Просмтор этого файла доступен только зарегистрированным пользователям. Но у нас супер быстрая регистрация: достаточно только электронной почты!

Текст из файла (страница 2)

Разграничение прав субъектам доступа к объектам доступа подразумевает рассмотрение мер по управлению доступом субъектов доступа к объектам доступа. Согласно приказу ФСТЭК №17 данные меры должны обеспечивать управление правами и привилегиями субъектов доступа, разграничение доступа субъектов доступа к объектам доступа на основе совокупности установленных в информационной системе правил разграничения доступа, а также обеспечивать контроль соблюдения этих правил. К данным мерам предъявляются следующие требования:

1. в информационной системе для управления доступом субъектов доступа к объектам доступа должны быть реализованы установленные оператором методы управления доступом, назначены типы доступа субъектов к объектам доступа и реализованы правила разграничения доступа субъектов доступа к объектам доступа;

2. методы управления доступом реализуются в зависимости от особенностей функционирования информационной системы, с учетом угроз безопасности информации и должны включать один или комбинацию следующих методов:

   1. дискреционный метод управления доступом, предусматривающий управление доступом субъектов доступа к объектам доступа на основе идентификационной информации субъекта и для каждого объекта доступа – списка, содержащего набор субъектов доступа (групп субъектов) и ассоциированных с ними типов доступа;

   2. ролевой метод управления доступом, предусматривающий управление доступом субъектов доступа к объектам доступа на основе ролей субъектов доступа (совокупность действий и обязанностей, связанных с определенным видом деятельности);

   3. мандатный метод управления доступом, предусматривающий управление доступом субъектов доступа к объектам доступа на основе сопоставления классификационных меток каждого субъекта доступа и каждого объекта доступа, отражающих классификационные уровни субъектов доступа и объектов доступа, являющиеся комбинациями иерархических и неиерархических категорий;

3. типы доступа должны включать операции по чтению, записи, удалению, выполнению и иные операции, разрешенные к выполнению пользователем (группе пользователей) или запускаемому от его имени процессу при доступе к объектам доступа;

4. правила разграничения доступа реализуются на основе установленных оператором списков доступа или матриц доступа и должны обеспечивать управление доступом пользователей (групп пользователей) и запускаемых от их имени процессов при входе в систему, доступе к техническим средствам, устройствам, объектам файловой системы, запускаемым и исполняемым модулям, объектам систем управления базами данных, объектам, создаваемым прикладным и специальным программным обеспечением, параметрам настройки средств защиты информации, информации о конфигурации системы защиты информации и иной информации о функционировании системы защиты информации, а также иным объектам доступа;

5. правила разграничения доступа регламентируются в организационно-распорядительных документах оператора по защите информации.

Этапы реализации мер по управлению доступом субъектов доступа к объектам доступа происходит постепенно в зависимости от мероприятий по обеспечению защиты информации содержащийся в информационной системе. К таким мероприятиям относиться:

• формирование требований к защите информации, содержащейся в информационной системе;

• разработка системы защиты информации информационной системы;

• внедрение системы защиты информации информационной системы; аттестация информационной системы по требованиям защиты информации (далее – аттестация информационной системы) и ввод ее в действие;

• обеспечение защиты информации в ходе эксплуатации аттестованной информационной системы;

• обеспечение защиты информации при выводе из эксплуатации аттестованной информационной системы или после принятия решения об окончании обработки информации.

Первый этап разграничения доступа происходит в момент разработки системы защиты информации информационной системы который в себя включает следующие действия, связанные с разграничением доступа:

• определяются типы субъектов доступа (пользователи, процессы и иные субъекты доступа) и объектов доступа, являющихся объектами защиты (устройства, объекты файловой системы, запускаемые и исполняемые модули, объекты системы управления базами данных, объекты, создаваемые прикладным программным обеспечением, иные объекты доступа);

• определяются методы управления доступом (дискреционный, мандатный, ролевой или иные методы), типы доступа (чтение, запись, выполнение или иные типы доступа) и правила разграничения доступа субъектов доступа к объектам доступа (на основе списков, меток безопасности, ролей и иных правил), подлежащие реализации в информационной системе.

