авторефераты диссертаций БЕСПЛАТНАЯ БИБЛИОТЕКА РОССИИ

КОНФЕРЕНЦИИ, КНИГИ, ПОСОБИЯ, НАУЧНЫЕ ИЗДАНИЯ

<< ГЛАВНАЯ
АГРОИНЖЕНЕРИЯ
АСТРОНОМИЯ
БЕЗОПАСНОСТЬ
БИОЛОГИЯ
ЗЕМЛЯ
ИНФОРМАТИКА
ИСКУССТВОВЕДЕНИЕ
ИСТОРИЯ
КУЛЬТУРОЛОГИЯ
МАШИНОСТРОЕНИЕ
МЕДИЦИНА
МЕТАЛЛУРГИЯ
МЕХАНИКА
ПЕДАГОГИКА
ПОЛИТИКА
ПРИБОРОСТРОЕНИЕ
ПРОДОВОЛЬСТВИЕ
ПСИХОЛОГИЯ
РАДИОТЕХНИКА
СЕЛЬСКОЕ ХОЗЯЙСТВО
СОЦИОЛОГИЯ
СТРОИТЕЛЬСТВО
ТЕХНИЧЕСКИЕ НАУКИ
ТРАНСПОРТ
ФАРМАЦЕВТИКА
ФИЗИКА
ФИЗИОЛОГИЯ
ФИЛОЛОГИЯ
ФИЛОСОФИЯ
ХИМИЯ
ЭКОНОМИКА
ЭЛЕКТРОТЕХНИКА
ЭНЕРГЕТИКА
ЮРИСПРУДЕНЦИЯ
ЯЗЫКОЗНАНИЕ
РАЗНОЕ
КОНТАКТЫ


Pages:     | 1 |   ...   | 2 | 3 || 5 | 6 |

«Е.И. ДУХАН, Н.И. СИНАДСКИЙ, Д.А. ХОРЬКОВ ПРИМЕНЕНИЕ ПРОГРАММНО-АППАРАТНЫХ СРЕДСТВ ЗАЩИТЫ КОМПЬЮТЕРНОЙ ИНФОРМАЦИИ Допущено УМО по ...»

-- [ Страница 4 ] --

1. Загрузить образ СЗИ Secret Net 5.0-C и зарегистрироваться в системе поль зователем Администратор, введя пароль, указанный на диске.

2.4.3. Создание учетных записей пользователей В отличие от предыдущих версий СЗИ, создание учетных записей поль зователей в Secret Net 5.0-C осуществляется с использованием стандартной оснастки ОС Microsoft Windows «Управление компьютером», что делает эту работу вполне привычной для администратора. При создании учетных записей необходимо в этом окне выполнить команду Пользователи Новый пользо ватель. В стандартном окне следует ввести имя пользователя и задать для него пароль (рис. 2.24). На вкладке «Общие» рекомендуется установить параметр «Потребовать смену пароля при следующем входе в систему». Затем настроить свойства нового пользователя, вызвав элемент «Свойства» его контекстного меню и выбрав вкладку Secret Net 5.

Рис. 2.24. Добавление учетных записей новых пользователей Рис. 2.25. Вкладка Secret Net Открывающееся окно (рис. 2.25) имеет ряд принадлежащих СЗИ элементов:

«Идентификатор» — подготовка и присвоение пользователю электрон ных идентификаторов;

«Криптоключ» — генерация и «выдача» пользователю криптографиче ского ключа;

«Доступ» — назначение пользователю уровня допуска для организации полномочного управления доступом;

«Сервис» — копирование ключей для управления электронным замком Соболь.

ВЫПОЛНИТЬ!

2. Создать учетные записи пользователей: Клинов, Соколов, Савин, Свалов, Ювченко. Пароли выбрать произвольно.

2.4.4. Реализация дискреционной модели разграничения доступа Дискреционная модель разграничения доступа к файлам и каталогам реа лизуется в СЗИ Secret Net 5.0-C стандартным способом посредством списков доступа ОС Windows 2000/XP/2003 (рис. 2.26).

Рис. 2.26. Редактирование NTFS-разрешений В тоже время списки NTFS-разрешений дополнены средствами разграни чения доступа к дискам и портам. СЗИ позволяет управлять доступом к смен ным накопителям (дисковод, привод CD-ROM), логическим дискам и портам ввода/вывода (COM-, LPT-, USB-портам). Режим управления доступа к дискам и портам по умолчанию работает в мягком режиме (режиме накопления ин формации в журнале). Чтобы перевести его в жесткий режим, необходимо установить параметр «Разграничение доступа к устройствам: Режим работы» (в оснастке Локальные политики безопасности Настройки подсистем) в значение «жесткий» (рис. 2.27).

После включения указанного режима необходимо указать возможность доступа к дискам и портам, изменяя свойства этих устройств в оснастке Ло кальные политики безопасности Устройства (рис. 2.28).

ВЫПОЛНИТЬ!

3. В соответствии с рис. 2.1 создать иерархическую структуру каталогов. Раз граничить права доступа пользователей к созданным каталогам в соответ ствии с табл. 2.2.

4. Группе «Пользователи» разрешить доступ к каталогу «C:\Проекты \Полет\Текстовые документы» и его подкаталогам с правом изменения.

5. Зарегистрироваться пользователем Свалов, убедиться, что для него недо ступен каталог «C:\Экономика», но доступен для пользователя Ювченко.

6. Создать в каталоге «C:\Приказы и распоряжения» пользователем Клинов короткий текстовый файл «Приказ1.txt» с приказом об увольнении Соколо ва. Убедиться, что Соколов сможет прочитать приказ о своем увольнении, но не сможет изменить его.

Рис. 2.27. Включение жесткого режима управления доступом к дискам и портам Рис. 2.28. Предоставление прав доступа к дискам 2.4.5. Реализация мандатной модели разграничения доступа Мандатная модель разграничения доступа в СЗИ Secret Net 5.0-C реали зована посредством назначения защищаемым ресурсам и каждому пользовате лю автоматизированной системы специальных меток конфиденциальности и сравнения их при запросах на доступ. В СЗИ Secret Net 5.0-C мандатная модель разграничения доступа именуется «Полномочное управление доступом». Ман датное управление доступом по умолчанию включено. Однако для предотвра щения утечки информации из конфиденциальных документов (см. требование к защите компьютерной системы, приведенное в п. 1.1), необходимо установить параметр «Полномочное управление доступом: Режим работы» в активное со стояние: «Контроль потоков включен». Данная настройка находится в стан дартной оснастке ОС Windows «Локальные параметры безопасности» (Пуск Программы Secret Net 5), в ней выбрать Параметры безопасности Па раметры Secret Net Настройки подсистем (рис. 2.29).

ВЫПОЛНИТЬ!

7. Включить режим контроля потоков конфиденциальной информации.

Метки конфиденциальности могут быть установлены для логических дисков, каталогов и файлов, находящихся только на разделах с файловой си стемой NTFS. В СЗИ Secret Net 5.0-C используются следующие наименования меток конфиденциальности в порядке их повышения: «Неконфиденциально», «Конфиденциально» (соответствует грифу «Секретно») и «Строго конфиденци ально» (соответствует грифу «Совершенно секретно»). Все ресурсы, созданные до включения режима мандатного принципа управления доступом, имеют мет ку «Неконфиденциально». Для включения наследования меток конфиденци альности при добавлении объектов доступа необходимо в свойствах каталога установить пункт «Автоматически присваивать новым файлам» (рис. 2.30).

Рис. 2.29 Установка режима мандатного принципа управления доступом Рис. 2.30. Установка метки конфиденциальности При назначении пользователем метки конфиденциальности уже суще ствующему каталогу по желанию пользователя в окне, которое автоматически генерируется системой, можно присвоить такой же уровень доступа ко всем вложенным каталогам и файлам (рис. 2.31).

Привилегией засекречивания (повышения метки конфиденциальности) ресурсов обладает любой пользователь в пределах уровня конфиденциальности сессии. Для понижения уровня конфиденциальности ресурсов требуется нали чие привилегии «Управление категориями конфиденциальности», которой це лесообразно наделять только администратора системы.

Рис. 2.31. Назначение меток конфиденциальности вложенным каталогам и файлам Возможность доступа пользователя к конфиденциальному документу определяется установкой уровня допуска для каждого из пользователей на странице «Доступ» вкладки Secret Net 5.0-C окна свойств пользователя (рис.

2.32). По умолчанию для всех пользователей системы установлен уровень до пуска «Неконфиденциально». Правами установки уровня допуска обладает только администратор СЗИ, который в свою очередь может разрешить пользо вателям управление категориями конфиденциальности создаваемых ими объек тов.

Рис. 2.32. Установка уровня допуска ВЫПОЛНИТЬ!

8. Назначить созданным учетным записям пользователей уровни допуска в соответствии с табл. 2.1. Администратору назначить уровень допуска «Строго конфиденциально».

9. Перезагрузить систему. Зарегистрироваться администратором с максималь ным уровнем допуска.

10. Назначить созданным каталогам метки конфиденциальности в соответствии с их названиями. Установить наследование меток конфиденциальности. В каталоге «C:\Проекты\Полет\Текстовые документы\Секретно» создать тек стовый файл. Убедиться в наличии у файла соответствующей метки конфи денциальности.

После назначения меток конфиденциальности работа с конфиденциаль ными файлами организуется в соответствии с рядом правил [29], предназначен ных для защиты информации от утечки (при включенном контроле потоков):

1. Доступ пользователя к файлу разрешается, если уровень конфиденци альности текущего сеанса пользователя не ниже категории конфиденциально сти файла.

2. Пользователь, не имеющий доступ к файлу, может просмотреть со держимое конфиденциального каталога, в котором он находится, но не может открыть файл.

3. Конфиденциальные файлы размещаются в каталогах, имеющих кате горию конфиденциальности не ниже категории конфиденциальности файла.

