×
27.12.2014
216.013.1486

СПОСОБ ПРОВЕРКИ ПРАВ ДОСТУПА ДЛЯ УЧЕТНЫХ ЗАПИСЕЙ ПОЛЬЗОВАТЕЛЕЙ В ГРИД-СИСТЕМАХ И СИСТЕМА ДЛЯ ЕГО ОСУЩЕСТВЛЕНИЯ

Вид РИД

Изобретение

Юридическая информация Свернуть Развернуть
№ охранного документа
0002536678
Дата охранного документа
27.12.2014
Краткое описание РИД Свернуть Развернуть
Аннотация: Изобретение относится к вычислительной технике. Технический результат заключается в защите информационных и вычислительных ресурсов грид-систем от несанкционированного доступа. Способ проверки прав доступа для учетных записей пользователей в грид-системах, заключающийся в том, что определяют доступные узлы грид-системы, формируют список узлов грид-системы, на которых допускается запустить вычислительный процесс, фиксируют множество учетных записей пользователей грид-системы, а также множество предоставленных им прав доступа в текущий момент времени, сопоставляют запрашиваемые учетной записью пользователя грид-системы права доступа с уже предоставленными правами доступа на выбранных узлах грид-системы с учетом правил разграничения доступа, формируя множество легитимных узлов грид-системы, выполняют фильтрацию запроса на доступ к ресурсам грид-системы, поступившего от учетной записи пользователя, в пределах ранее выбранных узлов грид-системы, разрешая выполнение вычислительного процесса только на легитимных узлах грид-системы. 2 н.п. ф-лы, 3 ил.
Реферат Свернуть Развернуть

Изобретение относится к области защиты информационных систем распределенных вычислений, а именно к обеспечению защиты вычислительных и информационных ресурсов грид-систем от несанкционированного доступа на базе сопоставления множества прав доступа, фактически предоставляемых учетным записям пользователей в грид-системах, с множеством прав доступа, необходимых учетным записям пользователей грид-систем для осуществления вычислительных процессов, и определения на основе этого видов доступа к вычислительным ресурсам грид-систем, осуществляемых вычислительными процессами.

Под несанкционированным доступом понимается доступ к информационным или вычислительным ресурсам системы субъектов доступа, не имеющих прав пользования ими [Воройский Ф.С. Информатика. Энциклопедический словарь-справочник: введение в современные информационные и телекоммуникационные технологии в терминах и фактах. - М.: ФИЗМАТЛИТ, 2006. - 768 с.].

Для разграничения доступа к информационным или вычислительным ресурсам грид-систем используются специальные хранилища прав доступа, содержащие множество правил разграничения доступа, представленных в виде записей "субъект доступа - объект доступа - права доступа". Субъектом доступа в грид-системах является вычислительный процесс, действия которого регламентируются по учетным записям запускающих их пользователей правилами разграничения доступа, заданными в виде таких записей. Объектом доступа является единица информационного (файлы) или вычислительного (центральный процессор) ресурса грид-системы, доступ к которой регламентируется правилами разграничения доступа.

Выполнение данных правил разграничения доступа гарантируется реализованным в грид-системах механизмом контроля и управления доступом к ресурсам грид-систем. Особенности грид-систем, а именно свойство гетерогенности грид-систем, наличие нескольких механизмов авторизации на основе учетных записей пользователей, а также отсутствие централизованного сервера безопасности затрудняют реализацию любых классических способов контроля и управления доступом. Поскольку учетная запись пользователя грид-системы может в любой момент времени состоять сразу в нескольких учетных записях групп пользователей, авторизованных для доступа к информационным и вычислительным ресурсам грид-систем, для нейтрализации угрозы возможного несанкционированного доступа к ресурсам вычислительными процессами необходимо при осуществлении контроля доступа к ресурсам контролировать динамическое распределение запросов, инициируемых вычислительными процессами от имени учетных записей пользователей на предоставление им указанных ресурсов грид-систем.

В основу изобретения положена задача создания способа проверки прав доступа для учетных записей пользователей в грид-системах и системы для его осуществления, применение которых обеспечивает защиту информационных и вычислительных ресурсов грид-систем от несанкционированного доступа, а также сокращение временных и экономических затрат на поддержание надежного функционирования грид-систем за счет сокращения времени простоя оборудования, вызванного его отказом вследствие осуществления компьютерных атак на ресурсы грид-систем.

Известен способ проверки прав доступа для учетных записей пользователей на получение услуги, заключающийся в том, что эмитент предоставляет для каждой учетной записи пользователя, по крайней мере, одну матрицу переменного номера и одну матрицу переменной подписи. При положительном результате проверки, полученной от учетной записи пользователя переменной подписи, эмитент верифицирует права на предоставление абонированной услуги [Пат. РФ №2272321. Способ верификации прав пользователя на получение услуги. Опубл. 20.03.2006].

Недостаток данного способа заключается в том, что процедура проверки прав доступа для учетных записей пользователей выполняется однократно при попытке аутентификации в системе и не учитывает потенциальные попытки повышения прав на доступ к ресурсам системы после прохождения процедуры аутентификации, что возможно ввиду особой природы грид-систем, в основе которой лежит принцип совместного использования ресурсов системы множеством вычислительных процессов, исполняющихся с разными учетными записями пользователей, наделенных разными правами доступа к ресурсам.

