Б) Группа свойств “Привилегии”

Диалог, подобный приведенному на рисунке 7, предназначен для просмотра и определения привилегий пользователя в системе Secret Net.

Рисунок 7 – Диалог “Привилегии”

Список ^{“Привилегии на работу с системой:”} содержит перечень всех привилегий на доступ к ресурсам компьютера, которые могут быть предоставлены пользователю. Эти привилегии разрешают пользователю превышать свои права на доступ к ресурсам компьютера и игнорировать некоторые другие ограничения его работы в системе.

Привилегии, предоставленные пользователю в данный момент, имеют отметку ( ) слева от названия привилегии. Чтобы предоставить пользователю привилегию, поставьте с помощью мыши отметку в поле выключателя, содержащего название этой привилегии. Чтобы аннулировать привилегию, уберите отметку ( ) из поля выключателя.

Список ^{“Привилегии на администрирование системы:”} содержит перечень всех привилегий на администрирование системы Secret Net, которые могут быть предоставлены пользователю. Эти привилегии разрешают пользователю управлять работой системы защиты.

Для просмотра списка привилегий на администрирование используйте стандартные операции над деревом объектов, принятые в Windows. Если список не умещается целиком в поле списка, используйте вертикальную полосу прокрутки. Чтобы получить информацию о назначении привилегии, установите курсор мыши на ее названии в списке. На экране появится всплывающее окно, содержащее справочную информацию о данной привилегии.

Привилегии, предоставленные пользователю, имеют отметку ( или ) слева от названия привилегии. Чтобы предоставить пользователю привилегию, поставьте с помощью мыши отметку в поле выключателя или переключателя, содержащего название этой привилегии. Чтобы аннулировать привилегию - уберите отметку ( или ).

в) Группа свойств “Режимы”

Диалог, подобный приведенному на рисунке 8, предназначен для управления режимами работы пользователя.

Рисунок 8 – Диалог “Режимы”

Группа полей ^{“Общие:”} позволяет определить индивидуальные режимы работы средств защиты для пользователя, а также назначить атрибуты, устанавливаемые по умолчанию на все файлы и каталоги, создаваемые пользователем.

Средства защиты системы Secret Net могут работать в двух режимах: “жестком” и “мягком”. “Жесткий” режим является основным режимом работы системы защиты. При работе в этом режиме попытка пользователя осуществить несанкционированный доступ (НСД) к ресурсам компьютера фиксируется в системном журнале и доступ запрещается. При включении “мягкого” режима пользователю будет позволено превысить свои права на доступ к ресурсу, например, запустить программу, доступ к которой ему запрещен. Однако при этом система защиты зарегистрирует событие НСД в системном журнале. “Мягкий” (технологический) режим позволяет упростить настройку системы защиты при вводе ее в эксплуатацию. При работе в “мягком” режиме пользователю разрешается превышать свои права на доступ к ресурсу только в том случае, если этот ресурс доступен пользователю на чтение.

Выключатель ^{“Мягкий режим контроля атрибутов”} определяет реакцию системы защиты на попытку пользователя выполнить над файлами действия, запрещенные установленными на них атрибутами доступа. Установите отметку ( ) в поле выключателя, чтобы включить “мягкий” режим работы механизма избирательного управления доступом для данного пользователя. В этом случае система защиты будет разрешать пользователю выполнять действия, запрещенные атрибутами, но при этом будет регистрировать соответствующие события НСД в системном журнале. Например, пользователь сможет отредактировать файл и записать изменения в том случае, если у него нет доступа на запись к этому файлу, но данное событие НСД будет зарегистрировано. Уберите отметку из поля выключателя, чтобы выключить “мягкий” режим контроля атрибутов для пользователя.

Если пользователю предоставлены следующие привилегии по доступу к ресурсам компьютера: “Без атрибутов на дисках”, “Без атрибутов на каталогах” и “Без атрибутов на файлах”, “мягкий” режим работы механизма избирательного управления доступом для данного пользователя не требуется, и выключатель ^{“Мягкий режим контроля атрибутов”} становится не активным.

