Анализ и оценка общих компьютерных контролей системы Процесс управление доступа к системе и данным Описание процесса

Диаграмма

Текстовое описание

1.1. Для доступа в систему ИРРО пользователь предварительно должен активировать свою институтскую учетную запись.

1.2. Для авторизации в системе необходимо ввести логин и пароль пользователя.

1.3. Система аутентифицирует логин и пароль пользователя и авторизует пользователя в системе, если идентификационные данные правильные, иначе запрещает доступ к системе.

1.2.1. По введенному логину пользователь ищется в БД МИЭТ. Если пользователь найден в БД МИЭТ, то из неё берутся все остальные данные учетной записи пользователя (ФИО, подразделение/группа, дата рождения, активность пользователя). Если пользователь не найден в БД МИЭТ, то на этапе 1.2.3. пользователь будет искаться в БД РПК.

1.2.2. Если система получила из БД МИЭТ данные учетной записи пользователя, то она проверяет наличие данного пользователя в БД РПК. Если пользователь уже есть в БД РПК, то происходит обновление его учетных данных и прав в системе. Если пользователя еще нет в БД РПК, то происходит добавление пользователя в систему и назначение ему групп пользователей, из которых затем формируется права доступа пользователя в системе.

1.2.3. На данном этапе в БД РПК по логину и паролю ищется пользователь. Если он найден , то проверяется его активность и, в случае если учетная запись пользователя активна, то осуществляется доступ к системе. Если пароль пользователя не верен или его учетная запись не активна, то осуществляется запрет на доступ пользователя к системе.

2.1. Для доступа к данным БД используется СУБД, которая имеет свои учетные записи пользователей БД. Для авторизации пользователя в СУБД необходимо ввести его логин и пароль.

2.2. После ввода логина и пароля пользователя СУБД проверяет их на правильность, и в случае успеха авторизует пользователя в СУБД. В случае ввода ошибочного логина или пароля СУБД запрещает доступ пользователю.

3.1. При выполнении скрипта в самом начале происходит процесс считывания его параметров. Большинство скриптов системы получают свои параметры методом GET (из адресной строки).

При считывании этих параметров практически отсутствуют процедуры проверки значения и типов этих параметров.

На данном этапе существует риск ручного редактирования параметров скрипта, которое можно использовать для внедрения в скрипт SQL запроса (SQL injection), при помощи которого можно получить доступ к любой таблице БД.

3.2. После считывания параметров скрипта значения этих параметров находятся в массиве $_GET. Значения данного массива используются в запросах к БД системы ИРРО.