20969

Разграничение доступа к ресурсам в MS Windows

Лабораторная работа

Информатика, кибернетика и программирование

1] Лабораторная работа № 7 [1] Разграничение доступа к ресурсам в MS Windows [2] Оглавление [2.6] Критерии оценки работы Цели работы освоение средств защищенных версий операционной системы Windows предназначенных для: разграничения доступа субъектов к папкам и файлам; разграничения доступа субъектов к принтерам; разграничения доступа к разделам реестра; обеспечения конфиденциальности папок и файлов с помощью шифрующей файловой системы. Отношение субъектыобъекты можно представить в виде матрицы доступа в строках которой перечислены...

Русский

2013-08-02

100.5 KB

99 чел.

Лабораторная работа № 7

Разграничение доступа к ресурсам в MS Windows

Оглавление

[0.1] Лабораторная работа № 7

[1] Разграничение доступа к ресурсам в MS Windows

[2] Оглавление

[2.1] Цели работы

[2.2] Управление доступом

[2.3] Ролевое управление доступом

[2.4] Порядок выполнения заданий

[2.5] Контрольные вопросы

[2.6] Критерии оценки работы

Цели работы

  1.  освоение средств защищенных версий операционной системы Windows, предназначенных для:
    1.  разграничения доступа субъектов к папкам и файлам;
    2.  разграничения доступа субъектов к принтерам;
    3.  разграничения доступа к разделам реестра;
    4.  обеспечения конфиденциальности папок и файлов с помощью шифрующей файловой системы.

Управление доступом

С традиционной точки зрения средства управления доступом позволяют специфицировать и контролировать действия, которые субъекты (пользователи и процессы) могут выполнять над объектами (информацией и другими компьютерными ресурсами). В данном разделе речь идет о логическом управлении доступом, которое, в отличие от физического, реализуется программными средствами. Логическое управление доступом – это основной механизм многопользовательских систем, призванный обеспечить конфиденциальность и целостность объектов и, до некоторой степени, их доступность (путем запрещения обслуживания неавторизованных пользователей).

Рассмотрим формальную постановку задачи в традиционной трактовке. Имеется совокупность субъектов и набор объектов. Задача логического управления доступом состоит в том, чтобы для каждой пары "субъект-объект" определить множество допустимых операций (зависящее, быть может, от некоторых дополнительных условий) и контролировать выполнение установленного порядка.

Отношение "субъекты-объекты" можно представить в виде матрицы доступа, в строках которой перечислены субъекты, в столбцах – объекты, а в клетках, расположенных на пересечении строк и столбцов, записаны дополнительные условия (например, время и место действия) и разрешенные виды доступа. Фрагмент матрицы может выглядеть, например, так:

Файл

Программа

Линия связи

Реляционная таблица

Пользователь 1

orw с системной консоли

e

rw с 8:00 до 18:00

Пользователь 2

a

"o" – обозначает разрешение на передачу прав доступа другим пользователям,

"r" – чтение,

"w" – запись,

"e" – выполнение,

"a" – добавление информации

Тема логического управления доступом – одна из сложнейших в области информационной безопасности. Дело в том, что само понятие объекта (а тем более видов доступа) меняется от сервиса к сервису. Для операционной системы к объектам относятся файлы, устройства и процессы. Применительно к файлам и устройствам обычно рассматриваются права на чтение, запись, выполнение (для программных файлов), иногда на удаление и добавление. Отдельным правом может быть возможность передачи полномочий доступа другим субъектам (так называемое право владения). Процессы можно создавать и уничтожать. Современные операционные системы могут поддерживать и другие объекты.

Для систем управления реляционными базами данных объект – это база данных, таблица, представление, хранимая процедура. К таблицам применимы операции поиска, добавления, модификации и удаления данных, у других объектов иные виды доступа.

Разнообразие объектов и применимых к ним операций приводит к принципиальной децентрализации логического управления доступом. Каждый сервис должен сам решать, позволить ли конкретному субъекту ту или иную операцию. Теоретически это согласуется с современным объектно-ориентированным подходом, на практике же приводит к значительным трудностям. Главная проблема в том, что ко многим объектам можно получить доступ с помощью разных сервисов. Так, до реляционных таблиц можно добраться не только средствами СУБД, но и путем непосредственного чтения файлов или дисковых разделов, поддерживаемых операционной системой (разобравшись предварительно в структуре хранения объектов базы данных). В результате при задании матрицы доступа нужно принимать во внимание не только принцип распределения привилегий для каждого сервиса, но и существующие связи между сервисами . Аналогичная трудность возникает при экспорте/импорте данных, когда информация о правах доступа, как правило, теряется (поскольку на новом сервисе она не имеет смысла). Следовательно, обмен данными между различными сервисами представляет особую опасность с точки зрения управления доступом, а при проектировании и реализации разнородной конфигурации необходимо позаботиться о согласованном распределении прав доступа субъектов к объектам и о минимизации числа способов экспорта/импорта данных.

