tyshkevich.md 9.7 KB
Разграничение доступа к устройствам
Механизм разграничения доступа к устройствам предназначен для управления доступом к дискам, портам и другим устройствам с целью предотвращения несанкционированной утечки информации с защищаемого компьютера. Для поддержания в актуальном состоянии списка устройств, контролируемых механизмом, используется механизм контроля аппаратной конфигурации.
По умолчанию к устройствам компьютера предоставлен полный доступ трем стандартным группам пользователей: "Система", "Администраторы" и "Все". Т. е. всем пользователям разрешен доступ без ограничений ко всем устройствам, подключенным к компьютеру на момент установки Secret Net 6.
Права доступа складываются из разрешений и запретов на выполнение определенных операций. Набор операций зависит от типа устройства. Если в процессе работы в системе появляется новое устройство, система защиты определяет его и относит к соответствующей группе. Доступ пользователей к этому устройству устанавливается автоматически в соответствии с правилами, действующими для группы или класса устройств.
Механизм разграничения доступа к устройствам может функционировать в трех режимах:
"Жесткий" режим. Механизм контролирует все попытки обращения пользователя к устройствам и проверяет права пользователя на доступ к устройству. В журнале Secret Net 6 регистрируются все удачные и неудачные попытки доступа к устройствам. Несанкционированные операции пользователя запрещаются.
"Мягкий" режим. Механизм контролирует все попытки обращения пользователя к устройствам и проверяет права пользователя на доступ к устройству. В журнале Secret Net 6 регистрируются все санкционированные и несанкционированные попытки доступа к устройствам. Пользователю разрешаются любые операции с устройствами.
Механизм отключен. В этом случае пользователю разрешены все операции с устройствами, и регистрация событий в журнале Secret Net 6 не осуществляется.
Принимая во внимание, что доступ осуществляется с различных технических средств, начинать разграничение можно путем разграничения доступа к техническим средствам, разместив их в отдельных помещениях. Все подготовительные функции технического обслуживания аппаратуры, ее ремонта, профилактики, перезагрузки программного обеспечения и т. д. должны быть технически и организационно отделены от основных задач системы. Информационная система в целом, а также комплекс средств автоматизации и организация их обслуживания должны быть построены следующим образом:
- техническое обслуживание комплекса средств автоматизации в процессе эксплуатации должно выполняться отдельным персоналом без доступа к информации, подлежащей защите;
- перезагрузка программного обеспечения и всякие его изменения должны производиться специально выделенным для этой цели проверенным специалистом;
- функции обеспечения безопасности информации должны выполняться специальным подразделением в организации — владельце комплекса средств автоматизации, компьютерной сети, автоматизированной системы управления или информационной системы в целом;
- организация доступа пользователей к устройствам памяти (хранения) информационной системы должна обеспечивать возможность разграничения доступа к информации, хранящейся на них, с достаточной степенью детализации и в соответствии с заданными уровнями (политиками) полномочий пользователей;
- регистрация и документирование технологической и оперативной информации должны быть разделены.
При проектировании и эксплуатации комплекса средств автоматизации, автоматизированной системы управления и информационной системы в целом (сети) на их базе производятся:
- разработка и реализация функциональных задач по разграничению и контролю доступа к аппаратуре и информации как в рамках данного комплекса средств автоматизации, так и информационной системы в целом;
- разработка аппаратных средств идентификации и аутентификации пользователя;
- разработка программных средств контроля и управления разграничением доступа;
- разработка отдельной эксплуатационной документации на средства идентификации, аутентификации, разграничения и контроля доступа. В качестве идентификаторов личности для реализации разграничения широко распространено применение кодов паролей, которые хранятся в памяти пользователя и комплекса средств автоматизации. В помощь пользователю в системах с повышенными требованиями большие значения кодов паролей записываются на специальные носители — электронные ключи или карточки.
###Обычно выделяют следующие методы разграничения доступа:
разграничение доступа по спискам;
использование матрицы установления полномочий;
по уровням секретности и категориям;
парольное разграничение доступа.
###На практике обычно сочетают различные методы разграничения доступа. Например, первые три метода усиливают парольной защитой.
###Заметим, что руководящие документы могут регламентировать два вида (принципа) разграничения доступа:
дискретное управление доступом;
мандатное управление доступом.
Список литературы
https://studref.com/482340/informatika/razgranichenie_kontrol_dostupa_informatsii_sisteme