Лабораторный практикум по НСД 2013

311

делённым уровнем допуска. После успешной загрузки в оперативную память исполняемый файл (программа), получает метку уровня доступа как субъект доступа, который работает с объектами (ресурсами). В этом случае проверка доступа к ресурсу осуществляется в следующем порядке:

1)Проверяется, имеет ли пользователь право на доступ в соответствии с дискреционным механизмом.

2)При наличии дискреционных прав доступа пользователя средствами мандатного механизма комплекса проверяется уровень его допуска и гриф (метка конфиденциальности) объекта доступа (ресурса).

3)Если доступ разрешен, то проверяется, имеет ли текущий процесс уровень допуска больше, либо он равен уровню доступа объекта (ресурса), к которому обратился пользователь с помощью этого процесса.

4)Доступ будет разрешен только в случае успешного выполнения трех вышеописанных проверок.

При такой реализации механизма управления потоками информации, обработка информации определенного уровня конфиденциальности выполняется только с помощью выделенных программ (процессов).

Настройка поля «ТМ контроллер»

В поле «ТМ-контроллер» только один параметр – «Использовать страницу ТМ». По умолчанию он установлен в 0. Изменять этот параметр КАТЕГОРИЧЕСКИ НЕ РЕКОМЕНДУЕТСЯ! В эту и следующую страницу памяти идентификатора записывается секретный ключ пользователя при его регистрации. Изменение этого параметра приведет к тому, что ранее зарегистрированные идентификаторы будут восприниматься системой защиты как недопустимые. Изменение этого параметра возможно, если используется ПО сторонних производителей и записывает свою информацию в те же страницы памяти. После изменения этого параметра ВСЕ используемые идентификаторы должны быть перерегистрированы с генерацией нового секретного ключа пользователя.

Программа редактирования ПРД ACED32.EXE

Назначение программы.

Программа ACED32.EXE ‒ редактор параметров (атрибутов) доступа пользователей, используемых в комплексе СЗИ НСД «Аккорд-NT/2000» v.3.0. дискреционного и мандатного механизмов доступа субъектов (пользователей) к объектам ПЭВМ или АС – предназначена для администрирования подсистемы разграничения доступа комплекса.

312

Программа используется администратором БИ (Безопасности Информации) при установке и эксплуатации комплекса «Аккорд-NT/2000» для описания (назначения пользователям) принятых в организации (учреждении и т.п.) правил разграничения доступа (ПРД) в соответствии с полномочиями пользователей.

Программа ACED32.EXE входит в состав специального ПО комплекса, инсталлируется на жесткий диск ПЭВМ (РС) при установке комплекса.

Порядок запуска программы

Для редактирования параметров (атрибутов) доступа пользователей необходимо запустить программу C:\ACCORD.NT\ACED32.EXE. Можно воспользоваться ярлыком «Редактор прав доступа» в группе программ Accord-NT, которая создается при инсталляции СПО на жесткий диск компьютера. На экран выводится запрос идентификатора пользователя, показанный на рис.16.58. Далее программа запрашивает пароль администратора БИ (если пароль задан при установке комплекса «Аккорд-АМДЗ» и хранится в ЭНП контроллера).

Рис. 16.58. Запрос идентификатора пользователя Если идентификация/аутентификация администратора прошла успешно, то

выполняется синхронизация базы данных редактора прав доступа с базой данных пользователей, находящейся в ЭНП контроллера «Аккорд-АМДЗ» и на экран выводится главное окно программы, показанное на рис.16.59.

Рис. 16.59. Главное окно программы

313

При первом запуске программы в списке пользователей обязательно отображаются группы «Администраторы» и «Обычные» и пользователь «Гл. администратор». Если записи не отображаются, это означает, что нарушена синхронизация с аппаратной частью комплекса – контроллером АМДЗ, т.к. эти учетные записи создаются автоматически при инициализации контроллера. Проверьте правильность установки драйвера контроллера.

Редактирование учетных записей пользователей Регистрация нового пользователя

В подменю <Команды> главного меню программы ACED32 (рис.16.59) выберите команду <Создать>. Можно воспользоваться соответствующей кнопкой на панели задач. На экран выводится окно, предлагающее выбрать тип создаваемого объекта. Установите отметку на строке «Пользователь» и введите имя нового пользователя (рис.16.60). После этого следует выбрать кнопку «OК». В главном окне программы появится новый пользователь.

