Информационная безопасность. Корнюшин П.Н - 127 стр.

       Подсистема избирательного управления доступом
       Подсистема избирательного управления доступом обеспечивает разграничение доступа
пользователей к ресурсам файловой системы, аппаратным ресурсам и ресурсам операционной
системы компьютера. Для управления доступом к ресурсам файловой системы, системному
реестру и системным средствам управления компьютером используются стандартные средства ОС
Windows NT, а непосредственное управление осуществляется с использованием интерфейса Secret
Net NT. Для управления доступом к дискам и портам используются средства Secret Net NT.
       Подсистема полномочного управления доступом
       Подсистема полномочного управления доступом обеспечивает разграничение доступа
пользователей к конфиденциальной информации, хранящейся в файлах на локальных и сетевых
дисках. Доступ осуществляется в соответствии с категорией конфиденциальности, присвоенной
информации, и уровнем допуска пользователя к конфиденциальной информации.
       Подсистема полномочного управления доступом включает в себя: драйвер полномочного
управления доступом и компоненту управления допуском к ресурсам. Компонента управления
конфиденциальностью ресурсов включается в программу “Проводник” (Explorer). Из программы
“Проводник” и осуществляется управление категориями конфиденциальности, которые
присваиваются файлам. Диски обязательно должны быть размечены для работы с файловой
системой NTFS. Драйвер полномочного управления доступом контролирует доступ пользователей
к конфиденциальным ресурсам. Когда пользователь (или программа, запущенная пользователем)
осуществляет попытку выполнить какую-либо операцию над конфиденциальным ресурсом,
драйвер определяет категорию конфиденциальности ресурса и передает ее диспетчеру доступа,
входящему в состав ядра системы защиты. Диспетчер доступа сопоставляет категорию
конфиденциальности ресурса и уровень допуска данного пользователя к конфиденциальной
информации. Также он проверяет, не противоречат ли действия пользователя с ресурсом другим
настройкам системы (например, условиям копирования через буфер обмена). Если уровень
допуска или настройки системы не позволяют выполнить операцию, диспетчер доступа передает
драйверу запрещающую команду, и операция блокируется. При этом подсистема регистрации
ядра системы фиксирует в журнале попытку несанкционированного доступа.
       Подсистема замкнутой программной среды
       Подсистема замкнутой программной среды позволяет сформировать для любого
пользователя компьютера программную среду, определив индивидуальный перечень программ,
разрешенных для запуска. Драйвер замкнутой программной среды контролирует запуск
пользователем программ. Когда пользователь (программа, запущенная пользователем)
осуществляет попытку запуска какой-либо программы, драйвер передает диспетчеру доступа,
входящему в состав ядра системы защиты, сведения о запускаемой программе. Диспетчер доступа
проверяет, включена ли эта программа в персональный список программ, разрешенных для
запуска. Если программа содержится в списке, диспетчер доступа передает драйверу
разрешающую команду. Если пользователю запрещено запускать данную программу, диспетчер
доступа передает драйверу запрещающую команду, и запуск программы блокируется. В этом
случае     подсистема   регистрации    фиксирует     в   журнале    безопасности     попытку
несанкционированного доступа.
       Подсистема контроля входа
       Подсистема контроля входа обеспечивает идентификацию и аутентификацию
пользователя при его входе в систему. Подсистема включает в себя модуль идентификации
пользователя, а также может содержать средства аппаратной поддержки, например, Secret Net TM
Card или Электронный замок “Соболь”, если они установлены на компьютере, и программу-
драйвер, с помощью которой осуществляется управление аппаратными средствами.
       Подсистема контроля входа запрашивает и получает информацию о входящем в систему
пользователе (имя, пароль, персональный идентификатор пользователя). Затем сравнивает
полученную информацию с информацией, хранящейся в БД системы защиты. Предоставление
информации из БД обеспечивает ядро системы за
       щиты. Если в БД отсутствует информация о пользователе, вход пользователя в систему
запрещается.
       Для целей идентификации и аутентификации могут использоваться аппаратные средства.
Для управления ими необходимы специальные программы-драйверы, которые обеспечивают
обмен информацией между устройствами аппаратной поддержки и модулями системы защиты.
Драйверы входят в комплект поставки и устанавливаются на компьютер вместе с системой Secret

                                            128