Наиболее близким техническим решением является способ контроля доступа к ресурсам грид-систем, реализованный в сервисе контроля доступа GRAM. При выполнении запроса, инициируемого вычислительными процессами от имени учетной записи пользователя, на предоставление информационных и вычислительных ресурсов грид-систем каждый узел, входящий в состав грид-системы, осуществляет авторизацию учетной записи пользователя путем отображения глобального идентификатора учетной записи в локальный для данного узла. Пользователь грид-системы может инициировать свои задания на тех узлах из состава грид-системы, на которых он авторизован. Данное техническое решение включает выполнение следующих действий:

взаимная аутентификация сервиса контроля доступа с учетной записью пользователя грид-системы посредством проверки их цифровых сертификатов;

обработка запроса, инициируемого вычислительными процессами от имени учетной записи пользователя, на предоставление ресурсов грид-системы посредством определения доступных узлов грид-системы, анализа их загрузки, производительности и других параметров, указанных в запросе, а также выбор наиболее оптимальных узлов;

отображение запроса, инициируемого вычислительными процессами от имени учетной записи пользователя, на локальную учетную запись на каждом из выбранных узлов грид-системы;

последовательный выбор узлов грид-системы из списка ранее выбранных, запуск процессов от имени локальной учетной записи пользователя и передача ему множества запрошенных ресурсов.

Известная система для реализации данного способа содержит:

модуль аутентификации, выполняющий проверку цифровых сертификатов учетных записей пользователей и узлов грид-системы при попытке получения доступа к информационным и вычислительным ресурсам грид-системы;

модуль распределения запросов, выполняющий поиск подходящих узлов грид-системы для их выполнения;

модуль контроля и управления доступом, выполняющий запуск процессов от имени локальных учетных записей пользователей и передачу им множества запрошенных ресурсов

[Кирьянов А.К., Рябов Ю.Ф. Введение в технологию Грид: Учебное пособие. - Гатчина: ПИЯФ РАН, 2006. - 39 с.].

Недостатком такого технического решения является отсутствие учета таких состояний системы, при которых несколько учетных записей пользователей грид-систем авторизуются на одном и том же узле системы под одной локальной учетной записью, что позволяет некоторой учетной записи пользователя получать доступ к данным других учетных записей пользователей, совместно с которыми он прошел процедуру авторизации на данном узле грид-системы, но для которых такой доступ прямо не предоставлен и вследствие этого критичен, так как происходит утечка данных, что имеет негативные последствия в виде нарушений безопасности данных и функционирования системных процессов в грид-системах.

Техническим результатом предлагаемого решения является защита информационных и вычислительных ресурсов грид-систем от несанкционированного доступа, а также сокращение временных и экономических затрат на поддержание надежного функционирования грид-систем за счет сокращения времени простоя оборудования, вызванного его отказом вследствие осуществления компьютерных атак на ресурсы грид-систем.

Решение поставленной технической задачи обеспечивается тем, что в способе проверки прав доступа для учетных записей пользователей в грид-системах

выполняют взаимную аутентификацию узлов грид-системы с учетной записью пользователя грид-системы посредством проверки их цифровых сертификатов;

выполняют первичную обработку запроса, инициированного вычислительным процессом от имени учетной записи пользователя на предоставление ресурсов грид-системы, определяя доступные узлы грид-системы, анализируя их вычислительную загрузку, производительность, выбирая наиболее оптимальные узлы и формируя список узлов грид-системы, на которых допускается запустить на исполнение вычислительный процесс;

фиксируют множество учетных записей пользователей грид-системы, авторизованных на отобранных узлах грид-системы, а также множество предоставленных им прав доступа в текущий момент времени;

выполняют повторную обработку запроса, инициированного вычислительным процессом от имени учетной записи пользователя, и определяют запрашиваемые права доступа, фиксируя множество прав доступа, необходимое для работы вычислительного процесса, запущенного от имени данной учетной записи пользователя;

сопоставляют запрашиваемые учетной записью пользователя грид-системы права доступа с уже предоставленными правами доступа на выбранных узлах грид-системы с учетом правил разграничения доступа, тем самым формируя множество узлов грид-системы, на которых допустимо выполнение запроса (легитимных узлов грид-системы);

выполняют фильтрацию запроса на доступ к ресурсам грид-системы, поступившего от учетной записи пользователя, в пределах ранее выбранных узлов грид-системы, разрешая выполнение вычислительного процесса только на легитимных узлах грид-системы;

последовательно перебирают узлы грид-системы из сформированного списка, запускают вычислительный процесс от имени локальной учетной записи пользователя и передают ему множество запрошенных ресурсов.