При принятии решения о предоставлении доступа обычно анализируется следующая информация:

  •  идентификатор субъекта (идентификатор пользователя, сетевой адрес компьютера и т.п.). Подобные идентификаторы являются основой произвольного (или дискреционного) управления доступом;
  •  атрибуты субъекта (метка безопасности, группа пользователя и т.п.). Метки безопасности – основа принудительного (мандатного) управления доступом.

Матрицу доступа, ввиду ее разреженности (большинство клеток – пустые), неразумно хранить в виде двухмерного массива. Обычно ее хранят по столбцам, то есть для каждого объекта поддерживается список "допущенных" субъектов вместе с их правами. Элементами списков могут быть имена групп и шаблоны субъектов, что служит большим подспорьем администратору. Некоторые проблемы возникают только при удалении субъекта, когда приходится удалять его имя из всех списков доступа; впрочем, эта операция производится не часто.

Подавляющее большинство операционных систем и систем управления базами данных реализуют именно произвольное управление доступом. Основное достоинство произвольного управления – гибкость. Вообще говоря, для каждой пары "субъект-объект" можно независимо задавать права доступа. К сожалению, у "произвольного" подхода есть ряд недостатков. Рассредоточенность управления доступом ведет к тому, что доверенными должны быть многие пользователи, а не только системные администраторы. Из-за рассеянности или некомпетентности сотрудника, владеющего секретной информацией, эту информацию могут узнать и все остальные пользователи. Следовательно, произвольность управления должна быть дополнена жестким контролем за реализацией избранной политики безопасности.

Второй недостаток, который представляется основным, состоит в том, что права доступа существуют отдельно от данных. Ничто не мешает пользователю, имеющему доступ к секретной информации, записать ее в доступный всем файл или заменить полезную утилиту ее "троянским" аналогом. Подобная "разделенность" прав и данных существенно осложняет проведение несколькими системами согласованной политики безопасности и, главное, делает практически невозможным эффективный контроль согласованности.

Возвращаясь к вопросу представления матрицы доступа, укажем, что для этого можно использовать также функциональный способ, когда матрицу не хранят в явном виде, а каждый раз вычисляют содержимое соответствующих клеток. Например, при принудительном управлении доступом применяется сравнение меток безопасности субъекта и объекта.

Удобной надстройкой над средствами логического управления доступом является ограничивающий интерфейс, когда пользователя лишают самой возможности попытаться совершить несанкционированные действия, включив в число видимых ему объектов только те, к которым он имеет доступ.

В заключение подчеркнем важность управления доступом не только на уровне операционной системы, но и в рамках других сервисов, входящих в состав современных приложений, а также, насколько это возможно, на "стыках" между сервисами. Здесь на первый план выходит существование единой политики безопасности организации, а также квалифицированное и согласованное системное администрирование.

Ролевое управление доступом

При большом количестве пользователей традиционные подсистемы управления доступом становятся крайне сложными для администрирования. Число связей в них пропорционально произведению количества пользователей на количество объектов. Необходимы решения в объектно-ориентированном стиле, способные эту сложность понизить.

Таким решением является ролевое управление доступом (РУД). Суть ролевого управления доступом в том, что между пользователями и их привилегиями появляются промежуточные сущности – роли. Для каждого пользователя одновременно могут быть активными несколько ролей, каждая из которых дает ему определенные права.

Ролевой доступ нейтрален по отношению к конкретным видам прав и способам их проверки; его можно рассматривать как объектно-ориентированный каркас, облегчающий администрирование, поскольку он позволяет сделать подсистему разграничения доступа управляемой при сколь угодно большом числе пользователей, прежде всего за счет установления между ролями связей, аналогичных наследованию в объектно-ориентированных системах. Кроме того, ролей должно быть значительно меньше, чем пользователей. В результате число администрируемых связей становится пропорциональным сумме (а не произведению) количества пользователей и объектов, что по порядку величины уменьшить уже невозможно.

