Laboratoriearbeid

Emne: Differensiering av tilgangsrettigheter på nettverket, delt diskplass på lokalnettet

Mål: mestre teknikkene for å utveksle filer mellom brukere av et lokalt datanettverk.

Teoretisk informasjon for laboratoriearbeid

Hovedenhetene for rask overføring av informasjon over lange avstander er i dag telegraf, radio, telefon, fjernsynssender, telekommunikasjonsnettverk basert på datasystemer.

Overføring av informasjon mellom datamaskiner har eksistert siden starten av datamaskiner. Den lar individuelle datamaskiner jobbe sammen, løse ett problem ved å bruke flere datamaskiner, dele ressurser og løse mange andre problemer.

Under datanettverk forstå komplekset av maskinvare og programvare designet for utveksling av informasjon og brukertilgang til vanlige nettverksressurser.

Hovedformålet med datanettverk er å gi brukere delt tilgang til informasjon (databaser, dokumenter osv.) og ressurser (harddisker, skrivere, CD-ROM-stasjoner, modemer, tilgang til det globale nettverket osv.).

Nettverksabonnenter - objekter som genererer eller forbruker informasjon.

Nettverksabonnenter kan være individuelle datamaskiner, industriroboter, CNC-maskiner (numerisk styrte maskiner) etc. Enhver abonnent av nettverket er koblet til stasjonen.

Stasjon – utstyr som utfører funksjoner knyttet til overføring og mottak av informasjon.

For å organisere samspillet mellom abonnenter og stasjonen, kreves det et fysisk overføringsmedium.

Fysiske medier - kommunikasjonslinjer eller rom der elektriske signaler forplanter seg og dataoverføringsutstyr.

En av hovedkarakteristikkene til kommunikasjonslinjer eller kanaler er dataoverføringshastigheten (båndbredden).

Dataoverføringshastighet - antall biter med informasjon som overføres per tidsenhet.

Vanligvis måles datahastigheter i bits per sekund (bps) og multipler av Kbps og Mbps.

Forholdet mellom måleenheter: 1 kbps = 1024 bit/s; 1 Mbps = 1024 Kbps; 1 Gbps = 1024 Mbps.

Et kommunikasjonsnett er bygget på grunnlag av det fysiske overføringsmediet. Dermed er et datanettverk en samling av abonnentsystemer og et kommunikasjonsnettverk.

Typer nettverk.Av typen datamaskiner som brukes, er dethomogen ogheterogene nettverk ... Heterogene nettverk inneholder programvareinkompatible datamaskiner.

På territoriell basis er nettverk delt inn i lokale og global.

Hoved kommunikasjonsnettverkskomponenter:

sender;

mottaker;

meldinger (digitale data av et bestemt format: databasefil, tabell, svar på en forespørsel, tekst eller bilde);

overføringsmidler (fysisk overføringsmedium og spesialutstyr som gir informasjonsoverføring).

Lokalnettverkstopologi. Topologien til et datanettverk forstås vanligvis som den fysiske plasseringen av datamaskinene i nettverket i forhold til hverandre og måten de er forbundet med linjer.

Topologien bestemmer kravene til utstyret, typen kabel som brukes, metodene for utvekslingskontroll, driftssikkerheten, muligheten for å utvide nettverket. Det er tre hovedtyper av nettverkstopologi: buss, stjerne og ring.

Buss (buss), der alle datamaskiner er koblet parallelt til én kommunikasjonslinje, og informasjon fra hver datamaskin overføres samtidig til alle andre datamaskiner. I henhold til denne topologien opprettes et peer-to-peer-nettverk. Med en slik tilkobling kan datamaskiner overføre informasjon kun én etter én, siden det kun er én kommunikasjonslinje.

Fordeler:

enkelt å legge til nye noder til nettverket (dette er mulig selv mens nettverket kjører);

nettverket fortsetter å fungere selv om individuelle datamaskiner er ute av drift;

rimelig nettverksutstyr på grunn av den utbredte bruken av en slik topologi.

Ulemper:

kompleksiteten til nettverksutstyret;

vanskeligheten med å diagnostisere en funksjonsfeil i nettverksutstyret på grunn av det faktum at alle adaptere er koblet parallelt;

et brudd i kabelen medfører svikt i hele nettverket;

begrensning på maksimal lengde på kommunikasjonslinjer på grunn av at signaler under overføring svekkes og ikke gjenopprettes på noen måte.

