Глава 7. Защита от внутренних атак
Настоящий раздел посвящен вопросам защиты от внутренний атак и непреднамеренных действий людей, имеющих физический доступ к компонентам Системы. Рассматриваются вопросы аутентификации и авторизации внутренних пользователей, организации системы прав доступа, организации журнализации и протоколирования событий, происходящих в системе,
атакже ряд смежных вопросов.
7.1.Аутентификация и авторизация внутренних пользователей
Комплекс системы "ДБО BS-Client" (банковская часть) поддерживает одновременную работу в системе нескольких пользователей. Как правило, эти пользователи исполняют различные роли («Администратор системы», «Администратор безопасности», «Операционист» и т.п.). Для обеспечения ограничения доступа пользователей к функциям системы и последующему назначению прав на функции системы в "ДБО BS-Client" используется механизм аутентификации пользователей.
В "ДБО BS-Client" используется механизм парольной аутентификации / авторизации. Каждому пользователю системы "ДБО BS-Client" назначается свой собственный уникальный логин в систему. Вход в систему данного пользователя происходит только после корректного ввода пользователем его пароля. Для каждого из пользователей можно задать политику безопасности, накладывающую ограничения на парольную аутентификацию / авторизацию.
Эта политика может включать в себя:
•запрет изменения собственного пароля;
•максимальное количество попыток ввода пароля (по истечении количества неправильно введенных паролей пользователь блокируется);
•минимальная длина пароля;
•дата истечения действия пароля;
•период принудительной смены пароля (допустим принудительная смена пароля каждый месяц);
•временные интервалы действия пароля (например, с 10:00 до 18:00);
•запрет использования простых паролей;
•запрет повторного использования собственных паролей (при принудительной смене паролей).
Любой пользователь может сменить свой пароль как в процессе плановой процедуры смены пароля, так и по собственному желанию (если это не запрещено политикой безопасности). Механизм смены пароля пользователем также защищен парольной аутентификацией/авто-
25