73

Балтийский информационный Лабораторный практикум по системе

техникум защиты от НСД «Dallas Lock 4.1»

Балтийский Информационный Техникум

Солдатов С.А.

Лабораторный практикум

по системам защиты от несанкционированного доступа

Часть III

Система защиты от несанкционированного доступа

Dallas Lock 4.1

для специальностей:

2202 «Автоматизированные система обработки информации и управления»

2203 «Программное обеспечение вычислительной техники и автоматизированных систем»

2206 «Информационная безопасность»

Калининград, 2014

СОДЕРЖАНИЕ

Введение ………………………………………………………………………………...... 3

Семинар. Введение в систему защиты от НСД Dallas Lock 4.0…...................................4

Лабораторная работа №1. Установка системы защиты от НСД Dallas Lock 4.1………8

Лабораторная работа №2. Настройка прав доступа Администратора и пользователя. 20

Лабораторная работа №3. Настройка журналов системы ……………………………... 38

Лабораторная работа №4. Дополнительная настройка системы Dallas Lock 4.0 ……. 46

Лабораторная работа №5. Модули системы защиты Dallas lock 4.0 …………………. 54

Лабораторная работа №6. Групповая игра по обеспечению защиты информации …. 66

Контрольная работа по Dallas Lock. …………………………………………………..... 70

Список литературы ………………………………………………………………………. 72

Введение

Третья часть лабораторного практикума посвящена изучению СЗ от НСД Dallas Lock 4.1. Данное СЗ от НСД является разработкой ООО «Конфидент» и представляет собой программно-аппаратный комплекс основанный на использовании электронные идентификаторы Touch Memory фирмы “Dallas Semiconductor Inc.”

Помимо описанной в методическом пособии системы Dallas Lock 4.1, работающей в ОС Windows 9x, есть более новые версии для работы с ОС Windows NT 4.0, Windows ME, Windows 2000 и Windows XP. Последняя версия системы – Dallas Lock 7.0 для ОС Windows 2000, XP.

Семинар на тему

Введение в систему защиты от нсд Dallas Lock 4.0

Цель семинара: Получение базовых сведений о функциональных возможностях системы защиты от НСД Dallas lock 4.1

1 Введение

1.1 Описание системы

Dallas Lock 4.1 представляет собой программно-аппаратную систему защиты персонального компьютера. Система предназначена для исключения несанкционированного доступа к ресурсам компьютера и разграничения полномочий пользователей. Для идентификации пользователей используются электронные карты и личные пароли.

Dallas Lock 4.1 - это система, обеспечивающая защиту информации на компьютере в среде Windows 95/98.

Входящие в состав программного обеспечения оболочка администратора ADMSHELL и программа SETUP предназначены для настройки, изменения режимов работы системы и просмотра электронных журналов с целью контроля событий, связанных с доступом к компьютеру и действиями пользователей.

Модули статического и “прозрачного” кодирования предназначены для защиты данных пользователя, хранящихся на дискетах и дисках “винчестера”. Генерация кодирующих ключей осуществляется на основании личных паролей и электронных карт Touch Memory.

1.1.1 Функциональные возможности

Система запрещает посторонним лицам доступ к ресурсам компьютера и позволяет АДМИНИСТРАТОРУ безопасности разграничить полномочия ПОЛЬЗОВАТЕЛЕЙ при работе на компьютере.

В качестве средства опознавания пользователей служат электронные идентификаторы Touch Memory фирмы “Dallas Semiconductor Inc.” (США) или карты Proximity фирмы HID corporation. Данные приборы имеют малые размеры, очень удобны в применении и надежны в работе. Число уникальных 48-битовых ключей составляет более 280 триллионов.

Запрос идентификатора при входе на ПЭВМ инициируется из ПЗУ на плате защиты до загрузки операционной системы. Загрузка операционной системы с жесткого диска осуществляется только после предъявления зарегистрированного идентификатора (электронной карты) и ввода личного пароля.

Поскольку идентификатор и пароль запрашиваются до обращения к дисководам, возможность загрузки с системной дискеты полностью исключается. Перед инсталляцией системы на жесткий диск возможна гибкая настройка аппаратной части путем предварительного выбора адресного пространства ПЗУ платы защиты в свободной области адресов пользовательских ПЗУ, а также адресов портов для работы с электронной

картой.

Поддерживается работа до 32 зарегистрированных пользователей на каждом защищенном компьютере. Один пользователь может быть зарегистрирован на нескольких ПЭВМ с разными полномочиями. Данные о пользователях хранятся в энергонезависимой памяти на плате защиты.

Энергонезависимая память платы защиты содержит образ системных областей компьютера, что позволяет контролировать их целостность.

Обеспечивается защита файлов CONFIG.SYS и MSDOS.SYS от доступа со стороны ПОЛЬЗОВАТЕЛЕЙ.

Для ПОЛЬЗОВАТЕЛЕЙ возможна блокировка клавиатуры на время загрузки компьютера, которая инициируется аппаратной частью защиты и поддерживается программными средствами. Это позволяет избежать пошагового выполнения файлов CONFIG.SYS и AUTOEXEC.BAT или вообще отмену их выполнения. Для АДМИНИСТРАТОРОВ клавиатура не блокируется.

