Щеглов А.Ю. Защита компьютерной информации от несанкционированного доступа

Подождите немного. Документ загружается.

Глава

18.

Разработка и оптимизация механизма уровневого контроля

Выше было показано, что ввиду различия физического смысла контроли-

руемых событий, требования к обслуживанию в реальном масштабе време-

ни для них могут сильно различаться (в разы). Это определяется как соб-

ственно процедурой контроля объектов, имеющих различный физический

смысл, так и различным физическим смыслом вырабатываемых реакций.

Рассмотрим следующий вариант, когда одно из времен несанкциониро-

ванного изменения списка (верхний предел времени для проведения про-

верки по данному списку) намного меньше остальных.

Введем следующее обозначение:

(

— задаваемое требованием к обслу-

живанию в реальном времени офаничение на время (продолжительность)

контроля события (с учетом возможной реакции системы защиты).

Таким образом, исходным условием является то, что время

ог

/k,

т.е. верхний предел времени для проведения проверки первого списка в

k раз меньше, чем у остальных.

Длительность всех проверок для простоты примем равной

(Т

коат

Очевидно, что при реализации системы реального времени все заявки на

обслуживание должны обрабатываться за фиксированное время

Тогда

для случая с бесприоритетным обслуживанием (циклическое обслужива-

ние запросов на проведение контроля всеми механизмами) получим вре-

менные затраты на проведение всех проверок:

БП

контр

]

контр

•

1=1

i=2

Пусть контроль по первому списку, характеризуемому более жесткими

ограничениями на параметр Т

осуществляется в k раз чаще. Введем

приоритет обслуживания для контроля первого списка. В результате по-

лучим временные затраты на проведение всех проверок:

•*ОЯ

Konmpi

'-конто: •

Очередности обслуживания в

бесприоритетном

режиме и с приоритет-

ным режимом для контроля первого списка представлены на рис. 18.6 и

рис. 18.7.

т„„,,

„,

КОН1р2

конгр

ко

„

тр2

кошр3

Рис

18.6.

Очередность обслуживания при отсутствии приоритетов

Зак.

369

321

Часть V. Контроль корректности функционирования механизмов защиты

0 Г

1 1

-1

Рис

18.7.

Очередность обслуживания с приоритетом контроля первого списка

Оценка выигрыша

Получаемый выигрыш от использования расписания проиллюстрирован

на рис

18.8, 18.9, где:

- 1

К*

БП

*ОЛ

контр,

£j

* контр,

'=2

БП

*рп

£j

'•контр,

1=7

^«^

^^^

Рис.

18.8.

Выигрыш от включения в схему контроля приоритетного

обслуживания, как функция

f(k)

На рис 18.8 по оси k откладывался коэффициент k, по оси Д — получа-

емый выигрыш от использования приоритетного обслуживания по срав-

нению с бесприоритетным обслуживанием. По оси Д единицей измере-

ния является

2уТ*««ч>/-

/=2

Из приведенного графика видно, что зависимость получаемого выигры-

ша (в единицах

£,T

KOIimfi

)

является линейной (прямая с коэффициентом

наклона k — 1).

На рис. 18.9 по оси (k) (i) откладываются коэффициенты k и

Коэффи-

циент i для различных кривых принимает значения k, 3k и

1/2&.

По оси

ординат отложены значения коэффициента получаемого

выигрыша

Д от

использования приоритетного обслуживания по сравнению с бесприори-

тетным (получаемый выигрыш равен Д •

Полученная зависимость

является нелинейной.

322

Глава

18.

Разработка и оптимизация механизма

уровневого

контроля

ВО

i=3k

-A-k=2i

Рис.

78.

Выигрыш

от включения в схему контроля приоритетного

обслуживания, как функция А = f(k,i)

Оценим полученный выигрыш в процентном отношении при заданных

параметрах.

Пусть:

* отношение временных ограничений для первого списка и всех ос-

тальных k = Т

./Т

=10;

огр!

игр!

» количество проверяемых списков

= 10;

* время контроля каждого списка

ктт

,. = 10 [с].

При данных условиях получаемый выигрыш будет оцениваться:

•

БП

mfl

.=(10-1)-

1=2,10

810

[с],

1=1,10

KOHmfl

5)10

= 100

90 = 190

[с].