4. Приложению присваивается уровень конфиденциальности соответ ствующий уровню конфиденциальности текущего сеанса пользователя. Откры вать разрешается только файлы, имеющие уровень конфиденциальности не выше уровня конфиденциальности текущего сеанса. При сохранении отредак тированного содержимого файла с более низким уровнем конфиденциальности его «метка» повышается до уровня конфиденциальности сеанса.

5. Пользователь, не обладающий привилегией «Управление категориями конфиденциальности», может повысить категорию конфиденциальности фай лов не выше уровня конфиденциальности текущего сеанса.

Управление полномочным доступом возможно только при наличии соот ветствующих разрешений доступа на уровне дискреционной модели, которые могут быть назначены администратором системы, например с помощью стан дартных механизмов ОС MS Windows.

ВЫПОЛНИТЬ!

11. Зарегистрироваться в системе пользователем Клинов с низшим уровнем конфиденциальности, просмотреть содержимое созданных каталогов. Все ли каталоги отображаются? Можно ли открыть эти каталоги? Войти в си стему с высшим уровнем конфиденциальности, просмотреть содержимое созданных каталогов еще раз. Содержимое каких каталогов доступно дан ному пользователю?

12. От имени пользователя Клинов с высшим уровнем конфиденциальности, создать короткий текстовый документ «Клинов.txt» и попытаться сохранить его в каталог «C:\Проекты\Полет\Текстовые документы\Несекретно». Полу чилось ли это? Сохранить документ в каталоге «C:\Проекты\ По лет\Текстовые документы\ Секретно». Получилось ли это?

13. Попытаться скопировать содержимое из секретного документа в несекрет ный с использованием команд Правка Копировать и Правка Вста вить. Получилось ли это? Работает ли обратная операция вставки несек ретных сведений в секретный документ?

14. Убедиться в невозможности копирования секретных файлов в несекретный каталог.

15. Зарегистрироваться пользователем Соколов, создать короткий текстовый документ «Соколов.txt» и сохранить его в каталоге «C:\Проекты\ По лет\Текстовые документы\Несекретно». Получилось ли это? Создать еще один текстовый документ «Соколов.txt» и сохранить его в каталоге «C:\Проекты\ Полет\Текстовые документы\Секретно». Получилось ли это?

Почему? Может ли пользователь Соколов получить доступ к содержимому файлов из каталога «Секретно».

Следует отметить, что в СЗИ съемным носителям нельзя присвоить метку конфиденциальности, поэтому наличие даже полного доступа к накопителям не предоставляет пользователю возможности копирования на них конфиденци альных файлов или их фрагментов. Если принятая в организации технология обработки конфиденциальных документов допускает хранение их на съемных носителях, то пользователю дополнительно должно быть установлена привиле гия «Вывод конфиденциальной информации» (рис. 2.32). Хотя такое действие сопровождается выводом окна предупреждения (рис. 2.33) и регистрацией дан ного действия в журнале, оно приводит к неконтролируемым возможностям по копированию конфиденциальных файлов и, следовательно, может быть приме нено лишь в исключительных случаях.

Рис. 2.33. Предупреждение о снижении метки конфиденциальности 2.4.6. Режим замкнутой программной среды Механизм замкнутой программной среды (ЗПС) активизируется в СЗИ Secret Net путем выбора программы «Контроль программ и данных» из меню Пуск Программы Secret Net. При первом запуске окна система предло жит автоматически настроить контролируемые ресурсы, на что потребуется не сколько минут.

ВЫПОЛНИТЬ!

16. Зарегистрироваться администратором с несекретным уровнем допуска. За пустить программу «Контроль программ и данных».

17. Для включения режима «Замкнутая программная среда» установить галочку «Режим ЗПС включен» на закладке Субъекты управления Имя компь ютера Свойства (рис. 2.34) «Режимы (рис. 2.35).

18. Здесь же целесообразно активировать режимы «Проверить целостность мо дулей перед запуском» и «Проверять заголовки модулей перед запуском».

Однако для повышения быстродействия при выполнении работы указанные режимы включать не рекомендуется.

19. Отключить «мягкий» режим.

20. Зарегистрироваться Клиновым, убедиться, что он может пользоваться про граммами «Блокнот» и «Калькулятор», но не может запустить программы офисного пакета.

Рис. 2.34. Программа «Контроль программ и данных»

Теперь всем пользователям может быть назначен индивидуальный список разрешенных к запуску программ. В связи со сложностью перечисления всех исполняемых модулей приложений, которые должны запускаться пользовате лем в сеансе работы, разработчиками СЗИ предлагается включение «мягкого»

режима работы (рис. 2.35).

Рис. 2.35. Включение механизма замкнутой программной среды Рис. 2.36. Автоматический способ создания списка исполняемых модулей приложений Этот режим особенно необходим в период отладочной эксплуатации си стемы, при его включении пользователю разрешается запускать любые прило жения, а в журнале будут фиксироваться все программные модули, которые были запущены.

После анализа журнала администратором будет получен спи сок необходимых пользователю приложений, который и будет являться осно вой для формирования списка разрешенных к запуску исполняемых модулей приложений. Список может быть создан вручную или автоматически. При ав томатическом способе необходимо первый раз запустить «Контроль программ и данных» (рис. 2.36), поставить галочку «Добавить другие задачи из списка», нажать кнопку «0 выбрано» и выбрать необходимые задачи для добавления в ЗПС. Данное действие приведет к формированию списка разрешенных для пользователя исполняемых модулей программ, который теперь может быть мо дифицирован вручную. Одновременно можно создать и список файлов для кон троля целостности (КЦ). Пример списка разрешенных программ приведен на рис. 2.37.

Следует иметь в виду, что режим автоматического добавления исполняе мых модулей в список ЗПС часто добавляет не все возможные приложения. По этому администраторам безопасности можно рекомендовать список разрешен ных к запуску программ создавать вручную. Делается это, например, для ресур сов Documents and Settings, Program Files, WINDOWS и ряда специальных про грамм.

Рис. 2.37. Список разрешенных программ ВЫПОЛНИТЬ!

21. Зарегистрироваться администратором с несекретным уровнем допуска. За пустить программу «Контроль программ и данных». Выбрать пункт Зада ния ЗПС для группы Users (рис. 2.39).

22. Выбрать пункт Добавить задачи/группы Новую группу по каталогу.

Указать каталог «C:\Program Files».

23. Зарегистрироваться пользователем Клинов, убедиться, что теперь он может запускать программы офисного пакета.

Механизм замкнутой программной среды (ЗПС) надежно защищает си стему от запуска пользователем несанкционированных приложений. Так, в слу чае несанкционированного создания пользователем исполняемого файла в раз решенном каталоге, например в папке «C:\Windows», он не будет входить в список ЗПС. Подменить исполняемый файл, разрешенный к запуску, невоз можно, так как для каждого исполняемого модуля из списка ЗПС вычисляется контрольный эталон по одному из пяти алгоритмов (CRC7, ЭЦП, хэш, ими товставка, полное совпадение).

Рис. 2.38. Добавление разрешенных программ для групп пользователей 2.4.7. Контроль целостности СЗИ Secret Net 5.0-C включает в свой состав подсистему проверки це лостности, позволяющую осуществлять КЦ файлов, каталогов, ключей реестра и их значений. По каждому из объектов может быть задан один из четырех ти пов контроля: сравнение содержимого объекта, атрибутов объекта, прав досту па, существование объекта. Алгоритмами проверки содержимого могут быть:

сравнение содержимого, алгоритм CRC7, имитовставка по ГОСТ 28147–89, электронно-цифровая подпись по ГОСТ Р 34.10–94, хэш-функция.

При нарушении целостности в СЗИ предусмотрена реакция в виде реги страции события в журнале, блокировки компьютера, восстановления исходно го контролируемого параметра из эталона либо пересчета контрольного значе ния. КЦ может выполняться при загрузке ОС, при регистрации пользователя, при выходе пользователя либо по специально заданному расписанию. Добавле ние задания на КЦ производится в программе «Контроль программ и данных»

автоматически или вручную, аналогично созданию списка ЗПС: Контроль про грамм и данных Задания Задания на КЦ по умолчанию Свойства за дания на КЦ. В окне «расписание» (рис. 2.39) можно настроить расписание пе риодического автоматического выполнения КЦ. Для выбранных объектов КЦ может выполняться также при загрузке операционной системы, при логическом входе пользователя в систему или при выходе пользователя из нее.

Рис. 2.39. Настройка контроля целостности в СЗИ Secret Net 5.0-C Рис. 2.40. Создание задания контроля целостности ВЫПОЛНИТЬ!

24. Зарегистрироваться администратором, создать в каталоге «C:\База данных»

короткий текстовый файл «DB.txt». Настроить КЦ этого файла с указанием контроля содержимого объекта по алгоритму ГОСТ Р 34.11–94 с регистра цией в журнале безопасности и блокировкой компьютера (рис. 2.40). Ука зать проведение контроля при входе.

25. Изменить содержимое файла «DB.txt». Завершить сеанс работы админи стратора. Можно ли зарегистрироваться иным пользователем, кроме адми нистратора?

26. Выполнить пересчет эталонов контролируемых параметров ресурса «DB.txt».

27. Войти в систему пользователем Клинов, убедиться в отсутствии сообщения о нарушении КЦ.

2.4.8. Регистрация событий СЗИ Secret Net 5.0-C для регистрации событий использует стандартные средства, присутствующие в ОС Windows, дополняя их возможностью реги страции ряда специальных событий. Важной особенностью реализации меха низма регистрации событий является возможность использования как общего для всех пользователей перечня регистрируемых событий, так и персонального перечня, составляемого индивидуально для каждого пользователя. Настройка политики аудита производится в оснастке Локальные параметры безопасно сти Параметры Secret Net Регистрация событий (рис. 2.41).