Ролевое управление доступом оперирует следующими основными понятиями:

  •  пользователь (человек, интеллектуальный автономный агент и т.п.);
  •  сеанс работы пользователя;
  •  роль (обычно определяется в соответствии с организационной структурой);
  •  объект (сущность, доступ к которой разграничивается; например, файл ОС или таблица СУБД);
  •  операция (зависит от объекта; для файлов ОС – чтение, запись, выполнение и т.п.; для таблиц СУБД – вставка, удаление и т.п., для прикладных объектов операции могут быть более сложными);
  •  право доступа (разрешение выполнять определенные операции над определенными объектами).

Ролям приписываются пользователи и права доступа; можно считать, что они (роли) именуют отношения "многие ко многим" между пользователями и правами. Роли могут быть приписаны многим пользователям; один пользователь может быть приписан нескольким ролям. Во время сеанса работы пользователя активизируется подмножество ролей, которым он приписан, в результате чего он становится обладателем объединения прав, приписанных активным ролям. Одновременно пользователь может открыть несколько сеансов.

Между ролями может быть определено отношение частичного порядка, называемое наследованием. Если роль r2 является наследницей r1, то все права r1 приписываются r2, а все пользователи r2 приписываются r1. Очевидно, что наследование ролей соответствует наследованию классов в объектно-ориентированном программировании, только правам доступа соответствуют методы классов, а пользователям – объекты (экземпляры) классов.

Отношение наследования является иерархическим, причем права доступа и пользователи распространяются по уровням иерархии навстречу друг другу. В общем случае наследование является множественным, то есть у одной роли может быть несколько предшественниц.

Можно представить себе формирование иерархии ролей, начиная с минимума прав (и максимума пользователей), приписываемых роли "сотрудник", с постепенным уточнением состава пользователей и добавлением прав (роли "системный администратор", "бухгалтер" и т.п.), вплоть до роли "руководитель" (что, впрочем, не значит, что руководителю предоставляются неограниченные права; как и другим ролям, в соответствии с принципом минимизации привилегий, этой роли целесообразно разрешить только то, что необходимо для выполнения служебных обязанностей).

