Мета роботи
Структура й функції системи захисту інформації від НСД
Лабораторна робота № 1
Методичні вказівки до виконання лабораторних робіт
У цьому розділі забезпечується здобуття знань і умінь виявлення та блокування витоку інформації технічними каналами. Професійні компетенції цього циклу передбачають уміння:
- кваліфіковано аналізувати інформацію, надану технічними системами, з метою виявлення типових ознак можливого несанкціонованого доступу;
- уміти зафіксувати інформацію з додержання або порушення заходів об’єктового контролю у відповідних реєстраційних документах;
- розробляти план використання наявних технічних пристроїв (прийомів або процедур) для закриття можливих каналів витоку інформації обмеженого доступу;
- проводити атестацію режимних територій в умовах додержання режиму секретності із фіксуванням результатів у відповідних документах;
- розробляти узагальнений перелік потрібних технічних засобів;
- використовувати технічні засоби захисту інформації в умовах забезпечення режиму секретності на підприємствах, в організаціях та установах різних форм власності, уміти провести дії щодо організації технічного захисту інформації, зокрема приймати рішення про дотримання або наявність факту порушення конфіденційності інформації обмеженого доступу;
- розробляти номенклатурний перелік технічних засобів захисту інформації від витоку технічними каналами та реалізовувати технічні заходи закриття можливих каналів витоку інформації (за переліком каналів витоку);
- оцінювати ефективність систем захисту.
Вивчення структури та функцій комплексу засобів захисту (КЗЗ) інформації, опрацьовуваної на ПЕОМ, від несанкціонованого доступу (НСД), зреалізованого в стандартній операційній системі MS WINDOWS 95/98.
2. Ключові положення
Комплекс засобів захисту інформації, опрацьовуваної на ПЕОМ, від НСД є спеціалізованою надбудовою над стандартною операційною системою (OC) MS Windows 95/98 і доповнює її функціями розмежування доступу. Комплекс дозволяє створювати спеціалізоване робоче місце з обмеженим колом користувачів, які мають різні повноваження з доступу.
Комплекс орієнтовано на використання в організаціях для захисту конфіденційності та цілісності критичної інформації, опрацьовуваної на персональному комп’ютері в середовищі ОС MS Windows 95/98.
Програмні засоби КЗЗ є сумісні із засобами, які входять до комплекту постачання OC, а також з іншим системним, інструментальним та прикладним ПЗ, яке використовує стандартні інтерфейси ОС.
Програмні засоби KЗ3 можуть бути несумісні з іншими засобами захисту від НСД, антивірусним ПЗ та з ПЗ, яке працює з дисками й файлами на низькому рівні поза файловою системою.
Функції, структура й принципи захисту інформації від НСД описано у підрозділах 1.1.3, 1.1.5 даного посібника.
2.1 Структура та вміст каталогів комплексу засобів захисту
Файлова система комплексу засобів захисту (КЗЗ) складається з головного каталога C:\--FLY--\ та каталогів:
BASE\ – каталог бази даних;
BIN\ – каталог виконуваних файлів;
JRN\ – каталог журнальних файлів;
HELP\ – каталог документації та файлів контекстної допомоги;
TMP – каталог для тимчасових файлів.
У головному каталозі C:\--FLY--\ розміщуються протокол інсталяції Install.log та програма деінсталяції Unwise.exe.
У підкаталозі BIN\ розміщують виконувані файли, динамічні бібліотеки, файли ліцензій та конфігурації. Основні його файли такі:
Fly95.lic – “файл ліцензії” – містить контрольні суми інших файлів КЗЗ;
Flydos.sys – допоміжний системний драйвер реального режиму;
Fly95adm.exe – VxD драйвер захищеного режиму. Це ядро КЗЗ, який виконує всі функції із розмежування доступу;
Fly95adm.exe – автоматизоване робоче місце (АРМ) адміністратора;
Fly95adm.ini – файл конфігурації АРМ адміністратора, який містить надбудови, котрі визначають конкретну політику безпеки. Типовий вміст цього файла є такий:
[DIRS]
BaseDir=C:\--FLY--\BASE\
[COMON]
System = Grif – назва;
Version = 1.1 – версія;
FlawControl = ON – контроль за вихідними потоками;
Encryption = OFF – шифрування файлів у захищених каталогах;
WipeType = Name – затирання файлів та їхніх типів при вилучанні;
InpExpControl =ON – контроль імпортування/експортування;
ScreenSaver = ON – блокування пристроїв введення/виведення;
SWControl = Dynamic – контроль цілісності програмного забезпечення при запусканні;
Remote Access = ON – контроль за віддаленим доступом;
AdminRestrict = Main – політика обмеження повноважень адміністраторів:
Main – заборона для головного адміністратора на керування БД захищених каталогів та доступу до конфіденційної інформації;
All – заборона для всіх адміністраторів, окрім головного, на редагування атрибутів інших адміністраторів та надавання адміністративних повноважень звичайним користувачам;
Add – накладання всіх заборон;
TmpAdmin = ON – запуск АРМ адміністратора не тим користувачем, який завантажив ОС;
TMType = ICT – тип пристрою зчитування ідентифікаторів Touch Memory:
ICT – плата ІКТ;
LPT – паралельний порт;
COM2 – послідовний порт.
