Лабораторный практикум по НСД 2013

181

4.В «НКВД 2.3» можно разграничивать доступ к следующим ресурсам:

a)Локальные диски;

b)Локальные принтеры;

c)Неизвестные устройства;

d)Все вышеперечисленное.

5.Журнал событий СЗИ «Соболь» рассчитан на:

a)60 записей;

b)100 записей;

c)80 записей;

d)Количество неограниченно.

6.Где хранится журнал событий АМДЗ «Аккорд»?

a)На жестком диске;

b)В оперативной памяти;

c)В энергонезависимой памяти;

d)Нет правильного ответа.

7.После скольких неправильных попыток ввода пароля АМДЗ «Аккорд» блокирует ПЭВМ?

a)3;

b)5.

c)7;

d)9.

182

4.6. ГРУППА ИЗ ШЕСТИ ЛАБОРАТОРНЫХ РАБОТ, ОБЪЕДИНЕННЫХ ТЕМАТИКОЙ: КОНТРОЛЬ ПРАВ ДОСТУПА СУБЪЕКТОВ К ОБЪЕКТАМ

Общая часть

1) Проверка правильности идентификации объектов доступа

Проверка осуществляется путем обращения к ним субъектов доступа по идентификаторам объектов. Обращение должно осуществляться однозначно только к данному объекту.

Объекты доступа определяются в соответствии с РД «Автоматизированные системы. Защита от НСД к информации. Классификация АС и требования по защите информации» и Актом классификации АС.

2) Проверка правильности идентификации субъектов доступа

Проверятся при входе в систему путем обращения субъектов АС к объектам доступа при помощи штатных средств, для чего системе предъявляются персональные идентификаторы.

Результаты испытания считаются удовлетворительными в случае выполнения следующих условий:

∙при предъявлении идентификатора незарегистрированного в системе, средства управления должны приостанавливать процесс предоставления доступа;

∙при неоднократном предъявлении идентификатора незарегистрированного в системе, средства управления должны прекратить процесс предоставления доступа;

∙при предъявлении идентификатора зарегистрированного в системе процесс предоставления доступа должен быть продолжен.

3) Проверка подтверждения подлинности субъекта доступа (аутентификация)

Для проверки подлинности производится ввод личного пароля субъекта, соответствующего предъявленному идентификатору.

Результаты испытания считаются удовлетворительными в случае выполнения следующих условий:

∙при вводе пароля, не соответствующего предъявленному идентификатору, средства управления должны приостанавливать процесс предоставления доступа;

∙при неоднократном вводе пароля, не соответствующего предъявленному идентификатору, средства управления должны прекратить процесс предоставления доступа;

183

∙ при вводе пароля, соответствующего предъявленному идентификатору, субъекту доступа должен быть предоставлен доступ в систему в соответствии с его полномочиями.

4) Проверка механизма контроля доступа

Для проверки механизма контроля доступа проводятся:

∙проверка соответствия реально установленным средствам СЗИ НСД правилам разграничения доступа (ПРД), матрице разграничения доступа субъектов АС к её объектам;

∙проверка непротиворечивости установленных ПРД;

∙выборочные попытки реализовать НСД.

При установлении факта соответствия ПРД матрице доступа и блокировки произведенных попыток НСД, реализация механизма доступа считается удовлетворенной.

5) Проведение контроля защищенности информации от утечки за счет НСД

Проведение контроля осуществляется с помощью сертифицированных ФСТЭК России программ по аттестации объектов информатизации (ОИ).

4.6.1. ЛАБОРАТОРНАЯ РАБОТА № 9: ПРОВЕРКА ОРГАНИЗАЦИИ КОНТРОЛЯ ДОСТУПА К ОБЪЕКТУ С ИСПОЛЬЗОВАНИЕМ

СПЕЦИАЛИЗИРОВАННЫХ СРЕДСТВ ДОВЕРЕННОЙ ЗАГРУЗКИ

Цель: Получение практических навыков по работе со средствами доверенной загрузки, проведение идентификации/аутентификации. Предотвращение попыток НСД. Контроль доступа к автоматизированному рабочему месту. Изучение средств доверенной загрузки «Аккорд–NT/2000» v.3.0 и «Соболь» v.2.0.

Сценарий проведения работы

1)Установка и настройка «Аккорд–NT/2000» v.3.0.

2)Задание пользователям персональных идентификаторов и паролей для доступа к системе.

3)Проведение испытаний организации контроля доступа к АРМ.

4)Создание отчета по проделанной работе.

