2.2. Системная защита

2.2.1. Защита от сетевого доступа

Права опытного пользователя позволяют ему управлять доступом и к

обозреваемым ресурсам, прежде всего к своим папкам, в которых содер-

жатся файлы с данными. Во-первых, без острой необходимости не откры-

вайте общий сетевой доступ к папке с ответственными данными (рис. 4),

иначе с любой рабочей станции сети эта папка будет видна всем пользова-

телям, допущенным к работе на этой станции.

Во-вторых, если служебная необходимость заставляет вас сделать пап-

ку общедоступной (для коллективного пользования), в пределах разумного

ограничьте число допущенных пользователей и разрешения на доступ к

данным. Обычно сисадмин предоставляет опытному пользователю (менед-

жеру группы) право на создание ресурса коллективного пользования. Толь-

ко при наличии такого права в окне Свойства папки появится вкладка Дос-

туп, с помощью которой и создается общедоступная папка (см. рис. 1б, 5а).

18

Разрешение общего

доступа к папке

Рис. 4. Запрет на сетевой доступ к папке

В окне доступа следует переключатель поставить в положение От-

крыть общий доступ к этой папке и ввести предельное число допущен-

ных пользователей. Следующий этап – выдача разрешений (нажать кнопку

Разрешения – рис. 5а). В появившемся окне (рис. 5б) следует удалить груп-

пу Все (кнопка Удалить) и с помощью кнопки Добавить перейти к орга-

низации своей группы. В окне выбора (рис. 5в) кнопкой Типы объектов

выбираем тип Пользователи. Если мы наверняка знаем сетевые имена

пользователей, то тут же можем их ввести [Введите имена выбираемых

объектов (примеры)]. Если есть сомнения, кнопкой Дополнительно разво-

рачиваем окно выбора (рис. 5г) и, нажав в нем кнопку Поиск, ищем в спи-

ске нужные сетевые имена. После группового выделения кнопкой Ок они

включаются в список лиц, допущенных к папке.

Вернувшись в окно (рис. 5в), кнопкой Ок выходим на конечный ре-

зультат (рис. 6). В окне разрешений каждому члену группы оформляем тип

доступа к папке. Если все они будут равноправно вводить данные в файлы

этой папки, надо либо разрешить полный доступ к папке (установить фла-

жок разрешения Полный доступ, при этом автоматически установятся

флажки разрешения Изменение, Чтение), либо разрешить редактирование

(установить флажок Изменение, при этом автоматически установится фла-

жок разрешения Чтение).

а) шаг 1

в) шаг 3

19

б) шаг 2

Фиксация

выбора

г) шаг 4

Рис. 5. Организация коллективного доступа к папке

20

Рис. 6. Оформление разрешений на тип доступа к папке

и ярлык папки в файловом мониторе

Из окна разрешений по Ок выходим в окно свойств (см. рис. 5а), а в

нем по Ок закрепляем все сделанные выше установки коллективного дос-

тупа. Теперь папка, в которой будет создаваться коллективная база дан-

ных, доступна всем членам группы в пределах индивидуальных разреше-

ний, установленных менеджером группы. К ярлыку папки прикрепляется

«рука дающего» (рис. 6). Посторонние лица (кроме системного админист-

ратора) к данной папке не имеют доступа c других рабочих станций.

Теперь с позиций защиты данных есть смысл проверить, а при необ-

ходимости и настроить параметры кэширования файлов (кнопка Кэширо-

вание – рис. 5а, 7). Здесь кэширование означает возможность вручную или

автоматически скопировать файлы из папки в кэш-память любой рабочей

станции, получившей доступ к данным, с тем, чтобы использовать их в

дальнейшем в автономном режиме. Если мы ограничиваем пользователя

сроком доступа к данным, то есть смысл разрешить кэширование, так как

кэш является областью оперативной памяти и позволяет быстро обрабаты-

вать помещенные в него данные (файлы).

Если же мы больше обеспокоены защитой данных от малейших по-

ползновений, то проще запретить кэширование (рис. 7). Правда, без приня-

тия специальных мер это не спасает от копирования файлов из папки об-

щего доступа на диски других рабочих станций.

21

Если кэширование запре-

щено, снять флажок

Рис. 7. Запрет кэширования файлов

2.2.2. Защита от локального доступа

Если компьютер используется локально несколькими пользователями,

то защиту от несанкционированного доступа к папкам и файлам должен

осуществлять владелец компьютера, наделенный правами администратора.

И первое, что он должен сделать, – создать учетные записи пользователей

(Пуск/Настройка/Панель управления/Учетные записи пользователей).

