Подсистема разграничения доступа ACCESS-TM SHELL

Подсистема разграничения доступа предназначена для предотвращения несанкционированного доступа к работе «ФПСУ-IP» и базируется на использовании электронных TM-идентификаторов.

Функционирование «ФПСУ-IP» под управлением ACCESS-TM SHELL даёт возможность избежать случайного или умышленного вмешательства в работу «ФПСУ-IP», изменения конфигурационной информации, установки ключевых данных, просмотра регистрационных данных и т.п.

Подсистема ACCESS-TM SHELL является неотъемлемой частью «ФПСУ-IP». После установки подсистема разграничения доступа создаёт на компьютере замкнутую изолированную среду, в которой работает «ФПСУ-IP». Вмешательство в логику работы самого «ФПСУ-IP» и любая попытка использовать «ФПСУ-IP» не по назначению будет блокироваться. В то же время собственная среда «ФПСУ-IP» содержит широкий ряд возможностей по управлению «ФПСУ-IP» и его функциями, подключению драйверов используемого оборудования и дополнительного программного обеспечения разработчика, установке или смене ключевых данных, установке ключей «ФПСУ-IP/Клиентов», установке пароля и учёту и контролю используемых ТМ-идентификаторов. Как видно из схемы (см. рисунок ниже), подсистема состоит из следующих основных модулей:

•модуля контроля полномочий на старте «ФПСУ-IP»;

•модуля защиты данных на внутреннем накопителе от НСД;

•модуля разграничения полномочий пользователей;

Подсистема ACCESS-TM SHELL функционирует в три этапа:

Этап 1. При включении питания «ФПСУ-IP» после выполнения диагностических тестов BIOS\UEFI компьютера ACCESS-TM SHELL осуществляет запуск модуля контроля полномочий на старте, который проводит идентификацию пользователя (по предъявленному им ТМ-идентификатору) для выдачи разрешения на запуск. Разрешение на запуск «ФПСУ-IP» так же может выдать заранее активированная администратором «ФПСУ-IP» подсистема автоматического старта.

Этап 2. В случае успешной идентификации пользователя загружается модуль защиты от НСД данных на внутреннем накопителе, который будет защищать информацию от просмотра и модификации и пресекать попытку запуска на «ФПСУ-IP» операционной системы со съемного носителя. В случае неполадок в «ФПСУ-IP», внутренний накопитель данных с установленным на нем программным обеспечением «ФПСУ-IP» может быть переставлен на другую аппаратную платформу.

Этап 3. В случае успешного осуществления этапов 1 и 2 выполнение штатной загрузки аппаратного обеспечения будет продолжено и управление передано BIOS\UEFI. После загрузки всей операционной системы «ФПСУ-IP», модуль разграничения полномочий пользователей будет производить контроль за правом доступа пользователей на управление работой «ФПСУ-IP». Контроль доступа осуществляется путем выдачи приглашения на прижатие ТМ-идентификатора к считывателю touch-memory, принятии на основании полученной информации решения о допуске. Администратор, не предъявивший или предъявивший некорректный, незарегистрированный или несоответствующий запрошенной операции ТМ-идентификатор, к управлению допущен не будет.

ACCESS-TM SHELL осуществляет контроль и разграничение доступа локальных администраторов в соответствии с их логическим разделением на 4 различных класса. Таблица 1 отображает реализованные в комплексе «ФПСУ-IP» классы администраторов и доступные для них действия.

ПО «ФПСУ-IP» содержит модуль регистрации и учета электронных ТМ-идентификаторов, идентифицирующих его обслуживающий персонал.

Разграничение доступа допущенных лиц и контроль их полномочий при запуске «ФПСУ-IP» и управлении его работой осуществляется в соответствии с логическим разделением управляющих ФПСУ-IP лиц на две роли и пять условных классов, представленных в нижеследующей таблице.

Средства «ФПСУ-IP» позволяют регистрировать новые ТМ-идентификаторы по любому необходимому классу, кроме ТМ-идентификатора Главного администратора (она же является инсталляционным ТМ‑идентификатором). Если ТМ-идентификатор уже зарегистрирован (на данном «ФПСУ-IP»), он может быть проверен на корректность хранимой в ней информации, очищен или перерегистрирован по другому классу (кроме инсталляционного ТМ-идентификатора).

Роль/Класс

Разрешенные действия

Пользователь/

/Без идентификации

пользователя

•переинициализация ПДСЧ;

•отключение автозапуска.

Пользователь/

/Оператор

•запуск «ФПСУ-IP»;

•остановка режима фильтрации пакетов «ФПСУ-IP»;

•просмотр, включение и отключение оповещений о нарушениях правил межсетевого экрана;

•передача управления партнеру по горячему резервированию;

•удаление текущего соединения из таблицы состояний соединений;

•выключение питания «ФПСУ-IP» по кнопке «Power».

Администратор /Инженер

Все права класса Оператор и дополнительно:

•конфигурирование сетевых адаптеров;

•конфигурирование IP-адресов портов «ФПСУ-IP»;

•установка даты и времени;

•контроль целостности исполняемых программных модулей «ФПСУ-IP» (только по хранящимся на «ФПСУ-IP» контрольным суммам с выводом результата на экран);

•запуск процесса функционального самотестирования межсетевого экрана «ФПСУ-IP»;

•сохранение текущей конфигурации «ФПСУ-IP» на USB-flash;

•настройка общих параметров работы «ФПСУ-IP» (watchdog, аварийный перезапуск, переход на резервный, гашение экрана, запрет работы при сбоях внутреннего накопителя данных, не сообщать об устаревших ключах, контроль сети);

•просмотр регистрационной информации (статистики).

Администратор/ Администратор

Все права класса Инженер и дополнительно:

•восстановление с USB-носителя и редактирование конфигурации «ФПСУ‑IP»;

•включение режима «Запрет открытых соединений» в общих параметрах работы «ФПСУ-IP»;

•регистрация и предоставление полномочий на определенные действия удаленным администраторам;

•регистрация ТМ-идентификаторов;

•настройка подсистемы автоматического старта;

•установка пароля условно-постоянного действия на администрирование;

•установка ключей парно-выборочной связи;

•установка общесистемных ключей;

•установка ключевых данных для реализации защищенного обмена в режиме горячего резервирования;

•установка времени действия ключей;

•контроль целостности исполняемых программных модулей «ФПСУ-IP» (без ограничений на варианты проверки);

•установка изменений и дополнений к программным модулям «ФПСУ-IP»;

•контроль целостности конфигурации «ФПСУ-IP».

Администратор /Главный

администратор

Все права класса Администратор и дополнительно:

•выдача на USB-носитель системного журнала статистики;

•переустановка программного обеспечения «ФПСУ-IP» со специального средства восстановления (USB-носителя).