सूचना सुरक्षा उपकरण और क्रैश कहां करना है

प्रस्तावना

प्रिय हब्रवचन को प्रणाम।
हब्रहाब्र पर, खोज के अनुसार, अनधिकृत पहुंच (एनएसडी) से सूचना सुरक्षा उपकरणों (आईएसएस) का उल्लेख दुर्लभ है। उदाहरण के लिए, डलास के अनुरोध पर , मुझे 26 विषय और 2 प्रश्न मिले, इन सभी में, केवल एक विषय विशेष रूप से सेंट पीटर्सबर्ग फर्म कॉन्फिडेंट एलएलसी के एनएसडी डलास लॉक से SZI द्वारा उल्लेख किया गया था। अन्य तरीकों से, चित्र समान है। इस पोस्ट में मैं उनके साथ काम करते समय इस तरह के टूल और सबसे आम गलतियों / गलतफहमी का उपयोग करने का अनुभव साझा करना चाहूंगा।

कोर उपकरण

हमारी कंपनी में, ग्राहकों को सॉफ्टवेयर और हार्डवेयर सूचना सुरक्षा के लिए तीन विकल्प दिए जाते हैं:

• सिक्योरिटी कोड से सीक्रेट नेट
• NPC "मॉड्यूल" से गार्ड NT
• पहले उल्लिखित डलास लॉक

सभी उत्पाद लगभग विशेषताओं में समान हैं (विशेष रूप से डलास लॉक के संस्करण 7.7 में यूएसबी उपकरणों के नियंत्रण के आगमन के साथ), एक विशिष्ट उपकरण का उपयोग करने का प्रश्न या तो लक्ष्य प्रणाली में स्थापना की संभावना के आधार पर हल किया जाता है, या आपूर्तिकर्ताओं के साथ संबंधों के स्तर के आधार पर।

स्थापित करने की क्षमता से, मैं एसपीआई की वास्तुकला में अंतर और हार्डवेयर की उपलब्धता के लिए आवश्यकताओं को समझता हूं। उदाहरण के लिए, डलास लॉक (या एनटी प्रहरी) बूट स्टेज पर कंप्यूटर नियंत्रण को स्वीकार करता है, ऑपरेटिंग सिस्टम को शुरू करने से रोकता है जब तक कि उपयोगकर्ता एक पासवर्ड दर्ज नहीं करता है और एक पहचानकर्ता प्रस्तुत करता है। इस तंत्र के कार्यान्वयन में अंतर यह है कि एनटी सेंटिनल इसके लिए एक पीसीआई विस्तार कार्ड का उपयोग करता है, जिसे पीसी के अंदर स्थापित किया जाना चाहिए (यह नए संस्करणों में आवश्यक नहीं है, यह संस्करण 2.5 में भी कहा गया था, लेकिन किसी अन्य एसपीआई का उपयोग करना आसान नहीं था )। तदनुसार, उदाहरण के लिए, लैपटॉप पर डलास लॉक स्थापित किया गया था - विश्वसनीय बूट का संपूर्ण कार्यान्वयन पूरी तरह से सॉफ्टवेयर है।

आपूर्तिकर्ताओं के साथ संबंधों के स्तर के तहत "पुनर्विक्रय का संभावित प्रतिशत" पढ़ना चाहिए। हाल ही में, "तकनीकी सहायता की गुणवत्ता", "ऑपरेशन में आसानी" जैसे बिंदुओं में अधिकारियों को समझाना संभव हुआ है।

