Добавил:
Опубликованный материал нарушает ваши авторские права? Сообщите нам.
Вуз: Предмет: Файл:
Скачиваний:
47
Добавлен:
02.05.2014
Размер:
434.69 Кб
Скачать

ГОСУДАРСТВЕННАЯ СИСТЕМА ЗАЩИТЫ ИНФОРМАЦИИ

УТВЕРЖДАЮ

Генеральный директор ЗАО "ОКБ САПР"

С.Г. Матвеев

Программно-аппаратный комплекс средств защиты информации от НСД для ПЭВМ (PC)

Аккорд–АМДЗ”

(Аппаратный модуль доверенной загрузки)

(версия 3.0)

РУКОВОДСТВО ПО УСТАНОВКЕ

11443195.4012-006 98 03

Подп.и дата

Инв.№ дубл.

Взам.инв №

Подп.и дата

Инв.№ подл.

Литера О1

СОДЕРЖАНИЕ

1. ТРЕБОВАНИЯ К ОБОРУДОВАНИЮ И ИСПОЛЬЗУЕМОМУ ПО 3

2. УСТАНОВКА ПРОГРАММНО-АППАРАТНОГО КОМПЛЕКСА СЗИ НСД "АККОРД-АМДЗ" 5

2.1. Назначение элементов и разъемов на плате контроллера. 6

2.2 Подсоединение контактного устройства (съемника информации) 6

Установка контроллера в свободный слот материнской платы ПЭВМ 6

2.3. Назначение ТМ-идентификатора администратора безопасности информации (АБИ) 7

3. ТРУДНОСТИ ПРИ УСТАНОВКЕ КОМПЛЕКСА И МЕТОДЫ ИХ ПРЕОДОЛЕНИЯ. 8

4. СНЯТИЕ СРЕДСТВ ЗАЩИТЫ КОМПЛЕКСА "АККОРД". 11

5. Установка ПО разграничения доступа на жесткий диск. 11

5.1. Рекомендации по созданию изолированной программной среды (ИПС) в ОС Windows 95. 13

5.2. Конфиденциальное делопроизводство в среде Windows 95/98 и Microsoft Office. 15

Конфиденциальное делопроизводство в среде Windows 95/98 и Microsoft Office. 17

Перв. Примен

Справ. №

Подп.и дата

Инв.№ дубл.

Взам.инв №

Подп.и дата

11443195.4012-006 98 03

Изм

Лист

докум.

Подп.

Дата

Комплекс

“Аккорд–АМДЗ”

(версии 3.0)

Руководство по установке

Лит.

Лист

Листов

Разраб.

Артемьев

2

19

Инв.№ подл.

Пров.

Гусаров

Т.контр

Жуков

Рук.разраб.

Лысенко

Н.контр.

Жуков

Утв.

Матвеев

Копировал

Формат А4

Установка программно-аппаратного комплекса СЗИ НСД "Аккорд-АМДЗ" включает три основных этапа:

1. Установку платы контроллера в свободный слот ПЭВМ и регистрацию администратора БИ (супервизора), в том числе, настройку комплекса в соответствии с конфигурацией технических средств ПЭВМ.

2. Регистрацию пользователей, назначение пользователям личных ТМ-идентификаторов, паролей и времени доступа.

3. Назначения списка дисков, файлов, разделов реестра, контролируемых на целостность.

В н и м а н и е !

Перед началом установки комплекса "Аккорд-АМДЗ" рекомендуется подробно ознакомиться с эксплуатационной документацией, прежде всего с "Описанием применения" (11443195.4012-001 31 01) и настоящим руководством.

1. ТРЕБОВАНИЯ К ОБОРУДОВАНИЮ И ИСПОЛЬЗУЕМОМУ ПО

В настоящее время технические средства комплекса защиты от НСД "Аккорд-АМДЗ" для установки в слот PCI шины выпускаются в основной модификации на базе контроллера «Аккорд-5».

Эта модификация комплекса:

- может использоваться на ПЭВМ с процессором 80386 и выше, объемом RAM 1 Мбайт и более;

- требует для установки свободный слот PCI;

- использует для идентификации персональные идентификаторы DS 199Х с объемом памяти до 64 Кбит;

- использует для аутентификации пароль до 12 символов;

- блокирует загрузку с FDD, CD ROM и ZIP;

- предусматривает регистрацию до 32 пользователей;

- имеет энергонезависимую память;

- имеет аппаратный датчик случайных чисел (ДСЧ);

- обеспечивает контроль целостности программ и данных;

- может использоваться как для локальных ПЭВМ, так и для рабочих станций в составе ЛВС.

Особенности модификаций контроллера “Аккорд-5” приведены в таблице1.

Таблица 1.

Подп.и дата

Особенности применения

"Аккорд-5"

Бездисковые рабочие станции ЛВС

+

Серверы ЛВС

+

АРМ администратора безопасности информации

+

Аппаратное управление доступом к устройствам, входящим в состав ПЭВМ

+

(до двух физических линий)

Возможность перепрограммирования всех элементов

+

Наличие контроля отключения питания

+

Подключение устройства энергонезависимого аудита

+

Интерфейс для считывателя smart-карт

+

Инв.№ дубл.

Взам.инв №

Подп.и дата

Инв.№ подл.

11443195.4012-006 98 03

Лист

4

Изм

Лист

докум.

Подп.

Дата

Копировал

Формат А4

Для эффективного применения комплекса и поддержания необходимого уровня защищенности ПЭВМ и информационных ресурсов необходимы:

- физическая охрана ПЭВМ и ее средств, в том числе проведение мероприятий по недопущению изъятия контроллера комплекса;

- наличие администратора безопасности информации (АБИ) - привилегированного пользователя, имеющего особый статус и абсолютные полномочия (супервизора). Администратор БИ планирует защиту информации на предприятии (учреждении, фирме и т.д.), определяет права доступа пользователей в соответствии с утвержденным Планом защиты, организует установку комплекса в ПЭВМ, эксплуатацию и контроль за правильным использованием ПЭВМ с установленным комплексом, в том числе учет выданных ТМ-идентификаторов, осуществляет периодическое тестирование средств защиты комплекса;

- использование в ПЭВМ технических и программных средств, сертифицированных как в Системе ГОСТ Р, так и в ГСЗИ.

