Управление политикой доступа к информации

Номер журнала:

Краткая информация об авторе (ах): 

кандидат социологических наук, доцент кафедры журналистики, социальной рекламы и связей с общественностью социально-гуманитарного факультета Российского государственного социального университета

Аннотация: 

Информационное право, в современных условиях глобализации стало занимать особое место. Организовать сеть с необходимыми сервисами, создать группы пользовате­лей и их учетные записи, обеспечив их необходимыми правами, дающими возможность использовать эти сервисы,— это еще не все, что необходимо для нормальной работы коммуникативной сети в муниципальном образовании. Значительная доля труда сетевого менеджера должна быть направлена на управление политикой доступа к информации, касаемой форумов населения, принимаемых на этих форумах решений и рекомендаций, и вообще – всего спектра жизни муниципалитета и его администрации. Схемы организации доступа к различным объектам сети муниципального образования могут быть разнообразны, но общие принципы должны быть всегда одни. Часто запрет на доступ к отдельным объектам коммуникативной сети носит достаточно услов­ный характер, но позволяет правильно организовать работу сети. Подобные вопросы требуют квалифицированного системного подхода и детального изучения. В настоящей статье автор открывает цикл статей.

Ключевые слова: 

управление, политика, информация, сеть, правовое положение, администрация, регулирование, коммуникации.

     Организовать сеть с необходимыми сервисами, создать группы пользовате­лей и их учетные записи, обеспечив их необходимыми правами, дающими возможность использовать эти сервисы,— это еще не все, что необходимо для нормальной работы коммуникативной сети в муниципальном образовании. Значительная доля труда сетевого менеджера должна быть направлена на управление политикой доступа к информации, касаемой форумов населения, принимаемых на этих форумах решений и рекомендаций, и вообще – всего спектра жизни муниципалитета и его администрации.

     Всегда есть папки и файлы, к которым необходим доступ многих людей, и наоборот, такие, к которым может иметь доступ очень ограниченный круг пользователей, таких, как глава администрации, его замы и главный бухгалтер. Иногда структура муниципального образования очень «неудобна» для сетевого менеджера. Возникают противоречивые требования, связанные с запрещением доступа к файлам и разрешением доступа к принтерам, находящимся в одном отделе муниципального образования. Схемы организации доступа к различным объектам сети муниципального образования могут быть разнообразны, но общие принципы должны быть всегда одни. Часто запрет на доступ к отдельным объектам коммуникативной сети носит достаточно услов­ный характер, но позволяет правильно организовать работу сети.

     Доступ к информации в коммуникативной сети может контролироваться различными путями, начиная от ограничений на уровне файловой системы и заканчивая ограни­чениями на уровне применяемых приложений. Причем последнее ограниче­ние часто довольно условно. Если, например, рядовой житель получает инфор­мацию из сетевого приложения, написанного в среде Microsoft Access, то ограни­чения на уровне программы не позволят ему запустить процессы, которые ему не требуются в целях участия в управлении муниципальным образованием (в таких приложениях доступ к необходимым функциям должен определяться паролем, имеющимся у главы муниципального образования).

     В то же время сама база данных, к которой обращается клиентское приложение, может быть не за­щищена. В этом случае любой житель имеет возможность полу­чить из этой базы данных любую интересующую его информацию. Более того, он способен изменить структуру базы данных, нарушив целостность самих данных и корректность работы приложений.

     Для обеспечения пра­вильной организации доступа к данным следует внимательно изучить все возможные пути обхода установленных ограничений и перекрыть эти пути. Конечно, в небольшом муниципальном образовании, в котором каждый житель на виду и все заинтересованы в успешном функционировании муниципального образования, вряд ли найдется зло­умышленник. Тем не менее возможны просто ошибки. Если рядовой житель уже имел опыт работы с базами данных, то может себе представить, что удалить данные — задача довольно легкая, куда сложнее их восстановить. Проблема здесь в том, что именно удале­ние данных возможно не по злому умыслу, когда полный доступ к ним от­крыт пользователям, не несущим ответственности за их сохранность.

     Определить и установить права для каждого жителя - пользователя коммуникативной сети, — такая за­дача может быть слишком трудоемкой. Поэтому во всех вариантах доступа к данным применяются группы. Не будем глубоко анализировать теорию организации групп в сетях, отметим лишь, что группы доступа существуют, на­чиная с рабочих станций и заканчивая самыми верхними структурами коммуникативной сети. В случае с муниципальным образованием такой верхней структурой может быть домен. Группы могут содержать как отдельных пользователей, так и другие группы. Подключая рабочую станцию с операционной системой Windows ХР к домену, сетевой менеджер автоматически включает группу домена в группу компьютера (в отдельной квартире может быть один компьютер и несколько независимых пользователей).

