Управление доступом к компьютерной системе

Системный администратор контролирует работу сети компьютеров и пользователей: какие программы установлены и что разрешено с ними делать конкретному пользователю, каково состояние файловой системы и регистрационных файлов внешнего доступа. Отслеживание работы компьютерной системы помогает выявлять попытки взлома и устанавливать, что было сделано, важные системные файлы сверяются с резервными копиями. Особо организуется процедура уничтожения и специального хранения информации.

Управление доступом, контроль доступа — ограничение доступа к ресурсам компьютерной системы: программам, процессам, документам – только лицами, имеющими на это санкцию.

Защите подлежат не только секреты, но и управляемость. Стандартность архитектуры оборудования и программного обеспечения персональных компьютеров, частые обновления программного обеспечения благоприятствуют сравнительно легкому несанкционированному доступу (НСД) к компьютерной информации.

В защите компьютерной информации от НСД можно выделить направления:

· недопущение нарушителя к вычислительной среде, которое основывается на специальных технических средствах опознавания пользователя;

· защита вычислительной среды, основанная на создании специального программного и аппаратного обеспечения по защите информации;

· специальные средства защиты компьютерной информации от НСД.

Степень защиты данных отличается для разных лиц: одним разрешается читать информацию, необходимую им по работе; другим изменять информацию, которую им определенно поручено изменить, некоторая информация должна остаться пользователям недоступной (например, записи в журналах истории работы).

Механизм контроля доступа включает в себя оборудование, программное обеспечение, процедуры администрирования системы, которые обнаруживают, предотвращают несанкционированный и разрешают законный доступ.

Протокол доступа — правила разграничения доступа, по которым выполняется доступ, регламентируются права субъектов доступа к объектам доступа, ведется учет доступа и попыток обхода ограничений и взлома в журналах истории.

Информационные потоки можно разделить по назначению содержания:

1) циркулирующие внутри рабочей группы (проект закона, ведущееся дело);

2) поступающие к исполнителям и от них (индивидуальные задачи

3) поступающие к руководителям подразделений и высшего руководства и от них (индивидуальные задачи, планы, протоколы стратегических совещаний, сводные отчеты, итоговые материалы, результаты).

Когда информацией пользуется группа пользователей, для управления доступом необходимо определить важность тех или иных данных для различных субъектов. В зависимости от этого установить права доступа к устройствам, программам, файлам: читать, записывать, изменять документы и записи в базе данных, исполнять (запускать), устанавливать или удалять программы.

Санкционированный доступ к информации не нарушает правил разграничения доступа. К конфиденциальной информации разрешен только санкционированный доступ, допускаются только авторизованные субъекты — прошедшие проверку пользователи, процессы, программы.

Несанкционированный доступ к информации нарушает права разграничения доступа с использованием штатных средств, предоставляемых вычислительной техникой или автоматизированными системами.

Субъект доступа — лицо или процесс, действия которого регламентируются правилами разграничения доступа.

Объект доступа — единица информации, устройство или носитель, доступ субъекта к которым регламентируется правилами разграничения доступа. Объектом считается компонент системы, хранящий, принимающий или передающий информацию. Доступ к объекту подразумевает доступ к содержащейся в нем информации, ее обработку, копирование, изменение, удаление. Примеры объектов: документы, страницы, файлы, каталоги, программы, таблицы баз данных, а также отдельные биты, байты, слова, поля, записи; устройства: принтеры, дисководы, сетевые узлы, кабели и др.

Нарушитель правил разграничения доступа — субъект доступа, который осуществляет несанкционированный доступ к информации, применяет для несанкционированного доступа к информации программное и техническое обеспечение. Нарушитель санкционированного доступа выходит за пределы своего уровня полномочий работы с информацией в автоматизированных системах, выполняет незапланированное ознакомление, обработку, копирование, разрушает программные продукты, модифицирует или уничтожает информацию в нарушение установленных правил разграничения доступа.

Авторизация (англ. authorization — санкционирование, разрешение, уполномочивание) – процедура, по которой пользователь при входе в систему опознается и получает права доступа, разрешенные системным администратором, к вычислительным ресурсам (компьютерам, дискам, папкам-каталогам, периферийным устройствам, таким, как принтер, сканер). Используется также термин регистрация. Авторизация выполняется программой и включает несколько этапов.