Вторым этапом является момент внедрение системы защиты информации информационной системы который в себя включает: реализацию правил разграничения доступа, регламентирующих права доступа субъектов доступа к объектам доступа, и введение ограничений на действия пользователей, а также на изменение условий эксплуатации, состава и конфигурации технических средств и программного обеспечения.

Третий этап представляет собой обеспечение защиты информации в ходе эксплуатации аттестованной информационной системы. На данном этапе реализуются следующие действия: заведение и удаление учетных записей пользователей, управление полномочиями пользователей информационной системы и поддержание правил разграничения доступа в информационной системе.

В связи с тем, что система защиты информации на предприятии ещё находиться на стадии разработки, а процесс защиты информации представляет собой непрерывную деятельность было принято решение о разработке программного продукта, реализующего автоматизацию управления доступа субъектов доступа к объектам доступа на основе использования дискреционного метода управления доступом. Выбор был сделан в пользу дискреционного метода управления доступом после сравнительного анализа методов разграничения доступа, деятельности организации и информационных потоков предприятия, дискреционный метод управления доступом представляет собой очень глубокий и строгий метод настройки доступа.

Преимущество данного метода управления доступа заключается в следующем:

• детальное разграничение доступа. Администратор безопасности может в полной мере разрешить или запретить доступ субъекту доступа к объекту доступа согласно его рабочим обязанностям. Например, при реализации мандатного метода доступа при назначении уровня секретности для пользователей, ограничения накладываться лишь на уровни секретности ниже, чем его уровень доступа, тем самым порождается проблема ограничения доступа к объектам имеющий этот же уровень секретности. Дискреционный доступ позволяет решить эту проблему;

• отличное комбинирование с ролевым методом разграничение доступа. При таком подходе можно обеспечить всё мощь дискреционного доступа на большое количество субъектов доступа за кратчайшие время. Т.к. через сформированные группы пользователей на основе ролей можно наследовать права для каждого пользователя имеющих ту или иную роль, тем самым мы не тратим время на назначение прав для каждого объекта в отдельности.

Главным недостатком дискреционного метода управлением доступа, из-за которого на предприятиях его не используют в полную является время настройки прав доступа. Из-за того, что дискреционный метод управления доступом использует детальный подход к назначению прав это занимает много времени и сил при настройке. Ведь для каждого субъекта доступа нужно в отдельности назначить права для тех объектов с которыми он будет работать, а также субъектов доступа на предприятие может быть много и объектов, с которыми они будут работать что делает задачу настройки правд доступа очень трудоёмкой.

Реализация дискреционного метода управления основывается на организационно-распорядительном документе “Матрица доступа”. Данный документ представляет собой таблицу в котором описывается тип доступа субъекта доступа к объекту доступа. Данный документ создаётся на этапе проектирования системы защиты информации.

Рассмотрим требования к реализации дискреционного метода доступа:

• для реализации дискреционного метода управления доступа комплекс средств защиты должен контролировать доступ именованных субъектов (пользователей) к именованным объектам (например, файлам, программам, томам);

• для каждой пары (субъект – объект) в средствах вычислительной техники должно быть задано явное и недвусмысленное перечисление допустимых типов доступа (например, читать, писать), т.е. тех типов доступа, которые являются санкционированными для данного субъекта (индивида или группы индивидов) к данному ресурсу средств вычислительной техники(объекту);

• контроль доступа должен быть применим к каждому объекту и каждому субъекту (индивиду или группе равноправных индивидов);

• механизм, реализующий дискреционный принцип контроля доступа, должен предусматривать санкционированное изменение правил разграничения доступа, в том числе санкционированное изменение списка пользователей средств вычислительной техники и списка защищаемых объектов;

• право изменять правила разграничения доступа должно быть предоставлено выделенным субъектам (например, администрации, службе безопасности);

• должны быть предусмотрены средства управления, ограничивающие распространение прав на доступ;

• комплекс средств защиты должен содержать механизм, претворяющий в жизнь дискреционные правила разграничения доступа, как для явных действий пользователя, так и для скрытых. Под "явными" здесь подразумеваются действия, осуществляемые с использованием системных средств, а под "скрытыми" - иные действия, в том числе с использованием собственных программ работы с устройствами.

Целью выпускной квалифицированной работы является разработка автоматизированного комплекса управления доступом субъекта доступа к объекту доступа.

