Мандатный доступ в PostgreSQL современные возможности и особенности

Мандатная модель доступа является одним из основных средств обеспечения безопасности и разграничения доступа в информационно-компьютерных системах. В PostgreSQL, синергия-БД, мощная система управления базами данных, также есть мандатная модель доступа, которая будет поддерживаться в различных версиях ПО.

Мандатная модель доступа основана на иерархии уровней доступа и объектов. В PostgreSQL существует несколько уровней мандатной модели доступа, таких как SELinux, MAC и RBAC. Каждый из них разработана для обеспечения различных уровней безопасности и разграничения доступа к данным.

В мандатной модели доступа в PostgreSQL реализуется уровень доступа на основе ролей. Каждому пользователю и роли присваивается набор привилегий на уровне баз данных и объектов. Это позволяет эффективно контролировать доступ и запись данных в базы данных.

Для обеспечения мандатной модели доступа в сети компании Русбитех, разработана специальная версия PostgreSQL – Astra Linux. Она отличается от стандартной версии PostgreSQL механизмами и средствами безопасности, позволяющими обеспечить высокий уровень конфиденциальности и доступности секретной информации.

ОС и СУБД мандатное разграничение доступа

В ОС и СУБД мандатное разграничение доступа может быть реализовано на уровне ядра (kernel-level) или на уровне СУБД (database-level). На уровне ядра доступ к объектам контролируется с помощью меток безопасности, которые присваиваются каждой записи в файловой системе. При этом, набор меток, которые разрешены для данного пользователя или процесса, определяется на основе мандатной модели доступа.

Например, SELinux — модуль ядра, который предоставляет мандатное разграничение доступа на ОС Linux. С помощью SELinux можно закрыть доступность одним компьютером для другого компьютера, позволив только определенным пользователям или группам иметь доступ к определенным объектам.

В случае СУБД PostgreSQL существует модуль под названием SEPGSQL, который обеспечивает мандатное разграничение доступа на уровне базы данных. Этот модуль позволяет набору записей иметь различный диапазон доступа к объектам базы данных.

Например, с помощью модуля SEPGSQL можно регулировать доступ к таблицам, схемам, функциям и т. д. в PostgreSQL. Если пользователь имеет метку доступа «секретные данные», то он может читать и записывать данные только из таблиц, которые также имеют метку «секретные данные». Таким образом, мандатное разграничение доступа обеспечивает дополнительный уровень безопасности и помогает защитить данные от неавторизованного доступа.

Поддержка мандатного разграничения доступа в различных версиях PostgreSQL

Специальные модули для поддержки мандатного разграничения доступа в PostgreSQL развиваются несколькими организациями, включая Astra, РусБИТех и «Синергия-БД».

Система мандатной безопасности в PostgreSQL, разработанная компанией Astra, реализует модель ролевого доступа (Role-Based Access Control, RBAC), которая позволяет определить роли и разграничить права доступа на уровне роли. Этот модуль обеспечивает гибкое управление доступом пользователей к объектам базы данных.

РусБИТех предлагает модуль с названием SEPGSQL, который реализует мандатное разграничение доступа на уровне базы данных PostgreSQL. С помощью этого модуля можно установить метки безопасности на различные объекты базы данных, такие как таблицы, схемы или представления, и контролировать доступ к ним.

Организация «Синергия-БД» разработала модули SEPGSQL и Синергия-ОС для мандатного разграничения доступа в PostgreSQL. Модуль Синергия-ОС предоставляет механизм мандатного разграничения доступа на уровне ОС, а модуль SEPGSQL расширяет возможности мандатного разграничения доступа в PostgreSQL. Эти модули работают в синергии друг с другом, обеспечивая комплексную систему защиты данных.