5)Установка и настройка комплекса «Соболь» и проведение мероприятий указанных в соответствующих пунктах.

184

Описание работы средств доверенной загрузки Комплекс «Аккорд-NT/2000» v.3.0.

Программно-аппаратный комплекс средств защиты информации от несанкционированного доступа «Аккорд-NT/2000» v.3.0 – это эффективный комплекс технических и программных средств, используя который можно надежно защитить от несанкционированного доступа информацию на ПЭВМ (в АС), функцио-

нирующих под управлением ОС Microsoft Windows NT/2000/XP/2003/Vista, без переделки ранее приобретенных программных средств.

Комплекс СЗИ НСД «Аккорд-NT/2000» v.3.0 позволяет надежно обеспе-

чить:

∙защиту от несанкционированного доступа к АС (ПЭВМ) и ее ресурсам;

∙разграничение доступа к ресурсам АС (ПЭВМ), в т.ч. к внешним устройствам, управлением потоками информации в соответствии с уровнем полномочий пользователей, используя дискреционный и мандатный способы управления доступом пользователей к информационным ресурсам АС (ПЭВМ);

∙защиту от несанкционированных модификаций программ, данных и различного рода проникающих разрушающих воздействий (ПРВ);

∙контроль целостности конфигурации технических средств ПЭВМ (РС), программ и данных с реализацией пошагового алгоритма контроля целостности;

∙создание изолированной программной среды (ИПС) с исключением возможности несанкционированного выхода в ОС, загрузки с FDD и несанкционированного прерывания контрольных процедур с клавиатуры;

∙ввод широкого перечня дополнительных защитных механизмов в соответствии с политикой информационной безопасности, принятой в организации (на предприятии, фирме и т.д.).

Комплекс СЗИ НСД «Аккорд-NT/2000» v. 3.0 включает:

∙программно-аппаратный комплекс СЗИ НСД для ПЭВМ (РС) «АккордАМДЗ»;

∙специальное программное обеспечение разграничения доступа в среде операционных систем Windows, построенных с использованием технологии NT –

СПО «Аккорд-NT/2000» (версии 3.0).

Вкомплексе «Аккорд-АМДЗ» из состава комплекса «Аккорд-NT/2000» могут применяться различные модификации специализированных контроллеров:

∙контроллер «Аккорд–5» используется для защиты ПЭВМ (РС) с шинным интерфейсом PCI;

185

∙контроллер «Аккорд-5mx» используется для защиты ПЭВМ (РС) с шинным интерфейсом PCI (5В), или PCI-X (3.3В);

∙контроллер «Аккорд-5.5» используется для защиты ПЭВМ (РС) с шинным интерфейсом PCI (5В), или PCI-X (3.3В);

∙контроллер «Аккорд-5.5-E» используются для защиты ПЭВМ (РС) (РС) с шинным интерфейсом PCI Express.

Характеристики контроллеров «Аккорд-АМДЗ» из состава комплекса СЗИ НСД «АккордNT/2000» v. 3.0 приведены в табл.16.1.

Таблица 16.1. Модификации контроллеров «Аккорд АМДЗ»

Все модификации вышеуказанных контроллеров:

∙могут использоваться на ПЭВМ (РС) с процессором и объемом RAM,

обеспечивающим применение ОС Windows NT/2000/XP/2003/Vista;

∙используют для идентификации пользователей персональные идентификаторы TM DS 1992-1996 с объемом памяти до 64 Кбит, ПСКЗИ ШИПКА, или смарт-карты eToken PRO;

∙используют для аутентификации пароль до 12 символов;

∙блокируют загрузку ПЭВМ (РС) с FDD, CD ROM, ZIP Drive;

∙предусматривают регистрацию до 126 пользователей на ПЭВМ (РС);

∙имеют аппаратный датчик случайных чисел (ДСЧ) для криптографических приложений;

186

∙имеют разъем для внутреннего подключения съемника информации (контактного устройства) к контроллеру;

∙обеспечивают контроль целостности программ, данных и системных областей жестких дисков, а также конфигурации технических средств ПЭВМ (РС) до загрузки ОС;

∙имеют внутреннюю энергонезависимую память для хранения данных о зарегистрированных пользователях и журнала регистрации событий;

∙допускают изменение встроенного ПО (технологический режим) без замены аппаратной части комплекса (платы контроллера);

∙обеспечивают режим доверенной загрузки ОС (выполнение процедур идентификации/аутентификации пользователя, контроль целостности аппаратной части ПЭВМ (РС), системных файлов, программ и данных на аппаратном уровне до загрузки ОС).