1. Идентификация — предоставление идентификатора, которым может являться несекретное имя, слово, число, для регистрации пользователя в компьютерной системе. Субъект указывает имя пользователя (или имя ресурса — компьютера). Предъявленный идентификатор сравнивается с перечнем идентификаторов. Пользователь, у которого идентификатор зарегистрирован в системе, расценивается как правомочный (легальный) субъект, в противном случае он относится к неправомочным. Синонимом идентификатора является логин (login, англ. log in — шлагбаум на въезде). Идентификатор-логин может быть несложным: имя, фамилия, инициалы, название группы, просто слово или число, но в любом варианте — набор букв и цифр, уникальный для данной системы. Для связи через модем с провайдером сетевых услуг логин часто совпадает с частью адреса электронной почты, которая стоит до символа @.

Аутентификация (authentication) — проверка подлинности, то есть того, что предъявленный идентификатор действительно принадлежит субъекту доступа. Выполняется на основе сопоставления имени пользователя и пароля. После аутентификации субъекту разрешается доступ к ресурсам системы на основе разрешенных ему полномочий – прав действий, работы с программами, базами данных, каталогами, файлами и настройками компьютера и сети («Скажи мне, кто ты, и скажу, что тебе можно»). Уровень доступа может зависеть от того, с какого компьютера выполнен вход в компьютерную сеть.

Пароль — секретная для остальных пользователей последовательность символов, которую пользователь вводит после ввода своего имени для входа в систему.

Пользователь может получить различные права доступа к ресурсам:

· чтение — пользователю разрешено только чтение статичных ресурсов;

· запись — пользователь может создавать и удалять ресурсы;

· исполнение ресурсов разрешено выполнение некоторых программ и работа с устройствами (принтером, модемом);

· просмотр папок — разрешено просматривать имена файлов каталоге.

Учетная запись пользователя (account) содержит сведения, определяющие этого пользователя в операционной системе: имя пользователя, под которым он известен системе, и пароль для входа пользователя в систему, имена групп, членом которых пользователь является, а также права и разрешения, которые он имеет при работе в системе и доступе к ее ресурсам. Пользователи — это все, кому разрешено пользоваться системой.

Идентификатор (имя пользователя) хранится в системе открыто, пароль хранится в зашифрованном виде. Когда пользователь обращается к ЭВМ, введенный им пароль зашифровывается и сравнивается с хранящимся зашифрованным значением. Доступ предоставляется, если обе величины одинаковы.

Нарушение защиты может происходить даже и при наличии идентификатора и пароля. Если пользователь покидает компьютер, не завершив сеанс после регистрации доступа, или раскрывает секрет пароля, то защита может быть нарушена.

Для подтверждения подлинности пользователь может применять не только идентификатор и пароль, но и аппаратные элементы на руках, подключаемые в компьютерную систему (пластиковые карты, микросхемы).

Пластиковая карточка — пластина стандартных размеров (85,6×53,9×0,76 мм), изготовленная из устойчивой к механическим и химическим воздействиям пластмассы и хранящая идентификационные данные для банка. Носителем информации является магнитная полоса или другой элемент.

Для дополнительной защиты банк сообщает владельцу карты для запоминания личный идентификационный номер (PIN) — от 4 до 8 десятичных цифр. При доступе может ставиться защита от перебора номера – если идентификатор пользователя и пароль не соответствуют после нескольких последовательных попыток регистрации, система может позволить новые попытки регистрации не ранее чем через три-пять секунд или вообще прекратить действие PIN после 5 неверных попыток в день.

Из-за того, что карточки с магнитной полосой недостаточно защищены от подделок и взлома их информации, платежные системы переходят на карты со встроенной микросхемой (чипом), превращающей ее в микрокомпьютер с процессором, ОЗУ, ПЗУ, программируемым ПЗУ.

Смарт-карта (англ. smart card — интеллектуальная карта) — устройство размером с кредитную карту, используемое в сочетании с кодом доступа для проверки подлинности и входа в систему. Хранит сертификаты, открытые и закрытые ключи, пароли и другие личные данные.

К компьютерам, банкоматам, кассовым аппаратам магазинов для чтения смарт-карт подключают специальные устройства. Для подтверждения подлинности помимо номера нужно знать еще фамилию владельца и дату окончания действия карты. Введенная информация контролируется через прямой доступ к банку. При совершении крупной покупки в интернет-магазине банк может позвонить владельцу телефона (указанному в заполненной на сайте форме) и поинтересоваться действительно ли он хочет купить нечто за несколько тысяч долларов. Применение карт затруднено в торговых точках стран с неразвитой системой связи.

В известной степени карта уязвима для мошенничества. Большинство преступлений в сфере обращения пластиковых карт связано с их подделкой. На заготовку наносится логотип эмитента, поле для проставления подписи и воспроизводятся признаки защиты (подлинные реквизиты существующих карт). Согласно оценкам, в поле зрения правоохранительных органов попадает лишь 15% преступлений, святых с хищением и подделкой карт. Первенство в изготовлении поддельных карт держат жители Юго-Восточной Азии, преступные сообщества выявлялись в Испании, Италии и Великобритании.

