Содержание

Разработка политик безопасности

Разработка политик безопасности

В этом разделе справки

Формальные спецификации компонентов решения на базе KasperskyOS

Описание политики безопасности решения на базе KasperskyOS

Методы служб ядра KasperskyOS

Использование системных программ Klog и KlogStorage для выполнения аудита безопасности

В начало

Формальные спецификации компонентов решения на базе KasperskyOS

При разработке решения создаются формальные спецификации его компонентов, которые формируют "картину мира" для модуля безопасности Kaspersky Security Module. Формальная спецификация компонента решения на базе KasperskyOS (далее формальная спецификация компонента решения) представляет собой систему IDL-, CDL-, EDL-описаний (IDL- и CDL-описания опциональны) этого компонента. Эти описания используются для автоматической генерации транспортного кода компонентов решения, а также исходного кода модуля безопасности и инициализирующей программы. Также формальные спецификации компонентов решения используются как исходные данные для описания политики безопасности решения.

У ядра KasperskyOS так же, как и у компонентов решения, есть формальная спецификация (подробнее см. "Методы служб ядра KasperskyOS").

Каждый компонент решения соответствует EDL-описанию. С точки зрения формальной спецификации компонент решения – это контейнер компонентов, предоставляющих службы. Одновременно может использоваться несколько экземпляров одного компонента решения, то есть из одного исполняемого файла может быть запущено несколько процессов. Процессы, которые соответствуют одному и тому же EDL-описанию, являются процессами одного класса. EDL-описание задает имя класса процессов и параметры компонента верхнего уровня: предоставляемые службы с одним или несколькими интерфейсами, интерфейс безопасности и вложенные компоненты.

Каждый вложенный компонент соответствует CDL-описанию. Это описание задает имя компонента, предоставляемые службы, интерфейс безопасности, а также вложенные компоненты. Вложенные компоненты могут одновременно предоставлять службы, поддерживать интерфейс безопасности и являться контейнерами для других компонентов. Каждый вложенный компонент может предоставлять несколько служб с одним или несколькими интерфейсами.

Каждый интерфейс, включая интерфейс безопасности, определяется в IDL-описании. Это описание задает имя интерфейса, сигнатуры интерфейсных методов и типы данных для параметров интерфейсных методов. Данные, которые состоят из сигнатур интерфейсных методов и определений типов данных для параметров интерфейсных методов, называются пакетом.

Процессы, которые не предоставляют службы, могут быть только клиентами. Процессы, которые предоставляют службы, являются серверами, но и одновременно могут быть клиентами.

Формальная спецификация компонента решения не определяет, как будет реализован этот компонент. То есть наличие компонентов в формальной спецификации компонента решения не означает, что эти компоненты будут присутствовать в архитектуре этого компонента решения.

В этом разделе

Имена классов процессов, компонентов, пакетов и интерфейсов

EDL-описание

CDL-описание

IDL-описание

В начало

Имена классов процессов, компонентов, пакетов и интерфейсов

Классы процессов, компоненты, пакеты и интерфейсы идентифицируются в IDL-, CDL-, EDL-описаниях по именам. В рамках решения на базе KasperskyOS имена классов процессов и имена компонентов образуют одно множество имен, а имена пакетов образуют другое множество имен. Эти два множества могут пересекаться. Множество имен пакетов включает в себя множество имен интерфейсов.

Имя класса процессов, компонента, пакета или интерфейса является ссылкой на IDL-, CDL- или EDL-файл, в котором это имя задано. Эта ссылка представляет собой путь к IDL-, CDL- или EDL-файлу (без расширения и точки перед ним) относительно директории, которая включена в набор директорий, где генераторы исходного кода выполняют поиск IDL-, CDL-, EDL-файлов. (Этот набор директорий задается параметрами -I <путь к директории>.) В качестве разделителя в описании пути используется точка.

Например, имя класса процессов kl.core.NameServer является ссылкой на EDL-файл NameServer.edl, который находится в KasperskyOS SDK по пути:

sysroot-*-kos/include/kl/core

При этом генераторы исходного кода должны быть настроены на поиск IDL-, CDL-, EDL-файлов в директории:

sysroot-*-kos/include

Имя IDL-, CDL- или EDL-файла начинается с заглавной буквы и не может содержать символов подчеркивания _.

В начало

EDL-описание

EDL-описания помещаются в отдельные файлы *.edl и содержат декларации на языке EDL (Entity Definition Language):

Имя класса процессов. Используется декларация:
entity <имя класса процессов>
[Опционально] Список экземпляров компонентов. Используется декларация:
components { <имя экземпляра компонента : имя компонента> [...] }

Каждый экземпляр компонента указывается отдельной строкой. Имя экземпляра компонента не может содержать символов подчеркивания _. Список может содержать несколько экземпляров одного компонента. Каждый экземпляр компонента в списке имеет уникальное имя.
[Опционально] Интерфейс безопасности. Используется декларация:
security <имя интерфейса>
[Опционально] Список служб. Используется декларация:
endpoints { <имя службы : имя интерфейса> [...] }

Каждая служба указывается отдельной строкой. Имя службы не может содержать символов подчеркивания _. Список может содержать несколько служб с одинаковым интерфейсом. Каждая служба в списке имеет уникальное имя.

Язык EDL чувствителен к регистру символов.

В EDL-описании могут использоваться однострочные и многострочные комментарии.

Интерфейс безопасности и предоставляемые службы могут задаваться в EDL-описании и в CDL-описании. Если при разработке компонента решения используются уже готовые составные части (например, в виде библиотек), которые сопровождаются CDL-описаниями, то целесообразно сослаться на них из EDL-описания через декларацию components. В противном случае можно описать все предоставляемые службы в EDL-описании. Кроме того, в EDL-описании и в каждом CDL-описании можно отдельно задать интерфейс безопасности.

Примеры EDL-файлов

Hello.edl

// Класс процессов, которые не содержат компонентов.
entity Hello

Signald.edl

/* Класс процессов, которые содержат
 * один экземпляр одного компонента. */
entity kl.Signald

components {
    signals : kl.Signals
}

LIGHTCRAFT.edl

/* Класс процессов, которые содержат
 * два экземпляра разных компонентов. */
entity kl.drivers.LIGHTCRAFT

components {
    KUSB : kl.drivers.KUSB
    KIDF : kl.drivers.KIDF
}

Downloader.edl

/* Класс процессов, которые не содержат
 * компонентов и предоставляют одну службу. */
entity updater.Downloader

endpoints {
    download : updater.Download
}

В начало

CDL-описание

CDL-описания помещаются в отдельные файлы *.cdl и содержат декларации на языке CDL (Component Definition Language):

Имя компонента. Используется декларация:
component <имя компонента>
[Опционально] Интерфейс безопасности. Используется декларация:
security <имя интерфейса>
[Опционально] Список служб. Используется декларация:
endpoints { <имя службы : имя интерфейса> [...] }

Каждая служба указывается отдельной строкой. Имя службы не может содержать символов подчеркивания _. Список может содержать несколько служб с одинаковым интерфейсом. Каждая служба в списке имеет уникальное имя.
[Опционально] Список экземпляров вложенных компонентов. Используется декларация:
components { <имя экземпляра компонента : имя компонента> [...] }

Каждый экземпляр компонента указывается отдельной строкой. Имя экземпляра компонента не может содержать символов подчеркивания _. Список может содержать несколько экземпляров одного компонента. Каждый экземпляр компонента в списке имеет уникальное имя.

Язык CDL чувствителен к регистру символов.

В CDL-описании могут использоваться однострочные и многострочные комментарии.

В CDL-описании используется как минимум одна опциональная декларация. Если в CDL-описании не использовать ни одной опциональной декларации, то этому описанию будет соответствовать "пустой" компонент, который не предоставляет служб, не содержит вложенных компонентов и не поддерживает интерфейс безопасности.

Примеры CDL-файлов

KscProductEventsProvider.cdl

// Компонент предоставляет одну службу.
component kl.KscProductEventsProvider

endpoints {
    eventProvider : kl.IKscProductEventsProvider
}

KscConnectorComponent.cdl

// Компонент предоставляет несколько служб.
component kl.KscConnectorComponent

endpoints {
    KscConnCommandSender : kl.IKscConnCommandSender
    KscConnController : kl.IKscConnController
    KscConnSettingsHolder : kl.IKscConnSettingsHolder
    KscDataProvider : kl.IKscDataProvider
    ProductDataHolder : kl.IProductDataHolder
    KscDataNotifier : kl.IKscDataNotifier
    KscConnectorStateNotifier : kl.IKscConnectorStateNotifier
}

FsVerifier.cdl

/* Компонент не предоставляет службы, поддерживает
 * интерфейс безопасности и содержит один экземпляр
 * другого компонента. */
component FsVerifier

security Approve

components {
    verifyComp : Verify
}

В начало

IDL-описание

IDL-описания помещаются в отдельные файлы *.idl и содержат декларации на языке IDL (Interface Definition Language):

Имя пакета. Используется декларация:
package <имя пакета>
[Опционально] Пакеты, из которых импортируются типы данных для параметров интерфейсных методов. Используется декларация:
import <имя пакета>
[Опционально] Определения типов данных для параметров интерфейсных методов.
[Опционально] Сигнатуры интерфейсных методов. Используется декларация:
interface { <имя интерфейсного метода([параметры])>; [...] }

Каждая сигнатура метода указывается отдельной строкой. Имя метода не может содержать символов подчеркивания _. Каждый метод в списке имеет уникальное имя. Параметры методов разделяются на входные (in), выходные (out) и параметры для передачи сведений об ошибках (error). Порядок описания параметров важен: сначала указываются входные, затем выходные и, далее, error-параметры. Методы интерфейса безопасности не могут иметь выходные и error-параметры.

Входные и выходные параметры передаются в IPC-запросах и IPC-ответах соответственно. Error-параметры передаются в IPC-ответах, если сервер не может корректно обработать соответствующие IPC-запросы.

Сервер может информировать клиента об ошибках обработки IPC-запросов как через error-параметры, так и через выходные параметры интерфейсных методов. Если при возникновении ошибки сервер устанавливает флаг ошибки в IPC-ответе, то этот IPC-ответ содержит error-параметры и не содержит выходных параметров. В противном случае этот IPC-ответ содержит выходные параметры так же, как и при корректной обработке запросов. (Для установки флага ошибки в IPC-ответах используется макрос nk_err_reset(), определенный в заголовочном файле nk/types.h из состава KasperskyOS SDK.)

Отправка IPC-ответа с установленным флагом ошибки и отправка IPC-ответа со снятым флагом ошибки являются разными видами событий для модуля безопасности Kaspersky Security Module. При описании политики безопасности решения это позволяет удобно разделять обработку событий, которые связаны с корректным и некорректным выполнением IPC-запросов. Если сервер не устанавливает флаг ошибки в IPC-ответах, то для обработки событий, связанных с некорректным выполнением IPC-запросов, модулю безопасности требуется проверять значения выходных параметров, которые сигнализируют об ошибках. (Клиент может проверить состояние флага ошибки в IPC-ответе, даже если соответствующий интерфейсный метод не содержит error-параметров. Для этого клиент использует макрос nk_msg_check_err(), определенный в заголовочном файле nk/types.h из состава KasperskyOS SDK.)

Сигнатуры интерфейсных методов не могут импортироваться из других IDL-файлов.

Язык IDL чувствителен к регистру символов.

В IDL-описании могут использоваться однострочные и многострочные комментарии.

В IDL-описании используется как минимум одна опциональная декларация. Если в IDL-описании не использовать ни одной опциональной декларации, то этому описанию будет соответствовать "пустой" пакет, который не задает ни интерфейсных методов, ни типов данных (в том числе из других IDL-описаний).

Некоторые IDL-файлы из состава KasperskyOS SDK не описывают интерфейсные методы, а только содержат определения типов данных. Такие IDL-файлы используются только как экспортеры типов данных.

Если пакет содержит описание интерфейсных методов, то имя интерфейса соответствует имени пакета.

Примеры IDL-файлов

Env.idl

package kl.Env

// Определения типов данных для параметров интерфейсного метода
typedef string<128> Name;
typedef string<256> Arg;
typedef sequence<Arg,256> Args;

// Интерфейс включает один метод.
interface {
    Read(in Name name, out Args args, out Args envs);
}

Kpm.idl

package kl.Kpm

// Импорт типов данных для параметров интерфейсных методов
import kl.core.Types

// Определение типа данных для параметров интерфейсных методов
typedef string<64> String;

/* Интерфейс включает несколько методов.
 * Часть методов не имеет параметров. */
interface {
    Shutdown();
    Reboot();
    PowerButtonPressedWait();
    TerminationSignalWait(in UInt32 entityId, in String entityName);
    EntityTerminated(in UInt32 entityId);
    Terminate(in UInt32 callingEntityId);
}

MessageBusSubs.idl

package kl.MessageBusSubs

// Импорт типов данных для параметров интерфейсного метода
import kl.MessageBusTypes

/* Интерфейс включает метод, который имеет
 * входной и выходные параметры, а также
 *  error-параметр.*/
interface {
    Wait(in ClientId id,
         out Message topic,
         out BundleId dataId,
         error ResultCode result);
}

WaylandTypes.idl

// Пакет содержит только определения типов данных.
package kl.WaylandTypes

typedef UInt32                    ClientId;
typedef bytes<8192>               Buffer;
typedef string<4096>              ConnectionId;
typedef SInt32                    SsizeT;
typedef UInt32                    SizeT;
typedef SInt32                    ShmFd;
typedef SInt32                    ShmId;
typedef bytes<16384000>           ShmBuffer;

В этом разделе

Типы данных в языке IDL

Целочисленные выражения в языке IDL

В начало

Типы данных в языке IDL

В языке IDL поддерживаются как примитивные, так и составные типы данных. Набор поддерживаемых составных типов включает объединения, структуры, массивы и последовательности.

Примитивные типы

В языке IDL поддерживаются следующие примитивные типы:

SInt8, SInt16, SInt32, SInt64 – знаковое целое число.
UInt8, UInt16, UInt32, UInt64 –беззнаковое целое число.
Handle – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора.
bytes<<размер в байтах>> – байтовый буфер, представляющий собой область памяти с размером, не превышающим заданного числа байт.
string<<размер в байтах>> – строковый буфер, представляющий собой байтовый буфер, последний байт которого является терминирующим нулем. Максимальный размер строкового буфера на единицу больше заданного из-за наличия дополнительного байта с терминирующим нулем.

Целочисленные литералы можно указывать в десятичном, шестнадцатеричном (например, 0x2f, 0X2f, 0x2F, 0X2F) или восьмеричном (например, 0O123, 0o123) представлении.

С помощью ключевого слова const можно определять именованные целочисленные константы, задавая их значения целочисленными литералами или целочисленными выражениями.

Примеры определений именованных целочисленных констант:

const UInt32 DeviceNameMax          = 0o100;
const UInt32 HandleTypeUserLast     = 0x0001FFFF;
const UInt32 MaxLogMessageSize = (2 << 3) ** 2;
const UInt32 MaxLogMessageCount = 100;
const UInt64 MaxLen = (MaxLogMessageSize + 4) * MaxLogMessageCount;

Именованные целочисленные константы можно использовать, чтобы избежать проблемы "магических чисел". К примеру, если в IDL-описании определены именованные целочисленные константы для кодов возврата интерфейсного метода, то при описании политики можно интерпретировать эти коды без дополнительных сведений. Также именованные целочисленные константы и целочисленные выражения могут применяться в определениях байтовых и строковых буферов, а также составных типов, чтобы задать размер данных или число элементов данных.

Конструкции bytes<<размер в байтах>> и string<<размер в байтах>> используются в определениях составных типов, сигнатурах интерфейсных методов и при создании псевдонимов типов, так как сами по себе они определяют анонимные типы (типы без имени).

Объединения

Объединение позволяет хранить данные разных типов в одной области памяти. В IPC-сообщении объединение снабжается дополнительным полем tag, позволяющим определить, какой именно член объединения используется.

Для определения объединения используется следующая конструкция:

union <имя типа> {
    <тип члена> <имя члена>;
    [...]
}

Пример определения объединения:

union ExitInfo {
    UInt32        code;
    ExceptionInfo exc;
}

Структуры

Для определения структуры используется следующая конструкция:

struct <имя типа> {
    <тип поля> <имя поля>;
    [...]
}

Пример определения структуры:

struct SessionEvqParams {
    UInt32 count;
    UInt32 align;
    UInt32 size;
}

Массивы

Для определения массива используется следующая конструкция:

array<<тип элементов, число элементов>>

Эта конструкция используется в определениях других составных типов, сигнатурах интерфейсных методов и при создании псевдонимов типов, так как сама по себе она определяет анонимный тип.

Тип Handle можно использовать в качестве типа элементов массива, если этот массив не входит в другой составной тип данных. При этом суммарное число дескрипторов в IPC-сообщении не может превышать 255.

Последовательности

Последовательность представляет собой массив переменного размера. При определении последовательности указывается максимальное число ее элементов.

Для определения последовательности используется следующая конструкция:

sequence<<тип элементов, число элементов>>

Тип Handle нельзя использовать в качестве типа элементов последовательности.

Типы переменного и фиксированного размера

Типы bytes, string и sequence являются типами переменного размера, то есть при определении этих типов задается максимальное число элементов, а фактически может использоваться меньше, в том числе ноль. Данные типов bytes, string и sequence хранятся в арене IPC-сообщений. Остальные типы являются типами фиксированного размера. Данные типов фиксированного размера хранятся в фиксированной части IPC-сообщений.

Типы на основе составных типов

На основе составных типов могут быть определены другие составные типы. При этом определение массива или последовательности может быть вложено в определение другого типа.

Пример определения структуры с вложенными определениями массива и последовательности:

const UInt32 MessageSize = 64;
 
struct BazInfo {
    array<UInt8, 100> a;
    sequence<sequence<UInt32, MessageSize>, ((2 << 2) + 2 ** 2) * MessageSize> b;
    string<100> c;
    bytes<4096> d;
    UInt64 e;
}

Определение объединения или структуры не может быть вложено в определение другого типа. Однако в определение типа могут быть включены уже определенные объединения и структуры. Это выполняется посредством указания в определении типа имен включаемых типов.

Пример определения структуры, включающей объединение и структуру:

union foo {
    UInt32 value1;
    UInt8 value2;
}
 
struct bar {
    UInt32 a;
    UInt8 b;
}
 
struct BazInfo {
    foo x;
    bar y;
}

Создание псевдонимов типов

Псевдонимы типов используются для повышения удобства работы с типами. Псевдонимы типов могут применяться, например, для того, чтобы задать типам с абстрактными именами мнемонические имена. Также назначение псевдонимов для анонимных типов позволяет получить именованные типы.

Для создания псевдонима типа используется следующая конструкция:

typedef <имя типа/определение анонимного типа> <псевдоним типа>

Пример создания мнемонических псевдонимов:

typedef UInt64 ApplicationId;
typedef Handle PortHandle;

Пример создания псевдонима определению массива:

typedef array<UInt8, 4> IP4;

Пример создания псевдонима определению последовательности:

const UInt32 MaxDevices = 8;
struct Device {
    string<32> DeviceName;
    UInt8 DeviceID;
}
typedef sequence<Device, MaxDevices> Devices;

Пример создания псевдонима определению объединения:

union foo {
    UInt32 value1;
    UInt8 value2;
}
 
typedef foo bar;

Определение анонимных типов в сигнатурах интерфейсных методов

Анонимные типы могут быть определены в сигнатурах интерфейсных методов.

Пример определения последовательности в сигнатуре интерфейсного метода:

const UInt8 DeviceCount = 8;
 
interface {
    Poll(in UInt32 timeout,
         out sequence<UInt32, DeviceCount / 2> report,
         out UInt32 count,
         out UInt32 rc);
}

В начало

Целочисленные выражения в языке IDL

Целочисленные выражения в языке IDL составляются из именованных целочисленных констант, целочисленных литералов, операторов (см. таблицу ниже) и группирующих круглых скобок.

Пример использования целочисленных выражений:

const UInt8 itemHeaderLen = 2;
const UInt8 itemBlockLen = 4;
const UInt8 maxItemCount = 0X10;
const UInt64 maxLen = (2 << 3) + (itemHeaderLen + itemBlockLen * 4) * maxItemCount;
 
interface {
    CopyPage(in array<UInt8, 4 * maxLen> page);
}

Если при вычислении выражения возникнет целочисленное переполнение, генератор исходного кода, использующий IDL-файл, завершит работу с ошибкой.

Сведения об операторах целочисленных выражений в языке IDL

Синтаксис	Операция	Приоритет	Ассоциативность	Особенности
`-a`	Смена знака	1	Нет	Нет.
`~a`	Побитовое отрицание	1	Нет	Нет.
`a ** b`	Возведение в степень	2	Нет	Имеет следующие особенности: Из-за отсутствия ассоциативности нужно использовать скобки при указании нескольких операторов подряд, чтобы задать порядок выполнения операций. Пример: `(a b) c` `a (b c)` Показатель степени не должен быть отрицательным.
`a * b`	Умножение	3	Левая	Нет.
`a / b`	Целочисленное деление	3	Левая	Имеет следующие особенности: Результатом операции является значение, полученное округлением вещественного результата деления до ближайшего меньшего целого. Например, 4 / 3 = 1, -4 / 3 = -2. Делитель не должен быть нулевым.
`a % b`	Остаток от деления	3	Левая	Имеет следующие особенности: Знак результата операции соответствует знаку делителя. Например, -5 % 2 = 1, 5 % -2 = -1. Делитель не должен быть нулевым.
`a + b`	Сложение	4	Левая	Нет.
`a - b`	Вычитание	4	Левая	Нет.
`a << b`	Битовый сдвиг влево	2*	Нет	Имеет следующие особенности: Приоритет ниже, чем у унарных операций, но несравним с приоритетами бинарных арифметических операций, поэтому в выражениях с бинарными арифметическими операциями нужно использовать скобки, чтобы задать порядок выполнения операций. Пример: `a << (b + c)` `(a << b) ** c` Из-за отсутствия ассоциативности нужно использовать скобки при указании нескольких операторов подряд, чтобы задать порядок выполнения операций. Пример: `(a << b) << c` `a << (b << c)` Значение сдвига должно быть в промежутке [0; 63].
`a >> b`	Битовый сдвиг вправо	2*	Нет	Имеет следующие особенности: Приоритет ниже, чем у унарных операций, но несравним с приоритетами бинарных арифметических операций, поэтому в выражениях с бинарными арифметическими операциями нужно использовать скобки, чтобы задать порядок выполнения операций. Пример: `a >> (b * c)` `(a >> b) / c` Из-за отсутствия ассоциативности нужно использовать скобки при указании нескольких операторов подряд, чтобы задать порядок выполнения операций. Пример: `(a >> b) >> c` `a >> (b >> c)` Значение сдвига должно быть в промежутке [0; 63].

В начало

Описание политики безопасности решения на базе KasperskyOS

Описание политики безопасности решения на базе KasperskyOS (далее также описание политики безопасности решения, описание политики) представляет собой набор связанных между собой текстовых файлов с расширением psl, которые содержат декларации на языке PSL (Policy Specification Language). Одни файлы ссылаются на другие через декларацию включения, в результате чего образуется иерархия файлов с одним файлом верхнего уровня. Файл верхнего уровня специфичен для решения. Файлы нижнего и промежуточных уровней содержат части описания политики безопасности решения, которые могут быть специфичными для решения или могут быть повторно использованы в других решениях.

Часть файлов нижнего и промежуточных уровней поставляется в составе SDK KasperskyOS. Эти файлы содержат определения базовых типов данных и формальные описания моделей безопасности KasperskyOS. Модели безопасности KasperskyOS (далее модели безопасности) – это фреймворк для реализации политик безопасности решений на базе KasperskyOS. Файлы с формальными описаниями моделей безопасности ссылаются на файл с определениями базовых типов данных, которые используются в описаниях моделей.

Другая часть файлов нижнего и промежуточных уровней создается разработчиком описания политики, если какие-либо части описания политики требуется повторно использовать в других решениях. Также разработчик описания политики может помещать части описания политики в отдельные файлы для удобства редактирования.

Файл верхнего уровня ссылается на файлы с определениями базовых типов данных и описаниями моделей безопасности, которые применяются в той части политики безопасности решения, которая описана в этом файле. Также файл верхнего уровня ссылается на все файлы нижнего и промежуточных уровней, созданные разработчиком описания политики.

Файл верхнего уровня, как правило, называется security.psl, но может иметь любое другое имя вида *.psl.

В этом разделе

Общие сведения об описании политики безопасности решения на базе KasperskyOS

Синтаксис языка PSL

Модели безопасности KasperskyOS

В начало

Общие сведения об описании политики безопасности решения на базе KasperskyOS

В упрощенном представлении описание политики безопасности решения на базе KasperskyOS состоит из привязок, которые ассоциируют описания событий безопасности с вызовами методов, предоставляемых объектами моделей безопасности. Объект модели безопасности – это экземпляр класса, определение которого является формальным описанием модели безопасности (в PSL-файле). Формальные описания моделей безопасности содержат сигнатуры методов моделей безопасности, которые определяют допустимость взаимодействий процессов между собой и с ядром KasperskyOS. Эти методы делятся на два вида:

Правила моделей безопасности – это методы моделей безопасности, возвращающие результат "разрешено" или "запрещено". Правила моделей безопасности могут изменять контексты безопасности (о контексте безопасности см. "Управление доступом к ресурсам").
Выражения моделей безопасности – это методы моделей безопасности, возвращающие значения, которые могут использоваться как входные данные для других методов моделей безопасности.

Объект модели безопасности предоставляет методы, специфичные для одной модели безопасности, и хранит параметры, используемые этими методами (например, начальное состояние конечного автомата или размер контейнера для каких-либо данных). Один объект может применяться для работы с несколькими ресурсами. (То есть не нужно создавать отдельный объект для каждого ресурса.) При этом контексты безопасности этих ресурсов будут независимы друг от друга. Также несколько объектов одной или разных моделей безопасности может применяться для работы с одним и тем же ресурсом. В этом случае разные объекты будут использовать контекст безопасности одного ресурса без взаимного влияния.

События безопасности – это сигналы об инициации взаимодействий процессов между собой и с ядром KasperskyOS. К событиям безопасности относятся следующие события:

отправка IPC-запросов клиентами;
отправка IPC-ответов серверами или ядром;
инициация запусков процессов ядром или процессами;
запуск ядра;
обращения процессов к модулю безопасности Kaspersky Security Module через интерфейс безопасности.

События безопасности обрабатываются модулем безопасности.

Модели безопасности

В составе KasperskyOS SDK поставляются PSL-файлы, которые описывают следующие модели безопасности:

Base – методы, реализующие простейшую логику;
Pred – методы, реализующие операции сравнения;
Bool – методы, реализующие логические операции;
Math – методы, реализующие операции целочисленной арифметики;
Struct – методы, обеспечивающие доступ к структурным элементам данных (например, доступ к параметрам интерфейсных методов, передаваемых в IPC-сообщениях);
Regex – методы для валидации текстовых данных по регулярным выражениям;
HashSet – методы для работы с одномерными таблицами, ассоциированными с ресурсами;
StaticMap – методы для работы с двумерными таблицами типа "ключ–значение", ассоциированными с ресурсами;
Flow – методы для работы с конечными автоматами, ассоциированными с ресурсами;
Mic – методы для реализации мандатного контроля целостности (англ. Mandatory Integrity Control, MIC).

Обработка событий безопасности модулем безопасности Kaspersky Security Module

Модуль безопасности Kaspersky Security Module вызывает все методы (правила и выражения) моделей безопасности, связанные с произошедшим событием безопасности. Если все правила вернули результат "разрешено", модуль безопасности возвращает решение "разрешено". Если хотя бы одно правило вернуло результат "запрещено", модуль безопасности возвращает решение "запрещено".

Если хотя бы один метод, связанный с произошедшим событием безопасности, не может быть корректно выполнен, модуль безопасности возвращает решение "запрещено".

Если с произошедшим событием безопасности не связано ни одно правило, модуль безопасности возвращает решение "запрещено". То есть все взаимодействия компонентов решения между собой и с ядром KasperskyOS, которые явно не разрешены политикой безопасности решения, запрещены (принцип "Default Deny").

В начало

Синтаксис языка PSL

Базовые правила

Декларации могут располагаться в файле в любом порядке.
Одна декларация может быть записана в одну или несколько строк.
Язык PSL чувствителен к регистру символов.
Поддерживаются однострочные и многострочные комментарии:
/* Это комментарий * И это тоже */ // Ещё один комментарий

Типы деклараций

В языке PSL есть следующие типы деклараций:

установка глобальных параметров политики безопасности решения;
включение PSL-файлов в описание политики безопасности решения;
включение EDL-файлов в описание политики безопасности решения;
создание объектов моделей безопасности;
привязка методов моделей безопасности к событиям безопасности;
создание профилей аудита безопасности;
создание тестов политики безопасности решения.

В этом разделе

Установка глобальных параметров политики безопасности решения на базе KasperskyOS

Включение PSL-файлов в описание политики безопасности решения на базе KasperskyOS

Включение EDL-файлов в описание политики безопасности решения на базе KasperskyOS

Создание объектов моделей безопасности

Привязка методов моделей безопасности к событиям безопасности

Создание профилей аудита безопасности

Создание и выполнение тестов политики безопасности решения на базе KasperskyOS

Типы данных в языке PSL

Примеры привязок методов моделей безопасности к событиям безопасности

Примеры описаний простейших политик безопасности решений на базе KasperskyOS

Примеры профилей аудита безопасности

Примеры тестов политик безопасности решений на базе KasperskyOS

В начало

Установка глобальных параметров политики безопасности решения на базе KasperskyOS

Глобальными являются следующие параметры политики безопасности решения:

Execute-интерфейс, через который ядро KasperskyOS обращается к модулю безопасности Kaspersky Security Module, чтобы сообщить о запуске ядра или об инициации запуска процесса ядром или другим процессом. Чтобы задать этот интерфейс, нужно использовать следующую декларацию:
execute: kl.core.Execute

В настоящее время в KasperskyOS поддерживается только один execute-интерфейс Execute, определенный в файле kl/core/Execute.idl. (Этот интерфейс состоит из одного метода main, который не имеет параметров и не выполняет никаких действий. Метод main зарезервирован для возможного использования в будущем.)
[Опционально] Глобальный профиль аудита безопасности и начальный уровень аудита безопасности. (О профилях и уровне аудита безопасности см. "Создание профилей аудита безопасности".) Чтобы задать эти параметры, нужно использовать следующую декларацию:
audit default = <имя профиля аудита безопасности> <уровень аудита безопасности>

Пример:

audit default = global 0

По умолчанию в качестве глобального используется пустой профиль аудита безопасности empty, описанный в файле toolchain/include/nk/base.psl из состава KasperskyOS SDK, и уровень аудита безопасности 0. Применение профиля аудита безопасности empty означает, что аудит безопасности не выполняется.