Анализ событий безопасности может производиться в стандартном окне «Просмотр событий» ОС Windows или с использованием специального сред ства «Журналы» СЗИ: Пуск Программы Secret Net 5 Журналы. В этом окне (рис. 2.42) доступен просмотр журналов регистрации запуска приложений, системных событий и событий безопасности. Кроме того, имеется специальный журнал Secret Net, в котором регистрируются критически важные для защища емой системы и самого СЗИ события.

ВЫПОЛНИТЬ!

28. Зарегистрироваться администратором и в журнале событий найти событие, связанное нарушением целостности файла «DB.txt».

29. Найти записи, связанные с получением доступа к каталогу «C:\Проекты\Полет\Текстовые документы\Секретно» пользователем Кли нов. Установить фильтр по типу события — «Доступ к конфиденциальному документу» и по имени пользователя — Клинов.

Рис. 2.41. Настройка политики аудита в СЗИ Secret Net 5.0-C Рис. 2.42. Просмотр журналов регистрации событий 2.4.9. Печать штампа СЗИ Secret Net 5.0-C позволяет создавать штамп на конфиденциальных документах, отправляемых на печать при использовании редактора MS Word и таблиц Excel. В процессе печати СЗИ дополняет колонтитулы печатаемого до кумента рядом полей. Перечень заполняемых полей формируется в файле – шаблоне STAMP.RTF, находящемся в каталоге «C:\Program Files\Infosec\ SecretNet5\Client».

Особенностью работы СЗИ Secret Net 5.0-C с конфиденциальными доку ментами программ MS Word и Excel является создание временных технологи ческих файлов в каталоге «C:\Documents and Settings\ %имя_пользователя%\ Local Settings\Temp». В связи с тем, что при открытии конфиденциальных до кументов программа MS Word получает соответствующую метку конфиденци альности, то создаваемые временные файлы также должны получать метки полномочного доступа. В соответствии с правилами полномочного доступа, ка талог «C:\Documents and Settings\% имя_пользователя%\Local Settings\Temp», в котором создаются временные файлы, должен иметь метку конфиденциально сти не ниже открываемых документов. Для этого необходимо в параметре HKLM\SYSTEM\CurrentControlSet\Services\SnMC5xx\Params\SourceRedirect ре естра ОС Windows добавить строку «\Local Settings\Temp».

Работа с конфиденциальными документами в режиме печати должна быть начата с включения параметра «Полномочное управление доступом: Ре жим контроля печати конфиденциальных документов» в оснастке Локальные политики безопасности Настройки подсистем» (рис. 2.43).

Рис. 2.43. Установка параметра «Полномочное управление доступом»

ВЫПОЛНИТЬ!

30. Установить параметр «Полномочное управление доступом: Режим контроля печати конфиденциальных документов».

31. Открыть редактор реестра, в параметре HKEY_LOCAL_MACHINE \SYSTEM\CurrentControlSet\Services\SnMC5xx\Params\SourceRedirect доба вить строку «\Local Settings\Temp».

Если параметр «Полномочное управление доступом: Режим контроля пе чати конфиденциальных документов» установлен и компьютер перезагружен, то нажатием кнопки «Редактировать» (Локальная политика безопасности Параметры Secret Net Настройки подсистем Полномочное управление доступом: Гриф конфиденциальности для Microsoft Word) может быть запу щена программа MS Word в режиме редактирования файла STAMP.RTF. Пе рейдя в режим редактирования колонтитулов, можно изменить содержание штампа, добавив в него требуемые поля (рис. 2.44). В шаблоне предусмотрено два варианта штампа, выбор которых производится в процессе работы с доку ментом при помощи панели инструментов «Грифы Secret Net». Часть полей в штампе заполняется автоматически, а часть требует заполнения пользователем в процессе вывода конфиденциального документа на печать.

Рис. 2.44. Редактирование штампа конфиденциального документа ВЫПОЛНИТЬ!

32. Зарегистрироваться пользователем Клинов с максимальным уровнем кон фиденциальности, создать в каталоге «C:\Проекты\ Полет\Текстовые доку менты\Секретно» документ в формате MS Word.

33. Открыть созданный документ, выбрать «Гриф #2» в списке грифов Secret Net, выполнить предварительный просмотр печати документа.

2.4.10. Гарантированное удаление данных Для включения механизма гарантированного уничтожения данных необ ходимо в оснастке Локальные политики безопасности Параметры Secret Net Настройки подсистем изменить параметры «Затирание данных»: «Ко личество циклов затирания конфиденциальной информации», «Количество циклов затирания на локальных дисках» и «Количество циклов затирания на сменных носителях», указав в них ненулевое значение (рис. 2.45). Количество циклов затирания может варьироваться от 1 до 10.

Рис. 2.45. Установка количества циклов затирания данных ВЫПОЛНИТЬ!

34. Зарегистрироваться Администратором, включить параметры «Затирание данных: Количество циклов затирания конфиденциальной информации», «Затирание данных: Количество циклов затирания на локальных дисках».

35. Зарегистрироваться пользователем Клинов, создать короткий текстовый до кумент в каталоге «Секретно».

36. Зарегистрироваться Администратором, с помощью дискового редактора найти файловую запись созданного документа, отметить номер кластера, в котором хранятся данные.

37. Зарегистрироваться пользователем Клинов, удалить документ без помеще ния его в «Корзину».

38. Зарегистрироваться Администратором, открыть содержимое отмеченного кластера. Отметить изменения, произошедшие в кластере.

2.4.11. Настройка механизма шифрования Являясь комплексной системой защиты компьютерной информации, СЗИ Secret Net 5.0-C позволяет пользователям шифровать данные. В системе ис пользуется классический подход к организации криптозащиты данных, при ко тором информация зашифровывается на основе симметричных ключей, а те в свою очередь — с применением открытых ключей и хранятся в заголовках за шифрованных файлов. Открытые ключи пользователей хранятся в локальной базе данных Secret Net 5.0-C, закрытые ключи — в его персональном иденти фикаторе. Доступ к зашифрованным файлам могут иметь несколько пользова телей, если их заголовок содержит ключ шифрования данных, зашифрованный несколькими персональными ключами.

В системе Secret Net 5.0-C управление шифрованием файлов и доступ к зашифрованным файлам осуществляются на уровне каталогов. Зашифрованные файлы располагаются только в шифрованных каталогах. Шифрованные катало ги могут содержать нешифрованные файлы и подкаталоги. Для пользователей, обладающих доступом к зашифрованным файлам, подсистема автоматически (на лету) расшифровывает содержимое зашифрованного файла при его чтении и автоматически зашифровывает содержимое файла при его сохранении. Рас шифрование файла, находящегося в шифрованном каталоге, переводит его в открытое состояние, оставляя в том же каталоге. Расшифрование каталога пе реводит в открытое состояние все находящиеся в нем зашифрованные файлы.

Пользователь, не имеющий доступа к шифрованному каталогу, может только просматривать его содержимое. Порядок работы с нешифрованными файлами, находящимися в таком каталоге, не отличается от обычного порядка работы с открытым каталогом. При этом пользователь не имеет доступа к со держимому зашифрованных файлов в каталоге и не может копировать, пере мещать и удалять зашифрованные файлы.

Пользователи, имеющие доступ к шифрованному каталогу, получают разные права в зависимости от той роли, которую они играют в системе:

роль владельца ресурса, которым является пользователь, создавший шифрованный каталог (создавать шифрованные каталоги может пользователь, обладающий на данном компьютере привилегией «Создание шифрованного ре сурса»);

роль пользователя ресурса, имеющего право доступа к зашифрованным файлам чужого шифрованного каталога.

Для того чтобы пользователи компьютера могли защищать свои файлы, используя механизм шифрования, и имели возможность работать с зашифро ванными файлами других пользователей, администратор безопасности должен выполнить в системе следующие настройки:

предоставить пользователям привилегию на создание шифрованных ресурсов;

присвоить пользователям персональные идентификаторы;

выдать пользователям криптографические ключи;

настроить параметры смены криптографических ключей;

настроить регистрацию событий, связанных с работой механизма шиф рования.

После выполнения указанных процедур необходимо довести до сведения пользователей порядок работы с зашифрованными ресурсами.

В Secret Net 5.0-C используются две привилегии, связанные с шифрова нием файлов. Привилегия «Создание шифрованного ресурса» позволяет созда вать каталоги для хранения зашифрованных файлов. После установки Secret Net 5.0-C эта привилегия по умолчанию предоставляется двум стандартным группам пользователей: «Администраторы» и «Пользователи». Привилегия «Удаление шифрованного ресурса при отсутствии ключа» позволяет удалять зашифрованные файлы и каталоги без их расшифрования и по умолчанию предоставляется группе «Администраторы».

Предоставление привилегий осуществляется в оснастке Локальная по литика безопасности Параметры Secret Net «Привилегии. При этом в правой части окна появится список привилегий Secret Net 5.0-C. Здесь необхо димо вызвать контекстное меню для строки «Шифрование файлов: Создание шифрованного ресурса», выбрать в нем команду «Свойства» и добавить поль зователей, которым необходимо разрешить шифрование данных (рис. 2.46). Та ким же образом следует поступить с привилегией «Удаление шифрованного ре сурса при отсутствии ключа».

Персональный идентификатор — отдельное аппаратное устройство, предназначенное для хранения как персональных данных, которые необходимы для идентификации и аутентификации пользователя, так и криптографических ключей пользователя. Для хранения криптографических ключей также могут использоваться сменные носители (дискеты, Flash-карты, USB Flash накопители и т. п.).

Рис. 2.46. Предоставление пользователям привилегий шифрования Персональный идентификатор выдается пользователю компьютера адми нистратором безопасности. Идентификаторы должны быть присвоены и выда ны каждому пользователю, работающему с шифрованными ресурсами. Один и тот же персональный идентификатор не может быть выдан нескольким пользо вателям. В то же время администратор может выдать пользователю несколько персональных идентификаторов для работы на одном или нескольких компью терах с установленной системой Secret Net 5.0-C.