Дня повышения надежности авторизации в компьютерной сети применяется комбинированный подход: идентификация пользователя по смарт-карте и вводу пароля.

Смарт-карты усиленной аутентификации (или жетоны) имеют криптографические алгоритмы защиты или генерируют информацию, которую компьютер использует в качестве одноразового пароля — уникального для установления каждого сеанса с сетевым компьютером. Даже в случае перехвата пароля злоумышленник не сможет использовать его для повторного сеанса.

* Биометрические системы идентификации идентифицируют индивидуума по уникальным биометрическим характеристикам человека, которые являются неотъемлемой частью личности, их невозможно потерять, передать, забыть. К проверяемой биометрической информации относятся отпечатки пальцев, сетчатка и радужная оболочка глаза, особенности и структура лица, геометрия кистей рук.

Устройства, сканирующие физиологические характеристики человека, выпускаются как отдельные устройства, а для отпечатков пальцев встраиваются в мыши, клавиатуры, ноутбуки. Они контролируют доступ в помещения, хранилища, исследовательские лаборатории, банки, банкоматы, военные сооружения, используются дня предотвращения воровства и мошенничества. Устройства мониторингового контроля уже после предоставления доступа следят за ритмом работы на клавиатуре (оценивают промежутки времени между ударами при печатании символов, расположенных в определенной последовательности) и блокируют систему, если за компьютером начал работать не тот человек, которому доступ был предоставлен первоначально.

Сетевые экраны

Сетевой экран (или межсетевой экран) — система или группа систем, которые исполняют правила-условия прохождения информации через границу» из одной сети в другую сеть. Что именно запретить и разрешить — определяется так называемой политикой управления доступом между двумя сетями: из Интернета в корпоративную, локальную сеть организации и обратно, из внутренней сети в Интернет.

Другое название экрана — брандмауэр или файервол (буквально — стена из негорючего материала, препятствующая распространению пожара).

Действие сетевого экрана в отношении движения пакетов данных в сети двойное — блокировать и разрешать. Межсетевая защита образует «пограничный пост» (на котором выполняется и защита, и проверка документов, и регистрация), она оставляет отчет администратору о том, какой трафик проходил через нее, откуда, какие и на что были направлены попытки взлома и др.

Основная защита сетевого экрана - от несанкционированного входа в систему извне. Иногда сетевая защита полностью блокирует трафик снаружи внутрь, но разрешает внутренним пользователям свободно связываться с внешним миром. Некоторые сетевые экраны разрешают только движение электронной почты, защищая сеть от любого другого проникновения. Другие сетевые экраны обеспечивают менее строгую защиту, блокируют только проблемные услуги (чат) и проверяют прикладные программы, которые перекачиваются из сети, файлы, прикрепленные к письмам, на наличие вредоносных свойств. Сетевой экран устанавливают для защиты важной финансовой, юридической, исследовательской информации и внутри корпоративной сети — от копирования и повреждения со стороны своих сотрудников. При отсутствии сетевого экрана злоумышленник может изменить информационное наполнение, украсть данные, организовать без разрешения личный веб-сайт на сервере организации.

Защита информации на дисках

Операционные системы позволяют защищать диски, папки от доступа паролем и шифрованием, пользователь сам должен заботиться об установке прав доступа к сетевым папкам. Для выделенной папки команда Файл, Свойства позволяет разграничить доступ: определить папку как общедоступный сетевой ресурс (содержимое папки можно изменить с любого компьютера сети); ресурс только для чтения (папка показывает имена файлов, их можно открывать, но не изменять и не удалять); ресурс, защищенный паролем (открывать папку и работать с ней можно только по паролю).

Желательно лишить посторонних возможности записи в личную папку. В противном случае предоставляется возможность создания и удаления файлов вашей папки по их усмотрению неизвестным лицам.

Не рекомендуется предоставлять доступ к своему почтовому ящику другим лицам, передавать им пароль.

Для защиты интеллектуальных ресурсов в цифровом формате: программ, баз данных, графических изображений и музыкальных произведений, дисков, компакт-дисков — от нелицензионного использования применяется технология маркировки информации в виде водяного знака, метки времени, аутентификация пользователя по предъявленному электронному ключу.

Физическая метка на носителе с массивом данных не допускает копирование. Участок дискеты или компакт-диска специально повреждается аппаратурой. Программа в процессе работы с данными проверяет наличие и параметры повреждения, делая вывод о легальной» копии.

Водяные знаки могут быть видимыми (печатными) и скрытыми (цифровыми). Печатный водяной знак видим. Как правило, это подпись и (или) логотип, показывающие, что изображение принадлежит конкретному автору или компании. Опытный компьютерный график может удалить печатный водяной знак или заменить его.