Система для реализации данного способа содержит:

модуль аутентификации учетных записей пользователей, выполняющий проверку их цифровых сертификатов при попытке получения доступа к информационным и вычислительным ресурсам грид-системы;

модуль распределения запросов, выполняющий поиск подходящих узлов грид-системы для их выполнения и заполняющий базу данных, содержащую множество подходящих узлов грид-системы;

модуль фиксации предоставленных учетным записям пользователей грид-системы прав доступа на выбранных узлах грид-системы, заполняющий базу данных, содержащую множество авторизованных учетных записей пользователей грид-системы, а также множество предоставленных им прав доступа;

модуль проверки прав доступа, выполняющий сопоставление запрашиваемых учетной записью пользователя грид-системы прав доступа с уже предоставленными правами доступа на выбранных узлах грид-системы с учетом правил разграничения доступа и формирующий множество легитимных узлов;

модуль фильтрации запросов, последовательно перебирающий узлы грид-системы из сформированного списка и разрешающий выполнение запроса на легитимных узлах грид-системы.

При этом модуль аутентификации учетных записей пользователей связан с модулем распределения запросов, который связан с модулем проверки прав доступа. Модуль фиксации предоставленных учетным записям пользователей грид-системы прав доступа связан с модулем проверки прав доступа, который связан с модулем фильтрации запросов.

Новые существенные признаки способа:

фиксируют множество учетных записей пользователей грид-системы, авторизованных на отобранных узлах грид-системы, а также множество предоставленных им прав доступа в текущий момент времени;

выполняют повторную обработку запроса, инициированного вычислительным процессом от имени учетной записи пользователя, и определяют запрашиваемые права доступа, фиксируя множество прав доступа, необходимое для работы вычислительного процесса, запущенного от имени данной учетной записи пользователя;

сопоставляют запрашиваемые учетной запись пользователя грид-системы права доступа с уже предоставленными правами доступа на выбранных узлах грид-системы с учетом правил разграничения доступа, тем самым формируя множество узлов грид-системы, на которых допустимо выполнение запроса (легитимных узлов грид-системы);

выполняют фильтрацию запроса на доступ к ресурсам грид-системы, поступившего от учетной записи пользователя, в пределах ранее выбранных узлов грид-системы, разрешая выполнение вычислительного процесса только на легитимных узлах грид-системы.

Новые существенные признаки системы:

модуль фиксации предоставленных учетным записям пользователей грид-системы прав доступа на выбранных узлах грид-системы, заполняющий базу данных, содержащую множество авторизованных учетных записей пользователей грид-системы, а также множество предоставленных им прав доступа;

модуль проверки прав доступа, выполняющий сопоставление запрашиваемых учетной записью пользователя грид-системы прав доступа с уже предоставленными правами доступа на выбранных узлах грид-системы с учетом правил разграничения доступа и формирующий множество легитимных узлов;

модуль фильтрации запросов, последовательно перебирающий узлы грид-системы из сформированного списка и разрешающий выполнение запроса на легитимных узлах грид-системы.

При этом модуль аутентификации учетных записей пользователей связан с модулем распределения запросов, который связан с модулем проверки прав доступа. Модуль фиксации предоставленных учетным записям пользователей грид-системы прав доступа связан с модулем проверки прав доступа, который связан с модулем фильтрации запросов.

Перечисленные новые существенные признаки способа и устройства для его реализации в совокупности с известными позволяют оперативно выявлять факты нарушения учетными записями пользователей своих прав по доступу к информационным и вычислительным ресурсам грид-систем, в том числе возникшие в результате компрометации указанных ресурсов со стороны уже авторизованных учетных записей пользователей. Это в свою очередь позволяет повысить уровень защищенности ресурсов грид-систем, сократить затраты на обеспечение безопасности доступа к таким системам, повысить надежность функционирования грид-систем.

Изобретение поясняется с помощью фиг.1, 2 и 3. На фиг.1 представлена схема способа проверки прав доступа для учетных записей пользователей грид-систем. На фиг.2 показана модульная схема системы, реализующей данный способ. На фиг.3 показан пример реализации предложенного технического решения.

При осуществлении способа выполняется учет предоставленных учетным записям пользователей грид-системы прав доступа на узлах грид-системы, что исключает возможность превышения прав доступа авторизованными учетными записями пользователей за счет делегирования данных прав доступа приложениям, запускающимся на тех узлах грид-системы, на которых другие учетных записи пользователей авторизованы для хранения своей информации, и последующего чтения указанной информации в обход установленных правил разграничения доступа. Для достижения автоматизации процедуры проверки прав доступа для учетных записей пользователей в грид-системах система для осуществления описываемого способа организуется в виде отдельного программного модуля, интегрируемого в состав современных реализаций вычислительных платформ грид-систем.

При осуществлении способа выполняют взаимную аутентификацию узлов грид-системы с учетной записью пользователя посредством последовательных проверок корректности цифровых сертификатов учетной записи пользователя и узлов грид-системы путем извлечения из цифровых сертификатов электронной цифровой подписи и последующей проверки ее принадлежности к одному из авторизованных центров выдачи сертификатов.

В случае установления подлинности электронной цифровой подписи сертификатов далее выполняют первичную обработку запроса, инициированного вычислительными процессами от имени учетной записи пользователя, включая определение доступных узлов грид-системы путем их опроса по сети с использованием внутреннего протокола передачи данных, анализ их загруженности путем подсчета количества обрабатываемых в данным момент времени запросов, потребляемых вычислительных ресурсов, необходимых для выполнения данных запросов, объема свободной оперативной и физической памяти узлов грид-системы, и на основе собранных данных - выбор наиболее оптимальных для обработки поступившего запроса узлов грид-системы. В результате проделанных действий формируют список узлов, пригодных для обработки поступившего запроса.