Работа с персональными идентификаторами осуществляется из окна настройки свойств пользователя на вкладке Secret Net 5.0-C в режиме «Иденти фикатор» и предполагает выполнение следующих операций:

просмотр сведений об идентификаторах;

инициализация идентификатора;

присвоение идентификатора;

отмена присвоения идентификатора;

включение (отключение) режима хранения пароля в идентификаторе;

включение (отключение) режима интеграции с программно аппаратным комплексом Соболь;

запись (удаление) закрытых ключей;

проверка принадлежности.

Все основные операции с персональными идентификаторами, за исклю чением инициализации и проверки принадлежности, выполняются примени тельно к конкретному пользователю (рис. 2.47).

Рис. 2.47. Инициализация персонального идентификатора При первом обращении к диску-идентификатору в окне «Предъявите идентификатор» происходит подготовка к размещению на нем персональных данных (в частности, форматирование дискеты). При повторном — появляется запрос на присвоение персонального идентификатора, где следует выбрать тре буемые поля «Включить режим хранения пароля» и «Записать в идентификатор закрытый ключ пользователя». Если идентификатор предполагается использо вать только для организации криптографической защиты, то следует активизи ровать только последнее поле. При нажатии клавиши «Далее» система инициа лизирует соответствующему пользователю персональный ключ и поместит его в идентификатор (рис. 2.48). Информация о присвоенных идентификаторах бу дет теперь отображаться в окне настройки свойств пользователя на вкладке Secret Net 5.0-C.

Рис. 2.48. Запись закрытого ключа пользователя в персональный идентификатор Для проведения аудита, связанного с работой механизма шифрования, необходимо выполнить настройку регистрации событий. Для этого следует ука зать, какие события категории «Шифрование файлов» должны регистрировать ся в журнале безопасности Secret Net 5.0-C (рис. 2.49).

Выполнение различных операций с зашифрованными ресурсами можно осуществлять только после того, как в систему будут загружены пользователь ские ключи. Для чего необходимо вызвать контекстное меню пиктограммы Secret Net 5.0-C, находящееся в системной области панели задач Windows, и ак тивировать команду «Загрузить ключи» (рис. 2.50). В диалоговом окне «Загруз ка ключей» отображается список идентификаторов, предъявленных системе в данный момент. Наименование идентификатора включает в себя тип иденти фикатора и его серийный номер. При разрыве контакта между считывающим устройством и персональным идентификатором соответствующая идентифика тору строка удаляется из списка.

При использовании в качестве идентификаторов iButton или eToken воз можные действия пользователя и реакция на них системы зависят от состояния выключателя «Использовать первый предъявленный идентификатор». Если по ле выключателя содержит соответствующую отметку, то после предъявления персонального идентификатора произойдет чтение ключевой информации из этого идентификатора в память компьютера.

Рис. 2.49. Настройка регистрации событий шифрования данных Если одновременно предъявлено более одного идентификатора, то ука занное выше действие с ключевой информацией будет выполнено для одного из них. Если поле выключателя не содержит отметки, то после предъявления персонального идентификатора в списке идентификаторов отображается наименование персонального идентификатора. При этом чтение ключевой ин формации не выполняется. Для ее чтения следует, не разрывая контакт между считывающим устройством и персональным идентификатором, выбрать в спис ке нужную строку и нажать кнопку «ОК». Если в систему загружены ключи, то пиктограмма Secret Net 5.0-C дополняется знаком замка, а во всплывающем окне появляется краткая информация о загруженных ключах.

Рис. 2.50. Загрузка криптографических ключей пользователей В системе Secret Net 5.0-C под созданием шифрованного каталога подра зумевается включение режима шифрования файлов в этом каталоге, который должен уже существовать в файловой системе. Включать режим шифрования имеют право пользователи, обладающие привилегией «Создание шифрованно го ресурса», которая предоставляется администратором. Включение режима шифрования осуществляется в окне «Secret Net» свойств выбранного каталога в поле «Шифровать содержимое папки» (рис. 2.51). После чего в списке пользо вателей, которым разрешен доступ к шифрованному каталогу, появится строка с именем текущего пользователя. При необходимости список пользователей может быть отредактирован. Если рабочий каталог уже содержит подкаталоги и файлы, на экране появится диалог, позволяющий зашифровать имеющиеся в каталоге объекты.

ВЫПОЛНИТЬ!

При выполнении практических заданий в качестве сменных носителей информации (идентификаторов) следует использовать электронные образы дискет, хранящиеся в одном каталоге вместе с образом самой системы в виде файлов с именем «дискета» и «дискета_1». Дискеты-идентификаторы рекомен дуется назначить различным пользователям системы, например, администрато ру (Чистякову) и руководителю предприятия (Клинову). При смене пользова теля в программе VMware необходимо монтировать соответствующий образ дискеты.

39. Зарегистрироваться Администратором, создать в корне диска с:\ каталог с именем «Зашифрованные данные», в каталоге создать несколько текстовых документов. К каталогу разрешить полный доступ всем пользователям си стемы.

Рис. 2.51. Создание шифрованного каталога 40. В свойствах пользователя Клинов инициировать и присвоить электронный идентификатор (дискету), назначить пользователю закрытый ключ шифро вания. Поместить ключ на дискету.

41. Зарегистрироваться пользователем Клинов с минимальным уровнем допус ка, загрузить ключ активного пользователя в систему.

42. От имени пользователя Клинов «создать» зашифрованный каталог «Зашиф рованные данные», включив поле «Зашифровать существующие в каталоге файлы». Создать в каталоге файл, убедиться, что он помечен как зашифро ванный.

43. Зарегистрироваться Администратором, убедиться, что доступ к зашифро ванным файлам не возможен. Просмотреть журнал регистрации событий.

44. Подмонтировать к системе VMware образ следующей дискеты, назначить ее в качестве идентификатора администратора и записать на нее закрытый ключ администратора.

45. Зарегистрироваться Клиновым. В окне «Secret Net» свойств зашифрованно го каталога разрешить доступ к зашифрованному каталогу администратору системы. Убедиться в возможности доступа.

2.5. Программно-аппаратный комплекс Соболь 2.5.1. Общие сведения СЗИ Соболь (версия 2.1, разработчик ЗАО НИП «Информзащита») пред ставляет собой программно-аппаратный комплекс, состоящий из платы расши рения, устанавливаемой в PCI-слот, и набора программного обеспечения для настройки и функционирования комплекса. СЗИ дает возможность:

регистрации пользователей и назначения им персональных идентифи каторов и паролей для входа в систему;

идентификации и аутентификации пользователей при их входе в си стему;

управления такими параметрами процедуры идентификации пользова теля, как число неудачных попыток входа, ограничение времени на вход в си стему и др.;

регистрации событий, имеющих отношение к безопасности системы;

контроля целостности файлов на жестком диске;

контроля целостности физических секторов жесткого диска;

защиты от несанкционированной загрузки операционной системы со съемных носителей — дискет, CD-ROM, ZIP-устройств, магнитооптических дисков, USB-устройств и др.;

блокировки компьютера при условии, что после включения компьюте ра управление не передано расширению BIOS комплекса Соболь;

диагностики состояния основных компонентов комплекса;

совместной работы с СЗИ Secret Net.

2.5.2. Установка системы защиты Установка СЗИ Соболь осуществляется в два этапа. На первом этапе — инсталляция программного обеспечения в ОС Windows (программа setup.exe).

Программа установки регистрирует в системе драйвер платы комплекса Со боль, формирует шаблоны контроля целостности и программу для их редакти рования.

Вторым этапом установки СЗИ является инициализация комплекса, в хо де которой очищается содержимое перезаписываемой памяти платы. Для этого необходимо перевести комплекс в режим инициализации, сняв перемычки, установленные на разъемах платы J0-J1.

Далее следует выбрать свободный слот системной шины PCI и, соблюдая меры безопасности, вставить в него плату комплекса Соболь, подключив счи тыватели. После включения питания компьютера на экране появится окно ре жима инициализации, в меню следует выбрать пункт «Инициализация платы».

После чего будет открыто окно «Общие параметры системы», подробное опи сание элементов которого приводится в документации. В учебных целях реко мендуется оставить предлагаемые параметры в значениях по умолчанию.

Рис. 2.52. Расположение разъемов на плате комплекса Соболь Рис. 2.53. Режим инициализации Далее выполняется процедура регистрации администратора, в ходе кото рой ему назначается пароль для входа в систему (по умолчанию минимальная длина пароля составляет 8 символов) и присваивается персональный иден тификатор (использовать один из прилагаемых ключевых носителей iButton).

При выполнении задания рекомендуется провести процедуру регистрации в ва рианте «Первичная регистрация администратора», при выполнении которой персональный идентификатор администратора очищается, в него записывается новая служебная информация.

После регистрации администратора осуществляется процедура расчета контрольных сумм файлов, находящихся в каталоге C:\Sobol.

На этом этап инициализации завершается, и плату следует перевести в ре жим эксплуатации. Для этого, выключив компьютер и соблюдая меры безопас ности, следует восстановить перемычки, установленные на разъемах платы J0 J1.

ВЫПОЛНИТЬ!

1. Выполнить процедуру установки системы защиты.

Далее работа комплекса осуществляется в режиме эксплуатации, в кото ром необходимо настроить общие параметры комплекса, параметры работы вновь зарегистрированных пользователей и подсистему контроля целостности.

Все действия, выполняемые администратором при настройке и эксплуатации комплекса Соболь, осуществляются из специального меню, доступного после регистрации администратора.

Рис. 2.54. Меню администрирования ВЫПОЛНИТЬ!

2. Зарегистрироваться в системе Администратором, войти в меню администрирования.

2.5.3. Создание пользователей Для создания пользователей следует выбрать пункт «Список пользова телей», который сначала будет пуст. Для добавления используется клавиша Insert. Следует задать имя, пароль и идентификатор пользователя. В учебных целях рекомендуется выполнить первичную регистрацию пользователя с очисткой идентификатора.