     Права, определенные групповыми политиками и файловой системой, назна­ченные группе, будут применены и ко всем членам этой группы. В современ­ных операционных системах Windows существуют встроенные готовые шаб­лоны безопасности, представляющие собой отправную точку в создании политик безопасности, которые настраиваются, чтобы удовлетворять органи­зационным требованиям. Шаблоны можно настраивать при помощи оснастки.

     После настройки готовых шаблонов безопасности их можно использовать для изменения конфигурации компьютеров коммуникативной сети. Из­менить конфигурацию безопасности компьютеров можно при помощи осна­стки. Можно изменять конфигурацию несколь­ких компьютеров, импортировав шаблон в компонент. На основе шаблонов безопасности можно также выполнять анализ возможных слабых мест безопасности и нарушений политики системы при помощи оснастки.

     Обратимся к оснаст­ке. Локальные параметры безопасности имеются на любом компьютере с операционной системой, начиная с Windows 2000. Как следует из названий оснасток, они позволяют управлять политикой безо­пасности на различных уровнях. Это уровни локальный, контроллера домена и домена в целом. Если аналогичные политики есть на всех уровнях, то дей­ствовать будет политика, определенная на самом верхнем из них. По умолча­нию большая часть политик вообще не определена, что позволяет сетевому менеджеру начинать настройки с любого уровня.

     Наибольшее число политик по умолчанию опре­делено на локальном уровне, они определяют безопасность именно компью­тера, на котором установлен сервер. Определяя политики безопасности доме­на, можно установить параметры безопасности и права пользователей доме­на. Собственно говоря, количество политик, имеющихся в этих оснастках, таково, что с первого раза невозможно запомнить назначение каждой из них. Но в большинстве случаев это и не требуется. Сетевому менеджеру важно пони­мать, какого результата он хочет добиться, и выбрать соответствующее средство для его достижения.

     Если сетевой менеджер имеет несколько уровней безопасности, то это не значит, что они определяются совершенно независимо. Очевидно, что, получив доступ к ло­кальной системе сервера, можно нарушить работу целого домена намеренно деструктивными или неумелыми действиями. Отсюда вывод — доступ к сер­веру в локальном режиме необходимо запретить пользователям жителям муниципального образования, которым он не требуется. Для реализации такого запрета сетевому менеджеру достаточно создать группу поль­зователей и определить для нее политику. Значение параметров политики показано в двух полях «ло­кальный параметр» и «действующий параметр» окна «параметр локальной политики безопасности». Второе поле может свиде­тельствовать о том, что политика задана на более высоком уровне и будет определяться им. Любая учетная запись пользователя или группа, помещенная в эту группу, потеряет возможность локального входа на сервер, но вход по сети будет разрешен, если он был разрешен ранее для этих пользователей и групп.

     Группы, создаваемые в домене, должны определять вполне конкретные права пользователей, входящих в них, и права эти не должны противоречить друг другу. В этом случае есть возможность определить структуру групп в соот­ветствии с требованиями администрации муниципального образования. Часть групп, разумеется, может быть создана по умол­чанию и может быть применена к отдельным пользователям.

     Наивысшими правами как на компьютере, так и в домене пользуется учетная запись сетевого менеджера, далее следуют участники группы администрации муниципального образования, завершают список группа жителей муниципального образования.

     Встроенные учетные записи и группы сетевому менеджеру удалять не стоит. При необходимости он может просто отключить отдельные учетные записи.

     Создавая новые группы, их можно помещать друг в друга и в группы, созданные по умолча­нию. Существуют и могут быть созданы как локальные группы компьютера (сервера), так и локальные и глобальные группы домена. Обычно на уровне домена применяют глобальные доменные группы. Для каждой группы опре­деляется свой набор политик и уровней доступа к ресурсам, к которым пред­полагается доступ пользователей, входящих в эти группы. В результате соз­дается иерархия групп, отличающихся своими правами, а пользователи — члены этих групп получают права в диапазоне от полного доступа ко всем ресурсам и во всех режимах до полного отсутствия доступа к чему бы то ни было. Такими крайними точками могут являться учетная запись сетевого менеджера и жителя муниципального образования.

