属性評価規則とは、ある属性が満たすべき条件を記述したもので、ポリシーを翻訳し
レ イヤ ラベル 付属情報
アプリケーション ap プロトコル、ユーザ、ロール 、その他 トランスポート(TCP/UDP:ポート) tp プロトコル、ポート
ネットワーク(IP:アドレス) nt IPアドレス(ソース/ディスティネーション) データリンク(VLAN: MAC+tag) dl MACアドレス+tag 情報
物理ネットワーク ph
表 4.1: 属性の構成
生成時に自動的に生成されるが 、管理者が直接記述してもよい。
ポリシー違反検出においては、違反検出の基準として使用され、各ネットワーク上の エンティティが持っている属性が属性評価規則に違反していれば 、ポリシー違反となる。
また、アクセスコントロール規則導出時には、アクセス制御点の前後のサービ ス属性 を継承/合成してよいかの判断をする基準として使用され、合成/継承してよい場合には、
そのサービ スを通過させるアクセスコントロール規則を導出し 、合成/継承してはいけ ない場合には、そのサービスを封鎖するアクセスコントロール規則を導出する。
属性評価規則は、各レ イヤ毎のラベルのついた属性に対して記述を行ない、以下のよ うな要素を用いて式で表現する。
•
簡単な制御構文 if 〜 else, else if•
ブロック {,}•
演算子 ==, !=,, &&,(, ) has
また、
•
アクセス強制点前後の属性 src.attribute, dst.attribute•
ネットワーク上のエンティティの各種属性を変数とし 、定数としては属性が取り得る定数およびサービス属性そのものを使用する。
例として、ネガティブサブジェクトのサービ ス属性がオブジェクトおよびポジティブ
allowCOPY SPSto dst.attribute;
}
if (src.attribute hasSNS&&(dst.attributehasSPS
dst.attribute hasSOB)) {
deny COPY SNS todst.attribute;
}
4.4.1
サービス記述から生成される属性評価規則
サービ ス記述において3種類のサービ ス属性を生成したことから、以下の２つの条件 がサービス属性に対して満たされなければならない。
•
ポジティブサブジェクトサービ ス属性の連続性の保証•
ネガティブサブジェクトサービ ス属性の孤立性の保証これは、それぞれのサービス属性がネットワーク構成記述上で以下の様な分布になって いなければならないと言うことである。
連続したポジティブサブジェクトサービス属性は少なくとも一点以上の個所 でオブジェクトサービス属性と連続していなければならない。つまり、ポジ ティブサブジェクトサービ ス属性のみで孤立していてはいけない。
ネガティブサブジェクトサービ ス属性は、ポジティブサブジェクトサービス 属性とオブジェクトサービ ス属性と非接触でなければならない。
このために、属性評価規則には、次の２つの式が必須である。
•
アクセス強制点での継承/合成を行う場合に、ポジティブサブジェクトサービス属 性とオブジェクトサービ ス属性が存在する場合には、それぞれのサービ ス属性の 継承/合成を許可する•
ポジティブサブジェクトサービ ス属性およびオブジェクトサービ ス属性が存在す る場合にはネガティブサブジェクトサービ ス属性の継承/合成を許可しない(共存ただし 、この規則はサービ ス記述の対象のサービ スがアクセス制御を行うレ イヤで生成 しなければならない。