После создания можно настроить основные параметры пользователя: ре жим контроля целостности (мягкий или жесткий), запрет загрузки с внешних носителей, запрет смены пароля, ограничение срока действия пароля (при на личии идентификатора типа DS1994).

ВЫПОЛНИТЬ!

3. Создать пользователя Клинов, назначив ему второй из имеющихся ключей iButton.

Рис. 2.55. Работа с пользователями 2.5.4. Контроль целостности Подсистема контроля целостности СЗИ Соболь позволяет контролиро вать неизменность файлов и секторов жесткого диска. Для этого по алгоритму ГОСТ 28147-89 в режиме имитовставки вычисляются контрольные значения проверяемых объектов и сравниваются с ранее рассчитанными для каждого из этих объектов эталонными значениями. Эталонные значения контрольных сумм хранятся в файлах заданий на контроль целостности.

Задания на КЦ содержат полный путь к контролируемым файлам, коор динаты контролируемых секторов и значения контрольных сумм для каждого файла или сектора. Для редактирования заданий служит «Программа подготов ки шаблонов для КЦ», работающая в интерфейсе операционной системы.

По умолчанию в ОС Windows в шаблоны для КЦ включаются:

файлы Ntldr, Boot.ini, Ntdetect.com из корневого каталога системного диска;

все файлы подкаталогов System32 и Drivers из каталога ОС Windows, имеющие расширения *.sys, *.drv;

секторы Master Boot Record, Boot Sector, Partition Table.

Подсистема КЦ может функционировать в двух режимах: «жестком» и «мягком». Режим работы может быть установлен администратором для каждо го пользователя компьютера.

Для добавления файлов, целостность которых необходимо контролиро вать, следует запустить «Программу подготовки шаблонов для КЦ» и в диалоге «Файлы» выбрать файлы, подлежащие контролю.

После корректировки шаблонов для КЦ заново рассчитываются эталон ные значения контрольных сумм. Для этого, перезагрузив компьютер и войдя в систему как администратор, необходимо в меню выбрать команду «Расчет кон трольных сумм».

ВЫПОЛНИТЬ!

4. Зарегистрировавшись Администратором, создать в корневом каталоге диска «C:\» текстовый файл «system.txt». Настроить контроль целостности этого файла. Затем загрузить операционную систему, изменить содержимое файла и еще раз перезагрузить компьютер. Попытаться зарегистрироваться пользователем Клинов. Удалось ли это? Зарегистрироваться Администратором, пересчитать контрольную сумму файла «C:\system.txt» и продолжить загрузку.

5. Зарегистрироваться Администратором, в меню выбрать команду «Журнал регистрации событий» и найти события, которые были зарегистрированы в ходе сеанса пользователя Клинов. Найти записи, свидетельствующие о нарушении целостности файлов.

2.6. Программно-аппаратный комплекс защиты информации от несанкционированного доступа Аккорд-NT/ 2.6.1. Общие сведения СЗИ Аккорд-NT/2000 (разработчик «ОКБ САПР») представляет собой программно-аппаратный комплекс, состоящий из платы расширения (аппарат ного модуля доверенной загрузки — АМДЗ), устанавливаемой в PCI-слот, и набора программного обеспечения для настройки и функционирования ком плекса. СЗИ обеспечивает:

организацию доверенной загрузки с идентификацией пользователей по электронным ключам Touch Memory;

мандатный контроль доступа на основе меток конфиденциальности пользователей, защищаемых ресурсов и прикладных программ;

создание для пользователей режима замкнутой программной среды;

контроль потоков защищаемой информации;

контроль целостности аппаратных средств ПЭВМ, служебных областей диска и заданных администратором файлов;

очистку освобождаемого дискового пространства и оперативной памяти;

аудит доступа к защищаемым ресурсам.

2.6.2. Установка системы защиты Установка СЗИ Аккорд-NT/2000 осуществляется в два этапа. В начале необходимо очистить содержимое перезаписываемой памяти платы аппаратно го модуля доверенной загрузки, для чего плата переводится в специальный ре жим отсоединением перемычки, роль которой выполняет задняя панель платы (нужно отвернуть два винта, а затем снять перемычку). Затем плату надо уста новить в PCI-слот ПЭВМ, загрузиться с DOS-дискеты или диска и запустить программу ip5.exe с дискеты, входящей в комплект СЗИ. Будет произведена очистка памяти модуля. После этого следует вернуть СЗИ в штатный режим, установив снятую ранее перемычку. В результате появится возможность за грузки компьютера и СЗИ в режиме настройки без предъявления идентифика тора. После загрузки в открывшемся меню выбирается пункт «Администриро вание». В запустившейся программе администрирования нужно задать иденти фикатор администратора безопасности и его пароль (по умолчанию минималь ная длина пароля составляет 8 символов, и он должен содержать хотя бы одну букву). Перед тем, как продолжать установку СЗИ, стоит убедиться, что настройки контроля целостности по умолчанию позволяют пользователям заре гистрироваться в системе. Для проверки этого перезагрузить компьютер при помощи кнопки «Reset». Если после регистрации пользователя появятся сооб щения об ошибках, то следует запустить программу «Администрирование» и отключить контроль целостности объектов, которые изменяются при выключе нии компьютера (это могут быть определенные области системного BIOS).

Чтобы сделать это, в программе нужно выбрать пункт меню Контр Аппа ратура, найти, какие данные были модифицированы (отображаются другим цветом), пересчитать их контрольную сумму (Alt+U), отключить контроль целостности (Пробел) и повторно пересчитать контрольную сумму. После этого можно выйти из программы и перезагрузить компьютер (желательно вос пользоваться кнопкой «Reset», чтобы убедиться в действенности сделанных настроек).

Вторым этапом установки СЗИ является инсталляция программного обеспечения в ОС Windows, а также драйвера платы модуля доверенной загруз ки. В первую очередь устанавливается драйвер, его можно найти на дискете, входящей в комплект СЗИ (каталог «DRV\WINDOWS» дискеты, на которой находится программа ip5.exe). Далее необходимо установить программное обеспечение с CD-ROM (программа setup.exe) и перезагрузить компьютер.

После завершения установки программного обеспечения в главном меню пользователя появится группа программ «Аккорд-NT». Чтобы активировать защитные механизмы СЗИ, необходимо сначала запустить программу «Редак тор прав доступа» и синхронизировать базу данных пользователей АМДЗ с ба зой, хранящейся на жестком диске ПЭВМ в каталоге «C:\Accord.NT». Затем — программу «Настройка комплекса Аккорд-NT» (рис. 2.56) и выполнить в ней команду меню Команды Инсталляция. Включение механизмов дискреци онного и мандатного разграничения доступа производится установкой соответ ствующих отметок в диалоговом окне программы.

Отметка «Спрашивать разрешение» используется только для отладки си стемы, поэтому ее нужно выключить сразу после того, как будет проверена ра ботоспособность системы и сделаны все настройки.

Рис. 2.56. Программа «Настройка комплекса Аккорд-NT/2000»

2.6.3. Запуск и регистрация в системе защиты После установки системы регистрация в ней производится следующим образом. В ходе процедуры POST обнаруживается ПЗУ устройств, установлен ных в слоты расширения. АМДЗ содержит ПЗУ, в котором хранится код проце дуры доверенной загрузки, включающий процедуру идентификации и аутенти фикации пользователя КС. Таким образом, запуск операционной системы про исходит лишь после успешной аутентификации пользователя, а загрузка ком пьютера с внешнего носителя становится невозможной. Важно подчеркнуть, что во всех СЗИ, рассматриваемых ранее (кроме СЗИ Соболь), программный код процедуры доверенной загрузки был записан в MBR диска, поэтому требо валось вносить дополнительные настройки в BIOS компьютера, чтобы отклю чить загрузку с внешних носителей. В Аккорд-NT/2000 таких настроек делать не требуется. Однако, как и в случае с остальными СЗИ, желательно включить защиту BIOS при помощи пароля, чтобы пользователи не могли модифициро вать настройки BIOS.

2.6.4. Создание пользователей СЗИ Аккорд-NT/2000 предлагает два способа создания пользователей.

Во-первых, при помощи программы «Администрирование» (рис. 2.57). Чтобы запустить ее, администратор безопасности после прохождения процедуры начальной аутентификации (при старте системы) должен выбрать соответству ющий пункт меню. Создание и удаление пользователей производится в диало говом окне, которое открывается командой меню Польз.

Во-вторых, пользователей можно создавать в программе «Редактор прав доступа». Общий вид диалогового окна этой программы показан на рис. 2.58.

Чтобы создать пользователя или группу пользователей, необходимо выполнить команду меню Команды Создать. В случае создания пользователя надо предварительно выделить группу, в которую его следует включить. По умолча нию в системе присутствуют две группы пользователей: «Администраторы» и «Обычные». После того как пользователь будет создан, ему необходимо при своить идентификатор и задать пароль. Для этого надо щелкнуть на значке с тремя точками справа от поля «TM-идентификатор» и в открывшемся диалого вом окне выбрать пункт «Сгенерировать».

СЗИ Аккорд-NT/2000 позволяет ограничивать время работы пользовате лей в системе. Диалоговое окно, в котором делаются соответствующие настройки (рис. 2.59), открывается нажатием значка с тремя точками справа от поля «Временные ограничения».

ВЫПОЛНИТЬ!

1. Создать пользователей Клинов и Ювченко, присвоить им персональные идентификаторы и задать пароли (выбрать произвольно с учетом требова ний сложности).

2. Ограничить время доступа пользователей в систему.