Затем фиксируют множество учетных записей пользователей грид-системы, авторизованных на отобранных узлах грид-системы, а также множество предоставленных им прав доступа в текущий момент времени. В результате проделанных действий формируется база данных, содержащая информацию о предоставленных правах доступа для каждой учетной записи пользователей грид-системы на каждом из узлов грид-системы.

При этом каждая учетная запись пользователя грид-системы и узел грид-системы фиксируются и взаимооднозначно идентифицируются по своим идентификаторам, представляющим собой строку символов (в случае учетной записи пользователя грид-системы) и IP-адрес или сетевое имя, представленные в соответствии со стандартом RFC1918 (в случае узла грид-системы).

Затем выполняют повторную обработку запроса, инициированного вычислительными процессами от имени учетной записи пользователя, выделяя из него информацию о запрашиваемом типе доступа, в результате чего фиксируют множество запрашиваемых учетной записью пользователя грид-системы прав доступа.

Далее на каждом из отобранных узлов грид-системы сопоставляют зафиксированные запрашиваемые учетной записью пользователя грид-системы права доступа с записями из правил разграничения доступа путем последовательного извлечения записей правил разграничения доступа, сравнения идентификатора учетной записи пользователя, инициировавшего данный запрос, с идентификатором, содержащимся в поле "субъект доступа" в извлекаемой записи правил разграничения доступа, и идентификатора узла грид-системы с идентификатором, содержащимся в поле "объект доступа" в извлекаемой записи правил разграничения доступа. При этом сопоставление прав доступа выполняют в зависимости от результата сравнения указанных идентификаторов.

Для каждой записи правил разграничения доступа, в которой идентификатор, содержащийся в поле "объект доступа", совпадает с идентификатором отобранного узла грид-системы, если идентификатор учетной записи пользователя, инициировавшего данный запрос, совпадает с идентификатором, указанным в извлеченной записи правил разграничения доступа, то при оценке легитимности данного узла грид-системы проверяют наличие в извлеченной записи правил разграничения доступа множества прав доступа, равного или перекрывающего множество запрашиваемых учетной записью пользователя грид-системы прав доступа с множеством прав доступа, указанным в извлеченной записи правил разграничения доступа.

Для каждой записи правил разграничения доступа, в которой идентификатор, содержащийся в поле "объект доступа", совпадает с идентификатором отобранного узла грид-системы, если идентификатор учетной записи пользователя, инициировавшего данный запрос, не совпал ни с одним из идентификаторов, указанных в извлеченных записях правил разграничения доступа, то данный узел грид-системы считают легитимным.

Далее для каждого из отобранных узлов грид-системы сопоставляют запрашиваемые учетной записью пользователя грид-системы права доступа с уже предоставленными на выбранных узлах грид-системы. Для этого выполняют последовательное извлечение элементов из базы данных, содержащей информацию о предоставленных правах доступа на данном узле грид-системы, и для каждой учетной записи пользователя грид-системы, содержащейся в извлекаемых элементах, определяют идентификатор узла грид-системы, на котором авторизована данная учетная запись, и сопоставляют запрашиваемые учетной записью пользователя грид-системы права доступа с правилами разграничения доступа, считая, что в качестве значений поля "объект доступа" правил разграничения доступа выступает полученный идентификатор узла грид-системы.

В результате проделанных действий формируют множество узлов грид-системы, на которых допустимо выполнение запроса (легитимных узлов). Все сопоставления прав при этом выполняют по правилам сравнения множеств.

Затем выполняют фильтрацию запроса, инициированного вычислительными процессами от имени учетной записи пользователя, в пределах ранее выбранных узлов грид-системы, разрешая обработку запроса и выполняя его передачу по сети только на легитимные узлы грид-системы.

Затем на каждом из легитимных узлов грид-системы запускают вычислительный процесс от имени локальной учетной записи пользователя и передают ему множество запрошенных ресурсов.

Для автоматизации способа проверки прав доступа для учетных записей пользователей в грид-системах применяют систему (фиг.2), в которую включены модуль аутентификации учетных записей пользователей, модуль распределения запросов, модуль фиксации предоставленных прав доступа, модуль проверки прав доступа и модуль фильтрации запросов.

Модуль аутентификации учетных записей пользователей выполняет взаимную аутентификацию узлов грид-системы с учетной записью пользователя посредством последовательных проверок корректности цифровых сертификатов учетной записи пользователя и узлов грид-системы путем извлечения из цифровых сертификатов электронной цифровой подписи и последующей проверки ее принадлежности к одному из авторизованных центров выдачи сертификатов.