Порядок выполнения заданий

  1.  Прочитайте теоретический материал из методички.
  2.  Определитесь о оценкой, на которую вы претендуете при сдаче данной работы.
  3.  Создайте файл отчёта по лабораторной работе, требования к его содержанию см. ниже.
  4.  Попросить преподавателя ввести пароль администратора (если у вашего текущего пользователя недостаточно прав для работы с учётными записями).
  5.  Освоить средства разграничения доступа пользователей к папкам:
  •  выполнить команду «Общий доступ и безопасность» контекстного меню папки, содержащей отчеты студентов о выполненных лабораторных работах (если эта команда недоступна, то выключить режим «Использовать простой общий доступ к файлам» на вкладке «Вид» окна свойств папки) или команду «Свойства»;
  •  открыть вкладку «Безопасность» и включить в отчет сведения о субъектах, которым разрешен доступ к папке и о разрешенных для них видах доступа;
  •  с помощью кнопки «Дополнительно» открыть окно дополнительных параметров безопасности папки (вкладка «Разрешения»);
  •  включить в отчет сведения о полном наборе прав доступа к папке для каждого из имеющихся в списке субъектов;
  •  открыть вкладку «Владелец», включить в отчет сведения о владельце папки и о возможности его изменения обычным пользователем;
  •  открыть папку «Аудит», включить в отчет сведения о назначении параметров аудита, устанавливаемых на этой вкладке, и о возможности их установки обычным пользователем;
  •  закрыть окно дополнительных параметров безопасности и с помощью кнопки «Добавить» открыть окно выбора пользователя или группы;
  •  с помощью кнопок «Дополнительно» и «Поиск» открыть список зарегистрированных пользователей и групп и выбрать пользователя с именем своей индивидуальной учетной записи, созданной при выполнении лабораторной работы №2;
  •  назначить ему права на полный доступ к папке с отчетами о выполненных лабораторных работах;
  •  включить в отчет копии экранных форм, использованных при выполнении заданий данного пункта.
  1.  Освоить средства разграничения доступа пользователей к файлам:
  •  выполнить команду «Свойства» контекстного меню файла с одним из отчетов о ранее выполненных лабораторных работах;
  •  повторить все задания п. 2, но применительно не к папке, а к файлу;
    •  включить в отчет ответ на вопрос, в чем отличие определения прав на доступ к файлам по сравнению с определением прав на доступ к папкам.
  1.  Освоить средства разграничения доступа к принтерам (если принтеры установлены):
  •  выполнить команду «Принтеры и факсы» меню «Пуск»;
  •  выполнить команду «Свойства» контекстного меню установленного в системе принтера;
  •  повторить все задания п. 2, но применительно не к папке, а к принтеру (кроме добавления нового субъекта к списку управления доступом);
    •  включить в отчет ответ на вопрос, в чем отличие определения прав на доступ к принтерам по сравнению с определением прав на доступ к папкам и файлам
  1.  Освоить средства разграничения доступа к разделам реестра операционной системы:
  •  с помощью команды «Выполнить» меню «Пуск» запустить программу редактирования системного реестра regedit (regedt32);
  •  с помощью команды «Разрешения» меню «Правка» редактора реестра определить и включить в отчет сведения о правах доступа пользователей к корневым разделам реестра, их владельцах и параметрах политики аудита (аналогично п. 2);
  •  включить в отчет копии экранных форм, использованных при выполнении данного пункта, и ответ на вопрос, в чем отличие определения прав на доступ к разделам реестра по сравнению с определением прав на доступ к папкам и файлам.
  1.  Освоить средства обеспечения конфиденциальности папок и файлов с помощью шифрующей файловой системы:
  •  выполнить команду «Свойства» контекстного меню папки, содержащей отчеты о ранее выполненных лабораторных работах, и на вкладке «Общие» окна свойств нажать кнопку «Другие»;
  •  включить выключатель «Шифровать содержимое для защиты данных», нажать кнопку «Применить» и в окне подтверждения изменения атрибутов нажать кнопку «Ok»;
  •  включить в отчет ответ на вопрос, как визуально выделяются имена зашифрованных файлов и папок;
  •  выполнить команду «Свойства» контекстного меню папки с отчетами о ранее выполненных лабораторных работах;
  •  нажать кнопку «Другие» и включить в отчет ответ на вопрос, доступна ли кнопка «Подробно»;
  •  повторить два предыдущих пункта для одного из файлов с отчетами о ранее выполненных лабораторных работах;
  •  выйти из системы и войти повторно под именем индивидуальной учетной записи, созданной при выполнении лабораторной работы №2;
  •  создать произвольный файл (например, с копией описания данной лабораторной работы) в папке «Мои документы» и обеспечить шифрование этого файла;
  •  выйти из системы и снова войти под именем общей учетной записи, под которой работали первоначально;
  •  выполнить команду «Свойства» контекстного меню одного из файлов с отчетами о ранее выполненных лабораторных работах, нажать последовательно кнопки «Другие» и «Подробно»;
  •  в окне подробностей шифрования нажать кнопку «Добавить» и в окне выбора пользователя выбрать имя индивидуальной учетной записи, созданной при выполнении лабораторной работы №2;
  •  повторить два предыдущих пункта для всех файлов с отчетами о ранее выполненных работах;
  •  снова выйти из системы и войти повторно под именем индивидуальной учетной записи, созданной при выполнении лабораторной работы №2;
  •  убедиться, что под индивидуальной учетной записью можно просматривать и редактировать отчеты о ранее выполненных лабораторных работах;
  •  включить в отчет копии экранных форм, использованных при выполнении данного пункта, сведения о порядке использования шифрующей файловой системы и ответы на вопросы:
    •  как формируется список пользователей, из которого возможен выбор субъектов для совместного доступа к зашифрованным файлам;
    •  связан ли этот список с зарегистрированными в системе пользователями и группами;
    •  каковы функции агента восстановления зашифрованных файлов и как он может быть назначен (воспользуйтесь Справкой Windows).
  1.  Ознакомиться с правами доступа к файлам и папкам, назначаемым операционной системой по умолчанию:
  •  выполнить команду  «Общий доступ и безопасность» (команду «Свойства») контекстного меню одной из папок с документами зарегистрированного в системе пользователя (например, «Документы - Пользователь компьютерного класса») и открыть вкладку «Безопасность»;
  •  включить в отчет сведения о правах доступа пользователей к данной папке и о ее владельце;
  •  повторить два предыдущих пункта для папки с документами другого зарегистрированного пользователя;
  •  повторить два предыдущих пункта для папки «Общие документы»;
  •  включить в отчет о лабораторной работе копии экранных форм, использованных при выполнении данного пункта, и ответы на вопросы:
    •  как обеспечивается операционной системой разграничение доступа к личным документам пользователей (по умолчанию);
    •  где (по умолчанию) должны находиться документы, предназначенные для совместного использования.
  1.  Подготовить и оформить отчёт о выполненной работе в формате MS Word или OpenOfice Writer.
  2.  Защитить выполненную работу, ответив на контрольные вопросы в соответствии с выбранной оценкой.