Ограничения и особенности мандатного разграничения доступа

Мандатное разграничение доступа в PostgreSQL имеет некоторые ограничения и особенности:

1. Мандатное разграничение доступа требует специальной поддержки на уровне ядра ОС и на уровне СУБД.
2. Реализация мандатного разграничения доступа может быть сложной и требовать некоторых навыков и опыта.
3. Мандатное разграничение доступа может ограничивать свободу действий пользователей, поскольку каждая запись должна иметь метку доступа.
4. При использовании мандатного разграничение доступа на уровне ядра ОС, доступность для пользователей может быть закрыта только на уровне ядра, и не будет ограничивать доступ на уровне уже запущенных процессов.
5. В некоторых версиях PostgreSQL реализация мандатного разграничение доступа может быть менее развитой или требовать дополнительных модулей.

Мандатное разграничение доступа в PostgreSQL предоставляет дополнительные возможности для обеспечения безопасности данных в базе данных. Однако, для его успешной реализации требуется тщательное планирование и настройка, а также поддержка на уровне ОС и СУБД.

MAC В POSTGRESQL ДЛЯ ASTRA LINUX

Для обеспечения более высокого уровня безопасности доступа и контроля над данными в PostgreSQL разработана функциональность мандатного доступа. В версиях базы данных PostgreSQL 9.4 и выше включена реализация MAC (Mandatory Access Control) модели доступа, которая позволяет разграничить доступ пользователей на основе иерархии, уровня секретности и потоками информационными потоками.

Основные принципы MAC-модели PostgreSQL основаны на принципе работающей связующей. В данной модели каждому субъекту взаимодействия назначается уровень доступа, который определяет, какие объекты системы можно управлять и какой уровень секретности следует применять к данным.

MAC-модель в PostgreSQL также поддерживает уровни секретности, которые могут быть определены для базы данных, таблицы или отдельных столбцов. Таким образом, можно контролировать доступность данных на разных уровнях, включая доступ к секретным и конфиденциальным информационным ресурсам.

Для использования мандатного доступа в PostgreSQL на операционной системе Astra Linux требуется установить модули PAM (Pluggable Authentication Modules) и SELinux (Security-Enhanced Linux). SELinux обеспечивает контроль доступа на уровне ядра операционной системы, а PAM – средства для авторизации пользователей.

Вместе эти средства позволяют закрыть доступ к базе данных PostgreSQL и обеспечить его только пользователям с определенным уровнем доступа и полномочиями.

Реализация мандатного доступа в PostgreSQL также предоставляет средства для развития иерархии пользователей и создания контейнеров доступа. Это позволяет иметь различные уровни доступа к данным и создавать ситуацию, в которой невозможно получить доступ к конкретным таблицам или информацией без необходимого разрешения и авторизации.

Применение модели мандатного доступа в PostgreSQL для Astra Linux позволяет создавать контейнеры доступа и разграничивать уровни доступа пользователей на основе уровня секретности и механизма контроля доступа. Это обеспечивает более высокую безопасность данных и контроль над доступом в базах данных PostgreSQL.

«СИНЕРГИЯ-БД»

Для использования этого механизма требуется развернуть модуль SE-PostgreSQL на сервере PostgreSQL. Данное расширение существует в нескольких версиях, начиная с версии 9.4, и для его работы требуется, чтобы PostgreSQL был собран с поддержкой SELinux.

SE-PostgreSQL весьма гибок и позволяет применять различные правила, определяющие, какие пользователи и субъекты в системе имеют доступ к объектам различных мандатных уровней безопасности. Например, если SE-PostgreSQL требуется секретная информация, то можно настроить систему таким образом, чтобы только пользователи с мандатным уровнем доступности «секретные» имели доступ к этим объектам.

Версия SE-PostgreSQL для Postgres Pro поддерживает полный диапазон мандатных уровней доступности, включая определение различных контейнеров безопасности. Контейнеры безопасности являются набором объектов или контейнеров, которые могут быть использованы для обеспечения лучшего разделения доступа. Например, в контексте SE-PostgreSQL можно создать контейнеры безопасности «синергия-БД», «синергия-ОС» и т.д. и ограничить доступ пользователей только к объектам, связанным с данной сферой деятельности.

Для установки мандатной доступности в PostgreSQL можно использовать специальное расширение, которое называется SEPGSQL. Модуль SEPGSQL позволяет определить правила разграничения доступа к объектам базы данных. Эти правила могут быть определены на основе различных мандатных уровней доступности, а также в зависимости от роли пользователя.