Второе – надо включить режим безопасности, для чего следует войти в оп-

цию Пуск/Настройка/Панель управления/Свойства папки и в окне вкладки

Вид снять флажок Использовать простой общий доступ к файлам (реко-

мендуется). В результате в свойствах папок и файлов появится вкладка

Безопасность⁹. Войдя по этой вкладке в окно безопасности (рис. 8), мы

увидим нечто подобное (с увеличенным числом разрешений) (см. рис. 5б).

Управление списком пользователей в окне безопасности аналогично

описанному выше для сетевого доступа. Для каждого пользователя, вы-

бранного из списка, владелец (администратор) может установить персо-

нальные разрешения и запреты, манипулируя флажками Разрешить и За-

претить. При запрете всех видов доступа пользователя к папке или файлу

достаточно установить опцию (флажок) запрета полного доступа. Осталь-

ные флажки запрета (исключая особые разрешения) установятся автома-

тически. Теперь все попытки доступа к содержимому папки или файла бу-

дут пресекаться (рис. 9).

9 Напомним, что данный режим безопасности возможен для диска в формате NTFS.

а) папка

22

б) файл

Рис. 8. Элементы управления локальной безопасностью папки и файла

а) папка

Пользователь vlad

б) файл

Рис. 9. Защита папки и файла от локального доступа

23

Эффективным средством защиты от локального доступа к папкам яв-

ляется механизм личных папок. Для каждого пользователя Windows созда-

ет личную папку Мои документы, хранящуюся на системном диске и по

желанию пользователя недоступную для других пользователей. Каждый

пользователь имеет доступ только к своей личной папке, если он не пере-

местил ее в папку Общие документы, доступную всем пользователям.

Полноценная защита личных папок от несанкционированного доступа реа-

лизуется на системном диске, отформатированном в формате NTFS.

Кроме того, для разграничения доступа к файлам и папкам существу-

ют специальные утилиты, например: Security Department (резидентная про-

грамма для защиты файлов и папок и разграничения доступа к ним кон-

кретных пользователей и групп пользователей), Folder Guard Pro (уста-

новка ограничений на доступ к выбранным данным как на локальном ком-

пьютере, так и на сетевых машинах)¹⁰.

Обе утилиты имеют легкий и интуитивно понятный интерфейс, позво-

ляющий легко освоить их даже начинающему пользователю.

Эти и им подобные утилиты обычно поставляются пользователям че-

рез Интернет в качестве свободного (бесплатного) товара (freeware).

2.2.3. Блокировка компьютера и Рабочего стола Windows

К радикальным средствам системной защиты данных от сетевого и

локального доступа относится блокировка компьютера (рабочей станции).

Блокировка полезна, когда пользователь должен покинуть свое рабочее

место, не закрывая открытых окон и не выключая компьютера (перерыв,

срочный вызов и т.п.), а в его отсутствие никто не смог бы воспользоваться

его машиной и данными на ней. Очевидно, что успешная блокировка не-

возможна без паролей, которые должны быть предварительно созданы для

учетных записей всех пользователей.

При блокировке рабочей станции сети достаточно, не закрывая рабо-

чих окон, нажать одновременно клавиши Ctrl, Alt, Delete и в открывшемся

окне Безопасность Windows нажать кнопку Блокировка. При блокировке

локального компьютера следует нажать сочетание клавиш Windows ( ),

L. После этого можно спокойно уходить – снять блокировку не сможет ни-

кто, кроме владельца компьютера и системного администратора (с набо-

ром соответствующих паролей). После снятия блокировки экран автомати-

чески восстанавливается в том виде, в каком он был перед блокировкой.

Возможна блокировка с помощью пароля экранной заставки, вклю-

чаемая через заданное время с момента активизации заставки. Пароль за-

10 Утилита Folder Guard Pro хотя и предназначена для всех версий Windows (начиная с

Windows-95), но в ранних версиях (-95, -98) поддерживает лишь часть презентуемых

функций.

24

ставки совпадает с паролем пользователя, вошедшего в систему на данном

компьютере. Если при входе в систему пароль не использовался, пароль

заставки установить нельзя. При переводе компьютера в ждущий режим

тоже возможна блокировка, если использовался пароль входа в систему.

Существуют также Интернет-утилиты блокировки Рабочего стола:

Black Screen, Winsecure-IT, Access Lock, System Locker (и др.), защищающие

экран дисплея от любопытных глаз несанкционированных пользователей.