Для ПОЛЬЗОВАТЕЛЕЙ возможно ограничение круга доступных объектов (дисков, папок и файлов) компьютера. Используются два принципа контроля доступа:

• мандатный - каждому ПОЛЬЗОВАТЕЛЮ присваивается классификационная метка. ПОЛЬЗОВАТЕЛЬ будет иметь доступ к определенному кругу объектов, определяемых этой меткой;

• дискреционный - для каждого ПОЛЬЗОВАТЕЛЯ создается индивидуальный список доступа к объектам. Возможен список запрещенных или разрешенных для доступа объектов.

Обеспечивается ограничение доступа ПОЛЬЗОВАТЕЛЕЙ к компьютеру по времени. Время начала и окончания работы каждого ПОЛЬЗОВАТЕЛЯ на компьютере устанавливается администратором в пределах суток. Интервал времени, в течение которого ПОЛЬЗОВАТЕЛЬ может входить на компьютер со своими правами, может быть установлен от 1 минуты до 23 час. 59 минут (т.е. круглосуточно). Таймер компьютера также может быть защищен от вмешательства ПОЛЬЗОВАТЕЛЕЙ.

Гарантированное удаление информации обеспечивается при установке для ПОЛЬЗОВАТЕЛЯ соответствующих режимов. Информация, удаляемая с дисков компьютера или из оперативной памяти, затирается нулевым кодом.

Разграничение доступа к периферийным устройствам обеспечивается путем управления доступом к последовательным (COM) и параллельным (LPT) портам компьютера.

При регистрации можно создать для каждого пользователя индивидуальный файл автозапуска, который будет выполняться при загрузке операционной системы данным пользователем.

При выполнении процедуры входа на компьютер система анализирует электронную карту и личный пароль пользователя. При этом в электронных журналах фиксируются номер предъявленной карты, имя пользователя, дата и время попытки входа и результат попытки (проход - отказ в доступе), а также причина отказа в загрузке ПЭВМ в случае неудачи. В электронных журналах фиксируются действия ПОЛЬЗОВАТЕЛЕЙ по работе на компьютере, в том числе в отдельном журнале фиксируются обращения пользователей к локальному принтеру. Электронные журналы доступны только АДМИНИСТРАТОРУ.

Пользователи могут самостоятельно менять личные пароли для входа на компьютер. Для усиления защиты информации на компьютере АДМИНИСТРАТОР может включать для ПОЛЬЗОВАТЕЛЕЙ режим принудительной смены пароля входа. ПОЛЬЗОВАТЕЛЬ будет вынужден сменить пароль входа после загрузки компьютера установленного числа раз.

Предусмотрена временная блокировка компьютера с очисткой экрана дисплея, срабатывающая автоматически по истечении времени неактивности ПЭВМ (нет работы с клавиатурой или манипулятором “мышь”). Возможна настройка времени задержки автоблокировки. Разблокировать компьютер можно только с помощью того идентификатора, посредством которого была загружена операционная система.

Для усиления защиты конфиденциальной информации, хранящейся на “винчестере” и дискетах пользователей, предусмотрены модули для кодирования в статическом или “прозрачном” режиме. Данные могут кодироваться с использованием нескольких алгоритмов - по выбору пользователя. Кодирующий ключ может формироваться на основе личного пароля или кода личной электронной карты (личного идентификатора). В “прозрачном” режиме информация кодируется при записи и раскодируется при чтении с носителя. Процесс кодирования незаметен для пользователя.

Модули контроля целостности объектов компьютера обеспечивают:

• автоматический контроль целостности файлов системы защиты и блокирование входа ПОЛЬЗОВАТЕЛЕЙ на компьютер при выявлении изменений;

• контроль целостности запускаемых программ и блокировку запуска при выявлении изменений;

• контроль целостности информации пользователя;

• контроль целостности CMOS-памяти компьютера;

• контроль целостности энергонезависимой памяти платы защиты;

• обнаружение создания новых файлов.

Модуль входа в сеть по Touch Memory (устанавливается только при использовании в качестве идентификаторов электронных карт Touch Memory) позволяет вместо ввода имени и пароля пользователя при регистрации в сети предъявлять предварительно зарегистрированную карту Touch Memory типов DS1992 - DS1996. Это повышает удобство процедуры идентификации.

Дополнительные сервисные функции предоставляет модуль Картотека, позволяющий вести учет выданных пользователям электронных карт, а также хранить некоторые данные о самих пользователях.

Работа ПОЛЬЗОВАТЕЛЕЙ вне Windows 95/98 (в режиме эмуляции MS-DOS) невозможна. При попытке ПОЛЬЗОВАТЕЛЯ перейти в режим эмуляции MS-DOS компьютер перезагружается. АДМИНИСТРАТОРАМ работа в режиме эмуляции MS-DOS по-прежнему остается доступна.

Ограничение. Загрузка драйвера защиты PROT95.SYS в верхнюю память (команда DEVICEHIGH) не допускается.