Лабораторный практикум по НСД 2013
.pdf211
Для того чтобы исключить возможность модификации защищенной энергонезависимой памяти комплекса «Соболь» в режиме совместного использования рекомендуется запретить всем пользователям загрузку ОС со съемных носителей.
Ограничение срока действия пароля. Позволяет включить для пользователя режим устаревания пароля. Параметр может принимать два значения: «Да» − режим включен, или «Нет» − режим отключен.
При включении этого режима по истечении периода времени, заданного общим параметром «Максимальный срок действия пароля» текущий пароль пользователя перестает быть действительным и при входе в систему пользователю будет предложено сменить свой пароль, без чего он не сможет загрузить операционную систему. Если для пользователя включен режим замены аутентификатора при смене пароля, то ограничение срока действия распространяется и на аутентификатор пользователя.
Для присвоения параметру значения «Да» требуется присутствие данного пользователя. На экране появится диалог для ввода текущего пароля пользователя. Попросите пользователя ввести свой пароль и нажать клавишу <Enter>, затем предъявите персональный идентификатор данного пользователя. Параметр доступен для управления только в том случае, когда пользователю присвоен персональный идентификатор DS1994, имеющий встроенный таймер.
Замена аутентификатора при смене пароля. Позволяет включить для поль-
зователя режим принудительной замены аутентификатора при выполнении им процедуры смены пароля. Параметр может принимать два значения: «Да» − режим включен, или «Нет» − режим отключен.
Создание пользователя осуществляется нажатием клавиши «Insert». При регистрации нового пользователя в списке пользователей комплекса «Соболь» ему присваиваются следующие атрибуты:
∙имя;
∙аутентификатор и пароль для входа в систему;
∙персональный идентификатор iButton.
Служебная информация о пользователе сохраняется в энергонезависимой памяти комплекса «Соболь» − создается учетная запись пользователя. Кроме того, в персональный идентификатор, присвоенный пользователю, записывается служебная информация о регистрации.
Процедура регистрации пользователей, так же как и для администратора может выполняться в одном из двух вариантов: первичная регистрация, повторная регистрация.
212
После нажатия на клавишу «Insert» появиться окно, в котором необходимо ввести имя пользователя, дальнейшие действия для завершения регистрации пользователя ни чем не отличаются от действий регистрации администратора.
Порядок выполнения работы
1. Установка и настройка «Аккорд–NT/2000» v.3.0
Установить в свободный PCI слот контроллер «Аккорд-АМДЗ» согласно инструкции, приведенной выше в настоящем ТЛП. Выполнить регистрацию администратора ИБ.
Если контроллер использовался до этого, то сначала следует очистить его память. Для этого необходимо извлечь контроллер из PCI слота и с помощью отвертки открутить два винта, которые крепят металлическую планку. После этого вставить контроллер в компьютер. Вставить дискету для очистки памяти контроллера, командой IP5x.exe произвести очистку памяти. После того как контроллер будет очищен необходимо будет выключить компьютер, изъять контроллер и прикрутить металлическую планку тем самым вернув контроллер в нормальный режим работы.
2. Задание пользователям персональных идентификаторов и паролей для доступа в систему
Создать пользователя, задать ему персональный идентификатор и пароль. После регистрации в СЗИ «АККОРД» хотя бы одного пользователя производится контроль аппаратуры при каждой загрузке компьютера после идентификации/аутентификации пользователя. Если обнаруживается несовпадение параметров конфигурации, записанных в памяти контроллера и текущих параметров системы, то выдается сообщение на красном фоне «Разберитесь с ошибками» и загрузка компьютера блокируется для обычного пользователя, или выводится стартовое меню, если идентифицирован администратор.
Может встречаться ситуация, когда после перезагрузки «Аккорд» сообщает, что есть ошибки в контрольной сумме BIOS и доп. BIOS, хотя никаких изменений в настройках BIOS не выполнялось. В процедуре контроля аппаратуры видны ошибки, контрольные суммы не совпадают. Администратор обновляет данные, но после перезагрузки все повторяется: снова сообщение об ошибке контроля аппаратуры.
В данном случае в компьютере достаточно «интеллектуальная» материнская плата, или устройство с расширенным собственным BIOS. При каждой перезагрузке, или выключении они записывают информацию в определенные области своих BIOS. Бессмысленно каждый раз пересчитывать контрольные суммы того, что меняется при перезагрузке. Нужно исключить меняющиеся параметры из спи-
213
ска контролируемых объектов клавишей <->, или <Del> и пересчитать КС (комбинация клавиш Alt-U).