     Сетевому менеджеру следует отметить тот факт, что на компьютере-контроллере домена не су­ществует локальных учетных записей пользователей.

     Следовательно, каждая действующая учетная запись на контроллере домена имеет некоторые права в домене. Отсюда можно сделать такой вывод: если сетевой менеджер решил организовать Web-сервис или почтовый сервис, доступный извне, то это следует делать на отдельном компьютере. В сети муниципального образования, которая здесь и рассматривается, таким компьютером являет­ся второй сервер, исполняющий эти и другие вспомогательные роли.

     Средст­ва, имеющиеся в распоряжении хакеров и прочих злоумышленников, могут быть достаточно совершенными, чтобы проникнуть в сеть и перехватить пароли.

     Отдельно стоящий компьютер, не имеющий никаких прав в домене, будет дополнительным препятствием для проникновения в коммуникативную сеть муниципального образования.

     В то же время пользователи Web- и почтово­го сервиса не должны иметь прав на вход в систему не только локально, но и по локальной сети.

     Вариантов организации структуры коммуникативной сети муниципального образования множе­ство. Рассмотрим примеры, которые помогут сетевому менеджеру сориентироваться при определении варианта настройки сети.

     Выполняя работы по администрированию своей сети, сетевой менеджер будет вынуждены иногда часть задач возлагать на другого человека. Возможно, он уйдет в отпуск или просто объем его работы будет достаточно велик. Но доверять полный ни­чем не ограниченный доступ к серверу и к коммуникационной сети можно только себе. Поэтому при организации учетной записи для помощника сетевого менеджера следует определить тот необходимый минимум прав, который позволит ему выполнять свои обязанности, и в значительной степени исключит вероят­ность возникновения проблем, связанных с превышением имеющихся пол­номочий (возможно, и невольным).

     Сетевому менеджеру следует определить круг задач своего помощника. Предположим, что в отсут­ствие сетевого менеджера потребуется добавлять и удалять учетные записи пользователей. При­чем сетевому менеджеру не хотелось бы допускать выполняющего помощника непосредст­венно к серверу.

     Для решения таких задач достаточно в служебных целях создать учетную запись, владелец которой не будет иметь права на локальный вход на сервер. При этом выполнение сетевого входа возможно, но и его необходимость ус­ловна. Для этого существуют методики управления учетными запи­сями [1]. Средой для выполнения этих сценариев является оболочка, создаваемая программой Wscript.exe. Под управлением Windows ХР можно запускать сценарии от имени другого пользователя, не выходя из своего сеанса. Для этого достаточно написать командный файл, содержащий путь и имя файла сценария, который будет вы­полняться. В ОС Windows ХР и Windows Server 2003 эта команда добавлена и в контекстные меню ярлыков программ в виде пункта «Запуск от имени...».

     В тексте сценария должен быть указан полный путь к создаваемым текстовым файлам, чтобы не возникли трудности с их поиском в том случае, если они соз­даны от имени разных пользователей.

     Помощнику сетевого менеджера потребуется лишь знание пароля учетной записи, кото­рую для него создали. Этот пароль необходимо ввести после запуска командного файла.

     Лучше, если ограничение на право локального входа в систему на сервере будет установлено для отдельной группы. В эту группу следует включить и учетную запись помощника сетевого менеджера. Для того чтобы этот пользователь мог управлять другими учетными записями, он должен быть членом группы операторов учета (встроенная группа). В свою оче­редь, группе операторов учета не должно быть предоставлено право локаль­ного входа в систему.

     Ограничение локального входа в систему может быть установлено локаль­ными политиками в контейнере дерева консоли «Локальные параметры безопасности», «Назначение прав пользователей», «Локальный вход в снстему/Отклоннть локальный вход». Политики эти имеют три уровня:

·        Локальные политики безопасности;

·        Политики безопасности домена;

·        Политики безопасности контроллера домена.

 

     Политики более высокого уровня перекрывают действие нижестоящих поли­тик. Таким образом, группе «Операторы учета» не должны быть установлены разрешения на локальный вход, а группе помощника сетевого менеджера необходимо ус­тановить запрет на локальный вход (политика «Отклонить локальный вход»).

     Запрет достаточно установить на самом низком уровне — в локальных поли­тиках. В табл. 2 показан возможный вариант распределения записей о груп­пах в политиках безопасности. Запись «Не определена» говорит о том, что эта политика не применяется на данном сервере, но если она применяется на сервере сетевого менеджера, то должно стоять слово «Отсутствует», группа не должна вхо­дить в перечень этой политики.