Контроллер "АККОРД-5", входящий в состав комплекса, имеет два режима доступа к аппаратным ресурсам платы контроллера.

Режим 0 (стандартный): доступ к области кода расширения BIOS только по чтению.

Режим 1 (специальный): доступ к области кода расширения BIOS по чтению/записи, причем при старте компьютера код не исполняется, а области, скрытые при работе операционной системы в режиме 0, становятся доступны по чтению/записи. Переход из стандартного режима в специальный требует снятия установочной металлической планки, которая крепится к плате контроллера двумя винтами. В специальном режиме возможна перезапись внутреннего ПО контроллера без изменения аппаратной части и очистка базы данных пользователей. При записи кода в BIOS контроллера следует отключить любые программные менеджеры памяти, установленные на компьютере.

Штатные операции изменения режима работы производятся под контролем службы безопасности. При этом возможна установка пломбы на крепежный винт, которая является индикатором целостности как встроенного ПО, так и конфиденциальной информации.

2. УСТАНОВКА ПРОГРАММНО-АППАРАТНОГО КОМПЛЕКСА СЗИ НСД "АККОРД-АМДЗ"

В н и м а н и е !

В SETUP компьютера параметр "Plug & Play O/S" должен быть установлен в “NO”. Это обеспечивает корректное обнаружение BIOS контроллера "Аккорд", как PCI устройства.

Установить в ПЭВМ контроллер комплекса.

В н и м а н и е !

Установка контроллера должна производится только при выключенном питании компьютера!

Перед установкой аппаратной части комплекса необходимо:

1. Отключить питание.

2. Вскрыть корпус системного блока ПЭВМ, удалить заглушку на задней панели блока и выбрать свободный слот на материнской плате для установки контроллера комплекса.

Подп.и дата

Инв.№ дубл.

Взам.инв №

Подп.и дата

Инв.№ подл.

11443195.4012-006 98 03

Лист

4

Изм

Лист

докум.

Подп.

Дата

Копировал

Формат А4

2.1. Назначение элементов и разъемов на плате контроллера.

Расположение элементов и разъемов на плате контроллера "Аккорд-5" показано на рис. 1.

Рис. 1. Плата контроллера "Аккорд-5"

При установке контроллера “Аккорд-5” автоматически определяется свободное адресное пространство и выбирается начальный адрес для размещения BIOS контроллера в адресном пространстве, что обеспечивает стабильную работу комплекса на большинстве ПЭВМ, однако при последующей установке новых PCI устройств возможны конфликты с платами, у которых некорректно отрабатывается функция PnP.

2.2 Подсоединение контактного устройства (съемника информации)

При использовании внутреннего контактного устройства (съемника информации) типа DS 1909, DS 1909 Т, R 1909, Эллиас их установка производится, как правило, на заглушке зарезервированного места для дисководов. Для этого необходимо снять заглушку, просверлить в ней отверстие диаметром 9,4 мм, в случае, если используется съемник с пружинной шайбой или 6 мм - при использовании съемника с клеевой основой, вставить в отверстие контактное устройство и закрепить его на заглушке пружинной (резиновой) шайбой или при помощи клеевой основы, вывести провод контактного устройства внутрь ПЭВМ и установить заглушку на место.

В н и м а н и е !

Провод центрального контакта съемника (обозначен на соединительном разъеме знаком <треугольник>) должен соответствовать правому контакту разъема Х3. Неправильное подсоединение съемника информации к плате контроллера к фатальным последствиям не приведет, однако контроллер работать не будет.

Подсоединение выносного контактного устройства осуществляется с помощью разъема RJ-11 (подобного телефонному разъему) на задней планке контроллера.

Установка контроллера в свободный слот материнской платы ПЭВМ

Контроллер устанавливается в любой свободный PCI слот материнской платы и фиксируется стопорным винтом к задней панели корпуса.

Подп.и дата

Инв.№ дубл.

Взам.инв №

Подп.и дата

Инв.№ подл.

11443195.4012-006 98 03

Лист

5

Изм

Лист

докум.

Подп.

Дата

Копировал

Формат А4

2.3. Назначение ТМ-идентификатора администратора безопасности информации (АБИ)

После установки контроллера включить питание компьютера. В процессе загрузки управление передается контроллеру «Аккорд» и выполняется начальная инициализация. Определяется состав аппаратных средств ПЭВМ и данные заносятся в энергонезависимую память контроллера. Далее производится форматирование базы данных пользователей и внутреннего журнала. После завершения инициализации на экран выводится стартовое меню, в котором доступны для выбора только пункты – «Администрирование».

В Н И М А Н И Е !

При помощи программы администратора, записанной в энергонезависимой памяти контроллера, обязательно зарегистрировать администратора БИ и назначить ему ТМ-идентификатор (особо обратите внимание на процесс генерации секретного ключа пользователя – если ТМ-идентификатор регистрируется впервые, то следует сгенерировать новый секретный ключ, если ТМ-идентификатор уже зарегистрирован на другом комплексе «Аккорд», то следует выбрать опцию «уже записан в ТМ»). Также обязательно произвести контроль аппаратуры и дисков, для того чтобы в памяти контроллера запомнилась конфигурация данной ПЭВМ. Если все действия произведены правильно, то после выхода из программы администрирования по клавише <Esc> становятся доступными для выбора остальные пункты стартового меню администратора. Если этого не происходит, то вернитесь в режим администрирования и проведите регистрацию администратора (супервизора) более внимательно в соответствии с «Руководством администратора». При следующей загрузке контроллер запросит ТМ-идентификатор (т.к. база данных пользователей инициализирована), а если не произвести регистрацию АБИ, или неправильно сгенерировать секретный ключ пользователя, то доступ к компьютеру не будет получен. Выйти из этой ситуации можно только извлечением контроллера из ПЭВМ, переводом его в технологический режим снятием установочной планки и стиранием БД пользователей с помощью программы, записанной на дискете с документацией на комплекс. Будьте внимательны и тщательно изучите документацию на комплекс (в частности «Руководство администратора»).