Цей файл конфігурації редагувати забороняється. Редагування призведе до порушування цілісності та заблокування подальшої роботи.
LogView.dll – динамічна бібліотека переглядання журнальних файлів;
Etalon.dll – динамічна бібліотека роботи з еталоном програмного забезпечення.
C4ASCX.DLL, C4PRLIBX.DLL, C4RUNX.DLL,C4TPSX.DLL – стандартні динамічні бібліотеки СУБД Clarion.
Дані файли становлять програмну частину КЗЗ й їхня цілісність контролюється КЗЗ.
У підкаталозі BASE\ розміщуються бази даних КЗЗ. Їхній склад такий:
PQA.CSP – файл початкових параметрів;
TCB_DB.TRS, TSB_DB – початкова та робоча копії БД робочого місця;
USER_DB.TRS, USER.DB – початкова та робоча копії БД користувачів;
PD_DB.TRS, PD_DB – початкова та робоча копії БД захищених каталогів;
SW_DB.TRS, SW_DB – початкова та робочі копії БД програмного забезпечення;
MESCOD.TRS, MESFUNC.TRS, MESSUBF.TRS – БД кодів повідомлень для переглядання журнальних файлів;
ARMADMDB.IMM – файл контрольних сум TRS файлів.
Всі операції із встановлення, зняття та налаштовування КЗЗ виконуються за допомогою програми Fly95adm.exe адміністраторами, які мають відповідні повноваження.
2.2 Лабораторне устаткування
Комплекс засобів захисту встановлено на IBM-сумісній ПЕОМ у стандартній операційній системі MS WINDOWS 95/98 і складається з програмної, апаратної та ключової систем.
Програмне забезпечення складається з резидентної й нерезидентної частин. До складу програмних засобів KЗЗ від НСД входять системні драйвери реального (FLYDOS.SYS) й захищеного (BARVXD.VXD) режимів, які виконують функції розмежування доступу, програма автоматизованого робочого місця (АРМ) адміністратора FLY95ADM.ЕХЕ, а також низка додаткових службових утиліт та динамічних бібліотек.
До апаратної частини належить ПЗП з мікропрограмами рівня розширення BIOS, встановлене на спеціальній або мережній платі. Частину програмних засобів KЗЗ, який зреалізовує функції ідентифікування й автентифікування користувача, зреалізовано як розширення BIOS і розміщено в мікросхемі ПЗП. Для встановлення мікросхеми ПЗП в (E)ISA-слот материнської плати ПЕОМ може використовуватись плата, на якій є місце під мікросхему ПЗП, інтерфейс з ідентифікаторами Touch Memory та генератор випадкових чисел, а також мережна плата з місцем під ПЗП віддаленого завантаження.
Ключова система являє собою спеціальний пристрій – ідентифікатор Touch Memory або дискету, на якій записуються ідентифікаційні дані користувача. У разі використання ідентифікаторів Touch Memory потрібен пристрій зчитування для цих ідентифікаторів.
3. Ключові питання
1. Структура й функції КЗЗ, зреалізованого в стандартній операційній системі MS WINDOWS 95/98.
2. Правила й принципи ідентифікування й автентифікування користувача. Роль додаткових пристроїв під час автентифікування користувача.
3. Які засоби й методи використовуються в КЗЗ для запобігання несанкціонованому завантаженню?
4. Як здійснюється контроль цілісності КЗЗ та тестування?
5. Як проводиться і в чому полягають цілі контролю цілісності використовуваного програмного забезпечення?
6. Які принципи адміністративного розмежування доступу до ресурсів, що захищаються?
7. Призначення і склад БД захищених каталогів. Зміст списків доступу.
8. Які обмеження накладаються на створення захищених каталогів?
9. Процес створення спробного захищеного каталога. Як перевіряти дотримання режиму доступу до нього?
10. Права доступу користувача до захищених каталогів.
11. Які існують обмеження при роботі із захищеними каталогами?
12. В чому полягає і як підтримується керування потоками інформації?