В данной лабораторной работе изучаются работа и функции контроллера «Аккорд-АМДЗ» типа 5mx.

Программа администратора системы защиты информации является частью комплекса «Аккорд-АМДЗ». С помощью этой программы администратор СЗИ может добавлять и удалять пользователей, назначать пользователям идентификаторы и пароли, контролировать аппаратную часть ПЭВМ, прикладные и системные файлы, получает доступ к системному журналу контроллера.

Установка и настройка комплекса «Аккорд АМДЗ»

Установка комплекса. Меню администратора

Перед установкой аппаратной части комплекса необходимо:

1.Отключить питание.

2.Вскрыть корпус системного блока ПЭВМ, удалить заглушку на задней панели блока и выбрать свободный PCI слот на материнской плате для установки контроллера.

Расположение элементов и разъемов на плате контроллера «Аккорд-5mx» показано на рис.16.1.

187

Рис. 16.1. Плата контроллера «Аккорд-5mx»

Если в компьютер устанавливается новый контроллер АМДЗ, то при загрузке выполняется инициализация и форматирование внутренней памяти. После завершения этой операции на экран выводится стартовое меню администратора (рис.16.2). Если в контроллере нет зарегистрированных пользователей, то в этом меню доступны для выбора только пункты «Администрирование» и «Выход в

AcDOS».

«Выход в AcDOS» позволяет загрузить компьютер с использованием внутренней операционной системы контроллера (ACDOS). В дальнейших разработках предполагается включение в состав этой ОС средств диагностики контроллера и компьютера.

188

Рис. 16.2. Стартовое меню администратора.

Клавишей <Enter> запустите программу администрирования. На экран выводится главное меню (рис.16.3).

Рис. 16.3. Главное меню администратора. Главное меню состоит из следующих полей:

∙строка команд (левая половина верхней строки);

∙информационная строка (правая половина верхней строки);

∙статус (HELP) – нижняя строка;

∙рабочее поле (все остальное пространство).

Строка команд позволяет вызвать следующие подпрограммы:

∙<Польз> – работа со списком пользователей;

∙<Контр> – работа со списками контроля целостности;

∙<Журнал> – работа с внутренним журналом регистрации событий;

189

∙<Сервис> – дополнительные настройки;

∙<Помощь> – описание функций и сведения о продукте.

После начальной инициализации в строке команд недоступны пункты <Контр> и <Журнал>, так как в памяти контроллера не зарегистрировано ни одного пользователя (в верхней информационной строке имя текущего пользователя UNKNOWN, т.е. неизвестный). Поэтому первое действие, которое нужно выполнить – это регистрация пользователя с правами администратора.

Назначение пароля и ТМ-идентификатора пользователю Гл. Администратор (SUPERVISOR)

В меню выберите команду <Польз.>. На экран выводится дерево списка пользователей. При инициализации контроллера создаются две зарезервированные группы пользователей – « Администраторы» и «Обычные». Эти две группы нельзя ни переименовать, ни удалить. Для каждой из групп можно задать общие параметры, которые будут устанавливаться по умолчанию при создании пользователя в группе. Для каждого зарегистрированного пользователя можно изменить данные параметры при индивидуальной настройке. Такие же правила будут выполняться и для любой группы, созданной администратором.

При инициализации контроллера в базе данных создается учетная запись «Гл. администратор», но поля этой записи не заполнены. Для регистрации администратора системы выберите строку <Гл. администратор>, нажмите <Enter>. На экран выводится окно ввода-вывода «Параметры пользователя» (рис.16.4).

Рис. 16.4. Параметры пользователя.

Выберите строку <Идентификатор> (рис.16.4). На экран выводится информация о зарегистрированном идентификаторе. При первой установке контроллера

190

никаких данных об идентификаторе нет (рис.16.5). Выберите команду <Новый>. На запрос идентификатора (рис.16.6) прикоснитесь идентификатором к съемнику. Для отмены текущей операции, выберите команду <Отмена>.

Примечание: В том случае, когда в качестве персонального идентификатора используется ПСКЗИ ШИПКА, на запрос идентификатора следует подключать устройство ШИПКА к USB-порту контроллера АМДЗ. Если в качестве идентификатора используется смарт-карта eToken PRO, то следует вставить карту в считыватель.

Рис. 16.5. Информация об идентификаторе.

Рис. 16.6. Запрос идентификатора

После использования идентификатора на экране появляется меню генерации секретного ключа (рис.16.7), который уникален для каждого пользователя и