Перезагрузите компьютер и убедитесь в том, что в процессе загрузки появляется сообщение на синем фоне: "Прислоните TM-идентификатор..." и после прикосновения TM-идентификатором Супервизора к съемнику информации происходит загрузка ПЭВМ и выводится стартовое меню администратора.

Зарегистрируйте пользователей и назначьте им права доступа (ПРД) к ресурсам ПЭВМ с помощью программы администратора (в стартовом меню выбрать пункт "Администрирование"). Комплекс "Аккорд-АМДЗ" установлен!

Подп.и дата

Инв.№ дубл.

Взам.инв №

Подп.и дата

Инв.№ подл.

11443195.4012-006 98 03

Лист

6

Изм

Лист

докум.

Подп.

Дата

Копировал

Формат А4

3. ТРУДНОСТИ ПРИ УСТАНОВКЕ КОМПЛЕКСА И МЕТОДЫ ИХ ПРЕОДОЛЕНИЯ.

Нет реакции на прикосновение ТМ-идентификатором к контактному устройству (съемнику).

Причина: Кабель внутреннего контактного устройства подключен к плате контроллера неверно.

Действия:

1. Выключить компьютер.

2. Подключить разъем кабеля контактного устройства к разъему X3 контроллера, повернув его на 180 градусов. Если опять нет реакции на прикосновение ТМ-идентификатором к контактному устройству (съемнику) - обратитесь к поставщику комплекса.

Контроллер работает нормально, но при установке подсистемы разграничения доступа драйвер не обнаруживает контроллер (Сообщение:’ТМ-контроллер не установлен или неисправен.’).

Включен режим "Shadow RAM".

Причина: В Setup ПЭВМ включен режим "Shadow RAM" областей памяти, в которых находится BIOS контроллера "Аккорд".

Действия:

1. При включении ПЭВМ войти в программу Setup (у компьютеров разных фирм комбинация клавиш для входа в Setup различна, поэтому пользуйтесь описанием материнской платы).

2. Отключить режим "Shadow RAM" для тех областей памяти, в которых расположен BIOS контроллера "Аккорд".

3. Выйти из программы Setup с сохранением изменений.

Запущен менеджер памяти.

Причина: При загрузке ОС запускается какой-либо менеджер памяти.

Действия:

В строке загрузки менеджера памяти в файле CONFIG.SYS запретить использование участка памяти, в котором находится заголовок BIOS контроллера. Начальный адрес этого участка высвечивается при старте контроллера, а размер его составляет 2 Kb.

Драйвер не соответствует версии контроллера.

Причина: в процессе инсталляции ПО разграничения доступа неправильно выбрана версия контроллера.

Действия :

Повторить процедуру инсталляции ПО разграничения доступа, правильно выбрав версию контроллера (версия контроллера указывается в формуляре на изделие “Аккорд”).

Соответствие драйвера типу контроллера (для справок) приведено в таблице.

При попытке стереть в контроллере “Аккорд-5” базу данных пользователей (контроллер в технологическом режиме со снятой установочной планкой) выдается сообщение: “Контроллер неисправен либо неустановлен.”

Подп.и дата

Инв.№ дубл.

Тип контроллера

Имя драйвера

“Аккорд-5”

TMAC5.EXE

“Аккорд-4.0”

TMAC4.EXE

“Аккорд-4+”

TMAC4P.EXE

“Аккорд-4++”

TMAC4PP.EXE

Взам.инв №

Подп.и дата

Инв.№ подл.

11443195.4012-006 98 03

Лист

7

Изм

Лист

докум.

Подп.

Дата

Копировал

Формат А4

Программа очистки базы данных пользователей запускается из многозадачной ОС(Windows 95/98, Windows NT)

Причина: в многозадачной ОС каждой программе или процессу выделяется виртуальная память, а программа очистки БД пользователей работает с платой контроллера по физическому адресу.

Действия: установить плату контроллера в компьютер с MS DOS или загрузить Windows 95/96 в режиме “Command prompt only”. Очистить базу данных пользователей.

Запущен менеджер памяти.

Причина: При загрузке ОС запускается какой-либо менеджер памяти.

Действия:

В строке загрузки менеджера памяти в файле CONFIG.SYS запретить использование участка памяти, в котором находится заголовок BIOS контроллера. Начальный адрес этого участка высвечивается при старте контроллера, а размер его составляет 2 Kb.

Версия программы очистки БД не соответствует версии контроллера.

Причина: Для каждой версии контроллера используется своя программа очистки БД пользователей. Контроллеру “Аккорд-5” соответствует программа IP5.EXE.

Действия: используйте программу, соответствующую типу контроллера.

Контроллер работает нормально, но после выполнения процедур идентификации/аутентификации и контроля целостности загрузка ОС не выполняется (в левом верхнем углу темного экрана мигает курсор).

Причина:

1. Компьютер заражен загрузочным вирусом.

Комплекс «Аккорд АМДЗ» аппаратно берет на себя процесс загрузки ПЭВМ. Если все процедуры контроля и идентификации пользователя выполнены правильно, то загрузка передается стандартному загрузчику ОС по определенному адресу. Компьютерные вирусы, которые располагаются в загрузочной области жесткого диска, обычно помещают себя в область стандартного загрузчика. Сам загрузчик при этом помещается в другое место служебной области диска и управление ему передается после работы программы-вируса. Пользователь может долгое время работать на зараженной ПЭВМ, не замечая наличия вируса. Комплекс «Аккорд АМДЗ» при установке на ПЭВМ вступает в конфликт с программой-вирусом, что проявляется в зависании при попытке загрузить ОС.

Действия:

Извлечь плату контроллера из ПЭВМ, загрузиться со сменного носителя, проверить диск на наличие вирусов. При обнаружении программ-вирусов попытаться очистить от них жесткий диск. Если попытка неудачная, отформатировать диск, установить заново ОС и, убедившись в отсутствии вирусов продолжить установку СЗИ «Аккорд».

