39 Разграничение доступа пользователей с помощью Аккорд-амдз и Аккорд nt/2000. Система атрибутов и дисциплина их взаимодействия. Черные и белые списки

Система атрибутов на осн-и которых опис-ся правила разгран-я доступа к объектам инф-ой системы обеспечивает реализацию развитой политики безопасности, обеспечивающую с одной стороны – прозрачность для польз-ля, с другой – защиту от НСД. Применяются след-е атрибуты: - для опций с файлами: R, W, C (создание), N (перемеинование), D (удаление), V (невидимость файла для прог, имеет высший приоритет над предыдущими), U (эмуляция разрешения записи в файл – подмена R на RW на этапе открытия файла. Эти атрибуты опред-т права дост. на доступ к отдельным файлам. Они обеспеч-ся, даже если файл располаг-ся в каталоге, к которому у польз-ля нет доступа.), Х (запуск); - связанные с опциями над каталогами: Можно (создание каталогов на диске), Е (удаление), G (доступ-ть каталога), S (наследование подкаталогами атр-в каталога); - связ-е с регистрацией: r (регистр-ся все опции чтения, w (- опции записи). Обеспечивается поддержка 2 списков файлов – белого и чёрного. Файлы, указ-е в ЧС недосягаемы, даже если они располаг-ся в каталогах, к которым есть доступ, в них вкл-ся также логич-е устр-ва и драйверы устройств. В обычных системах по отношению к иерарх. элементам ФС (например, диск-каталог-файл) действует правило по которому доступ к объектам ниж. уровней опр-ся миним-ми правами доступа ко всем объектам вышележ-х уровней. В А. это действует на уровне лог. дисков.Для остальных устройств атрибуты явл-ся независимыми (если не стоит атрибут S). Возм-ть исп-я атрибутов в сетях и наличие средств централизов. упр-я безопасностью и ср-в аудита. Имеется возм-ть работы с сертиф-ми средствами шифрования. Имеются возможности блокировки экрана и клавиатуры. Имеется спец. программа для вывода на печать. Можно устанавливать временные ограничения на доступ к компьютеру.

38 Partition Boot Sector

Содержит информацию о структуре диска, которая используется файловой системой для обращения к диску, а также он содержит код загрузки ОС. Этот код используется для загрузки ядра ОС. Общая структура PBS для FAT(NTFS): 1) команда Jump, обеспечивающая переход к исполняемому коду (3 байта). 2) название ОС (8 байт ASCII). 3) Bios Parameter Block (25 байт) 4) расширенный блок параметров Bios (26(48) байт) 5) код загрузки ОС (448(426) байт) 6) 55АА – маркер конца сектора (2 байта). Bios Parameter Block и Extended BPB описывают физические параметры тома. Информация содержащаяся в них используется драйверами устройств для конфигурирования томов. PBS это 1 – й 512 байтный сектор в начале загрузочного тома. Содержимое PBS и EPBS: 1) размер сектора в единицах по 256 байт (2 байта). 2) число секторов в кластере (1 байт) 3) число резервных секторов от PBS до начала FAT. Минимальное значение 1 включая сам PBS. Если > 1, то код загрузки не умещается в PBS.(2 байта) 4) число копий FAT, обычно две (1 байт). 5) max количество элементов root каталога логического диска (2 байта) 6) small sectors число секторов в томе с менее чем 2¹⁶ секторов, если их больше то здесь 0 и используется largesectors (2 байта). 7) media type – обычно содержит значение F8, что указывает на жёсткий диск (1 байт). 8) числосекторов в FAT (2) 9) число секторов на дорожке (2) 10) число головок (2) 11) число спрятанных секторов, то – же что RS в РТ (2) 12) large sectors (4) 13) физический дисковый номер, для винта 80 (1). 14) поле текущей головки (системой FAT не используется), в WinNT два флага первый запускае checkdisk при загрузке NT, второй говорит о необходимости теста поверхности (1). 15) поле сигнатуры (1). 16) уникальный серийный номер диска (тома), создаваемый при форматировании (4) 17) метка тома (11) 18) идентификатор системы (ASCII), например ‘FAT16’(8).

Для NTFS начиная с 17) есть отличия. Этот сектор используется для загрузки ОС или другой программы, которая можнт организовывать разграничение доступа. В конце своей работы программа должна выполнить загрузку ОС. Для реализации функции разграничения доступа в MSDOS можно использовать другую команду процессору вместо comand.com. Функции разграничения доступа также могут реализовываться с помощью драйверов устройств, которые бы включались, напр., в config.sys. Он м. контр-ть доступ к файлам, реализ-ть ф-ции проверки пароля. Доп-ное разгр-е дост. также м. реализ-ть за счет перехвата прер-й на разл. стадии загр-ки сис-мы. Обычно осущ-ют перехв. 13h и 21h прер-й. За счет этого м., в част-ти, реализ-ть прозрач. шифр-е файлов.