Stjerne, der andre perifere datamaskiner er koblet til en sentral datamaskin, og hver av dem bruker sin egen separate kommunikasjonslinje. All informasjonsutveksling skjer utelukkende gjennom en sentral datamaskin, som bærer en svært stor belastning, derfor er den kun beregnet på nettverksvedlikehold.

Fordeler:

feil på en perifer datamaskin påvirker ikke på noen måte funksjonen til resten av nettverket;

enkelheten til det brukte nettverksutstyret;

alle tilkoblingspunkter er samlet på ett sted, noe som gjør det enkelt å overvåke driften av nettverket, lokalisere nettverksfeil ved å koble fra visse perifere enheter fra senteret;

ingen demping av signaler forekommer.

Ulemper:

svikt på den sentrale datamaskinen gjør nettverket helt uvirksomt;

streng begrensning av antall perifere datamaskiner;

betydelig kabelforbruk.

Ringe, der hver datamaskin alltid overfører informasjon til bare én datamaskin, den neste i kjeden, og mottar informasjon kun fra den forrige datamaskinen i kjeden, og denne kjeden er lukket. En funksjon ved ringen er at hver datamaskin gjenoppretter signalet som kommer til den, så signaldempingen i hele ringen spiller ingen rolle, bare dempingen mellom nabodatamaskiner er viktig.

Fordeler:

det er enkelt å koble til nye noder, selv om du må suspendere nettverket for dette;

et stort antall noder som kan kobles til nettverket (over 1000);

høy overbelastningsmotstand.

Ulemper:

feil på minst én datamaskin forstyrrer nettverket;

et brudd i kabelen på minst ett sted forstyrrer driften av nettverket.

I noen tilfeller, når du designer et nettverk, brukes en kombinert topologi. For eksempel, tre(tre) er en kombinasjon av flere stjerner.

Hver datamaskin som opererer på et lokalt nettverk må ha nettverkskort (nettverkskort). Funksjonen til nettverksadapteren er å sende og motta signaler fordelt over kommunikasjonskabler. I tillegg må datamaskinen være utstyrt med et nettverksoperativsystem.

Ved utforming av nettverk brukes følgende typer kabler:

uskjermet tvunnet par. Den maksimale avstanden som datamaskiner koblet til med denne kabelen kan plasseres når 90 m. Informasjonsoverføringshastighet - fra 10 til 155 Mbit / s; skjermet tvunnet par. Informasjonsoverføringshastighet - 16 Mbit / s i en avstand på opptil 300 m.

koaksialkabel. Avviker i høyere mekanisk styrke, støyimmunitet og lar informasjon overføres over en avstand på opptil 2000 m med en hastighet på 2-44 Mbit / s;

Et ideelt overføringsmedium, det påvirkes ikke av elektromagnetiske felt, det lar informasjon overføres over en avstand på opptil 10 000 m med en hastighet på opptil 10 Gbit / s.

Konseptet med globale nettverk. Globalt nettverk- dette er sammenslutninger av datamaskiner plassert på avstand for felles bruk av verdens informasjonsressurser. I dag er det mer enn 200 av dem i verden. Den mest kjente og mest populære av dem er Internett.

I motsetning til lokale nettverk har ikke wide area-nettverk noen enkelt kontrollsenter. Nettverket er basert på titalls og hundretusenvis av datamaskiner koblet sammen med ulike kommunikasjonskanaler. Hver datamaskin har en unik identifikator, som lar deg "rute til den" for levering av informasjon. Vanligvis kombinerer et globalt nettverk datamaskiner som fungerer i henhold til forskjellige regler (som har forskjellige arkitekturer, systemprogramvare, etc.). Derfor brukes gatewayer til å overføre informasjon fra en type nettverk til en annen.

Gatewayer - dette er enheter (datamaskiner) som tjener til å kombinere nettverk med helt andre utvekslingsprotokoller.

Utvekslingsprotokoll – det er et sett med regler (avtale, standard) som definerer prinsippene for datautveksling mellom forskjellige datamaskiner på nettverket.

Protokoller er konvensjonelt delt inn i grunnleggende (lavere nivå), som er ansvarlige for overføring av informasjon av enhver type, og applikasjoner (høyere nivå), som er ansvarlig for funksjonen til spesialiserte tjenester.

