Министерство высшего образования и науки Российской Федерации

Федеральное государственное бюджетное образовательное учреждение

высшего профессионального образования

«ТОМСКИЙ ГОСУДАРСТВЕННЫЙ УНИВЕРСИТЕТ СИСТЕМ

УПРАВЛЕНИЯ И РАДИОЭЛЕКТРОНИКИ» (ТУСУР)

Кафедра безопасности информационных систем (БИС)

SECRET NET. РАЗГРАНИЧЕНИЕ ДОСТУПА К УСТРОЙСТВАМ

Отчет по лабораторной работе №1

по дисциплине «Управление средствами защиты информации»

Вариант №8

Студент гр.739-1

______ Климанов М.Д.

26.03.2022г

Принял

Руководитель

доцент кафедры БИС

_______ Рахманенко И.А.

26.03.2022г

Томск 2022

1 Введение

Целью данной работы является изучение и приобретение навыков настройки и управления основными защитными механизмами СЗИ от НСД «Secret Net». Рассмотрены принципы разграничения доступа устройствам, механизмы контроля печати.

2 Ход работы

Откроем свойства учетной записи Администратор (Мой компьютер- Управление - Локальные пользователи- Пользователи - Администратор). Изменим уровень допуска на строго конфиденциально (Вкладка Secret Net 7 - Доступ), разрешим управление категориями конфиденциальности, вывод и печать конфиденциальных документов (рисунок 1).

Рисунок 1– Параметры управления полномочным доступом для пользователя Администратор

Создадим учетные записи user и conf. Настроим пользователю conf категорию доступа конфиденциально и добавим возможность печати конфиденциальных документов (рисунок 2). Для пользователя user по умолчанию задан уровень допуска «Неконфиденциально» (рисунок 3).

Рисунок 2 – Параметры управления полномочным доступом для пользователя conf

Рисунок 3 – Параметры управления полномочным доступом для пользователя user

Вызовем оснастку для управления параметрами объектов групповой политики (Пуск – Программы - Код безопасности - Secret Net – Локальная политика безопасности) и перейдем к разделу «Параметры безопасности | Параметры Secret Net» (рисунок 4):

- выберем папку «Устройства». Утвердим изменения. В правой части окна появится общий список устройств (рисунок 5).

- выберем в списке оптический диск «VMWare IDE CDR», вызовем контекстное меню и выберем команду «Свойства». В группе настройки выберем «Подключение устройства разрешено» (рисунок 6). В группе «полномочный доступ» выберем параметр доступа «Для устройств задана категория конфиденциальности» и выберем категорию конфиденциальности «Строго конфиденциально» (рисунок 7).

Рисунок 4 – Параметры Secret Net

Рисунок 5 – Изменения в аппаратной части компьютера

Рисунок 6 - Настройки виртуального CD-привода в групповых политиках Secret Net

Рисунок 7 - Настройки конфиденциальности виртуального CD-привода в групповых политиках Secret Net

Войдем под учетной записью «Администратор», изменим назад параметры конфиденциальности оптического диска на «Устройство доступно без учета категории конфиденциальности» (рисунок 8), запретим использование оптических дисков для пользователя «user» следующим образом: откроем разрешения в свойствах CD-дисковода (Настройки - Разрешения), добавим пользователя user и запретим всех разрешения к данному CD-приводу (рисунок 9) - галочки «запретить».

Рисунок 8 – Параметры доступа для устройства

Рисунок 9 - Изменение прав доступа к CD-приводу для пользователя user

- Войдем под учетной записью user и убедимся в запрете доступа, попытавшись открыть CD-привод в проводнике (рисунок 10).

Рисунок 10 – Запрет доступа на CD-привод

Настройку политик контроля устройств можно выполнить индивидуально для каждого устройства (отдельной модели), класса или группы устройств с использованием принципа наследования параметров.

Для настройки политики контроля устройств необходимо выполнить следующее:

- Войдем под учетной записью Администратор. Вызовем оснастку для управления параметрами объектов групповой политики и перейдем к разделу «Параметры безопасности | Параметры Secret Net» - выберем папку «Устройства». В правой части окна появится общий список устройств (рисунок 11).

Рисунок 11 – Устройства параметров Secret Net

- выберем в списке объект «Устройства USB», вызовем контекстное меню и выберем команду «Свойства».

На экране появится диалог для настройки параметров объекта. По умолчанию в диалоге отображаются параметры группы «Общие» (рисунок 12), представляющие основные сведения об объекте.

Рисунок 12 - Вкладка общие для группы устройства USB

- перейдем к группе параметров «настройки» и поставим значения параметров в соответствии с рисунком 13. Применим настройки ко всем дочерним объектам.

Рисунок 13 - Вкладка «Настройки» для группы устройства USB

При этом для подключенных устройств можно задать следующие параметры:

- Поле «Устройство не контролируется». Если в поле установлена отметка - для объекта отключен режим контроля.

