[논문 리뷰] Security Policy Specification Using a Graphical Approach

James A. Hoagland, Raju Pandey외 1명|ArXiv.org|1998. 09. 30.

Information and Cyber Security참고 문헌 15인용 수 74

한 줄 요약

이 논문은 그래픽 표현과 일阶논리(First-order logic)를 사용하여 보안 정책을 명시하기 위한 형식적이고 객체지향적인 언어인 LaSCO를 소개한다. 이는 응용 프로그램 수준에서 정확하고 인간이 읽을 수 있는 정책 명세를 가능하게 하며, 코드 생성을 통한 추론 및 자동화된 시행을 지원하고, 보안 소프트웨어 시스템을 위한 정책 조합 및 정적 분석을 촉진한다.

ABSTRACT

A security policy states the acceptable actions of an information system, as the actions bear on security. There is a pressing need for organizations to declare their security policies, even informal statements would be better than the current practice. But, formal policy statements are preferable to support (1) reasoning about policies, e.g., for consistency and completeness, (2) automated enforcement of the policy, e.g., using wrappers around legacy systems or after the fact with an intrusion detection system, and (3) other formal manipulation of policies, e.g., the composition of policies. We present LaSCO, the Language for Security Constraints on Objects, in which a policy consists of two parts: the domain (assumptions about the system) and the requirement (what is allowed assuming the domain is satisfied). Thus policies defined in LaSCO have the appearance of conditional access control statements. LaSCO policies are specified as expressions in logic and as directed graphs, giving a visual view of policy. LaSCO has a simple semantics in first order logic (which we provide), thus permitting policies we write, even for complex policies, to be very perspicuous. LaSCO has syntax to express many of the situations we have found to be useful on policies or, more interesting, the composition of policies. LaSCO has an object-oriented structure, permitting it to be useful to describe policies on the objects and methods of an application written in an object-oriented language, in addition to the traditional policies on operating system objects. A LaSCO specification can be automatically translated into executable code that checks an invocation of a program with respect to a policy. The implementation of LaSCO is in Java, and generates wrappers to check Java programs with respect to a policy.

연구 동기 및 목표

• 응용 프로그램 수준에서 형식적이고 유연하며 인간이 읽을 수 있는 보안 정책 명세의 부족을 해결하기 위해.
• 일阶논리의 형식적 의미론을 통해 정책에 대한 추론을 가능하게 하기 위해.
• 자바 응용 프로그램에서 코드 인스트루멘테이션을 통한 정책 자동 시행을 지원하기 위해.
• 실행 메커니즘과 독립적인 정책 명세를 가능하게 하여 다양한 시스템 간 재사용을 가능하게 하기 위해.
• 운영체제 객체를 초월해 응용 프로그램 수준의 객체와 메서드까지 정책 모델링을 확장하기 위해.

제안 방법

• LaSCO는 논리적 주석을 갖춘 방향성 그래프로 정책을 표현하여 시각적 명확성과 형식적 의미론을 결합한다.
• 정책은 조건문 구조로 구성되며, 도메인(맥락)과 요구사항(허용된 동작)으로 나뉜다.
• 언어는 일阶논리(First-order logic)를 사용하여 형식적 의미론을 제공함으로써 일관성과 완전성 추론이 가능하다.
• LaSCO 정책는 런타임 호출이 정책 제약 조건을 위반하지 않는지 검사하는 실행 가능한 자바 코드로 컴파일된다.
• 이 방법은 정책 조합 및 이벤트 시퀀스에 대한 패턴 기반 매칭을 지원한다.
• 구현은 런타임 시행을 위해 자바 프로그램에 정책 검사 래퍼를 삽입하는 인스트루멘테이션을 포함한다.

실험 결과

연구 질문

• RQ1 보안 정책을 인간이 읽을 수 있고 형식적으로 정확하게 명시할 수 있는 방법은 무엇인가?
• RQ2 그래픽적이고 논리 기반의 언어가 응용 프로그램 수준에서 시간에 따라 변하는 복잡한 접근 제어 정책을 효과적으로 모델링할 수 있는가?
• RQ3 실행 가능한 상태를 유지하면서도 정책을 형식적으로 조합하고 추론할 수 있는가?
• RQ4 객체지향 시스템에서 자동 코드 인스트루멘테이션을 통한 정책 시행의 가능성은 어떠한가?
• RQ5 이러한 언어가 정적 분석과 런타임 모니터링을 모두 지원할 수 있는가?

주요 결과

• LaSCO는 운영체제 수준을 넘어서 응용 프로그램 수준에서 제약 기반 보안 정책을 명시할 수 있다.
• 그래픽적 표현은 인간의 이해를 향상시키고, 형식적 논리는 일관성과 완전성을 보장한다.
• LaSCO로 표현된 정책는 런타임 시행을 위해 자동으로 실행 가능한 코드로 변환될 수 있다.
• LaSCO는 이벤트 시퀀스와 맥락 조건을 포함한 복잡한 정책 패턴을 지원한다.
• LaSCO는 다양한 시스템과 시행 메커니즘 간 정책 재사용과 조합을 촉진한다.
• 이 방법은 정적 정책 분석과 런타임 모니터링을 모두 가능하게 하여 침입 탐지 및 보안 응용 프로그램 배포를 지원한다.