Добавил:
Опубликованный материал нарушает ваши авторские права? Сообщите нам.
Вуз: Предмет: Файл:
Secret Net 9x Local / Secret_Net_Introduction.pdf
Скачиваний:
73
Добавлен:
02.05.2014
Размер:
2.26 Mб
Скачать

Secret Net 9x Описание применения

 

Разграничение доступа к ресурсам

 

Система Secret Net 9х позволяет разграничивать доступ пользователей к локальным

ресурсам компьютера: ресурсам файловой системы, аппаратным ресурсам, ресурсам

операционной системы. Разграничение доступа обеспечивает совместную работу

пользователей с ресурсами компьютера, а также защиту этих ресурсов от несанкцио-

нированного использования.

 

Система Secret Net 9х включает в свой состав следующие механизмы разграничения

доступа пользователей к ресурсам:

 

механизм избирательного управления доступом;

механизм полномочного управления доступом;

 

механизм замкнутой программной среды.

 

Каждый из этих механизмов позволяет управлять доступом пользователей к ресурсам

определенного типа.

 

Типы ресурсов и средства

разграничения доступа

 

Ресурсы операционной

Механизм избирательного

системы

управления доступом

Аппаратные ресурсы

 

Механизм замкнутой

Ресурсы файловой

программной среды

 

системы

Механизм полномочного

 

управления доступом

 

Механизм избирательного управления доступом

Механизм избирательного управления доступом обеспечивает разграничение доступа пользователей к локальным ресурсам компьютера, используя следующие средст-

ва системы Secret Net 9х:

систему атрибутов Secret Net 9х и средства управления атрибутами;

средства управления доступом к аппаратным ресурсам компьютера;

средства управления доступом к ресурсам операционной системы;

диспетчер доступа (см. стр.10).

Каждый зарегистрированный пользователь компьютера наделяется определенными правами доступа к ресурсам этого компьютера (см. стр.19).

Более подробно возможные варианты прав доступа пользователя к ресурсам различного типа описаны в приложении (см. Табл.6).

Система атрибутов Secret Net 9х

Система защиты Secret Net 9х использует свою систему атрибутов для организации избирательного доступа пользователей к ресурсам файловой системы. Эти атрибуты не подменяют собой атрибуты ОС Windows’9x и MS DOS, присваиваемые файлам и

26

Глава 3 Механизмы управления доступом и защиты ресурсов

каталогам. Атрибуты Secret Net 9х прозрачны (незаметны) для этих операционных систем и могут присваиваться как файлам и каталогам, так и логическим дискам.

Атрибуты Secret Net 9х подразделяются на три группы:

атрибуты владения ресурсом;

атрибуты управления доступом к ресурсу;

дополнительные атрибуты.

АтрибутыSecretNet9x

Атрибуты владения

Атрибуты управления

Дополнительные

ресурсом

доступом к ресурсу

атрибуты

 

 

 

Имя владельца

Чтение

Полный доступ

 

Запись

Аудит чтения

 

Аудит записи

Имя группы

Выполнение

владельцев

Только чтение

Атрибуты владения ресурсом

Атрибуты владения ресурсом определяют пользователя, являющегося владельцем ресурса, и группу пользователей - владельцев ресурса. Присвоенные ресурсу атрибуты владения содержат сведения о владельце и группе владельцев ресурса.

Атрибуты владения разделяют всех пользователей Secret Net 9х по отношению к данному ресурсу на три категории:

владелец ресурса ("Владелец");

группа владельцев ресурса ("Группа");

остальные пользователи компьютера ("Остальные").

Правила владения ресурсами

Для каждой из этих категорий пользователей назначаются свои атрибуты управления доступом, определяющие права доступа пользователей к ресурсу. Таким образом, каждый пользователь компьютера наделяется определенными правами доступа к данному ресурсу в зависимости от того, к какой из трех указанных категорий он принадлежит.

В системе Secret Net 9х действуют следующие общие правила владения ресурсами.

1. Ресурс, для которого не определены атрибуты владения, считается “общим”. Любой зарегистрированный пользователь компьютера может производить с “общим” ресурсом любые действия, кроме присваивания ему своих атрибутов владения и управления доступом (право на выполнение этого действия определяется привилегиями на администрирование системы защиты). Пользователь, первым установивший свои атрибуты владения на “общий” ресурс, становится его владельцем.