Hoveddatamaskinen i nettverket, som gir tilgang til en felles database, gir deling av I/O-enheter og brukerinteraksjon kalles server .

En nettverksdatamaskin som bare bruker nettverksressurser, men ikke gir ressursene sine til nettverket selv, kalles klient(ofte også kalt arbeidsstasjon).

For å jobbe i det globale nettverket må brukeren ha riktig maskinvare og programvare.

Programvare kan deles inn i to klasser:

serverprogrammer som er plassert på en nettverksnode som betjener en brukers datamaskin;

klientprogrammer som ligger på brukerens datamaskin og bruker serverens tjenester.

Globale nettverk gir brukerne en rekke tjenester: e-post, ekstern tilgang til hvilken som helst datamaskin på nettverket, søk etter data og programmer, og så videre.

Innholdet i arbeidet:

Oppgave nummer 1.

Opprett en mappe på Exchanger 403 under navnet Mail_1 (nummeret i navnet tilsvarer nummeret til datamaskinen din).

Bruke et tekstredigeringsprogramOrd eller Notisblokklage et brev til klassekamerater.

Lagre denne teksten i Mail_1-mappen på datamaskinen din i letter1-filen.dok, hvor 1 er datamaskinnummeret.

Åpne mappen på en annen datamaskin, for eksempel Mail_2 og kopier filbrevet1 fra mappen Mail_1 til den.

I Mail_1-mappen din, les brev fra andre brukere, for eksempel letter2. Legg svaret ditt i dem.

Gi nytt navn til filen bokstav2.dokå arkivere brev2_svar1.dok

Flytt fil bokstav2_svar1.doktil Mail _2-mappen og slett den fra mappen din

Les meldinger fra andre brukere i mappen din og gjenta trinn 5-8 for dem.

Oppgave nummer 2. Svar på spørsmålene:

Angi hovedformålet med datanettverket.

Indiker et objekt som er abonnent på nettverket.

Angi hovedkarakteristikkene til kommunikasjonskanaler.

Hva er et lokalt nettverk, et globalt nettverk?

Hva menes med en lokal nettverkstopologi?

Hva er de forskjellige typene LAN-topologier?

Beskriv kort topologien "buss", "stjerne", "ring".

Hva er en utvekslingsprotokoll?

Løs problemet. Maksimal dataoverføringshastighet i det lokale nettverket er 100 Mbps. Hvor mange sider med tekst kan overføres på 1 sekund hvis 1 side med tekst inneholder 50 linjer og hver linje inneholder 70 tegn

Oppgave nummer 3. Lag en konklusjon om laboratoriearbeidet som er utført:

Adgangskontroll.

Et automatisert system, avhengig av dets kompleksitet og utførte oppgaver, kan plasseres i ett, to, tre, etc. rom, etasjer, bygninger. På grunn av forskjellen i funksjonsansvar og arbeid med ulike dokumenter er det nødvendig å sikre avgrensningen av brukernes tilgang til sine arbeidsplasser, utstyr og informasjon. Dette sikres ved plassering av brukernes arbeidsplasser i separate rom, lukket av ulike typer låser på inngangsdørene med sikkerhetsalarmsensorer installert på dem, eller ved å bruke et spesielt automatisk adgangskontrollsystem til lokalene ved bruk av brikker eller kort med en individuell kode til eieren registrert i minnet.

Differensiering av tilgang i et automatisert system består i å dele informasjonen som sirkulerer i det i deler og organisere tilgang til den for tjenestemenn i samsvar med deres funksjonelle plikter og fullmakter. Oppgaven med en slik avgrensning av tilgang til informasjon er å redusere antallet tjenestemenn som ikke er knyttet til den i utførelsen av sine funksjoner, d.v.s. beskyttelse av informasjon fra en inntrenger blant legitime brukere.

Hovedoppgaven med kontroll og differensiering av tilgang (PCRD) er blokkering av uautorisert, kontroll og avgrensning av autorisert tilgang til informasjon som skal beskyttes. Samtidig bør avgrensningen av tilgang til informasjon og programvare for behandlingen av den utføres i samsvar med funksjonsansvar og myndighet til tjenestemenn-brukere, servicepersonell og arbeidsledere.