13. Хто має право доступу до файлів налаштовування ОС за записом?
14. Як у системі зреалізовано послугу “повторне використання об’єктів”? Який використовується давач випадкових чисел для цього?
15. Які треба виконувати вимоги до середовища експлуатації, необхідні для ефективного функціонування КЗЗ від НСД?
16. Від чого залежить і чим визначається ефективність функціонування КЗЗ від НСД?
17. Які вимоги пред’являються до фізичного середовища й персоналу?
18. Наведіть перелік загроз інформації.
19. Визначте типових порушників.
20. Які існують шляхи оминання засобів захисту і як їх знейтралізовувати?
21. Які заходи дозволяють гарантувати, що з файлів CONFIG.SYS і MSDOS.SYS не будуть вилучені рядки налаштовувань? Які це рядки?
22. Чому КЗЗ не повинен працювати без ПЗП?
23. Чому не можна використовувати на захищеному робочому місці неперевірене ПЗ?
24. Хто визначає порядок резервного копіювання БД КЗЗ?
4. Домашнє завдання
1. Визначити призначення та ознайомитись зі структурою й функціями КЗЗ від НСД, зреалізованої в стандартній операційній системі MS WINDOWS 95/98, користуючись даним посібником (підрозд. 1.1.3, 1.1.5).
2. Визначити область застосовування КЗЗ від НСД і ознайомитись з політикою безпеки (підрозд. 1.1.2 даного посібника), зреалізованого за допомогою цього комплексу.
3. З’ясувати, який функціональний профіль захисту й які вимоги рівня гарантій зреалізовано КЗЗ від НСД.
5. Лабораторне завдання
1. Виконати завантаження системи, використовуючи ім’я головного адміністратора, пароль і ключову дискету. Простежити процедури ідентифікування/автентифікування користувача.
2. Ознайомитись з порядком контролю цілісності КЗЗ. Запустити програму адміністрування й виконати тестування системи.
3. Ознайомитись з порядком і цілями контролю цілісності використовуваного програмного забезпечення.
4. Вивчити принципи адміністративного розмежування доступу.
5. Вивчити призначення та зміст БД захищуваних каталогів і списків доступу.
6. Створити пробний захищений каталог. Перевірити виконання режиму доступу.
7. Ознайомитись з принципами керування потоками інформації.
8. З’ясувати, як у системі зреалізовано послугу “повторне використання об’єктів”.
9. З’ясувати вимоги до середовища експлуатації, необхідні для ефективного функціонування КЗЗ.
10. З’ясувати вимоги до фізичного середовища й персоналу. Визначити загрози інформації й типових порушників.
11. Сформулювати вимоги до обчислювальної системи й організації робіт.
12. З’ясувати заходи із запобігання завантаженню OC без засобів захисту:
- переконатись, що до файла CONFIG.SYS під час інсталяції занесено опис драйвера реального режиму, що на файл встановлено атрибут ОС “лише для читання” і що під час роботи доступ із запису до файла CONFIG.SYS блокується засобами захисту для всіх, окрім головного адміністратора;
- переконатись, що до файла MSDOS.SYS в процесі інсталяції занесено рядок BootKeys = YES, що дозволяє запобігти можливості покрокового завантаження OC й відмови від опрацьовування файла CONFIG.SYS шляхом вибору відповідного варіанта завантаження ОС. Переконатись, що на файлі MSDOS.SYS встановлено атрибут ОС “лише для читання”, а під час роботи доступ із запису до файла MSDOS.SYS блокується засобами захисту для всіх, окрім головного адміністратора;
- переконатись, що програмами ПЗП блокується можливість використання клавіатури до завантаження драйвера реального режиму, для запобігання вибору варіанта завантаження;
- переконатись, що за ініціалізації KЗ3 (БД) виконується редагування файла IO.SYS, аби запобігти можливості вибору варіанта завантаження у разі аварійного завершення попередньої спроби завантаження OC;
- переконатись, що програмами ПЗП блокується можливість читання/записування дискет до завантаження драйвера реального режиму й завантаження з СD-ROM, аби запобігти можливості завантаження ОС з дискети чи CD-ROM.
13. Скласти список необхідних налаштовувань КЗЗ.
14. Визначити, які існують шляхи оминання засобів захисту і способи їхнього нейтралізування.
15. Визначити, у який спосіб запобігається копіювання конфіденційної інформації у відкриті каталоги й несанкціоноване здобуття конфіденційної інформації шляхом “збирання сміття”.
6. Зміст протоколу
1. Назва роботи.
2. Мета роботи.
3. Виконане домашнє завдання.
4. Результати виконання лабораторного завдання.
5. Висновки.