В начало

Включение PSL-файлов в описание политики безопасности решения на базе KasperskyOS

Чтобы включить в описание политики PSL-файл, нужно использовать следующую декларацию:

use <ссылка на PSL-файл._>

Ссылка на PSL-файл представляет собой путь к PSL-файлу (без расширения и точки перед ним) относительно директории, которая включена в набор директорий, где компилятор nk-psl-gen-c ищет PSL-, IDL-, CDL-, EDL-файлы. (Этот набор директорий задается параметрами -I <путь к директории> при запуске скрипта makekss или компилятора nk-psl-gen-c.) В качестве разделителя в описании пути используется точка. Декларация завершается последовательностью символов ._.

Пример:

use policy_parts.flow_part._

Эта декларация включает файл flow_part.psl, который находится в директории policy_parts. Директория policy_parts должна находиться в одной из директорий, где компилятор nk-psl-gen-c выполняет поиск PSL-, IDL-, CDL-, EDL-файлов. Например, директория policy_parts может располагаться в одной директории с PSL-файлом, содержащим эту декларацию.

Включение PSL-файла с формальным описанием модели безопасности

Чтобы использовать методы требуемой модели безопасности, нужно включить в описание политики PSL-файл с формальным описанием этой модели. PSL-файлы с формальными описаниями моделей безопасности находятся в KasperskyOS SDK по пути:

toolchain/include/nk

Пример:

/* Включение файла base.psl с формальным описанием модели
 * безопасности Base */
use nk.base._
 
/* Включение файла flow.psl с формальным описанием модели
 *  безопасности Flow */
use nk.flow._
/* Компилятор nk-psl-gen-c должен быть настроен на поиск
 * PSL-, IDL-, CDL-, EDL-файлов в директории toolchain/include. */

В начало

Включение EDL-файлов в описание политики безопасности решения на базе KasperskyOS

Чтобы включить в описание политики EDL-файл для ядра KasperskyOS, нужно использовать следующую декларацию:

use EDL kl.core.Core

Чтобы включить в описание политики EDL-файл для программы (например, для драйвера или прикладной программы), нужно использовать следующую декларацию:

use EDL <ссылка на EDL-файл>

Ссылка на EDL-файл представляет собой путь к EDL-файлу (без расширения и точки перед ним) относительно директории, которая включена в набор директорий, где компилятор nk-psl-gen-c ищет PSL-, IDL-, CDL-, EDL-файлы. (Этот набор директорий задается параметрами -I <путь к директории> при запуске скрипта makekss или компилятора nk-psl-gen-c.) В качестве разделителя в описании пути используется точка.

Пример:

/* Включение файла UART.edl, который находится
 * в KasperskyOS SDK по пути sysroot-*-kos/include/kl/drivers. */
use EDL kl.drivers.UART
/* Компилятор nk-psl-gen-c должен быть настроен на поиск
 * PSL-, IDL-, CDL-, EDL-файлов в директории sysroot-*-kos/include. */

Компилятор nk-psl-gen-c находит IDL-, CDL-файлы через EDL-файлы, так как EDL-файлы содержат ссылки на соответствующие CDL-, IDL-файлы, а CDL-файлы содержат ссылки на соответствующие CDL-, IDL-файлы.

В начало

Создание объектов моделей безопасности

Чтобы вызывать методы требуемой модели безопасности, нужно создать объект этой модели безопасности.

Чтобы создать объект модели безопасности, нужно использовать следующую декларацию:

policy object <имя объекта модели безопасности : название модели безопасности> {
    [параметры объекта модели безопасности]
}

Имя объекта модели безопасности должно начинаться с маленькой буквы. Параметры объекта модели безопасности специфичны для модели безопасности. Описание параметров и примеры создания объектов разных моделей безопасности приведены в разделе "Модели безопасности KasperskyOS".

В начало

Привязка методов моделей безопасности к событиям безопасности

Чтобы создать привязку методов моделей безопасности к событию безопасности, нужно использовать следующую декларацию:

<вид события безопасности> [селекторы события безопасности] {
    [профиль аудита безопасности]
    <вызываемые методы моделей безопасности>
}

Вид события безопасности

Чтобы задать вид события безопасности, нужно использовать следующие спецификаторы:

request – отправка IPC-запросов;
response – отправка IPC-ответов;
error – отправка IPC-ответов, содержащих сведения об ошибках;
security – обращения процессов к модулю безопасности Kaspersky Security Module через интерфейс безопасности;
execute – инициация запусков процессов или запуск ядра KasperskyOS.

При взаимодействии процессов с модулем безопасности применяется механизм, отличный от IPC. Но при описании политики на обращения процессов к модулю безопасности можно смотреть как на передачу IPC-сообщений, так как процессы действительно передают модулю безопасности сообщения (в этих сообщениях не указывается приемник).

Для запуска процессов не используется механизм IPC. Но когда инициируется запуск процесса, ядро обращается к модулю безопасности, сообщая сведения об инициаторе запуска и запускаемом процессе. Поэтому с точки зрения разработчика описания политики можно считать, что запуск процесса – это передача IPC-сообщения от инициатора запуска к запускаемому процессу. Также при запуске ядра можно считать, что ядро отправляет IPC-сообщение самому себе.

Селекторы события безопасности

Селекторы события безопасности позволяют уточнить описание события безопасности заданного вида. Можно использовать следующие селекторы:

src=<имя класса процессов/ядро> – процессы заданного класса или ядро KasperskyOS являются источниками IPC-сообщений;
dst=<имя класса процессов/ядро> – процессы заданного класса или ядро являются приемниками IPC-сообщений;
interface=<имя интерфейса> – описывает следующие события безопасности:
- клиенты пытаются использовать службы серверов или ядра с заданным интерфейсом;
- процессы обращаются к модулю безопасности Kaspersky Security Module через заданный интерфейс безопасности;
- серверы или ядро отправляют клиентам результаты использования служб с заданным интерфейсом;
component=<имя компонента> – описывает следующие события безопасности:
- клиенты пытаются использовать службы серверов или ядра, предоставляемые заданным компонентом;
- серверы или ядро отправляют клиентам результаты использования служб, предоставляемых заданным компонентом;
endpoint=<квалифицированное имя службы> – описывает следующие события безопасности:
- клиенты пытаются использовать заданную службу серверов или ядра;
- серверы или ядро отправляют клиентам результаты использования заданной службы;
method=<имя метода> – описывает следующие события безопасности:
- клиенты пытаются обратиться к серверам или ядру, вызывая заданный метод службы;
- процессы обращаются к модулю безопасности, вызывая заданный метод интерфейса безопасности;
- серверы или ядро отправляют клиентам результаты вызова заданного метода службы;
- ядро сообщает о своем запуске модулю безопасности, вызывая заданный метод execute-интерфейса;
- ядро инициирует запуски процессов, вызывая заданный метод execute-интерфейса;
- процессы инициируют запуски других процессов, в результате чего ядро вызывает заданный метод execute-интерфейса.

Классы процессов, компоненты, экземпляры компонентов, интерфейсы, службы, методы должны называться так, как они называются в IDL-, CDL-, EDL-описаниях. Ядро должно называться kl.core.Core.

Квалифицированное имя службы является конструкцией вида <путь к службе.имя службы>. Путь к службе представляет собой последовательность разделенных точкой имен экземпляров компонентов, среди которых каждый последующий экземпляр компонента вложен в предыдущий, а последний предоставляет службу с заданным именем.

Для событий вида security нужно указывать квалифицированное имя метода интерфейса безопасности, если требуется использовать интерфейс безопасности, заданный в CDL-описании. (Если требуется использовать интерфейс безопасности, заданный в EDL-описании, указывать квалифицированное имя метода не нужно.) Квалифицированное имя метода интерфейса безопасности является конструкцией вида <путь к интерфейсу безопасности.имя метода>. Путь к интерфейсу безопасности представляет собой последовательность разделенных точкой имен экземпляров компонентов, среди которых каждый последующий экземпляр компонента вложен в предыдущий, а последний поддерживает интерфейс безопасности, который включает метод с заданным именем.

Если селекторы не указаны, участниками события безопасности могут быть любые процессы и ядро (кроме событий вида security, в которых ядро не может участвовать).

Можно использовать комбинации селекторов. При этом селекторы можно разделять запятыми.

На использование селекторов есть ограничения. Для событий безопасности вида execute нельзя использовать селекторы interface, component и endpoint. Для событий безопасности вида security нельзя использовать селекторы dst, component, endpoint.

Также есть ограничения на комбинации селекторов. Для событий безопасности видов request, response и error селектор method можно использовать только совместно с одним из селекторов endpoint, interface, component или их комбинацией. (Селекторы method, endpoint, interface и component должны быть согласованы, то есть метод, служба, интерфейс и компонент должны быть связаны между собой.) Для событий безопасности вида request селектор endpoint можно использовать только совместно с селектором dst. Для событий безопасности видов response и error селектор endpoint можно использовать только совместно с селектором src.

Вид и селекторы события безопасности образуют описание события безопасности. События безопасности рекомендуется описывать максимально точно, чтобы разрешать только необходимые взаимодействия процессов между собой и с ядром. Если при обработке заданного события всегда проверяются IPC-сообщения одного и того же типа, то описание этого события является максимально точным.

Чтобы описанию события безопасности соответствовали IPC-сообщения одного типа, для этого описания должно выполняться одно из следующих условий:

Для событий безопасности вида request, response и error однозначно определена цепочка "интерфейсный метод-служба-класс сервера или ядро". Например, описанию события безопасности request dst=Server endpoint=net.Net method=Send соответствуют IPC-сообщения одного типа, а описанию события безопасности request dst=Server соответствуют любые IPC-сообщения, отправляемые серверу Server.
Для событий вида security указан метод интерфейса безопасности.
Для событий вида execute указан метод execute-интерфейса.
В настоящее время поддерживается только один фиктивный метод execute-интерфейса main. Этот метод используется по умолчанию, поэтому его можно не задавать через селектор method. Таким образом, любому описанию события безопасности вида execute соответствуют IPC-сообщения одного типа.

Профиль аудита безопасности

Чтобы задать профиль аудита безопасности, нужно использовать следующую конструкцию:

audit <имя профиля аудита безопасности>

Если профиль аудита безопасности не задан, используется глобальный профиль аудита безопасности.

Вызываемые методы моделей безопасности

Чтобы вызвать метод модели безопасности, нужно использовать следующую конструкцию:

[имя объекта модели безопасности.]<имя метода модели безопасности> <параметр>

В качестве параметра могут использоваться данные поддерживаемых в языке PSL типов. При этом нужно учитывать следующие особенности:

Если у метода модели безопасности фактически нет параметра, то формально этот метод имеет параметр типа Unit, обозначаемый как ().
Если параметром метода модели безопасности является словарь {имя поля 1 : значение поля 1[, имя поля 2 : значение поля 2...]}, то этот параметр не нужно заключать в круглые скобки.
Если параметр метода модели безопасности не является словарем и не имеет тип Unit, то этот параметр нужно заключить в круглые скобки.

Можно вызвать один или несколько методов, используя один и тот же или разные объекты моделей безопасности. Правила моделей безопасности через параметр могут принимать значения, возвращаемые выражениями моделей безопасности.

При обработке события безопасности модулем безопасности Kaspersky Security Module выражения вызываются перед правилами, поэтому выражения не получают изменений, сделанных правилами. Например, если в декларации привязки методов модели безопасности StaticMap к событиям безопасности сначала указано правило set, а затем для того же ресурса указано выражение get_uncommited, то выражение get_uncommited вернет значение ключа, которое было до обработки текущего события безопасности, а не то, которое задано правилом set при обработке текущего события безопасности. Значение ключа, заданное правилом set при обработке текущего события безопасности, может быть возвращено выражением get_uncommited только при обработки последующих событий безопасности, если в результате обработки текущего события безопасности модуль безопасности вернет решение "разрешено". Если в результате обработки текущего события безопасности модуль безопасности вернет решение "запрещено", то все изменения, сделанные правилами и выражениями, вызванными при обработке текущего события безопасности, будут отменены.

Метод модели безопасности (правило или выражение) через параметр может принимать параметры интерфейсных методов. (О получении доступа к параметрам интерфейсных методов см. "Модель безопасности Struct"). Также метод модели безопасности через параметр может принимать значения SID процессов и ядра KasperskyOS, которые задаются ключевыми словами src_sid и dst_sid. Первое означает SID процесса (или ядра), который является источником IPC-сообщения. Второе означает SID процесса (или ядра), который является приемником IPC-сообщения (при обращениях к модулю безопасности Kaspersky Security Module dst_sid использовать нельзя).

Для вызова некоторых методов моделей безопасности можно не указывать имя объекта модели безопасности. Также часть методов моделей безопасности нужно вызывать, используя операторы, а не конструкцию вызова. Подробнее о методах моделей безопасности см. "Модели безопасности KasperskyOS".

Вложенные конструкции для привязки методов моделей безопасности к событиям безопасности

В одной декларации можно создать привязку методов моделей безопасности к разным событиям безопасности одного вида. Для этого нужно использовать match-секции, которые представляют собой конструкции следующего вида:

    match <селекторы события безопасности> {
        [профиль аудита безопасности]
        <вызываемые методы моделей безопасности>
    }

Match-секции могут быть вложены в другую match-секцию. Match-секция использует одновременно свои селекторы события безопасности и селекторы события безопасности уровня декларации и всех match-секций, которые "оборачивают" эту match-секцию. Также match-секция применяет по умолчанию профиль аудита безопасности своего контейнера (match-секции предыдущего уровня или уровня декларации), но можно задать отдельный профиль аудита безопасности для match-секции.

Также в одной декларации можно задать различные варианты обработки события безопасности в зависимости от условий, при которых это событие наступило (например, от состояния конечного автомата, ассоциированного с ресурсом). Для этого нужно использовать условные секции, которые являются элементами следующей конструкции:

    choice <вызов выражения модели безопасности, проверяющего выполнение условий> {
        "<условие 1>" : [{] // Условная секция 1
            <вызываемые методы моделей безопасности>
        [}]
        "<условие 2>" : ... // Условная секция 2
    ...
        _             : ... // Условная секция, если ни одно условие не выполняется.
    }

Конструкцию choice можно использовать внутри match-секции. Условная секция использует селекторы события безопасности и профиль аудита безопасности своего контейнера.

Если при обработке события безопасности выполняется сразу несколько условий, описанных в конструкции choice, то срабатывает только одна условная секция, соответствующая первому в списке истинному условию.

В качестве выражения, проверяющего выполнение условий в конструкции choice, можно использовать только те выражения, которые предназначены специально для этого. Некоторые модели безопасности содержат такие выражения (подробнее см. "Модели безопасности KasperskyOS").

В качестве условий можно использовать только текстовые и целочисленные литералы, значения логического типа и символ _, обозначающий всегда истинное условие.

Примеры привязок методов моделей безопасности к событиям безопасности

См. "Примеры привязок методов моделей безопасности к событиям безопасности", "Примеры описаний простейших политик безопасности решений на базе KasperskyOS", "Модели безопасности KasperskyOS".

В начало

Создание профилей аудита безопасности

Аудит безопасности (далее также аудит) представляет собой следующую последовательность действий. Модуль безопасности Kaspersky Security Module сообщает ядру KasperskyOS сведения о решениях, принятых этим модулем. Затем ядро передает эти данные системной программе Klog, которая декодирует их и передает системной программе KlogStorage (передача данных осуществляется через IPC). Последняя направляет полученные данные в стандартный вывод (или стандартный вывод ошибок) либо записывает в файл.

Данные аудита безопасности (далее данные аудита) – это сведения о решениях модуля безопасности Kaspersky Security Module, которые включают сами решения ("разрешено" или "запрещено"), описания событий безопасности, результаты вызовов методов моделей безопасности, а также данные о некорректности IPC-сообщений. Данные о вызовах выражений моделей безопасности входят в данные аудита так же, как и данные о вызовах правил моделей безопасности.

Для выполнения аудита безопасности нужно ассоциировать объекты моделей безопасности с профилем (профилями) аудита безопасности. Профиль аудита безопасности (далее также профиль аудита) объединяет в себе конфигурации аудита безопасности (далее также конфигурации аудита), каждая из которых задает объекты моделей безопасности, покрываемые аудитом, а также условия выполнения аудита. Можно задать глобальный профиль аудита (подробнее см. "Установка глобальных параметров политики безопасности решения на базе KasperskyOS") и/или назначить профиль (профили) аудита на уровне привязок методов моделей безопасности к событиям безопасности, и/или назначить профиль (профили) аудита на уровне match-секций (подробнее см. "Привязка методов моделей безопасности к событиям безопасности").

Независимо от того, используются профили аудита или нет, данные аудита содержат сведения о решениях "запрещено", которые приняты модулем безопасности Kaspersky Security Module при некорректности IPC-сообщений и обработке событий безопасности, не связанных ни с одним правилом моделей безопасности.

Чтобы создать профиль аудита безопасности, нужно использовать следующую декларацию:

audit profile <имя профиля аудита безопасности> =
  { <уровень аудита безопасности> :
      // Конфигурация аудита безопасности
      { <имя объекта модели безопасности> :
          { kss : <условия выполнения аудита безопасности, связанные с результатами
                  вызовов методов модели безопасности>
         [, условия выполнения аудита безопасности, специфичные для модели безопасности]
          }
    [ ,...]
      }
[ ,...]
  }

Уровень аудита безопасности

Уровень аудита безопасности (далее уровень аудита) является глобальным параметром политики безопасности решения и представляет собой беззнаковое целое число, которое задает активную конфигурацию аудита безопасности. (Слово "уровень" здесь означает вариант конфигурации и не предполагает обязательной иерархии.) Уровень аудита можно изменять в процессе работы модуля безопасности Kaspersky Security Module. Для этого нужно использовать специальный метод модели безопасности Base, вызываемый при обращении процессов к модулю безопасности через интерфейс безопасности (подробнее см. "Модель безопасности Base"). Начальный уровень аудита задается совместно c глобальным профилем аудита (подробнее см. "Установка глобальных параметров политики безопасности решения на базе KasperskyOS"). В качестве глобального можно явно назначить пустой профиль аудита empty.

В профиле аудита можно задать несколько конфигураций аудита. В разных конфигурациях можно покрыть аудитом разные объекты моделей безопасности и применить разные условия выполнения аудита. Конфигурации аудита в профиле соответствуют разным уровням аудита. Если в профиле нет конфигурации аудита, соответствующей текущему уровню аудита, модуль безопасности задействует конфигурацию, которая соответствует ближайшему меньшему уровню аудита. Если в профиле нет конфигурации аудита для уровня аудита, равного или ниже текущего, модуль безопасности не будет использовать этот профиль (то есть аудит по этому профилю не будет выполняться).

Возможность изменять уровень аудита можно использовать, например, чтобы регулировать детализацию аудита. Чем выше уровень аудита, тем выше детализация. То есть при более высоком уровне аудита задействуются конфигурации аудита, при которых больше объектов моделей безопасности покрывается аудитом и/или меньше ограничений применяется в условиях выполнения аудита. Также, изменяя уровень аудита, можно переключать аудит с одного множества логически связанных объектов моделей безопасности на другое. То есть, например, при низком уровне аудита задействуются конфигурации аудита, при которых покрываются аудитом объекты моделей безопасности, связанные с драйверами; при среднем уровне аудита задействуются конфигурации аудита, при которых покрываются аудитом объекты моделей безопасности, связанные с сетевой подсистемой; при высоком уровне аудита задействуются конфигурации аудита, при которых покрываются аудитом объекты моделей безопасности, связанные с прикладными программами.

Имя объекта модели безопасности

Имя объекта модели безопасности указывается, чтобы методы, которые предоставляются этим объектом, могли быть покрыты аудитом. Эти методы будут покрыты аудитом при их вызовах, если условия выполнения аудита будут соблюдены.

Сведения о решениях модуля безопасности Kaspersky Security Module, содержащиеся в данных аудита, включают как общее решение модуля безопасности, так и результаты вызовов отдельных методов моделей безопасности, покрытых аудитом. Чтобы сведения о решении модуля безопасности попали в данные аудита, нужно, чтобы по крайней мере один метод, вызванный при обработке события безопасности, был покрыт аудитом.

Имена объектов моделей безопасности, как и имена методов, предоставляемых этими объектами, попадают в данные аудита.

Условия выполнения аудита безопасности

Условия выполнения аудита безопасности нужно задать отдельно для каждого объекта модели безопасности.

Чтобы задать условия выполнения аудита, связанные с результатами вызовов методов моделей безопасности, нужно использовать следующие конструкции:

["granted"] – аудит выполняется, если правила возвращают результат "разрешено", выражения выполняются корректно.
["denied"] – аудит выполняется, если правила возвращают результат "запрещено", выражения выполняются некорректно.
["granted", "denied"] – аудит выполняется независимо от того, какой результат возвращают правила, и корректно ли выполняются правила.
[] – аудит не выполняется.

Условия выполнения аудита, специфичные для моделей безопасности, задаются конструкциями, специфичными для этих моделей (подробнее см. "Модели безопасности KasperskyOS"). Эти условия применяются как к правилам, так и к выражениям. Например, таким условием может быть состояние конечного автомата.

Профиль аудита безопасности для тракта аудита безопасности

Тракт аудита безопасности включает ядро, а также процессы Klog и KlogStorage, которые соединены IPC-каналами по схеме "ядро – Klog – KlogStorage". Методы моделей безопасности, которые связаны с передачей данных аудита через этот тракт, не должны покрываться аудитом. В противном случае это приведет к лавинообразному росту данных аудита, так как передача данных будет порождать новые данные.

Чтобы "подавить" аудит, заданный профилем более широкой области действия (например, глобальным или профилем на уровне привязки методов моделей безопасности к событиям безопасности), нужно назначить пустой профиль аудита empty на уровне привязки методов моделей безопасности к событиям безопасности или на уровне match-секции.

Примеры профилей аудита безопасности

См. "Примеры профилей аудита безопасности".

См. также

Использование системных программ Klog и KlogStorage для выполнения аудита безопасности

В начало

Создание и выполнение тестов политики безопасности решения на базе KasperskyOS

Тестирование политики безопасности решения выполняется, чтобы проверить, разрешает ли политика то, что должна разрешать, и запрещает ли она то, что должна запрещать.

Чтобы создать набор тестов политики безопасности решения, нужно использовать декларацию:

assert ["название набора тестов"] {
// Конструкции на языке PAL (Policy Assertion Language)
    [setup {<начальная часть тестов>}]
    sequence ["название теста"] {<основная часть теста>}
    [...]
    [finally {<конечная часть тестов>}]
}

Можно создать несколько наборов тестов, используя несколько таких деклараций.

Набор тестов опционально включает начальную часть тестов и/или конечную часть тестов. Выполнение каждого теста из набора начинается с того, что описано в начальной части, и завершается тем, что описано в конечной части. Это позволяет не описывать повторяющиеся начальные и/или конечные части тестов в каждом тесте.

После выполнения каждого теста все изменения в модуле безопасности Kaspersky Security Module, связанные с выполнением этого теста, "откатываются".

Каждый тест включает один или несколько тестовых примеров.

Тестовые примеры

Тестовый пример ассоциирует описание события безопасности и значения параметров интерфейсного метода с ожидаемым решением модуля безопасности Kaspersky Security Module. Если фактическое решение модуля безопасности совпадает с ожидаемым, тестовый пример проходит, иначе не проходит.

Когда выполняется тест, тестовые примеры выполняются в той последовательности, в которой они описаны. То есть осуществляется проверка, как модуль безопасности обрабатывает последовательность событий безопасности.

Если все тестовые примеры в тесте проходят, тест проходит. Если хотя бы один тестовый пример в тесте не проходит, тест не проходит. Выполнение теста завершается на первом тестовом примере, который не проходит. Каждый тест из набора выполняется независимо от того, прошел или не прошел предыдущий тест.

Описание тестового примера на языке PAL представляет собой следующую конструкцию:

[<ожидаемое решение модуля безопасности> ["название тестового примера"]] <вид события безопасности> <селекторы события безопасности> [{значения параметров интерфейсного метода}]

В качестве ожидаемого решения модуля безопасности можно указать значение grant ("разрешено"), deny ("запрещено") или any ("любое решение"). Можно не указывать ожидаемое решение модуля безопасности. По умолчанию ожидается решение "разрешено". Если указано значение any, решение модуля безопасности не влияет на то, проходит тестовый пример или нет. В этом случае тестовый пример может не пройти из-за ошибок обработки IPC-сообщения модулем безопасности (например, при некорректной структуре IPC-сообщения).

Название тестового примера можно указать, если только указано ожидаемое решения модуля безопасности.

О видах и селекторах событий безопасности, а также об ограничениях использования селекторов см. "Привязка методов моделей безопасности к событиям безопасности". Селекторы должны обеспечивать, чтобы описанию события безопасности соответствовали IPC-сообщения одного типа. (В привязках методов моделей безопасности к событиям безопасности селекторы могут этого не обеспечивать.)

В описаниях событий безопасности вместо имени класса процессов (и ядра KasperskyOS) нужно указывать SID. Исключение составляют события вида execute, при наступлении которых SID запускаемого процесса (или ядра) неизвестен. Чтобы сохранить SID процесса или ядра в переменную, нужно использовать оператор <- в описании тестового примера вида:

<имя переменной> <- execute dst=<имя класса процессов/ядро> ...

Переменной будет присвоено значение SID, даже если запуск процесса заданного класса (или ядра) запрещен тестируемой политикой, но решение "запрещено" является ожидаемым.

В языке PAL поддерживаются сокращенные формы описаний событий безопасности:

security: <SID процесса> ! <квалифицированное имя метода интерфейса безопасности> соответствует security src=<SID процесса> method=<квалифицированное имя метода интерфейса безопасности>.
request: <SID клиента> ~> <SID сервера/ядра> : <квалифицированное имя службы.имя метода> соответствует request src=<SID клиента> dst=<SID сервера/ядра> endpoint=<квалифицированное имя службы> method=<имя метода>.
response: <SID клиента> <~ <SID сервера/ядра> : <квалифицированное имя службы.имя метода> соответствует response src=<SID сервера/ядра> dst=<SID клиента> endpoint=<квалифицированное имя службы> method=<имя метода>.

Значения параметров интерфейсного метода должны быть заданы для всех видов событий безопасности, кроме execute. Если у интерфейсного метода нет параметров, нужно указать {}. Для событий безопасности вида execute нельзя указывать {}.

Параметры интерфейсного метода и их значения нужно задавать разделенными запятой конструкциями следующего вида:

<имя параметра> : <значение>

Имена и типы параметров должны соответствовать IDL-описанию. Порядок следования параметров не важен.

Пример задания значений параметров:

{ param1 : 23, param2 : "bar", param3 : { collection : [5,7,12], filehandle : 15 }, param4 : { name : ["foo", "baz" } }

В этом примере через параметр param1 передается число. Через параметр param2 передается строковый буфер. Через параметр param3 передается структура, состоящая из двух полей. Поле collection содержит массив или последовательность из трех числовых элементов. Поле filehandle содержит SID. Через параметр param4 передается объединение или структура с одни полем. Поле name содержит массив или последовательность из двух строковых буферов.

В настоящее время в качестве значения параметра типа Handle можно указывать только SID, а возможности указать SID совместно с маской прав дескриптора нет. Поэтому нельзя тестировать политику безопасности решения в тех случаях, когда маски прав дескрипторов влияют на решения модуля безопасности.

Значения параметров (элементов параметров) можно не указывать. В этом случае автоматически применяются значения по умолчанию, соответствующие IDL-типам параметров (элементов параметров):

для числовых типов и типа Handle – ноль;
для байтовых или строковых буферов – байтовый или строковый буфер нулевого размера;
для последовательностей – последовательность с нулевым числом элементов;
для массивов – массив элементов со значениями по умолчанию;
для структур – структура, состоящая из полей со значениями по умолчанию;
для объединений – значение по умолчанию, соответствующее первому члену объединения.

Пример применения значения по умолчанию для параметра и элемента параметра:

/* Параметр указан. */
request src=x dst=y endpoint=e method=m { name : { firstname: "a", lastname: "b" } }
/* Параметр не указан. В качестве значения параметра name будет применена структура,
 * состоящая из двух строковых буферов нулевого размера.*/
request src=x dst=y endpoint=e method=m {}
/* Элемент параметра не указан. В качестве значения элемента параметра lastname будет
 * применен строковый буфер нулевого размера.*/
request src=x dst=y endpoint=e method=m { name : { firstname: "a"} }

Примеры тестов

См. "Примеры тестов политик безопасности решений на базе KasperskyOS".

Тестовая процедура

Тестовая процедура включает следующие шаги:

Сохранить тесты в одном или нескольких PSL-файлах (*.psl или *.psl.in).
Добавить CMake-команду add_kss_pal_qemu_tests() в один из файлов CMakeLists.txt проекта.
Через параметр PSL_FILES нужно задать пути к PSL-файлам с тестами. Через параметр DEPENDS нужно задать CMake-цели, в результате выполнения которых IDL-, CDL-, EDL-файлы, от которых зависят PSL-файлы, будут помещены в те директории, где компилятор nk-psl-gen-c сможет их найти. Если используются файлы *.psl.in, через параметр ENTITIES нужно задать имена классов процессов системных программ. (Эти системные программы входят в состав решения на базе KasperskyOS, для которого нужно выполнить тестирование политики безопасности.)

Пример использования CMake-команды add_kss_pal_qemu_tests() в файле einit/CMakeLists.txt:

add_kss_pal_qemu_tests ( PSL_FILES src/security.psl.in DEPENDS kos-qemu-image ENTITIES ${ENTITIES})
Собрать и выполнить тесты.
Нужно запустить Bash-скрипт сборки cross-build.sh с параметром --target pal-test<N>, где N – индекс PSL-файла в списке PSL-файлов, заданных через параметр PSL_FILES CMake-команды add_kss_pal_qemu_tests() на шаге 2. Например, если указать --target pal-test0, будет создан и запущен на QEMU образ решения на базе KasperskyOS, который соответствует первому PSL-файлу, заданному через параметр PSL_FILES CMake-команды add_kss_pal_qemu_tests(). (Вместо прикладных и системных программ это решение будет содержать программу, выполняющую тесты.)

