Просмтор этого файла доступен только зарегистрированным пользователям. Но у нас супер быстрая регистрация: достаточно только электронной почты!

Текст из файла (страница 3)

В классических моделях разграничения доступа, права на выполнение определенных операций над объектом прописываются для каждого пользователя или группы пользователей. В ролевой модели разделение понятий роль и пользователь позволяет разбить задачу на две части: определение роли пользователя и определение прав доступа к объекту для роли.

Разделение обязанностей

Еще одним важным принципом в системе управления доступом является разделение обязанностей. Довольно распространены ситуации, в которых ряд определенных действий не может выполняться одним человеком во избежание мошенничеств.

Формально ролевую модель управления доступом можно изобразить следующим образом (рисунок1.6.3.1).

Модель состоит из следующих сущностей:

• пользователи;

• роли;

• привилегии.

Из диаграммы видно, что связи "Назначение ролей пользователям" и "Назначение привилегий" принадлежат типу много в много. Пользователь может иметь несколько ролей и несколько пользователей могут принадлежать одной роли. Аналогично несколько привилегий могут принадлежать одной роли и несколько ролей могут иметь одну и ту же привилегиюСессия относит пользователя к множеству ролей. Интуитивно понятно, что пользователь активизирует сессию для выполнения некоторой задачи. В этот момент система может определить те роли и привилегии, которые требуются пользователю для выполнения задачи и запретить остальные.

Рисунок 1.6.3.1– Ролевая модель управления доступом

1. Области применения

Различные организации имеют свои специфичные требования к политике безопасности. Система дискреционного управления доступом подразумевает, что все ресурсы системы принадлежат пользователям системы, а значит следить за доступом к ресурсу должен его владелец, т.е. пользователь. Такие системы в основном рассчитаны на небольшое количество пользователей. При росте числа пользователей, количество работ по администрированию системы возрастает многократно.

Для организаций в которых требуется четкая централизованная система управления доступа, при которой каждый пользователь имеет ровно столько информации сколько ему требуется, и безопасность или надежность данных является основным приоритетом, уместно использовать систему обязательного контроля за доступом. Обычно это большие организации, где функции всех ее членов строго регламентированы. К ним в основном относятся военные институты.

Также довольно часто требуется совместить гибкость настройки с централизованным управлением. Тогда использование комбинации обязательного и дискреционного контроля за доступом представляется вполне целесообразным. Такая комбинация позволяет централизованно ограничить доступ к наиболее критичным ресурсам на самом верхнем уровне, и в то же время позволить пользователям управлять доступом к менее важным данным.

Системы с ролевым управлением доступом целесообразно использовать в больших организациях, со сложной иерархией и большим количеством разделяемых операций.

В такой системе данные обычно принадлежат не пользователю, а системе. И управление доступом к ресурсам основывается не на принадлежности ресурса, а на функциях пользователя в организации.

1.8 Вывод об исследованных моделях

Были исследованы различные методы управления доступом:

• модель дискреционного контроля за доступом;

• модель мандатного контроля за доступом;

• ролевая модель контроля за доступом.

В ходе исследования было выяснено, что с помощью ролевой модели мы можем построить любую другую модель доступа, что означает, что ролевая модель является моделью или методом построения для любой модели управления доступом.

2 Порядок разработки архитектуры программного обеспечения

2.1 Требования к реализации программного продукта управления правами доступа

В соответствие требованиями методического документа «Меры защиты информации в государственных информационных системах», утвержден приказом ФСТЭК России от 11 февраля 2014 года, а также, в соответствии с ISO 27002-2005 (П. 11.2.4), к системам управления доступом субъектов информации к объектам информации, оператором должны быть установлены и реализованы следующие функции управления учетными записями пользователей, в том числе внешних пользователей:

• выявление типа учетной записи (локальный пользователь, доменный пользователь; системный и т.д.);

• объединение учетных записей в группы;

• верификацию пользователя (установление личности пользователя для выявления его должностных обязанностей) при заведении учетной записи пользователя;

• менеджмент учетных записей (создание, удаление, изменение);

• порядок заведения и контроля использования гостевых (анонимных) и временных учетных записей пользователей, а также привилегированных учетных записей администраторов;

• уведомление администратора, осуществляющего управление учетными записями пользователей, об изменении сведений о пользователях, обязанностях, полномочиях, ограничениях;

• уничтожение временных учетных записей пользователей, созданных для одноразового использованияили ограниченного по времени выполнения задач в информационной системе;

• предоставление пользователям прав доступа к объектам доступа информационной системы, основываясь на задачах, решаемых пользователями в информационной системе и взаимодействующими с ней информационными системами.

Временная учетная запись может быть заведена для пользователя на ограниченный срок для выполнения задач, требующих расширенных полномочий, или для проведения настройки, тестирования информационной системы, для организации гостевого доступа (посетителям, сотрудникам сторонних организаций, стажерам и иным пользователям с временным доступом к информационной системе).

Правила и процедуры управления учетными записями пользователей регламентируются в организационно-распорядительных документах оператора по защите информации.

В рамках данной работы, задачи управления учетными записями пользователей, объединение их в группы и верификация возлагается на стандартные средства операционной системы, либо на прочие программные комплексы.

В информационной системе для управления доступом субъектов доступа к объектам доступа должны быть реализованы установленные оператором методы управления доступом, назначены типы доступа субъектов к объектам доступа и реализованы правила разграничения доступа субъектов доступа к объектам доступа.