/=2,10

Т.е. в данном случае выигрыш от реализации в системе приоритетного

обслуживания составит:

A/r

i77

• 100% = 810/1000 • 100 = 81%.

Из графика зависимости полученного выигрыша А (единицей измерения

является

Koim

)

видно, что с увеличением коэффициента

величина вы-

игрыша растет быстрее. Т.е. наибольший выигрыш получается при боль-

323

Часть V. Контроль корректности функционирования механизмов защиты

шом количестве контролируемых списков. От коэффициента k (отноше-

ние временных ограничений для разных проверок) он зависит в мень-

шей степени.

С учетом сказанного может быть сделан важный вывод о том, что кон-

троль списков санкционированных событий в реальном времени целе-

сообразно осуществлять по приоритетным расписаниям. При этом мо-

жет быть достигнуто значительное снижение затрат производительности

вычислительного ресурса защищаемого объекта.

18.4.4. Геометрическая интерпретация задачи

синтеза приоритетных расписаний

Геометрический подход в общем виде

Как было показано выше, в схему контроля списков санкционирован-

ных событий целесообразно включать приоритеты обслуживания. При

этом особенность построения системы состоит в том, что обслуживание

запросов на контроль должно осуществляться в реальном масштабе вре-

мени, причем как приоритетных, так и бесприоритетных, т.е. запросы дол-

жны обслуживаться по расписанию. Другими словами, в рассматривае-

мых приложениях приоритет заявки на обслуживание вводится не с целью

предоставления преимущественного права одной заявки перед другой быть

обслуженной, а с целью быть обслуженной за меньшее гарантированное

время, определяемое с учетом исходных ограничений на систему конт-

роля в реальном времени.

Задача синтеза расписания реального времени для метода уровневого

контроля (для тех списков, где такое расписание возможно) заключается

в составлении такого расписания, в котором промежутки времени между

проверками будут наиболее велики, для того, чтобы высвободить макси-

мум процессорного времени для выполнения прикладных программ.

Другими словами, цель составления такого расписания — минимальное

снижение системной производительности механизмами обеспечения бе-

зопасности. При этом, естественно, должно гарантироваться соблюдение

правил защиты от несанкционированного воздействия.

Рассмотрим геометрическую интерпретацию задачи синтеза расписаний

реального времени (в трехмерном пространстве) [22]. Пусть по осям

л-мерной

системы координат откладываются ограничения

ог

(верхний

предел времени для проведения проверки соответствующего списка, ко-

торый не должен нарушаться по требованиям функционирования систе-

мы в реальном времени). Время, необходимое для проведения контроля

соответствующего списка, задается вектором

кшт

Направление этого

вектора указывает, какой список контролируется). Вектор

соответ-

ствует оси времени для прикладных задач (см. рис. 18.10).

324

Глава

18. Разработка и оптимизация механизма уровневого контроля

Запрещенная область решения

Тогр2

У////////////////

ТконтрЗ

Т контр!

Тогр1

Рис. 18.10. Геометрическая интерпретация

задачи синтеза расписания

Отложение вектора по соответствующей оси означает предоставление дан-

ному запросу кванта времени на обслуживание (соответственно

или

). Очевидно, при отложении вектора

кт

должна быть перенесена

система координат.

Поясним сказанное. Допустим, мы отложили вектор

Kgimp

Это означает, что

проведен контроль по первому списку. При этом (после контроля) ограни-

чения по первому списку будут иметь исходный вид

огр

Текущее же зна-

чение ограничения по второму списку

уменьшится и станет равным

Т„гр

2 ~

KOI

начало координат должно быть перемещено

по оси

огр

на величину вектора

Значения

огр

jW.

Г^

задают

на осях ограниче-

ния, которые не должны пересекаться откладываемыми векторами, образуя

запрещенную область решения, пересечение которой означает невыполне-

ния ограничений по обслуживанию в реальном времени.

Таким образом, задача синтеза расписаний состоит в выборе такой пос-

ледовательности откладываемых векторов в рассматриваемой системе

кординат (составление такого цикла — цикла расписания), при которой

все события контролируются без пересечения запрещенной области ре-

шений. Соответственно, те кванты времени (отложенные векторы

квш1т

которые могут быть размещены в промежутках между контролем, предо-

ставляются для решения прикладной задачи.