Цифровой водяной знак — цифровой идентификационный код, обозначающий авторские права (логотип, ID, адрес URL или электронной почты), вставленный в код цифрового изображения, мультимедиафайла, компакт-диска. В отличие от печатного водяного знака, он невидим (неслышим) и извлекается при необходимости с помощью программы. Биты цифрового водяного знака распределены в файле, поэтому их трудно изменить, они выдерживают правку рисунка (масштабирование, вращение, сжатие с потерями). В пиратской копии компакт-диска электронный отпечаток можно обнаружить и определить исходный авторизованный диск, с которого выполнено копирование.

Иногда эти способы применяют совместно с шифрованием, цифровой подписью, чтобы повысить защищенность программного обеспечения и данных.

Электронный ключ — компактное микроэлектронное устройство с процессором, устанавливаемое на параллельный или последовательный порт (разъем) компьютера для защиты доступа к компьютеру или интеллектуальной собственности. Электронный ключ генерирует отклик после обращения к нему защищаемой программы и разрешает пользоваться ею или базой данных только при своем наличии.

 

Электронный ключ может иметь два разъема: один для подключения ключа к порту компьютера, а другой - для подключения через него периферийных устройств (принтера, модема). Дополнительное питание устройству не требуется, в энергонезависимой памяти хранится информация для идентификации ключа, разработчика прикладной программы и ее версии. Копирование материалов не позволит воспользоваться ими на другом компьютере. Выбор конкретного способа определяется целями защиты: предотвратить пиратское копирование и тиражирование программ и цифровых произведений; обеспечить их целостность, то есть предотвратить внесение неавторизованных изменений; обеспечить соблюдение пользователем условий лицензионного соглашения.

Резервирование информации

Резервирование или резервное архивирование, - создание страховочных копий файлов документов, программ и баз данных для безопасного и экономного хранения данных в отдельном (от исходного компьютера) устройстве и последующего восстановления (извлечения зарезервированных файлов) на прежнем месте. Информация при резервировании может сжиматься, а может и не сжиматься, главное, что создается запасная копия на случай потери данных на исходном компьютере из-за сбоев оборудования, ошибок программ и вмешательств человека.

Обычно резервирование проводится раз в неделю или раз в день, но в организациях с очень большим числом пользователей и интенсивной компьютерной работой резервирование может выполняться два-три раза в день. Работая над диссертацией, книгой или большим отчетом, резервирование следует выполнять самостоятельно раз в неделю или каждый день.

Резервирование выполняется копированием важных файлов с диска на другое устройство и отдельный носитель: жесткие диски, магнитные ленты стримера (библиотека дисков или магнитных лент), сетевой диск сервера, компакт-диски. Для защиты целостности данных администратор может определить отдельное помещение для хранения резервных копий.

Резервирование в Интернете выполняется отправкой файлов в какой-нибудь сервер-хранилище («облако»).

Процедуру резервирования выполняют с помощью программы резервирования, которая входит в стандартную поставку Windows. Есть много других утилит резервирования. Резервное архивирование может сохранить не только файлы документов, но и электронную почту, системные файлы, параметры конфигурации, необходимые для восстановления операционной системы после сбоя. В архив записывается полное описание путей к файлам на диске, чтобы при необходимости восстановить их в прежней папке при извлечении файлов из резервного архива на исходный жесткий диск, другой диск и компьютер.

Расписание и режимы резервирования — настройка для определения порядка резервирования и отбора документов и программ для резервирования.

Резервный архив обычно собирает компьютерные данные организации за определенный период. Организация, имеющая локальную сеть, резервирует по стандартному расписанию, а индивидуальные пользователи предпочитают выборочное резервирование файлов, которые они считают важными. Обычно сетевое резервирование производится только для данных, которые сохранены на центральном носителе (например, на сетевом диске файл-сервера), не фиксируются данные, сохраненные на жестких дисках индивидуальных пользователей. Расписание резервирования типичной сети — это еженедельно (например, в пятницу в конце рабочего дня) «разностное» резервирование, фиксирующее все новые или измененные файлы, сделанные в предыдущие дни.

Полное резервирование выполняется для всех файлов. Разностное (или добавочное) резервирование касается только новых файлов и ранее резервированных, но измененных.

Для экономии носителей допускается их ротация по циклам. Например, резерв третьей недели пишется на носителе «поверх» данных первой недели, резерв четвертой недели пишется на носителе «поверх» данных второй недели. В конце месяца проводится полное резервирование, которое выносится из ротаций, и ежемесячные копии хранятся несколько лет.