئة المحاكاة الافتراضية الموثوقة (TVE) من General Dynamics ، مثالاً آخر، إذ تستخدم SELinux في جوهرها، وتدعم تطبيقات الأمن متعدد المستويات التي تمتد عبر نطاقات متعددة.

انظر أيضاً

مراجع

  1. ↑ ديفيدسون، جيه إيه (9 ديسمبر 1996). "العزل غير المتماثل". وقائع المؤتمر السنوي الثاني عشر لتطبيقات أمن الحاسوب . الصفحات 44-54 . doi : 10.1109/CSAC.1996.569668 . ISBN  978-0-8186-7606-2. S2CID 21977652 . 
  2. ↑ CSC-STD-004-85: متطلبات أمن الحاسوب - إرشادات لتطبيق معايير تقييم نظام الحاسوب الموثوق به التابعة لوزارة الدفاع في بيئات محددة (25 يونيو 1985)
  3. ↑ سياسة سرية الأمان متعددة المستويات في FreeBSD
  4. ↑ "منتج مُعتمد - نظام التشغيل Red Hat Enterprise Linux الإصدار 5 يعمل على أجهزة IBM" . الشراكة الوطنية لضمان أمن المعلومات، مخطط التقييم والتحقق من المعايير المشتركة، الولايات المتحدة. 7 يونيو 2007.{{cite journal}}يتطلب الاستشهاد بالمجلة ( مساعدة )|journal=
  5. ↑ ملف تعريف الحماية للتحكم في الوصول (CAPP)
  6. ↑ كورين، آمبر (2017-08-08). "كيف يُسهّل نظام BICES-X الاستخبارات العالمية" . C4ISRNET . تاريخ الاسترجاع: 2018-12-10 .
  7. ↑ "ملحقات موثوقة في إصدار سولاريس 10 بتاريخ 11/06" . مؤسسة أمن الاتصالات الكندية. 11 يونيو 2008. مؤرشف من الأصل بتاريخ 17 يونيو 2011. تم الاطلاع عليه بتاريخ 26 يونيو 2010 .{{cite journal}}يتطلب الاستشهاد بالمجلة ( مساعدة )|journal=
  8. ↑ "Security Target, Version 1.22 for XTS-400, Version 6.4.U4" (ملف PDF) . الشراكة الوطنية لضمان أمن المعلومات، مخطط التقييم والتحقق وفقًا للمعايير المشتركة، الولايات المتحدة. 1 يونيو 2008. مؤرشف من النسخة الأصلية (ملف PDF) بتاريخ 23 يوليو 2011. تم الاطلاع عليه بتاريخ 11 أغسطس 2010 .{{cite journal}}يتطلب الاستشهاد بالمجلة ( مساعدة )|journal=
  9. ↑ ديفيد إليوت بيل: نظرة إلى الوراء على نموذج بيل-لابادولا - ملحق مؤرشف في 27-08-2011 في آلة Wayback (20 ديسمبر 2006)
  10. ↑ ديفيد إليوت بيل: نظرة إلى الوراء على نموذج بيل-لابادولا (7 ديسمبر 2005)
  11. ↑ على سبيل المثال: بيترسن، ريتشارد (2011). إدارة وأمن فيدورا 14. دار نشر سيرفينج تيرتل. ص 298. ISBN  9781936280223تم الاطلاع عليه بتاريخ 13 سبتمبر 2012. سياسة SELinux المرجعية [...] يُضيف الأمان متعدد المستويات (MLS) طريقة وصول أمني أكثر دقة. يُضيف MLS قيمة مستوى أمان للموارد.
  12. ↑ http://www.sse.gr/NATO/EreunaKaiTexnologiaNATO/36.Coalition_C4ISR_architectures_and_information_exchange_capabilities/RTO-MP-IST-042/MP-IST-042-12.pdf

للمزيد من القراءة

  • لامبسون، ب. (1973). "ملاحظة حول مشكلة الحصر" . اتصالات رابطة مكائن ​​الحوسبة . 16 (10): 613-615 . CiteSeerX 10.1.1.129.1549 . doi : 10.1145/362375.362389 . S2CID 9355455 .  
  • المركز الوطني لأمن الحاسوب (1985). "معايير تقييم أنظمة الحاسوب الموثوقة". المركز الوطني لأمن الحاسوب.{{cite journal}}: يتطلب الاستشهاد بالمجلة |journal=( مساعدة ) (المعروف أيضًا باسم TCSEC أو "الكتاب البرتقالي").
  • المركز الوطني لأمن الحاسوب (1986). "تفسير الشبكة الموثوقة". المركز الوطني لأمن الحاسوب.{{cite journal}}: يتطلب الاستشهاد بالمجلة |journal=( مساعدة ) (المعروف أيضًا باسم TNI أو "الكتاب الأحمر").
  • سميث، ريتشارد (2005). "الفصل 205: الأمن متعدد المستويات" . في حسين بيدجولي (محرر). دليل أمن المعلومات، المجلد 3، التهديدات، نقاط الضعف، الوقاية، الكشف، والإدارة . نيويورك: جون وايلي. مؤرشف من الأصل بتاريخ 6 مايو 2006. تم الاطلاع عليه بتاريخ 21 مايو 2006 .رقم الكتاب المعياري الدولي (ISBN) 0-471-64832-9.
  • باتيل، د.، كولينز، ر.، فانفليت، و.م.، كالوني، ب.أ.، وايلدينغ، م.م.، ماكليرن، ل.، ولوك، ج.أ. (نوفمبر 2002). "بنية MILS عالية الموثوقية (مستويات متعددة مستقلة من الأمن/السلامة) المدمجة بعمق" (ملف PDF) . مركز أبحاث التنمية الاقتصادية وإصلاح السياسات. مؤرشف من النسخة الأصلية (ملف PDF) بتاريخ 28 أبريل 2003. تاريخ الاسترجاع: 6 نوفمبر 2005 .{{cite journal}}يتطلب Cite journal |journal=( مساعدة ) صيانة CS1: أسماء متعددة: قائمة المؤلفين ( رابط )
  • بي إيه لوسكوكو، إس دي سمولي، بي إيه موكلباور، آر سي تايلور، إس جيه تيرنر، وجيه إف فاريل. حتمية الفشل: الافتراض الخاطئ للأمن في بيئات الحوسبة الحديثة . في وقائع المؤتمر الوطني الحادي والعشرين لأمن نظم المعلومات، الصفحات 303-314، أكتوبر 1998..