Геометрическая интерпретация задачи синтеза расписания

ортонормированием

базисе

Введем параметр «скорость продвижения к заданным ограничениям», для

чего пронормируем исходную систему. Иллюстрация для двухмерного

пространства приведена на рис.

18.11.

По осям координат в нормирован-

ной системе откладываются векторы, соответствующие параметру «ско-

рость продвижения к соответствующему временному ограничению»:

V = Т /Т

контр.п

контр,

огр

325

Часть V. Контроль корректности функционирования механизмов защиты

Т„

Ф2

/Т

ОФ

Проекция

Запрещенная

область

решения

Рис.

18.11.

Геометрическая интерпретация задачи

синтеза расписания в

ортонормированием

базисе

Задача выбора направления движения (проведения одной из проверок)

интерпретируется следующим образом. Из начала системы координат к

точке пересечения ограничений (в ортонормированном базисе задается

значением

огр;

огр

= 1)

проводится идеальный вектор направления дви-

жения (а). Составление расписания в этом случае соответствует отклады-

ванию по одной из осей скорости продвижения к ограничению. Выбор оси

производится по критерию максимальной проекции на идеальный вектор.

Т.е. движение происходит в направлении, максимально соответствующем

идеальному вектору, который определяет направление, задающее макси-

мальное расстояние до запрещенной области ограничений.

После проведения проверки, что соответствует откладыванию соответ-

ствующего вектора, система координат сдвигается на величину отложен-

ного вектора по всем осям, кроме выбранной (на интервал, равный

отложенной скорости). Данное действие соответствует уменьшению вре-

менных ограничений для проведения остальных проверок.

Последовательность откладываемых векторов образует цикл расписания.

Требования к циклу таковы, что должен осуществиться контроль по всем

событиям (по крайней мере, один вектор должен быть отложен по каж-

дой оси). При этом векторы не должны пересечь запрещенную область

ограничений. Таким образом определяется как расписание, так и требо-

вания к производительности вычислительного ресурса, позволяющего осу-

ществлять рассматриваемую процедуру контроля в реальном времени. Рас-

писание является в этой ситуации приоритетным, если в цикле расписания

ветор по одному из направлений ограничений откладывается чаще, чем

по другим направлениям.

Если цикл расписания не может быть реализован без пересечения зап-

рещенной области, необходимо уменьшить параметры

Это соот-

ветствует увеличению мощности вычислительного ресурса.

326

Глава

18.

Разработка и оптимизация механизма уровневого контроля

Методика синтеза расписания

Рассмотрим в укрупненном виде методику синтеза расписания, которая

состоит в выполнении последовательности шагов.

Прежде всего, исходя из требований к реализуемой системе, задаются

значения следующих параметров:

огр

Kniim/i!

;

квшш

Затем проверяется условие возможности составления расписания

реального времени (возможности обслуживания в реальном времени) для

контроля списков:

Если данное условие не выполняется, то необходимо изменить началь-

ные ограничения

(Т

аг

кшт

квшт

)

за счет увеличения производитель-

ности системы (уменьшая тем самым

ктт

или за счет уменьшения

количества проверок (числа контролируемых списков).

После проверки выполнимости условия реализуется пошаговая процедура

синтеза расписания, где на каждом шаге выполняются следующие действия:

1. Выбирается откладываемый вектор (контролируемый список).

2. Откладывается выбранный вектор (переносится система координат).

3. Проверяется выполнение условия реального времени -- отложен-

ный вектор не должен пересечь запрещнную область решения. Если

пересекает, то решить задачу для заданных условий невозможно -

требуется либо увеличить производительность системы (уменьшая

тем самым

Kami

либо уменьшить количество проверок.

4. Проверяется, установился ли цикл расписания, т.е. обнаружена ли

повторяющаяся последовательность контроля списков. Если не об-

наружена — переход к следующему шагу. Если обнаружена — син-

тез расписания завершен.

18.5. Оценка влияния механизма

уровневого контроля списков на загрузку

вычислительного ресурса системы

•

Анализ влияния механизма

на загрузку вычислительного ресурса в общем случае

Оценим влияние механизма уровневого контроля списков на загрузку

вычислительного ресурса системы при решении системой прикладных

задач, требующих различных временных затрат.

