test

Solaris Trusted Extensions ラベルの管理

格付け名の構文

格付けは、ラベルの階層を表します。各ラベルには、それぞれ 1 つの格付けがあります。1 つのサイトで最大 255 の格付けを定義できます。label_encodings ファイルで、1 〜 255 の整数値を格付けに割り当てることができます。値 0 は ADMIN_LOW 管理ラベル用に予約されています。値 32,767 は ADMIN_HIGH 管理ラベル用に予約されています。説明図は、図 1–2 を参照してください。

格付けは、label_encodings ファイルの CLASSIFICATIONS セクションで、認可上限と機密ラベルに対して一度定義されます。

高い値の格付けは、低い値の格付けよりも優位です。次の表は、異なるエンコーディングファイルの、同じ値が割り当てられている 2 セットのラベル名を示しています。左の列は、label_encodings.example ファイルの機密ラベルの例を示します。真ん中の列は、label_encodings.gfi.multi ファイルのラベルを示します。Registered または Top Secret の格付け (値 6) のラベルは、それぞれの列に示されているラベルよりも優位です。

民間の例 

米国政府の例 

値 

Registered

Top Secret

6 

Need to Know

Secret

5 

Internal Use Only 






Confidential





4 











Public






Unclassified





1 










 

 

格付けのキーワード


格付けとして定義されるキーワードを次のリストで説明します。初期コンパートメントの定義例は、「デフォルト語句とインバース語句」を参照してください。





name=






(/)、(,)、および (;) を含むことはできません。それ以外の英数字および空白文字は使用できます。ラベルを指定する場合、name、sname、または aname を指定できます。






sname=






格付けのみで必要とされます。短形式名が機密ラベルで [ ] 内に表示されます。






aname=






省略可能。格付けが必要とされる場合に入力可能な名前。






value=






割り当てる値は、格付けの実際の階層を表します。今後の拡張に備えて、割り当てる値に余裕をもたせます。0 は ADMIN_LOW 用に予約されています。値は 1 〜 255 の範囲です。






initial compartments=






省略可能。デフォルトのコンパートメント語句のビット番号を指定します。デフォルトのコンパートメント語句は、関連付けられた格付けがあるラベルで最初に表示されます。



応用: インバース語句のビット番号を指定します。最下位格付けには初期コンパートメントはありません。






initial markings=





廃止。定義しないでください。








次の例は、label_encodings.multi ファイルの冒頭部分です。


例 3–1  label_encodings.multi の初期コンパートメントがある格付け








VERSION= Trusted Solaris Multi-Label Sample Version - 5.6 05/07/27

*
*    WARNING:  If CIPSO Tag Type 1 network labels are to be used:
*
*        a) All CLASSIFICATIONS values must be less than or equal to 255.
*        b) All COMPARTMENTS bits must be less than or equal to 239.
*

CLASSIFICATIONS:

*
name= UNCLASSIFIED;  sname= U;  value= 1;
name= CONFIDENTIAL;  sname= C;  value= 4; initial compartments= 4-5 190-239;
name= SECRET;        sname= S;  value= 5; initial compartments= 4-5 190-239;
name= TOP SECRET;    sname= TS; value= 6; initial compartments= 4-5 190-239;







各格付けには必須の name、sname 、value フィールドがあります。CONFIDENTIAL、 SECRET、および TOP SECRET の格付けには初期コンパートメントがあります。最下位の格付け UNCLASSIFIED には初期コンパートメントはありません。


初期コンパートメントのビット割り当て 4-5 および 190-239 は、ビット 4、5、および 190 〜 239 がオンであることを表します。これらのビットは、この格付けによってラベルで 1 に設定されます。


初期コンパートメントの一部は、デフォルト語句およびインバース語句を定義するためにあとで使用します。インバース語句をあとで定義するために予約されている初期コンパートメントもあります。



次の例は、初期コンパートメントがない格付けのセットです。


例 3–2  label_encodings.example の初期コンパートメントがない格付け








CLASSIFICATIONS:

name= PUBLIC; sname= PUBLIC; value= 1;
name= INTERNAL_USE_ONLY; sname= INTERNAL; aname= INTERNAL; value= 4;
name= NEED_TO_KNOW; sname= NEED_TO_KNOW; aname= NEED_TO_KNOW; value= 5;
name= REGISTERED; sname= REGISTERED; aname= REGISTERED; value= 6;







デフォルト語句とインバース語句


初期コンパートメントとしてビットを定義すると、その格付けを含むすべてのラベルで、そのビットが 1 に設定されます。初期コンパートメントとして指定したビットは、あとから label_encodings ファイルで、「デフォルト語句」または「インバース語句」として定義できます。




例 3–3  初期コンパートメントの割り当て

この例で、PUBLIC 格付けに初期コンパートメントは割り当てられず、WEB COMPANY 格付けに初期コンパートメント 4 および 5 が割り当てられます。PUBLIC 格付けを含むラベルにはデフォルトコンパートメントはありません。WEB COMPANY 格付けを含むラベルは、常にコンパートメントビット 4 および 5 がオンです。









name= PUBLIC;  sname= P;  value= 1;
name= WEB COMPANY;  sname= WEBCO;  value= 4; initial compartments= 4-5