3. Проведение испытаний организации контроля доступа к АРМ
Выполнить вход в систему от созданного пользователя. Убедиться в правильности настроек системы защиты, для этого провести серию испытаний:
∙Воспользоваться другим идентификатором.
∙Ввести неверный пароль при верном идентификаторе, удостовериться в блокировке доступа пользователя к системе после неудачных попыток ввода пароля.
∙Проверить фиксацию попыток НСД в журнале событий.
4. Создание отчета о проделанной работе
В отчете указать в краткой форме как организована защита АРМ, привести результаты проверочных испытаний, на основе которых сделать вывод об организации контроля доступа к АРМ. Так же при составлении отчета воспользоваться системным журналом (для расшифровки аббревиатур используемых в журнале воспользоваться документацией комплекса Руководство администратора
(11443195.4012-006 90 04)).
5. Установка и настройка комплекса «Соболь»v.2.0
Для того чтобы установить комплекс «Соболь» не требуется производить дополнительных действий как в случае с комплексом «Аккорд» − достаточно придерживаться инструкций описанных в соответствующем пункт настоящего ТЛП. Установить комплекс. Зарегистрировать администратора. Выполнить пунк-
ты 3 - 5.
Тестовые задания к лабораторной работе № 9
Входной контроль
1.Что такое «Аккорд АМДЗ»?
a)Контроллер аппаратной части;
b)Считывающее устройство для идентификатора;
c)Аппаратный модуль доверенной загрузки.
2.Что такое ACDOS?
a)Утилита для очистки памяти контроллера;
b)Внутренняя операционная система контроллера «Аккорд АМДЗ»;
c)Программа администратора для управления пользователями.
3.Почему после начальной инициализации комплекса «Аккорд АМДЗ» в строке команд недоступны пункты «Контр» и «Журнал»?
a)Нет зарегистрированных пользователей;
b)Пользователи не имеют доступ к этим пунктам;
214
c)Установлен запрет на использование этих пунктов.
4.Кто такой пользователь «SUPERVISOR»?
a)Системный пользователь комплекса «Аккорд АМДЗ»;
b)Главный администратор безопасности комплекса «Аккорд АМДЗ»;
c)Администратор.
5.Что такое идентификация?
a)Присвоение субъектам и объектам доступа идентификатора и (или) сравне-
ние предъявляемого идентификатора с перечнем присвоенных идентификаторов;
b)Процесс определения пользователей системы;
c)Проверка принадлежности субъекту доступа предъявленного им идентификатора; подтверждение подлинности.
6.Что такое аутентификация?
a)Присвоение субъектам и объектам доступа идентификатора и (или) сравнение предъявляемого идентификатора с перечнем присвоенных идентификаторов;
b)Процесс определения пользователей системы;
c)Проверка принадлежности субъекту доступа предъявленного им идентификатора; подтверждение подлинности.
7.Для чего предназначен комплекс «Соболь»?
a)Для предотвращения несанкционированного доступа посторонних лиц к ресурсам защищаемого компьютера;
b)Для того чтобы усилить защиту ПЭВМ, на котором уже установлен комплекс «Аккорд АМДЗ»;
c)Для обеспечения контроля целостности;
d)Для создания изолированной среды пользователей.
8.Для чего служат разъемы J0-J1 на плате комплекса «Соболь»?
a)Для выбора режима инициализации;
b)Для подключения внешнего считывателя;
c)Для подключения внутреннего считывателя.
9.Что необходимо сделать, в случае, когда управление не передается в модуль расширения BIOS комплекса «Соболь»?
a)Необходимо в BIOS Setup разрешить загрузку операционной системы модулей расширения BIOS сетевых плат;
b)Переустановить плату;
c)Провести диагностику платы и выявить, почему плата не работает.
10.Что такое повторная регистрация администратора/пользователя?
a)Регистрация, при которой администратор/пользователь сможет иметь дос-
туп в систему на нескольких компьютерах;
215
b)Обычная регистрация для обновления служебной информации хранящейся в идентификаторе;
c)Такого типа регистрации не существует.
Выходной контроль
1.Какой командой очищается память контроллера «Аккорд АМДЗ»?
a)Clrmem.exe;
b)IP5x.exe;
c)MClr.exe;
d)IP5.exe.