 

Таблица 1. Распределение групп в политиках безопасности

Уровень

политики

Политика

Группа помощника

Группа

Операторы учета

Локальные

Локальный вход в систему

Отсутствует

Отсутствует

 

Отклонить локаль­ный вход

Присутствует

Отсутствует

Домена

Локальный вход в систему

Не определена

Не определена

 

Отклонить локальный вход

Не определена

Не определена

Контроллера

домена

Локальный вход в систему

Отсутствует

Отсутствует

 

Отклонить локальный вход

Не определена

Не определена

 

     Если помощник сетевого менеджера должен выполнять задачи по администрированию толь­ко второго сервера, не являющегося контроллером домена, то для него можно создать еще несколько сценариев. При необходимости создания учетной записи пользователя на втором серве­ре, чтобы поручить кому-либо выполнение операций по настройке сервера, она может быть создана временно, а затем удалена. Аналогично, можно соз­давать и удалять группы, от пользователей можно требовать изменить пароль при следующем входе в систему. Все эти действия допускается совершать удаленно с вашего рабочего места сетевого менеджера с помощью сценариев. В примерах сцена­риев можно назвать много дополнительных функций, таких, например, как сохранение информации в файле, интерактив­ный режим работы со сценарием и т.п.

     Итак, помощник сетевого менеджера, не имея прав на локальный вход в систему на сервере, при помощи сценариев сможет управлять учетными записями пользователей: создавать их, изменять, удалять, а также просматривать спи­ски и свойства записей. Внимательно изучив возможности, предоставляемые политиками безопасно­сти, можно очень гибко настроить права различных групп и отдельных поль­зователей. Проводя настройки политик безопасности, следует внимательно следить за тем, чтобы не лишить своих прав рядовых пользователей коммуникационной сети. Это может при­вести к полной неуправляемости домена. Диапазон прав и запретов, которые могут быть назначены пользователям, очень широк. Сетевой менеджер и его помощники как администраторы обладают практически неограниченными возможностя­ми, пользователи и гости — наоборот, имеют очень мало прав. Но есть пользователи, кото­рые по умолчанию имеют очень специфические права, специальная настрой­ка которых не требуется. К таким особенным учетным записям могут отно­ситься пользователи почтового сервера.

     Настраивая почтовый сервер, сетевой менеджер выбирает для учетных записей пользователей почты вариант авторизации по локальным учетным записям Windows. При этом для каждого почтового ящика при его создании учетные записи с соответствующими правами формируются автоматически. Права этих пользователей настолько ограничены, что они не могут войти в систему ни локально, ни по сети. Посмотрев в оснастке «Управление компьютером» на втором сервере свойства этих пользователей, можно увидеть, что они являют­ся членами одной единственной группы. В свойствах локальной политики безопасности «Отклонить локальный вход» можно увидеть эту группу. Политика «Отказ в доступе к компьютеру» из сети для этой группы не опре­делена, поскольку членам группы необходимо получать доступ к своим поч­товым ящикам, в то же время явно для этой группы не указаны разрешения на доступ к папкам — почтовым ящикам, поскольку этот доступ осуществля­ется только посредством почтового сервера.

     Все пользователи этого сервера включены еще в несколько специальных групп, имена которых отсутствуют в перечне групп, содержащемся в папке «Группы». Это встроенные группы, оп­ределяющие специфические права тех пользователей, кому не даны явные права на доступ к файлам и папкам. Изменять права для автоматически соз­данных пользователей не требуется, если только сетевой менеджер не хочет их расширить. Если же такая необходимость возникла, то сетевой менеджер не должен изменять права конкретного пользователя, а должен поместить его в существующую или вновь созданную группу, для которой он определил соответствующие права.

     Нередко требования к защите информации создают трудно разреши­мые ситуации. Так, например (прибегнем к аналогии), в одной организации перед администратором была поставлена следующая задача: группа пользователей (руководители) должна получать некоторую информацию в виде распечаток на принтере от другой группы (подчиненные), а также иметь возможность доступа к инфор­мации на компьютерах подчиненной группы. При этом подчиненная группа не должна иметь доступ к информации в группе руководителей, а также ви­деть компьютеры этой группы в сетевом окружении.