Методы управления доступом реализуются в зависимости от особенностей функционирования информационной системы, с учетом угроз безопасности информации и должны включать один или комбинацию следующих методов:

• дискреционный метод управления доступом.Предусматривает управление доступом субъектов доступа к объектам доступа на основе идентификационной информации субъекта и для каждого объекта доступа – списка, содержащего набор субъектов доступа;

• ролевой метод управления доступом. Предусматривает управление доступом субъектов доступа к объектам доступа на основе ролей субъектов доступа;

• мандатный метод управления доступом, предусматривающий управление доступом субъектов доступа к объектам доступа на основе сопоставления классификационных меток каждого субъекта доступа и каждого объекта доступа, отражающих классификационные уровни субъектов доступа и объектов доступа, являющиеся комбинациями иерархических и неиерархических категорий.

Типы доступа должны включать операции по чтению, записи, удалению, выполнению и иные операции, разрешенные к выполнению пользователем или запускаемому от его имени процессу при доступе к объектам доступа.

Правила разграничения доступа реализуются на основе установленных оператором списков доступа (матриц доступа) и должны обеспечивать управление доступом пользователей и запускаемых от их имени процессов при входе в систему, доступе к техническим средствам, устройствам, объектам файловой системы, запускаемым и исполняемым модулям, объектам систем управления базами данных, объектам, создаваемым прикладным и специальным программным обеспечением, параметрам настройки средств защиты информации, информации о конфигурации системы защиты информации и иной информации о функционировании системы защиты информации, а также иным объектам доступа.

Правила разграничения доступа регламентируются в организационно-распорядительных документах оператора по защите информации.

Таким образом, созданное программное обеспечение должно выполнять следующие функции:

• создание матрицы доступа учетных записей пользователей;

• просмотр зарегистрированных учетных записей в системе;

• проверка реальных прав доступа пользователей к объектам доступа

• возможность анализа файловой системы (в том числе возможных сетевых расположений) по требованию администратора безопасности;

• выявление несоответствий прав учетных записей матрице доступа;

• создание отчета о выполненном анализе.

2.2 Способы получения информации о конфигурации системы

Операционные системы «Windows» предоставляют широкий набор инструментов для администрирования компьютера. Одним из наиболее удобных инструментов администрирования, доступных для пользовательских программ, является «Windows Management Instrumentation» (WMI). «Windows Management Instrumentation» –это технология управления и слежения за работой различных частей компьютерной системы под управлением «Windows». В основе WMI лежит объектно–ориентированный подход к представлению компонентов системы. Поля объектов, предоставляемых WMI, являются динамическими, это означает, что значения этих полей нигде не хранятся, а создаются по запросу пользователя. Все классы сгруппированы в пространства имён, которые иерархически упорядочены, то есть допускают наличие классов–потомков и классов – родителей.

WMI предоставляет большое количество классов для доступа к информации о компьютерной системе. Так, например, для доступа к учётным записям пользователей можно воспользоваться классом «Win32_UserAccount», а для доступа к информации о группах пользователей – «Win32_Group». Существует ряд классов для доступа к объектам файловой системы, например, класс «Win32_LogicalDisk» предоставляет информацию о логических дисках, а «Win32_Directoty» –о папке. Для доступа к правам пользователя на файл можно использовать класс FileSystemAccessRule.

Для обращения к объектам WMI применяется специальный язык запросов – «WMI Query Language» (WQL), который является разновидностью SQL. Использование WQL позволяет работать с объектами WMI как с таблицами баз данных, что может быть удобным как при обращении к объектам из пользовательских программ, так и из внешних скриптовых оболочек, например, Windows PowerShell. На рисунке 2.2.1 отображена схема реализации WMI.

Рисунок 2.2.1 – Архитектура WMI

2.3 Разработка архитектуры программного продукта

Основной задачей разрабатываемого программного продукта является обнаружение ошибок распределения прав доступа к пользовательским файлам. Наличие таких ошибок может стать причиной появления несанкционированного доступа. Настройкой прав доступа может заниматься только администратор безопасности системы. Причины появления ошибок настройки прав могут быть следующими:

• некоторые пользователи могут являться членами групп, обладающих административными правами, и, вследствие этого, получать доступ к файлам как члены административных групп;

• права пользователя на файл могут быть унаследованы от директории, в которой находится файл;

• при создании файла пользователь применяет политику по умолчанию, которая может не соответствовать ожиданиям пользователя.

Таким образом, для выполнения своей основной функции разрабатываемая программа должна располагать сведениями обо всех пользователях компьютерной системы и группах пользователей, а также обо всех файлах на текущем компьютере. Результатом работы программы должен являться отчёт, содержащий сведения о том, какие права имеет определённый пользователь на определённый файл и по каким причинам он имеет эти права. Исходя из сказанного, можно определить минимальный набор режимов работы программы:

• просмотр имён всех учётных записей пользователей, зарегистрированных на данном компьютере;

• просмотр всех пользовательских групп на данном компьютере;

• просмотр файлов, хранящихся на данном компьютере (в указанной директории, на указанном диске или всех файлов на компьютере);

• проверка прав доступа конкретного пользователя (всех пользователей) на конкретный файл или на группу файлов (файлы в указанной директории).

Согласно принципу декомпозиции, следует разделить поставленную задачу на более мелкие части, чтобы упростить процесс ее решения. Разрабатываемый программный продукт можно разделить, как минимум, на три модуля или объекта. Первый модуль будет служить для сбора информации о субъектах и объектах компьютерной системы, на которой запущена программа. Второй модуль будет выполнять все действия по анализу доступа субъектов к объектам. Третий модуль будет предоставлять пользовательский интерфейс.

Характеристики

Список файлов ВКР