Рис. 16.60. Окно создания нового пользователя.

Примечание: если список пользователей активен, то при нажатии клавиши <Insert> также можно «создать» нового пользователя.

Удаление пользователя из списка, переименования пользователя в списке

С помощью мыши или клавиатуры выделите пользователя, которого Вы хотите удалить. В подменю <Команды> выберите <Удалить>, или на панели инструментов нажмите кнопку «Удалить пользователя». Программа выдает запрос «Вы действительно хотите удалить пользователя (указывается имя_пользователя)?» Подтвердите операцию удаления, если Вы действительно хотите удалить выбранного пользователя. Таким же образом можно удалить группу пользователей.

314

Примечание: Если список пользователей активен, то можно удалить выделенного пользователя, нажав на клавишу <Delete>.

Внимание! Нельзя удалить группы «Администраторы» и «Обычные», а также пользователя «Гл. администратор». Эти учетные записи создаются при инициализации контроллера «Аккорд-АМДЗ» и защищены от удаления.

С помощью мыши или клавиатуры выделите пользователя, которого Вы хотите переименовать. В подменю <Команды> выберите <Переименовать> или щелкните правой кнопкой мыши на выделенном пользователе и выберите из всплывшего меню команду <Переименовать>.

На экран выводится окно (рис.16.61) для ввода нового имени пользователя.

Рис. 16.61. Переименование пользователя

«ОК» или <Enter> ‒ изменение имени, «Отмена» ‒ отмена операции переименования.

Примечание: Если список пользователей активен, то можно переименовать выделенного пользователя, нажав на клавишу <F2>.

Поиск пользователя по идентификатору

По идентификатору можно найти соответствующего ему пользователя. Для этого необходимо выбрать в подменю <Команды> пункт <Поиск> или на панели инструментов нажать кнопку «Поиск пользователя по идентификатору» ‒ на экран выводится запрос идентификатора (рис.16.62).

Если прислонить идентификатор к считывателю в отведенный интервал времени, то в списке пользователей активизируется (выделяется) пользователь, которому принадлежит данный идентификатор.

Рис. 16.62. Запрос идентификатора для поиска

315

Примечание: В том случае, когда в качестве персонального идентификатора используется ПСКЗИ ШИПКА, на запрос идентификатора следует подключать устройство ШИПКА к USB-порту контроллера АМДЗ. Если в качестве идентификатора используется смарт-карта eToken PRO, на запрос идентификатора следует вставить карту в карт-ридер, подключенный к порту на плате контроллера АМДЗ.

Синхронизация параметров пользователя с параметрами группы

Синхронизация может понадобиться при изменении параметров группы и последующем присвоении этих параметров пользователю. В списке пользователей с помощью мыши или клавиш «стрелка вверх», «стрелка вниз» выделите пользователя, параметры которого Вы хотите синхронизировать. Правой кнопкой мыши щелкните на имени выделенного пользователя, на экране появится всплывающее меню. Выберите из него пункт <Синхронизировать> ‒ на экране появится окно «Выбор параметров синхронизации», показанное на рис.16.63. В этом окне перечислены параметры, являющиеся общими для синхронизируемых объектов. Установите те параметры пользователя, которые хотите синхронизировать. Для выполнения синхронизации нажмите кнопку «Синхронизация» или клавишу <F2>, для отмены ‒ «Отмена» или <Esc>.

Рис. 16.63. Параметры синхронизации.

Администрирование подсистемы разграничения доступа

Администратор БИ может производить изменение списка пользователей и групп, а также параметров доступа субъектов к объектам (ресурсам) защищаемого компьютера. Рассмотрим более подробно процедуру регистрации нового пользователя и назначения этому пользователю правил разграничения доступа (ПРД).

316

Для этого в списке пользователей добавим в группу «Обычные» пользователя с именем MAIN_USER (процедура создания описана в соответствующем пункте).