     Как наиболее надежный вариант решения такой задачи, была предложена организация двух доменных сетей, соединенных маршрутизатором. Для ор­ганизации печати при этом были применены принт-серверы, доступные для всех пользователей. Но задачу необходимо было решить без приобретения дополнительного оборудования.

     При кажущейся на первый взгляд относительной простоте задачи решить ее, не выходя за рамки обычной структуры локальной коммуникационной сети, сетевой менеджер, вероятнее всего, не сможет. Но с определенным допуском на уровень защиты информации, а также на некоторые неудобства при пользовании отдельными сетевыми сер­висами, проблема может быть решена без дополнительных затрат, если компьютеры группы администрации муниципального образования исключить из домена. При этом сами коммуникации и физическая структура сети не изменятся, а логически сеть преобразуется в две.

     Компьютеры, выведенные из домена, должны войти в состав группы администрации муниципального образования, имя которой не должно совпадать с именем домена. IP-адреса этих компью­теров могут соответствовать адресам из диапазона зарезервированных адре­сов.

     Для обеспечения доступа к принтерам, подключенным к рабочим станциям группы администрации муниципального образования, необходимо выполнить несколько изменений в на­стройках этих рабочих станций. Здесь следует открыть «Локальная Политика Безопасно­сти», «Локальные политики», «Параметры безопасности».

     В окне настроек операционной системы следует найти три параметра, перечисленные ниже:

·        Сетевой доступ: модель совместного доступа и безопасности для локальных учетных записей (Network access: Sharing and security model for local accounts).

·        Сетевой доступ: не разрешать перечисление учетных записей SAM (Security Accounts Manager) и общих ресурсов анонимными пользова­телями (Network access: Do not allow anonymous enumeration of SAM accounts and shares).

·        Сетевой доступ: не разрешать перечисление учетных записей SAM анонимными пользователями (Network access: Do not allow anonymous enumeration of SAM accounts).

 

     SAM (Security Accounts Manager) — защищенная база данных, в которой хра­нится информация о пользовательских учетных записях

     Для первого из этих параметров следует установить значение «Классический» (Classic), а для двух других — «Отключен» {2}.

     Дополнительно на рабочих станциях группы администрации муниципального образования необходимо включить учетную запись «Гость», установив для нее пустой пароль и назначив ресурсы общего доступа.

     Теперь рабочие станции группы администрации муниципального образования не будут видны в сетевом окружении других рабочих станций. Но возможность использовать какой-либо разрешенный ресурс или принтер, подключенный к рабочей станции группы администрации муниципального образования, будет предоставлена всем рабочим станциям сети.

     Ресурсы рабочих станций группы жителей муниципального образования могут быть доступны группе администрации муниципального образования. С этой целью потребуется лишь авторизоваться в домене. Для подключения общих ресурсов компьютеры необходимо найти через средство поиска компьютеров по IP-адресу либо стандартными средствами Windows подключить сетевой диск, указав вместо имени компьютера его IP-адрес.

     Для подключения ресурсов с рабочих станций, входящих в домен, следует использовать Подключение под другим именем. Выбрав эту ссылку, сетевой менеджер увидит окно с приглашением ввести имя пользователя и пароль. Подключив все необходимые ресурсы и принтеры, он обеспечит работу сети в требуемом режиме. Для подключения принтеров с встроенным или внешним аппаратным принт-сервером не имеет значения, в какой группе будет находиться рабочая станция, с которой осуществляется подключение. У принтера в этом случае есть свой IP-адрес, по которому к нему можно подключаться, даже если этот адрес не соответствует адресу коммуникационной сети. Мастер установки принтеров в Windows ХР позволяет настроить порт для такого принтера в интерактивном режиме, но можно это сделать, просто установив необходимые значения IP-адреса и тип порта принтера.

     Управление политиками безопасности может быть упрощено, если требуется настроить большое число компьютеров. Ко­нечно, если надо изменить всего два параметра на трех компьютерах, нахо­дящихся в одном помещении, то это можно сделать и вручную. Другое дело, когда параметров, подлежащих изменению, много, а компьютеры находятся достаточно далеко друг от друга. В таких случаях допускается применение шаблонов безопасности, средств командной строки или работа с консолями управления на удаленном компьютере.

     В папке C:\WINDOWS\system32 находятся файлы с расширением msc. Это файлы консоли управления многими объектами и службами компьютера и домена. При выборе ярлыка (пункта меню), соответствующего локальным параметрам безопасности, например, программа mmc.exe откроет файл C:\WINDOWS\system32\secpol.nisc. Программа mmc.exe может быть вызвана через стандартную операцию «Выполнить». При этом откроется окно программы, в которое можно добавить любую оснастку для управ­ления компьютером.