Пример:

./cross-build.sh --target pal-test0

Пример результатов тестирования:

[==========] Running 4 tests from 1 test suite.
[----------] Global test environment set-up.
[----------] 4 tests from KSS
[ RUN      ] KSS.KssUnitTest_flow_normal
[       OK ] KSS.KssUnitTest_flow_normal (6 ms)
[ RUN      ] KSS.KssUnitTest_flow_ping_must_be_first
/home/work/build/stat/build/install/examples/ping/build/einit/
pal-test/gen_security.psl.test.c:9742: Failure
Expected equality of these values:
  rc
    Which is: -1
  NK_EOK
    Which is: 0
gen_security.psl:116: expect grant
 
[  FAILED  ] KSS.KssUnitTest_flow_ping_must_be_first (8 ms)
[ RUN      ] KSS.KssUnitTest_flow_ping_ping_is_deny
[       OK ] KSS.KssUnitTest_flow_ping_ping_is_deny (4 ms)
[ RUN      ] KSS.KssUnitTest_flow_test_deny
[       OK ] KSS.KssUnitTest_flow_test_deny (1 ms)
[----------] 4 tests from KSS (29 ms total)
 
[----------] Global test environment tear-down
[==========] 4 tests from 1 test suite ran. (42 ms total)
[  PASSED  ] 3 tests.
[  FAILED  ] KSS.KssUnitTest_flow_ping_must_be_first (8 ms)

Результаты тестирования содержат сведения о том, прошел или не прошел каждый тест. Если тест не прошел, то указываются сведения о размещении описания непрошедшего тестового примера в PSL-файле.

В начало

Типы данных в языке PSL

Типы данных, поддерживаемые в языке PSL, приведены в таблице ниже.

Типы данных в языке PSL

Обозначения типов	Описание типов
`UInt8`, `UInt16`, `UInt32`, `UInt64`	Беззнаковое целое число
`SInt8`, `SInt16`, `SInt32`, `SInt64`	Знаковое целое число
`Boolean`	Логический тип Логический тип включает два значения: `true` и `false`.
`Text`	Текстовый тип
`()`	Тип `Unit` Тип `Unit` включает одно неизменяемое значение. Используется как заглушка в случаях, когда синтаксис языка PSL требует указать какие-либо данные, но фактически эти данные не требуются. Например, тип Unit можно использовать, чтобы объявить метод, который не имеет параметров (аналогично тому, как тип `void` используется в C/C++).
`"`[`тип`]`"`	Текстовый литерал Текстовый литерал включает одно неизменяемое текстовое значение. Примеры определений текстовых литералов: `""` `"granted"`
<`тип`>	Целочисленный литерал Целочисленный литерал включает одно неизменяемое целочисленное значение. Примеры определений числовых литералов: `12` `-5` `0xFFFF`
<`тип 1 \| тип 2`> [`\| ...`]	Вариантный тип Вариантный тип объединяет два и более типов и может выступать в роли любого из них. Примеры определений вариантных типов: `Boolean \| ()` `UInt8 \| UInt16 \| UInt32 \| UInt64` `"granted" \| "denied"`
`{` [`имя поля : тип поля`] [`, ...`] `}`	Словарь Словарь состоит из полей одного или нескольких типов. Словарь может быть пустым. Примеры определений словарей: `{}` `{ handle : Handle` `, rights : UInt32` `}`
`[`[`тип`] [`, ...`]`]`	Кортеж Кортеж состоит из полей одного или нескольких типов, расположенных в порядке перечисления типов. Кортеж может быть пустым. Примеры определений кортежей: `[]` `["granted"]` `[Boolean, Boolean]`
`Set<`<`тип элементов`>`>`	Множество Множество включает ноль и более уникальных элементов одного типа. Примеры определений множеств: `Set<"granted" \| "denied">` `Set<Text>`
`List<`<`тип элементов`>`>`	Список Список включает ноль и более элементов одного типа. Примеры определений списков: `List<Boolean>` `List<Text \| ()>`
`Map<`<`тип ключа, тип значения`>`>`	Ассоциативный массив Ассоциативный массив включает ноль и более записей типа "ключ-значение" с уникальными ключами. Пример определения ассоциативного массива: `Map<UInt32, UInt32>`
`Array<`<`тип элементов, число элементов`>`>`	Массив Массив включает заданное число элементов одного типа. Пример определения массива: `Array<UInt8, 42>`
`Sequence<`<`тип элементов, число элементов`>`>`	Последовательность Последовательность включает от ноля до заданного числа элементов одного типа. Пример определения последовательности: `Sequence<SInt64, 58>`

Псевдонимы некоторых типов PSL

В файле nk/base.psl из состава KasperskyOS SDK определены типы данных, которые используются как типы параметров (или структурных элементов параметров) и возвращаемых значений для методов разных моделей безопасности. Псевдонимы и определения этих типов приведены в таблице ниже.

Псевдонимы и определения некоторых типов данных в языке PSL

Псевдоним типа	Определение типа
`Unsigned`	Беззнаковое целое число `UInt8 \| UInt16 \| UInt32 \| UInt64`
`Signed`	Знаковое целое число `SInt8 \| SInt16 \| SInt32 \| SInt64`
`Number`	Целое число `Unsigned \| Signed`
`ScalarLiteral`	Скалярный литерал `() \| Boolean \| Number`
`Literal`	Литерал `ScalarLiteral \| Text`
`Sid`	Тип идентификатора безопасности SID `UInt32`
`Handle`	Тип идентификатора безопасности SID `Sid`
`HandleDesc`	Словарь, содержащий поля для SID и маски прав дескриптора `{ handle : Handle` `, rights : UInt32` `}`
`Cases`	Тип данных, принимаемых выражениями моделей безопасности, вызываемыми в конструкции `choice` для проверки выполнения условий `List<Text \| ()>`
`KSSAudit`	Тип данных, задающих условия выполнения аудита безопасности `Set<"granted" \| "denied">`

Отображение типов IDL на типы PSL

Для описания параметров интерфейсных методов используются типы данных языка IDL. Входные данные для методов моделей безопасности имеют типы из языка PSL. Набор типов данных в языке IDL отличается от набора типов данных в языке PSL. Поскольку параметры интерфейсных методов, передаваемые в IPC-сообщениях, могут использоваться как входные данные для методов моделей безопасности, разработчику описания политики нужно понимать, как типы IDL отображаются на типы PSL.

Целочисленные типы IDL отображаются на целочисленные типы PSL, а также на вариантные типы PSL, объединяющие эти целочисленные типы (в том числе с другими типами). Например, знаковые целочисленные типы IDL отображаются на тип Signed в PSL, целочисленные типы IDL отображаются на тип ScalarLiteral в PSL.

Тип Handle в IDL отображается на тип HandleDesc в PSL.

Объединения и структуры IDL отображаются на словари PSL.

Массивы и последовательности IDL отображаются на массивы и последовательности PSL соответственно.

Строковые буферы в IDL отображаются на текстовый тип PSL.

В настоящее время байтовые буферы в IDL не отображаются на типы PSL. Соответственно, данные, содержащиеся в байтовых буферах, не могут использоваться как входы для методов моделей безопасности.

В начало

Примеры привязок методов моделей безопасности к событиям безопасности

Перед тем как рассматривать примеры, нужно ознакомиться со сведениями о модели безопасности Base.

Обработка инициации запусков процессов

/* Ядру KasperskyOS и любому процессу
 * в решении разрешено запускать любой
 * процесс. */
execute { grant () }
 
/* Ядру разрешено запускать процесс
 * класса Einit. */
execute src=kl.core.Core, dst=Einit { grant () }
 
/* Процессу класса Einit разрешено
 * запускать любой процесс в решении. */
execute src=Einit { grant () }

Обработка запуска ядра KasperskyOS

/* Ядру KasperskyOS разрешено запускаться.
 * (Эта привязка нужна, чтобы сообщить модулю
 * безопасности SID ядра. Ядро запускается независимо
 * от того, разрешено ли это политикой безопасности решения
 * или нет. Если политика безопасности решения запрещает
 * запуск ядра, после запуска ядро прекратит свое
 * исполнение.) */
execute src=kl.core.Core, dst=kl.core.Core { grant () }

Обработка отправки IPC-запросов

/* Любому клиенту в решении разрешено обращаться к
 * любому серверу и ядру KasperskyOS. */
request { grant () }
 
/* Клиенту класса Client разрешено обращаться
 * к любому серверу в решении и ядру. */
request src=Client { grant () }
 
/* Любому клиенту в решении разрешено обращаться
 * к серверу класса Server. */
request dst=Server { grant () }
 
/* Клиенту класса Client запрещено
 * обращаться к серверу класса Server. */
request src=Client dst=Server { deny () }
 
/* Клиенту класса Client разрешено
 * обращаться к серверу класса Server,
 * вызывая метод Ping службы net.Net. */
request src=Client dst=Server endpoint=net.Net method=Ping {
    grant ()
}
 
/* Любому клиенту в решении разрешено обращаться
 * к серверу класса Server, вызывая метод Send
 * службы с интерфейсом MessExch. */
request dst=Server interface=MessExch method=Send {
    grant ()
}

Обработка отправки IPC-ответов

/* Серверу класса Server разрешено отвечать на
 * обращения клиента класса Client, который
 * вызывает метод Ping службы net.Net. */
response src=Server, dst=Client, endpoint=net.Net, method=Ping {
    grant ()
}
 
/* Серверу, который содержит компонент kl.drivers.KIDF,
 * предоставляющий службы с интерфейсом monitor, разрешено
 * отвечать на обращения клиента класса DriverManager,
 * который использует эти службы. */
response dst=DriverManager component=kl.drivers.KIDF interface=monitor {
    grant ()
}

Обработка отправки IPC-ответов, содержащих сведения об ошибках

/* Серверу класса Server запрещено сообщать клиенту
 * класса Client об ошибках, которые возникают,
 * когда клиент обращается к серверу, вызывая метод
 * Ping службы net.Net. */
error src=Server, dst=Client, endpoint=net.Net, method=Ping {
    deny ()
}

Обработка обращений процессов к модулю безопасности Kaspersky Security Module

/* Процесс класса Sdcard получит решение
 * "разрешено" от модуля безопасности Kaspersky Security Module,
 * вызывая метод Register интерфейса безопасности.
 * (Используется интерфейс безопасности, заданный
 * в EDL-описании.) */
security src=Sdcard, method=Register {
    grant ()
}
 
/* Процесс класса Sdcard получит решение "запрещено"
 * от модуля безопасности, вызывая метод Comp.Register
 * интерфейса безопасности. (Используется интерфейс
 * безопасности, заданный в CDL-описании.) */
security src=Sdcard, method=Comp.Register {
    deny ()
}

Использование match-секций

/* Клиенту класса Client разрешено обращаться к
 * серверу класса Server, вызывая методы Send
 * и Receive службы net. */
request src=Client, dst=Server, endpoint=net {
    match method=Send { grant () }
    match method=Receive { grant () }
}
 
/* Клиенту класса Client разрешено обращаться к
 * серверу класса Server, вызывая методы Send
 * и Receive службы sn.Net и методы Write и
 * Read службы sn.Storage. */
request src=Client, dst=Server {
    match endpoint=sn.Net {
        match method=Send { grant () }
        match method=Receive { grant () }
    }
    match endpoint=sn.Storage {
        match method=Write { grant () }
        match method=Read { grant () }
    }
}

Установка профилей аудита

/* Установка глобального профиля аудита default
 * и начального уровня аудита 0 */
audit default = global 0
request src=Client, dst=Server {
    /* Установка профиля аудита parent на уровне
     * привязки методов моделей безопасности к
     * событиям безопасности */
    audit parent
    match endpoint=net.Net, method=Send {
        /* Установка профиля аудита child на
         * на уровне match-секции */
        audit child
        grant ()
        }
    /* В этой match-секции применяется профиль
     * аудита parent. */
    match endpoint=net.Net, method=Receive {
        grant ()
        } 
}
/* В этой привязке метода модели безопасности
 * к событию безопасности применяется профиль
 * аудита global. */
response src=Client, dst=Server {
     grant ()
}

В начало

Примеры описаний простейших политик безопасности решений на базе KasperskyOS

Перед тем как рассматривать примеры, нужно ознакомиться со сведениями о моделях безопасности Struct, Base и Flow.

Пример 1

Политика безопасности решения в этом примере разрешает любые взаимодействия процессов классов Client, Server и Einit между собой и с ядром KasperskyOS. При обращении процессов к модулю безопасности Kaspersky Security Module всегда будет получено решение "разрешено". Эту политику можно использовать только в качестве заглушки на ранних стадиях разработки решения на базе KasperskyOS, чтобы модуль безопасности Kaspersky Security Module "не мешал" взаимодействиям. В реальном решении на базе KasperskyOS применять такую политику недопустимо.

security.psl

execute: kl.core.Execute
 
use nk.base._
use EDL Einit
use EDL Client
use EDL Server
use EDL kl.core.Core
 
execute { grant () }
 
request { grant () }
 
response { grant () }
 
error { grant () }
 
security { grant () }

Пример 2

Политика безопасности решения в этом примере накладывает ограничения на обращения клиентов класса FsClient к серверам класса FsDriver. Когда клиент открывает ресурс, управляемый сервером класса FsDriver, с этим ресурсом ассоциируется конечный автомат в состоянии unverified. Клиенту класса FsClient разрешено читать данные из ресурса, управляемого сервером класса FsDriver, только если конечный автомат, ассоциированный с этим ресурсом, находится в состоянии verified. Чтобы перевести конечный автомат, ассоциированный с ресурсом, из состояния unverified в состояние verified, процессу класса FsVerifier нужно обратиться к модулю безопасности Kaspersky Security Module.

В реальном решении на базе KasperskyOS эту политику применять нельзя, поскольку разрешено избыточное множество взаимодействий процессов между собой и с ядром KasperskyOS.

security.psl

execute: kl.core.Execute
 
use nk.base._
use nk.flow._
use nk.basic._
 
policy object file_state : Flow {
    type States = "unverified" | "verified"
    config = {
        states      : ["unverified" , "verified"],
        initial     : "unverified",
        transitions : {
            "unverified" : ["verified"],
            "verified" : []
        }
    }
}

 
execute { grant () }
 
request { grant () }
 
response { grant () }
 
use EDL kl.core.Core
use EDL Einit
use EDL FsClient
use EDL FsDriver
use EDL FsVerifier
 
response src=FsDriver, endpoint=operationsComp.operationsImpl, method=Open {
    file_state.init {sid: message.handle.handle}
}
 
request src=FsClient, dst=FsDriver, endpoint=operationsComp.operationsImpl, method=Read {
    file_state.allow {sid: message.handle.handle, states: ["verified"]}
}
 
security src=FsVerifier, method=Approve {
    file_state.enter {sid: message.handle.handle, state: "verified"}
}

В начало

Примеры профилей аудита безопасности

Перед тем как рассматривать примеры, нужно ознакомиться со сведениями о моделях безопасности Base, Regex и Flow.

Пример 1

// Описание профиля аудита безопасности trace
// base – объект модели безопасности Base
// session – объект модели безопасности Flow
audit profile trace =
/* Если уровень аудита равен 0, аудитом покрываются
 * правила объекта base, когда эти правила возвращают
 * результат "запрещено". */
  { 0 :
      { base :
          { kss : ["denied"]
          }
      }
/* Если уровень аудита равен 1, аудитом покрываются методы
 * объекта session в следующих случаях:
 * 1. Правила объекта session возвращают любой результат, и
 * конечный автомат находится в состоянии, отличном от closed.
 * 2. Выражение query объекта session выполняется, и конечный
 * автомат находится в состоянии, отличном от closed. */
  , 1 :
      { session :
          { kss : ["granted", "denied"]
          , omit : ["closed"]
          }
      }
/* Если уровень аудита равен 2, аудитом покрываются методы
 * объекта session в следующих случаях:
 * 1. Правила объекта session возвращают любой результат.
 * 2. Выражение query объекта session выполняется. */
  , 2 :
      { session :
          { kss : ["granted", "denied"]
          }
      }
  }
 

Пример 2

// Описание профиля аудита безопасности test
// base – объект модели безопасности Base
// re – объект модели безопасности Regex
audit profile test =
/* Если уровень аудита равен 0, правила объекта base
 * и выражения объекта re не покрываются аудитом. */
  { 0 :
      { base :
        { kss : []
        }
      , re :
        { kss : []
        , emit : []
        }
      }
/* Если уровень аудита равен 1, правила объекта
 * base не покрываются аудитом, выражения объекта
 * re покрываются аудитом.*/
  , 1 :
      { base :
        { kss : []
        }
      , re :
        { kss : ["granted"]
        , emit : ["match", "select"]
        }
      }
/* Если уровень аудита равен 2, правила объекта base
 * и выражения объекта re покрываются аудитом. Правила
 * объекта base покрываются аудитом независимо от
 * результата, который они возвращают.*/
  , 2 :
      { base :
        { kss : ["granted", "denied"]
        }
      , re :
        { kss : ["granted"]
        , emit : ["match", "select"]
        }
      }
  }

В начало

Примеры тестов политик безопасности решений на базе KasperskyOS

Пример 1

/* Набор тестов, который включает один тест. */
assert "some tests" {
    /* Тест, который включает четыре тестовых примера. */
    sequence "first sequence" {
        /* Ожидается, что запуск процесса класса Server разрешен.
         * Если это так, переменной s будет присвоено значение SID
         * запущенного процесса класса Server. */
        s <- execute dst=Server
        /* Ожидается, что запуск процесса класса Client разрешен.
         * Если это так, переменной c будет присвоено значение SID
         * запущенного процесса класса Client. */
        c <- execute dst=Client
        /* Ожидается, что клиенту класса Client разрешено обращаться к
         * серверу класса Server, вызывая метод Ping службы pingComp.pingImpl
         * с параметром value, равным 100. */
        grant "Client calls Ping" request src=c dst=s endpoint=pingComp.pingImpl
                                          method=Ping { value : 100 }
        /* Ожидается, что серверу класса Server запрещено отвечать клиенту
         * класса Client, если клиент вызывает метод Ping службы pingComp.pingImpl.
         * (IPC-ответ не содержит параметров, так как интерфейсный метод Ping
         * не имеет выходных параметров.) */
        deny "Server can not respond" response src=s dst=c endpoint=pingComp.pingImpl
                                                    method=Ping {}
    }
}

Пример 2

/* Набор тестов, который включает два теста. */
assert "ping tests"{
    /* Начальная часть каждого из двух тестов,
     * которая включает два тестовых примера. */
    setup {
        /* Ожидается, что запуск процесса класса Server разрешен.
         * Если это так, переменной s будет присвоено значение SID
         * запущенного процесса класса Server. */
        s <- execute dst=Server
        /* Ожидается, что запуск процесса класса Client разрешен.
         * Если это так, переменной c будет присвоено значение SID
         * запущенного процесса класса Client. */
        c <- execute dst=Client
    }
    /* Тест, который включает четыре тестовых примера: два тестовых примера
     * в начальной части и два тестовых примера в основной части.*/
    sequence "ping-ping is denied" {
        /* Ожидается, что клиенту класса Client разрешено обращаться к
         * серверу класса Server, вызывая метод Ping службы pingComp.pingImpl
         * с параметром value, равным 100. */
        c ~> s : pingComp.pingImpl.Ping { value : 100 }
        /* Ожидается, что клиенту класса Client запрещено обращаться к
         * серверу класса Server, повторно вызывая метод Ping службы pingComp.pingImpl
         * с параметром value, равным 100. */
        deny c ~> s : pingComp.pingImpl.Ping { value : 100 }
    }
    /* Тест, который включает четыре тестовых примера: два тестовых примера
     * в начальной части и два тестовых примера в основной части. */
    sequence "ping-pong is granted" {
        /* Ожидается, что клиенту класса Client разрешено обращаться к
         * серверу класса Server, вызывая метод Ping службы pingComp.pingImpl
         * с параметром value, равным 100. */
        c ~> s : pingComp.pingImpl.Ping { value: 100 }
        /* Ожидается, что клиенту класса Client разрешено обращаться к
         * серверу класса Server, вызывая метод Pong службы pingComp.pingImpl
         * с параметром value, равным 100. */
        c ~> s : pingComp.pingImpl.Pong { value: 100 }
    }
}

Пример 3

/* Набор тестов, который включает один тест. */
assert {
    /* Тест, который включает восемь тестовых примеров. */
    sequence {
        storage <− execute dst=test.kl.UpdateStorage
        manager <− execute dst=test.kl.UpdateManager
        deployer <− execute dst=test.kl.UpdateDeployer
        downloader <− execute dst=test.kl.UpdateDownloader
        grant manager ~>
              downloader:UpdateDownloader.Downloader.LoadPackage { url : ”url012345678” }
        grant response src=downloader dst=manager endpoint=UpdateDownloader.Downloader
                       method=LoadPackage { handle : 29, result : 1 }
        deny manager ~> deployer:UpdateDeployer.Deployer.Start { handle : 29 }
        deny request src=manager dst=deployer endpoint=UpdateDeployer.Deployer
                     method=Start { handle : 29 }
    }
}

В начало

Модели безопасности KasperskyOS

В этом разделе

Модель безопасности Pred

Модель безопасности Bool

Модель безопасности Math

Модель безопасности Struct

Модель безопасности Base

Модель безопасности Regex

Модель безопасности HashSet

Модель безопасности StaticMap

Модель безопасности Flow

Модель безопасности Mic

В начало

Модель безопасности Pred

Модель безопасности Pred позволяет выполнять операции сравнения.

PSL-файл с описанием модели безопасности Pred находится в KasperskyOS SDK по пути:

toolchain/include/nk/basic.psl

Объект модели безопасности Pred

В файле basic.psl содержится декларация, которая создает объект модели безопасности Pred с именем pred. Соответственно, включение файла basic.psl в описание политики безопасности решения обеспечивает создание объекта модели безопасности Pred по умолчанию.

Объект модели безопасности Pred не имеет параметров и не может быть покрыт аудитом безопасности.

Создавать дополнительные объекты модели безопасности Pred не требуется.

Методы модели безопасности Pred

Модель безопасности Pred содержит выражения, которые выполняют операции сравнения и возвращают значения типа Boolean. Для вызова этих выражений нужно использовать следующие операторы сравнения:

<ScalarLiteral> == <ScalarLiteral> – "равно";
<ScalarLiteral> != <ScalarLiteral> – "не равно";
<Number> < <Number> – "меньше";
<Number> <= <Number> – "меньше или равно";
<Number> > <Number> – "больше";
<Number> >= <Number> – "больше или равно".

Также модель безопасности Pred содержит выражение empty, которое позволяет определить, содержат ли данные свои структурные элементы. Выражение возвращает значения типа Boolean. Если данные не содержат своих структурных элементов (например, множество является пустым), выражение возвращает true, иначе возвращает false. Чтобы вызвать выражение, нужно использовать следующую конструкцию:

pred.empty (<Text | Set | List | Map>) | ()

В начало

Модель безопасности Bool

Модель безопасности Bool позволяет выполнять логические операции.

PSL-файл с описанием модели безопасности Bool находится в KasperskyOS SDK по пути:

toolchain/include/nk/basic.psl

Объект модели безопасности Bool

В файле basic.psl содержится декларация, которая создает объект модели безопасности Bool с именем bool. Соответственно, включение файла basic.psl в описание политики безопасности решения обеспечивает создание объекта модели безопасности Bool по умолчанию.

Объект модели безопасности Bool не имеет параметров и не может быть покрыт аудитом безопасности.

Создавать дополнительные объекты модели безопасности Bool не требуется.

Методы модели безопасности Bool

Модель безопасности Bool содержит выражения, которые выполняют логические операции и возвращают значения типа Boolean. Для вызова этих выражений нужно использовать следующие логические операторы:

! <Boolean> – "логическое НЕ";
<Boolean> && <Boolean> – "логическое И";
<Boolean> || <Boolean> – "логическое ИЛИ";
<Boolean> ==> <Boolean> – "импликация" (! <Boolean> || <Boolean>).

Также модель безопасности Bool содержит выражения all, any и cond.

Выражение all выполняет "логическое И" для произвольного числа значений типа Boolean. Возвращает значения типа Boolean. Если передать через параметр пустой список значений ([]), возвращает true. Чтобы вызвать выражение, нужно использовать следующую конструкцию:

bool.all (<List<Boolean>>)

Выражение any выполняет "логическое ИЛИ" для произвольного числа значений типа Boolean. Возвращает значения типа Boolean. Если передать через параметр пустой список значений ([]), возвращает false. Чтобы вызвать выражение, нужно использовать следующую конструкцию:

bool.any (<List<Boolean>>)

Выражение cond выполняет тернарную условную операцию. Возвращает значения типа ScalarLiteral. Чтобы вызвать выражение, нужно использовать следующую конструкцию:

bool.cond
  { if   : <Boolean> // Условие
  , then : <ScalarLiteral> // Значение, возвращаемое при истинности условия
  , else : <ScalarLiteral> // Значение, возвращаемое при ложности условия
  }

Помимо выражений модель безопасности Bool включает правило assert, которое работает так же, как одноименное правило модели безопасности Base.

В начало

Модель безопасности Math

Модель безопасности Math позволяет выполнять операции целочисленной арифметики.

PSL-файл с описанием модели безопасности Math находится в KasperskyOS SDK по пути:

toolchain/include/nk/basic.psl

Объект модели безопасности Math

В файле basic.psl содержится декларация, которая создает объект модели безопасности Math с именем math. Соответственно, включение файла basic.psl в описание политики безопасности решения обеспечивает создание объекта модели безопасности Math по умолчанию.

Объект модели безопасности Math не имеет параметров и не может быть покрыт аудитом безопасности.

Создавать дополнительные объекты модели безопасности Math не требуется.

Методы модели безопасности Math

Модель безопасности Math содержит выражения, которые выполняют операции целочисленной арифметики. Для вызова части этих выражений нужно использовать следующие арифметические операторы:

<Number> + <Number> – "сложение". Возвращает значения типа Number.
<Number> - <Number> – "вычитание". Возвращает значения типа Number.
<Number> * <Number> – "умножение". Возвращает значения типа Number.

Другая часть включает следующие выражения:

neg (<Signed>) – "изменение знака числа". Возвращает значения типа Signed.
abs (<Signed> ) – "получение модуля числа". Возвращает значения типа Signed.
sum (<List<Number>>) – "сложение чисел из списка". Возвращает значения типа Number. Если передать через параметр пустой список значений ([]), возвращает 0.
product (<List<Number>>) – "перемножение чисел из списка". Возвращает значения типа Number. Если передать через параметр пустой список значений ([]), возвращает 1.

Для вызова этих выражений нужно использовать следующую конструкцию:

math.<имя выражения> (<параметр>)

В начало

Модель безопасности Struct

Модель безопасности Struct позволяет получать доступ к структурным элементам данных.

PSL-файл с описанием модели безопасности Struct находится в KasperskyOS SDK по пути:

toolchain/include/nk/basic.psl

Объект модели безопасности Struct

В файле basic.psl содержится декларация, которая создает объект модели безопасности Struct с именем struct. Соответственно, включение файла basic.psl в описание политики безопасности решения обеспечивает создание объекта модели безопасности Struct по умолчанию.

Объект модели безопасности Struct не имеет параметров и не может быть покрыт аудитом безопасности.

Создавать дополнительные объекты модели безопасности Struct не требуется.

Методы модели безопасности Struct

Модель безопасности Struct содержит выражения, которые обеспечивают доступ к структурным элементам данных. Для вызова этих выражений нужно использовать следующие конструкции:

<словарь>.<имя поля> – "получение доступа к полю словаря". Тип возвращаемых данных соответствует типу поля словаря.
<List | Set | Sequence | Array>.[<номер элемента>] – "получение доступа к элементу данных". Тип возвращаемых данных соответствует типу элементов. Нумерация элементов начинается с нуля. При выходе за границы набора данных выражение завершается некорректно, и модуль безопасности Kaspersky Security Module возвращает решение "запрещено".
<HandleDesc>.handle – "получение SID". Возвращает значения типа Handle. (О взаимосвязи между дескрипторами и значениями SID см. "Управление доступом к ресурсам").
<HandleDesc>.rights – "получение маски прав дескриптора". Возвращает значения типа UInt32.

Параметры интерфейсных методов сохраняются в специальном словаре message. Чтобы получить доступ к параметру интерфейсного метода, нужно использовать следующую конструкцию:

message.<имя параметра интерфейсного метода>

Имя параметра нужно указать в соответствии с IDL-описанием.

Чтобы получить доступ к структурным элементам параметров, нужно использовать конструкции, соответствующие выражениям модели безопасности Struct.

Чтобы использовать выражения модели безопасности Struct, описание события безопасности должно быть настолько точным, чтобы ему соответствовали IPC-сообщения одного типа (подробнее см. "Привязка методов моделей безопасности к событиям безопасности"). IPC-сообщения этого типа должны содержать заданные параметры интерфейсного метода, и параметры интерфейсного метода должны содержать заданные структурные элементы.

В начало

Модель безопасности Base

Модель безопасности Base позволяет реализовать простейшую логику.

PSL-файл с описанием модели безопасности Base находится в KasperskyOS SDK по пути:

toolchain/include/nk/base.psl

Объект модели безопасности Base

В файле base.psl содержится декларация, которая создает объект модели безопасности Base с именем base. Соответственно, включение файла base.psl в описание политики безопасности решения обеспечивает создание объекта модели безопасности Base по умолчанию. Методы этого объекта можно вызывать без указания имени объекта.

Объект модели безопасности Base не имеет параметров.

Объект модели безопасности Base может быть покрыт аудитом безопасности. Условия выполнения аудита, специфичные для модели безопасности Base, отсутствуют.

Необходимость создавать дополнительные объекты модели безопасности Base возникает в следующих случаях:

Если нужно по-разному настроить аудит безопасности для разных объектов модели безопасности Base (например, для разных объектов можно применять разные профили аудита или разные конфигурации аудита одного профиля).
Если нужно различать вызовы методов, предоставляемых разными объектами модели безопасности Base (поскольку в данные аудита включается как имя метода модели безопасности, так и имя объекта, предоставляющего этот метод, можно понять, что был вызван метод конкретного объекта).

Методы модели безопасности Base

Модель безопасности Base содержит следующие правила:

grant ()
Имеет параметр типа (). Возвращает результат "разрешено".

Пример:

/* Клиенту класса foo разрешено * обращаться к серверу класса bar. */ request src=foo dst=bar { grant () }
assert (<Boolean>)
Возвращает результат "разрешено", если через параметр передать значение true. Иначе возвращает результат "запрещено".

Пример:

/* Любому клиенту в решении будет разрешено обращаться к серверу класса * foo, вызывая метод Send службы net.Net, если через параметр port * метода Send будет передаваться значение больше 80. Иначе любому * клиенту в решении будет запрещено обращаться к серверу класса * foo, вызывая метод Send службы net.Net. */ request dst=foo endpoint=net.Net method=Send { assert (message.port > 80) }
deny (<Boolean>) | ()
Возвращает результат "запрещено", если через параметр передать значение true или (). Иначе возвращает результат "разрешено".