Рис. 2.57. Программа «Администрирование»

Рис. 2.58. Редактор прав доступа Рис. 2.59. Настройка временных ограничений работы пользователей 2.6.5. Реализация мандатной модели разграничения доступа Как и в ранее рассмотренных СЗИ, мандатная модель разграничения до ступа в Аккорд-NT/2000 реализована посредством назначения защищаемым ре сурсам, пользователям и процессам меток конфиденциальности и сравнения их при запросах на доступ. Включение механизма мандатного разграничения до ступа производится в программе «Настройка комплекса Аккорд-NT». Там же включается механизм ограничения доступа пользовательских процессов к кон фиденциальной информации (см. рис. 2.56).

Метки конфиденциальности могут быть установлены для любых объек тов файловой системы (в том числе дисководов гибких магнитных и компакт дисков), а также для разделов и ключей реестра ОС Windows. По умолчанию используются следующие наименования меток конфиденциальности в порядке повышения: «Общедоступно», «Для бухгалтерии», «Конфиденциально (соот ветствует «ДСП»), «Секретно» и «Совершенно секретно». Изменить наимено вания меток конфиденциальности можно в программе «Настройка комплекса Аккорд-NT» (команда меню Параметры Категории доступа).


Все операции, связанные с назначением меток конфиденциальности объ ектам и присвоением уровней допуска пользователям, производятся в програм ме «Редактор прав доступа» (рис. 2.58). Чтобы присвоить выделенному пользо вателю уровень допуска, нужно выполнить команду меню Команды Уро вень доступа и в открывшемся диалоговом окне выбрать требуемый уровень.

Присвоение ресурсам меток конфиденциальности осуществляется в диалоговом окне «Установка уровней мандатного доступа» (рис. 2.60), которое открывается командой меню Команды Мандатный доступ. Для присвоения метки кон фиденциальности ресурсу его необходимо добавить в список, указав соответ ствующий уровень допуска. При добавлении в список каталога существует возможность выбрать, будут ли наследоваться метки конфиденциальности под каталогами и файлами этого каталога.

Рис. 2.60. Присвоение ресурсам меток конфиденциальности Рис. 2.61. Присвоение меток конфиденциальности процессам Для каждого пользователя есть список процессов и соответствующих им уровней допуска, что позволяет ограничить доступ приложений к конфиденци альным данным. Чтобы просмотреть или изменить этот список, нужно в окне «Редактор прав доступа» щелкнуть на значке с тремя точками справа от поля «Доступ к объектам» и выбрать вкладку «Процессы» в открывшемся диалого вом окне (рис. 2.61).

Таким образом, доступ к ресурсу будет получен только в том случае, если пользователь имеет уровень допуска больше или равный значению метки кон фиденциальности этого ресурса. Кроме того, при обращении проверяется уро вень допуска процесса, который обращается к ресурсу, и если этот уровень меньше значения метки, в доступе будет отказано.

К сожалению, в СЗИ Аккорд-NT/2000 версии 2.0 не реализована защита от записи конфиденциальных данных в несекретные каталоги. То есть суще ствует возможность открыть секретный документ, а затем, воспользовавшись командой меню Файл Сохранить как, сохранить этот документ в любой до ступный каталог. Можно также скопировать файл из секретного каталога в не секретный средствами программы «Проводник» (если при помощи «Проводни ка» разрешено работать с секретными данными).

ВЫПОЛНИТЬ!

3. Назначить созданным учетным записям пользователей уровни допуска в соответствии с табл. 2.1.

4. Создать иерархическую структуру каталогов, как показано на рис. 2.1.

Назначить созданным каталогам метки конфиденциальности в соответствии с их названиями.

5. Установить следующие уровни допуска для приложений пользователя Кли нов: «%SystemRoot%\explorer.exe» — «Секретно», «%SystemRoot%\ sys tem32\notepad.exe» — «Секретно». Для пользователя Ювченко: «%System Root%\explorer.exe» — «Конфиденциально», «%SystemRoot%\system32\ notepad.exe» — «Конфиденциально».

6. Зарегистрироваться в системе пользователем Клинов. Запустив «Провод ник», просмотреть содержимое созданных каталогов. Все ли каталоги отоб ражаются?

7. При помощи редактора «Блокнот» создать короткий текстовый документ «Клинов_секр.txt» и сохранить его в каталоге «C:\Проекты\Полет\ Тексто вые документы \Секретно». Затем создать текстовый документ «Клинов_нс.txt» и сохранить его в каталоге «C:\Проекты\ Полет\Текстовые документы\Несекретно».

8. Попытаться открыть созданные файлы текстовым редактором WordPad. Ка кие файлы открыть не получилось? С чем это связано?

9. Выйти из системы и зарегистрироваться пользователем Ювченко. При по мощи «Проводника» просмотреть содержимое созданных каталогов. Какие каталоги отображаются?

2.6.6. Реализация дискреционной модели разграничения доступа Дискреционная модель разграничения доступа реализована в СЗИ Ак корд-NT/2000 посредством создания списка контроля доступа для пользовате лей и групп пользователей. Чтобы изменить данный список, необходимо в про грамме «Редактор прав доступа» выбрать учетную запись пользователя, а затем щелкнуть на значке с тремя точками справа от поля «Доступ к объектам». Будет открыто диалоговое окно, общий вид которого показан на рис. 2.62. Добавление новой записи (каталога, файла или раздела реестра) производится нажатием кнопки «Новый», выбором требуемого ресурса в диалоговом окне «Атрибуты доступа к объектам» (рис. 2.63) и последующей установкой требуемых разре шений на доступ. Для каталогов и разделов реестра существует возможность включить наследование прав доступа. Чтобы сохранить сделанные изменения, необходимо нажать кнопку «Запись».

Рис. 2.62. Изменение списка контроля доступа пользователя СЗИ позволяет блокировать доступ пользователей к дисководам гибких магнитных и компакт-дисков путем включения соответствующих записей в список контроля доступа, однако разработчиками не предусмотрены средства, которые могли бы предотвратить копирование конфиденциальной информации на съемные носители. Таким образом, если пользователь имеет доступ к кон фиденциальной информации и может пользоваться дисководом (имеет доступ на запись), то он автоматически имеет возможность скопировать на съемный диск любые доступные ему конфиденциальные файлы.

Рис. 2.63. Диалоговое окно «Атрибуты доступа к объектам»

ВЫПОЛНИТЬ!

10. Разграничить права доступа пользователей к созданным каталогам в соот ветствии с табл. 2.2, дополнительно разрешив пользователю Ювченко до ступ на запись к каталогу «C:\Проекты» и его подкаталогам.

11. Создать пользователем Администратор короткий текстовый файл «DB.txt»

и сохранить его в каталоге «C:\База данных». Убедиться, что пользователь Клинов может прочитать, но не может изменить содержимое этого файла.

12. Создать в каталоге «C:\Приказы и распоряжения» пользователем Клинов короткий текстовый файл «Приказ1.txt» с приказом об увольнении Ювчен ко. Убедиться, что Ювченко сможет прочитать приказ о своем увольнении, но не сможет изменить его.

2.6.7. Обеспечение замкнутой программной среды Механизм замкнутой программной среды реализуется в СЗИ Аккорд NT/2000 путем установки для пользователей глобального запрета на запуск программ и разрешения запуска лишь определенных исполняемых файлов. Для настройки системы может быть использован так называемый «мягкий» режим, который заключается в следующем: пользователю разрешается запуск всех ис полняемых файлов, причем факт запуска фиксируется в «Журнале событий».

Администратор безопасности должен проанализировать содержимое журнала, определить, какие программы должны запускаться пользователем и операцион ной системой для нормальной работы, а затем установить разрешение на запуск программ для каталогов или отдельных файлов в списке контроля доступа пользователя (рис. 2.62). Включение «мягкого» режима производится в про грамме «Настройка комплекса Аккорд-NT» в диалоговом окне «Дополнитель ные опции» (рис. 2.64), которое открывается командой меню Параметры Дополнительные опции. Глобальный запрет запуска программ производится снятием отметки «Запуск программ» для всех фиксированных и съемных дис ков («A:\», «C:\», «D:\» и т. д.) в списке контроля доступа пользователя (рис. 2.63). Таким образом, обеспечение замкнутой программной среды реали зуется, как и в СЗИ Dallas Lock, средствами дискреционного разграничения до ступа. Чтобы исключить возможность модификации исполняемых файлов, необходимо следить, чтобы эти файлы не были доступны пользователю на из менение.

Рис. 2.64. Включение «мягкого» режима ВЫПОЛНИТЬ!

13. Зарегистрироваться в системе Администратором, запретить пользователям Клинов и Ювченко запуск программ со съемных и фиксированных носите лей. Разрешить выполнение программ, находящихся в каталоге «%System Root%», запретив их изменение. Включить «мягкий» режим, перезагрузить компьютер и зарегистрироваться пользователем Клинов. Дождаться окон чания загрузки ОС Windows, после чего выйти из системы и зарегистриро ваться Администратором. Запустить программу «Просмотр журнала собы тий» из группы «Аккорд-NT» и открыть предпоследний файл журнала (он содержит сведения о сеансе Клинова). Выяснить, какие каталоги должны быть доступны пользователю на запись, чтобы операционная система могла нормально функционировать, и добавить эти каталоги в списки разграниче ния доступа пользователей (у каталогов, доступных на запись, должно быть снято разрешение на запуск программ). Выключить «мягкий» режим и про верить, смогут ли Клинов и Ювченко загрузить Windows. При возникнове нии ошибок, вновь воспользоваться «мягким» режимом.

14. Проверить, может ли пользователь Клинов запустить «Калькулятор»

(«%SystemRoot%\system32\calc.exe»), либо Internet Explorer («C:\Program Files\Internet Explorer\iexplore.exe»)? Может ли Администратор запустить Internet Explorer?

15. Проверить, имеет ли пользователь Клинов возможность изменить содержи мое каталога «%SystemRoot%\system32».

2.6.8. Контроль целостности КЦ средствами СЗИ Аккорд-NT/2000 может осуществляться на этапе начальной идентификации и аутентификации пользователя, в процессе загрузки ОС либо работы пользователя.