 Контрольные вопросы

  1.  в чем уязвимость принятой в защищенных версиях операционной системы Windows политики разграничения доступа (приведите примеры)?
  2.  как работает механизм наследования при определении прав на доступ субъектов к объектам в защищенных версиях операционной системы Windows?
  3.  какие дополнительные возможности разграничения доступа к информационным ресурсам предоставляет шифрующая файловая система?
  4.  насколько, на Ваш взгляд, удобно использование шифрующей файловой системы (в том числе при необходимости совместной работы над документами)?
  5.  какой стандартный механизм работы с личными и общими документами предлагается в защищенных версиях операционной системы Windows и насколько, на Ваш взгляд, он удобен?

Критерии оценки работы

  •  определяющим критерием оценки является умение корректно и связно ответить на вопросы преподавателя и продемонстрировать не только знание, но и понимание материала работы.
  •  Для получения оценки «отлично» необходимо выполнить все пункты задания и знать ответы на все вопросы. Допускается сделать максимум 5-10% ошибок в процессе выполнения заданий и ответа на вопросы.
  •  Для получения оценки «хорошо» необходимо выполнить все пункты задания и знать ответы 75% вопросов. Допускается сделать максимум 10-15% ошибок в процессе выполнения заданий и ответа на вопросы.
  •  Для получения оценки «удовлетворительно» необходимо выполнить от 70% пунктов задания и знать ответы как минимум на 60% вопросов. Допускается сделать максимум 15-20% ошибок в процессе выполнения заданий и ответа на вопросы.
  •  Если работа сдаётся и защищается не в день выдачи задания, требования к уровню знаний и навыков повышаются.
  •  При пересдаче работы на более высокую оценку требования также повышаются.

PAGE  1


 

А также другие работы, которые могут Вас заинтересовать

10271. Социальное прогнозирование и его особенности 25 KB
  Социальное прогнозирование и его особенности. План: 1. Основные этапы Давняя проблема что ждет в будущем Футурология – наука о будущем. Ученые научно обосновали научность прогнозов. Основные этапы: 1 этап – непосредственное будущее 15-20 лет раз
10272. Философские проблемы науки и техники 60.5 KB
  Философские проблемы науки и техники 1. Что такое наука Прежде всего наука сфера человеческой деятельности функцией которой является выработка и теоретическая систематизация объективных знаний о действительности. Наука многолика. Она выступает в разных качест...
10273. Антропосоциогенез - процесс перехода от биологической формы движения материи к социальной 14.35 KB
  Антропосоциогенез процесс перехода от биологической формы движения материи к социальной являющейся неразрывным единством превращения животного в человека и объединения животных в человеческое общество. Антропогенез и социогенез не два самостоятельных параллельн
10274. БЕРКЛИ, ДЖОРДЖ - англо-ирландский философ 12.01 KB
  БЕРКЛИ ДЖОРДЖ англоирландский философ. Философия Беркли имевшая сильную религиозную почву явилась в то же время выражением нового быстро вытеснявшего схоластику духа. Беркли пытался преодолеть модный скептицизм и Атеизм и создать учение в котором бы гармонично соч
10275. Френсис Бекон 13.48 KB
  Френсис Бекон разработал доктрину философии основанную на опытном знании. он считал что все проблемы общества можно разрешить на основе научнотехнического прогресса. Критиковал схоластику призывал анализировать вещи. Обосновал индуктивную концепцию научного позна
10276. Познание - совокупность процессов, процедур и методов приобретения знаний о явлениях и закономерностях объективного мира 13.95 KB
  Познание совокупность процессов процедур и методов приобретения знаний о явлениях и закономерностях объективного мира. Познание является основным предметом гносеологии теории познания. Чувственное и рациональное познание Познание распадается как бы на две половин
10277. Принцип действительности и возможности 11.53 KB
  Принцип действительности и возможности является как бы подытоживанием пройденного отрезка пути поскольку интегрирует в себе рассмотренные до сих пор модификации материи содержит их в себе в снятом виде выражает собою диалектическое развитие этого отрезка в целом в е
10278. Георг Гегель 12.14 KB
  Георг Гегель исходя из принципа развития дает впечатляющую модель бытия во всех его проявлениях уровнях и стадиях развития. Именно он конструирует диалектику как систему основных взаимосвязей и категорий применительно к развитию абсолютной идеи. Рассматривая соотно...
10279. ГНОСЕОЛОГИЯ - критика и теория познания 39.57 KB
  ГНОСЕОЛОГИЯ философская дисциплина занимающаяся исследованиями критикой и теориями познания теория познания. В отличие от эпистемологии гносеология рассматривает процесс познания с точки зрения отношений субъекта познания исследователя к объекту познания