Пример:

/* Серверу класса foo запрещено * отвечать клиенту класса bar. */ response src=foo dst=bar { deny () }
set_level (<UInt8>)
Устанавливает уровень аудита безопасности равным значению, переданному через параметр. Возвращает результат "разрешено". (Подробнее об уровне аудита безопасности см. "Описание профилей аудита безопасности".)

Пример:

/* Процесс класса foo получит решение "разрешено" от модуля * безопасности Kaspersky Security Module, если вызовет метод интерфейса безопасности * SetAuditLevel, чтобы изменить уровень аудита безопасности. */ security src=foo method=SetAuditLevel { set_level (message.audit_level) }

В начало

Модель безопасности Regex

Модель безопасности Regex позволяет реализовать валидацию текстовых данных по статически заданным регулярным выражениям.

PSL-файл с описанием модели безопасности Regex находится в KasperskyOS SDK по пути:

toolchain/include/nk/regex.psl

Объект модели безопасности Regex

В файле regex.psl содержится декларация, которая создает объект модели безопасности Regex с именем re. Соответственно, включение файла regex.psl в описание политики безопасности решения обеспечивает создание объекта модели безопасности Regex по умолчанию.

Объект модели безопасности Regex не имеет параметров.

Объект модели безопасности Regex может быть покрыт аудитом безопасности. При этом нужно задать условия выполнения аудита, специфичные для модели безопасности Regex. Для этого в описании конфигурации аудита нужно использовать следующие конструкции:

emit : ["match"] – аудит выполняется, если вызван метод match;
emit : ["select"] – аудит выполняется, если вызван метод select;
emit : ["match", "select"] – аудит выполняется, если вызван метод match или select;
emit : [] – аудит не выполняется.

Необходимость создавать дополнительные объекты модели безопасности Regex возникает в следующих случаях:

Если нужно по-разному настроить аудит безопасности для разных объектов модели безопасности Regex (например, для разных объектов можно применять разные профили аудита или разные конфигурации аудита одного профиля).
Если нужно различать вызовы методов, предоставляемых разными объектами модели безопасности Regex (поскольку в данные аудита включается как имя метода модели безопасности, так и имя объекта, предоставляющего этот метод, можно понять, что был вызван метод конкретного объекта).

Методы модели безопасности Regex

Модель безопасности Regex содержит следующие выражения:

match {text : <Text>, pattern : <Text>}
Возвращает значение типа Boolen. Если текст text соответствует регулярному выражению pattern, возвращает true. Иначе возвращает false.

Пример:

assert (re.match {text : message.text, pattern : "[0-9]*"})
select {text : <Text>}
Предназначено для использования в качестве выражения, проверяющего выполнение условий в конструкции choice (о конструкции choice см. "Привязка методов моделей безопасности к событиям безопасности"). Проверяет соответствие текста text регулярным выражениям. В зависимости от результатов этой проверки выполняются различные варианты обработки события безопасности.

Пример:

choice (re.select {text : "hello world"}) { "hello\ .*": grant () ".*world" : grant () _ : deny () }

Синтаксис регулярных выражений модели безопасности Regex

Регулярное выражение для метода match модели безопасности Regex можно записать двумя способами: внутри многострочного блока regex или как текстовый литерал.

При записи регулярного выражения как текстового литерала все вхождения обратного слеша необходимо удвоить.

Например, два регулярных выражения идентичны:

// Регулярное выражение внутри многострочного блока regex
{ pattern:
    ```regex
    Hello\ world\!
    ```
, text: "Hello world!"
}
// Регулярное выражение как текстовый литерал (обратный слеш удвоен)
{ pattern: "Hello\\ world\\!"
, text: "Hello world!"
}

Регулярные выражения для метода select модели безопасности Regex записываются как текстовые литералы с удвоением обратного слеша.

Регулярное выражение задается в виде строки-шаблона и может содержать:

литералы (обычные символы);
метасимволы (символы со специальными значениями);
пробельные символы;
наборы символов;
группы символов;
операторы для работы с символами.

Регулярные выражения чувствительны к регистру.

Литералы и метасимволы в регулярных выражениях

Литералом является любой ASCII-символ, за исключением метасимволов .()*&|!?+[]\ и знака пробела. (Символы Unicode не поддерживаются.)
Например, регулярному выражению KasperskyOS соответствует текст KasperskyOS.

Метасимволы имеют специальные значения, которые приведены в таблице ниже.

Специальные значения метасимволов

Метасимвол	Специальное значение
`[]`	Квадратные скобки обозначают начало и конец набора символов.
`()`	Круглые скобки обозначают начало и конец группы символов.
`*`	Звездочка обозначает оператор, определяющий, что символ, который ему предшествует, может повторяться ноль или больше раз.
`+`	Плюс обозначает оператор, определяющий, что символ, который ему предшествует, может повторяться один или больше раз.
`?`	Вопрос обозначает оператор, определяющий, что символ, который ему предшествует, может повторяться ноль или один раз.
`!`	Восклицательный знак обозначает оператор, исключающий последующий символ из списка допустимых символов.
`\|`	Вертикальная черта обозначает оператор выбора между символами (близок по смыслу к союзу "ИЛИ").
`&`	Амперсанд обозначает оператор пересечения нескольких условий (близок по смыслу к союзу "И").
`.`	Точка обозначает соответствие любому символу. Например, регулярному выражению `K.S` соответствуют последовательности символов: `KОS`, `KoS`, `KES` и множество других последовательностей из трех символов, которые начинаются на `K` и заканчиваются на `S`, и где второй символ может быть любым: литералом, метасимволом или самой точкой.
`\`	`\`<`metaSymbol`> Обратный слеш указывает, что следующий за ним метасимвол будет интерпретирован как литерал и потеряет свое специальное значение. Добавление обратного слеша перед метасимволом называется экранированием метасимвола. Например, регулярному выражению, которое состоит из метасимвола точки `.`, соответствует любой символ, а регулярному выражению, которое состоит из обратного слеша с точкой `\.`, соответствует только сам символ точки. Аналогично обратный слеш действует и на самого себя. Регулярному выражению `С:\\Users` соответствует последовательность символов `C:\Users`.

Символы ^ и $ как обозначения начала и конца строки не используются.

Пробельные символы в регулярных выражениях

Знак пробела имеет ASCII-код, равный 20, в шестнадцатеричной системе счисления и ASCII-код, равный 40, в восьмеричной системе счисления. Знак пробела не имеет специального значения, но во избежание неоднозначной трактовки данного символа интерпретатором регулярных выражений, пробел необходимо экранировать.
Например, регулярному выражению Hello\ world соответствует последовательность символов Hello world.
\r
Символ возврата каретки.
\n
Символ переноса строки.
\t
Символ горизонтальной табуляции.

Определение символа по его восьмеричному или шестнадцатеричному коду в регулярных выражениях

\x{<hex>}
Определение символа его шестнадцатеричным кодом hex из таблицы ASCII-символов. Код символа должен быть меньше, чем 0x100.

Например, регулярному выражению Hello\x{20}world соответствует последовательность символов Hello world.
\o{<octal>}
Определение символа его восьмеричным кодом octal из таблицы ASCII-символов. Код символа должен быть меньше, чем 0o400.

Например, регулярному выражению \o{75} соответствует символ =.

Наборы символов в регулярных выражениях

Набор символов задается внутри квадратных скобок [] перечислением или диапазоном символов. Набор символов указывает интерпретатору регулярных выражений, что на этом месте в последовательности символов может стоять только один из перечисленных в наборе или диапазоне символов. Набор символов не может быть пустым.

[<BracketSpec>] – набор символов.
Один символ соответствует любому символу из набора символов BracketSpec.

Например, регулярному выражению K[OE]S соответствуют последовательности символов KOS и KES.
[^<BracketSpec>] – набор символов с инверсией.
Один символ соответствует любому символу, не входящему в набор символов BracketSpec.

Например, регулярному выражению K[^OE]S соответствуют последовательности символов KAS, K8S и любые другие последовательности из трех символов, которые начинаются на K и заканчиваются на S, кроме KОS и KES.

Набор символов BracketSpec может быть перечислен явно или определен как диапазон символов. Чтобы определить диапазон символов, первый и последний символ в наборе разделяют дефисом.

[<Digit1>-<DigitN>]
Любая цифра из диапазона Digit1, Digit2, ... ,DigitN.

Например, регулярному выражению [0-9] соответствует любая цифра. Записи регулярных выражений [0-9] и [0123456789] идентичны.

Обратите внимание, что диапазон определяется одним символом до и одним символом после дефиса. Регулярному выражению [1-35] соответствуют символы 1, 2, 3 и 5, а не диапазон чисел от 1 до 35.
[<Letter1>-<LetterN>]
Любая латинская буква из диапазона Letter1, Letter2, ... , LetterN (буквы должны быть в одинаковых регистрах).

Например, регулярному выражению [a-zA-Z] соответствуют все буквы в нижнем и верхнем регистре из таблицы ASCII-символов.

ASCII-код символа верхней границы диапазона должен быть больше ASCII-кода символа нижней границы диапазона.

Например, регулярные выражения типа [5-2] или [z-a] недопустимы.

Знак дефиса (минуса) - рассматривается как специальный символ только внутри набора символов. Вне набора символов дефис является литералом, поэтому дефису не обязан предшествовать метасимвол \. Для использования дефиса как литерала внутри набора символов необходимо указывать его первым или последним в наборе.

Примеры:

Регулярным выражениям [-az] и [az-] соответствуют символы a, z и -.

Регулярному выражению [a-z] соответствует любая из 26 латинских букв от a до z в нижнем регистре.

Регулярному выражению [-a-z] соответствует любая из 26 латинских букв от a до z в нижнем регистре и -.

Циркумфлекс (символ вставки) ^ рассматривается как специальный символ только внутри набора символов, когда он расположен сразу после открывающей квадратной скобки. Вне набора символов циркумфлекс является литералом, поэтому циркумфлексу не обязан предшествовать метасимвол \. Для использования циркумфлекса как литерала внутри набора символов необходимо указывать его не первым в наборе.

Примеры:

Регулярному выражению [0^9] соответствуют символы 0, 9 и ^.

Регулярному выражению [^09] соответствует любой символ, кроме 0 и 9.

Внутри набора символов метасимволы *.&|!?+ теряют свое специальное значение и интерпретируются как литералы, поэтому предварять их метасимволом \ не обязательно. Обратный слеш \ сохраняет свое специальное значение внутри набора символов.

Например, регулярные выражения [a.] и [a\.] идентичны, и им соответствуют символ a и точка как литерал.

Группы символов и операторы в регулярных выражениях

Группа символов выделяет из регулярного выражения его часть (подвыражение) с помощью круглых скобок (). Обычно группы используются для выделения подвыражений в качестве операндов. Группы могут быть вложены друг в друга.

Операторы применяются более чем к одному символу в регулярном выражении, только если они стоят сразу перед или после определения набора или группы символов. В этом случае действие оператора распространяется на всю группу или набор символов.

В синтаксисе определены следующие операторы (перечислены в порядке убывания приоритета):

!<Expression>, где Expression может быть символом, набором или группой символов.
Оператор означает исключение выражения Expression из списка допустимых выражений.

Примеры:

Регулярному выражению K!OS соответствуют последовательности символов KoS, KES и множество других последовательностей, которые состоят из трех символов, начинаются на K и заканчиваются на S, кроме KОS.

Регулярному выражению K!(OS) соответствуют последовательности символов Kos, KES, KOT и множество других последовательностей, которые состоят из трех символов и начинаются на K, кроме KОS.

Регулярному выражению K![OE]S соответствуют последовательности символов KoS, KeS, K;S и множество других последовательностей, которые состоят из трех символов, начинаются на K и заканчиваются на S, кроме KОS и KES.
<Expression>*, где Expression может быть символом, набором или группой символов.
Оператор означает, что выражение Expression может встретиться в этой позиции ноль или больше раз.

Примеры:

Регулярному выражению 0-9* соответствуют последовательности символов 0-, 0-9, 0-99, ... .

Регулярному выражению (0-9)* соответствуют пустая последовательность "" и последовательности символов 0-9, 0-90-9, ... .

Регулярному выражению [0-9]* соответствуют пустая последовательность "" и любая непустая последовательность цифр.
<Expression>+, где Expression может быть символом, набором или группой символов.
Оператор означает, что выражение Expression может встретиться в этой позиции один или больше раз.

Примеры:

Регулярному выражению 0-9+ соответствуют последовательности символов 0-9, 0-99, 0-999, ... .

Регулярному выражению (0-9)+ соответствуют последовательности символов 0-9, 0-90-9, ... .

Регулярному выражению [0-9]+ соответствует любая непустая последовательность цифр.
<Expression>?, где Expression может быть символом, набором или группой символов.
Оператор означает, что выражение Expression может встретиться в данной позиции ноль или один раз.

Примеры:

Регулярному выражению https?:// соответствуют последовательности символов http:// и https://.

Регулярному выражению K(aspersky)?OS соответствуют последовательности символов KOS и KasperskyOS.
<Expression1><Expression2> – конкатенация. Expression1 и Expression2 могут быть символами, наборами или группами символов.
Оператор не имеет обозначения. В результирующем выражении за выражением Expression1 следует выражение Expression2.

Например, результатом конкатенации последовательностей символов микро и ядро будет последовательность символов микроядро.
<Expression1>|<Expression2> – дизъюнкция. Expression1 и Expression2 могут быть символами, наборами или группами символов.
Оператор означает выбор выражения Expression1 или выражения Expression2.

Примеры:

Регулярному выражению KO|ES соответствуют последовательности символов KO и ES, но не KОS и не KES, так как оператор конкатенации имеет приоритет выше, чем оператор дизъюнкции.

Регулярному выражению Press (OK|Cancel) соответствуют последовательности символов Press OK или Press Cancel.

Регулярному выражению [0-9]|() соответствуют цифры от 0 до 9 или пустая строка.
<Expression1>&<Expression2> – конъюнкция. Expression1 и Expression2 могут быть символами, наборами или группами символов.
Оператор означает пересечение результата выражения Expression1 с результатом выражения Expression2.

Примеры:

Регулярному выражению [0-9]&[^3] соответствуют цифры от 0 до 9, кроме 3.

Регулярному выражению [a-zA-Z]&() соответствуют все латинские буквы и пустая строка.

В начало

Модель безопасности HashSet

Модель безопасности HashSet позволяет ассоциировать с ресурсами одномерные таблицы уникальных значений одного типа, добавлять и удалять эти значения, а также проверять, входит ли заданное значение в таблицу. Например, можно ассоциировать процесс, в контексте которого выполняется сетевой сервер, с набором портов, который разрешено открывать этому серверу. Эту ассоциацию можно использовать, чтобы проверить, допустимо ли открытие порта, инициированное сервером.

PSL-файл с описанием модели безопасности HashSet находится в KasperskyOS SDK по пути:

toolchain/include/nk/hashmap.psl

В этом разделе

Объект модели безопасности HashSet

Правило init модели безопасности HashSet

Правило fini модели безопасности HashSet

Правило add модели безопасности HashSet

Правило remove модели безопасности HashSet

Выражение contains модели безопасности HashSet

В начало

Объект модели безопасности HashSet

Чтобы использовать модель безопасности HashSet, нужно создать объект (объекты) этой модели.

Объект модели безопасности HashSet содержит пул одномерных таблиц одинакового размера, предназначенных для хранения значений одного типа. Ресурс может быть ассоциирован только с одной таблицей из пула таблиц каждого объекта модели безопасности HashSet.

Объект модели безопасности HashSet имеет следующие параметры:

type Entry – тип значений в таблицах (поддерживаются целочисленные типы, тип Boolean, а также словари и кортежи на базе целочисленных типов и типа Boolean);
config – конфигурация пула таблиц:
- set_size – размер таблицы;
- pool_size – число таблиц в пуле.

Все параметры объекта модели безопасности HashSet являются обязательными.

Пример:

policy object s : HashSet {
    type Entry = UInt32
 
    config =
      { set_size : 5
      , pool_size : 2
      }
}

Объект модели безопасности HashSet может быть покрыт аудитом безопасности. Условия выполнения аудита, специфичные для модели безопасности HashSet, отсутствуют.

Необходимость создавать несколько объектов модели безопасности HashSet возникает в следующих случаях:

Если нужно по-разному настроить аудит безопасности для разных объектов модели безопасности HashSet (например, для разных объектов можно применять разные профили аудита или разные конфигурации аудита одного профиля).
Если нужно различать вызовы методов, предоставляемых разными объектами модели безопасности HashSet (поскольку в данные аудита включается как имя метода модели безопасности, так и имя объекта, предоставляющего этот метод, можно понять, что был вызван метод конкретного объекта).
Если нужно использовать таблицы разных размеров и/или с разными типами значений.

В начало

Правило init модели безопасности HashSet

init {sid : <Sid>}

Ассоциирует свободную таблицу из пула таблиц с ресурсом sid. Если свободная таблица содержит значения после предыдущего использования, то эти значения удаляются.

Возвращает результат "разрешено", если создало ассоциацию таблицы с ресурсом sid.

Возвращает результат "запрещено" в следующих случаях:

В пуле нет свободных таблиц.
Ресурс sid уже ассоциирован с таблицей из пула таблиц используемого объекта модели безопасности HashSet.
Значение sid вне допустимого диапазона.

Пример:

/* Запуск процесса класса Server будет разрешен, если
 * при инициации запуска будет создана ассоциация этого
 * процесса с таблицей. Иначе запуск процесса класса
 * Server будет запрещен. */
execute dst=Server {
    s.init {sid : dst_sid}
}

В начало

Правило fini модели безопасности HashSet

fini {sid : <Sid>}

Удаляет ассоциацию таблицы с ресурсом sid (таблица становится свободной).

Возвращает результат "разрешено", если удалило ассоциацию таблицы с ресурсом sid.

Возвращает результат "запрещено" в следующих случаях:

Ресурс sid не ассоциирован с таблицей из пула таблиц используемого объекта модели безопасности HashSet.
Значение sid вне допустимого диапазона.

В начало

Правило add модели безопасности HashSet

add {sid : <Sid>, entry : <Entry>}

Добавляет значение entry в таблицу, ассоциированную с ресурсом sid.

Возвращает результат "разрешено" в следующих случаях:

Правило добавило значение entry в таблицу, ассоциированную с ресурсом sid.
В таблице, ассоциированной с ресурсом sid, уже содержится значение entry.

Возвращает результат "запрещено" в следующих случаях:

Таблица, ассоциированная с ресурсом sid, полностью заполнена.
Ресурс sid не ассоциирован с таблицей из пула таблиц используемого объекта модели безопасности HashSet.
Значение sid вне допустимого диапазона.

Пример:

/* Процесс класса Server получит решение "разрешено" от
 * модуля безопасности Kaspersky Security Module, вызывая метод интерфейса
 * безопасности Add, если при вызове этого метода значение
 * 5 будет добавлено в таблицу, ассоциированную с этим
 * процессом, или уже содержится в этой таблице. Иначе
 * процесс класса Server получит решение "запрещено" от
 * модуля безопасности, вызывая метод интерфейса
 * безопасности Add. */
security src=Server, method=Add {
    s.add {sid : src_sid, entry : 5}
}

В начало

Правило remove модели безопасности HashSet

remove {sid : <Sid>, entry : <Entry>}

Удаляет значение entry из таблицы, ассоциированной с ресурсом sid.

Возвращает результат "разрешено" в следующих случаях:

Правило удалило значение entry из таблицы, ассоциированной с ресурсом sid.
В таблице, ассоциированной с ресурсом sid, нет значения entry.

Возвращает результат "запрещено" в следующих случаях:

Ресурс sid не ассоциирован с таблицей из пула таблиц используемого объекта модели безопасности HashSet.
Значение sid вне допустимого диапазона.

В начало

Выражение contains модели безопасности HashSet

contains {sid : <Sid>, entry : <Entry>}

Проверяет, содержится ли значение entry в таблице, ассоциированной с ресурсом sid.

Возвращает значение типа Boolean. Если значение entry содержится в таблице, ассоциированной с ресурсом sid, возвращает true. Иначе возвращает false.

Выполняется некорректно в следующих случаях:

Ресурс sid не ассоциирован с таблицей из пула таблиц используемого объекта модели безопасности HashSet.
Значение sid вне допустимого диапазона.

Когда выражение выполняется некорректно, модуль безопасности Kaspersky Security Module возвращает решение "запрещено".

Пример:

/* Процесс класса Server получит решение "разрешено" от
 * модуля безопасности Kaspersky Security Module, вызывая метод интерфейса
 * безопасности Check, если значение 42 содержится в таблице,
 * ассоциированной с этим процессом. Иначе процесс класса
 * Server получит решение "запрещено" от модуля безопасности,
 * вызывая метод интерфейса безопасности Check. */
security src=Server, method=Check {
    assert(s.contains {sid : src_sid, entry : 42})
}

В начало

Модель безопасности StaticMap

Модель безопасности StaticMap позволяет ассоциировать с ресурсами двумерные таблицы типа "ключ–значение", читать и изменять значения ключей. Например, можно ассоциировать процесс, в контексте которого выполняется драйвер, с регионом памяти MMIO, который разрешено использовать этому драйверу. Для этого потребуется два ключа, значения которых задают базовый адрес и размер региона памяти MMIO. Эту ассоциацию можно использовать, чтобы проверить, может ли драйвер обращаться к региону памяти MMIO, к которому он пытается получить доступ.

Ключи в таблице имеют одинаковый тип и являются уникальными и неизменяемыми. Значения ключей в таблице имеют одинаковый тип.

Одновременно существует два экземпляра таблицы: базовый и рабочий. Оба экземпляра инициализируются одинаковыми данными. Изменения заносятся сначала в рабочий экземпляр, а затем могут быть добавлены в базовый экземпляр или, наоборот, заменены прежними значениями из базового экземпляра. Значения ключей могут быть прочитаны как из базового, так и из рабочего экземпляра таблицы.

PSL-файл с описанием модели безопасности StaticMap находится в KasperskyOS SDK по пути:

toolchain/include/nk/staticmap.psl

В этом разделе

Объект модели безопасности StaticMap

Правило init модели безопасности StaticMap

Правило fini модели безопасности StaticMap

Правило set модели безопасности StaticMap

Правило commit модели безопасности StaticMap

Правило rollback модели безопасности StaticMap

Выражение get модели безопасности StaticMap

Выражение get_uncommitted модели безопасности StaticMap

В начало

Объект модели безопасности StaticMap

Чтобы использовать модель безопасности StaticMap, нужно создать объект (объекты) этой модели.

Объект модели безопасности StaticMap содержит пул двумерных таблиц типа "ключ–значение", которые имеют одинаковый размер. Ресурс может быть ассоциирован только с одной таблицей из пула таблиц каждого объекта модели безопасности StaticMap.

Объект модели безопасности StaticMap имеет следующие параметры:

type Value – тип значений ключей в таблицах (поддерживаются целочисленные типы);
config – конфигурация пула таблиц:
- keys – таблица, содержащая ключи и их значения по умолчанию (ключи имеют тип Key = Text | List<UInt8>);
- pool_size – число таблиц в пуле.

Все параметры объекта модели безопасности StaticMap являются обязательными.

Пример:

policy object m : StaticMap {
    type Value = UInt16
 
    config =
      { keys:
        { "k1" : 0
        , "k2" : 1
        }
      , pool_size : 2
      }
}

Объект модели безопасности StaticMap может быть покрыт аудитом безопасности. Условия выполнения аудита, специфичные для модели безопасности StaticMap, отсутствуют.

Необходимость создавать несколько объектов модели безопасности StaticMap возникает в следующих случаях:

Если нужно по-разному настроить аудит безопасности для разных объектов модели безопасности StaticMap (например, для разных объектов можно применять разные профили аудита или разные конфигурации аудита одного профиля).
Если нужно различать вызовы методов, предоставляемых разными объектами модели безопасности StaticMap (поскольку в данные аудита включается как имя метода модели безопасности, так и имя объекта, предоставляющего этот метод, можно понять, что был вызван метод конкретного объекта).
Если нужно использовать таблицы с разными наборами ключей и/или разными типами значений ключей.

В начало

Правило init модели безопасности StaticMap

init {sid : <Sid>}

Ассоциирует свободную таблицу из пула таблиц с ресурсом sid. Ключи инициализируются значениями по умолчанию.

Возвращает результат "разрешено", если создало ассоциацию таблицы с ресурсом sid.

Возвращает результат "запрещено" в следующих случаях:

В пуле нет свободных таблиц.
Ресурс sid уже ассоциирован с таблицей из пула таблиц используемого объекта модели безопасности StaticMap.
Значение sid вне допустимого диапазона.

Пример:

/* Запуск процесса класса Server будет разрешен, если
 * при инициации запуска будет создана ассоциация этого
 * процесса с таблицей. Иначе запуск процесса класса
 * Server будет запрещен. */
execute dst=Server {
    m.init {sid : dst_sid}
}

В начало

Правило fini модели безопасности StaticMap

fini {sid : <Sid>}

Удаляет ассоциацию таблицы с ресурсом sid (таблица становится свободной).

Возвращает результат "разрешено", если удалило ассоциацию таблицы с ресурсом sid.

Возвращает результат "запрещено" в следующих случаях:

Ресурс sid не ассоциирован с таблицей из пула таблиц используемого объекта модели безопасности StaticMap.
Значение sid вне допустимого диапазона.

В начало

Правило set модели безопасности StaticMap

set {sid : <Sid>, key : <Key>, value : <Value>}

Задает значение value ключу key в рабочем экземпляре таблицы, ассоциированной с ресурсом sid.

Возвращает результат "разрешено", если задало значение value ключу key в рабочем экземпляре таблицы, ассоциированной с ресурсом sid. (Текущее значение ключа будет перезаписано, даже если оно равно новому.)

Возвращает результат "запрещено" в следующих случаях:

Ключ key не содержится в таблице, ассоциированной с ресурсом sid.
Ресурс sid не ассоциирован с таблицей из пула таблиц используемого объекта модели безопасности StaticMap.
Значение sid вне допустимого диапазона.

Пример:

/* Процесс класса Server получит решение "разрешено" от
 * модуля безопасности Kaspersky Security Module, вызывая метод интерфейса
 * безопасности Set, если при вызове этого метода значение 2
 * будет задано ключу k1 в рабочем экземпляре таблицы,
 * ассоциированной с этим процессом. Иначе процесс класса
 * Server получит решение "запрещено" от модуля безопасности,
 * вызывая метод интерфейса безопасности Set. */
security src=Server, method=Set {
    m.set {sid : src_sid, key : "k1", value : 2}
}

В начало

Правило commit модели безопасности StaticMap

commit {sid : <Sid>}

Копирует значения ключей из рабочего в базовый экземпляр таблицы, ассоциированной с ресурсом sid.

Возвращает результат "разрешено", если скопировало значения ключей из рабочего в базовый экземпляр таблицы, ассоциированной с ресурсом sid.

Возвращает результат "запрещено" в следующих случаях:

Ресурс sid не ассоциирован с таблицей из пула таблиц используемого объекта модели безопасности StaticMap.
Значение sid вне допустимого диапазона.

В начало

Правило rollback модели безопасности StaticMap

rollback {sid : <Sid>}

Копирует значения ключей из базового в рабочий экземпляр таблицы, ассоциированной с ресурсом sid.

Возвращает результат "разрешено", если скопировало значения ключей из базового в рабочий экземпляр таблицы, ассоциированной с ресурсом sid.

Возвращает результат "запрещено" в следующих случаях:

Ресурс sid не ассоциирован с таблицей из пула таблиц используемого объекта модели безопасности StaticMap.
Значение sid вне допустимого диапазона.

В начало

Выражение get модели безопасности StaticMap

get {sid : <Sid>, key : <Key>}

Возвращает значение ключа key из базового экземпляра таблицы, ассоциированной с ресурсом sid.

Возвращает значение типа Value.

Выполняется некорректно в следующих случаях:

Ключ key не содержится в таблице, ассоциированной с ресурсом sid.
Ресурс sid не ассоциирован с таблицей из пула таблиц используемого объекта модели безопасности StaticMap.
Значение sid вне допустимого диапазона.

Когда выражение выполняется некорректно, модуль безопасности Kaspersky Security Module возвращает решение "запрещено".

Пример:

/* Процесс класса Server получит решение "разрешено" от
 * модуля безопасности Kaspersky Security Module, вызывая метод интерфейса
 * безопасности Get, если значение ключа k1 в базовом
 * экземпляре таблицы, ассоциированной с этим процессом,
 * отлично от нуля. Иначе процесс класса Server получит
 * решение "запрещено" от модуля безопасности, вызывая
 * метод интерфейса безопасности Get. */
security src=Server, method=Get {
    assert(m.get {sid : src_sid, key : "k1"} != 0)
}

В начало

Выражение get_uncommitted модели безопасности StaticMap

get_uncommitted {sid: <Sid>, key: <Key>}

Возвращает значение ключа key из рабочего экземпляра таблицы, ассоциированной с ресурсом sid.

Возвращает значение типа Value.

Выполняется некорректно в следующих случаях:

Ключ key не содержится в таблице, ассоциированной с ресурсом sid.
Ресурс sid не ассоциирован с таблицей из пула таблиц используемого объекта модели безопасности StaticMap.
Значение sid вне допустимого диапазона.

Когда выражение выполняется некорректно, модуль безопасности Kaspersky Security Module возвращает решение "запрещено".

В начало

Модель безопасности Flow

Модель безопасности Flow позволяет ассоциировать с ресурсами конечные автоматы, получать и изменять состояния конечных автоматов, а также проверять, что состояние конечного автомата входит в заданный набор состояний. Например, можно ассоциировать процесс с конечным автоматом, чтобы разрешать и запрещать этому процессу использовать накопители и/или сеть в зависимости от состояния конечного автомата.

PSL-файл с описанием модели безопасности Flow находится в KasperskyOS SDK по пути:

toolchain/include/nk/flow.psl

В этом разделе

Объект модели безопасности Flow

Правило init модели безопасности Flow

Правило fini модели безопасности Flow

Правило enter модели безопасности Flow

Правило allow модели безопасности Flow

Выражение query модели безопасности Flow

В начало

Объект модели безопасности Flow

Чтобы использовать модель безопасности Flow, нужно создать объект (объекты) этой модели.

Один объект модели безопасности Flow позволяет ассоциировать множество ресурсов со множеством конечных автоматов, которые имеют одинаковую конфигурацию. Ресурс может быть ассоциирован только с одним конечным автоматом каждого объекта модели безопасности Flow.

Объект модели безопасности Flow имеет следующие параметры:

type State – тип, определяющий множество состояний конечного автомата (вариантный тип, объединяющий текстовые литералы);
config – конфигурация конечного автомата:
- states – множество состояний конечного автомата (должно совпадать со множеством состояний, заданных типом State);
- initial – начальное состояние конечного автомата;
- transitions – описание допустимых переходов между состояниями конечного автомата.