Выключатель ^{“Мягкий режим для списка программ”} позволяет включить или выключить “мягкий” режим контроля запуска программ, если для пользователя установлен режим замкнутой программной среды. (Если этот режим не включен для пользователя - выключатель не активен.) Установите отметку ( ) в поле выключателя, чтобы включить “мягкий” режим работы механизма замкнутой программной среды для данного пользователя. В этом случае система защиты будет разрешать пользователю запуск программ, не внесенных в список разрешенных для запуска, но при этом будет регистрировать соответствующие события НСД в системном журнале. Если отметки в поле выключателя нет (“мягкий” режим выключен) - запуск любой программы, не внесенной в список разрешенных для запуска программ, будет блокирован при одновременной регистрации события НСД.

Выключатели ^{“Затирание удаляемых данных на локальных дисках”} и ^{“Затирание удаляемых данных на сетевых дисках”} позволяют установить для пользователя режим автоматического затирания информации, удаляемой им с локальных или сетевых дисков. Чтобы включить этот режим для пользователя, поставьте отметку ( ) в поле соответствующего выключателя. В результате, содержимое файлов, удаляемых пользователем с локальных или сетевых дисков, будет автоматически затираться некоторой числовой последовательностью. Для отключения этого режима уберите отметку из поля соответствующего выключателя. В том случае, если в диалоге ^{“Глобальные”} свойств корзины не отмечен пункт ^{“Уничтожать файлы сразу после удаления, не помещая их в корзину”}, при использовании функции затирания удаляемой информации, информация в восстановленных файлах будет испорчена.

Количество повторений операции затирания удаляемых данных определяется значением общего параметра системы защиты ^{“Количество циклов затирания данных:”}. Если этот параметр имеет значение “0”, автоматическое затирание удаляемой информации не будет производиться, и выключатели ^{“Затирание удаляемых данных на локальных дисках”} и ^{“Затирание удаляемых данных на сетевых дисках”} становятся не активными.

Выключатель ^{“Установка атрибутов по умолчанию”} позволяет включить для пользователя режим системы защиты, при котором на любой создаваемый пользователем файл или каталог устанавливаются атрибуты доступа и владения, назначенные этому пользователю по умолчанию. Поставьте отметку ( ) в поле выключателя, чтобы включить режим автоматической установки атрибутов. Если атрибуты по умолчанию данному пользователю еще не назначены, на экран автоматически будет выведен диалог определения атрибутов. Чтобы выключить этот режим, уберите отметку из поля выключателя.

Кнопка «Назначить…» позволяет вызвать на экран диалог определения атрибутов доступа и владения, назначаемых пользователю по умолчанию. Эта кнопка активна, если поле ^{“Атрибуты по умолчанию”} содержит отметку. При нажатии кнопки на экране появляется диалог, подобный приведенному на рисунке 9.

Рисунок 9 – Определение атрибутов по умолчанию для пользователя

Настройка атрибутов по умолчанию.

Поле ^{“Группы ресурсов:”} предназначено для управления группами ресурсов. Список, находящийся в левой части поля, содержит перечень всех имеющихся групп ресурсов. Справа от списка расположено поле, содержащее список расширений файлов, определяющий состав группы ресурсов. Чтобы изменить состав группы ресурсов, выберите с помощью мыши название группы в списке. Затем активизируйте с помощью мыши список расширений файлов, и отредактируйте его, добавив новые расширения файлов или удалив существующие. Редактирование списка расширений осуществляется стандартными операциями редактирования текста. Одно расширение отделяется от другого символом ‘;’ (“точка с запятой”).

Чтобы создать новую группу ресурсов, нажмите кнопку «Добавить», и на экране появится следующий диалог.

Введите название новой группы в текстовом поле диалога и нажмите кнопку «ОК» (<Enter>). Группа будет добавлена в список. Для отказа от создания группы нажмите кнопку «Отмена» (<Esc>).

Для удаления выбранной группы ресурсов из списка, выберите удаляемую группу ресурсов и нажмите кнопку «Удалить». Из списка групп ресурсов нельзя удалить группу ^{“Остальные ресурсы”}.

Нажмите кнопку «Переименовать», чтобы изменить название выбранной группы ресурсов. При этом на экране появится диалог аналогичный предыдущему. Группы ^{“Остальные ресурсы”} и ^{“Каталоги”} нельзя переименовать.