На этапе начальной идентификации может контролироваться целостность следующих категорий объектов:

служебной информации об аппаратуре ПЭВМ;

содержимого BIOS;

служебных областей жесткого диска (главной загрузочной записи и за грузочной записи);

файлов на жестком диске;

ключей реестра ОС Windows.

Чтобы настроить КЦ указанных объектов, необходимо зарегистрировать ся в системе администратором безопасности (пользователем SUPERVISOR в терминологии Аккорд-NT/2000) и выбрать в открывшемся после прохождения процедуры аутентификации меню пункт «Администрирование». Будет запуще на программа, позволяющая управлять настройками СЗИ, в том числе в части КЦ. Выбрать контролируемые ресурсы можно через меню Контр этой про граммы, указав в диалоговом окне (рис. 2.65), проверку целостности каких объ ектов необходимо производить на этапе загрузки. Включение и отключение КЦ отдельных объектов производится нажатием клавиш «+» и «–» соответственно (в нижней части окна расположена подсказка со всеми используемыми клавиа турными сокращениями). По умолчанию выполняется только КЦ аппаратуры компьютера, что позволяет отследить изменения, вносимые в его аппаратную конфигурацию. В случае обнаружения факта нарушения целостности, даль нейшая загрузка компьютера блокируется для всех пользователей, кроме адми нистратора безопасности.


Рис. 2.65. Настройка контроля целостности служебной информации В ПЗУ АМДЗ записана программа, с помощью которой читается боль шинство распространенных файловых систем (FAT12, FAT16, FAT32, NTFS, EXT2FS), следовательно, контролируется целостность отдельных файлов до начала загрузки операционной системы. Это помогает убедиться, например, в неизменности программ-драйверов, которые загружаются до регистрации поль зователя в операционной системе и имеют полный доступ к аппаратуре ПЭВМ.

Кроме того, разработчики СЗИ реализовали функцию чтения файлов реестра ОС Windows, что дает возможность проследить, не были ли модифицированы отдельные его ключи. Следует отметить, что каталоги и файлы с длинными именами отображаются дважды: один раз нормально и один раз с использова нием короткого имени. Чтобы КЦ проходил правильно, необходимо выбирать файлы с короткими именами.

На этапе загрузки ОС и в процессе работы производится КЦ файлов, вы бранных с использованием программы «Редактор прав доступа» (рис. 2.58).

Диалоговое окно, в котором выполняется настройка КЦ, открывается нажатием значка с тремя точками в поле «Контроль целостности». Общий вид этого диа логового окна показан на рис. 2.66.

Диалоговое окно состоит из двух областей: слева отображается содержи мое жесткого диска ПЭВМ, а справа — список контролируемых файлов.

Предусмотрено два вида КЦ: «статический» и «динамический». Для каждого из них существует отдельный список контролируемых файлов, расположенный на соответствующей вкладке. Чтобы добавить файл в список КЦ, необходимо вы брать его, а затем нажать кнопку со стрелкой вправо в центре окна. Кнопка с двумя стрелками предназначена для добавления содержимого целого каталога, а кнопка с тремя стрелками позволяет добавлять файлы по маске. После того как список контролируемых файлов сформирован, следует нажать кнопку «Расчет» для вычисления их контрольной суммы. Для этого потребуется счи тать содержимое персонального идентификатора пользователя.

Рис. 2.66. Настройка контроля целостности файлов Статический КЦ может осуществляться при загрузке ОС и при выходе пользователя из системы. Для исполняемых файлов применим так называемый «динамический» КЦ, который проводится при попытке запуска файла на вы полнение. Если в процессе проверки контрольная сумма файла не совпадает с эталонной, то запуск блокируется. Этот способ можно порекомендовать для проверки целостности приложений, которые запускаются пользователем в ходе работы (текстовый или табличный редактор, САПР, СУБД и пр.).

ВЫПОЛНИТЬ!

16. Зарегистрировавшись Администратором, создать в корневом каталоге диска «C:\» текстовый файл «system.txt». Перезагрузить компьютер, зарегистри роваться Администратором и настроить контроль целостности этого файла.

Затем загрузить операционную систему, изменить содержимое файла и еще раз перезагрузить компьютер. Попытаться зарегистрироваться пользовате лем Клинов. Удалось ли это? Зарегистрироваться Администратором, пере считать контрольную сумму файла «C:\system.txt» и продолжить загрузку.

В программе «Редактор прав доступа» настроить контроль целостности 17.

файла «C:\База данных\DB.txt» при загрузке для пользователя Клинов. Рас считать контрольную сумму, предъявив персональный идентификатор этого пользователя. Изменить содержимое файла, выйти из системы и попытаться зарегистрироваться пользователем Клинов. Удалось ли это? Зарегистриро ваться Администратором и повторно рассчитать контрольную сумму.

Скопировать приложение «Калькулятор» в каталог «C:\Проекты\Полет\ 18.

Текстовые документы\Несекретно» (он доступен на запись всем пользова телям). Настроить динамический контроль целостности этого файла. Заре гистрироваться пользователем Клинов и убедиться, что он может запустить на выполнение указанный файл. Затем подменить этот файл другим, тоже исполняемым (например, файлом «notepad.exe», предварительно переиме новав его). Попытаться запустить полученный в результате файл. Суще ствует ли возможность сделать это?

Зарегистрироваться Администратором, открыть «Журнал событий» и загру 19.

зить предпоследний в списке файл (это события, которые были зарегистри рованы в ходе сеанса пользователя Клинов). Найти записи, свидетельству ющие о нарушении целостности файлов.

Запустить программу «Редактор прав доступа» и отключить контроль це 20.

лостности всех файлов.

2.6.9. Регистрация событий СЗИ Аккорд-NT/2000 использует собственные средства регистрации со бытий. Для каждого сеанса пользователя автоматически создается новый файл журнала, детальность которого можно настроить в программе «Редактор прав доступа» (рис. 2.67). Существуют четыре уровня детальности журнала: «нет», «низкая», «средняя» и «высокая». При включенном уровне «нет» в журнал по падают только события НСД. При уровне «низкий» в журнал дополнительно записываются события запуска исполняемых файлов, при «средней» детализа ции — все операции с файлами, при «высокой» — все события операционной системы. Более подробной настройки категорий регистрируемых событий не предусмотрено.

Журнал открывается из главного меню «Программы» командой Аккорд-NT Просмотр журнала событий. При открытии программа пред лагает выбрать файл журнала. Название файла отражает время регистрации пользователя в системе. Например, файл с именем 20051024120929 соответ ствует 12:09:49 24 августа 2005 года. К сожалению, не открыв файл, нельзя узнать, отчет о сеансе какого пользователя содержится в нем. Общий вид диа логового окна с открытым файлом журнала показан на рис. 2.68.

Рис. 2.67. Настройка детальности журнала регистрации событий Рис. 2.68. Журнал регистрации событий Для выделения интересующих событий предусмотрена система фильтра ции записей журнала. Чтобы включить фильтр, необходимо щелкнуть на заго ловке столбца и в открывшемся диалоговом окне выбрать, по какому критерию будет производиться фильтрация. Фильтры применяются последовательно, каждый раз уточняя список отображаемых событий. Все фильтры отключаются нажатием соответствующей кнопки на панели инструментов в верхней части рабочего окна. Можно также отключать фильтры по столбцам журнала, щелк нув на заголовке столбца и нажав «Снять» в диалоговом окне настройки фильтра.

При необходимости отслеживания доступа пользователя к отдельным ка талогам и файлам есть возможность включить регистрацию событий чтения и записи в диалоговом окне «Атрибуты доступа к объектам» (рис. 2.63).

ВЫПОЛНИТЬ!

21. Перезагрузить компьютер, зарегистрироваться пользователем Клинов, вый ти из системы. Зарегистрироваться пользователем Администратор, открыть файл журнала событий с информацией о сеансе пользователя Клинов. Ка кие категории событий отражены в журнале?

22. Настроить для пользователя Клинов аудит записи в каталог «C:\Приказы и распоряжения», а также аудит чтения и записи в каталог «C:\Проекты».

Выйти Администратором из системы (без перезагрузки), зарегистрировать ся Клиновым. Создать в каталоге «C:\Приказы и распоряжения» файл «Приказ2.txt» с произвольным текстом. Изменить этот файл (открыть в «Блокноте», отредактировать, а затем сохранить). Открыть файл «C:\Проекты\Полет\Текстовые документы\Секретно\Клинов_секр.txt», а за тем закрыть, не редактируя. Выйти из системы.

23. Зарегистрироваться пользователем Администратор, открыть файл журнала событий с информацией о сеансе пользователя Клинов и найти записи, со ответствующие событиям доступа пользователя к указанным каталогам.

2.6.10. Гарантированное удаление данных В СЗИ автоматически реализуется функция очистки выделенной памяти после завершения работы приложения. Кроме того, можно включить операцию обнуления содержимого файла подкачки при завершении сеанса пользователя.

Это делается в диалоговом окне «Дополнительные опции» программы «Настройка комплекса Аккорд-NT» (рис. 2.69). Предусмотрена также настрой ка количества проходов при удалении информации.

Чтобы включить принудительное затирание дискового пространства при удалении файловых записей пользователем, необходимо в программе «Редак тор прав доступа» открыть диалоговое окно «Опции» и в нем отметить пункт «Удаление файлов с очисткой» (рис. 2.70).

ВЫПОЛНИТЬ!

24. Зарегистрироваться Администратором, включить удаление файлов с очисткой для пользователя Клинов.

25. Зарегистрироваться пользователем Клинов, создать короткий текстовый до кумент. Зарегистрироваться Администратором, найти файловую запись со зданного документа, запомнить номер кластера, в котором хранятся данные.

26. Зарегистрироваться пользователем Клинов, удалить документ без помеще ния его в «Корзину». Зарегистрироваться Администратором, открыть в дис ковом редакторе содержимое запомненного кластера. Отметить изменения, произошедшие в кластере.