次の節では、これらの初期コンパートメントビットを語句に割り当てる方法を示します。


例 3–4  SENSITIVITY LABELS のデフォルト語句とインバース語句の定義

この例では、コンパートメントビット 4 および 5 が語句 DIVISION ONLY に割り当てられます。各コンパートメントビットは、インバース語句にも関連付けられます。WEBC AMERICA がインバースコンパートメントビット ~4 に割り当てられます。WEBC WORLD がインバースコンパートメントビット ~5 に割り当てられます。これらの割り当ての結果は次のとおりです。










SENSITIVITY LABELS:

WORDS:

name= DIVISION ONLY;  sname= DO;       minclass= WEB COMPANY; compartments= 4-5;
name= WEBC AMERICA;   sname= WEBCA;    minclass= WEB COMPANY; compartments= ~4;
name= WEBC WORLD;     sname= WEBCW;    minclass= WEB COMPANY; compartments= ~5;







コンパートメント語句


コンパートメントはラベルに表示されるように定義できる、省略可能な語句です。ほかのトラステッドシステムでは、コンパートメントをカテゴリと呼ぶことがあります。コンパートメントを使用することによって、そのコンパートメントがラベルに含まれている情報に対する特別な取り扱い手順や、その情報にアクセスできる人の一般的なクラスを示すことができます。


コンパートメント語句は非階層的なビットに割り当てられますが、コンパートメント語句間に階層を設定できます。その階層は、あるコンパートメント語句のビットを別のコンパートメント語句に定義されているビットに含めるための規則に基づいて形成されます。


コンパートメント語句は、ラベルの型ごとに WORDS サブセクションでオプションとして定義されます。各コンパートメント語句は、1 つまたは複数のビットに割り当てられます。


すべての型のラベルは同じ格付けを使用しますが、それぞれの型のラベルに使用される語句は異なっていても構いません。語句が同じビットでエンコーディングされ、まったく同じオブジェクトを参照するのであっても、語句は異なるものにできます。



次の例は WEB COMPANY コンパートメント語句です。この語句は、短形式名 (sname)  WEBCO およびコンパートメントビット 40 〜 50 によって指定されています。


例 3–5  機密ラベルのコンパートメント定義の例








WORDS:

name= WEB COMPANY; sname= WEBCO; compartments= 40-50;








各ラベルには、格付けフィールドとともに、256 ビットのコンパートメントフィールドがあり、そのうちの 239 ビットを CIPSO ラベルに使用できます。各ビットには、コンパートメント語句をまったく割り当てないことも、1 つ以上割り当てることもできます。各語句には、1 つまたは複数のコンパートメントビットを割り当てることができます。使用可能な 239 ビットによって、多数のコンパートメント語句を作成できます。例として、表 6–3 に示すコンパートメント計画シートを参照してください。


格付け、コンパートメント、および組み合わせの要件が認可範囲に影響します。各格付け設定の ACCREDITATION RANGE (認可範囲) は、次の文字列のいずれかです。



階層コンパートメント語句


階層コンパートメントを使用することによって、大きなグループの全員が使用可能な文書とサブグループのみが使用可能な文書を区別できます。


例 3–6  階層を設定するためのビット組み合わせの使用

1 つのビットを使用する語句と、その同じビットをもう 1 つのビットとともに使用する別の語句を定義することによって、2 つの語句の階層関係を定義します。一般的なコンパートメント語句は特殊な語句より下に定義します。たとえば、ビット番号 1 を使用する語句、およびビット番号 1 と 2 を使用する別の語句を定義することによって、2 つの語句に階層関係を設定できます。


この例では、Sales (営業) コンパートメントが定義されています。これには、Direct Sales (直接営業) と Indirect Sales (間接営業) の 2 つのサブコンパートメントがあります。WebCo という名前の 1 つの格付けが前に定義されています。









name= Direct_Sales;   compartments= 1, 2
name= Indirect_Sales;   compartments= 1, 3
name= Sales;   compartments= 1





この定義によって、WebCo 社では、販売員のだれもがアクセスできる文書、間接販売員のみがアクセスできる文書、および直接販売員のみがアクセスできる文書を区別できます。





例 3–7  階層を設定するための REQUIRED COMBINATIONS の使用

2 つの語句が REQUIRED COMBINATIONS セクションに指定されている場合、最初の語句が使用されると必ず 2 番目のラベルがラベルに追加されます。


この例の Direct Sales、Indirect_Sales、Sales の定義は、例 3–6 と原則的に同じ働きをします。異なるのは、Direct_Sales 語句に必ず Sales 語句が伴う点です。









name= Direct_Sales;   compartments= 2
name= Indirect_Sales;   compartments= 3
name= Sales;   compartments= 1

REQUIRED COMBINATIONS:

Direct_Sales            Sales
Indirect_Sales          Sales