2.В каком случае необходимо генерировать секретный ключ для пользователей, на АРМ которых установлен комплекс «Аккорд»?
a)Каждый раз при регистрации пользователя;
b)Только, если проводится первичная регистрация;
c)Если пользователь забыл пароль или потерял идентификатор.
3.Какие действия необходимо выполнить администратору, если возникли ошибки в контрольной сумме BIOS? («Аккорд АМДЗ»)?
a)Нужно исключить меняющиеся параметры;
b)Произвести обновление контрольных сумм;
c)Выполнить оба вышеприведенных пункта.
4.Можно ли установить настройки пользователя независимо от настроек группы, к которой он принадлежит?
a)Да;
b)Нет;
c)Только, если эта группа администраторов.
5.Что происходит при корректном входе пользователя в систему?
a)Выполняется загрузка установленной операционной системы;
b)Появляется меню пользователя;
c)Выполняется загрузка изолированной программной среды пользователя.
6.Какие компоненты проверяются при диагностике платы «Соболь»?
a)Тест энергонезависимой памяти;
b)Тест считывателя iButton;
c)Тест ДСЧ;
d)Тест разъемов J0-J1;
e)Тест разъемов подключения внешних носителей.
7.Какие действия предпринимаются комплексом «Соболь», в случае ввода неверного пароля пользователем, больше допустимого значения установленного администратором?
a)Блокировка учетной записи пользователя;
b)Блокировка АРМ;
c)Перезагрузка АРМ.
216
8.Какие атрибуты присваиваются новому пользователю при регистрации?
a)Имя;
b)Идентификатор;
c)Аутентификатор и пароль;
d)Все вышеприведенные.
9.За что отвечает параметр «Текущий статус пользователя»?
a)Управляет блокировкой доступа пользователя в систему;
b)Показывает, заблокирован ли вход пользователя или нет, а также причину блокировки;
c)Показывает, заблокирован вход пользователя или нет.
10.Что необходимо делать, чтобы перевести комплекс «Соболь» в рабочий режим?
a)Установить перемычки J0-J1;
b)Установить перемычку J0;
c)Установить перемычку J1.
217
4.6.2. ЛАБОРАТОРНАЯ РАБОТА № 10: ПРОВЕРКА НАСТРОЕК
РАЗРЕШИТЕЛЬНОЙ СИСТЕМЫ ДОСТУПА К ФАЙЛОВЫМ СИСТЕМАМ С ИСПОЛЬЗОВАНИЕМ СПЕЦИАЛИЗИРОВАННЫХ ТЕСТИРУЮЩИХ СРЕДСТВ И ШТАТНЫХ СРЕДСТВ ИЗ СОСТАВА ОС
Цель: Получение практических навыков по проведению аттестации объекта информатизации, с помощью сертифицированного программного обеспечения. Разграничение доступа с помощью стандартных средств ОС Windows XP. Предотвращение попыток НСД. Изучение программ «Ревизор 1 ХР», «Ревизор 2 ХР». Разграничение доступа к объектам АРМ.
Сценарий проведения работы
1)Создание проекта разграничения доступа (ПРД).
2)Настройка автоматизированного рабочего места (АРМ) в соответствии с созданным проектом при помощи стандартных средств из состава Windows XР.
3)Проведение тестирования АРМ на соответствие с ПРД, анализ отчета.
4)Моделирование несоответствия реальной модели разграничения доступа реализованной на АРМ с ПРД. Повторное тестирование АРМ, анализ отчета.
5)Подготовка отчета для сдачи лабораторной работы.
Основные возможности программных средств контроля системы разграничения доступа
Работа с программным средством «Ревизор 1 ХР»
«Ревизор 1 XP» предназначен для создания и редактирования модели системы разграничения доступа (СРД). В дальнейшем модель СРД будет называться проектом разграничения доступа (ПРД). При этом программой выполняются следующие функции:
1)Автоматическое сканирование локальных логических дисков, а также доступных сетевых папок. Выбор ресурсов для сканирования осуществляется администратором АРМ.
2)Автоматическое считывание установленных прав доступа файловой системы NTFS (для АРМ под управлением ОС семейства Windows NT).
3)Построение по результатам сканирования дерева ресурсов, соответствующего структуре ресурсов АРМ и ЛВС.
4)Автоматическое получение списка локальных и доменных пользователей (для АРМ под управлением ОС семейства Windows NT).