Рис. 2.69. Включение принудительной очистки файла подкачки Рис. 2.70. Включение очистки дискового пространства 2.7. Программный комплекс защиты информации от несанкционированного доступа Блокпост ХР/ 2.7.1. Общие сведения СЗИ Блокпост ХР/2000 (версия 1.0, разработчик ООО «ГазИнформСер вис») представляет собой программный комплекс, дополняющий стандартные механизмы аутентификации ОС Windows и расширяющий защитные функции системы по разграничению доступа к объектам ОС. Дополнительно комплекс может включать устройство для считывания ключей iButton, подсоединяемое к COM-порту. СЗИ Блокпост ХР/2000 обеспечивает:

усиление механизма аутентификации (пароль, дискета либо ключ iButton);

дискреционный механизм разграничения доступа к объектам;

мандатный механизм разграничения доступа к объектам;

контроль доступа к принтеру, автоматическое нанесение на документы меток секретности;

контроль запуска процессов в системе, создание «замкнутой среды», в которой могут работать только разрешённые процессы;

контроль портов ввода/вывода;

контроль съёмных носителей;

контроль очистки памяти;

межсетевое экранирование.

Данный программный продукт сертифицирован ФСТЭК России по 4 классу защищенности в соответствии с руководящим документом «Средства вычислительной техники. Защита от НСД. Показатели защищённости». Следу ет также отметить, что Блокпост ХР/2000 не ориентирован на сетевое взаимо действие рабочих станций, для организации которого используется другая вер сия программы, называемая «БлокХОСТ ХР/2000».

Как и большинство подобных систем, Блокпост ХР/2000 подменяет не все механизмы обеспечения безопасности ОС. Субъекты СЗИ создаются на базе субъектов ОС, поэтому особое внимание стоит уделять применению штатных средств защиты ОС Windows. Например, пользователь, наделенный правами администратора в ОС и правами ограниченного пользователя по отношению к объектам, защищаемым СЗИ, может получить контроль над СЗИ, если он изме нит пароль встроенной учетной записи Администратор.

Кроме того, для использования СЗИ Блокпост ХР/2000 при работе с кон фиденциальными данными необходимо предпринять ряд организационных мер по ограничению доступа к защищаемой ЭВМ. Обратите внимание на то, что в списке механизмов защиты отсутствует возможность шифрования данных, то есть при получении физического доступа к жесткому диску злоумышленник не будет ограничен в доступе к информации.

2.7.2. Установка системы защиты Установка программного комплекса производится из безопасного режима с отключенной антивирусной защитой. В ходе установки потребуется ввести серийный номер, указанный на лицензии. В дальнейшем управление системой производится с помощью учётной записи Администратор, встроенной в ОС Windows. Встроенная запись администратора в данном случае не может быть заменена какой-либо другой, входящей в группу Администраторы, поэтому до начала установки следует убедиться в ее доступности. На учетную запись Ад министратор не действуют никакие ограничения, накладываемые системой Блокпост ХР/2000. При первом запуске после установки вход в систему будет возможен только при помощи данной учётной записи.

После успешной регистрации в системе администратор может настраи вать систему при помощи программы «ClientBP», расположенной на системном диске в папке «Blockpost».

Рис. 2.71. Главное окно СЗИ Блокпост ХР/ 2.7.3. Управление учётными записями пользователей Добавление учетных записей в систему Блокпост ХР/2000 осуществляет ся при помощи меню Субъекты Пользователи. В левой части экрана отоб ражается список учетных записей. Для функционирования системы необходи мо, чтобы список учетных записей пользователей ОС совпадал со списком учетных записей СЗИ Блокпост ХР/2000. Причем на этапе создания пользова телей обе учетные записи должны добавляться не только с одинаковым именем, но и с одинаковым паролем. В противном случае пользователь не сможет вой ти в систему. На пароли пользователей накладываются одновременно политики безопасности ОС и СЗИ. Политика безопасности для пароля ОС Windows опре деляется в соответствующей оснастке консоли управления, а СЗИ Блокпост ХР/2000 накладывает дополнительное ограничение по длине пароля — не ме нее 6 символов.

ВЫПОЛНИТЬ!

1. Зайти в систему от имени Администратора. Открыть оснастку: Панель управления Администрирование Управление компьютером. В кон соли управления выбрать пункт «Локальные пользователи и группы». До бавить нового пользователя user1 и включить его в группу Пользователи.

Задать пароль.

2. Добавить нового пользователя user2 в группу Опытные пользователи. За дать пароль. В свойствах учетной записи установить флажок «Потребовать смену пароля при следующем входе в систему».

3. Запустить оболочку управления СЗИ: Пуск Блокпост ХР/ ClientBP. В меню выбрать пункт Субъекты Пользователи. В левой ча сти экрана отобразится пустой список учетных записей, распознаваемых СЗИ Блокпост ХР/2000.

4. При помощи кнопки «Добавить» создать две одноименные учётные записи user1 и user2, задать пароли, совпадающие с паролями в ОС.

5. Зарегистрироваться в системе от имени пользователя user1, убедиться в ра ботоспособности созданной учетной записи.

6. Зарегистрироваться в системе от имени пользователя user2. Какое диалого вое окно было отображено после входа пользователя? Для чего нужна та кая мера безопасности?

7. Нажать комбинацию клавиш Ctrl+Alt+Del и выбрать пункт Задать пароль.

Система предложит на выбор способы аутентификации. При наличии счи тывателя iButton или дискеты сопоставьте электронный ключ с учётной за писью.

2.7.4. Настройка основных параметров системы Настройка параметров работы СЗИ Блокпост ХР/2000 осуществляется через пункт меню Система оболочки управления в диалоговом окне, описы вающем основные параметры функционирования системы. Приведем краткие комментарии к основным функциям системы.

«Мягким» режимом называется такой режим работы системы, в котором не применяются правила мандатной и дискреционной моделей доступа к фай лам и портам, а также некоторые другие механизмы. Однако все попытки до ступа к защищенным объектам протоколируются в журнале безопасности. Этот режим может использоваться только при первоначальной настройке системы, а также при её изучении, но не при работе с конфиденциальными документами.

Рис. 2.72. Настройка основных параметров безопасности КЦ позволяет создать список фалов, за целостностью которых будет сле дить Блокпост XP/2000. Под слежением понимается вычисление контрольной суммы файла, и, в случае ее отличия от запомненной ранее, файл восстанавли вается из защищённого хранилища, расположенного в папке «Backup» каталога программы Блокпост ХР/2000. Большое количество файлов и частая периодич ность проверки могут существенно замедлить работу системы. КЦ рекоменду ется назначать только для критических системных фалов.

Контроль печати запрещает всем приложениям кроме MS Word выводить документы на принтер. Кроме того, для всех документов MS Word назначается обязательный шаблон, в колонтитулах которого выводится степень секретности документа.

Установка запрета на доступ к USB- и CD-ROM-устройствам позволяет запретить использование в системе съемных носителей. К сожалению, данная подсистема не различает пользователей, для которых устанавливается запрет доступа, и это делает ее использование крайне неудобным.

Временные ограничения позволяют задать допустимое время работы пользователя. Аналогичная функция существует в ОС Windows 2003 Server в режиме контроллера домена. Назначение этой функции — заблокировать ком пьютер в нерабочее время. Неудобством реализации этой функции является от сутствие возможности указания перечня субъектов, на которых накладываются ограничения.

ВЫПОЛНИТЬ!

8. Зарегистрироваться в системе от имени Администратора. В меню Система оболочки управления СЗИ установить флажок «Запретить доступ к CD».

Применить сделанные изменения. Войти в систему от имени пользователя user2, убедиться в отсутствии доступа к оптическим дискам.

9. Открыть «Диспетчер устройств» (Панель управления Система Обо рудование Диспетчер устройств). В списке устройств найти привод оптических дисков (на его пиктограмме должен находиться красный кре стик). Из контекстного меню устройства выбрать пункт «Задействовать».

Что произойдёт после выполнения данного действия? Каким образом мож но избежать подобного нарушения политики безопасности?

Восстановить запрет на доступ к оптическим дискам. Войти в систему от 10.

имени пользователя user1. Повторить предыдущий пункт задания. Какой результат Вы получили? Почему? Почему представляет опасность наличие запрета на доступ к оптическим дискам для администратора? Каким обра зом можно ограничить доступ к съёмным носителям в СЗИ Блокпост ХР/2000, не запрещая при этом доступ администратора и наделив доверен ных пользователей функцией копирования информации?

Зарегистрироваться в системе от имени Администратора. При помощи обо 11.

лочки управления СЗИ установить временное ограничение работы для пользователей, истекающее через 2 минуты относительно текущего време ни. Применить сделанные изменения.

Зарегистрироваться в системе от имени пользователя user1. Открыть для 12.

редактирования какой-либо документ MS Word или WordPad. Что произой дёт через 2 минуты? Отобразит ли система предупреждение о необходимо сти корректного завершения работы программ?

Зарегистрироваться в системе от имени Администратора. Повторно устано 13.

вить временное ограничение, истекающее через 2 минуты после текущего времени.

Зарегистрироваться в системе от имени пользователя user1. Перевести си 14.

стемные часы на час назад. Открыть документ MS Word или WordPad. Что произойдёт через 5 минут? Каким образом можно предотвратить подобное нарушение политики безопасности? Какая встроенная группа Windows по умолчанию не имеет права перевода системных часов?

Войти в систему от имени Администратора, отключить временные ограни 15.

чения работы и восстановить системное время.



Pages:     | 1 |   ...   | 2 | 3 || 5 | 6 |
 





 
© 2013 www.libed.ru - «Бесплатная библиотека научно-практических конференций»

Материалы этого сайта размещены для ознакомления, все права принадлежат их авторам.
Если Вы не согласны с тем, что Ваш материал размещён на этом сайте, пожалуйста, напишите нам, мы в течении 1-2 рабочих дней удалим его.