Модуль распределения запросов выполняет первичную обработку запроса, инициированного вычислительными процессами от имени учетной записи пользователя, включая определение доступных узлов грид-системы путем их опроса по сети с использованием внутреннего протокола передачи данных, анализ их загруженности путем подсчета количества обрабатываемых в данным момент времени запросов, потребляемых вычислительных ресурсов, необходимых для выполнения данных запросов, объема свободной оперативной и физической памяти узлов, и на основе собранных данных выбор наиболее оптимальных для обработки поступившего запроса узлов грид-системы. Результатом работы модуля является база данных, содержащая список узлов, пригодных для обработки поступившего запроса.

Модуль фиксации предоставленных прав доступа фиксирует множество учетных записей пользователей грид-системы, авторизованных на данных узлах (множество авторизованных учетных записей пользователей грид-системы), а также множество предоставленных им прав доступа в текущий момент времени. Результатом работы модуля является база данных, содержащая информацию о предоставленных правах доступа для каждой учетной записи пользователя грид-системы на каждом из узлов грид-системы.

Модуль проверки прав доступа выполняет повторную обработку запроса, инициированного вычислительными процессами от имени учетной записи пользователя, выделяя из него информацию о запрашиваемом типе доступа, тем самым фиксируя множество запрашиваемых учетной записью пользователя грид-системы прав доступа, после чего на каждом из отобранных узлов грид-системы сопоставляет зафиксированные запрашиваемые учетной записью пользователя грид-системы права доступа с правилами разграничения доступа путем последовательного извлечения записей правил разграничения доступа, сравнения идентификатора учетной записи пользователя, инициировавшего данный запрос, с идентификатором, содержащимся в поле "субъект доступа" в извлекаемой записи правил разграничения доступа, и идентификатора узла грид-системы с идентификатором, содержащимся в поле "объект доступа" в извлекаемой записи правил разграничения доступа. При этом сопоставление прав доступа выполняет в зависимости от результата сравнения указанных идентификаторов.

Для каждой записи правил разграничения доступа, в которой идентификатор, содержащийся в поле "объект доступа", совпадает с идентификатором отобранного узла грид-системы, если идентификатор учетной записи пользователя, инициировавшего данный запрос, совпадает с идентификатором, указанным в извлеченной записи правил разграничения доступа, то при оценке легитимности данного узла грид-системы проверяет наличие в извлеченной записи правил разграничения доступа множества прав доступа, равного или перекрывающего множество запрашиваемых учетной записью пользователя грид-системы прав доступа с множеством прав доступа, указанным в извлеченной записи правил разграничения доступа.

Для каждой записи правил разграничения доступа, в которой идентификатор, содержащийся в поле "объект доступа", совпадает с идентификатором отобранного узла грид-системы, если идентификатор учетной записи пользователя, инициировавшего данный запрос, не совпал ни с одним из идентификаторов, указанных в извлеченных записях правил разграничения доступа, то данный узел грид-системы считает легитимным.

Далее для каждого из отобранных узлов грид-системы сопоставляет запрашиваемые учетной записью пользователя грид-системы права доступа с уже предоставленными на выбранных узлах грид-системы. Для этого выполняет последовательное извлечение элементов из базы данных, содержащей информацию о предоставленных правах доступа на данном узле грид-системы, и для каждой учетной записи пользователя грид-системы, содержащейся в извлекаемых элементах, определяют идентификатор узла грид-системы, на котором авторизована данная учетная запись, и сопоставляет запрашиваемые учетной записью пользователя грид-системы права доступа с правилами разграничения доступа, считая, что в качестве значений поля "объект доступа" правил разграничения доступа выступает полученный идентификатор узла грид-системы.

Результатом работы модуля является база данных, содержащая множество узлов грид-системы, на которых допустимо выполнение запроса (легитимных узлов).

Модуль фильтрации запросов выполняет фильтрацию запроса, инициированного вычислительными процессами от имени учетной записи пользователя, разрешая обработку запроса и выполняя его передачу по сети только на легитимные узлы грид-системы, и на каждом из легитимных узлов грид-системы запускает процесс от имени локальной учетной записи пользователя и передает ей множество запрошенных ресурсов.

Рассмотрим пример реализации предложенного технического решения при выполнении проверки прав доступа для учетных записей пользователей в грид-системах, построенной на базе программной реализации Globus Toolkit 5.0. В описании примера цифровые сертификаты учетных записей пользователей и узлов грид-системы являются легитимными.

Система состоит из семи узлов, объединенных в вычислительную сеть, как показано на фиг.3. Атрибуты узлов грид-системы определены следующим образом:

T1={'пользовательские_данные'};

Т2={'ресурсы_ПО'}

Т3={'вычислительные_ресурсы', 'пользовательские_данные'};

Т4={'вычислительные_ресурсы'}.

Т5={'пользовательские _данные'}.

T6={'ресурсы_ПО'}.

Т7={'пользовательские_данные'}

В грид-системе заданы следующие правила разграничения доступа, которые предусматривает два типа доступа: доступ к вычислительным ресурсам и к данным учетных записей пользователей грид-системы:

1. Учетная запись пользователя U1 может хранить данные на узле M3.

2. Учетная запись пользователя U2 может исполнять приложения на узле M6.

3. Учетная запись пользователя U3 может исполнять приложения на узле M7.

4. Учетная запись пользователя U4 может хранить данные на узле М1.