Все параметры объекта модели безопасности Flow являются обязательными.

Пример:

policy object service_flow : Flow {
    type State = "sleep" | "started" | "stopped" | "finished"
 
    config = { states      : ["sleep", "started", "stopped", "finished"]
             , initial     : "sleep"
             , transitions : { "sleep"   : ["started"]
                             , "started" : ["stopped", "finished"]
                             , "stopped" : ["started", "finished"]
                             }
             }
}

finite_state_machine_example

Диаграмма состояний конечного автомата в примере

Объект модели безопасности Flow может быть покрыт аудитом безопасности. При этом можно задать условия выполнения аудита, специфичные для модели безопасности Flow. Для этого в описании конфигурации аудита нужно использовать следующую конструкцию:

omit : [<"состояние 1">[, ...]] – аудит не выполняется, если конечный автомат находится в одном из перечисленных состояний.

Необходимость создавать несколько объектов модели безопасности Flow возникает в следующих случаях:

Если нужно по-разному настроить аудит безопасности для разных объектов модели безопасности Flow (например, для разных объектов можно применять разные профили аудита или разные конфигурации аудита одного профиля).
Если нужно различать вызовы методов, предоставляемых разными объектами модели безопасности Flow (поскольку в данные аудита включается как имя метода модели безопасности, так и имя объекта, предоставляющего этот метод, можно понять, что был вызван метод конкретного объекта).
Если нужно использовать конечные автоматы с разными конфигурациями.

В начало

Правило init модели безопасности Flow

init {sid : <Sid>}

Создает конечный автомат и ассоциирует его с ресурсом sid. Созданный конечный автомат имеет конфигурацию, заданную в параметрах используемого объекта модели безопасности Flow.

Возвращает результат "разрешено", если создало ассоциацию конечного автомата с ресурсом sid.

Возвращает результат "запрещено" в следующих случаях:

Ресурс sid уже ассоциирован с конечным автоматом используемого объекта модели безопасности Flow.
Значение sid вне допустимого диапазона.

Пример:

/* Запуск процесса класса Server будет разрешен,
 * если при инициации запуска будет создана
 * ассоциация этого процесса с конечным автоматом.
 * Иначе запуск процесса класса Server будет запрещен. */
execute dst=Server {
    service_flow.init {sid : dst_sid}
}

В начало

Правило fini модели безопасности Flow

fini {sid : <Sid>}

Удаляет ассоциацию конечного автомата ресурсом sid. Конечный автомат, который более не ассоциирован с ресурсом, уничтожается.

Возвращает результат "разрешено", если удалило ассоциацию конечного автомата с ресурсом sid.

Возвращает результат "запрещено" в следующих случаях:

Ресурс sid не ассоциирован с конечным автоматом используемого объекта модели безопасности Flow.
Значение sid вне допустимого диапазона.

В начало

Правило enter модели безопасности Flow

enter {sid : <Sid>, state : <State>}

Переводит конечный автомат, ассоциированный с ресурсом sid, в состояние state.

Возвращает результат "разрешено", если перевело конечный автомат, ассоциированный с ресурсом sid, в состояние state.

Возвращает результат "запрещено" в следующих случаях:

Переход в состояние state из текущего состояния не допускается конфигурацией конечного автомата, ассоциированного с ресурсом sid.
Ресурс sid не ассоциирован с конечным автоматом используемого объекта модели безопасности Flow.
Значение sid вне допустимого диапазона.

Пример:

/* Любому клиенту в решении будет разрешено обращаться
 * к серверу класса Server, если конечный автомат,
 * ассоциированный с этим сервером, будет переведен в
 * состояние started при инициации обращения. Иначе
 * любому клиенту в решении будет запрещено обращаться
 * к серверу класса Server. */
request dst=Server {
    service_flow.enter {sid : dst_sid, state : "started"}
}

В начало

Правило allow модели безопасности Flow

allow {sid : <Sid>, states : <Set<State>>}

Проверяет, что состояние конечного автомата, ассоциированного с ресурсом sid, входит в набор состояний states.

Возвращает результат "разрешено", если состояние конечного автомата, ассоциированного с ресурсом sid, входит в набор состояний states.

Возвращает результат "запрещено" в следующих случаях:

Состояние конечного автомата, ассоциированного с ресурсом sid, не входит в набор состояний states.
Ресурс sid не ассоциирован с конечным автоматом используемого объекта модели безопасности Flow.
Значение sid вне допустимого диапазона.

Пример:

/* Любому клиенту в решении разрешено обращаться к серверу класса
 * Server, если конечный автомат, ассоциированный с этим сервером,
 * находится в состоянии started или stopped. Иначе любому клиенту
 * в решении запрещено обращаться к серверу класса Server. */
request dst=Server {
    service_flow.allow {sid : dst_sid, states : ["started", "stopped"]}
}

В начало

Выражение query модели безопасности Flow

query {sid : <Sid>}

Предназначено для использования в качестве выражения, проверяющего выполнение условий в конструкции choice (о конструкции choice см. "Привязка методов моделей безопасности к событиям безопасности"). Проверяет состояние конечного автомата, ассоциированного с ресурсом sid. В зависимости от результатов этой проверки выполняются различные варианты обработки события безопасности.

Выполняется некорректно в следующих случаях:

Ресурс sid не ассоциирован с конечным автоматом используемого объекта модели безопасности Flow.
Значение sid вне допустимого диапазона.

Когда выражение выполняется некорректно, модуль безопасности Kaspersky Security Module возвращает решение "запрещено".

Пример:

/* Любому клиенту в решении разрешено обращаться к
 * серверу класса ResourceDriver, если конечный автомат,
 * ассоциированный с этим сервером, находится в состоянии
 * started или stopped. Иначе любому клиенту в решении
 * запрещено обращаться к серверу класса ResourceDriver. */
request dst=ResourceDriver { 
    choice (service_flow.query {sid : dst_sid}) {
        "started"   : grant ()
        "stopped"   : grant ()
        _           : deny ()
    }
}

В начало

Модель безопасности Mic

Модель безопасности Mic позволяет реализовать мандатный контроль целостности. То есть эта модель безопасности дает возможность управлять информационными потоками между процессами, а также между процессами и ядром KasperskyOS, контролируя уровни целостности процессов, ядра и ресурсов, используемых через IPC.

В терминах модели безопасности Mic процессы и ядро называются субъектами, а ресурсы называются объектами. Однако сведения в этом разделе приведены с отступлением от терминологии модели безопасности Mic. Это отступление заключается в том, что термин "объект" не используется в значении "ресурс".

Информационные потоки между субъектами возникают, когда субъекты взаимодействуют через IPC.

Уровень целостности субъекта/ресурса – это степень доверия к субъекту/ресурсу. Степень доверия к субъекту определяется, например, исходя из того, взаимодействует ли субъект с недоверенными внешними программно-аппаратными системами, или имеет ли субъект доказанный уровень качества. (Ядро имеет высокий уровень целостности.) Степень доверия к ресурсу определяется, например, с учетом того, был ли этот ресурс создан доверенным субъектом внутри программно-аппаратной системы под управлением KasperskyOS или получен из недоверенной внешней программно-аппаратной системы.

Модель безопасности Mic характеризуют следующие положения:

По умолчанию информационные потоки от менее целостных к более целостным субъектам запрещены. Опционально такие информационные потоки могут быть разрешены. При этом нужно гарантировать, что более целостные субъекты не будут компрометированы.
Потребителю ресурсов запрещено записывать данные в ресурс, если уровень целостности ресурса выше уровня целостности потребителя ресурсов.
По умолчанию потребителю ресурсов запрещено читать данные из ресурса, если уровень целостности ресурса ниже уровня целостности потребителя ресурсов. Опционально потребителю ресурсов может быть разрешена такая операция. При этом нужно гарантировать, что потребитель ресурсов не будет компрометирован.

Методы модели безопасности Mic позволяют выполнять следующие операции:

назначать субъектам и ресурсам уровни целостности;
отменять назначение уровня целостности для ресурсов;
проверять допустимость информационных потоков на основе сравнения уровней целостности;
повышать уровни целостности ресурсов.

PSL-файл с описанием модели безопасности Mic находится в KasperskyOS SDK по пути:

toolchain/include/nk/mic.psl

В качестве примера использования модели безопасности Mic можно рассмотреть безопасное обновление ПО программно-аппаратной системы под управлением KasperskyOS. В обновлении участвуют четыре процесса:

Downloader – низкоцелостный процесс, который загружает низкоцелостный образ обновления с удаленного сервера в интернете.
Verifier – высокоцелостный процесс, который проверяет цифровую подпись низкоцелостного образа обновления (высокоцелостный процесс, который может читать данные из низкоцелостного ресурса).
FileSystem – высокоцелостный процесс, который управляет файловой системой.
Updater – высокоцелостный процесс, который применяет обновление.

Обновление ПО выполняется по следующему сценарию:

Downloader загружает образ обновления и сохраняет его в файл, передав содержимое образа в FileSystem. Этому файлу назначается низкий уровень целостности.
Verifier получает образ обновления у FileSystem, прочитав низкоцелостный файл, и проверяет его цифровую подпись. Если подпись корректна, Verifier обращается к FileSystem, чтобы FileSystem создал копию файла с образом обновления. Новому файлу назначается высокий уровень целостности.
Updater получает образ обновления у FileSystem, прочитав высокоцелостный файл, и применяет обновление.

В этом примере модель безопасности Mic обеспечивает то, что высокоцелостный процесс Updater может читать данные только из высокоцелостного образа обновления. Вследствие этого обновление может быть применено только после проверки цифровой подписи образа обновления.

В этом разделе

Объект модели безопасности Mic

Правило create модели безопасности Mic

Правило delete модели безопасности Mic

Правило execute модели безопасности Mic

Правило upgrade модели безопасности Mic

Правило call модели безопасности Mic

Правило invoke модели безопасности Mic

Правило read модели безопасности Mic

Правило write модели безопасности Mic

Выражение query_level модели безопасности Mic

В начало

Объект модели безопасности Mic

Чтобы использовать модель безопасности Mic, нужно создать объект (объекты) этой модели. При этом нужно задать множество уровней целостности субъектов/ресурсов.

Объект модели безопасности Mic имеет следующие параметры:

config – множество уровней целостности или конфигурация множества уровней целостности:
- degrees – множество градаций для формирования множества уровней целостности;
- categories – множество категорий для формирования множества уровней целостности.

Примеры:

policy object mic : Mic {
    config = ["LOW", "MEDIUM", "HIGH"]
}
 
policy object mic_po : Mic {
    config =
      { degrees    : ["low", "high"]
      , categories : ["net", "log"]
      }
}

Множество уровней целостности представляет собой частично упорядоченное множество, которое является линейно упорядоченным или содержит несравнимые элементы. Множество {LOW, MEDIUM, HIGH} является линейно упорядоченным, так как все его элементы сравнимы между собой. Несравнимые элементы появляются, когда множество уровней целостности задается через множество градаций и множество категорий. В этом случае множество уровней целостности L представляет собой декартово произведение булеана множества категорий C на множество градаций D:

set_of_integrity_levels

Параметры degrees и categories в примере задают следующее множество:

{

{}/low, {}/high,

{net}/low, {net}/high,

{log}/low, {log}/high,

{net,log}/low, {net,log}/high

}

В этом множестве {} означает пустое множество.

Отношение порядка между элементами множества уровней целостности L задается следующим образом:

order_of_integrity_levels

Согласно этому отношению порядка j-й элемент превышает i-й элемент, если подмножество категорий E включает подмножество категорий A, и градация F больше градации A либо равна ей. Примеры сравнения элементов множества уровней целостности L:

Элемент {net,log}/high превышает элемент {log}/low, так как градация high больше градации low, и подмножество категорий {net,log} включает подмножество категорий {log}.
Элемент {net,log}/low превышает элемент {log}/low, так как уровни градаций для этих элементов равны между собой, и подмножество категорий {net,log} включает подмножество категорий {log}.
Элемент {net,log}/high является наибольшим, так как превышает все остальные элементы.
Элемент {}/low является наименьшим, так как все остальные элементы превышают этот элемент.
Элементы {net}/low и {log}/high являются несравнимыми, так как градация high больше градации low, но подмножество категорий {log} не включает подмножество категорий {net}.
Элементы {net,log}/low и {log}/high являются несравнимыми, так как градация high больше градации low, но подмножество категорий {log} не включает подмножество категорий {net,log}.

Для субъектов и ресурсов с несравнимыми уровнями целостности модель безопасности Mic предусматривает условия, аналогичные тем, которые эта модель безопасности предусматривает для субъектов и ресурсов со сравнимыми уровнями целостности.

По умолчанию информационные потоки между субъектам с несравнимыми уровнями целостности запрещены, но опционально такие информационные потоки могут быть разрешены. (Нужно гарантировать, что субъекты, принимающие данные, не будут компрометированы.) Потребителю ресурсов запрещено записывать данные в ресурс и читать данные из ресурса, если уровень целостности ресурса несравним с уровнем целостности потребителя ресурсов. Опционально потребителю ресурсов может быть разрешено чтение данных из ресурса. (Нужно гарантировать, что потребитель ресурсов не будет компрометирован.)

Объект модели безопасности Mic может быть покрыт аудитом безопасности. Условия выполнения аудита, специфичные для модели безопасности Mic, отсутствуют.

Необходимость создавать несколько объектов модели безопасности Mic возникает в следующих случаях:

Если нужно по-разному настроить аудит безопасности для разных объектов модели безопасности Mic (например, для разных объектов можно применять разные профили аудита или разные конфигурации аудита одного профиля).
Если нужно различать вызовы методов, предоставляемых разными объектами модели безопасности Mic (поскольку в данные аудита включается как имя метода модели безопасности, так и имя объекта, предоставляющего этот метод, можно понять, что был вызван метод конкретного объекта).
Если нужно использовать несколько вариантов мандатного контроля целостности, например, с разными множествами уровней целостности субъектов/ресурсов.

В начало

Правило create модели безопасности Mic

create { source    : <Sid>
       , target    : <Sid>
       , container : <Sid | ()>
       , driver    : <Sid>
       , level     : <Level | ... | ()>
       }

Назначает ресурсу target уровень целостности level в следующей ситуации:

Процесс source инициирует создание ресурса target.
Ресурсом target управляет субъект driver, который является поставщиком ресурсов или ядром KasperskyOS.
Ресурс container является контейнером для ресурса target (например, директория является контейнером для файлов и/или других директорий).

Если поле container имеет значение (), ресурс target рассматривается как корневой, то есть не имеющий контейнера.

Чтобы задать уровень целостности level, используются значения типа Level:

type Level = LevelFull | LevelNoCategory
 
type LevelFull =
  { degree     : Text | ()
  , categories : List<Text> | ()
  }
 
type LevelNoCategory = Text

Правило возвращает результат "разрешено", если назначило ресурсу target уровень целостности level.

Правило возвращает результат "запрещено" в следующих случаях:

Значение level превышает уровень целостности процесса source, субъекта driver или ресурса container.
Значение level несравнимо с уровнем целостности процесса source, субъекта driver или ресурса container.
Процессу source, субъекту driver или ресурсу container не назначен уровень целостности.
Значение source, target, container или driver вне допустимого диапазона.

Пример:

/* Серверу класса updater.Realmserv будет разрешено отвечать на
 * обращения любого клиента в решении, вызывающего метод resolve
 * службы realm.Reader, если ресурсу, создание которого запрашивает
 * клиент, при инициации ответа будет назначен уровень целостности LOW.
 * Иначе серверу класса updater.Realmserv будет запрещено отвечать на
 * обращения любого клиента, вызывающего метод resolve службы realm.Reader. */
response src=updater.Realmserv,
         endpoint=realm.Reader {
             match method=resolve {
                 mic.create { source : dst_sid
                            , target : message.handle.handle
                            , container : ()
                            , driver : src_sid
                            , level : "LOW"
                            }
             }
}

В начало

Правило delete модели безопасности Mic

delete { source    : <Sid>
       , target    : <Sid>
       , container : <Sid | ()>
       , driver    : <Sid>
       }

Отменяет назначение уровня целостности для ресурса target в следующей ситуации:

Процесс source инициирует удаление ресурса target.
Ресурсом target управляет субъект driver, который является поставщиком ресурсов или ядром KasperskyOS.
Ресурс container является контейнером для ресурса target (например, директория является контейнером для файлов и/или других директорий).

Если поле container имеет значение (), ресурс target рассматривается как корневой, то есть не имеющий контейнера.

Правило возвращает результат "разрешено", если отменило назначение уровня целостности для ресурса target.

Правило возвращает результат "запрещено" в следующих случаях:

Уровень целостности ресурса target превышает уровень целостности процесса source или субъекта driver.
Уровень целостности ресурса target несравним с уровнем целостности процесса source или субъекта driver.
Процессу source, субъекту driver, ресурсу target или ресурсу container не назначен уровень целостности.
Значение source, target, container или driver вне допустимого диапазона.

Пример:

/* Любому клиенту в решении будет разрешено обращаться к серверу класса
 * updater.Realmserv, вызывая метод del службы realm.Reader, если для ресурса,
 * удаление которого запрашивает клиент, будет отменено назначение уровня целостности.
 * Иначе любому клиенту в решении будет запрещено обращаться к серверу класса
 * updater.Realmserv, вызывая метод del службы realm.Reader. */
request dst=updater.Realmserv,
        endpoint=realm.Reader {
            match method=del {
                mic.delete { source : src_sid
                           , target : message.handle.handle
                           , container : ()
                           , driver : dst_sid
                           }
               }
}

В начало

Правило execute модели безопасности Mic

execute <ExecuteImage | ExecuteLevel>
 
type ExecuteImage =
  { image  : Sid
  , target : Sid
  , level  : Level | ... | ()
  , levelR : Level | ... | ()
  }
 
type ExecuteLevel =
  { image  : Sid | ()
  , target : Sid
  , level  : Level | ...
  , levelR : Level | ... | ()
  }

Назначает субъекту target уровень целостности level и задает минимальный уровень целостности субъектов и ресурсов, из которых этот субъект может принимать данные (levelR). Код субъекта target содержится в исполняемом файле image.

Если поле level имеет значение (), субъекту target назначается уровень целостности исполняемого файла image. Если поле image имеет значение (), поле level должно иметь значение, отличное от ().

Если поле levelR имеет значение (), уровень целостности levelR принимается равным уровню целостности субъекта target.

Чтобы задать уровни целостности level и levelR, используются значения типа Level. Определение типа Level см. в "Правило create модели безопасности Mic".

Правило возвращает результат "разрешено", если назначило субъекту target уровень целостности level и задало минимальный уровень целостности субъектов и ресурсов, из которых этот субъект может принимать данные (levelR).

Правило возвращает результат "запрещено" в следующих случаях:

Значение level превышает уровень целостности исполняемого файла image.
Значение level несравнимо с уровнем целостности исполняемого файла image.
Значение levelR превышает значение level.
Значения level и levelR несравнимы.
Исполняемому файлу image не назначен уровень целостности.
Значение image или target вне допустимого диапазона.

Пример:

/* Запуск процесса класса updater.Manager будет разрешен,
 * если при инициации запуска этому процессу будет назначен
 * уровень целостности LOW, а также будет задан минимальный
 * уровень целостности процессов и ресурсов, из которых этот
 * процесс может принимать данные (LOW). Иначе запуск процесса
 * класса updater.Manager будет запрещен. */
execute src=Einit, dst=updater.Manager, method=main {
    mic.execute { target : dst_sid
                , image : ()
                , level : "LOW"
                , levelR : "LOW"
                }
}

В начало

Правило upgrade модели безопасности Mic

upgrade { source    : <Sid>
        , target    : <Sid>
        , container : <Sid | ()>
        , driver    : <Sid>
        , level     : <Level | ...>
        }

Повышает назначенный ранее уровень целостности ресурса target до значения level в следующей ситуации:

Процесс source инициирует повышение уровня целостности ресурса target.
Ресурсом target управляет субъект driver, который является поставщиком ресурсов или ядром KasperskyOS.
Ресурс container является контейнером для ресурса target (например, директория является контейнером для файлов и/или других директорий).

Если поле container имеет значение (), ресурс target рассматривается как корневой, то есть не имеющий контейнера.

Чтобы задать уровень целостности level, используются значения типа Level. Определение типа Level см. в "Правило create модели безопасности Mic".

Правило возвращает результат "разрешено", если повысило назначенный ранее уровень целостности ресурса target до значения level.

Правило возвращает результат "запрещено" в следующих случаях:

Значение level не превышает уровень целостности ресурса target.
Значение level превышает уровень целостности процесса source, субъекта driver или ресурса container.
Уровень целостности ресурса target превышает уровень целостности процесса source.
Процессу source, субъекту driver или ресурсу container не назначен уровень целостности.
Значение source, target, container или driver вне допустимого диапазона.

В начало

Правило call модели безопасности Mic

call {source : <Sid>, target : <Sid>}

Проверяет допустимость информационных потоков от субъекта target к субъекту source.

Возвращает результат "разрешено" в следующих случаях:

Уровень целостности субъекта source не превышает уровень целостности субъекта target.
Уровень целостности субъекта source превышает уровень целостности субъекта target, но минимальный уровень целостности субъектов и ресурсов, из которых субъект source может принимать данные, не превышает уровень целостности субъекта target.
Уровень целостности субъекта source несравним с уровнем целостности субъекта target, но минимальный уровень целостности субъектов и ресурсов, из которых субъект source может принимать данные, не превышает уровень целостности субъекта target.

Возвращает результат "запрещено" в следующих случаях:

Уровень целостности субъекта source превышает уровень целостности субъекта target, и минимальный уровень целостности субъектов и ресурсов, из которых субъект source может принимать данные, превышает уровень целостности субъекта target.
Уровень целостности субъекта source превышает уровень целостности субъекта target, и минимальный уровень целостности субъектов и ресурсов, из которых субъект source может читать данные, несравним с уровнем целостности субъекта target.
Уровень целостности субъекта source несравним с уровнем целостности субъекта target, и минимальный уровень целостности субъектов и ресурсов, из которых субъект source может принимать данные, превышает уровень целостности субъекта target.
Уровень целостности субъекта source несравним с уровнем целостности субъекта target, и минимальный уровень целостности субъектов и ресурсов, из которых субъект source может принимать данные, несравним с уровнем целостности субъекта target.
Субъекту source или субъекту target не назначен уровень целостности.
Значение source или target вне допустимого диапазона.

Пример:

/* Любому клиенту в решении разрешено обращаться к
 * любому серверу (ядру), если информационные потоки от
 * сервера (ядра) к клиенту допускаются моделью
 * безопасности Mic. Иначе любому клиенту в решении
 * запрещено обращаться к любому серверу (ядру). */
request {
    mic.call { source : src_sid
             , target : dst_sid
             }
}

В начало

Правило invoke модели безопасности Mic

invoke {source : <Sid>, target : <Sid>}

Проверяет допустимость информационных потоков от субъекта source к субъекту target.

Возвращает результат "разрешено", если уровень целостности субъекта target не превышает уровень целостности субъекта source.

Возвращает результат "запрещено" в следующих случаях:

Уровень целостности субъекта target превышает уровень целостности субъекта source.
Уровень целостности субъекта target несравним с уровнем целостности субъекта source.
Субъекту source или субъекту target не назначен уровень целостности.
Значение source или target вне допустимого диапазона.

В начало

Правило read модели безопасности Mic

read {source : <Sid>, target : <Sid>}

Проверяет допустимость чтения данных из ресурса target потребителем ресурсов source.

Возвращает результат "разрешено" в следующих случаях:

Уровень целостности потребителя ресурсов source не превышает уровень целостности ресурса target.
Уровень целостности потребителя ресурсов source превышает уровень целостности ресурса target, но минимальный уровень целостности субъектов и ресурсов, из которых потребитель ресурсов source может принимать данные, не превышает уровень целостности ресурса target.
Уровень целостности потребителя ресурсов source несравним с уровнем целостности ресурса target, но минимальный уровень целостности субъектов и ресурсов, из которых потребитель ресурсов source может принимать данные, не превышает уровень целостности ресурса target.

Возвращает результат "запрещено" в следующих случаях:

Уровень целостности потребителя ресурсов source превышает уровень целостности ресурса target, и минимальный уровень целостности субъектов и ресурсов, из которых потребитель ресурсов source может принимать данные, превышает уровень целостности ресурса target.
Уровень целостности потребителя ресурсов source превышает уровень целостности ресурса target, и минимальный уровень целостности субъектов и ресурсов, из которых потребитель ресурсов source может принимать данные, несравним с уровнем целостности ресурса target.
Уровень целостности потребителя ресурсов source несравним с уровнем целостности ресурса target, и минимальный уровень целостности субъектов и ресурсов, из которых потребитель ресурсов source может принимать данные, превышает уровень целостности ресурса target.
Уровень целостности потребителя ресурсов source несравним с уровнем целостности ресурса target, и минимальный уровень целостности субъектов и ресурсов, из которых потребитель ресурсов source может принимать данные, несравним с уровнем целостности ресурса target.
Потребителю ресурсов source или ресурсу target не назначен уровень целостности.
Значение source или target вне допустимого диапазона.

Пример:

/* Любому клиенту в решении разрешено обращаться к серверу
 * класса updater.Realmserv, вызывая метод read службы
 * realm.Reader, если модель безопасности Mic допускает
 * чтение данных этим клиентом из ресурса, который требуется
 * этому клиенту. Иначе любому клиенту в решении запрещено
 * обращаться к серверу класса updater.Realmserv, вызывая
 * метод read службы realm.Reader. */
request dst=updater.Realmserv,
        endpoint=realm.Reader {
            match method=read {
                mic.read { source : src_sid
                         , target : message.handle.handle
                         }
               }
}

В начало

Правило write модели безопасности Mic

write {source : <Sid>, target : <Sid>}

Проверяет допустимость записи данных в ресурс target потребителем ресурсов source.

Возвращает результат "разрешено", если уровень целостности ресурса target не превышает уровень целостности потребителя ресурсов source.

Возвращает результат "запрещено" в следующих случаях:

Уровень целостности ресурса target превышает уровень целостности потребителя ресурсов source.
Уровень целостности ресурса target несравним с уровнем целостности потребителя ресурсов source.
Потребителю ресурсов source или ресурсу target не назначен уровень целостности.
Значение source или target вне допустимого диапазона.

В начало

Выражение query_level модели безопасности Mic

query_level {source : <Sid>}

Предназначено для использования в качестве выражения, проверяющего выполнение условий в конструкции choice (о конструкции choice см. "Привязка методов моделей безопасности к событиям безопасности"). Проверяет уровень целостности субъекта или ресурса source. В зависимости от результатов этой проверки выполняются различные варианты обработки события безопасности.

Выполняется некорректно в следующих случаях:

Субъекту или ресурсу source не назначен уровень целостности.
Значение source вне допустимого диапазона.

Когда выражение выполняется некорректно, модуль безопасности Kaspersky Security Module возвращает решение "запрещено".

В начало

Методы служб ядра KasperskyOS

С точки зрения модуля безопасности Kaspersky Security Module ядро KasperskyOS является контейнером компонентов, предоставляющих службы. Список компонентов ядра содержится в файле Core.edl, расположенном в директории sysroot-*-kos/include/kl/core из состава KasperskyOS SDK. Также в этой директории находятся CDL-, IDL-файлы формальной спецификации ядра.

Методы служб ядра можно разделить на безопасные и потенциально опасные. Потенциально опасные методы могут быть использованы злоумышленником в компрометированном компоненте решения, чтобы, например, вызвать отказ, организовать скрытую передачу данных, захватить управление устройством ввода-вывода. Безопасные методы не могут быть использованы таким образом.

Доступ к методам служб ядра должен быть максимально ограничен политикой безопасности решения (принцип "Least Privilege"). Для этого нужно выполнить следующие требования:

Разрешить доступ к безопасному методу только тем компонентам решения, которым этот метод нужен.
Разрешить доступ к потенциально опасному методу только тем доверенным компонентам решения, которым этот метод нужен.
Разрешить доступ к потенциально опасному методу только тем недоверенным компонентам решения, которым этот метод нужен, если только проверяемые условия доступа ограничивают возможности злонамеренного использования метода, или последствия злонамеренного использования метода допустимы с точки зрения безопасности.
Например, недоверенному компоненту можно разрешить использовать ограниченный набор портов ввода-вывода, чтобы этот компонент не мог захватить управление устройствами ввода-вывода. Также, к примеру, скрытая передача данных между недоверенными компонентами может быть допустимой с точки зрения безопасности.

В этом разделе

Служба виртуальной памяти

Служба ввода-вывода

Служба потоков исполнения

Служба дескрипторов

Служба процессов

Служба синхронизации

Службы файловой системы

Служба времени

Служба слоя аппаратных абстракций

Служба управления контроллером XHCI

Служба аудита

Служба профилирования

Служба управления изоляцией памяти для ввода-вывода

Служба соединений

Служба управления электропитанием

Служба уведомлений

Служба гипервизора

Службы доверенной среды исполнения

Служба прерывания IPC

Служба управления частотой процессоров

В начало

Служба виртуальной памяти

Служба предназначена для управления виртуальной памятью.

Сведения о методах службы приведены в таблице ниже.