2.При создании нового ресурса (каталога или файла), ему автоматически присваиваются определенные атрибуты владения и доступа. Значения устанавливаемых атрибутов соответствуют значениям атрибутов по умолчанию, которые заданы в свойствах пользователя, создавшего ресурс.

3.Возможность изменения атрибутов владения, присвоенных существующим ресурсам, ограничена и определяется привилегиями на администрирование системы защиты (см. стр.18), предоставленными данному пользователю.

Атрибуты Атрибуты управления доступом определяют права доступа к ресурсу различных управления категорий пользователей ("Владелец", "Группа", "Остальные"). Принадлежность те-

доступом к ресурсу

27

Secret Net 9x Описание применения

 

 

кущего пользователя компьютера к одной из этих категорий определяется атрибу-

тами владения, установленными на данный ресурс.

 

 

 

Атрибуты управления доступом

 

 

 

Владелец

 

 

Пользователи

Группа

 

 

 

 

Остальны

 

Ресурсы

 

 

 

Права доступа

 

 

 

Диски

 

 

 

Для владельца

 

 

Чтение [R]

Каталоги

Атрибуты

 

Для группы

управления

 

Запись [W]

Файлы

 

 

доступом

Выполнение [X]

Для остальных

 

В системе Secret Net 9x существует три атрибута управления доступом:

 

Правила

управления доступом к ресурсам

“Чтение” ([R]) - разрешает доступ к ресурсу только на чтение, т.е. позволяет открывать ресурс на чтение;

“Запись” ([W]) - разрешает доступ к ресурсу на чтение и запись, т.е. позволяет изменять содержимое ресурса (сохранить изменения, удалить, переименовать, изменить атрибуты Windows и т.д.);

“Выполнение” ([X]) - разрешает запускать программу на выполнение (имеет смысл только для программ).

Для каждой категории пользователей любой ресурс имеет свои значения атрибутов управления доступом. Права текущего пользователя компьютера на доступ к любому ресурсу определяются действующими для него атрибутами доступа, установленными на этот ресурс. Для пользователя, являющегося владельцем ресурса, действуют атрибуты доступа, установленные для категории “Владелец”. Если пользователь входит в состав группы пользователей ресурса, для него действуют атрибуты доступа, установленные для категории “Группа”. Для пользователя, который не является владельцем и не входит в состав группы пользователей ресурса, действуют атрибуты доступа, установленные для категории “Остальные”.

Примечание. Если пользователь одновременно является владельцем ресурса и входит в состав группы пользователей-владельцев, действуют атрибуты доступа, установленные для категории "Владелец".

В системе Secret Net 9x действуют следующие общие правила управления доступом к ресурсам:

1. Система не отображает имя ресурса, если у текущего пользователя отсутствует доступ к этому ресурсу (“Нет доступа” к ресурсу). Это правило не распространяется на пользователей, обладающих соответствующими привилегиями на работу с системой (см. стр.18).

2.Если права доступа пользователя к ресурсу не позволяют ему выполнить некоторую операцию с ресурсом, система Secret Net 9х блокирует выполнение этой операции.

Это правило не действует:

если для пользователя включен “мягкий” режим работы с атрибутами и предоставлены права доступа к ресурсу на чтение (атрибут "Чтение");

если пользователю предоставлены соответствующие привилегии на работу с системой (см. стр.18).

28

Дополнительные атрибуты

Глава 3 Механизмы управления доступом и защиты ресурсов

3.При создании нового ресурса (каталога или файла), ему автоматически присваиваются определенные атрибуты владения и доступа. Значения устанавливаемых атрибутов соответствуют значениям атрибутов по умолчанию, которые заданны в свойствах пользователя, создавшего ресурс.

4.Возможность изменения атрибутов доступа, присвоенных существующим ресурсам, ограничена и определяется привилегиями на администрирование системы защиты (см. стр.18), предоставленными пользователю.