5. Учетная запись пользователя U5 может исполнять приложения на узле М3.

6. Учетная запись пользователя U5 не может выполнять никаких действий на узле M1.

7. Учетная запись пользователя U6 может исполнять приложения на узле М4.

8. Учетная запись пользователя U7 может хранить данные на узле М1.

9. Учетная запись пользователя U7 может исполнять приложения на узле М2.

Изначально в грид-системе отсутствуют запросы, инициированные вычислительными процессами от имени учетных записей пользователей. Предположим, что учетная запись пользователя U1 на узле М1 создала запрос J1 со следующими атрибутами: тип метки Т={'пользовательские_данные', U1}. Сначала выполняется взаимная аутентификация узла грид-системы с учетной записью пользователя грид-системы посредством проверки их цифровых сертификатов. Поскольку цифровые сертификаты учетных записей пользователей и узлов грид-системы являются легитимными, выполняется обработка запроса, инициированного вычислительными процессами от имени учетной записи пользователя, посредством определения доступных узлов грид-системы, анализа их загруженности, производительности и других параметров, указанных в запросе, а также выбор наиболее оптимальных узлов.

Поскольку узел M1 не в состоянии выполнить указанный запрос, он перемещает его на узел M2. Как только запрос J1 появляется на узле M2, программный сервис грид-системы, расположенный на данном узле, начинает искать наиболее подходящий узел для выполнения данного запроса. Ему известен список доступных узлов, их состояние и тип ресурсов, которые они могут предоставить. Узел M3 находится в состоянии 'готов' и имеет необходимые для выполнения запроса J1 ресурсы ('пользовательские данные').

На следующем этапе выполняется фиксация предоставленных прав доступа на выбранных узлах грид-системы. Узел M2 проверяет, выполняются ли требования правил разграничения доступа. Он последовательно просматривает правила и находит правило №1 (в соответствии с набором правил, представленном выше), которое позволяет учетной записи пользователя U1 хранить свои данные на узле М3. Поэтому запрос J1 перемещается на узел M3.

Далее в грид-системе появляется запрос J2 с типом Т={'вычислительные_ресурсы', U2}. Это означает, что запрос J2 инициирован учетной записью пользователя U5 на узле M5. Данный запрос попадает на узел M6. Поскольку нет ни одного узла, имеющего подходящий тип предоставляемых ресурсов и непосредственно подключенного к узлу М6, последний перемещает запрос на узел М2.

Далее, несмотря на то что узел М3 является наиболее подходящим узлом грид-системы для обработки указанного запроса, он не выбирается для данного вычислительного процесса. Это объясняется тем, что описываемый способ учитывает предоставленные права доступа на узле M3, согласно которым учетная запись пользователя U1 уже имеет доступ к узлу M3. Выполняя сопоставление запрашиваемых учетной записью пользователя U5 прав доступа с уже предоставленными правами доступа на узле M3, определяется идентификатор узла грид-системы, на котором авторизована учетная запись пользователя U1. Данный идентификатор принимает значение M1. Затем из правил разграничения доступа последовательно извлекаются записи и значения поля "объект доступа" сравнивается с полученным идентификатором, в результате чего согласно записи №6 правил разграничения доступа множество разрешенных прав доступа для учетной записи пользователя U5 равняется пустому множеству. Поскольку множество запрашиваемых учетной записью пользователя U5 прав доступа отлично от пустого, узел M3 не является легитимным.

Поэтому в результате фильтрации запроса в пределах выбранных узлов грид-системы запрос J2 перемещается на узел М4, который также является свободным, имеет подходящий тип и не содержит предоставленных прав доступа, препятствующих перемещению указанного запроса на данный узел грид-системы.

В результате программный сервис грид-системы, расположенный на узле М4, запускает процесс от имени локальной учетной записи пользователя и передает ей множество запрошенных ресурсов. Перемещение запросов, инициированных вычислительными процессами от имени учетных записей пользователей, обеспечивающее защиту информационных и вычислительных ресурсов грид-системы в ходе выполнения процедуры проверки прав доступа учетных записей пользователей в грид-системе в соответствии с предлагаемым способом, показано на фиг.3 стрелками.

Применение данного изобретения в существующих реализациях грид-систем позволит обеспечить защиту информационных и вычислительных ресурсов грид-систем от несанкционированного доступа, а также сократить временные и экономические затраты на поддержание надежного функционирования грид-систем за счет сокращения времени простоя оборудования, вызванного его отказом вследствие осуществления компьютерных атак на ресурсы грид-систем. Применение предлагаемой в изобретении системы позволит автоматизировать процедуру анализа безопасности, придать ей объективный характер и тем самым обеспечивать высокий уровень надежности и защищенности грид-систем.


