2 I detta dokument presenteras inga nya idéer eller innovationer. Målet är att hjälpa utvecklare av hypervisorer att bestämma vilka av dessa idéer och funktioner som är viktiga för att göra säkerhet på flera nivåer användbar för 1 Slutanvändarkraven härrör från författarens personliga erfarenhet av att designa, distribuera och stödja en mängd olika MLS-system inom DoD och att utforma hög säkerhet hypervisorer. 2 Trusted Information Systems, Inc. utvecklade en föreslagen tolkning av Orange Book for Virtual Machine Monitors [10] som försökte klargöra några av dessa frågor, men den tog inte upp de nätverksfrågor som detta dokument särskilt fokuserar på. slutanvändare. En hypervisor med färre funktioner är billigare att bygga och lättare att utvärdera enligt de gemensamma kriterierna. Men om hypervisorn är alltför restriktiv, då kunderna kommer inte att kunna genomföra MLS-tillämpningar som de vill köra. Detta dokument identifierar en uppsättning funktioner som behövs för att göra hypervisorn användbar, men ändå är tillräckligt enkla för att garantera dess säkerhet. End-User Förväntningar MLS system kan betyda många saker för många människor. Vad detta dokument kommer att beskriva är kraven och konsekvenserna av ett säkert driftssätt på flera nivåer, vilket definierades för många år sedan i direktiv 5200.28 [11] och i genomförandehandboken [13]. 3 Ett system som körs i flera nivåer säkert läge har information på en mängd olika klassificeringsnivåer 4, men inte alla användare är klar för all information. Däremot, de flesta klassificerade system i DoD idag kör i system-hög läge och har information på en mängd olika klassificeringsnivåer, men alla användare är klar för den känsligaste informationen i systemet. Systemet kan vara en enda maskin eller ett helt nätverk. Till exempel lagrar DOD:s SIPR-nätverk information som är markerad från Oklassificerad via Secret, men alla användare är skyldiga att ha åtminstone en hemlig behörighet. Det finns också ett kontrollerat driftsätt där alla användare rensas till en viss nivå, men inte nödvändigtvis den högsta nivån av information. Den första framgångsrikt utplacerade kontrollerade läge 3 En mer modern version av dessa definitioner finns i [6] 4 Detta dokument kommer att tala om säkerhetsnivåer i de flesta fall för att göra språket enklare. Att endast använda hierarkiska säkerhetsnivåer är dock en överförenkling av modellen. DOD-säkerhetsmodellen är faktiskt en lattice-struktur med både nivåer och kategorier. En punkt i lattice kallas vanligtvis en accessklass, och varje par av accessklasser kan vara jämförbara (<, = eller >) eller de kan vara ojämförliga och helt ojämförbara. Se [18] för närmare uppgifter.
Karger Ref studerar kraven i MLS-systemen och diskuterar deras konsekvenser för utformningen av VMM.
Multi-level security requirements for hypervisors
{'venue': "21st Annual Computer Security Applications Conference (ACSAC'05)", 'journal': "21st Annual Computer Security Applications Conference (ACSAC'05)", 'mag_field_of_study': ['Computer Science']}