Особенность утилиты Black Screen в том, что вы не увидите ничего

похожего на окошко ввода пароля для разблокирования. Необходимо на-

брать пароль, и экран автоматически разблокируется, но догадаться о том,

что вводить пароль необходимо именно таким образом, согласитесь, до-

вольно непросто.

Утилиты Winsecure-IT и Access Lock позволяют контролировать по-

пытки взлома пароля разблокирования Рабочего стола (со звуковой сигна-

лизацией и аудитом событий).

Если по каким-либо причинам вас не устраивает перспектива исполь-

зования отдельной программы для контроля доступа к системе и отдель-

ной — для защиты Рабочего стола, альтернативой станет утилита System

Locker, представляющая собой некий симбиоз необходимых функций,

имеющихся в разных программах. Эта утилита может автоматически за-

гружаться вместе с Windows и при необходимости сразу же блокировать

Рабочий стол от доступа. Основные возможности утилиты:

– автоматическая блокировка Рабочего стола при старте системы и по распи-

санию, блокировка клавиатуры и мыши в установленный период времени;

– аудит всех операций с записью в специальный файл аудита событий;

– звуковая сигнализация об операциях блокирования, разблокирования и

ввода неправильного пароля;

– расширенные опции безопасности, одна из которых — устанавливаемое

количество попыток ввода пароля, после чего становится недоступной

кнопка разблокирования Рабочего стола;

– возможность выключения компьютера, когда он заблокирован.

Интерфейс перечисленных утилит ориентирован на конечных пользо-

вателей, поэтому он прост и интуитивно понятен.

2.2.4. Системная защита приложений MS Office

На этапе сохранения файлов Word, Excel и Access возможна организа-

ция системной защиты папок, содержащих эти файлы, т.е. для защиты па-

пок по технологии (см. рис. 4 – 9), вовсе не обязательно работать с ярлы-

ками папок. Эта технология реализуется непосредственно в окнах сохра-

нения файлов, если, повторяем, пользователь наделен соответствующими

правами.

25

Так, в Word (рис. 10а) и Excel в Окне сохранения файла через Сер-

вис/Свойства/Доступ или Сервис/Свойства/Безопасность выходим на те

же окна системного доступа и безопасности, что и на рис. 4, 5а, 8.

Поскольку в Access местоположение сохраняемого файла новой базы

данных определяется на самом первом этапе ее создания, описанная тех-

нология реализуется в окне создания файла БД (рис. 10б).

Кроме описанных мер защиты, общих для всех приложений MS

Office, в СУБД Access реализованы специфические меры защиты от не-

санкционированного доступа к конкретным объектам БД (таблицам, фор-

мам, запросам, отчетам, макросам, базе в целом) с дифференциацией по

правам пользователей и разрешениям на объекты. Это и понятно – ведь ба-

зы данных в СУБД должны охраняться особенно тщательно.

Защитные операции для существующей базы данных Access произво-

дятся из меню Сервис/Защита (рис. 11а). Операции защиты от несанкцио-

нированного доступа прописаны во всех командах всплывающего меню.

Команда Мастер запускает мощный мастер защиты БД (на рис. 11б

показан вход в мастер – первый шаг). За 8 шагов мастер защиты, предвари-

тельно создав резервную копию БД, защищает базу дифференцированно

по каждому из допущенных пользователей и групп пользователей и по

объектам БД.

а) сетевой доступ к папке из документа Word (аналогично из книги Excel)

Рис. 10. Сетевой доступ к папке из приложений MS Office

26

б) сетевой доступ к папке из базы данных Access

Рис. 10. Продолжение

а) защитный сервис Access

Рис. 11. Защитные операции в Access

27

б) первый шаг мастера защиты Access

Рис. 11. Продолжение

Для запуска мастера защиты нужно снять пароль базы данных (если

он существует) и перейти из монопольного режима доступа (без которого

парольная защита БД невозможна) в общий режим. Затем в диалоге с мас-

тером устанавливаются (или принимаются по умолчанию) многочислен-

ные параметры безопасности, после чего можно восстановить парольную

защиту.

Подробное описание системных защитных операций БД Access не

входит в нашу задачу, т.к. займет слишком много места, сравнимого по

объему с данным учебным пособием. Интерфейс защитных операций дос-

таточно прост, чтобы в нем смог разобраться конечный пользователь-

непрофессионал.

В целом можно без преувеличения сказать, что реализованная в Access

системная защита от несанкционированного доступа – это не просто защи-

та, а «броня». Поэтому особо важные базы данных с высоким уровнем за-

щиты рекомендуется создавать именно в Access.