2. Жесткий диск отформатирован нестандартной программой, или его параметры (размер логических разделов, файловая система и т.д.) были изменены после форматирования какой-либо программой-утилитой, например Partition Magic.

Действия:

Отформатировать диск стандартной программой из состава ОС.

3. На компьютере вирусы не обнаружены, жесткий диск отформатирован стандартным образом, но загрузка ОС не выполняется.

Причина:

Некоторые фирмы-производители компьютеров используют нестандартные недокументированные функции в системном BIOS, или процедуре загрузки (например, на компьютерах COMPAQ устанавливалась процедура SETUP в виде «скрытого» первого раздела жесткого диска). Выполнение загрузки стандартным способом по стандартному адресу на таком компьютере приводит к конфликту и зависанию.

Подп.и дата

Инв.№ дубл.

Взам.инв №

Подп.и дата

Инв.№ подл.

11443195.4012-006 98 03

Лист

8

Изм

Лист

докум.

Подп.

Дата

Копировал

Формат А4

Действия:

Извлечь контроллер «Аккорд» из ПЭВМ, с помощью утилиты acgetmbr.exe, которая поставляется на гибком диске с документацией на комплекс, скопировать образ MBR (главной загрузочной записи) в файл. С помощью какой-либо утилиты, например Norton Disk Editor, скопировать содержимое системного BIOS в файл. Выслать эти два файла с подробным описанием модели и конфигурации компьютера в ОКБ САПР по адресу support@okbsapr.ru.

Контроллер работает нормально, но после выполнения процедур идентификации/аутентификации и контроля целостности загрузка ОС Windows 95/98 не выполняется (выводится графический экран загрузки Windows, и компьютер «зависает»). Для пользователя с правами администратора загрузка выполняется нормально.

Причина:

В параметрах доступа пользователя включен режим управления режимами загрузки ОС Windows, но в файле MS DOS.SYS не установлен параметр BootMenu=1.

Действия:

Отключить для пользователя режим управления загрузкой ОС, сняв все флаги в соответствующем разделе, или прописать строку «BootMenu=1» в разделе [Options] в файле MSDOS.SYS.

4. СНЯТИЕ СРЕДСТВ ЗАЩИТЫ КОМПЛЕКСА "АККОРД".

В н и м а н и е !

Снятие защиты разрешено только администратору БИ (супервизору).

Для снятия защиты необходимо выполнить следующие действия:

1. Отключить питание.

2. Вскрыть корпус системного блока ПЭВМ.

3. Снять аппаратную часть комплекса.

4. Если установлено ПО разграничения доступа, то следует удалить вызовы соответствующих модулей из файлов AUTOEXEC.BAT и CONFIG.SYS.

5. Установка ПО разграничения доступа на жесткий диск.

(ПО поставляется по отдельному заказу на двух дискетах).

Установка ПО комплекса на жесткий диск ПЭВМ осуществляется в следующей последовательности:

1. Вставьте в дисковод для гибких дисков дистрибутивную дискету 1, входящую в комплект поставки.

В н и м а н и е !

При установке комплекса на ПЭВМ с ОС Windows95/98 следует в момент начальной загрузки ОС нажать клавишу F8. В появивившемся меню выбрать вариант загрузки 'Command prompt only'. Происходит загрузка Windows95/98 в режиме командной строки.

2. Запустите находящуюся на дискете программу INSTALL.EXE. Выберите из меню вариант инсталляции для контроллера 'АККОРД-5'. Программа создаст на диске С: каталог С:\ACCORD cо всеми необходимыми подкаталогами и скопирует туда выбранное программное обеспечение. На данном этапе не производится никаких изменений жесткого диска, кроме создания каталогов или файлов. В частности, будут созданы файлы AUTOEXEC.ACC и CONFIG.ACC, которые представляют собой копии файлов AUTOEXEC.BAT и CONFIG.SYS с внесенными изменениями, необходимыми для работы комплекса.

Подп.и дата

Инв.№ дубл.

Взам.инв №

Подп.и дата

Инв.№ подл.

11443195.4012-006 98 03

Лист

9

Изм

Лист

докум.

Подп.

Дата

Копировал

Формат А4

Рекомендуется распечатать эти файлы и ознакомиться с изменениями, которые необходимо внести в файлы AUTOEXEC.BAT и CONFIG.SYS для правильного функционирования системы "Аккорд". Эти изменения должны быть рассмотрены на предмет корректности их установки с учетом загружаемого ими окружения (особенно при использовании меню в файле AUTOEXEC.BAT). Это необходимо сделать, так как бывают случаи, когда вызовы программ комплекса включаются дважды или некорректно, хотя программа INSTALL в большинстве случаев правильно создает файлы AUTOEXEC.ACC и CONFIG.ACC.

3. После установки контроллера комплекса и включения ПЭВМ необходимо из каталога C:\ACCORD запустить программу (драйвер), которая обеспечивает доступ к контроллеру специального ПО разграничения доступа TMAC5.EXE.

Формат командной строки для загрузки драйвера TMAC5.EXE:

TMAC5.EXE AUTO

или: TMAC5.EXE /U для выгрузки драйвера

Запуск TMAC5.EXE ? или TMAC5.EXE /? выводит подсказку на экран. Командную строку для TMAC5.EXE можно набирать любыми буквами.

При помощи программы C:\ACCORD\ACED.EXE (см. "Установка подсистемы разграничения доступа. Программа ACED. Руководство пользователя" зарегистрировать администратора БИ и пользователей с теми же ТМ-идентификаторами и именами, которые зарегистрированы в контроллере АМДЗ.

Активизация подсистемы разграничения доступа к ресурсам ПЭВМ (АС) заключается в изменении установок в файлах AUTOEXEC.BAT и CONFIG.SYS в соответствии с дополнениями, указанными в созданных при инсталляции файлах AUTOEXEC.ACC и CONFIG.ACC.

Эти изменения сводятся к следующему:

1. В файл AUTOEXEC.BAT должен быть включен вызов драйвера ТМAC5.EXE с необходимыми параметрами.

