На главную | Содержание | Назад | Вперёд
Наши друзья

 

 

Управление доступом к разделяемым сетевым ресурсам

В разделяемых сетевых ресурсах — устройствах и файловых объектах (общих папках), как в объектах файловой системы, могут быть реализо­ваны все рассмотренные выше возможности, т.е. дискреционный и ман­датный механизмы разграничения прав доступа.
Однако особенностью данных ресурсов является то, что они сетевые -т.е. расположены на другом компьютере. Вследствие этого возможны аль­тернативные подходы к реализации механизма управления доступом к раз­деляемым ресурсам (распределенная и централизованные схемы управ­ления). Это определяется тем, что при реализации разграничительной политики доступа к разделяемым ресурсам возможны два подхода:
• разграничение на компьютере, с которого осуществляется запрос (схе­ма распределенного разграничения доступа);
» разграничение на компьютере, на котором располагается разделяе­мый ресурс (схема централизованного разграничения доступа).
В частности, второй подход реализован в ОС Windows для NTFS. К до­стоинствам данного подхода можно отнести простоту настройки разгра­ничительной политики доступа, в предположении, что все разделяемые ресурсы располагаются на одном компьютере (файл-сервере). В общем же случае — на каждом компьютере присутствуют свои разделяемые ре­сурсы (при распределенном общем ресурсе). Соответсвенно настройку разграничительной политики доступа следует осуществлять для каждого компьютера, что огарничивает применение данного подхода. К недостат­кам также можно отнести ограниченные, по сравнению с первым под­ходом, возможности разграничений. В частности, любой доступ к разде­ляемому ресурсу может задаваться для пользователей сети, вне зависимости от их расположения (на каких компьютерах в сети они за­регистрированы). При этом отметим, что в принципе не предотвращает­ся возможность атаки собственно на протокол NETBIOS, т.к. фильтру­ется не исходящий, а входящий трафик.
Альтернативный подход состоит в реализации управления доступом к разделяемым ресурсам на компьютере, с которого осуществляется дос­туп. В этом случае реализуются все возможности разграничений досту­па, которые рассмотрены ранее для управления доступом к локальным файловым объектам — можно не только задавать, какой пользователь, с какого компьютера имеет право доступа к разделяемому ресурсу (какому ресурсу), но и с применением какого приложения разрешен подобный
доступ (разграничение доступа по процессам), что позволяет противодей­ствовать атакам NETBIOS, использовать приложения, обладающие допол­нительными возможностями защиты, в частности, шифрования и т.д.
При этом будем иметь ввиду, что при распределенном управлении дос­тупом необходимо учитывать следующее:
* так как фильтруется только исходящий трафик, то на всех компьюте­рах ЛВС должна устанавливаться система защиты;
« так как регистрация (аудит) доступа к общему ресурсу ведется рас-пределенно, в сети должна обеспечиваться синхронизация времени
на всех компьютерах (например, с сервера безопасности).
Отметим, что и при централизованном управлении доступом также не­обходима защита всех компьютеров ЛВС. В противном случае на компь­ютере, с которого осуществляется доступ к разделяемому ресурсу, может быть несанкционированно заведен пользователь, которому разрешен уда­ленный доступ к разделенному ресурсу (т.к. разграничение осуществля­ется только по именам пользователей).
При распределенном управлении доступом к разделяемым ресурсам встает задача синхронизации времени на компьютерах ЛВС (вообще говоря, данная задача существует и вне данного механизма защиты, здесь она , лишь более ярко выражена). Это связано с тем, что на компьютере, к которому удаленно обращаются, можно зарегистрировать процесс, кото­рый обратился к ресурсу, а самого пользователя нельзя.
По имени процесса (системный или прикладной) можно определить, ло­кальный или удаленный доступ произведен к ресурсу. Удаленного же пользователя, обратившегося к ресурсу, можно идентифицировать в этом
случае только по данным аудита компьютера, с которого произведено обращение. Так как обращение может одновременно осуществляться с
нескольких компьютеров, то для однозначной идентификации пользова­теля время на компьютерах в сети должно быть синхронизировано.
В рамках синхронизации должны решаться две задачи:
» установка времени на включаемом компьютере из единого центра (с
этой целью целесообразно использовать сервер безопасности, т.к. при
включении компьютера он устанавливает соединение с сервером бе­зопасности);
» запрет доступа пользователей к локальным настройкам системного времени на защищаемом компьютере.
На практике, на наш взгляд, целесообразно использовать оба подхода к разграничению доступа к разделяемым сетевым ресурсам. При этом, на­ряду со встроенными возможностями централизованного разграничения доступа следует применять добавочный механизм распределенного раз­граничения, т.к., во-первых, они функционально дополняют друг друга и, во-вторых, могут рассматриваться при решении задачи резервирова­ния основных механизмов защиты, к которым относятся механизмы уп­равления доступом, в том числе, и к разделяемым ресурсам.

 

На главную | Содержание | Назад | Вперёд
 
Яндекс.Метрика