Методы службы vmm.VMM (интерфейс kl.core.VMM)

Метод	Назначение и параметры метода	Потенциальная опасность метода
`Allocate`	Назначение Выделяет (резервирует и опционально фиксирует) регион виртуальной памяти. Параметры [in] `addr` – желаемый базовый адрес региона виртуальной памяти или `0`, чтобы базовый адрес был выбран автоматически. [in] `size` – размер региона виртуальной памяти в байтах. [in] `flags` – флаги, задающие параметры региона виртуальной памяти. [out] `va` – базовый адрес выделенного региона виртуальной памяти. [out] `rc` – код возврата.	Позволяет выполнить следующие действия: Исчерпать память ядра, создавая в ней множество объектов. Исчерпать оперативную память.
`Commit`	Назначение Фиксирует зарезервированный методом `Allocate` регион виртуальной памяти. Параметры [in] `va` – базовый адрес региона виртуальной памяти. [in] `size` – размер региона виртуальной памяти в байтах. [in] `flags` – фиктивный параметр. [out] `rc` – код возврата.	Позволяет исчерпать оперативную память.
`Decommit`	Назначение Отменяет фиксацию региона виртуальной памяти. Параметры [in] `va` – базовый адрес региона виртуальной памяти. [in] `size` – размер региона виртуальной памяти в байтах. [out] `rc` – код возврата.	Нет.
`Protect`	Назначение Изменяет права доступа к региону виртуальной памяти. Параметры [in] `va` – базовый адрес региона виртуальной памяти. [in] `size` – размер региона виртуальной памяти в байтах. [in] `flags` – флаги, задающие права доступа к региону виртуальной памяти. [out] `rc` – код возврата.	Нет.
`Free`	Назначение Освобождает регион виртуальной памяти. Параметры [in] `va` – базовый адрес региона виртуальной памяти. [in] `size` – размер региона виртуальной памяти в байтах. [out] `rc` – код возврата.	Нет.
`Query`	Назначение Позволяет получить сведения о странице виртуальной памяти. Параметры [in] `va` – адрес, входящий в страницу виртуальной памяти. [out] `info` – последовательность, содержащая сведения о странице виртуальной памяти. [out] `rc` – код возврата.	Нет.
`MdlCreate`	Назначение Создает буфер MDL. Параметры [in] `size` – размер буфера MDL в байтах. [in] `prot` – флаги, задающие права доступа к буферу MDL. [out] `handle` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует буфер MDL. [out] `rc` – код возврата.	Позволяет выполнить следующие действия: Исчерпать память ядра, создавая в ней множество объектов. Исчерпать оперативную память.
`MdlCreateFromVm`	Назначение Создает буфер MDL из физической памяти, отображенной на заданный регион виртуальной памяти, и отображает созданный буфер MDL на этот регион. Параметры [in] `va` – базовый адрес региона виртуальной памяти. [in] `size` – размер региона виртуальной памяти в байтах. [in] `flags` – флаги, задающие права доступа к буферу MDL. [out] `handle` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует буфер MDL. [out] `rc` – код возврата.	Позволяет выполнить следующие действия: Исчерпать память ядра, создавая в ней множество объектов. Исчерпать оперативную память.
`MdlGetSize`	Назначение Позволяет получить размер буфера MDL. Параметры [in] `handle` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует буфер MDL. [out] `size` – размер буфера MDL в байтах. [out] `rc` – код возврата.	Нет.
`MdlMap`	Назначение Резервирует регион виртуальной памяти и отображает на него буфер MDL. Параметры [in] `handle` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует буфер MDL. [in] `offset` – смещение в буфере MDL, с которого нужно начать отображение, в байтах. [in] `length` – размер части буфера MDL, которую нужно отобразить, в байтах. [in] `hint` – желаемый базовый адрес региона виртуальной памяти или `0`, чтобы базовый адрес был выбран автоматически. [in] `prot` – флаги, задающие параметры региона виртуальной памяти. [out] `address` – базовый адрес региона виртуальной памяти. [out] `rc` – код возврата.	Позволяет выполнить следующие действия: Создать разделяемую память для межпроцессного взаимодействия, скрытого от модуля безопасности, если дескрипторами одного буфера MDL владеют несколько процессов (маски прав дескрипторов должны разрешать отображение буфера MDL). Исчерпать память ядра, создавая в ней множество объектов.
`MdlClone`	Назначение Создает буфер MDL на основе существующего. Буфер MDL создается из тех же регионов физической памяти, что и оригинальный. Параметры [in] `originHandle` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует оригинальный буфер MDL. [in] `offset` – смещение в оригинальном буфере MDL, с которого нужно начать дублирование, в байтах. [in] `length` – размер части оригинального буфера MDL, которую нужно дублировать, в байтах. [out] `cloneHandle` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует созданный буфер MDL. [out] `rc` – код возврата.	Позволяет исчерпать память ядра, создавая в ней множество объектов.

В начало

Служба ввода-вывода

Служба предназначена для работы с портами ввода-вывода, MMIO, DMA, прерываниями.

Сведения о методах службы приведены в таблице ниже.

Методы службы io.IO (интерфейс kl.core.IO)

Метод	Назначение и параметры метода	Потенциальная опасность метода
`RegisterPort`	Назначение Регистрирует последовательность портов ввода-вывода. Параметры [in] `base` – адрес первого порта ввода-вывода в последовательности. [in] `size` – число портов ввода-вывода в последовательности. [out] `resource` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует последовательность портов ввода-вывода. [out] `rc` – код возврата.	Позволяет выполнить следующие действия: Захватить порты ввода-вывода (рекомендуется контролировать адрес первого порта ввода-вывода и число портов ввода-вывода в последовательности). Исчерпать память ядра, создавая в ней множество объектов.
`RegisterMmio`	Назначение Регистрирует регион памяти MMIO. Параметры [in] `base` – базовый адрес региона памяти MMIO. [in] `size` – размер региона памяти MMIO в байтах. [out] `resource` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует регион памяти MMIO. [out] `rc` – код возврата.	Позволяет исчерпать память ядра, создавая в ней множество объектов.
`RegisterDma`	Назначение Создает буфер DMA. Параметры [in] `size` – размер буфера DMA в байтах. [in] `flags` – флаги, задающие параметры буфера DMA. [in] `order` – параметр, задающий минимальное число страниц памяти (2^order) в блоке. [out] `resource` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует буфер DMA. [out] `rc` – код возврата.	Позволяет выполнить следующие действия: Исчерпать память ядра, создавая в ней множество объектов. Исчерпать оперативную память.
`RegisterIrq`	Назначение Регистрирует прерывание. Параметры [in] `irq` – номер прерывания. [out] `resource` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует прерывание. [out] `rc` – код возврата.	Позволяет исчерпать память ядра, создавая в ней множество объектов.
`MapMem`	Назначение Резервирует регион виртуальной памяти и отображает на него регион памяти MMIO. Параметры [in] `resource` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует регион памяти MMIO. [in] `prot` – флаги, задающие права доступа к региону виртуальной памяти. [in] `attr` – флаги, задающие параметры региона виртуальной памяти (например, использование кеширования). [out] `address` – базовый адрес региона виртуальной памяти. [out] `mapping` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор используется для освобождения региона виртуальной памяти. [out] `rc` – код возврата.	Позволяет выполнить следующие действия: Захватить управление устройством при отображении региона памяти MMIO на регион виртуальной памяти (рекомендуется контролировать базовый адрес и размер региона памяти MMIO при вызове метода `RegisterMmio`). Создать разделяемую память для межпроцессного взаимодействия, скрытого от модуля безопасности, если дескрипторами одного региона памяти MMIO владеют несколько процессов (маски прав дескрипторов должны разрешать отображение региона памяти MMIO). Исчерпать память ядра, создавая в ней множество объектов.
`PermitPort`	Назначение Открывает доступ к портам ввода-вывода. Параметры [in] `resource` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует последовательность портов ввода-вывода. [out] `access` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор используется для закрытия доступа к портам ввода-вывода. [out] `rc` – код возврата.	Позволяет выполнить следующие действия: Захватить управление устройством (рекомендуется контролировать адрес первого порта ввода-вывода и число портов ввода-вывода в последовательности при вызове метода `RegisterPort`). Исчерпать память ядра, создавая в ней множество объектов.
`AttachIrq`	Назначение Привязывает вызывающий поток исполнения к прерыванию. Параметры [in] `resource` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует прерывание. [in] `flags` – флаги, задающие параметры прерывания. [out] `delivery` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор является клиентским IPC-дескриптором, который используется обработчиком прерывания. [out] `rc` – код возврата.	Позволяет выполнить следующие действия: Забрать процессорное время у остальных потоков исполнения, в том числе из других процессов (поток исполнения, выполнивший привязку к прерыванию, становится потоком реального времени). Сделать невозможным завершение процесса из другого процесса (процесс, поток которого выполнил привязку к прерыванию, невозможно завершить из другого процесса). Остановить операционную систему (при возникновении необработанного исключения в потоке исполнения, обрабатывающем прерывание, останавливается операционная система). Заблокировать, замедлить или некорректно выполнить обработку прерывания (рекомендуется контролировать номер прерывания при вызове метода `RegisterIrq`). Исчерпать память ядра, создавая в ней множество объектов.
`DetachIrq`	Назначение Отправляет потоку исполнения запрос, в результате выполнения которого поток должен выполнить отвязывание от прерывания. Параметры [in] `resource` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует прерывание. [out] `rc` – код возврата.	Позволяет прекратить обработку прерывания в другом процессе.
`EnableIrq`	Назначение Разрешает (демаскирует) прерывание. Параметры [in] `resource` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует прерывание. [out] `rc` – код возврата.	Позволяет разрешить прерывание на уровне системы.
`DisableIrq`	Назначение Запрещает (маскирует) прерывание. Параметры [in] `resource` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует прерывание. [out] `rc` – код возврата.	Позволяет запретить прерывание на уровне системы.
`ModifyDma`	Назначение Изменяет параметры кеширования буфера DMA. Параметры [in] `resource` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует буфер DMA. [in] `flags` – флаги, задающие параметры кеширования буфера DMA. [out] `rc` – код возврата.	Нет.
`MapDma`	Назначение Резервирует регион виртуальной памяти и отображает на него буфер DMA. Параметры [in] `resource` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует буфер DMA. [in] `offset` – смещение в буфере DMA, с которого нужно начать отображение, в байтах. [in] `length` – размер части буфера DMA, которую нужно отобразить, в байтах. [in] `hint` – желаемый базовый адрес региона виртуальной памяти или `0`, чтобы базовый адрес был выбран автоматически. [in] `prot` – флаги, задающие права доступа к региону виртуальной памяти. [out] `address` – базовый адрес региона виртуальной памяти. [out] `mapping` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор используется для освобождения региона виртуальной памяти. [out] `rc` – код возврата.	Позволяет выполнить следующие действия: Создать разделяемую память для межпроцессного взаимодействия, скрытого от модуля безопасности, если дескрипторами одного буфера DMA владеют несколько процессов (маски прав дескрипторов должны разрешать отображение буфера DMA). Исчерпать память ядра, создавая в ней множество объектов.
`DmaGetInfo`	Назначение Позволяет получить сведения о буфере DMA. Параметры [in] `resource` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует буфер DMA. [out] `flags` – флаги, отражающие параметры DMA. [out] `order` – параметр, отражающий минимальное число страниц памяти (2^order) в блоке. [out] `size` – размер буфера DMA в байтах. [out] `count` – число блоков. [out] `frames` – последовательность, содержащая адреса и размеры блоков. [out] `rc` – код возврата.	Нет.
`DmaGetPhysInfo`	Назначение Позволяет получить сведения о физической памяти, на основе которой создан буфер DMA. Параметры [in] `handle` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует буфер DMA. [out] `count` – число блоков. [out] `frames` – последовательность, содержащая адреса и размеры блоков. [out] `rc` – код возврата.	Нет.
`BeginDma`	Назначение Открывает доступ к буферу DMA для устройства. Параметры [in] `resource` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует буфер DMA. [out] `iomapping` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует объект ядра, который содержит адреса и размеры блоков, необходимые устройству, чтобы использовать буфер DMA. Адреса памяти, используемые устройством, могут быть физическими или виртуальными в зависимости от того, задействован ли IOMMU. [out] `rc` – код возврата.	Позволяет исчерпать память ядра, создавая в ней множество объектов.

В начало

Служба потоков исполнения

Служба предназначена для управления потоками исполнения.

Сведения о методах службы приведены в таблице ниже.

Методы службы thread.Thread (интерфейс kl.core.Thread)

Метод	Назначение и параметры метода	Потенциальная опасность метода
`Create`	Назначение Создает поток исполнения. Параметры [out] `thread` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует поток исполнения. [out] `tid` – идентификатор потока исполнения (TID). [in] `priority` – приоритет потока исполнения. [in] `stackSize` – размер стека потока исполнения в байтах или `0`, чтобы был использован размер по умолчанию, заданный при создании процесса. [in] `routine` – указатель на функцию, вызываемую при запуске потока исполнения. [in] `context` – указатель на функцию, выполняемую потоком исполнения. [in] `context2` – указатель на параметры, передаваемые функции, заданной через параметр `context`. [in] `flags` – флаги, задающие параметры создания потока исполнения. [out] `rc` – код возврата.	Позволяет выполнить следующие действия: Создать поток исполнения реального времени, который заберет все процессорное время у остальных потоков исполнения, в том числе из других процессов (рекомендуется контролировать параметры создания потока исполнения). Создать множество потоков исполнения, в том числе с высоким приоритетом, чтобы сократить процессорное время, доступное потокам других процессов (рекомендуется контролировать приоритет потока исполнения). Исчерпать оперативную память. Исчерпать память ядра, создавая в ней множество объектов.
`OpenCurrent`	Назначение Создает дескриптор вызывающего потока исполнения. Параметры [out] `thread` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует поток исполнения. [out] `rc` – код возврата.	Нет.
`Suspend`	Назначение Блокирует вызывающий поток исполнения. Параметры [out] `rc` – код возврата.	Позволяет заблокировать поток исполнения, который захватил созданный в разделяемой памяти объект синхронизации, который ожидается потоком исполнения другого процесса. В результате поток исполнения другого процесса может быть заблокированным сколь угодно долго.
`Resume`	Назначение Возобновляет исполнение заблокированного потока. Параметры [in] `thread` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует поток исполнения. [out] `rc` – код возврата.	Нет.
`Terminate`	Назначение Завершает поток исполнения. Параметры [in] `thread` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует поток исполнения. [in] `code` – код завершения потока исполнения. [out] `rc` – код возврата.	Нет.
`Exit`	Назначение Завершает вызывающий поток исполнения. Параметры [in] `code` – код завершения потока исполнения. [out] `rc` – код возврата.	Нет.
`Wait`	Назначение Блокирует вызывающий поток исполнения до завершения заданного потока исполнения. Параметры [in] `thread` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует поток исполнения. [in] `msec` – время ожидания завершения потока исполнения в миллисекундах. [out] `code` – код завершения потока исполнения. [out] `rc` – код возврата.	Нет.
`SetPriority`	Назначение Задает приоритет потока исполнения. Параметры [in] `thread` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует поток исполнения. [in] `priority` – приоритет потока исполнения. [out] `rc` – код возврата.	Позволяет повысить приоритет потока исполнения, чтобы сократить процессорное время, доступное остальным потокам исполнения, в том числе из других процессов. Рекомендуется контролировать приоритет потока исполнения.
`SetTls`	Назначение Задает базовый адрес локальной памяти потока исполнения (TLS) для вызывающего потока исполнения. Параметры [in] `va` – указатель на локальную память потока исполнения. [out] `rc` – код возврата.	Нет.
`Sleep`	Назначение Блокирует вызывающий поток исполнения на заданное время. Параметры [in] `mdelay` – время блокировки потока исполнения в миллисекундах. [out] `rc` – код возврата.	Нет.
`GetInfo`	Назначение Позволяет получить сведения о потоке исполнения. Параметры [in] `thread` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует поток исполнения. [out] `info` – структура, содержащая базовый адрес стека потока исполнения и его размер в байтах, а также идентификатор потока исполнения (TID). [out] `rc` – код возврата.	Нет.
`DetachIrq`	Назначение Отвязывает вызывающий поток исполнения от прерывания, обрабатываемого в его контексте. Параметры [out] `rc` – код возврата.	Нет.
`GetAffinity`	Назначение Позволяет получить маску сходства потока исполнения. Параметры [in] `thread` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует поток исполнения. [out] `mask` – маска сходства потока исполнения. [out] `rc` – код возврата.	Нет.
`SetAffinity`	Назначение Задает маску сходства потока исполнения. Параметры [in] `thread` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует поток исполнения. [in] `mask` – маска сходства потока исполнения. [out] `rc` – код возврата.	Нет.
`SetSchedPolicy`	Назначение Задает класс планирования и приоритет потока исполнения. Параметры [in] `thread` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует поток исполнения. [in] `policy` – класс планирования потока исполнения. [in] `priority` – приоритет потока исполнения. [in] `param` – объединение, содержащее параметры класса планирования потока исполнения. [out] `rc` – код возврата.	Позволяет выполнить следующие действия: Сделать поток исполнения потоком исполнения реального времени, который заберет все процессорное время у остальных потоков исполнения, в том числе из других процессов (рекомендуется контролировать класс планирования потока исполнения). Повысить приоритет потока исполнения, чтобы сократить процессорное время, доступное остальным потокам исполнения, в том числе из других процессов (рекомендуется контролировать приоритет потока исполнения).
`GetSchedPolicy`	Назначение Позволяет получить сведения о классе планирования и приоритете потока исполнения. Параметры [in] `thread` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует поток исполнения. [out] `policy` – класс планирования потока исполнения. [out] `priority` – приоритет потока исполнения. [out] `param` – объединение, содержащее параметры класса планирования потока исполнения. [out] `rc` – код возврата.	Нет.

В начало

Служба дескрипторов

Служба предназначена для выполнения операций с дескрипторами.

Сведения о методах службы приведены в таблице ниже.

Методы службы handle.Handle (интерфейс kl.core.Handle)

Метод	Назначение и параметры метода	Потенциальная опасность метода
`Copy`	Назначение Копирует дескриптор. В результате копирования вызывающий процесс получает потомка дескриптора. Параметры [in] `inHandle` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Поле дескриптора содержит оригинальный дескриптор. [in] `newRightsMask` – маска прав потомка дескриптора. [in] `copyBadge` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует объект контекста передачи ресурса. [out] `outHandle` – значение, двоичное представление которого состоит из нескольких полей, включая поле потомка дескриптора и поле маски прав потомка дескриптора. [out] `rc` – код возврата.	Позволяет исчерпать память ядра, создавая в ней множество объектов.
`CreateUserObject`	Назначение Создает дескриптор. Параметры [in] `type` – тип дескриптора. [in] `rights` – маска прав дескриптора. [in] `context` – указатель на данные, которые нужно ассоциировать с дескриптором. [in] `ipcChannel` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор является серверным IPC-дескриптором. [in] `riid` – идентификатор службы (RIID). [out] `handle` – значение, двоичное представление которого состоит из нескольких полей, включая поле созданного дескриптора и поле маски прав созданного дескриптора. [out] `rc` – код возврата.	Позволяет исчерпать память ядра, создавая в ней множество объектов.
`Close`	Назначение Закрывает дескриптор. Параметры [in] `handle` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. [out] `rc` – код возврата.	Нет.
`Connect`	Назначение Создает и связывает между собой клиентский, серверный и слушающий IPC-дескрипторы. Параметры [in] `server` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует серверный процесс. [in] `srListener` – слушающий дескриптор из пространства дескрипторов серверного процесса или значение `0xFFFFFFFF`, чтобы создать его. [in] `createSrEndpoint` – значение, которое задает, нужно ли создавать серверный IPC-дескриптор в пространстве дескрипторов серверного процесса (`0` – нет, другое число – да). [in] `client` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует клиентский процесс. [out] `outSrListener` – слушающий дескриптор из пространства дескрипторов серверного процесса. [out] `outSrEndpoint` – серверный IPC-дескриптор из пространства дескрипторов серверного процесса. [out] `outClEndpoint` – клиентский IPC-дескриптор из пространства дескрипторов клиентского процесса. [out] `rc` – код возврата.	Позволяет исчерпать память ядра, создавая в ней множество объектов.
`SecurityConnect`	Назначение Создает клиентский IPC-дескриптор для обращения к модулю безопасности Kaspersky Security Module через интерфейс безопасности. Параметры [out] `client` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. [out] `rc` – код возврата.	Позволяет исчерпать множество возможных значений дескрипторов процесса ядра.
`GetSidByHandle`	Назначение Позволяет получить идентификатор безопасности (SID) по дескриптору. Параметры [in] `handle` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. [out] `sid` – идентификатор безопасности (SID). [out] `rc` – код возврата.	Нет.
`Revoke`	Назначение Закрывает дескриптор и отзывает его потомков. Параметры [in] `handle` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. [out] `rc` – код возврата.	Нет.
`RevokeSubtree`	Назначение Отзывает дескрипторы, которые образуют поддерево наследования заданного дескриптора. Параметры [in] `handle` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескрипторы, образующие поддерево наследования этого дескриптора, отзываются. [in] `badge` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует объект контекста передачи ресурса, который определяет поддерево наследования дескрипторов для отзыва. Корневым узлом этого поддерева является дескриптор, который порожден передачей или копированием дескриптора, заданного через параметр `handle`, в ассоциации с объектом контекста передачи ресурса. [out] `rc` – код возврата.	Нет.
`CreateBadge`	Назначение Создает объект контекста передачи ресурса и настраивает механизм уведомлений для контроля жизненного цикла этого объекта. Параметры [in] `notify` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует приемник уведомлений. [in] `notifyContext` – идентификатор записи вида "ресурс – маска событий" в приемнике уведомлений. [in] `badgeContext` – указатель на данные, которые нужно ассоциировать с передачей дескриптора. [out] `badge` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует объект контекста передачи ресурса. [out] `rc` – код возврата.	Позволяет исчерпать память ядра, создавая в ней множество объектов.

В начало

Служба процессов

Служба предназначена для управления процессами.

Сведения о методах службы приведены в таблице ниже.

Методы службы task.Task (интерфейс kl.core.Task)

Метод	Назначение и параметры метода	Потенциальная опасность метода
`Create`	Назначение Создает процесс. Параметры [in] `name` – имя процесса. [in] `eiid` – имя класса процесса. [in] `path` – имя исполняемого файла в ROMFS. [in] `stackSize` – размер стека потока исполнения, используемый по умолчанию при создании потоков процесса, в байтах. [in] `priority` – приоритет начального потока исполнения. [in] `flags` – флаги, задающие параметры создания процесса. [out] `child` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует созданный процесс. [out] `rc` – код возврата.	Позволяет выполнить следующие действия: Создать процесс, который будет привилегированным с точки зрения политики безопасности решения (указав имя класса процессов с привилегиями). Зарезервировать имя процесса, чтобы другой процесс с таким именем нельзя было создать. Создать процесс, при возникновении необработанного исключения в котором операционная система останавливается. Загрузить в память процесса код из исполняемого файла для последующего исполнения. Исчерпать оперативную память, создавая множество процессов. Исчерпать память ядра, создавая в ней множество объектов.
`LoadSeg`	Назначение Загружает сегмент ELF-образа в память процесса из буфера MDL. Параметры [in] `task` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует процесс. [in] `mdl` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует буфер MDL, содержащий сегмент ELF-образа. [in] `segAttr` – структура, содержащая параметры загрузки сегмента ELF-образа. [out] `rc` – код возврата. [out] `retaddr` – базовый адрес региона виртуальной памяти процесса, куда загружен сегмент ELF-образа.	Позволяет загрузить в память процесса код для последующего исполнения.
`VmReserve`	Назначение Резервирует регион виртуальной памяти в процессе, который был создан "пустым". Параметры [in] `task` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует процесс. [in] `addr` – желаемый базовый адрес региона виртуальной памяти или `0`, чтобы этот адрес был выбран автоматически. [in] `size` – размер региона виртуальной памяти в байтах. [in] `flags` – флаги, задающие параметры региона виртуальной памяти. [out] `outAddr` – базовый адрес зарезервированного региона виртуальной памяти. [out] `rc` – код возврата.	Позволяет выполнить следующие действия: Исчерпать память ядра, создавая в ней множество объектов. Зарезервировать регионы виртуальной памяти в другом процессе, который был создан "пустым" и еще не запущен, при наличии его дескриптора. (Маска прав дескриптора должна разрешать резервирование виртуальной памяти.)
`VmFree`	Назначение Освобождает регион виртуальной памяти, зарезервированный вызовом метода `VmReserve` в процессе, который был создан "пустым". Параметры [in] `task` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует процесс. [in] `addr` – базовый адрес региона виртуальной памяти. [in] `size` – размер региона виртуальной памяти в байтах. [out] `rc` – код возврата.	Позволяет освободить регионы виртуальной памяти в другом процессе, который был создан "пустым" и еще не запущен, при наличии его дескриптора. (Маска прав дескриптора должна разрешать освобождение виртуальной памяти.)
`SetEntry`	Назначение Задает точку входа в программу и смещение загрузки ELF-образа. Параметры [in] `task` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует процесс. [in] `state` – структура, содержащая адрес точки входа в программу и смещение загрузки ELF-образа в байтах. [out] `rc` – код возврата.	Создает условия для запуска кода, загруженного в память процесса.
`LoadElfSyms`	Назначение Загружает таблицу символов `.symtab` и таблицу строк `.strtab` из буферов MDL в память процесса, который был создан "пустым". Параметры [in] `task` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует процесс. [in] `symMdl` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует буфер MDL, содержащий таблицу символов `.symtab`. [in] `symSegAttr` – структура, содержащая параметры загрузки таблицы символов `.symtab`. [in] `symSize` – размер таблицы символов `.symtab` в байтах. [in] `strMdl` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует буфер MDL, содержащий таблицу строк `.strtab`. [in] `strSegAttr` – структура, содержащая параметры загрузки таблицы строк `.strtab`. [in] `strSize` – размер таблицы строк `.strtab` в байтах. [out] `rc` – код возврата.	Нет.
`LoadElfHdr`	Назначение Записывает заголовок ELF-образа в PCB процесса, который был создан "пустым". Параметры [in] `task` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует процесс. [in] `hdrData` – последовательность, содержащая заголовок ELF-образа. [out] `rc` – код возврата.	Нет.
`SetEnv`	Назначение Записывает данные в SCP дочернего процесса. Параметры [in] `task` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует дочерний процесс. [in] `env` – последовательность, содержащая данные для записи в SCP. [out] `rc` – код возврата.	Позволяет исчерпать память ядра, создавая в ней множество объектов.
`FreeSelfEnv`	Назначение Удаляет SCP вызывающего процесса. Параметры [out] `rc` – код возврата.	Нет.
`Resume`	Назначение Запускает процесс. Параметры [in] `task` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует процесс. [out] `rc` – код возврата.	Позволяет выполнить следующие действия: Запустить на исполнение код, загруженный в память процесса. Запустить множество ранее созданных процессов, чтобы сократить вычислительные ресурсы, доступные другим процессам (рекомендуется контролировать приоритет начального потока исполнения при вызове метода `Create`).
`Exit`	Назначение Завершает вызывающий процесс. Параметры [in] `status` – код завершения процесса. [out] `rc` – код возврата.	Нет.
`Terminate`	Назначение Завершает процесс. Параметры [in] `task` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует процесс. [out] `rc` – код возврата.	Позволяет завершить другой процесс при наличии его дескриптора. (Маска прав дескриптора должна разрешать завершение процесса.)
`GetExitInfo`	Назначение Позволяет получить сведения о завершившемся процессе. Параметры [in] `task` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует завершившейся процесс. [out] `status` – значение, отражающее причину завершения процесса. [out] `info` – объединение, содержащее сведения о завершившемся процессе. [out] `rc` – код возврата.	Нет.
`GetThreadContext`	Назначение Позволяет получить контекст потока исполнения, входящего в процесс, который находится в "замороженном" состоянии. Параметры [in] `task` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует процесс, который находится в "замороженном" состоянии. [in] `index` – индекс потока исполнения. Используется для перечисления потоков исполнения. Нумерация начинается с нуля. Нулевой индекс имеет поток исполнения, в котором возникло необработанное исключение. [out] `context` – структура, содержащая идентификатор (TID) и контекст потока исполнения. [out] `rc` – код возврата.	Позволяет нарушить изоляцию процесса, который находится в "замороженном" состоянии. Например, контекст потока исполнения может содержать значения переменных.
`GetNextVmRegion`	Назначение Позволяет получить сведения о регионе виртуальной памяти, принадлежащем процессу, который находится "замороженном" состоянии. Параметры [in] `task` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует процесс, который находится в "замороженном" состоянии. [in] `after` – адрес, после которого размещен регион виртуальной памяти. [out] `next` – базовый адрес региона виртуальной памяти. [out] `size` – размер региона виртуальной памяти в байтах. [out] `flags` – флаги, отражающие параметры региона виртуальной памяти. [out] `handle` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует буфер MDL, отображенный на регион виртуальной памяти. [out] `rc` – код возврата.	Позволяет нарушить изоляцию процесса, который находится в "замороженном" состоянии. Изоляция нарушается, так как открывается доступ к региону памяти процесса.
`TerminateAfterFreezing`	Назначение Завершает процесс, который находится в "замороженном" состоянии. Параметры [in] `task` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует процесс, который находится в "замороженном" состоянии. [out] `rc` – код возврата.	Позволяет завершить процесс, который находится в "замороженном" состоянии. Это не дает получить сведения об этом процессе для диагностики.
`GetName`	Назначение Позволяет получить имя вызывающего процесса. Параметры [out] `name` – имя процесса. [out] `rc` – код возврата.	Нет.
`GetPath`	Назначение Позволяет получить имя исполняемого файла (в ROMFS), из которого создан вызывающий процесс. Параметры [out] `path` – имя исполняемого файла. [out] `rc` – код возврата.	Нет.
`GetInitialThreadPriority`	Назначение Позволяет получить приоритет начального потока процесса. Параметры [in] `task` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует процесс. [out] `priority` – приоритет начального потока исполнения. [out] `rc` – код возврата.	Нет.
`SetInitialThreadPriority`	Назначение Задает приоритет начального потока процесса. Параметры [in] `task` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует процесс. [in] `priority` – приоритет начального потока исполнения. [out] `rc` – код возврата.	Позволяет повысить приоритет начального потока процесса, чтобы сократить процессорное время, доступное остальным потокам исполнения, в том числе из других процессов. Рекомендуется контролировать приоритет начального потока исполнения.
`GetTasksList`	Назначение Позволяет получить сведения о существующих процессах. Параметры [out] `notice` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует приемник уведомлений, который настроен на получение уведомлений о завершении процессов. [out] `strings` – последовательность, содержащая параметры процессов. [out] `pids` – последовательность, содержащая идентификаторы процессов (PID каждого процесса). [out] `rc` – код возврата.	Позволяет исчерпать память ядра, создавая в ней множество объектов.
`SetInitialThreadSchedPolicy`	Назначение Задает класс планирования и приоритет начального потока процесса. Параметры [in] `task` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует процесс. [in] `policy` – класс планирования начального потока процесса. [in] `priority` – приоритет начального потока процесса. [in] `params` – объединение, содержащее параметры класса планирования начального потока процесса. [out] `rc` – код возврата.	Позволяет выполнить следующие действия: Сделать начальный поток процесса потоком исполнения реального времени, который заберет все процессорное время у остальных потоков исполнения, в том числе из других процессов (рекомендуется контролировать класс планирования начального потока процесса). Повысить приоритет начального потока процесса, чтобы сократить процессорное время, доступное остальным потокам исполнения, в том числе из других процессов (рекомендуется контролировать приоритет начального потока процесса).
`ReseedAslr`	Назначение Задает начальное значение генератора случайных чисел для поддержки ASLR. Параметры [in] `task` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует процесс. [in] `seed` – последовательность, содержащая начальное значение генератора случайных чисел. [out] `rc` – код возврата.	Нет.
`GetElfSyms`	Назначение Позволяет получить адрес и размер таблицы символов `.symtab` и таблицы строк `.strtab` для вызывающего процесса. Параметры [out] `relocBase` – смещение загрузки ELF-образа в байтах. [out] `syms` – адрес таблицы символов `.symtab`. [out] `symsCnt` – размер таблицы символов `.symtab` в байтах. [out] `strs` – адрес таблицы строк `.strtab`. [out] `strsSize` – размер таблицы строк `.strtab` в байтах. [out] `rc` – код возврата.	Нет.
`TransferHandle`	Назначение Передает дескриптор процессу, который еще не запущен. Параметры [in] `task` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует процесс. [in] `srcHandle` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Поле дескриптора содержит передаваемый дескриптор. [in] `srcBadge` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует объект контекста передачи ресурса. [in] `dstRights` – маска прав потомка передаваемого дескриптора. [out] `dstHandle` – значение потомка переданного дескриптора (из пространства дескрипторов процесса, который получил дескриптор). [out] `rc` – код возврата.	Позволяет исчерпать память ядра, создавая в ней множество объектов.
`GetPid`	Назначение Позволяет получить идентификатор процесса (PID). Параметры [in] `task` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует процесс. [out] `pid` – идентификатор процесса. [out] `rc` – код возврата.	Нет.

