Методическая разработка на тему: "Обеспечение информационной безопасности в ОС"

ЛЕКЦИЯ 31. УПРАВЛЕНИЕ БЕЗОПАСНОСТЬЮ

Обеспечение информационной безопасности в ОС

Программные средства (программное обеспечение, ПО) включают по крайней мере две компоненты — системное ПО и прикладное ПО. Мы рассмотрим встроенные средства обеспечения информационной безопасности в операционных системах (ОС) и некоторых наиболее популярных прикладных программах, в основном на примерах продуктов Microsoft — MS Windows 2000/ХР, MS Word, Access, Excel.

Отметим, что в то время как ОС (точнее, файловая система — ФС) управляет данными, оперируя такими объектами, как том (диск), раздел (партиция), кластер/сектор, файл, типичные приложения (текстовые редакторы, табличные процессоры и СУБД) «распоряжаются» на более тонких уровнях — «лист», «ячейка» (Excel), «таблица БД», «строка», «столбец» (Access).

Соответственно, разграничение доступа, шифрование, аудит событий и другие действия, связанные с информационной безопасностью, осуществляются по-разному — ОС может запретить обращение к файлу, в то время как СУБД заблокирует «запись» (строку таблицы БД) или «данное» (элемент записи).

В операционных системах MS Windows 2000/ХР направления информационной безопасности осуществляются в основном в следующих направлениях:

1.         разграничение доступа к ресурсам;

2.         шифрование;

3.         наблюдение за событиями (аудит);

4.         защита от вирусов, спама и других угроз.

Разграничение доступа

Данное направление защиты информации является неотъем­лемой функцией операционных систем с момента их возникно­вения, и Windows ХР, как и большинство других ОС, использует два механизма такого разграничения: управление правами пользователей/процессов; управление атрибутами ресурсов ЭВМ.

Управление правами пользователей может осуществляться из оснастки локальные пользователи и группы, которая является важным средством безопасности, поскольку позволяет ограничить возможные действия пользователей и групп путем назначения им прав и разрешений.

Право дает возможность пользователю выполнять на компьютере определенные действия, а разрешение представляет собой правило, связанное с объектом (файлом, папкой, принтером и т. д.), которое определяет, каким пользователям и какого типа доступ к объекту разрешен.

Права пользователей определяют его возможности на локальном уровне. Хотя права пользователей и могут применяться к учетным записям отдельных пользователей, удобнее админист­рировать права пользователей на основе групп. Это обеспечивает автоматическое наследование прав, назначенных группе, пользо­вателем, входящим в систему с учетной записью члена этой группы. Назначая права группам, а не отдельным пользователям, можно упростить администрирование учетных записей пользова­телей. Если всем пользователям группы требуются одинаковые права, можно один раз назначить набор прав группе, вместо того, чтобы назначать один и тот же набор прав каждому поль­зователю в отдельности.

Права, назначенные группе, применяются ко всем членам группы до тех пор, пока они в ней состоят. Права пользователей, являющихся членами нескольких групп, суммируются; это означает, что пользователь имеет более одного набора прав. Права, назначенные группе, могут конфликтовать с правами другой группы, только если речь идет об определенных правах на вход в систему. Тем не менее обычно права, назначенные группе, не конфликтуют с правами другой группы. Чтобы лишить пользо­вателя прав, администратору достаточно удалить его из группы. При этом пользователь лишается прав, назначенных группе.

Существует два типа прав пользователей: привилегии и права на вход в систему. Примером привилегии может служить право на выключение системы. Примером права на вход в систему может служить право на удаленное подключение. Оба типа разрешений назначаются администраторами отдель­ным пользователям или группам пользователей как часть на­строек безопасности компьютера.

Привилегии.

Чтобы упростить администрирование учетных за­писей пользователей, следует назначать привилегии учетным за­писям групп, а не отдельных пользователей. При назначении привилегий учетной записи группы пользователям, включаемым в эту группу, эти привилегии назначаются автоматически.

Таблица 3.1. Некоторые привилегии пользователей

В табл. 3.1 перечислены и описаны некоторые из привиле­гий, которыми могут быть наделены пользователи. Ряд из этих привилегий имеют более высокий приоритет, чем разрешения объекта. Например, пользователь домена может являться членом группы Операторы архива, которая имеет пра­во выполнения задач архивирования на всех серверах домена. Однако для этого требуется наличие разрешения на чтение всех файлов на этих серверах, в том числе и тех файлов, для которых владельцы установили разрешения, явно запрещающие доступ других пользователей, включая и членов группы Операторы ар­хива. В данном случае право пользователя выполнять архивиро­вание получает приоритет над всеми разрешениями для файлов и каталогов.

Существуют три фундаментальных уровня защиты, предос­тавляемых пользователям. Они предоставляются конечным пользователям через членство в группах Администраторы, Опытные пользователи или Пользователи.