     Для добавления оснастки требуется выбрать в меню «Консоль», «Добавить или удалить оснастку», «Добавить». В открывшемся окне «Добавить изолированную оснастку» оста­нется выбрать из списка требуемую оснастку. Затем, выбрав «Консоль», «Со­хранить как», сетевой менеджер может сохранить файл консоли, настроенный по его предпочтениям и содержащий необходимые оснастки. Среди дос­тупных для добавления оснасток есть такая, как «Анализ и настройка безо­пасности». Эта оснастка позволяет проанализировать текущие настройки безопасности, выбрав файл базы данных, а также сохранить текущие пара­метры безопасности в файле шаблона (экспорт шаблона). С помощью коман­ды «Импорт шаблона из меню», «Действие» можно изменить настройки безо­пасности компьютера в соответствии с импортируемым шаблоном {3}.

     При проведении анализа сетевым менеджером может быть создан лог-файл, в котором могут быть перечислены все ошибки (с точки зрения ОС) в настройках безопасности. Добавив необходи­мые сетевому менеджеру оснастки, он может сохранить получившуюся консоль под понят­ным ему именем и в дальнейшем использовать ее для работы. Еще одна по­лезная в оснастка — «Шаблоны безопасности». С ее помощью можно создавать и редактировать шаблоны безопасности.

     Их можно использовать для изменения конфигурации одного или нескольких компьютеров. Изменение конфигурации компьютеров допустимо при помо­щи оснастки «Анализ и настройка безопасности» средства Secedit.exe, рабо­тающего из командной строки, а также при помощи импорта шаблона в осна­стку «Локальная политика безопасности». По умолчанию готовые шаблоны безопасности сохраняются по адресу: «системный_корневой_каталог\5есигку \Templates».

     Поле установки ОС в системе могут присутствовать приведенные далее шаб­лоны.

     Setup sccurity.inf — «шаблон безопасности но умолчанию», содержит параметры безопасности, используемые по умолчанию, которые приме­няются во время установки операционной системы, включая разрешения для файлов корневого каталога системного диска. Этот шаблон можно ис­пользовать полностью или частично в целях аварийного восстановления.

     Conipatws.inf — «совместимый», содержит разрешения по умолчанию для рабочих станций и серверов (не контроллеров домена). Учитывается иерархия прав локальных групп: «Администраторы», «Опытные пользова­тели» и «Пользователи».

     Secure*.inf — группа шаблонов «защита», содержит параметры повы­шенной безопасности.

     Hisec*.inf — группа шаблонов «повышенная защита», включает в себя шаблоны, налагающие дополнительные ограничения на уровни кодировки и подписи.

     Rootscc.inf — «безопасность системного корневого каталога», включа­ет разрешения для корневого каталога Windows ХР Professional. По умол­чанию эти разрешения определяются шаблоном Rootscc.inf для корневого каталога системного диска. Шаблон также может быть изменен для при­менения этих разрешений к корневому каталогу других дисков (не сис­темных).

     Параметры шаблонов безопасности можно просмотреть и отредактировать при помощи компонента «Шаблоны безопасности». Причем их редактирова­ние аналогично редактированию реальных параметров безопасности. Файлы шаблонов с расширением inf можно просматривать как текстовые файлы {4}.

     Выбрав наиболее подходящий шаблон или создав новый, сетевой менеджер может внести в не­го необходимые изменения и распространить их на другие компьютеры, не проводя редактирования параметров безопасности на каждом компьютере отдельно.

     Чтобы создать новый шаблон, достаточно в окне созданной консоли выбрать в контекстном меню папки, содержащей опцию «Создать новый шаблон», дать имя и добавить описание.

     В то же время продвинутые пользователи, желая подсмотреть или скорректи­ровать информацию, к которой они не должны иметь доступа, могут это сде­лать, подключившись к серверной базе данных и используя стандартные или разработанные самостоятельно средства. Конечно, приложения, которые соз­даются фирмами, специализирующимися на разработке клиент-серверных продуктов, снабжаются достаточно эффективными средствами защиты дан­ных. В простых разработках, созданных зачастую самими администраторами сети или другими сотрудниками предприятия, вопрос защиты серверной базы данных нередко упускается из виду. Для упрощения организации работы но­вых пользователей с клиентскими приложениями доступ к серверной базе данных открывается для всех пользователей домена. Тем не менее вопрос защиты серверной базы данных может быть решен на уровне файловой сис­темы. Достаточно определить доступ к каталогам, в которых размещены файлы базы данных, лишь для пользователей этой базы данных, причем в той степени, в которой это необходимо.

