Материал: Программно-аппаратная защита информации. Дуров В.П

Настройка механизмов управления доступом и защиты ресурсов Полномочное управление доступом

При организации полномочного управления доступом для каждого пользователя компьютера устанавливается определенный уровень допуска к конфиденциальной информации. Каталогам и файлам, находящимся на дисках компьютера с файловой системой NTFS, присваивается категория конфиденциальности.

При попытке доступа пользователя (программы, запущенной пользователем) к кон­фиденциальному ресурсу сопоставляется категория конфиденциальности ресурса и уровень допуска пользователя к конфиденциальной информации. Если пользова­тель не превышает свой уровень допуска, доступ к конфиденциальному ресурсу разрешается, иначе доступ блокируется.

Для выбора режима полномочного управления доступом:

1. Откройте окно настройки общих параметров и перейдите к диалогу «Дополнительно»:

Рис. 52. Диалог «Дополнительно».

2. Установите отметку в поле выключателя "Полномочное управление доступом" для включения этого механизма. После этого другие поля, относящиеся к пол­номочному управлению, будут доступны для редактирования. Укажите парамет­ры работы механизма полномочного управления доступом:

- Контроль потоков данных. Установите отметку в этом поле, если необхо­димо включить режим контроля потоков конфиденциальной информации.

- Контроль буфера обмена. Установите отметку в этом поле, если требуется контролировать передачу конфиденциальной информации через буфер об­мена (Clipboard) из одного приложения в другое. Поле доступно, если вклю­чен контроль потоков данных.

- Запрет доступа при невозможности получить уровень допуска пользо­вателя. Отметьте это поле, если требуется контролировать доступ удален­ных пользователей к компьютеру.

- Контроль печати. Если установить отметку в этом поле, то для печати кон­фиденциальных документов будет разрешено использовать только редактор MS Word (версии 8.0 и выше). И только в этом случае при печати конфиденциальных документов из MS Word в документ будет добавляться гриф конфиденциальности, а факт печати будет регистрироваться системой защиты. Кроме того, в этом режиме запрещается печать файлов с компакт-дисков. Для печати эти файлы необходимо предварительно скопировать на жесткий диск.

3. Завершив настройку, нажмите кнопку "ОК" или "Применить".

Для управления уровнем допуска пользователя:

1. В программе "Проводник" выберите интересующего вас пользователя, вызовите на экран окно настройки свойств и перейдите к диалогу "Доступ":

Рис. 53. Диалог "Доступ".

2. Установите необходимые значения параметров:

- В поле "Уровень допуска" выберите уровень допуска пользователя к конфи­денциальным данным, который может принимать следующие значения:

Таблица 15 - Уровни допуска.

- Установите отметку в поле "Вывод конфиденциальной информации на дис­кеты", если необходимо разрешить пользователю сохранять конфиденци­альные документы на сменных носителях.

3. Нажмите кнопку "ОК".

Управление категорией конфиденциальности ресурса

Для изменения уровня конфиденциальности ресурса необходимо, чтобы:

- был включен механизм полномочного управления доступом;

- ресурс находился на диске с файловой системой NTFS;

- текущий пользователь имел права на доступ к ресурсу и на изменения прав доступа, а также обладал привилегией на управление категориями конфиденциальности.

Управление категориями конфиденциальности ресурса осуществляется с использованием программы "Проводник". Если заранее продумать схему хранения файлов, создав необходимую структуру каталогов для документов разной категории конфиденциальности, и разместить в них соответствующие файлы, то, присваивая категории конфиден­циальности каталогам, можно автоматически присвоить эту же категорию и входящим в каталог файлам. Присвоить категорию конфиденциальности также можно и отдельным файлам или сразу группе файлов. После того как каталогам и файлам присвоены кате­гории конфиденциальности, начинают действовать ограничения на сохранение и копи­рование конфиденциальной информации.

Для указания категории конфиденциальности ресурса:

1. В окне программы "Проводник" выберите интересующий вас ресурс (диск, каталог, файл), вызовите окно редактирования свойств и перейдите к диалогу "Secret Net".

Рис. 54. Диалог "Secret Net".

2. Установите категорию конфиденциальности ресурса, выбрав значение из рас­крывающегося списка "Категория".

3. Нажмите кнопку "ОК".

Если в качестве ресурса был выбран каталог, то на экране появится запрос о сме­не уровня конфиденциальности вложенных файлов и папок:

4. Установите нужные параметры, принимая во внимание, что категория конфи­денциальности каталога не может быть ниже, чем у входящих в него файлов.

5. Нажмите кнопку "ОК".

Установленные значения будут сохранены, а диалоговые окна - закрыты.

Настройка шаблонов грифа конфиденциальности.

Каждая организация может подготовить необходимый для нее набор грифов кон­фиденциальности. Файл шаблонов грифа является документом в формате RTF (Rich Text Format). Он может содержать несколько шаблонов грифа конфиденци­альности, отделенных друг от друга разрывами раздела (здесь и далее курсивом выделены термины, принятые в Microsoft Word). Таким образом, в одном разделе размещается один шаблон грифа конфиденциальности.

