[論文レビュー] Security Policy Consistency

Carlos Ribeiro, André Zúquete+2 more|ArXiv.org|Jun 30, 2000

Access Control and Trust参考文献 11被引用数 24

ひとこと要約

本論文では、制約処理規則（CHR）言語に基づくPCVというツールを提示する。このツールは、形式的制約推論を用いて、ポリシー内およびポリシーとワークフロ仕様との間の、複数の種類のセキュリティポリシー整合性の不一致を検出する。複雑なマルチポリシー環境において、競合、上書き、ポリシーの不適合性を検出可能であり、SPLおよびWPDLの規定仕様での検証が行われた。

ABSTRACT

With the advent of wide security platforms able to express simultaneously all the policies comprising an organization's global security policy, the problem of inconsistencies within security policies become harder and more relevant. We have defined a tool based on the CHR language which is able to detect several types of inconsistencies within and between security policies and other specifications, namely workflow specifications. Although the problem of security conflicts has been addressed by several authors, to our knowledge none has addressed the general problem of security inconsistencies, on its several definitions and target specifications.

研究の動機と目的

• 単純な競合を超えて、多様なセキュリティポリシー整合性の不一致を体系的かつ効果的に検出する手法の欠如に対処する。
• セキュリティポリシー内だけでなく、セキュリティポリシーとその他の制約ベースの規定（例：ワークフローモデル）との間の整合性チェックを可能にする。
• 異なる組織のポリシーおよび規定形式に適応可能な柔軟で拡張可能な検証フレームワークを提供する。
• 現実の不一致を隠す優先順位ルールによる一時的解決策に依存するアドホックな競合解決メカニズムの限界を克服する。
• 正しさを損なわず、複雑で階層的なセキュリティポリシーを統合プラットフォームに統合することを支援する。

提案手法

• 一貫性チェックの指定と実行の基盤として、制約処理規則（CHR）言語を採用する。
• セキュリティポリシーをSPL言語でモデル化し、ワークフロースペシフィケーションをWPDLでモデル化し、両者をCHR制約に変換する。
• ポリシーの上書き、すべての操作の拒否、競合するアクセスルールなどの不一致を検出するため、簡略化および伝搬ルールをCHRで定義する。
• 簡略化と伝搬を1つのルール形式で扱えるように「simpagation」ルールを導入し、表現力の向上を図る。
• 三値セキュリティ論理と二値論理の間の意味的ギャップを埋めるために、「open」と「close」仮定を用いる。
• SICstus PrologのCHRソルバ上で実行される約300のCHRルールを用いてPCVツールを実装し、ポリシーとワークフローの組み合わせにおける一貫性を検証する。

実験結果

リサーチクエスチョン

• RQ1 複雑でマルチポリシーなセキュリティ規定とその他の組織的制約との間には、どのような種類の不一致が存在するのか？
• RQ2 単純なポリシー競合を超えて、上書きやポリシーの不整合性を含む、不一致を統一された形式的フレームワークで検出するにはどうすればよいか？
• RQ3 CHRのような制約ベースのアプローチは、セキュリティポリシーとワークフロースペシフィケーションの間の一貫性を効果的にモデル化・検証できるか？
• RQ4 三値セキュリティ論理と二値論理の間の意味的ギャップを埋めるために必要なメカニズムは何か？
• RQ5 PCVのようなツールは、どの程度一般化され、さまざまな組織のポリシーおよび規定モデルに適応可能か？

主な発見

• PCVは、SPLベースのセキュリティポリシー内において、ポリシーの上書き、相補的排他、競合するアクセスルールといった多様な不一致タイプを効果的に検出できた。
• PCVは、制限的なポリシーが原因でワークフローで禁止されたアクセスが発生するなど、セキュリティポリシーとWPDLワークフロースペシフィケーションとの間の不一致を同定した。
• 「open」と「close」仮定の使用により、三値セキュリティ論理と二値ワークフロー論理の間の意味的ブリッジングが可能となり、仕様間の一貫性検査が強化された。
• 約300のCHRルールを備えたプロトタイプは、SPLおよびWPDLのすべての制約を処理でき、実世界のポリシー組み合わせにおけるスケーラビリティを示した。
• 分離責任、情報フロー制御、その他のセキュリティポリシーの組み合わせを用いた実験では、不一致の検出において有望な結果が得られた。
• PCVは、優先順位ルールによるマスキングを採用するアドホックな競合解決戦略に比べ、実際の不一致を露呈する点で優れている。