2. Вместо какой-либо программной оболочки (обычно NC.EXE) в файле AUTOEXEC.BAT должен быть установлен вызов C:\ACCORD\ACRUN.EXE. Cледует заметить, что программа ACRUN.EXE может быть запущена с ключом /R, т.е. С:\ACCORD\ACRUN.EXE /R. В этом случае при завершении работы программы ACRUN.EXE будет произведена перезагрузка ПЭВМ. Именно этот режим работы следует считать основным, однако на время тестирования ключ /R можно не включать. Программа ACRUN.EXE является монитором прав доступа и запускает стартовую задачу, назначенную тому пользователю, который вошел в систему.

3. В файл CONFIG.SYS должна быть включена загрузка драйвера AMDZ5.SYS:

DEVICE= C:\ACCORD\AMDZ5.SYS

Данный драйвер запрещает применять клавиши <Ctrl>, <Alt> и любые их комбинации в процессе исполнения файлов CONFIG.SYS и AUTOEXEC.BAT. Нажатие любой комбинации данных клавиш вызывает перезагрузку компьютера. Тем самым исключается возможность прерывания исполнения файлов CONFIG.SYS и AUTOEXEC.BAT пользователем. Данная строка должна быть помещена в файле CONFIG.SYS первой. В случае применения QEMM-386 данная строка должна быть первой после вызова DOSDATA.SYS, QEMM386.SYS, DOS-UP.SYS. Загрузка QEMM386.SYS должна выполнятся с ключами BE:N BF:N. Также для любого менеджера памяти следует запретить использование области памяти, в которой находится BIOS контроллера.

Вы можете использовать программу ACEDPM.EXE вместо программы ACED. ACEDPM.EXE функционально является аналогом ACED.EXE, но при работе использует всю доступную расширенную память (свыше 1Mb).

Обратите внимание, что при установке правил разграничения доступа к сетевым ресурсам следует явно указать имя сервера, имя тома и только потом каталог или файл на сервере (см. "Руководство администратора", пример 19).

Подп.и дата

Инв.№ дубл.

Взам.инв №

Подп.и дата

Инв.№ подл.

11443195.4012-006 98 03

Лист

10

Изм

Лист

докум.

Подп.

Дата

Копировал

Формат А4

5.1. Рекомендации по созданию изолированной программной среды (ИПС) в ОС Windows 95.

Windows 95/98 обладает достаточно обширным набором функций и утилит для изменения конфигурации и подключения новых устройств и ресурсов. С одной стороны эти функции облегчают работу квалифицированному пользователю, но с другой - могут служить источником НСД. В каталоге \Windows\System находятся файлы с расширением .cpl. Это файлы, которые позволяют изменять конфигурацию и настройку системы и отдельных ее компонент. "Иконки" этих файлов Вы можете увидеть на Панели Управления. Ниже приводится список файлов .cpl для типичной конфигурации Windows 95/98 и функции, выполняемые каждым файлом.

APPWIZ.CPL - Applications Setup Wizard (Установка и удаление программ)

DESK.CPL - Desktop Control Panel (Экран)

INTL.CPL - International Control Panel (Языки и стандарты)

JOY.CPL - Joystic Control Panel (Джойстик)

MAIN.CPL - Main Control Panel (Клавиатура, Мышь, Принтеры)

MLCFG32.CPL - Microsoft Exchange (Почта и факс)

MMSYS.CPL - Multimedia Control Panel (Мультимедиа)

MODEM.CPL - Microsoft Modem Control Panel (Модемы)

NETCPL.CPL - Network Control Panel (Сеть)

ODBCCP32.CPL- ODBC Control Panel (32bit ODBC)

PASSWORD.CPL- Network Security and Administration UI (Пароли)

SYSDM.CPL - System Setting Device Manager Control Panel (Система и Установка оборудования)

TELEPHON.CPL- Telephon Control Panel (Телефон)

TIMEDATE.CPL- Time/date Setting Control Panel (Дата/время).

Любой из этих файлов, внесенный в список "скрытых" файлов в редакторе прав доступа ACED.EXE, становится недоступным (для конкретного пользователя) и соответствующая функция исключается из Панели Управления.

Для защиты от НСД также большое значение имеет файл MSSHRUI.DLL в каталоге \WINDOWS\SYSTEM. Данный файл управляет выделением ресурсов компьютера в совместное пользование.

Рассмотрим более подробно методику создания ИПС при использовании Windows 95/98.

"АККОРД" установлен на локальном компьютере.

В этом случае в редакторе прав доступа ACED.EXE для конкретного пользователя следует внести в список "скрытых" файлов APPWIZ.CPL, MLCFG32.CPL, MODEM.CPL, NETCPL.CPL, PASSWORD.CPL и SYSDM.CPL.

Пользователю запрещено:

- установка и удаление программ;

- работа с Microsoft Network и Microsoft Exchange;

- установка и настройка модемов;

- установка и настройка сетевых карт;

- изменение способа входа в Windows и пароля, а также удаленное управление

данным компьютером;

- установка/удаление оборудования.

Стартовой задачей следует указать C:\WINDOWS\win.com. Доступ к каталогам и файлам прописать в соответствии с полномочиями, установленными для данного пользователя. После перезагрузки компьютера и входа в систему зарегистрированного пользователя запустится Windows 95, в которой пользователь может работать только в разрешенных каталогах и только с установленным ПО. ПРД в этом случае могут выглядеть так:

Подп.и дата

Инв.№ дубл.

Взам.инв №

Подп.и дата

Инв.№ подл.

11443195.4012-006 98 03

Лист

11

Изм

Лист

докум.

Подп.