Разрыв раздела имеет вид двойной пунктирной линии со словами "Разрыв раздела". Чтобы их увидеть, включите режим отображения служебных символов. Для создания нового шаблона грифа создайте новый раздел и введите нужный текст.

В каждом разделе (шаблоне) текст грифа конфиденциальности может размещаться в верхнем колонтитуле, в нижнем колонтитуле, как основной текст раздела. При печати документа:

- текст из верхнего колонтитула шаблона вставляется над верхним колонтиту­лом документа;

- текст из нижнего колонтитула шаблона вставляется под нижним колонтиту­лом документа;

•текст (кроме названия грифа) из области основного текста шаблона вставля­ется после последнего абзаца печатаемого конфиденциального документа.

Названием грифа служит первый абзац раздела, отформатированный стилем "Заголовок 1" и со­держащий не только пробелы и символы табуляции. Если название грифа не указано явно, то сис­тема использует в качестве названия строку вида «Гриф #М», где N - порядковый номер раздела.

Содержание и форматирование текста грифа конфиденциальности могут быть про­извольными.

В шаблон грифа можно вставлять поля, поддерживаемые редактором Microsoft Word, (например: имя файла документа, дату создания или изменения, номер текущей страницы, общее количество страниц), а также поля с произвольными именами. Кроме того, в шаблон грифа можно вставлять 3 стандартных поля:

- поле "User" - имя пользователя Secret Net 2000;

- поле "Userlnfo" - дополнительная информация о пользователе;

- поле "Category" - категория конфиденциальности документа.

Если в шаблоне грифа будут находиться эти стандартные поля, то при вставке гри­фа в документ они будут приобретать соответствующие фактические значения. Если при вставке грифа в документ будут обнаружены нестандартные поля, непосредственно перед печатью в соответствующем диалоге будут запрошены зна­чения для всех обнаруженных нестандартных полей.

Для настройки шаблонов:

1. Запустите текстовый редактор MS Word и откройте файл STAMP.RTF (при стан­дартной установке файл содержится в каталоге Program Files\lnfosec\Client).

2. Отредактируйте шаблоны грифа конфиденциальности.

3. Сохраните и закройте файл шаблонов.

Для вставки нестандартного поля в шаблон грифа:

1. В меню "Файл" выберите команду "Свойства" и перейдите к диалогу "Прочие".

2. Добавьте поле в шаблон грифа:

- в поле "Название" введите название поля (допускается ввод как на англий­ском, так и на русском языке);

- в поле "Тип" укажите тип поля "Текст" (другие типы полей системой защиты не обрабатываются);

- введите в поле "Значение" формальное значение поля (это значение будет отображаться в шаблоне, а перед печатью будет заменено фактическим);

- нажмите кнопку "Добавить", а затем - кнопку "ОК".

Рис. 55. Диалог "Прочие" окна свойств документа.

3. Установите курсор в нужной области шаблона грифа (в колонтитуле или области текста) и выберите команду "Поле" в меню "Вставка".

На экране появится диалог:

4. Выполните последовательно следующие действия:

- в списке "Категории" выберите значение "Сведения о документе";

- в списке "Поле" выберите значение "DocProperty";

- отступив на один пробел от слова "DOCPROPERTY", введите в текстовое поле в двойных кавычках название поля, добавленного на шаге 2;

- нажмите кнопку "ОК".

В тексте документа появится затененное поле, формальное значение которого было указано на шаге 2.

5. Сохраните файл шаблонов и закройте редактор Microsoft Word.

Замкнутая программная среда

Механизм замкнутой программной среды позволяет ограничить доступ пользователей к исполняемым файлам только теми программами, которые необходимы им для работы.

При использовании этого механизма действуют следующие правила:

1. Пользователь может работать только с теми программами, запуск которых раз­решен в UEL-списке (список разрешенных для запуска программ, User Executa­ble List), Этот список формируется индивидуально для каждого пользователя.

2. Замкнутая программная среда может быть включена выборочно для отдельных пользователей.

3. Замкнутая программная среда может использоваться в одном из двух режимов работы: "мягком" или "жестком".

В "мягком" режиме пользователю разрешается запускать любые программы, а не только входящие в UEL-список. При этом в журнале безопасности регистрируются соответствующие события несанкционированного доступа (НСД).

В "жестком" режиме запуск программы разрешатся, если:

1. информация о программе содержится в UEL-списке;

2. файл программы недоступен текущему пользователю на изменение;

3. файл не находится на сменном носителе;

4. правильно настроена MS-DOS среда для MS-DOS программ;

5. владельцем файла является локальная группа администраторов (это ог­раничение является дополнительным и может не использоваться).