Кроме атрибутов владения и управления доступом в системе Secret Net 9х используются дополнительные атрибуты, расширяющие возможности организации работы с файлами. Эти атрибуты устанавливаются только на файлы. Всего существует четыре дополнительных атрибута:

"Полный доступ" - имеет смысл только для программ. Устанавливает для программы специальный режим работы. В этом режиме не контролируется доступ программы к ресурсам файловой системы (дискам, каталогам и файлам), аппаратным ресурсам (коммуникационным портам и принтерам) и ресурсам операционной системы (системным файлам, элементам реестра и т.д.). Попытки доступа программы к этим ресурсам не регистрируются в системном журнале. При включенном режиме полномочного управления доступом все попытки доступа программы к конфиденциальным ресурсам контролируются;

Внимание! При использовании атрибута “Полный доступ” необходимо помнить, что такой вариант доступа небезопасен, так как может быть использован для преодоления системы защиты (например, вирусами).

"Аудит чтения" - устанавливает для файла режим регистрации в системном журнале всех попыток чтения информации из файла;

"Аудит записи" - устанавливает для файла режим регистрации в системном журнале всех попыток осуществить запись информации в файл;

"Только чтение" - включает для файла режим, при котором реальный доступ к этому файлу разрешен только на чтение, но программе, которая осуществляет доступ к файлу на запись, возвращается признак успешного завершения операции изменения файла.

Примечание. Этот атрибут используется для обеспечения совместимости системы защиты с некоторыми специализированными программами.

Управление атрибутами Secret Net 9х

Средства управления атрибутами Secret Net 9х обеспечивают:

присвоение атрибутов дискам, каталогам и файлам;

проверку прав доступа пользователей к дискам, каталогам и файлам в соответствии с присвоенными ресурсам атрибутами.

Атрибуты доступа и владения могут быть присвоены ресурсам файловой системы несколькими способами:

автоматически системой Secret Net 9х при ее установке на компьютер;

автоматически системой Secret Net 9х при создании файла или каталога;

вручную пользователем при помощи компонент Secret Net 9х, расширяющих возможности программы Проводник (Explorer), или с помощью программы IMAGE32, входящей в комплект поставки системы защиты.

Примечание. Посмотреть, установить и изменить атрибуты Secret Net 9х для ресурсов можно ТОЛЬКО с помощью специальных программных средств системы

Secret Net 9х.

29

 

Secret Net 9x Описание применения

 

 

 

 

 

 

Проверку прав доступа пользователей к ресурсу выполняет диспетчер доступа

 

системы Secret Net 9х. Когда пользователь (программа, запущенная пользователем)

 

осуществляет попытку доступа к ресурсу, диспетчер доступа определяет категорию

 

(“Владелец”, “Группа”, “Остальные”), к которой принадлежит текущий пользователь

 

компьютера по отношению к ресурсу. Затем выполняется чтение атрибутов управ-

 

ления доступом, установленных для соответствующей категории пользователей на

 

данный ресурс, а также на все ресурсы, чьи атрибуты наследуются данным ресур-

 

сом (например, каталог или диск, содержащие ресурс). Определяются эффективные

 

права доступа к ресурсу текущего пользователя.

 

 

 

 

 

Если эффективные права доступа пользователя к ресурсу (например - “Доступ на

 

запись”) не превышены при выполнении им заданной операции (например, удале-

 

ние ресурса), система защиты санкционирует выполнение этой операции. Иначе

 

система защиты запрещает выполнение операции и ограничивает действия пользо-

 

вателя способом, определенным параметрами работы системы.

 

 

 

 

Примечание. Например, если эффективные права доступа пользователя к ресур-

 

су определены как “Доступ на чтение” и выполняется операция удаление ресурса -

 

операция запрещается.

 

 

 

 

 

 

 

Наследование

В системе Secret Net 9х реальные права доступа пользователя к ресурсам файло-

атрибутов доступа

вой системы определяются как атрибутами доступа, установленными на сам ресурс,

 

так и атрибутами доступа к ресурсам, в состав которых входит данный ресурс.

 

 

Примечание. Например, реальные права доступа к файлу C:\DOC\MY_DOC.TXT

 

будут

определяться

атрибутами

доступа,

установленными

на

сам

файл

 

MY_DOC.TXT, атрибутами доступа к каталогу DOC иатрибутамидоступакдиску[C:].