     В ряде случаев доступ к отдельным ресурсам сети муниципального образования или к ресурсам вне ее дол­жен быть организован таким образом, чтобы некий пользователь не имел возможности получить доступ к другим ресурсам сети, а другие пользователи этой сети не могли получить доступ к компьютеру, для которого организован такой специальный доступ. Задача напоминает ту, что рассматривалась выше, когда разговор шел об изолированных подсетях. Но в данном случае речь идет о доступе, который допустимо организовать даже через Интернет, а ин­формация, передаваемая по сети, не может быть перехвачена и прочитана. Здесь мы рассмотрим пример общей схемы организации такого доступа.

     Суть решения заключается в том. что можно организовать виртуальную сеть, состоящую как из реальных, так и из виртуальных компьютеров, которая фи­зически может быть частью сети муниципального образования или же выходить за ее пределы, как бы пересекаясь с ней. При этом система адресов и способ идентификации компьютеров несколько отличается от того, что применяется в обычной сети. В обычной сети рабочие станции и сервер «узнают» друг друга по IР-адресам, именам и принадлежности к домену или группе. Доступ к ресурсам сети и к компьютерам определяется политиками доступа, существующими в сети. Виртуальная сеть имеет в своем распоряжении дополнительные средст­ва идентификации и ограничения доступа, перечисленные ниже:

·        каждый компьютер такой сети может быть сервером и/или клиентом вир­туальной сети;

·        каждая пара или большая группа компьютеров виртуальной сети может иметь общий секретный ключ доступа;

·        доступ к компьютерам может быть определен не только адресом, но пор­том (подобно тому, как к Web-cepeepy можно обращаться по разным пор­там, попадая на разные страницы сайта);

·        сами компьютеры могут быть как реальными, так и виртуальными;

·        виртуальные компьютеры могут находиться на реальных машинах как принадлежащих одной из сетей, так и не принадлежащих им;

·        на каждом компьютере может находиться несколько виртуальных адапте­ров, каждый из которых обеспечивает связь с определенным VPN-сер­вером или клиентом.

     Строя коммуникационную сеть, сетевой менеджер может обеспечить абсолютную конфиденци­альность связи внутри любой группы компьютеров.

     Практически невероятно, чтобы посторонний смог перехватить информацию, которой обмениваются машины в коммуникационной сети, основанной на VPN (Virtual Private Network, виртуальная частная сеть). Этой устойчивостью коммуникационных сетей к взлому в последнее время широко пользуются организато­ры районных или городских сетей, предоставляя пользователям доступ в Ин­тернет.

     Если житель муниципального образования имеет такой доступ в Интернет дома, то можете через существую­щий VPN-канал в Интернете проложить свой VPN-канал к локальной сети муниципального образования. При таком варианте связи он будет защищен от любых попыток пе­рехвата паролей и данных, которыми он обменивается с сетью муниципального образования. Обычно опасность перехвата паролей существует в сеансах Telnet, где пароли передаются в открытом виде при авторизации на почтовых серверах, а также в других случаях, когда пароли пересылаются в открытом виде. Обмен дан­ными внутри локальной сети также становится безопасным, если применяет­ся защищенный VPN-канал.

     Виртуальные компьютеры имеют букву «V» на экране монитора, как и виртуальные сетевые адаптеры, которые необходимы для работы виртуальной сети. Светлые стрелки обозначают связи между компьютерами в виртуальной сети. Виртуальные компьютеры, конечно, на­ходятся на реальных машинах, но ведут они себя так, как если бы были само­стоятельными компьютерами. Виртуальные связи между машинами показаны таким образом, как будто они не требуют физических линий связи. Именно так они будут восприниматься пользователями компьютеров. Например, ра­бочая станция, находящаяся вне локальной сети и связанная с ней по вирту­альному каналу через Интернет, реально связана через физические линии связи и коммуникационное оборудование, но после установления виртуаль­ной связи вся физическая сеть становится несуществующей для пользователя. Даже команда tracert [ip-адрес], выводящая на экран командной строки ин­формацию о маршруте соединения, не покажет ни одного промежуточного узла между машинами, работающими в виртуальной сети. Количество вирту­альных сетевых адаптеров, которые допускается устанавливать на одной ма­шине, может быть ограничено особенностями конфигурации конкретного компьютера и системы. Но в большинстве случаев не требуется более двух-трех адаптеров. С таким числом сетевых плат может нормально рабо­тать любой современный компьютер.