Для настройки механизма замкнутой программной среды пользователь должен не только обладать привилегиями на администрирование системы защиты, но и вхо­дить в группу локальных администраторов.

Порядок настройки

Особенности настройки механизма замкнутой программной среды связаны со сле­дующими обстоятельствами. Чтобы правильно настроить замкнутую среду, следует четко установить индивидуальный перечень исполняемых файлов, необходимых в работе каждому пользователю. Это может быть непростой задачей, тем более, если каждый пользователь работает со своим набором программ.

Для облегчения этой задачи в системе используется следующий подход. Сначала замкнутая среда включается в "мягком" режиме, когда пользователю разрешается за­пускать любые программы, а все действия, связанные с запуском программ, фикси­руются в журнале безопасности в течение определенного периода времени. Затем на основании данных журнала автоматически может быть сформирован список разре­шенных для запуска программ, который может быть откорректирован автоматически или вручную. После этого замкнутая среда переводится в "жесткий" режим работы.

При автоматическом формировании UEL-списка в него сначала добавляются про­граммы из "списка по умолчанию", который формируется при установке системы Secret Net 2000 на компьютер, и включает в себя исполняемые файлы из системно­го каталога и каталога установки системы защиты.

В дальнейшем, в процессе эксплуатации замкнутой программной среды целесооб­разно периодически анализировать записи журнала безопасности и корректировать UEL-список, а также права владения и доступа для файлов, добавляемых в списки.

При необходимости механизм замкнутой программной среды может быть временно отключен сразу для всех пользователей компьютера. При этом все индивидуальные настройки механизма сохраняются без изменений. Затем механизм может быть включен повторно.

Детальный порядок настройки замкнутой программной среды на компьютере:

Включение механизма

1. Включите механизм замкнутой программной среды на компьютере Подготовка к регистрации

2. Настройте для пользователей регистрацию событий, связанных с запуском программ.

3. Настройте журнал безопасности

4. Включите и настройте "мягкий" режим работы замкнутой программной среды для пользователей компьютера.

Регистрация и сбор данных

5. Продолжительность периода сбора данных должна быть достаточной, чтобы каждый из пользователей поработал со всем необходимым ему программным обеспечением.

Формирование списков программ

6. На основании данных журнала безопасности сформируйте автоматически или вручную для каждого пользователя список разрешенных для запуска программ.

7. Ознакомьте каждого из пользователей со списком разрешенных для запуска программ.

Включение жесткого режима

8. Включите для пользователей "жесткий" режим замкнутой программной.

Для включения режима замкнутой среды на компьютере:

1. Откройте окно управления общими параметрами и перейдите к диалогу "Допол­нительно" (см. Рис. 37).

2. Установите отметку в поле выключателя "Замкнутая среда" и нажмите кнопку "ОК" или "Применить".

Для того чтобы установленные параметры вступили в силу, необходимо перезагру­зить компьютер.

Для настройки перечня регистрируемых событий:

1. В программе "Проводник" выберите пользователя, вызовите на экран окно на­стройки свойств и перейдите к диалогу "Регистрация".

2. Отметьте события Secret Net 2000, которые необходимо регистрировать для на­стройки замкнутой среды:

• В группе "События расширенной регистрации": "Запуск программы";

• В группе "События НСД": "Запрет запуска программы".

3. Нажмите кнопку "ОК" или "Применить".

Рис. 56. Диалог "Дополнительно".

Для включения дополнительных механизмов контроля:

1. Вызовите на экран окно настройки общих параметров работы компьютера и пе­рейдите к диалогу "Компьютер":

Рис. 57. Диалог "Компьютер".

2. Откройте группу параметров "Замкнутая среда" и отметьте необходимые из них:

"Контролировать загрузку только NE-файлов"

В текущей реализации системы Secret Net 2000 не используется. "Контролировать владельца файла на санкционированность".

При запуске программы из UEL-списка проверяется корректность владельца файла программы. Корректным владельцем считается локальная группа администраторов.

Корректность владельца файлов программ не проверяется.

3. Нажмите кнопку "ОК" или "Применить".

Для настройки режима работы замкнутой среды для пользователя:

1. В программе "Проводник" выберите пользователя, вызовите на экран окно на­стройки свойств и перейдите к диалогу "Режимы":

Рис. 58. Диалог "Режимы".

2. Включите замкнутую программную среду и установите режим работы:

- Установите отметку в поле "Замкнутая программная среда", чтобы включить этот механизм для выбранного пользователя.

При первом включении для пользователя замкнутой программной среды автоматически соз­дается UEL-файл пользователя, в который добавляется список программ по умолчанию. При последующих выключениях и включениях замкнутой среды UEL-файл сохраняется не­изменным. Удаляется UEL-файл только после удаления пользователя.

- Установите отметку в поле "Мягкий режим для списка программ", если необ­ходимо включить "мягкий" режим замкнутой программной среды. Если необ­ходим "жесткий" режим работы, удалите отметку из этого поля.