Loading article…
オペレーティング システムアーキテクチャでは、リファレンス モニターの概念は、システム上のオブジェクト (ファイルやソケットなど) に対するサブジェクト (プロセスやユーザーなど) の操作 (読み取りや書き込みなど) の実行能力に対するアクセス制御ポリシーを強制するリファレンス検証メカニズムに関する一連の設計要件を定義します。リファレンス モニターのプロパティは、次の意味を持つ頭字語 NEAT で表されます。
- 参照検証メカニズムは、攻撃者がメカニズムをバイパスしてセキュリティ ポリシーに違反できないように、バイパス不可能である必要があります。
- 参照検証メカニズムは評価可能、つまり分析やテストが可能で、その完全性が保証される（検証可能）必要があります。このプロパティがないと、メカニズムに欠陥が生じ、セキュリティ ポリシーが適用されない可能性があります。
- 参照検証メカニズムは常に呼び出される必要があります。このプロパティがないと、メカニズムが意図したとおりに実行されず、攻撃者がセキュリティ ポリシーに違反する可能性があります。
- 参照検証メカニズムは改ざん防止機能を備えている必要があります。このプロパティがないと、攻撃者がメカニズム自体を破壊し、セキュリティ ポリシーに違反する可能性があります。
たとえば、Windows 3.xおよび 9x オペレーティング システムにはリファレンス モニターが搭載されていませんが、Windows 2000およびWindows XPも含まれるWindows NTラインはリファレンス モニターを搭載するように設計されていました[1] 。ただし、その特性 (改ざん防止など) が独自に検証されたことがあるかどうか、また、どのようなレベルのコンピューター セキュリティを提供することが意図されていたかは明らかではありません。
リファレンス モニターの概念を満たすリファレンス検証メカニズムは、セキュリティに敏感なすべての操作を仲介するために呼び出される必要があり、改ざんされてはならず、正確性を検証するための完全な分析とテストを受けているため、システムのアクセス制御ポリシーを正しく適用するという主張です。リファレンス モニターの抽象モデルは、アクセス制御を適用する必要があるあらゆる種類のシステムに広く適用されており、このセキュリティ主張を行うあらゆるシステムにとって必要かつ十分な特性を表現していると考えられています。[2]
ロス・アンダーソンによると、[3]リファレンスモニターの概念は、ジェームズ・アンダーソンが1972年に発表した影響力のある論文で紹介されました。[4] ピーター・デニングは2013年の口述歴史の中で、ジェームズ・アンダーソンがこの概念を、彼とスコット・グラハムが1972年の会議で発表した論文に帰したと述べています。[5]
信頼できるコンピュータ システム評価基準(TCSEC)によって B3 以上と評価されたシステムでは、参照モニターの概念を適用する必要があります。
参考文献
- ^ tedhudek (2018-10-16). 「Windows カーネル モード セキュリティ リファレンス モニター - Windows ドライバー」. docs.microsoft.com . 2018 年 11 月 20 日閲覧。
- ^ Irvine, CE (1999). コンピュータセキュリティ教育における統一原理としてのリファレンスモニターの概念。IFIP TC11 WG 11.8 第 1 回世界情報セキュリティ教育会議の議事録、27--37
- ^ Anderson, R. (2008). セキュリティエンジニアリング - 信頼できる分散システム構築ガイド (第 2 版). ニューヨーク、ニューヨーク: John Wiley & Sons Publishing, Inc. 第 8 章「マルチレベルセキュリティ」
- ^ Anderson, J.「コンピュータセキュリティ技術計画調査」、ESD-TR-73-51、米国空軍電子システム部門 (1973)。セクション 4.1.1 http://csrc.nist.gov/publications/history/ande72.pdf
- ^ Peter J. Denning、口述歴史インタビュー、ミネソタ大学チャールズ・バベッジ研究所。37-38 ページで Denning は次のように述べている。「James Anderson は... 彼のコミュニティでそれを推進し、その論文の最大の貢献はリファレンス モニターであると述べた。それが、システムをより安全にする方法について話すときに彼が話すすべてのことの標準的な概念になった。」
参照