Средства разграничения доступа пользователей к информационным ресурсам АС

Средства разграничения доступа предназначены для защиты от несанкционированного доступа (НСД) к информационным ресурсам системы. Разграничение доступа реализуется средствами защиты на основе процедур идентификации, аутентификации и авторизации пользователей, претендующих на получение доступа к информационным ресурсам АС.

На этапе собственной идентификации пользователь предоставляет свой идентификатор, в качестве которого, как правило, используется регистрационное имя учетной записи пользователя АС. После представления идентификатора, проводится проверка истинной принадлежности этого идентификатора пользователю, претендующему на получение доступа к информации АС. Для этого выполняется процедура аутентификации, в процессе которой пользователь должен предоставить аутентификационный параметр, при помощи которого подтверждается эта принадлежность. В качестве параметров аутентификации могут использоваться сетевые адреса, пароли, симметричные секретные ключи, цифровые сертификаты, биометрические данные (отпечатки пальцев, голосовая информация) и т. д. Необходимо отметить, что процедура идентификации и аутентификации пользователей в большинстве случаев проводится одновременно, т. е. пользователь сразу предъявляет идентификационные и аутентификационные параметры доступа.

В случае успешного завершения процедур идентификации и аутентификации проводится авторизация пользователя, в процессе которой определяется множество информационных ресурсов, с которыми может работать пользователь, а также множество операций которые могут быть выполнены с этими информационными ресурсами АС. Присвоение пользователям идентификационных и аутентификационных параметров, а также определение их прав доступа осуществляется на этапе регистрации пользователей в АС (рис. 9).

Средства разграничения доступа, согласно классификационной схеме, отнесены к активным средствам защиты, поскольку позволяют блокировать доступ пользователя к информации АС в случае непрохождения им процедур идентификации, аутентификации или авторизации. Средства защиты этого типа могут выполнять свои функции на уровне узлов АС или на уровне сетевого взаимодействия.

Средства разграничения доступа на уровне узлов АС обеспечивают управление запросами пользователей на получение локального доступа к ресурсам АС. Эти средства могут быть реализованы на основе функций аппаратного, общесистемного или прикладного ПО. На уровне аппаратного обеспечения средства разграничения доступа реализуются при помощи дополнительного оборудования, которое устанавливается в узлы АС. Как правило, в качестве такого оборудования выступают специальные платы, называемые «электронными замками», в которых запрограммированы процедуры идентификации и аутентификации пользователей АС. При этом эти процедуры проводятся до загрузки ОС, что позволяет блокировать несанкционированный доступ к узлу еще до загрузки общесистемного ПО. Примерами средств защиты данного типа являются электронные замки «Соболь» (компании «Информзащита»), «Аккорд» (компании «ОКБ САПР») и «Криптон» (компании «АНКАД»).

Рис. 9. Процедура входа пользователя в автоматизированную систему

Средства разграничения доступа на уровне общесистемного ПО интегрированы в ОС узлов АС. Идентификация и аутентификация пользователей в этом случае проводится на этапе входа пользователя в ОС. На этапе авторизации пользователю назначаются определенные права доступа к информационным ресурсам, которые хранятся на узле. Средства разграничения доступа на уровне прикладного ПО также выполняют функции управления доступом пользователей к информационным ресурсам АС, но только в рамках того ПО, в котором они реализованы. Так, например, средства разграничения доступа, реализованные на уровне СУБД, позволяют обеспечить управление доступом пользователей к таблицам и объектам, которые хранятся в базе данных СУБД.

В ряде случаев, для усиления штатных механизмов разграничения доступа, интегрированных в общесистемное и прикладное ПО, устанавливаются средства защиты, выполняющие функции идентификации, аутентификации и авторизации пользователей. Примерами таких средств защиты являются «Secret Net» (компании «Информзащита»), «Аккорд-NT/2000» (компании «ОКБ САПР»).

Средства разграничения доступа на уровне сетевого взаимодействия обеспечивают управление удаленным доступом пользователей к ресурсам АС. При этом разграничение доступа может осуществляться на разных уровнях модели ВОС — на физическом, канальном, сетевом, транспортном и прикладном. На физическом уровне разграничение доступа осуществляется путем физического разделения сегментов АС для того, чтобы пользователи одного сегмента не могли иметь доступ к информации пользователей другого сегмента. В этом случае процедура идентификации проводится неявно посредством определения принадлежности пользователя тому или иному сегменту. Другим способом разграничения доступа на физическом уровне является использование технологии виртуальных локальных сетей VLAN (Virtual LAN). Эта технология позволяет выделять в сетях логические сегменты таким образом, чтобы узлы одного сегмента не могли обмениваться информацией с узлами другого сегмента. Разделение на виртуальные сети осуществляется на основе физических портов коммутаторов, к которым подключены узлы АС. Принадлежность узла АС к определенной виртуальной сети, таким образом, определяется тем, к какому порту коммутатора он подключен.

На канальном уровне разграничение доступа возможно средствами технологии VLAN. Однако в этом случае группировка узлов по различным виртуальным сетям осуществляется по их аппаратным МАС-адресам. Идентификация узла при попытке доступа к другой виртуальной сети осуществляется здесь на основе его МАС-адреса. Еще одним способом разграничения доступа на канальном уровне является использование криптопротоколов, таких как РРТР и L2TP, которые предусматривают возможность идентификации и аутентификации пользователей перед установлением сетевого соединения.

На сетевом и транспортном уровнях модели ВОС в целях разграничения доступа могут использоваться средства построения виртуальных частных сетей или системы межсетевого экранирования, описание которых приведено ниже.