Дата

Копировал

Формат А4

Пользователь: MAIN_USER

Права администратора: Нет

Стартовый каталог: C:\

Задача для запуска: C:\WINDOWS\WIN.COM

Детальность журнала: Низкая

---- Диски ----

A: [RWCDNVMEGXO A ]

C: [RWCDNVMEGXO A ]

D: [RWCDNVMEGXO A ]

---- Каталоги ----

A:\ [RWCDNVMEGXO S]

C:\ [RW V GXO 0]

D:\ [RW V GO 0]

C:\ACCORD\ [RW V GXO S]

C:\

DRWEB_~1\ [RW V GXO S]

C:\MSOFFICE\ [RWCDNVMEGX O S]

C:\PROGRA~1\ [RWCDNVMEGX O S]

C:\TEMP\ [RWCDNV G O S]

C:\WINDOWS\ [RWCDNVMEGXO S]

D:\OPEN_DOC\ [RWCDNVMEG O S]

---- Файлы ----

---- Скрытые файлы ----

C:\WINDOWS\REGEDIT.EXE [ ]

C:\WINDOWS\SYSTEM\APPWIZ.CPL [ ]

C:\WINDOWS\SYSTEM\MLCFG32.CPL [ ]

C:\WINDOWS\SYSTEM\MODEM.CPL [ ]

C:\WINDOWS\SYSTEM\NETCPL.CPL [ ]

C:\WINDOWS\SYSTEM\PASSWORD.CPL [ ]

C:\WINDOWS\SYSTEM\SYSDM.CPL [ ]

Пользователь сможет работать с документами в каталоге D:\OPEN_DOC средствами Windows или MSOffice, но не может изменить конфигурацию системы. Обратите внимание, что при описании ПРД длинные имена файлов и каталогов прописываются в “коротком” виде, как они отображаются в MS DOS.

"АККОРД" установлен на компьютере, подключенном к ЛВС.

В этом случае в редакторе прав доступа ACED.EXE для конкретного пользователя следует внести в список "скрытых" файлов APPWIZ.CPL, MLCFG32.CPL, MODEM.CPL, NETCPL.CPL, PASSWORD.CPL, SYSDM.CPL и MSSHRUI.DLL.

Пользователю запрещено:

- установка и удаление программ;

- работа с Microsoft Network и Microsoft Exchange;

- установка и настройка модемов;

- установка и настройка сетевых карт;

- изменение способа входа в Windows и пароля, а также удаленное управление данным компьютером;

- установка/удаление оборудования;

- предоставления дисков, файлов и принтеров компьютера в совместное пользование (MSSHRUI.DLL).

Подп.и дата

Инв.№ дубл.

Взам.инв №

Подп.и дата

Инв.№ подл.

11443195.4012-006 98 03

Лист

12

Изм

Лист

докум.

Подп.

Дата

Копировал

Формат А4

ПРД в этом случае могут выглядеть так:

Пользователь: MAIN_USER

Права администратора: Нет

Стартовый каталог: C:\

Задача для запуска: C:\WINDOWS\WIN.COM

Детальность журнала: Низкая

---- Диски ----

A: [RWCDNVMEGXO A ]

C: [RWCDNVMEGXO A ]

D: [RWCDNVMEGXO A ]

---- Каталоги ----

A:\ [RWCDNVMEGXO S]

C:\ [RW V GXO 0]

D:\ [RW V GO 0]

C:\ACCORD\ [RW V GXO S]

C:\DRWEB_~1\ [RW V GXO S]

C:\MSOFFICE\ [RWCDNVMEGX O S]

C:\PROGRA~1\ [RWCDNVMEGX O S]

C:\TEMP\ [RWCDNV G O S]

C:\WINDOWS\ [RWCDNVMEGXO S]

D:\OPEN_DOC\ [RWCDNVMEG O S]

---- Файлы ----

---- Скрытые файлы ----

C:\WINDOWS\REGEDIT.EXE [ ]

C:\WINDOWS\SYSTEM\ MSSHRUI.DLL [ ]

C:\WINDOWS\SYSTEM\APPWIZ.CPL [ ]

C:\WINDOWS\SYSTEM\INETCPL.CPL [ ]

C:\WINDOWS\SYSTEM\MAIN.CPL [ ]

C:\WINDOWS\SYSTEM\MLCFG32.CPL [ ]

C:\WINDOWS\SYSTEM\MMSYS.CPL [ ]

C:\WINDOWS\SYSTEM\MODEM.CPL [ ]

C:\WINDOWS\SYSTEM\NETCPL.CPL [ ]

C:\WINDOWS\SYSTEM\PASSWORD.CPL [ ]

C:\WINDOWS\SYSTEM\SYSDM.CPL [ ]

C:\WINDOWS\SYSTEM\TELEPHON.CPL [ ]

5.2. Конфиденциальное делопроизводство в среде Windows 95/98 и Microsoft Office.

Реализация технологии конфиденциального делопроизводства в среде Windows осложняется тем, что операционная система и программы MSOffice в процессе работы создают, используют, удаляют и переименовывают множество временных служебных файлов. При этом основная задача администратора БИ – разрешить пользователю работать с конфиденциальными документами только в выделенных каталогах и исключить возможность сохранения документов в любых иных областях дискового пространства.

ПРД в этом случае могут выглядеть так:

Подп.и дата

Инв.№ дубл.

Взам.инв №

Подп.и дата

Инв.№ подл.

11443195.4012-006 98 03

Лист

13

Изм

Лист

докум.

Подп.

Дата

Копировал

Формат А4

ПРД в этом случае могут выглядеть так:

Пользователь: MAIN_USER

Права администратора: Нет

Стартовый каталог: C:\

Задача для запуска: C:\WINDOWS\WIN.COM

Детальность журнала: Низкая

---- Диски ----

A: [RWCDNVMEGXO A ]

C: [RWCDNVMEGXO A ]

D: [RWCDNVMEGXO A ]

---- Каталоги ----

A:\ [RWCDNVMEGXO S]

C:\ [RW V GXO 0]

D:\ [RW V G O 0]

C:\ACCORD\ [RW V GXO S]

C:\DRWEB_~1\ [RW V GXO S]

C:\MSOFFICE\ [RW V GXO S]

C:\PROGRA~1\ [RW V GXO S]

C:\TEMP\ [RWCDNV G O S]

C:\WINDOWS\ [RW V GXO S]

D:\SECRET_1\ [RWCDNVMEG O S]

D:\SECRET_2\ [RWCDNVMEG O S]

D:\SECRET_3\ [RWCDNVMEG O S]

Конфиденциальное делопроизводство в среде Windows 95/98 и Microsoft Office.