В начало

Служба синхронизации

Служба предназначена для работы с фьютексами.

Сведения о методах службы приведены в таблице ниже.

Методы службы sync.Sync (интерфейс kl.core.Sync)

Метод	Назначение и параметры метода	Потенциальная опасность метода
`Wait`	Назначение Блокирует исполнение вызывающего потока, если значение фьютекса равно ожидаемому. Параметры [in] `ptr` – указатель на фьютекс. [in] `val` – ожидаемое значение фьютекса. [in] `delay` – максимальное время блокировки в миллисекундах. [out] `outDelay` – фактическое время блокировки в миллисекундах. [out] `rc` – код возврата.	Нет.
`Wake`	Назначение Возобновляет исполнение потоков, заблокированных вызовом метода `Wait` с заданным фьютексом. Параметры [in] `ptr` – указатель на фьютекс. [in] `nThreads` – максимальное число потоков, исполнение которых может быть возобновлено. [out] `wokenCnt` – фактическое число потоков, исполнение которых возобновлено. [out] `rc` – код возврата.	Нет.

Метод

Назначение и параметры метода

Потенциальная опасность метода

Wait

Назначение

Блокирует исполнение вызывающего потока, если значение фьютекса равно ожидаемому.

Параметры

[in] ptr – указатель на фьютекс.
[in] val – ожидаемое значение фьютекса.
[in] delay – максимальное время блокировки в миллисекундах.
[out] outDelay – фактическое время блокировки в миллисекундах.
[out] rc – код возврата.

Нет.

Wake

Назначение

Возобновляет исполнение потоков, заблокированных вызовом метода Wait с заданным фьютексом.

Параметры

[in] ptr – указатель на фьютекс.
[in] nThreads – максимальное число потоков, исполнение которых может быть возобновлено.
[out] wokenCnt – фактическое число потоков, исполнение которых возобновлено.
[out] rc – код возврата.

Нет.

В начало

Службы файловой системы

Службы предназначены для работы с файловой системой ROMFS, используемой ядром KasperskyOS.

Сведения о методах служб приведены в таблицах ниже.

Методы службы fs.FS (интерфейс kl.core.FS)

Метод	Назначение и параметры метода	Потенциальная опасность метода
`Open`	Назначение Открывает файл. Параметры [in] `name` – имя файла. [out] `handle` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует открытый файл. [out] `rc` – код возврата.	Позволяет исчерпать память ядра, создавая в ней множество объектов.
`Close`	Назначение Закрывает файл. Параметры [in] `handle` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует открытый файл. [out] `rc` – код возврата.	Нет.
`Read`	Назначение Читает данные из файла. Параметры [in] `handle` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует открытый файл. [in] `sectorNumber` – номер блока данных. Нумерация начинается с нуля. [out] `read` – размер считанных данных в байтах. [out] `data` – последовательность, содержащая считанные данные. [out] `rc` – код возврата.	Нет.
`GetSize`	Назначение Позволяет получить размер файла. Параметры [in] `handle` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует открытый файл. [out] `size` – размер файла в байтах. [out] `rc` – код возврата.	Нет.
`GetId`	Назначение Позволяет получить уникальный идентификатор файла. Параметры [in] `handle` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует открытый файл. [out] `id` – уникальный идентификатор файла. [out] `rc` – код возврата.	Нет.
`Count`	Назначение Позволяет получить число файлов в файловой системе. Параметры [out] `count` – число файлов в файловой системе. [out] `rc` – код возврата.	Нет.
`GetInfo`	Назначение Позволяет получить имя и уникальный идентификатор файла по индексу файла. Параметры [in] `index` – индекс файла. Нумерация начинается с нуля. [in] `nameLenMax` – размер буфера для сохранения имени файла. [out] `name` – имя файла. [out] `id` – уникальный идентификатор файла. [out] `rc` – код возврата.	Нет.
`GetFsSize`	Назначение Позволяет получить размер файловой системы. Параметры [out] `fsSize` – размер файловой системы в байтах. [out] `rc` – код возврата.	Нет.

Методы службы fs.FSUnsafe (интерфейс kl.core.FSUnsafe)

Метод	Назначение и параметры метода	Потенциальная опасность метода
`Change`	Назначение Меняет образ файловой системы. Вместо образа ROMFS, созданного при сборке решения, будет использоваться другой образ ROMFS, загруженный в память процесса. Параметры [in] `base` – указатель на образ файловой системы. [in] `size` – размер образа файловой системы в байтах. [out] `rc` – код возврата.	Позволяет выполнить следующие действия: Использовать образ ROMFS, содержащий произвольные программы и данные. Получить доступ на чтение к некоторым объектам ядра.

Метод

Назначение и параметры метода

Потенциальная опасность метода

Change

Назначение

Меняет образ файловой системы.

Вместо образа ROMFS, созданного при сборке решения, будет использоваться другой образ ROMFS, загруженный в память процесса.

Параметры

[in] base – указатель на образ файловой системы.
[in] size – размер образа файловой системы в байтах.
[out] rc – код возврата.

Позволяет выполнить следующие действия:

Использовать образ ROMFS, содержащий произвольные программы и данные.
Получить доступ на чтение к некоторым объектам ядра.

В начало

Служба времени

Служба предназначена для установки системного времени.

Сведения о методах службы приведены в таблице ниже.

Методы службы time.Time (интерфейс kl.core.Time)

Метод	Назначение и параметры метода	Потенциальная опасность метода
`SetSystemTime`	Назначение Устанавливает системное время. Параметры [in] `secs` – время, прошедшее с 1 января 1970 года, в секундах. [in] `nsecs` – дополнительное время в наносекундах, которое складывается со временем, заданным через параметр `secs`. [out] `rc` – код возврата.	Позволяет установить системное время.
`SetSystemTimeAdj`	Назначение Запускает постепенную корректировку системного времени. Параметры [in] `adj` – структура, содержащая интервал времени, на который нужно скорректировать системное время (sec10^9+nsec* наносекунд). [in] `slew` – скорость корректировки системного времени (микросекунд в секунду). [out] `prev` – структура, содержащая интервал времени, отражающий, на какое значение оставалось скорректировать системное время, чтобы предыдущая постепенная корректировка была полностью завершена (sec10^9+nsec* наносекунд). [out] `rc` – код возврата.	Позволяет изменить системное время.
`GetSystemTimeAdj`	Назначение Позволяет получить интервал времени, отражающий, на какое значение остается скорректировать системное время, чтобы постепенная корректировка была полностью завершена. Параметры [out] `adj` – структура, содержащая интервал времени, отражающий, на какое значение остается скорректировать системное время, чтобы постепенная корректировка была полностью завершена (sec10^9+nsec* наносекунд). [out] `rc` – код возврата.	Нет.

Метод

Назначение и параметры метода

Потенциальная опасность метода

SetSystemTime

Назначение

Устанавливает системное время.

Параметры

[in] secs – время, прошедшее с 1 января 1970 года, в секундах.
[in] nsecs – дополнительное время в наносекундах, которое складывается со временем, заданным через параметр secs.
[out] rc – код возврата.

Позволяет установить системное время.

SetSystemTimeAdj

Назначение

Запускает постепенную корректировку системного времени.

Параметры

[in] adj – структура, содержащая интервал времени, на который нужно скорректировать системное время (sec*10^9+nsec наносекунд).
[in] slew – скорость корректировки системного времени (микросекунд в секунду).
[out] prev – структура, содержащая интервал времени, отражающий, на какое значение оставалось скорректировать системное время, чтобы предыдущая постепенная корректировка была полностью завершена (sec*10^9+nsec наносекунд).
[out] rc – код возврата.

Позволяет изменить системное время.

GetSystemTimeAdj

Назначение

Позволяет получить интервал времени, отражающий, на какое значение остается скорректировать системное время, чтобы постепенная корректировка была полностью завершена.

Параметры

[out] adj – структура, содержащая интервал времени, отражающий, на какое значение остается скорректировать системное время, чтобы постепенная корректировка была полностью завершена (sec*10^9+nsec наносекунд).
[out] rc – код возврата.

Нет.

В начало

Служба слоя аппаратных абстракций

Служба предназначена для получения значений параметров HAL, работы с привилегированными регистрами, очистки кеша процессора, выполнения диагностического вывода, а также получения случайных чисел, сгенерированных аппаратно.

Сведения о методах службы приведены в таблице ниже.

Методы службы hal.HAL (интерфейс kl.core.HAL)

Метод	Назначение и параметры метода	Потенциальная опасность метода
`GetEnv`	Назначение Позволяет получить значение параметра HAL. Параметры [in] `name` – имя параметра. [out] `value` – значение параметра. [out] `rc` – код возврата.	Позволяет получить значения параметров HAL, которые могут представлять собой критические сведения о системе.
`GetPrivReg`	Назначение Позволяет получить значение привилегированного регистра. Параметры [in] `reg` – имя регистра. [out] `val` – значение регистра. [out] `rc` – код возврата.	Позволяет организовать канал передачи данных с процессом, который имеет доступ к методу `SetPrivReg` или `SetPrivRegRange`. Рекомендуется контролировать имя регистра.
`SetPrivReg`	Назначение Задает значение привилегированного регистра. Параметры [in] `reg` – имя регистра. [in] `val` – значение регистра. [out] `rc` – код возврата.	Позволяет выполнить следующие действия: Задать значение привилегированного регистра. Организовать канал передачи данных с процессом, который имеет доступ к методу `GetPrivReg` или `GetPrivRegRange`. Рекомендуется контролировать имя регистра.
`GetPrivRegRange`	Назначение Позволяет получить значение привилегированного регистра. Параметры [in] `regRange` – имя диапазона регистров. [in] `offset` – смещение регистра в диапазоне регистров. [out] `val` – значение регистра. [out] `rc` – код возврата.	Позволяет организовать канал передачи данных с процессом, который имеет доступ к методу `SetPrivReg` или `SetPrivRegRange`. Рекомендуется контролировать имя диапазона регистров и смещение регистра в этом диапазоне.
`SetPrivRegRange`	Назначение Задает значение привилегированного регистра. Параметры [in] `regRange` – имя диапазона регистров. [in] `offset` – смещение регистра в диапазоне регистров. [in] `val` – значение регистра. [out] `rc` – код возврата.	Позволяет выполнить следующие действия: Задать значение привилегированного регистра. Организовать канал передачи данных с процессом, который имеет доступ к методу `GetPrivReg` или `GetPrivRegRange`. Рекомендуется контролировать имя диапазона регистров и смещение регистра в этом диапазоне.
`FlushCache`	Назначение Очищает кеш процессора. Параметры [in] `type` – значение, задающее тип кеша (кеш данных, кеш инструкций, кеш данных и кеш инструкций совместно). [in] `va` – базовый адрес региона виртуальной памяти. Кеш, соответствующий этому региону, очищается. [in] `size` – размер региона виртуальной памяти. Кеш, соответствующий этому региону, очищается. [out] `rc` – код возврата.	Позволяет очистить кеш процессора.
`DebugWrite`	Назначение Помещает данные в диагностический вывод, который записывается, например, в порт COM или USB (версии 3.0 или более поздней, с поддержкой DbC). Параметры [in] `data` – последовательность, содержащая данные для помещения в диагностический вывод. [out] `rc` – код возврата.	Позволяет заполнить диагностический вывод фиктивными данными (например, неинформативными).
`GetEntropy`	Назначение Позволяет получить случайные числа, сгенерированные аппаратно. Параметры [out] `buffer` – последовательность, содержащая случайные байтовые значения. [in] `size` – число случайных байтовых значений. [out] `rc` – код возврата.	Позволяет создать нагрузку на аппаратный генератор случайных чисел частыми вызовами метода, чтобы другие процессы не могли получить случайные числа с использованием этого генератора.

В начало

Служба управления контроллером XHCI

Служба предназначена для выключения и повторного включения отладочного режима контроллера XHCI (с поддержкой DbC) при его перезагрузке.

Сведения о методах службы приведены в таблице ниже.

Методы службы xhcidbg.XHCIDBG (интерфейс kl.core.XHCIDBG)

Метод	Назначение и параметры метода	Потенциальная опасность метода
`Start`	Назначение Включает отладочный режим контроллера XHCI. Параметры [out] `rc` – код возврата.	Позволяет настроить контроллер XHCI, чтобы диагностический вывод выполнялся через порт USB (версии 3.0 или более поздней).
`Stop`	Назначение Выключает отладочный режим контроллера XHCI. Параметры [out] `rc` – код возврата.	Позволяет настроить контроллер XHCI, чтобы диагностический вывод не выполнялся через порт USB (версии 3.0 или более поздней).

Метод

Назначение и параметры метода

Потенциальная опасность метода

Start

Назначение

Включает отладочный режим контроллера XHCI.

Параметры

[out] rc – код возврата.

Позволяет настроить контроллер XHCI, чтобы диагностический вывод выполнялся через порт USB (версии 3.0 или более поздней).

Stop

Назначение

Выключает отладочный режим контроллера XHCI.

Параметры

[out] rc – код возврата.

Позволяет настроить контроллер XHCI, чтобы диагностический вывод не выполнялся через порт USB (версии 3.0 или более поздней).

В начало

Служба аудита

Служба предназначена для чтения сообщений из журналов ядра KasperskyOS. Этих журналов два: kss и core. Журнал kss содержит данные аудита безопасности. Журнал core содержит диагностический вывод. (Диагностический вывод включает как вывод ядра, так и вывод программ.)

Сведения о методах службы приведены в таблице ниже.

Методы службы audit.Audit (интерфейс kl.core.Audit)

Метод	Назначение и параметры метода	Потенциальная опасность метода
`Open`	Назначение Открывает журнал ядра для чтения. Параметры [in] `name` – имя журнала ядра (`kss` или `core`). [out] `handle` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует журнал ядра. [out] `rc` – код возврата.	Нет.
`Close`	Назначение Закрывает журнал ядра. Параметры [in] `handle` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует журнал ядра. [out] `rc` – код возврата.	Нет.
`Read`	Назначение Позволяет получить сообщение из журнала ядра. Параметры [in] `handle` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует журнал ядра. [out] `msg` – последовательность, содержащая сообщение. [out] `outDropMsgs` – число сообщений, не попавших в журнал ядра из-за переполнения буфера, в котором этот журнал хранится. [out] `rc` – код возврата.	Позволяет извлечь сообщения из журнала ядра, чтобы их не получил другой процесс.

Метод

Назначение и параметры метода

Потенциальная опасность метода

Open

Назначение

Открывает журнал ядра для чтения.

Параметры

[in] name – имя журнала ядра (kss или core).
[out] handle – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует журнал ядра.
[out] rc – код возврата.

Нет.

Close

Назначение

Закрывает журнал ядра.

Параметры

[in] handle – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует журнал ядра.
[out] rc – код возврата.

Нет.

Read

Назначение

Позволяет получить сообщение из журнала ядра.

Параметры

[in] handle – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует журнал ядра.
[out] msg – последовательность, содержащая сообщение.
[out] outDropMsgs – число сообщений, не попавших в журнал ядра из-за переполнения буфера, в котором этот журнал хранится.
[out] rc – код возврата.

Позволяет извлечь сообщения из журнала ядра, чтобы их не получил другой процесс.

В начало

Служба профилирования

Служба предназначена для профилирования и сбора покрытия кода, а также для получения значений счетчиков производительности.

Сведения о методах службы приведены в таблице ниже.

Методы службы profiler.Profiler (интерфейс kl.core.Profiler)

Метод	Назначение и параметры метода	Потенциальная опасность метода
`GetCoverageData`	Назначение Позволяет получить сведения о покрытии кода. Параметры [in] `index` – индекс для перечисления объектных файлов, содержащих инструментированный код для получения сведений о покрытии. Нумерация начинается с нуля. [out] `buf` – последовательность, содержащая сведения о покрытии кода объектного файла (в формате `gcda`). [out] `size` – размер данных, содержащих сведения о покрытии кода объектного файла, в байтах. [out] `name` – имя файла `*.gcda`, назначенное при компиляции. [out] `rc` – код возврата.	Нет.
`FlushGcov`	Назначение Выводит сведения о покрытии кода в формате `gcda` через UART. Параметры [out] `rc` – код возврата.	Нет.
`FlushGcovFile`	Назначение Выводит сведения о покрытии кода в формате `gcda` через UART. Параметры [in] `name` – имя файла `*.gcda`, назначенное при компиляции. [in] `buf` – указатель на буфер, содержащий сведения о покрытии кода в формате `gcda`. [in] `size` – размер данных, содержащих сведения о покрытии кода. [out] `rc` – код возврата.	Нет.
`GetCounters`	Назначение Позволяет получить значения счетчиков производительности. Параметры [in] `prefix` – префикс для имен счетчиков производительности. [in] `names` – последовательность, содержащая имена счетчиков производительности. [out] `values` – последовательность, содержащая значения счетчиков производительности. [out] `rc` – код возврата.	Нет.
`ObjectGetStat`	Назначение Позволяет получить значения счетчиков производительности для системного ресурса (процесса или потока исполнения). Параметры [in] `handle` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует системный ресурс. [in] `names` – последовательность, содержащая имена счетчиков производительности. [out] `values` – последовательность, содержащая значения счетчиков производительности. [out] `rc` – код возврата.	Нет.
`SamplingStart`	Назначение Запускает семплирующее профилирование кода. Результатом семплирующего профилирования является статистика исполнения кода, которая отражает длительность исполнения участков кода. Параметры [in] `conf` – флаги, задающие параметры профилирования. [in] `cpus` – значение, задающее процессоры (вычислительные ядра) для профилирования. [in] `contSize` – размер контейнера для сохранения данных, содержащих статистику исполнения кода, полученную в результате профилирования, в байтах. Контейнер создается в памяти ядра автоматически. [in] `interval` – фиктивный параметр. [out] `rc` – код возврата.	Нет.
`SamplingStop`	Назначение Останавливает семплирующее профилирование кода. Параметры [out] `rc` – код возврата.	Нет.
`SamplingRead`	Назначение Позволяет получить данные, содержащие статистику исполнения кода, полученную в результате семплирующего профилирования. Параметры [in] `unsafeBuffer` – указатель на буфер для сохранения контейнера, содержащего статистику исполнения кода, полученную в результате профилирования. [in] `size` – размер буфера, указатель на который задан через параметр `unsafeBuffer`. [out] `realSize` – размер сохраненного контейнера. [in] `timeout` – время ожидания заполнения контейнера в миллисекундах. [out] `rc` – код возврата.	Позволяет получить адреса и имена функций других процессов.
`SamplingAddPidToList`	Назначение Добавляет процесс в список профилируемых. Параметры [in] `pid` – идентификатор процесса (PID). [out] `rc` – код возврата.	Нет.
`SamplingClearPidList`	Назначение Очищает список профилируемых процессов. Параметры [out] `rc` – код возврата.	Нет.
`LoadSegInfo`	Назначение Сохраняет в ядре сведения о загружаемом сегменте ELF-образа. (Это требуется, чтобы статистика исполнения кода, полученная в результате семплирующего профилирования, содержала дополнительную информацию, которая позволяет ассоциировать эту статистику с исходным кодом.) Параметры [in] `task` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует процесс. [in] `addr` – адрес сегмента в памяти процесса. [in] `size` – размер сегмента в байтах. [in] `offset` – смещение сегмента в файле ELF в байтах. [in] `flags` – флаги, задающие права доступа к сегменту. [in] `buildId` – идентификатор сборки. Компоновщик записывает этот идентификатор в файл ELF. [out] `rc` – код возврата.	Позволяет исчерпать память ядра, создавая в ней множество объектов.
`UnloadSegInfo`	Назначение Удаляет сведения о загружаемом сегменте ELF-образа, сохраненные в ядре методом `LoadSegInfo`. Параметры [in] `task` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует процесс. [in] `addr` – адрес сегмента в памяти процесса. [in] `size` – размер сегмента в байтах. [out] `rc` – код возврата.	Нет.
`KcovAlloc`	Назначение Выделяет ресурсы, требуемые для сбора покрытия кода ядра, который осуществляется при обработке системных вызовов, выполняемых вызывающим процессом. Параметры [in] `numThreads` – максимальное число потоков исполнения, для которых будет выполняться сбор покрытия. [in] `maxPoints` – максимальное число точек покрытия для одного потока исполнения. [out] `rc` – код возврата.	Позволяет исчерпать оперативную память.
`KcovFree`	Назначение Освобождает ресурсы, требуемые для сбора покрытия кода ядра, который осуществляется при обработке системных вызовов, выполняемых вызывающим процессом. Параметры [out] `rc` – код возврата.	Нет.
`KcovStart`	Назначение Запускает сбор покрытия кода ядра, который осуществляется при обработке системных вызовов, выполняемых вызывающим потоком исполнения. Параметры [out] `rc` – код возврата.	Нет.
`KcovStop`	Назначение Останавливает сбор покрытия кода ядра, который осуществляется при обработке системных вызовов, выполняемых вызывающим потоком исполнения. Также позволяет получить сведения о покрытии кода ядра. Параметры [in] `points` – указатель на буфер для сохранения сведений о покрытии кода ядра. [in] `maxPoints` – максимальное число точек покрытия, которые можно сохранить в буфере, заданном через параметр `points`. [out] `numPoints` – фактическое число точек покрытия, сохраненных в буфере, заданном через параметр `points`. [out] `rc` – код возврата.	Нет.

В начало

Служба управления изоляцией памяти для ввода-вывода

Служба предназначена для управления изоляцией регионов физической памяти, используемых устройствами на шине PCIe для DMA. (Изоляция обеспечивается IOMMU.)

Сведения о методах службы приведены в таблице ниже.

Методы службы iommu.IOMMU (интерфейс kl.core.IOMMU)

Метод	Назначение и параметры метода	Потенциальная опасность метода
`Attach`	Назначение Прикрепляет устройство на шине PCIe к домену IOMMU, ассоциированному с вызывающим процессом. Параметры [in] `bdf` – адрес устройства на шине PCIe в формате BDF. [out] `rc` – код возврата.	Позволяет прикрепить устройство на шине PICIe, управляемое другим процессом, к домену IOMMU, ассоциированному с вызывающим процессом, что приведет к неработоспособности устройства. Рекомендуется контролировать адрес устройства на шине PCIe.
`Detach`	Назначение Открепляет устройство на шине PCIe от домена IOMMU, ассоциированного с вызывающим процессом. Параметры [in] `bdf` – адрес устройства на шине PCIe в формате BDF. [out] `rc` – код возврата.	Нет.

Метод

Назначение и параметры метода

Потенциальная опасность метода

Attach

Назначение

Прикрепляет устройство на шине PCIe к домену IOMMU, ассоциированному с вызывающим процессом.

Параметры

[in] bdf – адрес устройства на шине PCIe в формате BDF.
[out] rc – код возврата.

Позволяет прикрепить устройство на шине PICIe, управляемое другим процессом, к домену IOMMU, ассоциированному с вызывающим процессом, что приведет к неработоспособности устройства.

Рекомендуется контролировать адрес устройства на шине PCIe.

Detach

Назначение

Открепляет устройство на шине PCIe от домена IOMMU, ассоциированного с вызывающим процессом.

Параметры

[in] bdf – адрес устройства на шине PCIe в формате BDF.
[out] rc – код возврата.

Нет.

В начало

Служба соединений

Служба предназначена для динамического создания IPC-каналов.

Сведения о методах службы приведены в таблице ниже.

Методы службы cm.CM (интерфейс kl.core.CM)

Метод	Назначение и параметры метода	Потенциальная опасность метода
`Connect`	Назначение Выполняет запрос на создание IPC-канала с сервером для использования заданной службы. Параметры [in] `server` – имя сервера. [in] `service` – квалифицированное имя службы. [in] `msecs` – время ожидания выполнения запроса в миллисекундах. [out] `handle` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор является клиентским IPC-дескриптором. [out] `id` – идентификатор службы (RIID). [out] `rc` – код возврата.	Позволяет создать нагрузку на сервер, отправляя множество запросов на создание IPC-канала.
`Listen`	Назначение Позволяет получить запрос клиента на создание IPC-канала для использования службы. Параметры [in] `filter` – фиктивный параметр. [in] `msecs` – время ожидания запроса клиента в миллисекундах. [out] `client` – имя клиента. [out] `service` – квалифицированное имя службы. [out] `rc` – код возврата.	Нет.
`Drop`	Назначение Отклоняет запрос клиента на создание IPC-канала для использования заданной службы. Параметры [in] `client` – имя клиента. [in] `service` – квалифицированное имя службы. [out] `rc` – код возврата.	Нет.
`Accept`	Назначение Принимает запрос клиента на создание IPC-канала для использования заданной службы. Параметры [in] `client` – имя клиента. [in] `service` – квалифицированное имя службы. [in] `id` – идентификатор службы. [in] `listener` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор является слушающим дескриптором. [out] `handle` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор является серверным IPC-дескриптором. [out] `rc` – код возврата.	Нет.

В начало

Служба управления электропитанием

Служба предназначена для изменения режима электропитания компьютера (например, выключения, перезагрузки), а также для включения и выключения процессоров (вычислительных ядер).

Сведения о методах службы приведены в таблице ниже.

Методы службы pm.PM (интерфейс kl.core.PM)

Метод	Назначение и параметры метода	Потенциальная опасность метода
`Request`	Назначение Выполняет запрос на изменение режима электропитания компьютера. Параметры [in] `request` – значение, задающее требуемый режим электропитания компьютера. [out] `rc` – код возврата.	Позволяет изменить режим электропитания компьютера.
`SetCpusOnline`	Назначение Выполняет запрос на включение и/или выключение процессоров. Параметры [in] `request` – значение, задающее множество процессоров в активном состоянии. [in] `timeout` – время ожидания выполнения запроса в миллисекундах. [out] `rc` – код возврата.	Позволяет выключить и включить процессоры.
`GetCpusOnline`	Назначение Позволяет получить сведения о том, какие процессоры находятся в активном состоянии. Параметры [out] `online` – значение, отражающее множество процессоров в активном состоянии. [out] `rc` – код возврата.	Нет.

Метод

Назначение и параметры метода

Потенциальная опасность метода

Request

Назначение

Выполняет запрос на изменение режима электропитания компьютера.

Параметры

[in] request – значение, задающее требуемый режим электропитания компьютера.
[out] rc – код возврата.

Позволяет изменить режим электропитания компьютера.

SetCpusOnline

Назначение

Выполняет запрос на включение и/или выключение процессоров.

Параметры

[in] request – значение, задающее множество процессоров в активном состоянии.
[in] timeout – время ожидания выполнения запроса в миллисекундах.
[out] rc – код возврата.

Позволяет выключить и включить процессоры.

GetCpusOnline

Назначение

Позволяет получить сведения о том, какие процессоры находятся в активном состоянии.

Параметры

[out] online – значение, отражающее множество процессоров в активном состоянии.
[out] rc – код возврата.

Нет.

В начало

Служба уведомлений

Служба предназначена для работы с уведомлениями о событиях, происходящих с ресурсами.

Сведения о методах службы приведены в таблице ниже.

Методы службы notice.Notice (интерфейс kl.core.Notice)

Метод	Назначение и параметры метода	Потенциальная опасность метода
`Create`	Назначение Создает приемник уведомлений. Параметры [out] `notify` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует приемник уведомлений. [out] `rc` – код возврата.	Позволяет исчерпать память ядра, создавая в ней множество объектов.
`SubscribeToObject`	Назначение Добавляет запись вида "ресурс – маска событий" в приемник уведомлений, чтобы он получал уведомления о событиях, которые происходят с заданным ресурсом и соответствуют заданной маске событий. Параметры [in] `notify` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует приемник уведомлений. [in] `object` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует ресурс. [in] `evMask` – маска событий. [in] `evId` – идентификатор записи вида "ресурс – маска событий". [out] `rc` – код возврата.	Позволяет исчерпать память ядра, создавая в ней множество объектов.
`UnsubscribeFromEvent`	Назначение Удаляет записи вида "ресурс – маска событий" с заданным идентификатором из приемника уведомлений, чтобы он не получал уведомления о событиях, соответствующих этим записям. Параметры [in] `notify` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует приемник уведомлений. [in] `evId` – идентификатор записи вида "ресурс – маска событий". [out] `rc` – код возврата.	Нет.
`UnsubscribeFromObject`	Назначение Удаляет записи вида "ресурс – маска событий", соответствующие заданному ресурсу, из приемника уведомлений, чтобы он не получал уведомления о событиях, соответствующих этим записям. Параметры [in] `notify` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует приемник уведомлений. [in] `object` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует ресурс. [out] `rc` – код возврата.	Нет.
`GetEvent`	Назначение Извлекает уведомления из приемника. Параметры [in] `notify` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует приемник уведомлений. [in] `mdelay` – время ожидания появления уведомлений в приемнике в миллисекундах. [out] `events` – последовательность уведомлений, которые представляют собой структуры, содержащие идентификатор записи вида "ресурс – маска событий" и маску событий, произошедших с ресурсом. [out] `rc` – код возврата.	Нет.
`DropAndWake`	Назначение Удаляет все записи вида "ресурс – маска событий"из заданного приемника уведомлений; возобновляет исполнение всех потоков, ожидающих появления уведомлений в заданном приемнике; опционально запрещает добавление записей вида "ресурс – маска событий" в заданный приемник уведомлений. Параметры [in] `notify` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует приемник уведомлений. [in] `finish` – значение, определяющее будет ли запрещено добавление записей вида "ресурс – маска событий" (`0` – не будет запрещено, `1` – будет запрещено). [out] `rc` – код возврата.	Нет.
`SetObjectEvent`	Назначение Сигнализирует, что события из заданной маски событий произошли с заданным пользовательским ресурсом. Параметры [in] `object` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует пользовательский ресурс. [in] `evMask` – маска событий, о которых требуется сигнализировать. [out] `rc` – код возврата.	Нет.