327

Часть V. Контроль корректности функционирования механизмов защиты _

Выделим три класса задач по продолжительности их решения системой:

« быстрые;

» средние;

» медленные.

Пусть задачи данных классов будут иметь различную фиксированную

продолжительность решения системой. Соответсвенно обозначим продол-

жительности как

Ы,

Ь2,

ЬЗ,

соответствующие интенсивности обслужи-

вания —

/я,,

= 0,01(с);

}

= 100

(с'

)

0,1

(с);

т,

= 10

(с'

)

= 10(с);

= 1/10

(с-

)

Пусть системой защиты реализуется три типа проверок (три контроли-

руемых списка) и пусть соответственно параметрами для данных прове-

рок будут:

огр

0,005 (с)

Т,,^

0,05

(с)

огр3

= 5 (с)

Kaimpl

= 0,001 (с)

коитр2

= 0,001 (с)

0,001

(с)

Для оценки влияния механизма уровневого контроля списков на загруз-

ку вычислительного ресурса системы при решении этих задач восполь-

зуемся моделью массового обслуживания. При этом в качестве критерия

возьмем среднее время ожидания задачи в очереди.

Модель будет состоять из одного обслуживающего прибора и очереди

заявок на обслуживание [6]. Входные параметры это модели таковы:

Я .... интенсивность входного потока заявок (имеет пуассоновский за-

кон распределения. Данный закон распределения выбран, т.к. он

описывает наиболее случайное распределение интенсивности вход-

ного потока заявок);

b .... время обслуживания заявки в приборе (для каждого класса задач).

Средняя длительность ожидания заявки в очереди (для пуассоновского

потока) в общем случае пределяется по формуле:

328

Глава

18.

Разработка и оптимизация механизма

уровневого

контроля

где W - средняя длительность ожидания заявки в очереди;

- интенсивность обслуживания;

р - коэффициент загрузки системы;

а - отклонение длительности обслуживания;

р =

•' b =

А.

— коэффициент загрузки системы.

При постоянном времени обслуживания (s = 0) имеем:

И^=

А/(2//

2ЯУ

ДО =

р/2/1-

(А - р).

Для каждого из введенных классов задач построим графики зависимос-

ти среднего времени ожидания задачи в очереди W от интенсивности

входного потока задач W =

/(А).

Для оценки влияния механизма уров-

невого контроля списков на загрузку вычислительного ресурса системы

сравним графики рассматриваемой зависимости для следующих случаев:

* без реализации в системе механизма контроля списков (решаются

только прикладные задачи);

« при реализации механизма для двух случаев — с бесприоритетным и

приоритетных обслуживанием.

Полученные зависимости для первого класса задач (быстрые) приведе-

ны на рис. 18.12. Полученные зависимости для второго класса задач (сред-

ние) приведены на рис. 18.13. Полученные зависимости для третьего

класса задач (медленные) приведены на рис. 18.14.

0,025

•о

0,02

0,015

0,01

0,005

0,00 5,00 15,00 20,00 25,00 30,00 35,00 40,00 45,00 50,00

Интенсивность входного потока

(1/с)

(без проверок)

(проверки

БП)

(приоритетные проверки)

Рис. 18.12. Среднее время ожидания задачи в очереди (первый класс)

329

Часть V. Контроль корректности функционирования механизмов защиты

0,4

0,35

0,3-

о^

0,25

0,15

0,1

0,05

0,00

1,00 1,50 2,00 2,50 3,00

3,50

4,00

4,50

5,00 5,50

Интенсивность входного потока

(1/с)

—

(без проверок)

—

(проверки

БП)

w (приоритетные

проверки)

Рис. 18.13. Среднее время ожидания задачи в очереди (второй класс)

•

, •

интенсивность входного потока (1/с)

(без проверок)

(проверки БП)

(приоритетные проверки)

Рис. 18.14. Среднее время ожидания задачи в очереди (третий класс)

На основании проведенных исследований могут быть

сделаны

следую-

щие

выводы:

Увеличение загрузки вычислительного ресурса системы при исполь-

зовании механизма

уровневого

контроля может быть достаточно ве-

лико, особенно при высокой загрузке системы. Это обусловливает

необходимость обоснованного выбора контролируемых списков.

330