Чтобы определить атрибуты по умолчанию для файлов (или каталогов), входящих в группу ресурсов, выберите с помощью мыши эту группу в списке групп.

В поле “Владелец:” определите имя пользователя - владельца всех создаваемых данным пользователем ресурсов, относящихся к выбранной группе. Для этого нажмите кнопку и выберите имя владельца или одно из следующих значений из открывшегося списка:

• ^{“(админ.)”} - владельцем ресурсов станет пользователь - администратор по умолчанию данного компьютера;

• ^{“(текущий)”} - владельцем ресурсов станет текущий пользователь компьютера;

• ^“нет” – определяет ресурс общим, не принадлежащим никому конкретно.

Затем определите права доступа владельца к ресурсу, установив отметки ( ) в полях выключателей ^{“Чтение”}, ^{“Запись”} и ^{“Выполнение”}.

В поле ^{“Группа:”} определите название группы пользователей всех ресурсов, создаваемых пользователем и относящимся к данной группе ресурсов. Для этого нажмите кнопку и выберите название группы пользователей из открывшегося списка. Затем определите права доступа всех пользователей, входящих в состав группы, установив отметки ( ) в соответствующих полях выключателей.

В группе полей ^{“Остальные:”} определите атрибуты доступа к ресурсам, создаваемым пользователем и относящимся к данной группе ресурсов, для всех остальных пользователей системы защиты. Для определения прав доступа этих пользователей, установите отметки ( ) в соответствующих полях выключателей. Определив атрибуты по умолчанию для всех групп ресурсов, нажмите кнопку «ОК» (<Enter>), чтобы назначить их пользователю. Для отказа нажмите кнопку «Отмена» (<Esc>).

Поля группы ^{“Для программ:”} (Рисунок 8) управляют работой механизма замкнутой программной среды.

Выключатель ^{“Замкнутая программная среда”} позволяет активизировать для пользователя режим, в котором ограничиваются его возможности по запуску программ. Ему разрешается запускать только программы, включенные в список разрешенных для запуска программ.

Прежде чем активизировать для какого-либо пользователя режим замкнутой программной среды, внимательно проанализируйте работу этого пользователя на компьютере и определите перечень программ, необходимых пользователю для повседневной работы. Затем, основываясь на полученном перечне, сформируйте средствами системы защиты список программ, разрешенных пользователю для запуска, и активизируйте замкнутую программную среду. При этом рекомендуется включить для пользователя на некоторое время “мягкий” режим работы механизма замкнутой программной среды и убедиться, что все программы, необходимые пользователю для работы, включены в список разрешенных для запуска программ.

Если в поле выключателя не содержится отметка, это значит, что замкнутая программная среда не активизирована для пользователя. Чтобы включить этот механизм, поставьте отметку ( ) в поле выключателя. При этом на экране появится окно текстового редактора SnEdit (см. рисунок 10), содержащее список разрешенных для запуска программ, либо сформированный при установке системы Secret Net на компьютер и принятый по умолчанию, либо ранее созданный администратором.

Нажмите кнопку «Программы», чтобы перейти к редактированию списка программ, разрешенных пользователю для запуска (эта кнопка активна, когда поле выключателя ^{“Замкнутая программная среда”} содержит отметку). На экране появится окно редактора SnEdit, подобное представленному на рисунке 10.

Рисунок 10 – Окно редактора SnEdit (формирование списка программ)

В качестве исходного содержания при составлении индивидуальных списков программ, разрешенных для запуска, используется файл 00000000.UEL, расположенный в каталоге C:\-SNET-. Отредактируйте нужным образом список разрешенных для запуска программ. Добавьте в него имена файлов программ (включая полный путь к файлам), запуск которых разрешен пользователю, или удалите строки, содержащие имена файлов программ, запретив тем самым пользователю запускать эти программы. Порядок редактирования текстового содержания файла в редакторе SnEdit соответствует порядку, принятому в большинстве текстовых редакторов (например, в стандартных редакторах Windows - WordPad или Блокнот). В процессе редактирования списка Вы можете использовать функцию изменения атрибутов файлов, входящих в список.