Примечание: Некоторые параметры являются обязательными, без которых невозможен ввод остальных, например, «Идентификатор» и «Пароль». Группы «Администраторы» и «Обычные» создаются при инициализации контроллера «Аккорд», и их нельзя переименовать или удалить. Параметры группы являются универсальным шаблоном для задания «Параметров пользователя», и присваиваются по умолчанию каждому создаваемому пользователю.

Администратор должен присваивать каждому пользователю уникальное в данной вычислительной среде (отдельный компьютер или локальная сеть) имя. Параметр «Полное имя» не является обязательным параметром, а задается по желанию администратора, и может использоваться для идентификации пользователя в АС, например, при работе в сети для доступа к контроллеру домена. Если в программе настройки комплекса установлен параметр «Использовать полное имя в учетных записях NT», то полное имя будет использовано при создании учетной записи пользователя в базе ОС. В противном случае основным является короткое имя, а полное записывается как дополнительный параметр.

Регистрация идентификатора пользователя

После создания пользователя в поле «Идентификатор» главного окна (рис.16.64) отображается информация «Не назначен», а другие параметры пользователя недоступны. Для вызова процедуры регистрации нового идентификатора нажмите на кнопку, расположенную справа в поле «Идентификатор».

Рис. 16.64. Параметры пользователя после его создания

На экране появится окно «Работа с ключом пользователя» (рис.16.65).

317

Рис. 16.65. Работа с ключом пользователя.

Секретный ключ пользователя генерируется с использованием датчика случайных чисел (ДСЧ), установленного на плате контроллера «Аккорд-АМДЗ», и записывается в энергонезависимую память идентификатора.

Идентификатор, в котором не записан ключ пользователя, считается недопустимым в СЗИ «Аккорд».

Возможны три варианта работы с ключами пользователей: 1) «Уже записан в Идентификатор».

Секретный ключ может быть уже записан в идентификаторе, например, при регистрации в составе комплекса «Аккорд NT/2000», или в составе комплекса СЗИ «Аккорд-АМДЗ», на другой ПЭВМ (РС). В этом случае КАТЕГОРИЧЕСКИ НЕ РЕКОМЕНДУЕТСЯ генерировать новый секретный ключ, т.к. старое значение будет безвозвратно утрачено и на других ПЭВМ пользователь не сможет успешно пройти процедуру идентификации/аутентификации. Поэтому режим работы с секретным ключом по умолчанию устанавливается в варианте «Уже записан в Идентификатор». Для регистрации идентификатора следует щелкнуть «мышью» по кнопке «Далее» или нажать клавишу <F2>. На экран выдается запрос на считывание данных из идентификатора ‒ выводится окно, показанное на рис.16.63. Следует подключить идентификатор пользователя к контактному устройству съемника информации. Программа выполнит считывание серийного номера и значения ключа пользователя.

2) «Сгенерировать».

Генерация нового секретного ключа требуется, если этот идентификатор никогда не использовался в составе комплексов СЗИ «Аккорд», или необходимо записать в идентификатор новое значение. В этом случае, при нажатии кнопки «Далее» или клавиши <F2>, генерируется секретный ключ с помощью ДСЧ и выдается запрос идентификатора (рис.16.63). Следует приложить идентификатор пользователя к контактному устройству съемника информации, или подключить ПСКЗИ ШИПКА к USB порту контроллера АМДЗ, или вставить карту в картридер, подключенный к порту на плате контроллера АМДЗ. Происходит регистрация идентификатора и запись в него секретного ключа пользователя. Удержи-

318

вайте идентификатор на контактном устройстве, пока полностью не завершится эта операция.

3) «Потерян».

В этом случае, после нажатия кнопки «Далее» или клавиши <F2> поле «Идентификатор» данного пользователя примет значение «Не назначен».

Установка параметров пароля

После регистрации идентификатора в главном окне (рис.16.64) становятся доступными поля ввода пароля и настройки параметров парольной защиты. Для выбора параметров пароля щелкните левой кнопкой мыши по кнопке, расположенной справа в поле «Параметры пароля». На экран выводится окно настроек

(рис.16.66).