В начало

Служба гипервизора

Служба предназначена для работы с гипервизором.

Методы службы hypervisor.Hypervisor (интерфейс kl.core.Hypervisor) являются потенциально опасными. Доступ к этим методам можно разрешать только специальной программе vmapp.

В начало

Службы доверенной среды исполнения

Службы предназначены для передачи данных между доверенной средой исполнения (англ. Trusted Execution Environment, TEE) и общей средой исполнения (англ. Rich Execution Environment, REE), а также для получения доступа к физической памяти REE из TEE.

Сведения о методах служб приведены в таблицах ниже.

Методы службы tee.TEE (интерфейс kl.core.TEE)

Метод	Назначение и параметры метода	Потенциальная опасность метода
`Dispatch`	Назначение Отправляет и принимает сообщения, передающиеся между TEE и REE. Метод используется как в TEE, так и в REE. Параметры [in] `msgIn` – структура, содержащая запрос для TEE (при вызове метода в REE) или ответ для REE (при вызове метода в TEE). [out] `msgOut` – структура, содержащая ответ от TEE (при вызове метода в REE) или запрос от REE (при вызове метода в TEE). [out] `rc` – код возврата.	Позволяет процессу в REE получить ответ от TEE на запрос другого процесса в REE.
`FreeToken`	Назначение Освобождает значения уникальных идентификаторов сообщений, передающихся между TEE и REE. (Эти значения требуется освободить, чтобы они стали доступными для повторного использования.) Метод используется в REE. Параметры [in] `token` – значение уникального идентификатора сообщения. [out] `rc` – код возврата.	Позволяет освободить значения, используемые другими процессами в REE в качестве уникальных идентификаторов сообщений, передающихся между TEE и REE.

Метод

Назначение и параметры метода

Потенциальная опасность метода

Dispatch

Назначение

Отправляет и принимает сообщения, передающиеся между TEE и REE.

Метод используется как в TEE, так и в REE.

Параметры

[in] msgIn – структура, содержащая запрос для TEE (при вызове метода в REE) или ответ для REE (при вызове метода в TEE).
[out] msgOut – структура, содержащая ответ от TEE (при вызове метода в REE) или запрос от REE (при вызове метода в TEE).
[out] rc – код возврата.

Позволяет процессу в REE получить ответ от TEE на запрос другого процесса в REE.

FreeToken

Назначение

Освобождает значения уникальных идентификаторов сообщений, передающихся между TEE и REE. (Эти значения требуется освободить, чтобы они стали доступными для повторного использования.)

Метод используется в REE.

Параметры

[in] token – значение уникального идентификатора сообщения.
[out] rc – код возврата.

Позволяет освободить значения, используемые другими процессами в REE в качестве уникальных идентификаторов сообщений, передающихся между TEE и REE.

Методы службы tee.TEEVMM (интерфейс kl.core.TEEVMM)

Метод	Назначение и параметры метода	Потенциальная опасность метода
`MdlAllocate`	Назначение Создает заготовку буфера MDL для последующего добавления в нее физической памяти из REE. Метод используется в TEE. Параметры [in] `size` – размер буфера MDL в байтах. [in] `prot` – флаги, задающие права доступа к буферу MDL. [out] `handle` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует буфер MDL. [out] `rc` – код возврата.	Позволяет исчерпать память ядра, создавая в ней множество объектов.
`MdlAddFrame`	Назначение Добавляет регион физической памяти REE в заготовку буфера MDL, созданную методом `MdlAllocate`. Метод используется в TEE. Параметры [in] `handle` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует буфер MDL. [in] `pa` – базовый адрес региона физической памяти. [in] `pages` – размер региона физической памяти в страницах памяти. [out] `rc` – код возврата.	Позволяет получить доступ к произвольному региону физической памяти REE из TEE.

Метод

Назначение и параметры метода

Потенциальная опасность метода

MdlAllocate

Назначение

Создает заготовку буфера MDL для последующего добавления в нее физической памяти из REE.

Метод используется в TEE.

Параметры

[in] size – размер буфера MDL в байтах.
[in] prot – флаги, задающие права доступа к буферу MDL.
[out] handle – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует буфер MDL.
[out] rc – код возврата.

Позволяет исчерпать память ядра, создавая в ней множество объектов.

MdlAddFrame

Назначение

Добавляет регион физической памяти REE в заготовку буфера MDL, созданную методом MdlAllocate.

Метод используется в TEE.

Параметры

[in] handle – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует буфер MDL.
[in] pa – базовый адрес региона физической памяти.
[in] pages – размер региона физической памяти в страницах памяти.
[out] rc – код возврата.

Позволяет получить доступ к произвольному региону физической памяти REE из TEE.

В начало

Служба прерывания IPC

Служба предназначена для прерывания блокирующих системных вызовов Call() и Recv(). (Это может потребоваться, например, для корректного завершения процесса.)

Сведения о методах службы приведены в таблице ниже.

Методы службы ipc.IPC (интерфейс kl.core.IPC)

Метод	Назначение и параметры метода	Потенциальная опасность метода
`CreateSyncObject`	Назначение Создает объект синхронизации IPC. Объект синхронизации IPC используется для прерывания блокирующих системных вызовов `Call()` и `Recv()` в потоках вызывающего процесса. `Call()` может быть прерван только тогда, когда он ожидает вызова `Recv()` сервером. `Recv()` может быть прерван только тогда, когда он ожидает получения IPC-запроса от клиента. Дескриптор объекта синхронизации IPC не может быть передан другому процессу, так как в маске прав этого дескриптора не установлен необходимый для этого флаг. Параметры [out] `syncHandle` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует объект синхронизации IPC. [out] `rc` – код возврата.	Позволяет исчерпать память ядра, создавая в ней множество объектов.
`SetInterrupt`	Назначение Переводит заданный объект синхронизации IPC в состояние, при котором системные вызовы `Call()` и `Recv()` прерываются. Параметры [in] `syncHandle` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует объект синхронизации IPC. [out] `rc` – код возврата.	Нет.
`ClearInterrupt`	Назначение Переводит заданный объект синхронизации IPC в состояние, при котором системные вызовы `Call()` и `Recv()` не прерываются. Параметры [in] `syncHandle` – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует объект синхронизации IPC. [out] `rc` – код возврата.	Нет.

Метод

Назначение и параметры метода

Потенциальная опасность метода

CreateSyncObject

Назначение

Создает объект синхронизации IPC.

Объект синхронизации IPC используется для прерывания блокирующих системных вызовов Call() и Recv() в потоках вызывающего процесса. Call() может быть прерван только тогда, когда он ожидает вызова Recv() сервером. Recv() может быть прерван только тогда, когда он ожидает получения IPC-запроса от клиента.

Дескриптор объекта синхронизации IPC не может быть передан другому процессу, так как в маске прав этого дескриптора не установлен необходимый для этого флаг.

Параметры

[out] syncHandle – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует объект синхронизации IPC.
[out] rc – код возврата.

Позволяет исчерпать память ядра, создавая в ней множество объектов.

SetInterrupt

Назначение

Переводит заданный объект синхронизации IPC в состояние, при котором системные вызовы Call() и Recv() прерываются.

Параметры

[in] syncHandle – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует объект синхронизации IPC.
[out] rc – код возврата.

Нет.

ClearInterrupt

Назначение

Переводит заданный объект синхронизации IPC в состояние, при котором системные вызовы Call() и Recv() не прерываются.

Параметры

[in] syncHandle – значение, двоичное представление которого состоит из нескольких полей, включая поле дескриптора и поле маски прав дескриптора. Дескриптор идентифицирует объект синхронизации IPC.
[out] rc – код возврата.

Нет.

В начало

Служба управления частотой процессоров

Служба предназначена для изменения частоты процессоров (вычислительных ядер).

Сведения о методах службы приведены в таблице ниже.

Методы службы cpufreq.CpuFreq (интерфейс kl.core.CpuFreq)

Метод	Назначение и параметры метода	Потенциальная опасность метода
`GetLayout`	Назначение Позволяет получить сведения о процессорных группах. В сведениях о процессорных группах перечислены существующие процессорные группы с указанием возможных значений параметра производительности для каждой из них. Этим параметром является комбинация соответствующих друг другу частоты и напряжения (англ. Operating Performance Point, OPP). Частота приводится в кГц, напряжение приводится в мкВ. Параметры [out] `layout` – последовательность, содержащая сведения о процессорных группах. [out] `rc` – код возврата.	Нет.
`GetCurOppId`	Назначение Позволяет получить индекс текущего OPP для заданной процессорной группы. Параметры [in] `cpuGroupId` – индекс процессорной группы. Нумерация начинается с нуля. [out] `oppId` – индекс текущего OPP. Нумерация начинается с нуля. [out] `rc` – код возврата.	Нет.
`SetOppId`	Назначение Устанавливает заданный OPP для заданной процессорной группы. Параметры [in] `GroupId` – индекс процессорной группы. Нумерация начинается с нуля. [in] `oppId` – индекс OPP. Нумерация начинается с нуля. [out] `rc` – код возврата.	Позволяет изменить частоту процессорной группы.

Метод

Назначение и параметры метода

Потенциальная опасность метода

GetLayout

Назначение

Позволяет получить сведения о процессорных группах.

В сведениях о процессорных группах перечислены существующие процессорные группы с указанием возможных значений параметра производительности для каждой из них. Этим параметром является комбинация соответствующих друг другу частоты и напряжения (англ. Operating Performance Point, OPP). Частота приводится в кГц, напряжение приводится в мкВ.

Параметры

[out] layout – последовательность, содержащая сведения о процессорных группах.
[out] rc – код возврата.

Нет.

GetCurOppId

Назначение

Позволяет получить индекс текущего OPP для заданной процессорной группы.

Параметры

[in] cpuGroupId – индекс процессорной группы. Нумерация начинается с нуля.
[out] oppId – индекс текущего OPP. Нумерация начинается с нуля.
[out] rc – код возврата.

Нет.

SetOppId

Назначение

Устанавливает заданный OPP для заданной процессорной группы.

Параметры

[in] GroupId – индекс процессорной группы. Нумерация начинается с нуля.
[in] oppId – индекс OPP. Нумерация начинается с нуля.
[out] rc – код возврата.

Позволяет изменить частоту процессорной группы.

В начало

Использование системных программ Klog и KlogStorage для выполнения аудита безопасности

Для выполнения аудита безопасности системная программа Klog получает данные аудита от ядра KasperskyOS, используя библиотеку libkos, декодирует эти данные и передает через IPC системной программе KlogStorage, выступающей в этом IPC-взаимодействии в качестве сервера. Программа KlogStorage направляет данные аудита в стандартный вывод (или стандартный вывод ошибок) либо сохраняет в файл, используя VFS. Также программа KlogStorage может передавать данные аудита, записанные в файл, другим программам через IPC.

Исполняемые файлы программ Klog и KlogStorage не поставляются в составе KasperskyOS SDK. Их нужно создать на основе поставляемых статических библиотек.

В этом разделе

Пример включения в решение системной программы Klog

Пример включения в решение системной программы KlogStorage, направляющей данные аудита в стандартный вывод ошибок

Пример включения в решение системной программы KlogStorage, выполняющей запись данных аудита в файл

В начало

Пример включения в решение системной программы Klog

Исходный код программы

einit/src/klog_entity.c

#include <klog/system_audit.h>
#include <klog_storage/client.h>
#include <ping/KlogEntity.edl.h>

int main(int argc, char *argv[])
{
    /* В результате вызова этой функции будет создан поток исполнения,
     * который получает данные аудита от ядра, декодирует их и передает
     * через IPC программе KlogStorage.
     * (Константа ping_KlogEntity_klog_audit_iid определена в заголовочном
     * файле KlogEntity.edl.h, который содержит автоматически сгенерированный
     * транспортный код.) */
    return klog_system_audit_run(KLOG_SERVER_CONNECTION_ID ":
                                 " KLOG_STORAGE_SERVER_CONNECTION_ID,
                                 ping_KlogEntity_klog_audit_iid);
}

Сборка программы

einit/CMakeLists.txt

...
# Импорт библиотек Klog из состава
# KasperskyOS SDK
find_package (klog REQUIRED)
include_directories (${klog_INCLUDE})

# Генерация транспортного кода на основе формальной спецификации
# программы Klog
nk_build_edl_files (klog_edl_files
                    NK_MODULE "ping"
                    # Файл KlogEntity.edl и другие файлы
                    # формальной спецификации программы Klog
                    # поставляются в составе KasperskyOS SDK.
                    EDL "${RESOURCES}/edl/KlogEntity.edl")

# Создание исполняемого файла программы Klog для аппаратной платформы
add_executable (KlogEntityHw "src/klog_entity.c")
target_link_libraries (KlogEntityHw ${klog_SYSTEM_AUDIT_LIB})
add_dependencies (KlogEntityHw klog_edl_files)

# Создание исполняемого файла программы Klog для QEMU.
# (Идентично созданию исполняемого файла программы Klog для
# аппаратной платформы, за исключением имени цели сборки.
# Требуется две цели сборки исполняемого файла программы
# Klog с разными именами, поскольку в параметре KLOG_ENTITY
# CMake-команд build_kos_hw_image() и build_kos_qemu_image()
# нужно указать разные цели сборки.)
add_executable (KlogEntityQemu "src/klog_entity.c")
target_link_libraries (KlogEntityQemu ${klog_SYSTEM_AUDIT_LIB})
add_dependencies (KlogEntityQemu klog_edl_files)

# Программу Klog не нужно указывать вместе с другими программами
# для включения в образ решения. Чтобы включить программу Klog
# в решение, нужно задать имя цели сборки исполняемого файла этой
# программы через параметр KLOG_ENTITY CMake-команд
# build_kos_hw_image() и build_kos_qemu_image().
set (ENTITIES Client Server KlogStorageEntity FileVfs)
...
# Переменная INIT_KlogEntity_PATH используется в файле init.yaml.in,
# чтобы задать имя исполняемого файла программы Klog. (Исполняемые
# файлы программы Klog для QEMU и для аппаратной платформы имеют
# разные имена, которые по умолчанию совпадают с именами целей сборки
# этих файлов.)
set (INIT_KlogEntity_PATH "KlogEntityHw")

# Нужно задать параметр KLOG_ENTITY
build_kos_hw_image (kos-image
                    EINIT_ENTITY EinitHw
                    ...
                    KLOG_ENTITY KlogEntityHw
                    IMAGE_FILES ${ENTITIES})

# Переменная INIT_KlogEntity_PATH используется в файле init.yaml.in,
# чтобы задать имя исполняемого файла программы Klog. (Исполняемые
# файлы программы Klog для QEMU и для аппаратной платформы имеют
# разные имена, которые по умолчанию совпадают с именами целей сборки
# этих файлов.)
set (INIT_KlogEntity_PATH "KlogEntityQemu")

# Нужно задать параметр KLOG_ENTITY
build_kos_qemu_image (kos-qemu-image
                      EINIT_ENTITY EinitQemu
                      ...
                      KLOG_ENTITY KlogEntityQemu
                      IMAGE_FILES ${ENTITIES})

Словарь процесса программы в шаблоне init-описания

einit/src/init.yaml.in

...
- name: ping.KlogEntity
  # Переменная INIT_KlogEntity_PATH определена в файле einit/CMakeLists.txt.
  path: @INIT_KlogEntity_PATH@
  connections:
  - target: ping.KlogStorageEntity
    id: {var: KLOG_STORAGE_SERVER_CONNECTION_ID, include: klog_storage/client.h}
...

Описание политики для программы

einit/src/security.psl.in

...
use nk.base._
...
use EDL kl.core.Core
...
use EDL ping.KlogEntity
use EDL ping.KlogStorageEntity
...
use audit_profile._
use core._
...
/* Взаимодействие с программой KlogStorage */

request dst=ping.KlogStorageEntity {
    match endpoint=klogStorage.storage {
        match method=write {
            match src=ping.KlogEntity { grant () }
        }
    }
}

response src=ping.KlogStorageEntity {
    match endpoint=klogStorage.storage {
        match method=write {
            match dst=ping.KlogEntity { grant () }
        }
    }
}

error src=ping.KlogStorageEntity {
    match endpoint=klogStorage.storage {
        match method=write {
            match dst=ping.KlogEntity { grant () }
        }
    }
}
...

einit/src/core.psl

...
/* Взаимодействие с ядром */

request dst=kl.core.Core {
    match endpoint=sync.Sync {
        match method=Wake {
            ...
            match src=ping.KlogEntity { grant () }
            ...
            }
        match method=Wait {
           ...
            match src=ping.KlogEntity { grant () }
          ...
            }
    }
    match endpoint=task.Task {
        match method=FreeSelfEnv {
            ...
            match src=ping.KlogEntity { grant () }
            ...
            }
        match method=GetPath {
            ...
            match src=ping.KlogEntity { grant () }
            ...
            }
        match method=GetName {
            ...
            match src=ping.KlogEntity { grant () }
            ...
            }
        match method=Exit {
            ...
            match src=ping.KlogEntity { grant () }
            ...
            }
    }
    match endpoint=vmm.VMM {
        match method=Allocate {
            ...
            match src=ping.KlogEntity { grant () }
            ...
            }
        match method=Commit {
            ...
            match src=ping.KlogEntity { grant () }
            ...
            }
        match method=Protect {
            ...
            match src=ping.KlogEntity { grant () }
            ...
            }
        match method=Free {
            ...
            match src=ping.KlogEntity { grant () }
            ...
            }
    }
    match endpoint=thread.Thread {
        match method=SetTls {
            ...
            match src=ping.KlogEntity { grant () }
            ...
            }
        match method=Create {
            ...
            match src=ping.KlogEntity { grant () }
            ...
            }
        match method=Resume {
            ...
            match src=ping.KlogEntity { grant () }
            ...
            }
        match method=Attach {
            ...
            match src=ping.KlogEntity { grant () }
            ...
            }
        match method=Exit {
            ...
            match src=ping.KlogEntity { grant () }
            ...
            }
        match method=GetSchedPolicy {
            ...
            match src=ping.KlogEntity { grant () }
            ...
            }
        match method=SetSchedPolicy {
            ...
            match src=ping.KlogEntity { grant () }
            ...
            }
    }
    match endpoint=hal.HAL {
        match method=GetEntropy {
            ...
            match src=ping.KlogEntity { grant () }
            ...
            }
        match method=DebugWrite {
            ...
            match src=ping.KlogEntity { grant () }
            ...
            }
        match method=GetEnv {
            ...
            match src=ping.KlogEntity { grant () }
            ...
            }
    }
    match endpoint=handle.Handle {
        match method=Close {
            ...
            match src=ping.KlogEntity { grant () }
            ...
            }
    }
    match endpoint=audit.Audit {
        match src=ping.KlogEntity { grant () }
        }
}

response src=kl.core.Core {
    ...
    match dst=ping.KlogEntity { grant () }
    ...
}

error src=kl.core.Core {
    ...
    match dst=ping.KlogEntity { grant () }
    ...
}
...

В начало

Пример включения в решение системной программы KlogStorage, направляющей данные аудита в стандартный вывод ошибок

Исходный код программы

klog_storage/src/klog_storage_entity.c

#include <klog_storage/server.h>
#include <ping/KlogStorageEntity.edl.h>
#include <stdio.h>

/* Определение типа данных для фиктивного контекста.
 * Требуется для определения функций, реализующих
 * интерфейсные методы, и настройки диспетчера. */
struct Context
{
    int some_data;
};

/* Определение функции, направляющей данные аудита в стандартный
 * вывод ошибок. (Параметр ctx не требуется использовать, но параметр
 * типа void* должен быть первым параметром в сигнатуре функции, чтобы
 * соответствовать типу указателя, который используется диспетчером
 * для вызова этой функции.) */
static int _write(struct Context *ctx, const struct kl_KlogStorage_Entry *entry)
{
    fprintf(stderr, "%s\n", entry->msg);
    return 0;
}

/* Определение фиктивной функции чтения данных аудита.
 * (Требуется для настройки диспетчера, чтобы избежать ошибки,
 * если будет вызван интерфейсный метод чтения данных аудита.) */
static int _read_range(struct Context *ctx, nk_uint64_t first_id,
nk_uint64_t last_id, struct kl_KlogStorage_Entry *entries)
{
    return 0;
}

/* Определение фиктивной функции чтения данных аудита.
 * (Требуется для настройки диспетчера, чтобы избежать ошибки,
 * если будет вызван интерфейсный метод чтения данных аудита.) */
static int _read(struct Context *ctx, nk_uint32_t num_entries,
struct kl_KlogStorage_Entry *entries)
{
    return 0;
}

int main(int argc, char *argv[])
{
    /* Объявление фиктивного контекста */
    static struct Context ctx;

    /* Настройка диспетчера, чтобы при получении от программы Klog
     * IPC-запросов с данными аудита была вызвана функция, направляющая
     * эти данные в стандартный вывод ошибок. (Функции чтения данных аудита
     * и контекст являются фиктивными. Однако можно создать собственные
     * реализации функций _write(), _read() и _read_range() для работы с
     * хранилищем данных аудита. В этом случае контекст может быть
     * использован для хранения состояния хранилища.) */
    struct kl_KlogStorage *iface =
    klog_storage_IKlog_storage_dispatcher(&ctx,
                                          (kl_KlogStorage_write_func)_write,
                                          (kl_KlogStorage_read_func)_read,
                                          (kl_KlogStorage_read_range_func)_read_range);
    struct kl_KlogStorage_component *comp =klog_storage_storage_component(iface);

    /* В результате вызова этой функции будет запущен цикл обработки IPC-запросов.
     * (Константы ping_KlogStorageEntity_klogStorage_iidOffset и
     * ping_KlogStorageEntity_klogStorage_storage_iid определены в заголовочном файле
     * KlogStorageEntity.edl.h, который содержит автоматически сгенерированный
     * транспортный код.) */
    return klog_storage_run(KLOG_STORAGE_SERVER_CONNECTION_ID,
                            ping_KlogStorageEntity_klogStorage_iidOffset,
                            ping_KlogStorageEntity_klogStorage_storage_iid,
                            comp);
}

Сборка программы

klog_storage/CMakeLists.txt

# Импорт библиотек KlogStorage из состава
# KasperskyOS SDK
find_package (klog_storage REQUIRED)
include_directories (${klog_storage_INCLUDE})

# Генерация транспортного кода на основе формальной спецификации
# программы KlogStorage
nk_build_edl_files (klog_storage_edl_files
                    NK_MODULE "ping"
                    # Файл KlogStorageEntity.edl и другие файлы
                    # формальной спецификации программы KlogStorage
                    # поставляются в составе KasperskyOS SDK.
                    EDL "${RESOURCES}/edl/KlogStorageEntity.edl")

# Создание исполняемого файла программы KlogStorage
add_executable (KlogStorageEntity "src/klog_storage_entity.c")
target_link_libraries (KlogStorageEntity ${klog_storage_SERVER_LIB})
add_dependencies (KlogStorageEntity klog_edl_files klog_storage_edl_files)

Словарь процесса программы в шаблоне init-описания

einit/src/init.yaml.in

...
- name: ping.KlogStorageEntity
...

Описание политики для программы

einit/src/security.psl.in

...
use nk.base._
...
use EDL kl.core.Core
...
use EDL ping.KlogEntity
use EDL ping.KlogStorageEntity
...
use audit_profile._
use core._
...
/* Взаимодействие с программой Klog */

request dst=ping.KlogStorageEntity {
    match endpoint=klogStorage.storage {
        match method=write {
            match src=ping.KlogEntity { grant () }
        }
    }
}

response src=ping.KlogStorageEntity {
    match endpoint=klogStorage.storage {
        match method=write {
            match dst=ping.KlogEntity { grant () }
        }
    }
}

error src=ping.KlogStorageEntity {
    match endpoint=klogStorage.storage {
        match method=write {
            match dst=ping.KlogEntity { grant () }
        }
    }
}
...

einit/src/core.psl

...
/* Взаимодействие с ядром */

request dst=kl.core.Core {
    match endpoint=sync.Sync {
        match method=Wake {
            ...
            match src=ping.KlogStorageEntity { grant () }
            ...
            }
        match method=Wait {
            ...
            match src=ping.KlogStorageEntity { grant () }
            ...
            }
    }
    match endpoint=task.Task {
        match method=FreeSelfEnv {
            ...
            match src=ping.KlogStorageEntity { grant () }
            ...
            }
        match method=GetPath {
            ...
            match src=ping.KlogStorageEntity { grant () }
            ...
            }
        match method=GetName {
            ...
            match src=ping.KlogStorageEntity { grant () }
            ...
            }
        match method=Exit {
            ...
            match src=ping.KlogStorageEntity { grant () }
            ...
            }
    }
    match endpoint=vmm.VMM {
        match method=Allocate {
            ...
            match src=ping.KlogStorageEntity { grant () }
            ...
            }
        match method=Commit {
            ...
            match src=ping.KlogStorageEntity { grant () }
            ...
            }
        match method=Protect {
            ...
            match src=ping.KlogStorageEntity { grant () }
            ...
            }
        match method=Free {
            ...
            match src=ping.KlogStorageEntity { grant () }
            ...
            }
    }
    match endpoint=thread.Thread {
        match method=SetTls {
            ...
            match src=ping.KlogStorageEntity { grant () }
            ...
            }
        match method=Create {
            ...
            match src=ping.KlogStorageEntity { grant () }
            ...
            }
        match method=Resume {
            ...
            match src=ping.KlogStorageEntity { grant () }
            ...
            }
    }
    match endpoint=hal.HAL {
        match method=GetEntropy {
            ...
            match src=ping.KlogStorageEntity { grant () }
            ...
            }
        match method=DebugWrite {
            ...
            match src=ping.KlogStorageEntity { grant () }
            ...
            }
        match method=GetEnv {
            ...
            match src=ping.KlogStorageEntity { grant () }
            ...
            }
    }
    match endpoint=handle.Handle {
        match method=Close {
            ...
            match src=ping.KlogStorageEntity { grant () }
            ...
            }
    }
}

response src=kl.core.Core {
    ...
    match dst=ping.KlogStorageEntity { grant () }
    ...
}

error src=kl.core.Core {
    ...
    match dst=ping.KlogStorageEntity { grant () }
    ...
}
...

В начало

Пример включения в решение системной программы KlogStorage, выполняющей запись данных аудита в файл

Исходный код программы

klog_storage/src/klog_storage_entity.c

#include <klog_storage/server.h>
#include <klog_storage/file_storage.h>
#include <ping/KlogStorageEntity.edl.h>

int main(int argc, char *argv[])
{
    /* В результате вызова этой функции будет запущен цикл обработки IPC-запросов.
     * Данные аудита будут записываться в файл /etc/klog_storage.log, который может
     * вместить не более 100 записей. При полном заполнении файла предыдущие
     * записи будут заменяться новыми с начала файла. Если в последнем параметре
     * функции указано значение, отличное от 1, программа KlogStorage при запуске
     * откроет существующий файл и начнет запись данных аудита с той позиции,
     * которая была установлена в файле после предыдущей записи. Если в последнем
     * параметре функции указано значение 1, будет создан новый пустой файл.
     * (Константы ping_KlogStorageEntity_klogStorage_iidOffset и
     * ping_KlogStorageEntity_klogStorage_storage_iid определены в заголовочном
     * файле KlogStorageEntity.edl.h, который содержит автоматически сгенерированный
     * транспортный код.) */
    return klog_storage_file_storage_run(KLOG_STORAGE_SERVER_CONNECTION_ID,
                                         "/etc/klog_storage.log",
                                         ping_KlogStorageEntity_klogStorage_iidOffset,
                                         ping_KlogStorageEntity_klogStorage_storage_iid,
                                         100,
                                         0);
}

Сборка программы

CMake-команды для сборки программы KlogStorage, выполняющей запись данных аудита в файл, отличаются от CMake-команд для сборки версии этой программы, направляющей данные аудита в стандартный вывод ошибок, следующим изменением:

klog_storage/CMakeLists.txt

...
# При создании исполняемого файла программы KlogStorage нужно
# выполнить компоновку с библиотекой klog_storage_file_storage.
target_link_libraries (KlogStorageEntity ${klog_storage_FILE_STORAGE_LIB})
...

Словарь процесса программы в шаблоне init-описания

einit/src/init.yaml.in

...
- name: ping.KlogStorageEntity
  connections:
  - target: file_vfs.FileVfs
    id: {var: _VFS_CONNECTION_ID, include: vfs/defs.h}
...

Описание политики безопасности для программы

Описание политики для программы KlogStorage, выполняющей запись данных аудита в файл, отличается от описания политики для версии этой программы, направляющей данные аудита в стандартный вывод ошибок, следующим дополнением:

einit/src/security.psl.in

...
use EDL file_vfs.FileVfs
...
use vfs._
...

einit/src/vfs.psl

...
/* Взаимодействие с программой VFS */

request dst=file_vfs.FileVfs {
    match src=ping.KlogStorageEntity { grant () }
}

response src=file_vfs.FileVfs {
    match dst=ping.KlogStorageEntity { grant () }
}

error src=file_vfs.FileVfs {
    match dst=ping.KlogStorageEntity { grant () }
}
...

Передача данных аудита другим программам

Чтобы передавать через IPC данные аудита, записанные в файл, программа KlogStorage предоставляет интерфейсные методы read и readRange, определенные в файле sysroot-*-kos/include/kl/KlogStorage.idl из состава KasperskyOS SDK.

Исполняемый файл программы, которой требуется получать данные аудита, должен быть скомпонован с клиентской библиотекой программы KlogStorage:

klog_reader/CMakeLists.txt

# Импорт библиотек KlogStorage из состава
# KasperskyOS SDK
find_package (klog_storage REQUIRED)
include_directories (${klog_storage_INCLUDE})
...
# Создание исполняемого файла программы, которой требуется
# получать данные аудита от программы KlogStorage.
add_executable (KlogReader "src/klog_reader.c")
target_link_libraries (KlogReader ${klog_storage_CLIENT_LIB})
...

Исходный код для получения данных аудита от программы KlogStorage:

klog_reader/src/klog_reader.c

#include <klog_storage/client.h>
...
int main(int argc, char *argv[])
{
...
    struct Klog_storage_ctx *storage = 
    klog_storage_init(KLOG_STORAGE_SERVER_CONNECTION_ID);

    struct kl_KlogStorage_Entry first_entries[10], latest_entries [10];

    /* Чтение десяти первых записей */
    int f_count = klog_storage_read_range(klog_storage_IKlog_storage(storage),
                                          1,
                                          10,
                                          first_entries);

    /* Чтение десяти последних записей */
    int l_count = klog_storage_read(klog_storage_IKlog_storage(storage),
                                    10,
                                    latest_entries);
...
}

В начало