Завершив редактирование списка программ, сохраните внесенные изменения. Для этого нажмите кнопку панели инструментов редактора SnEdit (или комбинацию клавиш <Ctrl>+<S>). Сформированный список разрешенных для запуска программ будет сохранен в каталоге C:\-SNET- в файле с именем UEL.*** (где “***” - регистрационный номер пользователя в системе защиты). Затем закройте окно редактора SnEdit.

Группа полей «CONFIG.SYS и AUTOEXEC.BAT» (см. рисунок 18) позволяет создавать для пользователя персональные версии файлов CONFIG.SYS и AUTOEXEC.BAT.

Выключатели ^{“Персональный Config.sys”} и ^{“Персональный Autoexec.bat”} позволяют назначить для пользователя персональные файлы CONFIG.SYS и AUTOEXEC.BAT соответственно.

Выключатель ^{“Персональный Config.sys”} активен только тогда, когда компьютер оборудован устройством аппаратной поддержки системы защиты. Если данное устройство отсутствует - создать для пользователя персональный файл CONFIG.SYS нельзя.

В том случае, если отметки в полях этих выключателей не установлены ( ), при входе данного пользователя в систему будут выполняться общие версии файлов CONFIG.SYS и AUTOEXEC.BAT. Чтобы назначить пользователю персональные файлы CONFIG.SYS или AUTOEXEC.BAT, установите отметку ( ) в поле соответствующего выключателя. При этом на экране появится окно текстового редактора SnEdit (см. рисунок 11), в котором будет отображаться содержание соответствующего файла. Если персональный системный файл пользователя еще не создан, в качестве его содержания будет предложено содержание общего системного файла, например - CONFIG.SYS.

Для изменения содержания персональных системных файлов используйте кнопки «Config.sys» и «Autoexec.bat». Нажмите соответствующую кнопку, и на экране появится окно редактора SnEdit, подобное представленному на рисунке 11, в котором будет отображаться содержание персонального системного файла, выбранного для редактирования.

Рисунок 11 – Окно редактора SnEdit (редактирование файла CONFIG.SYS)

Отредактируйте нужным образом системный файл. Порядок редактирования текстового содержания файла в редакторе SnEdit соответствует порядку, принятому в большинстве текстовых редакторов (например, в стандартных редакторах Windows -WordPad или Блокнот). Завершив редактирование, сохраните внесенные изменения, нажав кнопку панели инструментов редактора SnEdit (или комбинацию клавиш <Ctrl>+<S>). Затем закройте окно редактора SnEdit. Персональные версии системных файлов хранятся на компьютере в каталоге C:\-SNET- под именами CONFIG.*** и AUTOEXEC.*** (где “***” - регистрационный номер пользователя в системе защиты).

Выключатель ^{“Запрет изменения Autoexec.bat”} позволяет запретить или разрешить пользователю вносить изменения в свой персональный командный файл AUTOEXEC. Установите отметку ( ) в поле выключателя, чтобы запретить пользователю редактировать свой командный файл. При этом попытка пользователя изменить содержание файла будет трактоваться как несанкционированное действие (НСД). Чтобы разрешить пользователю вносить изменения в этот файл, удалите установленную отметку.

Поля группы ^{“Хранитель экрана:”} (см. рисунок 8) управляют параметрами работы хранителя экрана для пользователя.

Поле ^{“Комбинация клавиш для вызова:”} позволяет выбрать комбинацию “горячих” клавиш, нажав которые пользователь может активизировать хранитель экрана. При этом клавиатура и экран компьютера автоматически блокируются до ввода правильного пароля. Нажмите кнопку и выберите из открывшегося списка нужную комбинацию клавиш для вызова хранителя экрана пользователем. Если поле содержит значение “^нет” - комбинация “горячих” клавиш не определена.

Поле ^{“Интервал паузы неактивности (мин.):”} содержит значение, определяющее интервал времени в минутах, по истечении которого клавиатура и экран компьютера автоматически блокируются, если в течение этого времени пользователь не работал. Для изменения значения поля используйте кнопки , либо введите новое значение с клавиатуры. Этот параметр принимает значения от 0 до 240 минут (“0” означает - автоматическая активизация хранителя экрана выключена).

В диалоге управления хранителем экрана Windows (в свойствах экрана) значения полей ^{“Комбинация клавиш для вызова:”} и ^{“Интервал паузы неактивности (мин.):”} изменятся согласно заданным настройкам.