Анализ и реинжиниринг системы информационной безопасности на предприятии ГУ Банка России

А) для всех подсистем (РКЦ, ГРКЦ, ТУ, ОИТУ КЦОИ):

– «Пользователь РАБИС-НП»;

– «Администратор ПО»;

– «Администратор ИБ»;

– «Оператор ЛТС»;

– «Администратор подсистемы»;

– «Исполнитель по расчетам с авизо»;

Б) для подсистем РКЦ и ГРКЦ:

– «Оператор ввода ЭПД» (ответисполнитель);

– «Контролер ввода ЭПД»;

– «Администратор операционного отдела»;

В) для под

системы ГРКЦ:

– «Ответисполнитель по МЭР»;

Г) для подсистемы ТУ:

– «Исполнитель ИАС»;

Д) для подсистемы ОИТУ КЦОИ:

– «Оператор контура обработки» (в настоящее время эта категория назначается операторам сервера доступа);

– «Оператор контура контроля» (в настоящее время эта категория назначается операторам АРМ контролера ЭС).

Назначение категорий пользователям осуществляется администраторами информационной безопасности. Одному пользователю могут быть назначены несколько категорий (схема «И»), если назначаемая комбинация категорий не противоречит правилам их совместимости. Правила совместимости категорий программно проверяются при попытке добавления администратором информационной безопасности новой категории к уже назначенным данному пользователю ранее. При обнаружении несовместимости добавление новой категории не производится, с выводом администратору соответствующего сообщения.

Разграничение доступа к функциям АРМ пользователя на основе категорий (ролей) пользователя реализовано следующим образом:

– разработчиком ТПК «РАБИС-НП» поддерживается системный справочник функций («задач») ПК «РКЦ РАБИС-НП», в котором для каждой функции определены перечни подсистем и категорий пользователей, для которых эти функции вправе выполняться;

– состав функций, доступных из главного меню АРМ пользователя, конфигурируется администраторами ПО подсистемы при настройке АРМ;

– при регистрации пользователя подсистемы администратор информационной безопасности закрепляет его за конкретным (предварительно сконфигурированным администратором ПО) АРМ, и назначает этому пользователю одну или несколько категорий;

– при запуске АРМ, организующая программа (xpress.exe) выполняет аутентификацию пользователя (по имени и паролю), определяет пользователя и закрепленный за ним АРМ, набор функций главного меню АРМ и набор категорий, назначенных данному пользователю. Перед выводом главного меню АРМ пользователю, организующая программа выполняет по системному справочнику функций проверку соответствия функций, включенных в состав АРМ, назначенным категориям пользователя. Функций, для выполнения которых у пользователя отсутствуют необходимые категории, показываются в меню АРМ как неактивные, и их запуск пользователем блокируется.

Пользовательские программы АРМ работают с серверной (общей для всей подсистемы) и пользовательскими базами данных, функционирующими на сервере подсистемы под управлением СУБД MS SQL.

Разграничение доступа при подключении пользовательских процессов АРМ к базам данных подсистемы УБР обеспечивается штатными средствами парольной аутентификации СУБД. Для предотвращения возможности подключения пользователей к базам данных в обход приложений ПК РКЦ РАБИС-НП, реальный пароль для подключения пользователя подсистемы к СУБД вычисляется приложением по определенному алгоритму из двух частей. Первая часть пароля (пользовательская) соответствует значению пароля пользователя для входа в АРМ. Другая часть пароля (системная) представляет собой псевдослучайную маску, хранимую и предоставляемую приложениям РАБИС-НП сервисом аутентификации.

Для разграничения доступа пользователей подсистемы к транспортным сервисам УТП, при конфигурировании транспортного канала подключения пользователя «оператор ЛТС» к транспортной станции УТП должны использоваться средства взаимной аутентификации клиента и транспортной станции УТП, в соответствии с документацией на УТП БР.

5.3. Реализация средств парольной аутентификации пользователей и разграничения их доступа к функциям АРМ

Вход пользователя в АРМ подсистемы УБР РАБИС-НП производится с помощью bat- файла запуска АРМ, выполняющего:

– формирование необходимого окружения;

– вызов организующей программы АРМ xpress.exe.

Формирование окружения состоит в присвоении значений необходимым переменным окружения.

Работа средств парольной аутентификации пользователей подсистемы УБР РАБИС-НП основана на использовании прикладного сервиса аутентификации в качестве единственного средства получения прикладными программами АРМ необходимых для их функционирования конфигурационных данных о подсистеме и пользователе. Сервис аутентификации (исполняемый модуль task807.exe) функционирует на сервере подсистемы с полномочиями специального пользователя «mservice» и обеспечивает:

– защиту (изоляцию) конфигурационных данных подсистемы и аутентификационных данных пользователей от прикладных пользовательских процессов;

– парольную аутентификацию и авторизацию пользователей подсистемы;

– предоставление необходимых конфигурационных данных о подсистеме и полномочиях авторизованного пользователя для процессов (прикладных программ) АРМ;

– предоставление процессам авторизованного пользователя дополнительной части парольной информации для подключения к используемым этими процессами базам данных (в СУБД MS SQL);

– разграничение доступа пользователей к функциям АРМ;

– разграничение доступа к модификации конфигурационных данных подсистемы и аутентификационных данных пользователей для процессов авторизованных пользователей, в соответствии с правилами разграничения доступа подсистемы.

На первом этапе взаимодействия организующей или прикладной программы АРМ («клиент») с сервисом аутентификации («сервер») выполняется процедура аутентификации пользователя:

– клиент получает из переменной окружения SERVICES_FILE полный путь к файлу с параметрами подключения к прикладным сервисам РАБИС-НП, выбирает параметры для подключения к сервису аутентификации (секция AUTHSERVER, после чего устанавливает сетевое соединение с этим сервисом и согласовывает с ним протокол обмена данными;

– сервис аутентификации генерирует случайную маску, ассоциирует ее с данным клиентским соединением и передает ее клиенту;

– клиент запрашивает ввод параметров аутентификации (идентификатор и пароль) у пользователя, вычисляет хэш от связки имени и пароля пользователя, маскирует этот хэш полученной от сервера маской и передает маскированный хэш сервису аутентификации;

– сервис аутентификации, используя ассоциированную с данным соединением маску, восстанавливает значение клиентского хэша; выполняет аутентификацию клиента (сравнивает полученное значение клиентского хэша с зарегистрированным аутентификационным значением); в случае успеха, создает контекст пользователя (ассоциированный с данным клиентским соединением) и сообщает клиенту об успешной его аутентификации.

Примечание. Прикладные программы ТПК РАБИС-НП могут также использовать параметры аутентификации, полученные от родительского процесса (например, от организующей программы xpress.exe).

 Скачать реферат