Реализация технологии конфиденциального делопроизводства в среде Windows осложняется тем, что операционная система и программы MSOffice в процессе работы создают, используют, удаляют и переименовывают множество временных служебных файлов. При этом основная задача администратора БИ – разрешить пользователю работать с конфиденциальными документами только в выделенных каталогах и исключить возможность сохранения документов в любых иных областях дискового пространства.

ПРД в этом случае могут выглядеть так:

---- Файлы ----

C:\MSOFFICE\OFFICE\ПАНЕЛЬ~1\OFFICE.TBB

[RWCDNV O ]

C:\MSOFFICE\ШАБЛОНЫ\NORMAL.DOT

[RWCDNV O ]

C:\MSOFFICE\ШАБЛОНЫ\~$NORMAL.DOT

[RWCDNV O ]

C:\PROGRAM\COMMON F\MICROSOF\PROOF\MSSP2_EN.EXC

[RWCDNV XO ]

C:\PROGRAM\COMMON F\MICROSOF\PROOF\MSSP_RU.EXC

[RWCDNV XO ]

C:\SCANDISK.LOG

[RWCDNV O ]

C:\WINDOWS\*.INI

[R V O ]

C:\WINDOWS\HELP\*.TMP

[RWCDNV O ]

C:\WINDOWS\IOS.LOG

[RWCDNV O ]

C:\WINDOWS\MSAPPS\PROOF\CUSTOM.BAK

[RWCDNV O ]

C:\WINDOWS\MSAPPS\PROOF\CUSTOM.DIC

[RWCDNV O ]

C:\WINDOWS\MSAPPS\PROOF\~$CUSTOM.DIC

[RWCDNV O ]

C:\WINDOWS\RECENT\*.LNK

[RWCDNV O ]

C:\WINDOWS\SHELLI~1

[RWCDNV XO ]

C:\WINDOWS\SPOOL\PRINTERS\*.SHD

[RWCDNV O ]

C:\WINDOWS\SPOOL\PRINTERS\*.SPL

[RWCDNV O ]

Подп.и дата

Инв.№ дубл.

Взам.инв №

Подп.и дата

Инв.№ подл.

11443195.4012-006 98 03

Лист

14

Изм

Лист

докум.

Подп.

Дата

Копировал

Формат А4

Пользователь: MAIN_USER

Права администратора: Нет

Стартовый каталог: C:\

Задача для запуска: C:\WINDOWS\WIN.COM

Детальность журнала: Низкая

---- Диски ----

A: [RWCDNVMEGXO A ]

C: [RWCDNVMEGXO A ]

D: [RWCDNVMEGXO A ]

---- Каталоги ----

A:\ [RWCDNVMEGXO S]

C:\ [RW V GXO 0]

D:\ [RW V G O 0]

C:\ACCORD\ [RW V GXO S]

C:\DRWEB_~1\ [RW V GXO S]

C:\MSOFFICE\ [RW V GXO S]

C:\PROGRA~1\ [RW V GXO S]

C:\TEMP\ [RWCDNV G O S]

C:\WINDOWS\ [RW V GXO S]

D:\SECRET_1\ [RWCDNVMEG O S]

D:\SECRET_2\ [RWCDNVMEG O S]

D:\SECRET_3\ [RWCDNVMEG O S]

---- Файлы ----

C:\MSOFFICE\OFFICE\ПАНЕЛЬ~1\OFFICE.TBB

[RWCDNV O ]

C:\MSOFFICE\ШАБЛОНЫ\NORMAL.DOT

[RWCDNV O ]

C:\MSOFFICE\ШАБЛОНЫ\~$NORMAL.DOT

[RWCDNV O ]

C:\PROGRAM\COMMON F\MICROSOF\PROOF\MSSP2_EN.EXC

[RWCDNV XO ]

C:\PROGRAM\COMMON F\MICROSOF\PROOF\MSSP_RU.EXC

[RWCDNV XO ]

C:\SCANDISK.LOG

[RWCDNV O ]

C:\WINDOWS\*.INI

[R V O ]

C:\WINDOWS\HELP\*.TMP

[RWCDNV O ]

C:\WINDOWS\IOS.LOG

[RWCDNV O ]

C:\WINDOWS\MSAPPS\PROOF\CUSTOM.BAK

[RWCDNV O ]

C:\WINDOWS\MSAPPS\PROOF\CUSTOM.DIC

[RWCDNV O ]

C:\WINDOWS\MSAPPS\PROOF\~$CUSTOM.DIC

[RWCDNV O ]

C:\WINDOWS\RECENT\*.LNK

[RWCDNV O ]

C:\WINDOWS\SHELLI~1

[RWCDNV XO ]

C:\WINDOWS\SPOOL\PRINTERS\*.SHD

[RWCDNV O ]

C:\WINDOWS\SPOOL\PRINTERS\*.SPL

[RWCDNV O ]

Подп.и дата

C:\WINDOWS\SYSTEM.DA0

[RWCDNV O ]

C:\WINDOWS\SYSTEM.DAT

[RWCDNV O ]

C:\WINDOWS\TEMP\*.TMP

[RWCDNV O ]

C:\WINDOWS\TEMP\~$CUSTOM.DIC

[RWCDNV O ]

C:\WINDOWS\USER.DA0

[RWCDNV O ]

C:\WINDOWS\USER.DAT

[RWCDNV O ]

C:\WINDOWS\VDDASD.DAT

[RWCDNV O ]

C:\WINDOWS\WNBOOTNG.STS

[RWCDNV O ]

Инв.№ дубл.

Взам.инв №

Подп.и дата

Инв.№ подл.

11443195.4012-006 98 03

Лист

15

Изм

Лист

докум.

Подп.