СПОСОБ ПРОВЕРКИ ПРАВ ДОСТУПА ДЛЯ УЧЕТНЫХ ЗАПИСЕЙ ПОЛЬЗОВАТЕЛЕЙ В ГРИД-СИСТЕМАХ И СИСТЕМА ДЛЯ ЕГО ОСУЩЕСТВЛЕНИЯ
СПОСОБ ПРОВЕРКИ ПРАВ ДОСТУПА ДЛЯ УЧЕТНЫХ ЗАПИСЕЙ ПОЛЬЗОВАТЕЛЕЙ В ГРИД-СИСТЕМАХ И СИСТЕМА ДЛЯ ЕГО ОСУЩЕСТВЛЕНИЯ
СПОСОБ ПРОВЕРКИ ПРАВ ДОСТУПА ДЛЯ УЧЕТНЫХ ЗАПИСЕЙ ПОЛЬЗОВАТЕЛЕЙ В ГРИД-СИСТЕМАХ И СИСТЕМА ДЛЯ ЕГО ОСУЩЕСТВЛЕНИЯ
Источник поступления информации: Роспатент

Показаны записи 1-10 из 15.
10.10.2014
№216.012.fbb1

Способ автоматического адаптивного управления сетевыми потоками в программно-конфигурируемых сетях

Изобретение относится к области автоматизации управления сетевыми коммутаторами и маршрутизаторами в программно-конфигурируемых сетях. Техническим результатом является повышение быстродействия и пропускной способности OpenFlow-коммутаторов и OpenFlow-маршрутизаторов. Способ автоматического...
Тип: Изобретение
Номер охранного документа: 0002530279
Дата охранного документа: 10.10.2014
27.12.2014
№216.013.1485

Способ распознавания образов на цифровом изображении

Изобретение относится к распознаванию данных, а именно к распознаванию лица человека на цифровых изображениях, и может быть использовано в системах технического зрения для ограничения доступа к защищенным от посторонних лиц услугам, ресурсам и объектам. Техническим результатом является...
Тип: Изобретение
Номер охранного документа: 0002536677
Дата охранного документа: 27.12.2014
20.07.2015
№216.013.654f

Способ доверенной интеграции систем управления активным сетевым оборудованием в распределенные вычислительные системы и система для его осуществления

Изобретение относится к средствам защиты информационных систем. Технический результат заключается в повышении защищенности активного сетевого оборудования. Предварительно фиксируют эталонное техническое состояние активного сетевого оборудования: перечень открытых сетевых портов, контрольные...
Тип: Изобретение
Номер охранного документа: 0002557482
Дата охранного документа: 20.07.2015
20.10.2015
№216.013.8486

Способ обеспечения доступа к объектам в операционной системе

Изобретение относится к вычислительной технике. Технический результат заключается в повышении надежности операционной системы (ОС) за счет предотвращения несанкционированного доступа к объектам в ОС. Способ обеспечения доступа к объектам в ОС, в котором формируют сигнал запроса на обслуживание,...
Тип: Изобретение
Номер охранного документа: 0002565529
Дата охранного документа: 20.10.2015
10.04.2016
№216.015.321c

Способ централизованного контроля доступа систем управления к активному сетевому оборудованию в распределенных вычислительных системах и система для его осуществления

Изобретение относится к информационной безопасности. Технический результат заключается в повышении защищенности активного сетевого оборудования. Способ централизованного контроля доступа систем управления к активному сетевому оборудованию в распределенных вычислительных системах, в котором...
Тип: Изобретение
Номер охранного документа: 0002580815
Дата охранного документа: 10.04.2016
25.08.2017
№217.015.cdd0

Способ управления рабочим множеством виртуальных вычислителей в виртуальной сетевой системе защиты информации

Изобретение относится к защите информации от несанкционированного доступа. Технический результат – повышение пропускной способности сетевой системы защиты информации. Способ управления рабочим множеством виртуальных вычислителей в виртуальной сетевой системе защиты информации включает обработку...
Тип: Изобретение
Номер охранного документа: 0002619716
Дата охранного документа: 17.05.2017
26.08.2017
№217.015.df1e

Способ многопоточной защиты сетевого трафика и система для его осуществления

Изобретение относится к защите от несанкционированного доступа к информации при ее передаче по каналам связи. Технический результат – повышение пропускной способности средств защиты информации. Для этого в способе многопоточной защиты сетевого трафика дополнительно выполняется в зависимости от...
Тип: Изобретение
Номер охранного документа: 0002625046
Дата охранного документа: 11.07.2017
29.12.2017
№217.015.f0c2

Способ прогнозирования безопасности в достижимых состояниях грид-систем

Изобретение относится к вычислительной технике. Технический результат заключается в повышении скорости обработки пользовательской задачи в грид-системе за счет уменьшения количества анализируемых состояний грид-системы. Указанный технический результат достигается за счет применения способа...
Тип: Изобретение
Номер охранного документа: 0002638005
Дата охранного документа: 08.12.2017
20.01.2018
№218.016.127d

Способ верификации безопасного распределения пользовательских задач по узлам грид-системы

Изобретение относится к вычислительной технике и может быть использовано в распределенных вычислительных сетях. Техническим результатом является повышение защищенности грид-системы и сокращение временных затрат на поддержание надежного функционирования грид-систем за счет сокращения времени...
Тип: Изобретение
Номер охранного документа: 0002634184
Дата охранного документа: 24.10.2017
01.03.2019
№219.016.cb3e

Способ централизованных автоматизированных настройки, контроля и анализа безопасности информационных систем и система для его осуществления