В узле Группы отображаются все встроенные группы и группы, созданные пользователем. Встроенные группы создаются автоматически при установке Windows 2000 или Windows ХР. Принадлежность к группе предоставляет пользователю права и возможности для выполнения различных задач на ком­пьютере.

Узел Пользователи отображает две встроенные учетные за­писи пользователей — Администратор и Гость, а также все соз­данные учетные записи пользователей. Встроенные учетные за­писи пользователей создаются автоматически при установке Windows 2000/ХР.

Учетная запись Администратор используется при первой ус­тановке рабочей станции или рядового сервера. Эта учетная за­пись позволяет выполнять необходимые действия до того, как пользователь создаст свою собственную учетную запись. Она входит в группу Администраторы на рабочей станции или сервере.

Учетную запись Администратор нельзя удалить, отключить или вывести из локальной группы Администраторы, благодаря чему исключается возможность случайной потери доступа к компьютеру после уничтожения всех учетных записей администратора.­ Профилирование загруженно­сти системы, восстановление файлов и ката­логов, завершение работы системы, овладение файлами или иными объектами - это свойства отличает учетную запись Администратор от остальных членов локальной группы Администраторы.

Администраторы.

Членство в группе Администраторы по умолчанию предоставляет самый широкий набор разрешений и возможность изменять собственные разрешения.

Рекомендует­ся использовать административный доступ только для выполне­ния следующих действий:

1.    установка операционной системы и ее компонентов (на­ пример, драйверов устройств, системных служб и т. д.);

2.    установки пакетов обновления;

3.    обновления операционной системы;

4.    восстановления операционной системы;

5.    настройки важнейших параметров операционной системы (политики паролей, управления доступом, политики ауди­та, настройки драйверов в режиме ядра и т. д.);

6.    вступления во владение файлами, ставшими недоступными;

7.    управления журналами безопасности и аудита;

8.    архивирования и восстановления системы.

На практике учетные записи администраторов часто должны использоваться для установки и запуска программ, написанных для предыдущих версий Windows.

Опытные пользователи.

Члены группы Опытные пользователи могут создавать учетные записи пользователей, но изменять и удалять могут только те из них, которые создали сами. Кроме того, они могут создавать локальные группы и уда­лять пользователей из созданных ими локальных групп, а также из групп Опытные пользователи, Пользователи и Гости.

Члены группы Опытные пользователи имеют больше разре­шений, чем члены группы Пользователи, и меньше, чем члены группы Администраторы.

Опытные пользователи могут выпол­нять любые задачи с операционной системой, кроме задач, заре­зервированных для группы Администраторы.

Опытные пользователи могут:

1.                  выполнять приложения, сертифицированные для Windows 2000 и Windows ХР, а также устаревшие приложения;

2.                  устанавливать программы, не изменяющие файлы опера­ционной системы и системные службы;

3.                  настраивать ресурсы на уровне системы, включая принте­ры, дату и время, параметры электропитания и другие ре­сурсы панели управления;

4.                  создавать и управлять локальными учетными записями пользователей и групп;

5.                  останавливать и запускать системные службы, не запущен­ ные по умолчанию.

Члены этой группы не могут изменять группы Администра­оры и Операторы архива, являться владельцами файлов, вы­полнять архивирование и восстановление каталогов, загружать и выгружать драйверы устройств или управлять журналами безо­ пасности и аудита.

Опытные пользователи не могут добавлять себя в группу Ад­министраторы. Они не имеют доступа к данным других пользо­ вателей на томе NTFS, если соответствующие разрешения этих пользователей не получены.

Для выполнения устаревших программ в Windows 2000/ХР часто необходимо изменить доступ к некоторым параметрам системы. Разрешения по умолчанию, позволяющие опытным пользователям выполнять устаревшие программы, также позво­ ляют им получать дополнительные привилегии в системе (даже полный административный контроль).

Поскольку опытные пользователи могут устанавливать и из­ менять программы, работа под учетной записью группы Опытные пользователи при подключении к Internet может сделать систе­ му уязвимой для троянских коней и других программ, угрожаю­щих безопасности.

Пользователи.

Члены группы могут выполнять наиболее распространенные задачи, например запуск приложений, исполь­зование локальных и сетевых принтеров, завершение работы и блокировку рабочих станций. Группа Пользователи является наиболее безопасной, поскольку разрешения, предоставленные этой группе по умолчанию, не позволяют пользователям изменять параметры реестра на уровне системы, файлы операционной сис­темы, программы или данные других пользователей. Пользо­ватели могут выключать рабочие станции, но не серверы, могут создавать локальные группы, но управлять могут только теми, ко­торые они создали. Пользователи не могут организовывать общий доступ к каталогам или создавать локальные принтеры.

Пользователи не могут запускать большинство программ для версий, более ранних, чем Windows 2000.