Дата

Копировал

Формат А4

---- Скрытые файлы ----

C:\WINDOWS\REGEDIT.EXE [ ]

C:\WINDOWS\SYSTEM\APPWIZ.CPL [ ]

C:\WINDOWS\SYSTEM\INETCPL.CPL [ ]

C:\WINDOWS\SYSTEM\JOY.CPL [ ]

C:\WINDOWS\SYSTEM\MAIN.CPL [ ]

C:\WINDOWS\SYSTEM\MLCFG32.CPL [ ]

C:\WINDOWS\SYSTEM\MMSYS.CPL [ ]

C:\WINDOWS\SYSTEM\MODEM.CPL [ ]

C:\WINDOWS\SYSTEM\NETCPL.CPL [ ]

C:\WINDOWS\SYSTEM\PASSWORD.CPL [ ]

C:\WINDOWS\SYSTEM\SYSDM.CPL [ ]

C:\WINDOWS\SYSTEM\TELEPHON.CPL [ ]

Пользователь MAIN_USER имеет право работать со всеми тремя каталогами на диске D:\ и диском A:\. Файлы операционной системы и прикладного ПО находятся на диске C:\. При этом запрещено создание, удаление и переименование любых файлов и каталогов диска C:. Данный пользователь по должностной инструкции может выполнять функции начальника канцелярии. Для обычного пользователя, который работает с документами только в личном выделенном каталоге на диске D:\ и не имеет доступа к сменным дискетам на диске A:\ ПРД выглядят следующим образом:

Пользователь: USER_1

Права администратора: Нет

Стартовый каталог: C:\

Задача для запуска: C:\WINDOWS\WIN.COM

Детальность журнала: Низкая

---- Диски ----

A: [RWCDNVMEGXO ]

C: [RWCDNVMEGXO A ]

D: [RWCDNVMEGXO A ]

---- Каталоги ----

A:\ [RWCDNVMEGXO 0]

C:\ [RW V GXO 0]

D:\ [RW V G O 0]

C:\ACCORD\ [RW V GXO S]

C:\DRWEB_~1\ [RW V GXO S]

C:\MSOFFICE\ [RW V GXO S]

C:\PROGRA~1\ [RW V GXO S]

C:\TEMP\ [RWCDNV G O S]

C:\WINDOWS\ [RW V GXO S]

D:\SECRET_1\ [RWCDNVMEG O S]

Подп.и дата

---- Файлы ----

C:\MSOFFICE\OFFICE\ПАНЕЛЬ~1\OFFICE.TBB

[RWCDNV O ]

C:\MSOFFICE\ШАБЛОНЫ\NORMAL.DOT

[RWCDNV O ]

C:\MSOFFICE\ШАБЛОНЫ\~$NORMAL.DOT

[RWCDNV O ]

C:\PROGRAM\COMMON F\MICROSOF\PROOF\MSSP2_EN.EXC

[RWCDNV XO ]

C:\PROGRAM\COMMON F\MICROSOF\PROOF\MSSP_RU.EXC

[RWCDNV XO ]

C:\SCANDISK.LOG

[RWCDNV O ]

C:\WINDOWS\*.INI

[R V O ]

C:\WINDOWS\HELP\*.TMP

[RWCDNV O ]

C:\WINDOWS\IOS.LOG

[RWCDNV O ]

C:\WINDOWS\MSAPPS\PROOF\CUSTOM.BAK

[RWCDNV O ]

C:\WINDOWS\MSAPPS\PROOF\CUSTOM.DIC

[RWCDNV O ]

Инв.№ дубл.

Взам.инв №

Подп.и дата

Инв.№ подл.

11443195.4012-006 98 03

Лист

16

Изм

Лист

докум.

Подп.

Дата

Копировал

Формат А4

C:\WINDOWS\MSAPPS\PROOF\~$CUSTOM.DIC

[RWCDNV O ]

C:\WINDOWS\RECENT\*.LNK

[RWCDNV O ]

C:\WINDOWS\SHELLI~1

[RWCDNV XO ]

C:\WINDOWS\SPOOL\PRINTERS\*.SHD

[RWCDNV O ]

C:\WINDOWS\SPOOL\PRINTERS\*.SPL

[RWCDNV O ]

C:\WINDOWS\SYSTEM.DA0

[RWCDNV O ]

C:\WINDOWS\SYSTEM.DAT

[RWCDNV O ]

C:\WINDOWS\TEMP\*.TMP

[RWCDNV O ]

C:\WINDOWS\TEMP\~$CUSTOM.DIC

[RWCDNV O ]

C:\WINDOWS\USER.DA0

[RWCDNV O ]

C:\WINDOWS\USER.DAT

[RWCDNV O ]

C:\WINDOWS\VDDASD.DAT

[RWCDNV O ]

C:\WINDOWS\WNBOOTNG.STS

[RWCDNV O ]

---- Скрытые файлы ----

C:\WINDOWS\REGEDIT.EXE [ ]

C:\WINDOWS\SYSTEM\APPWIZ.CPL [ ]

C:\WINDOWS\SYSTEM\INETCPL.CPL [ ]

C:\WINDOWS\SYSTEM\JOY.CPL [ ]

C:\WINDOWS\SYSTEM\MAIN.CPL [ ]

C:\WINDOWS\SYSTEM\MLCFG32.CPL [ ]

C:\WINDOWS\SYSTEM\MMSYS.CPL [ ]

C:\WINDOWS\SYSTEM\MODEM.CPL [ ]

C:\WINDOWS\SYSTEM\NETCPL.CPL [ ]

C:\WINDOWS\SYSTEM\PASSWORD.CPL [ ]

C:\WINDOWS\SYSTEM\SYSDM.CPL [ ]

C:\WINDOWS\SYSTEM\TELEPHON.CPL [ ]

СЗИ “АККОРД”обладает широким набором атрибутов доступа, которые позволяют администратору БИ реализовать любую непротиворечивую политику безопасности информации.

Подп.и дата

Инв.№ дубл.

Взам.инв №

Подп.и дата

Инв.№ подл.

11443195.4012-006 98 03

Лист

17

Изм

Лист

докум.

Подп.

Дата

Копировал

Формат А4