Данный программный продукт должен выполнять следующие функции:

• автоматизированную настройку прав доступа субъекту доступа к объекту доступа;

• ручная настройки прав доступа субъекту доступа к объекту доступа;

• считывание и отображение прав доступа субъекта доступа к объекту доступа;

• создание отчёта о проведенной настройки прав субъекта доступа к объекту доступа.

Для автоматической настройки прав доступа требуется реализовать механизм чтения конфигурационного файла и последующую передачу считанных данных в соответствующий механизм настройки прав доступа.

Для механизма настройки прав доступа требуется реализовать механизм хранения входных данных, который будет содержать информацию о субъекте доступа и объекте доступа.

Для ручной настройки прав доступа и отображение прав доступа необходимо реализовать удобный графический интерфейс настройки и отображения.

Для создания отчётов требуется реализовать механизм создания текстовых файлом по заданному шаблону.

1. Теоретические аспекты реализуемых функций

Одним из важнейших компонентов системы безопасности операционной системы Windows является система контроля и управления дискреционным доступом. Для ее описания принято использовать формальные модели. Для построения формальных моделей безопасности принято представлять информационную систему в виде совокупности взаимодействующих сущностей: субъектов и объектов. Защищаемые объекты Windows включают: файлы, устройства, каналы, события, мьютексы, семафоры, разделы общей памяти, разделы реестра. Субъектами в Windows являются процессы и потоки, запускаемые конкретными пользователями. Субъект безопасности – активная системная составляющая, а объект – пассивная.

Ключевая цель системы защиты Windows – следить за тем, кто и к каким объектам осуществляет доступ. Система защиты хранит информацию, относящуюся к безопасности для каждого пользователя, группы пользователей и объекта. Модель защиты операционной системы Windows требует, чтобы субъект на этапе открытия объекта указывал, какие операции он собирается выполнять в отношении этого объекта. Единообразие контроля доступа к различным объектам (процессам, файлам, семафорам и др.) обеспечивается тем, что с каждым процессом (потоком) связан маркер доступа, а с каждым объектом дескриптор безопасности. Маркер доступа в качестве параметра имеет идентификатор пользователя, а дескриптор безопасности – списки прав доступа. Операционная система может контролировать попытки доступа, которые прямо или косвенно производятся процессами и потоками, инициированными пользователем.

Операционная система Windows отслеживает и контролирует доступ к разнообразным объектам системы (файлы, принтеры, процессы, именованные каналы и т.д.). Помимо разрешающих записей, списки прав доступа содержат и запрещающие записи, чтобы пользователь, которому доступ к объекту запрещен, не смог получить его как член какой-либо группы, которой этот доступ предоставлен.

Пользователи системы для упрощения администрирования (объединены в группы. Пользователей и группы иногда называют участниками безопасности. Пользователи посредством порождаемых ими субъектов (процессов, потоков) осуществляют доступ к объектам (файлам, устройствам и др.).

Каждый пользователь (и каждая группа пользователей) системы должен иметь учетную запись (account) в базе данных системы безопасности. Учетные записи идентифицируются именем пользователя и хранятся в базе данных SAM (Security Account Manager) в разделе HKLM/SAM реестра.

Учетная запись пользователя содержит набор сведений о пользователе, такие, как имя, пароль (или реквизиты), комментарии и адрес. Наиболее важными элементами учетной записи пользователя являются: список привилегий пользователя в отношении данной системы, список групп, в которых состоит пользователь, и идентификатор безопасности SID (Security IDentifier). Идентификаторы безопасности генерируются при создании учетной записи. Они (а не имена пользователей, которые могут не быть уникальными) служат основой для идентификации субъектов внутренними процессами операционной системы Windows.

SID пользователя (и группы) является уникальным внутренним идентификатором и представляют собой структуру переменной длины с коротким заголовком, за которым следует длинное случайное число. Это числовое значение формируется из ряда параметров.

Каждому объекту в системе назначается набор сведений управления доступом. Этот набор данных, называемый дескриптором безопасности, определяет, какой тип доступа разрешается пользователям и группам. Дескриптор безопасности создается автоматически вместе с объектом. Типичным примером объекта с дескриптором безопасности является файл.

Характеристики

Список файлов ВКР