Изобретение относится к информационным системам и может быть использовано для управления информационной безопасностью, осуществляемого в автоматизированном режиме. Изобретение позволяет повысить эффективность обеспечения информационной безопасности и улучшить управляемость информационных...
Тип: Изобретение
Номер охранного документа: 0002390839
Дата охранного документа: 27.05.2010
Показаны записи 1-10 из 20.
10.10.2014
№216.012.fbb1

Способ автоматического адаптивного управления сетевыми потоками в программно-конфигурируемых сетях

Изобретение относится к области автоматизации управления сетевыми коммутаторами и маршрутизаторами в программно-конфигурируемых сетях. Техническим результатом является повышение быстродействия и пропускной способности OpenFlow-коммутаторов и OpenFlow-маршрутизаторов. Способ автоматического...
Тип: Изобретение
Номер охранного документа: 0002530279
Дата охранного документа: 10.10.2014
27.12.2014
№216.013.1485

Способ распознавания образов на цифровом изображении

Изобретение относится к распознаванию данных, а именно к распознаванию лица человека на цифровых изображениях, и может быть использовано в системах технического зрения для ограничения доступа к защищенным от посторонних лиц услугам, ресурсам и объектам. Техническим результатом является...
Тип: Изобретение
Номер охранного документа: 0002536677
Дата охранного документа: 27.12.2014
20.07.2015
№216.013.654f

Способ доверенной интеграции систем управления активным сетевым оборудованием в распределенные вычислительные системы и система для его осуществления

Изобретение относится к средствам защиты информационных систем. Технический результат заключается в повышении защищенности активного сетевого оборудования. Предварительно фиксируют эталонное техническое состояние активного сетевого оборудования: перечень открытых сетевых портов, контрольные...
Тип: Изобретение
Номер охранного документа: 0002557482
Дата охранного документа: 20.07.2015
20.10.2015
№216.013.8486

Способ обеспечения доступа к объектам в операционной системе

Изобретение относится к вычислительной технике. Технический результат заключается в повышении надежности операционной системы (ОС) за счет предотвращения несанкционированного доступа к объектам в ОС. Способ обеспечения доступа к объектам в ОС, в котором формируют сигнал запроса на обслуживание,...
Тип: Изобретение
Номер охранного документа: 0002565529
Дата охранного документа: 20.10.2015
10.04.2016
№216.015.321c

Способ централизованного контроля доступа систем управления к активному сетевому оборудованию в распределенных вычислительных системах и система для его осуществления

Изобретение относится к информационной безопасности. Технический результат заключается в повышении защищенности активного сетевого оборудования. Способ централизованного контроля доступа систем управления к активному сетевому оборудованию в распределенных вычислительных системах, в котором...
Тип: Изобретение
Номер охранного документа: 0002580815
Дата охранного документа: 10.04.2016
25.08.2017
№217.015.cdd0

Способ управления рабочим множеством виртуальных вычислителей в виртуальной сетевой системе защиты информации

Изобретение относится к защите информации от несанкционированного доступа. Технический результат – повышение пропускной способности сетевой системы защиты информации. Способ управления рабочим множеством виртуальных вычислителей в виртуальной сетевой системе защиты информации включает обработку...
Тип: Изобретение
Номер охранного документа: 0002619716
Дата охранного документа: 17.05.2017
26.08.2017
№217.015.df1e

Способ многопоточной защиты сетевого трафика и система для его осуществления

Изобретение относится к защите от несанкционированного доступа к информации при ее передаче по каналам связи. Технический результат – повышение пропускной способности средств защиты информации. Для этого в способе многопоточной защиты сетевого трафика дополнительно выполняется в зависимости от...
Тип: Изобретение
Номер охранного документа: 0002625046
Дата охранного документа: 11.07.2017
29.12.2017
№217.015.f0c2

Способ прогнозирования безопасности в достижимых состояниях грид-систем

Изобретение относится к вычислительной технике. Технический результат заключается в повышении скорости обработки пользовательской задачи в грид-системе за счет уменьшения количества анализируемых состояний грид-системы. Указанный технический результат достигается за счет применения способа...
Тип: Изобретение
Номер охранного документа: 0002638005
Дата охранного документа: 08.12.2017
20.01.2018
№218.016.127d

Способ верификации безопасного распределения пользовательских задач по узлам грид-системы

Изобретение относится к вычислительной технике и может быть использовано в распределенных вычислительных сетях. Техническим результатом является повышение защищенности грид-системы и сокращение временных затрат на поддержание надежного функционирования грид-систем за счет сокращения времени...
Тип: Изобретение
Номер охранного документа: 0002634184
Дата охранного документа: 24.10.2017
09.09.2018
№218.016.85ca

Способ управления связностью одноранговой межмашинной сети передачи данных

Изобретение относится к технологиям сетевой связи. Технический результат заключается в повышении надежности и эффективности сети. В способе управления связностью одноранговой межмашинной сети передачи данных на каждом узле сети формируют набор данных о каждом соединении, фиксируют общие...
Тип: Изобретение
Номер охранного документа: 0002666306
Дата охранного документа: 06.09.2018
+ добавить свой РИД