आवेदन

लगभग सभी आदेशों में स्थानीय कार्यस्थानों (AWS) के प्रमाणीकरण की आवश्यकता होती है। तदनुसार, सुरक्षा सॉफ़्टवेयर के ऑनलाइन संस्करण शायद ही कभी उपयोग किए जाते हैं। स्टैंड-अलोन संस्करणों में, सब कुछ सरल है - सीक्रेट नेट एक बहुत ही सुविधाजनक, सरल और सहज कॉन्फ़िगरेशन के लिए पसंदीदा है - विंडोज घटकों (स्नैप-इन कंसोल), पूर्ण अभिगम नियंत्रण में पूर्ण एकीकरण। दूसरे स्थान पर एनटी प्रहरी है - कॉन्फ़िगरेशन अधिक जटिल है और अनिवार्य अभिगम नियंत्रण का तंत्र उपयोगकर्ताओं के लिए कुछ हद तक अविश्वसनीय है। संस्करण 7.5 के संबंध में डलास लॉक, यूएसबी उपकरणों के नियंत्रण की कमी के कारण बहुत कम इस्तेमाल किया गया था। संस्करण 7.7 के आगमन के साथ, स्थिति बदल जाएगी - मूल्य नीति के कारण कम से कम नहीं।

नेटवर्क संस्करण में (क्रमशः, हम केवल गुप्त नेट और डलास लॉक पर विचार करते हैं) स्थिति विपरीत है। और कम सरल। एक तरफ, सीक्रेट नेट की सेटिंग्स की सुविधा दूर नहीं हुई है। हां, और सक्रिय निर्देशिका में एम्बेड करना, ओएस के तंत्र के माध्यम से काम करना काफी सरल और समझ में आता है। दूसरी ओर, नेटवर्क संस्करण की सभी विशेषताएं (विशेष रूप से, सिक्योरिटी सर्वर, सीक्रेट नेट शब्दावली के अनुसार) में दूरस्थ लॉग संग्रह शामिल है, जबकि डलास लॉक सुरक्षा प्रशासक वर्कस्टेशन प्रत्येक जुड़े क्लाइंट के लिए सभी सुरक्षा सेटिंग्स के दूरस्थ हेरफेर की अनुमति देता है। अक्सर यह SZI की पसंद में एक निर्णायक कारक होता है। एक बार मुझे ग्राहक के प्रशासक से बहुत आश्चर्य और निराशा के साथ सुनना पड़ा जब उसने अपनी अद्यतन संपत्ति देखी। दुर्भाग्य से, ग्राहक Informzashchita से बंधा हुआ है और कॉन्फिडेंट उत्पाद को खरीदना असंभव था।

समस्याओं

किसी विशेष एसआईएस के संचालन के सिद्धांतों की असावधानी या गलतफहमी के कारण कई त्रुटियां उत्पन्न होती हैं। यह स्पष्ट है कि एक प्रमाण पत्र / गाइड रूसी लोकतंत्र के पिता को बचाएगा , स्थिति को हल करने में मदद करेगा, लेकिन रक्षा प्रणाली के इंटीग्रेटर को कॉल करना अक्सर आसान होता है। स्वाभाविक रूप से, समस्या ठीक हो जाएगी - लेकिन समय बर्बाद हो गया है। ग्राहक और इंटीग्रेटर दोनों। मैं व्यक्तिगत अनुभव साझा करना चाहता हूं जो सबसे आम उपयोगकर्ता शिकायतों को हल करने में मदद कर सकता है।

चलिए शुरू करते हैं।

गुप्त जाल

पसंदीदा - वह हर जगह पसंदीदा है

स्थापित SZI की लगभग मौलिक संपत्ति की अज्ञानता के कारण कई समस्याएं उत्पन्न होती हैं - सभी फ़ोल्डर्स को हमेशा फ़ाइल सिस्टम में अवर्गीकृत किया जाता है, और सत्र गोपनीयता के वर्तमान स्तर के साथ फाइलें, जो पॉप-अप विंडो में जांच की जा सकती हैं:


अक्सर ऑफिस सूट (वर्ड, एक्सेल) की इनऑपरिबिलिटी की समस्या होती है। वैसे, यह मत भूलो कि SZI OpenOffice.org के साथ काम नहीं करता है। त्रुटियां बहुत भिन्न हो सकती हैं, लेकिन इसका कारण सभी के लिए समान है - आधिकारिक संचालन के लिए आवश्यक फ़ोल्डर्स अनिवार्य रूप से अभिगम नियंत्रण के लिए सही ढंग से कॉन्फ़िगर नहीं किए गए थे। फ़ोल्डर की पूरी सूची प्रलेखन में दी गई है, और विशिष्ट समस्याओं का निदान हमेशा सीक्रेट नेट लॉग के माध्यम से किया जा सकता है - लॉग में किसी भी कार्यक्रम की कार्रवाई के बारे में जानकारी दिखाई देती है। फ़ाइलों और फ़ोल्डरों को क्रेडेंशियल मार्क असाइन करते समय, यह याद रखना चाहिए कि किसी विशेष वर्कस्टेशन के लिए फ़ोल्डर का हस्ताक्षर स्टैम्प अधिकतम स्वीकार्य होना चाहिए, क्योंकि सीक्रेट नेट आपको फ़ोल्डर में किसी भी फाइल को स्टोर करने की अनुमति देता है जिसमें हस्ताक्षर स्टैम्प फ़ोल्डर के हस्ताक्षर स्टैम्प से अधिक नहीं है । तदनुसार, अगर माइक्रोसॉफ्ट वर्ड एक गुप्त सत्र में चल रहा है, तो ऑटोसवे फाइलें लिखने के लिए, इसे एक विशिष्ट फ़ोल्डर पर "गुप्त" हस्ताक्षर की आवश्यकता है।

ऐसी स्थितियां हैं जब सॉफ़्टवेयर को "गुप्त नहीं" के अलावा अन्य मोड में स्थापित किया जाता है। बेशक, यह एक गैर-गुप्त सत्र में प्रवेश करने और चुनने के लायक है ताकि सब कुछ काम करे:


इस मामले में जब कार्य केंद्र पर यूएसबी फ्लैश ड्राइव का उपयोग करने की अनुमति है, तो फ़ोल्डर्स में छंटनी की गई बड़ी मात्रा में डेटा को कॉपी करना संभव नहीं हो सकता है। यहां सब कुछ समान है - नव निर्मित फ़ोल्डर अवर्गीकृत हो गया है, और फ़ाइलें स्वचालित रूप से वर्तमान हस्ताक्षर स्टैम्प प्राप्त करती हैं। यदि फ्लैश ड्राइव का उपयोग करने से मना किया जाता है, तो जब आप ऐसे पीसी को कनेक्ट करने का प्रयास करते हैं, तो इसे ब्लॉक किया जाता है - इसके लिए "हार्ड" सेट किए गए दो चयनित पैरामीटर जिम्मेदार हैं:


यदि उपयोगकर्ता लगातार कंप्यूटर के धीमे संचालन के बारे में शिकायत करते हैं, और संगठन कास्परस्की एंटी-वायरस का उपयोग करता है, तो आपको संस्करण की जांच करनी चाहिए - अक्सर संस्करण 6.0.3 गुप्तनेट 5.x के साथ असंगत है। तो निश्चित रूप से ब्रेक गायब हो जाएंगे:


और अंत में, थोड़ा ट्विकिंग उपयोगकर्ताओं के जीवन को सरल बना सकता है और उनकी नसों को बचा सकता है यदि आप रजिस्ट्री शाखा HKLM \ System \ CurrentControlSet \ Services \ SNMC5xx \ Params (5.x संस्करणों के लिए) को देखते हैं, जहां आप दो स्ट्रिंग पैरामीटर पा सकते हैं - MessageBoxSuppression (और) दूसरा बायरड) है, जहां फ़ाइल एक्सटेंशन या फ़ोल्डर्स को इंगित किया जाता है जिसके लिए संसाधन गोपनीयता श्रेणी को बढ़ाने के बारे में संवाद बॉक्स प्रदर्शित नहीं किए जाएंगे।

प्रहरी एन.टी.