Рис. 16.66. Параметры пароля пользователя

Параметры пароля включают в себя следующие поля:

«Минимальная длина пароля» – параметр определяет количество символов, контролируемое при создании и смене пароля. Нельзя ввести пароль меньшей длины. Если предполагается для авторизации пользователя использовать только идентификатор, то значение этого параметра нужно установить в 0 (пароль задавать не обязательно). По умолчанию длина пароля установлена равной 8 символам, максимальное допустимое значение ‒ 12 символов.

«Время действия» ‒ время действия пароля до смены в календарных днях: от 0 (смены пароля не требуется) до 99 дней. «Попыток для смены» ‒ количество попыток смены пароля: от 0 (не ограничено) до 5. Этот параметр определяет допустимое число попыток смены пароля, если пользователю разрешено самому

319

выполнять такую операцию. Если за отведенное число попыток пароль не сменен корректно, то работа данного пользователя блокируется, и для разблокировки и

смены пароля потребуется вмешательство администратора БИ.

«Кто может менять пароль» ‒ установка прав на смену пароля (только администратор или администратор и пользователь). «Алфавит для генерации пароля» ‒ определяет набор символов, которые обязательно должны использоваться при вводе пароля. Например, если в алфавите заданы цифры и буквы, то нельзя ввести пароль, состоящий из одних цифр. При установке флага «Только генерировать» пароль будет генерироваться случайным образом из символов заданного алфавита при смене пароля пользователя.

Обратите внимание! Если пароль уже задан, то изменения его параметров вступят в силу только при смене пароля.

Для выхода из режима редактирования с сохранением измененных параметров нажмите кнопку «Запись» или клавишу <F2>, без сохранения – « Отмена» или

<Esc>.

Задание пароля пользователю

В поле «Пароль» главного окна (рис.16.59) отображается информация о том, назначен или нет пароль выделенному пользователю. Выберите режим редактирования, нажав на кнопку, расположенную справа в поле «Пароль» или клавишу <Enter>. На экране появится окно «Ввод пароля» (рис.16.67).

Рис. 16.67. Задание пароля пользователя

Введите пароль и повторите ввод пароля для подтверждения. Нажмите клавишу <Ok>. Можно воспользоваться клавишей «Сгенерировать» для случайной генерации последовательности символов. После генерации полученная последовательность символов автоматически вводится в первое поле пароля в виде звездочек, а в нижней части окна выводится значение пароля и требуется его повторный ввод для подтверждения (рис.16.68).

320

Рис. 16.68. Ввод пароля с использованием процедуры генерации

Установка правил разграничения доступа (ПРД) к объектам доступа

СЗИ НСД «Аккорд» поддерживает два типа управления правилами разграничения доступа:

∙дискреционный механизм ПРД;

∙мандатный механизм ПРД.

Система атрибутов доступа и особенности ее реализации описаны в соответствующем пункте данной лабораторной работы. Можно использовать отдельно каждый механизм управления. Возможен вариант использования комбинированной политики безопасности с применением обоих механизмов задания ПРД.

Установка доступа к объектам с использованием дискреционного метода ПРД

Если в файле accord.ini установлены параметры Discrete Access = Yes и Mandatory Access = No, то используется только дискреционный механизм задания и контроля ПРД. Выбор механизма управления ПРД можно осуществлять в программе настройки комплекса «Аккорд».

Вглавном окне программы (рис. 16.69) нажмите мышкой правую кнопку в строке «Разграничение доступа», и на экран выводится окно со списком правил доступа пользователя к ресурсам ПЭВМ (АС), показанное на рис.16.69. По умолчанию выведен перечень всех доступных корневых каталогов (для корневых каталогов смонтированных сетевых дисков указано полное сетевое имя), ключей реестра (строки, начинающиеся с «\HKEY_»), сетевых и локальных принтеров.

Вэтом окне нет деления на диски, каталоги, файлы и т.д., а ведется один общий список объектов. Для того чтобы запретить доступ к логическому диску достаточно исключить корневой каталог этого диска из списка объектов.

Если какой-либо объект (каталог, файл, раздел реестра, сетевой ресурс, устройство или очередь печати) ЯВНО прописан в списке, то для него действуют установленные ПРД, независимо от атрибутов наследования объектов вышестоящего уровня. Для того чтобы сделать какой-либо файл, или каталог «скрытым», т.е.