     Как и в реальной сети, при построении виртуальной необходимо соблюдать уникальность IP-адресов [3, стр. 958], а на каждом компьютере — и номеров портов, че­рез которые устанавливаются соединения. Дело, правда, облегчается тем, что число виртуальных связей существенно меньше, чем реальных, а маска вир­туальной подсети отличается от маски реальной подсети. В реальной сети необходимо обеспечить маршруты для портов, применяемых в виртуальных соединениях извне. Эти маршруты устанавливаются для реальных адресов машин.

     Говоря о доступе к ресурсам сети, не стоит забывать и о возможности досту­па к ним абсолютно посторонних, нежданных гостей [2, стр. 288]. При этом не стоит думать что предусмотренная законом ответственность многих остановит [4]. Особенно важно это учитывать при наличии постоянно работающего подключения к Интернету. Если сетевой менеджер поищет в поисковой машине Google, например, информацию о не­санкционированном доступе к компьютерам из Интернета, то сможет обна­ружить, что эти вопросы очень серьезно обсуждаются как защищающимися от такого доступа, так и его осуществляющими. Фактически на просторах Интернета идет постоянная «партизанская война» [6]. Начинающий сетевой менеджер может недооценить серьезность существующего положения и не предусмотреть мер защиты от нападения на сеть муниципального образования снаружи. Даже защи­тив передаваемую через Интернет информацию шифрованием, ему следует пом­нить и об общей защите [5].

 

ПРИМЕЧАНИЕ

{1} Система управления базами данных Microsoft Access является одной из самых популярных при выстраивании коммуникативной сети. Все версии Access имеют в своем арсенале средства, значительно упрощающие ввод и обработку данных, поиск данных и предоставление информации в виде таблиц, графиков и отчетов. Начиная с версии Access 2000, появились также Web-страницы доступа к данным, которые пользователь может просматривать с помощью программы Internet Explorer. Помимо этого, Access позволяет использовать электронные таблицы и таблицы из других настольных и серверных баз данных для хранения информации, необходимой приложению. Присоединив внешние таблицы, пользователь Access будет работать с базами данных в этих таблицах так, как если бы это были таблицы Access. При этом и другие пользователи могут продолжать работать с этими данными в той среде, в которой они были созданы.
{2} Описываемые настройки могут быть выполнены только на рабочих станциях Windows ХР Professional.
{3} В зависимости от версии дистрибутива ОС и ее обновлений, команда «Импорт шаблона» может иметь название «Импорт политики».
{4} Обеспечение безопасности невозможно в системах Windows ХР Professional, установленных на дисках с файловой системой FAT.

ЛИТЕРАТУРА: 

[1] Скотт Хогдал. Анализ и диагностика компьютерных сетей. М.: Литлком, 2001.
[2] Скляров Д.В. Искусство защиты и взлома информации. – СПб.: БХВ-Петербург, 2004. – 288 с.
[3] Олифер В.Г., Олифер Н.А. Компьютерные сети. Принципы, технологии, протоколы: Учебник для вузов. 3-е изд. – СПб.: Питер, 2006.
[4] СПС «Консультант Плюс».
[5] Никифоров П.А. Современные методы правового регулирования в условиях глобализации // Юстиция. 2011. № 2.
[6] Белов О.Н. Век информационных технологий – век информационного права // Правозащитник. 2012. № 3.

Заголовок En: 

Policy of Access to Information Management

Аннотация En: 

Information law, in today's globalized world started to hold a special place. To establish a network with the necessary services, to create a group of users and their accounts, providing them with the necessary rights , making it possible to use these services – these is not all that is necessary for the normal operation of communication networks in the municipality. A large proportion of the network manager work should be concentrated in the management policy of access to information in regards to the index of population taken on forums decisions and recommendations, and in general on entire spectrum of life in municipality and its administration. Schemes of accessibility to various municipal networks can vary, however general principles must always be the same. Often deny of access to specific objects of communication network is fairly conventional in nature, but allows to properly organize the work of the network. These issues require a qualified system approach and detailed study. This article, opens a series of author’s articles in this field.

Ключевые слова En: 

management, policy, information, network, legal status, administration, regulation, communications.