 

 

Наследование атрибутов доступа

 

 

 

 

 

Ограничение прав доступа

 

 

Расширение прав доступа

 

 

Диски

Эффективные

Эффективные

 

Диски

 

права доступа

права доступа

 

 

 

 

к ресурсу

к ресурсу

 

 

 

 

Каталоги

 

 

 

 

 

Каталоги

 

 

 

 

 

 

 

 

 

Файлы

 

 

 

 

 

Файлы

 

 

А

 

 

 

В

 

 

 

 

Реальные права доступа пользователя к ресурсу будем называть его эффектив-

 

ными правами доступа, а метод определения эффективных прав назовем насле-

 

дованием атрибутов доступа.

 

 

 

 

 

 

Правила

наследования атрибутов доступа

В системе Secret Net 9х приняты следующие правила наследования атрибутов доступа:

1. Атрибуты управления доступом к диску распространяются на все каталоги, подкаталоги и файлы, находящиеся на данном диске.

2.Атрибуты управления доступом к каталогу распространяются на все файлы и подкаталоги, а также на все файлы подкаталогов, входящие в состав данного каталога.

3.В части ограничения прав доступа приоритет атрибутов доступа к диску выше, чем приоритет атрибутов доступа к каталогам и файлам данного диска, а приоритет атрибутов доступа к каталогу выше приоритета атрибутов доступа к его файлам и подкаталогам (см. фрагмент А на рисунке, представленном выше).

30

Глава 3 Механизмы управления доступом и защиты ресурсов

Например:

Если права доступа текущего пользователя к диску определены как “Доступ на чтение” (не установлены атрибуты “Запись” и “Выполнение”), ему запрещается модифицировать все каталоги и файлы этого диска, независимо от атрибутов доступа, установленных на них (см. фрагмент С на рисунке, представленном ниже);

Если права доступа текущего пользователя к каталогу определены как “Доступ на чтение” (атрибуты “Запись” и “Выполнение” не установлены), ему запрещается любой доступ к подкаталогам и файлам этого каталога, независимо от атрибутов доступа, установленных на них (см. фрагмент В на рисунке, представленном ниже).

4.В части расширения прав доступа приоритет атрибутов доступа к диску или каталогу считается ниже, чем приоритет атрибутов подкаталогов и файлов этого диска или каталога (см. фрагмент В на рисунке, представленном выше).

Например, если права доступа текущего пользователя к диску определены как “Полный доступ”, к каталогу на этом диске - как “Доступ на чтение”, а к файлу этого каталога - как “Нет доступа”, доступ пользователя к данному файлу будет запрещен, невзирая на атрибуты доступа к диску и каталогу.

5.Привилегии на работу с системой (см. стр.18) имеют наивысший приоритет при определении эффективных прав доступа пользователя к ресурсу и отменяют соответствующие ограничения доступа, заданные атрибутами доступа к ресурсу.

 

Наследование атрибутов доступа

Эффективные

Эффективные

Эффективные

права

права

права

доступа

доступа

доступа

 

Полный

Чтение

 

доступ

 

Полный

 

 

доступ

Чтение

Чтение

 

Чтение

Чтение

А

В

С

 

Текущие атрибуты ресурсов:

 

RWX (полный доступ)

R (чтение)

Управление доступом к аппаратным ресурсам

Средства управления доступом к аппаратным ресурсам обеспечивают ограничение прав доступа пользователей к следующим аппаратным ресурсам компьютера:

локальным принтерам;

сетевым принтерам;

коммуникационным портам (COM, LPT, PS2, USB);

дисководам, приводам CD-ROM.

Для любого пользователя компьютера может быть установлен запрет доступа к любому из указанных аппаратных ресурсов. В том случае, если доступ текущего пользователя к ресурсу запрещен, обращения любых программ к этому ресурсу блокируются. Например, если пользователю запрещен доступ к принтеру, любые его попытки осуществить печать на данном принтере будут блокированы. Проверку прав доступа пользователей к аппаратным ресурсам выполняет диспетчер доступа сис-

темы Secret Net 9х.

31

Соседние файлы в папке Secret Net 9x Local