ऐसा करने के लिए, समस्याएं बहुत कम आम हैं (कम से कम हमारे ग्राहकों के बीच), जो अधिक उपयोगकर्ता के अनुकूल सुरक्षा तंत्र का संकेत दे सकती हैं।

इस सॉफ़्टवेयर के मामले में गलतफहमी प्रत्येक आवेदन की गोपनीयता के स्तर को अलग से चुनने की आवश्यकता और मानक कंडक्टर को किसी भी अधिकार को सौंपने की अक्षमता के कारण है। तदनुसार, अगर AWP ने USB फ्लैश ड्राइव पंजीकृत किया है और वे गुप्त हैं, तो उन्हें एक्सप्लोरर के साथ खोलने का प्रयास एक एक्सेस त्रुटि का परिणाम होगा। आपको स्टार्टअप पर फ्लैश ड्राइव की सुरक्षा के लिए सहिष्णुता टिकट का चयन करके स्थापित फ़ाइल प्रबंधक का चयन करना चाहिए।

इसके अलावा, यदि आप किसी वर्ड / एक्सेल डॉक्यूमेंट को खोलते हैं, तो पहले प्राइवेसी लेबल को चुनने के लिए विंडो दिखाई देती है, और फिर संबंधित एडिटर की विंडो बिना मांगे डॉक्यूमेंट के सामने आती है - यह सामान्य है। आपको कार्यालय अनुप्रयोग का उपयोग करके फिर से फ़ाइल को खोलना चाहिए।

डलास ताला

जैसा कि प्रहरी के मामले में, बहुत कम त्रुटियां हैं - पासवर्ड फिट नहीं हुए, लॉगिन विंडो से "गोपनीयता श्रेणी" पैरामीटर गायब हो गया और इलेक्ट्रॉनिक पहचानकर्ता को बांधने की त्रुटि हुई।

पहली त्रुटि दो पासवर्डों के संभावित उपयोग से संबंधित है - डलास लॉक और विंडोज के लिए, आप यादृच्छिक पासवर्ड सहित विभिन्न पासवर्ड सेट कर सकते हैं (उदाहरण के लिए, व्यवस्थापक द्वारा पासवर्ड बदलना)। इस स्थिति में, विंडोज वेलकम विंडो लोड करने के बाद, आप डलास लॉक पासवर्ड दर्ज कर सकते हैं और SZI और OS पासवर्ड के गैर-संयोग के लिए संवाद में "ओके" पर क्लिक करें, विंडोज उपयोगकर्ता पासवर्ड दर्ज करें और "डलास लॉक में उपयोग करें" चेकबॉक्स की जांच करें।

दूसरा सत्र गर्दन के लिए डिफ़ॉल्ट छिपे हुए हस्ताक्षर बॉक्स के साथ जुड़ा हुआ है। ऐसा होता है कि उपयोगकर्ता इसके बारे में भूल जाते हैं - और फिर शिकायत करते हैं कि वे चिपबोर्ड पर हस्ताक्षर की मोहर के साथ फ़ोल्डर में भी नहीं जा सकते।

यदि यह ऑपरेशन व्यवस्थापक के लिए किया जाता है, या यदि उपयोग किया गया टोकन संस्करण के लिए उपयुक्त नहीं है, तो इलेक्ट्रॉनिक पहचानकर्ता को नहीं जोड़ा जा सकता है। तो, संस्करण 7.5 में, eToken 64k के साथ eToken RTE ड्राइवर लागू है। उदाहरण के लिए, लंबे समय तक चलने वाला ईकेन पीकेआई काम नहीं करेगा, साथ ही ईटोकन 72k जावा भी।

अंतभाषण

मुझे उम्मीद है कि यह पोस्ट समुदाय के लिए उपयोगी होगी या सिर्फ जानकारीपूर्ण होगी। आपका ध्यान के लिए धन्यवाद!