В целом, система мандатной доступности в PostgreSQL предоставляет средства для контроля доступа к информационным объектам на уровне базы данных и модулей безопасности. Эта система позволяет ограничить запись и доступ к объектам только определенным пользователям или субъектам, что делает невозможным несанкционированное чтение или запись информации.

Преимущества использования системы мандатной доступности «Синергия-БД»:

• Возможность разграничения доступа к информационным объектам на различных уровнях безопасности
• Поддержка различных мандатных уровней безопасности и контейнеров безопасности
• Гибкие правила определения доступа на основе ролей пользователей и мандатных уровней
• Полная поддержка механизма SE-PostgreSQL и модуля SEPGSQL
• Возможность установки меток безопасности на объекты базы данных и модули безопасности

Особенности использования системы мандатной доступности «Синергия-БД»:

• Требуется наличие поддержки SELinux в PostgreSQL
• Необходимо развернуть модуль SE-PostgreSQL на сервере
• Правила разграничения доступа могут быть сложными и требуют внимательной конфигурации
• Мандатная доступность может оказывать влияние на производительность системы
• Требуется внимательное следование правилам безопасности при работе с системой мандатной доступности

Название	Описание
Система	Система мандатной доступности «Синергия-БД»
Модули	SE-PostgreSQL, SEPGSQL
Функциональность	Разграничение доступа к информационным объектам на различных уровнях безопасности, установка меток безопасности, определение контейнеров безопасности
Требования	Поддержка SELinux в PostgreSQL, установка модуля SE-PostgreSQL

В итоге, система мандатной доступности «Синергия-БД» предоставляет возможности для разграничения доступа к информационным объектам на различных уровнях безопасности. Она базируется на модулях SE-PostgreSQL и SEPGSQL, которые позволяют определить метки безопасности и правила доступа к объектам базы данных. Использование этой системы требует внимательной конфигурации и следования правилам безопасности, но позволяет повысить уровень безопасности и предотвратить несанкционированный доступ к информации.

MAC В POSTGRESQL ДЛЯ SELINUX

Операционная система Linux использует SELinux (Security-Enhanced Linux) для обеспечения мандатного доступа к объектам в системе. SELinux предоставляет уровни доступа иерархии, при этом информационные объекты имеют уровни защиты, а пользователь может иметь соответствующий уровень clearnce.

Sepgsql позволяет PostgreSQL взаимодействовать с SELinux, чтобы обеспечить мандатную контроль доступа к объектам базы данных. При использовании sepgsql, объекты базы данных имеют мандатные уровни безопасности, которые определены из файлов политики SELinux.

В случае, если пользователь хочет читать или записывать данные в базу данных PostgreSQL, sepgsql обращается к уровням безопасности SELinux и проверяет, соответствует ли уровень доступа объекта уровню доступа пользователя.

Реализация мандатного доступа в PostgreSQL с помощью модуля sepgsql позволяет обеспечить безопасность баз данных на более высоком уровне. В дп-модели мандатной безопасности для компьютерных систем уровни доступа контролируются с помощью внешней политики безопасности, которая определяет, какие субъекты могут выполнять различные операции на объектах баз данных.

Мандатная модель безопасности в PostgreSQL поддерживает разделение между субъектами и объектами на основе мандатних уровней информационной безопасности, которые определяются с помощью sepgsql. При этом модуль sepgsql проверяет мандатные уровни доступа их предоставляет средства для контроля разграничения доступа на уровне операционной системы для пользователя при выполнении операций с базой данных PostgreSQL.

В версиях PostgreSQL, которые поддерживают sepgsql модуль, установка и настройка мандатного доступа по умолчанию выполняются с помощью специальных модулей безопасности SELinux.

В целом, мандатная модель безопасности в PostgreSQL с поддержкой sepgsql модуля обеспечивает защиту данных на более высоком уровне безопасности, так как предоставляет механизмы для контроля доступа на уровне операционной системы для объектов баз данных PostgreSQL.

Видео:

DBA1-13. 02. Использование psql

DBA1-13. 02. Использование psql by Postgres Professional 16,097 views 1 year ago 38 minutes