218
5) Ручная регистрация в ПРД пользователей и установка их уровней допус-
ка.
6)Установка прав доступа пользователей к объектам доступа, а также грифов секретности объектов доступа.
7)Отображение всей информации, содержащейся в ПРД, в удобной форме.
8)Создание отчетов на основе информации о субъектах и объектах досту-
па.
Программа выполняется администратором АРМ.
Условия применения
Требования к техническим средствам. Рекомендуемая конфигурация ПЭВМ АРМ:
∙Процессор – Intel Pentium и выше;
∙ОЗУ – 64 МБ;
∙На ЖМД не менее 40 Мбайт дискового пространства;
∙Видеоадаптер – SVGA
При улучшении конфигурации ПЭВМ «Ревизор 1 XP» выполняется быстрее.
Требования к программному обеспечению:
«Ревизор 1 ХР» работает под управлением ОС Windows 95, 98, Me, NT 4, 2000, XP и Server 2003. Дополнительных требований к программному обеспечению не предъявляется.
Входные и выходные данные
Входные данные
∙Структура ресурсов АРМ и ЛВС. При выполнении сканирования «Ревизор 1 XP» получает информацию об этой структуре и сохраняет ее в ПРД.
∙Установленные права доступа файловой системы NTFS.
∙Списки локальных и доменных пользователей системы.
∙Информация о разрешительной системе. Вносится администратором при обработке ПРД.
Выходные данные
∙ПРД. Физически ПРД сохраняется в виде файла с расширением ARX.
∙Отчеты на основе информации, содержащейся в ПРД, в формате HTML.
Функции программы
Выполняемые функции:
219
Сканирование ресурсов. В ходе сканирования «Ревизор 1 XP» получает информацию о структуре ресурсов АРМ (ЛВС) и сохраняет ее в памяти ПЭВМ.
Считывание прав доступа NTFS. В ходе сканирования дисков с файловой системой NTFS «Ревизор 1 XP» считывает установленные права доступа и преобразует их в формат, используемый для представления прав доступа в ПРД. Эта функция доступна при запуске программы под управлением ОС семейства Win-
dows NT.
Построение дерева ресурсов. По результатам сканирования «Ревизор 1 XP» автоматически строит иерархическую структуру, соответствующую структуре ресурсов АРМ.
Получение списка локальных и доменных пользователей. «Ревизор 1 ХР» получает списки учетных записей пользователей, зарегистрированных как непосредственно на АРМ, так и на контроллере домена (в случае, если АРМ входит в состав домена). Эти пользователи регистрируются в ПРД наравне с другими субъектами доступа. Эта функция доступна при запуске программы под управлением ОС семейства Windows NT.
Создание и удаление пользователей. «Ревизор 1 ХР» позволяет вручную до-
бавлять и удалять пользователей ПРД. При создании администратор указывает, какие права доступа получит создаваемый пользователь: либо права доступа по умолчанию, либо права доступа текущего пользователя. При удалении пользователя все установленные для него права доступа теряются.
Моделирование разрешительной системы. При моделировании разреши-
тельной системы администратор устанавливает грифы секретности на объекты доступа, а также настраивает права доступа для созданных пользователей.
Создание отчетов на основе информации о субъектах и объектах доступа.
«Ревизор 1 ХР» формирует отчеты в формате HTML на основе информации, содержащейся в ПРД.
Выполнение программы
Для установки «Ревизор 1 ХР» нужно скопировать главный исполняемый файл Revizor1XP.exe в любой каталог на жестком диске. Никаких дополнительных действий по установке не требуется.
Вызов «Ревизор 1 ХР» осуществляется выполнением главного исполняемого файла Revizor1ХР.exe Окно программы (рис.16.27) имеет следующие элементы:
∙Строка меню.
∙Панель инструментов.
220
∙Дерево каталогов.
∙Список содержимого каталогов.
∙Список пользователей.
∙Строка состояния.
Меню дублирует все функции, доступные с панели инструментов. На панели инструментов расположены следующие кнопки (табл.16.2):
Таблица 16.2
Создание нового проекта
Открытие проекта
Сохранение проекта
Включение / выключение режима наследования разрешений. Если этот режим включен, изменения прав доступа к каталогу будут распространяться на его содержимое
Создание нового пользователя
Удаление пользователя
Создание отчета
Рис. 16.27. Главное окно программы
Помимо этого, из меню могут быть дополнительно вызваны следующие функции: