58
Политика информационной безопасности представляет собой комплекс
документов, отражающих все главные требования к обеспечению защиты
информации и направленности работы фирмы в данной сфере.
Г. Минцберг предложил определение стратегии в рамках системы «5-Р»:
1) план (Plan) - намеченных в деталях с контролируемыми действиями на
определенный период с преследующими целями;
2) прием, или тактический ход (Ploy), представляет собой
кратковременную стратегию, обладающую ограниченными целями и работает с
целью обмануть противника;
3) модель поведения (Patten of behavior) - спонтанная бессознательная не
имеющих конкретных целей;
4) позицию по отношению к другим (Position in respect to others);
5) перспективу (Perspective).
Основные типы стратегии защиты информации:
1) оборонительная - защита от известных угроз, без существенного
влияния на информационную систему;
2) наступательная - защита от всех потенциальных угроз при интенсивном
взаимодействии с информационной системой;
3) упреждающая - осуществление информационной системы, где угрозы не
имели бы условий для реализации.
При построении политики безопасности выделяют три значительных
уровня: верхний, средний и нижний.
Верхний уровень политики безопасности устанавливает решения,
касающиеся компанию в целом. Эти решения носят общественный характер и
вытекают, как правило, от управления компании.
Подобные решения могут заключать в себе следующие элементы [19,
c.240]:
1) формулировка целей, которые преследует организация в области
информационной защищенности, определение совокупных направлений в
достижении данных целей;
59
2) формирование либо же изменение всеохватывающей программки
обеспечения информационной защищенности, формулировка серьезных лиц за
продвижение программы;
3) гарантирование материальной базы для соблюдения законов и правил;
4) определение управленческих решений согласно задачам реализации
программки защищенности, которые должны рассматриваться на уровне
учреждения в целом.
Политика безопасности верхнего уровня показывает цели компании в
области информационной безопасности в терминологической целостности,
конфиденциальности и доступности. В случае если компания отвечает за
сохранение напряженно важных баз данных, на первоначальном плане должна
стоять целостность данных.
Средний уровень политики безопасности устанавливает улаживание
проблем, касающихся кое-каких аспектов информационной безопасности, всё же
значительных для всевозможных систем, эксплуатируемых организацией.
Примеры подобных проблем - это обращение к доступу в Сеть интернет (задача
совмещения самостоятельности приобретения информации с защитой от
показных угроз), Применение домашних компьютеров и т.д.
Стратегия безопасности среднего уровня обязана определять в целях
каждого нюанса информационной безопасности руководящиеся факторы [18,
c.222]:
1) описание аспекта - статус компании надлежащим способом должна быть
сформулирована в довольно общественном варианте равно как перечень целей,
что преследует организация в данном аспекте;
2) область использования - в случае если, равно как, где, по отношению к
кому и чему используется эта стратегия защищенности;
3) роли и прямые обязанности - документ должен подключать сведение о
должностных персонах, расплачивающихся за осуществление политики
защищенности в жизнедеятельность;
4) санкции - стратегия надлежащим методом обязана подключать
постоянное представление не разрешенных действий и санкций из-за их;
60
5) места контакта - должно быть установлено, намного принято
использовать за разъяснениями, содействием и основной информацией. В равной
мере как правило «точкой контакта» функционирует официальное лицо.
Нижний уровень политики безопасности принадлежит к конкретным
сервисам. Данная политика содержит в себе 2 нюанса: миссии и принципы их
достижения, - по причине этого ее непросто изолировать от вопросов реализации.
В отличие от 2 верхних уровней, рассматриваемая стратегия обязана являться
наиболее доскональной.
Политика безопасности нижнего уровня может истекать из суждений цело-
стности, доступности и конфиденциальности, но она не должна на них останавли-
ваться. В общем случае цели должны связывать между собой объекты сервиса и
осмысленные действия с ними.
При построении структуры экранных форм для ввода данных первичных
документов с оперативной информацией целенаправленно применять
комбинированную форму, очень приближенную к той, которая была применена
для построения самого документа. Размещение полей должно быть в
последовательности, которая соответствует логической структуре документа и
файлов с оперативной информацией, которая сокращает трудо-затратность
операции загрузки информации в информационную базу.
При построении экранных форм для документов с неизменной
информацией следует подразумевать, что эти макеты употребляются для ввода и
актуализации записей информационной базы, потому для их проектирования
целенаправленно применить анкетную форму расположения реквизитов,
комфортную для реализации этих операций.
В базе выбора экранных форм лежат принципы малой трудо-затратности и
цены ввода информации в ЭВМ, наибольшей степени читабельности
результатной информации, выводимой на экран, и наибольшей надежности, и
надежности реализации этих операций.
Для этого проекта информационная база представлена в виде
интегрированного информационного хранилища. Эта организация позволяет
соединить разные источники информации, управлять файлами разных форматов.
61
Беря во внимание все достоинства реляционных моделей данных для
представления информации, которая обрабатывается при решении задачи
целенаправленно применять реляционную модель БД.
1.4.3 Обоснование проектных решений по техническому обеспечению
Программное обеспечение (ПО) включает совокупность программ,
которые реализуют функции и задачи ИС и обеспечивающих устойчивую работу
комплексов технических средств. В состав программного обеспечения входят
общесистемные и особые программы, также инструктивно-методические
материалы по применению средств программного обеспечения.
К общесистемному (общему) программному обеспечению относятся
программы, которые были рассчитаны на широкий круг пользователей и
созданные для организации вычислительного процесса и реализации нередко
встречающихся вариантов обработки информации. Они разрешают расширить
многофункциональные возможности ЭВМ, заавтоматизировать планирование
очередности вычислительных работ, также заавтоматизировать работу
разработчиков ПО. Особое (функциональное) ПО представляет собой
совокупность программ, которые разрабатываются при разработке ИТ
определенного многофункционального назначения. Оно включает пакеты
прикладных программ, которые осуществляли компанию данных и их обработку
при решении многофункциональных задач ИС [3].
При выборе комплекса технических средств для разработки системы,
одним из важных аспектов является выбор операционной системы. Операционная
система управляет техническими средствами ПК, поддерживает пуск и
реализация тех либо других программ и приложений, обеспечивает защиту
данных, делает разные сервисные функции. Любая программа пользуется
средствами, которые предоставляются операционной системой. В итоге, выбор
операционной системы чрезвычайно важен, в связи с тем, что он описывает набор
программ и формат исполняемых файлов, также их сотрудничество с
операционной системой.
Процедура модернизации АО «МЕЖДУНАРОДНЫЙ АЭРОПОРТ
62
ШЕРЕМЕТЬЕВО» состоит в создании программного средства, обеспечивающего
разграничение доступа пользователям и их группам, состоящим в групповых
политиках АD, на сетевые ресурсы этих пользователей. Однако с целью создания
программного продукта важно сначала сформировать модель разграничения
доступа пользователя к сетевым ресурсам.
АСОД АО «МЕЖДУНАРОДНЫЙ АЭРОПОРТ ШЕРЕМЕТЬЕВО»
характеризуются дискреционной моделью разграничения доступа, следовательно,
важно сформировать дискреционный принцип разграничения доступа для АСОД.
Ресурсы, которые подлежат защите, находятся на файловом сервере,
следовательно, важно изучить структуры каталогов, в которых расположены эти
ресурсы. Совокупность ресурсов четко разделена по конкретным каталогам,
доступом к которым обладают определенные пользователи. Структура каталогов
призвана повторять организационную структуру компании, что значительно
упрощает процедуру формирования модели.
На рисунке 28 представлена структура каталогов, которые расположены на
файловом сервере.
Рис.27. Структура каталогов на сервере компании АО
«МЕЖДУНАРОДНЫЙ АЭРОПОРТ ШЕРЕМЕТЬЕВО»
Пользователи исследуемого предприятия объединяются в группы, для
более удобного администрирования. Группы пользователей создаются в
соответствии с занимаемыми ими должностями. Рисунок 28 отражает структуру
должностей компании АО «МЕЖДУНАРОДНЫЙ АЭРОПОРТ
ШЕРЕМЕТЬЕВО». Каждая должность отличается собственной категорией прав и
своим множеством ресурсов (каталогов) на которые распространяются
определенные категории прав.
Каталог
начальника
1 отдела
Каталог
1 отдела
Каталог
2 отдела
Каталог
5 отдела
Каталог
сотрудника 1
Каталог
сотрудника N
Каталог
начальника
2 отдела
Каталог
сотрудника 1
Каталог
сотрудника N
Каталог
начальника
5 отдела
Каталог
сотрудника 1
Каталог
сотрудника N
Корневой
каталог
Каталог
директора
63
Следовательно, разграничение доступа следует осуществлять, учитывая
возможности выполнения определенных операций с ресурсами в АСОД для всех
должностей, и работника компании, который занимает конкретную должность.
Проанализировав структуру каталогов и структуру должностей,
необходимо перейти к формированию модели разграничения доступа.
Рисунок 29 отражает модель разграничения доступа для компании АО
«МЕЖДУНАРОДНЫЙ АЭРОПОРТ ШЕРЕМЕТЬЕВО», наглядно изображает
права доступа на ресурсы, находящиеся на файловом сервере для пользователей.
На основании данной модели, пользователи (П) группы 1 (Гр
1
) получают
доступ на запись лишь к своим каталогам (К
n
). Пользователи, которые входят в
группу 2 (Гр
2
-начальники отделов) кроме прав на запись своих каталогов,
получают право доступа к чтению каталогов сотрудников других отделов.
Пользователи, который входят в состав группы 3 (Гр
3
-директор)
аналогично с пользователями Гр
1
получают право доступа на запись в своем
каталоге, а также право доступа на чтение каждого каталога, расположенного на
файловом сервере.
Рис.28. Структура должностей компании АО «МЕЖДУНАРОДНЫЙ
АЭРОПОРТ ШЕРЕМЕТЬЕВО»
Результаты разделения допуска обязаны находиться записаны, что же
приводит к переменам, в перечнях допуска АСL, показывающих собою
прямоугольную матрицу в варианте таблицы, строчки какой отвечают субъектам
допуска, столбики предметам допуска, а в ячейках записаны допустимые
процедуры определенного субъекта над определенным объектом (табличка 5).
Указанные в ячейках матрицы полномочия допуска в фигуре допустимых
действий над предметами обнаруживают виды неопасных доступов
определенного субъекта к определенному предмету.
Для того чтобы сформулировать тип допустимых действий используются
1 Сотрудник
отдела1
Начальник
1 отдела
Начальник
5 отдела
N Сотрудник
отдела1
1 Сотрудник
отдела 5
N Сотрудник
отдела 5
Системный
администратор
Директор
64
особенные обозначения, что сформировывают базу (алфавит) установленного
языка отображения политики разделения.
Следовательно, в разрезе дискреционной политики всегда ячейки
объединяют установленное совокупность троек "субъект-операция(поток)-
объект".
Таблица 7 -Матрица права доступа
Объекты доступа
Субъекты доступа
…
…
…
r
r
…
w
…
r
w
r
…
r
…
w
…
…
…
…
….
…
…
r
w
…
r
…
w
…
…
…
…
….
…
…
w
е
…
w
…
r
Далее следует охарактеризовать модель разграничения доступа
посредством математических методов (рисунок 28).
Рис.28. Модель разграничения доступа для АО "Международный
аэропорт Шереметьево"
Итоговым результатом созданной модели станет массив, содержащий в
себе имена пользователей, относящиеся к ним ресурсы, категории прав доступа
m, и обязательный элемент - название учетной записи системного администратора
и категория прав доступа m ко всем ресурсам, которая полностью ему
ПТ ОД
Запись
Чтение
Запись
Запись
Запись
Запись
Чтение
Чтение
Чтение
Чтение
Чтение
Чтение
П
1
П
2
П
3
П
4
П
n
Группа 1Группа 2Группа 3
К
1
К
2
К
3
К
4
К
n
65
соответствует. Далее проанализируем модель разграничения доступа,
выраженную языком реляционной алгебры:
k – множество групп;
l – множество пользователей;
m – множество ресурсов (каталогов);
n – множество категорий прав доступа;
о – имя системного администратора в АС.
Требуется получить список групп k и пользователей l, которые входят в
данные группы (формула 1), при этом
:
{
;
} (1)
Выявление администратора о АС из совокупности пользователей l
(формула 2):
(2)
Для администратора о, права доступа n всегда «f».
Следовательно, осуществляется интеграция множества пользователей и
групп, к которым относятся первые, и имя администратора с правами «f», что
отражается формулой 3:
{
;
????= {
;
} ???? ???? (3)
Далее следует выявить категории прав доступа, иначе говоря, установить
соответствие группам пользователей соответствующих категорий прав доступа n.
Для этого необходимо назначить соответствующую группу пользователей
соответствующей категории прав доступа.
В наличии уже имеется список групп k, поэтому далее необходимо
определить для каждого
определенные категории прав
.
(4)
Далее важно выявить каталоги, которые принадлежат группам. С этой
целью необходимо осуществить поиск каталогов, которые принадлежат i группе.
Для всех пользователей определим каталоги, которые им принадлежит (формула
5), и запишем их во временный файл К:
????
????
????
????
(5)
66
Затем из полученного перечня необходимо выбрать первый путь каталога
, который разбивается на элементы (формула 6):
????а ???? (6)
Далее, а, b, с, присваивается номер категории прав доступа: а=1, b=2, с=3.
Если для группы
соответствует категория прав
и i = 1, то произведем
поиск по а, если i = 2, то поиск по b, если i = 3 то поиск по с, т.е. в переменной х
присваиваем значение а или b или с (формула 7):
????
????
????
???? (7)
Все достигнутые результаты вносятся во временный файл К. Формула 8
отражает организацию полученных итоговых значений [6, с.288]:
????
???? (8)
Полученная формула 8 позволяет осуществить назначение прав доступа
пользователям k на ресурсы m.
Осуществим запись прав доступа n на каталоги m для пользователей k в
таблице доступа АCL, посредством встроенного утилита сасls.ехе.
Алгоритм программного средства управления доступом представлен на
рисунке 31. На основе созданного алгоритма, программное средство
функционирует определенным образом: на начальном этапе осуществляется
установление времени запуска программы, затем программа ожидает значения
заданного времени, как только значение становится заданным, программа
осуществляет запрос перечня каталогов, которые располагаются на файловом
сервере. В ходе первого запуска формируется файл, который содержит в себя
перечень каталогов сервера.
Содержимое этого файла сопоставляется с полученными результатами
запроса, а при появлении новых каталогов, осуществляется добавление в файл
перечня каталогов. Затем производится запрос к АD, для доступа к списку
пользователей и их групп. После чего осуществляется сравнение каталогов и
пользователей. Итоги сравнения необходимо отразить в отдельном файле.
Применяя итоги сравнения, отраженные в отдельном файле, реализуется
редактирование списков АСL.
67
Рис.29. Алгоритм программного средства назначения прав доступа
Процедура формирования прав пользователям и группам реализуется на
основании модели разграничения прав доступа. Алгоритм этого процесса
отражается посредством рисунка 30.
На начальном этапе осуществляется загрузка полученных перечней групп
«k» и пользователей «l». Соответственно, что каждому пользователь «l» входи в
группу «k», т.е. записывается в виде массива: группа1; пользователь 1; группа1;
пользователь 2; группа1; пользователь n-1; группа2; пользователь n; группа2;
пользователь n+1; группа m; пользователь х.
Затем среди пользователей необходимо определить администратора, имя
которого будет записано посредством отдельной переменной «о», и так же
переменной «р» присваивается права доступа «f», что определяет для данного
пользователя полный доступ на совокупность ресурсов сервера.
Итоговые результаты поиска администратора необходимо отразить в
переменном файле с массивом: группа1; пользователь 1; администратор; «f»;
группа1; пользователь 2; администратор; «f»; группа1; пользователь n-1;
администратор; «f»; группа2; пользователь n; администратор; «f»; группа2;
пользователь n+1; администратор; «f»; группа m; пользователь х; администратор;
«f».
Начало
Получение списка пользователей и
групп из Active Directory
Установка времени запуска
Получение списка каталогов
пользователей
Появления новых папок
Время равно
установленному
Сопоставление пользователей и
папок пользователей
Установка прав доступа
пользователям на соответствующие
папки
Конец
нет
нет
да
да