- Поле «Устройство постоянно подключено к компьютеру». Если в поле установлена отметка - для объекта включен режим контроля, при котором устройство должно быть постоянно подключено к компьютеру. В случае изменения состояния устройства в журнале регистрируются события несанкционированного доступа (НСД), и система ожидает утверждение изменений аппаратной конфигурации администратором безопасности. Для усиления защиты можно дополнительно включить режим автоматического блокирования компьютера при изменении состояния устройства: для этого установим отметку в поле «Блокировать компьютер при изменении устройства». Возможность разблокировки компьютера будет иметь только администратор безопасности (рисунок 14).

Рисунок 14 – Устройства USB вкладка «Настройки»

- Поле «Подключение устройства разрешено». Если в поле установлена отметка - для объекта включен режим контроля, при котором устройство разрешается подключать к компьютеру и отключать. В случае изменения состояния устройства в журнале регистрируются соответствующие события. Утверждение изменений аппаратной конфигурации при этом не требуется. Параметр присутствует только для тех устройств, для которых отслеживается процесс подключения и можно запретить использование.

- Поле «Подключение устройства запрещено». Если в поле установлена отметка - для объекта включен режим контроля, при котором устройство запрещается подключать к компьютеру. Попытки подключения устройства регистрируются в журнале как события НСД. Параметр присутствует только для тех устройств, для которых отслеживается процесс подключения и можно запретить использование.

В список принтеров групповой политики можно добавлять элементы, соответствующие конкретным принтерам. По умолчанию ни один принтер в системе не контролируется. Добавление осуществляется с помощью специальной программы-мастера. При необходимости принтер можно удалить из списка - для этого вызовем контекстное меню принтера и активируем команду «Удалить».

Добавим принтер в групповую политику Secret Net. Для добавления принтера в список групповой политики необходимо выполнить следующее:

- Вызовем оснастку для управления параметрами объектов групповой политики и перейдем к разделу «Параметры безопасности \ Параметры Secret Net».

- Выберем папку «Принтеры». В правой части окна появится список принтеров (рисунок 15).

Рисунок 15 – Список принтеров

- В меню оснастки выберем команду «Действие | Добавить принтер». На экране появится стартовый диалог мастера добавления принтеров.

- Выберем вариант добавления принтера (подключенный к компьютеру -> Microsoft XPS Document Writer) (рисунок 16).

Рисунок 17 - Добавление принтера, контролируемого Secret Net

После того, как добавлен принтер, необходимо настроить права пользователей для печати. В оснастке для управления параметрами объектов групповой политики Secret Net («Параметры безопасности | Параметры Secret Net»), выберем папку «Принтеры» и вызовем контекстное меню принтера «Microsoft XPS Document Writer» - параметр «Свойства» (рисунок 18).

Рисунок 18 - Настройка разрешений печати для принтера Microsoft XPS Document Writer

В окне свойств принтера выберем «Только указанных категорий конфиденциальности», а категорию – «Конфиденциально» (рисунок 19). Стоит отметить, что для печати документов соответствующей категории конфиденциальности пользователя должна быть включена возможность печати конфиденциальных документов.

Рисунок 19 – Категория конфиденциальности принтера

Изменим разрешения на доступ к диску «D:\» (Диск D – Свойства – Безопасность – Все – Полный доступ) (рисунок 20). Изменим у папки «D:\temp» категорию конфиденциальности на «Конфиденциально», изменив категорию и у всех вложенных файлов (рисунок 21). Отдельно файлу «D:\temp\Неконф.txt» зададим категорию «Неконфиденциально» (рисунок 22).

Рисунок 20 – Свойства диска D

Рисунок 21 - Изменение уровня конфиденциальности папки temp

Рисунок 22 – Свойства файла Неконф

Зайдем под учетной записью conf и убедимся в возможности печати документов «D:\temp\Конф.txt» с категорией «Конфиденциально» и документа «D:\temp\Неконф.txt» «Неконфиденциально». В параметрах печати необходимо задать настройку «Печать в файл» (рисунки 23 - 24).

Рисунок 23 – Параметры печати конфиденциального документа

Рисунок 24 – Параметры печати неконфиденциального документа

При наличии права на печать конфиденциального документа, будет предложено заполнить гриф, добавляемый в распечатываемый документ (рисунок 25).

Рисунок 25 – Выбор и заполнение грифа для распечатываемого документа

Попробуем распечатать данные документы с помощью принтеров «Microsoft XPS Document Writer» и «doPDF» (рисунки 26 – 27). Проанализируем полученные результаты, зафиксируйте их в отчете.

Рисунок 26 – Печать через принтер «Microsoft XPS Document Writer»

Рисунок 27 – Печать через принтер «doPDF»