Det grunnleggende prinsippet for konstruksjonen av PCRD er at bare slike referanser til informasjon er tillatt og utført, som inneholder tilsvarende tegn på tillatte krefter. For disse formålene utføres identifikasjon og autentisering av brukere, enheter, etc., delingen av informasjon og funksjoner for behandlingen i samsvar med de etablerte kravene for differensiering av tilgang, installasjon og oppføring av brukerrettigheter.

Oppdelingen av informasjon og funksjonene til behandlingen utføres vanligvis på følgende grunnlag:

I henhold til graden av betydning;

Etter graden av hemmelighold;

Av funksjonene som utføres av brukere, enheter;

Ved navn på dokumentene;

Etter typer dokumenter;

Etter datatype;

Ved navn på volumer, filer, arrays, poster;

Etter brukernavn;

Etter funksjoner for informasjonsbehandling: lesing, skriving, utførelse;

Innen tiden på dagen.

Tatt i betraktning at tilgang utføres fra ulike tekniske midler, er det mulig å starte differensiering ved å avgrense tilgang til tekniske midler ved å plassere dem i separate rom. Alle forberedende funksjoner for vedlikehold av utstyr, reparasjon, vedlikehold, omstart av programvare og andre bør være teknisk og organisatorisk atskilt fra hovedoppgavene til systemet. Komplekset av automatiseringsverktøy og organiseringen av vedlikeholdet bør bygges som følger:

Vedlikehold av IS under drift bør utføres av spesielt teknisk personell uten tilgang til informasjonen som skal beskyttes;

Informasjonssikkerhetsfunksjoner bør utføres av en spesiell enhet i organisasjonen som eier IS, datanettverk eller ACS;

Organiseringen av brukertilgang til IS-minnet bør gi muligheten til å avgrense tilgangen til informasjonen som er lagret i den, med en tilstrekkelig grad av detaljer og i samsvar med de angitte nivåene av brukerautoritet;

Registrering og dokumentasjon av teknologisk og operasjonell informasjon bør skilles.

Bruk av passordkoder, som er lagret i minnet til brukeren og IS, er mye brukt som personlige identifikatorer for implementering av avgrensning. For å hjelpe brukeren i systemer med økte krav, registreres store verdier av passordkoder på spesielle medier - elektroniske nøkler, tokens, smartkort, etc.

Den grunnleggende muligheten for differensiering i henhold til de spesifiserte parameterne bør gis av IS-prosjektet. Og den spesifikke avgrensningen i driften av IS etableres av forbrukeren og legges inn i systemet av hans enhet som er ansvarlig for informasjonssikkerheten.

For disse formålene, i utformingen av dataanlegg for å bygge IS-er, utføres følgende:

Utvikling av et operativsystem med evnen til å implementere differensiering av tilgang til informasjon lagret i minnet til en datamaskin, PC, server;

Isolering av tilgangsområder;

Dele databasen i grupper;

Kontrollprosedyrer for de oppførte funksjonene.

Utvikling og implementering av funksjonelle oppgaver for avgrensning og kontroll av tilgang til utstyr og informasjon både innenfor rammen av denne IS og ACS (nettverket) som helhet;

Utvikling av maskinvare for brukeridentifikasjon og autentisering;

Utvikling av programvareverktøy for kontroll og administrasjon av tilgangskontroll;

Utvikling av egen driftsdokumentasjon for midler for identifikasjon, autentisering, avgrensning og adgangskontroll.

Valget av spesifikke tegn på tilgangskontroll og kombinasjonene deres gjøres i samsvar med referansevilkårene ved utforming av programvare for et automatisert system.

Informasjonen som skal beskyttes må være plassert i ikke-overlappende minneområder. I alle disse områdene lagres et sett med informasjonsobjekter, som hver er underlagt beskyttelse. Beskyttelsen i dette tilfellet er redusert til at tilgangen til informasjonsobjektet utføres gjennom en enkelt bevoktet inngang. "Beskyttelse"-funksjonen inkluderer identifikasjon av brukeren ved navn (eller betinget nummer) og koden til det presenterte passordet. I tilfelle et positivt resultat av kontrollen, er det tillatt å gi ham adgang til informasjonen i samsvar med myndighetene som er tildelt ham. Disse prosedyrene utføres på hver brukerforespørsel: forespørsel, utstedelse av kommandoer, etc. For ikke å skrive inn et passord hver gang, er det praktisk å lagre det presenterte passordet på et spesielt fysisk medium (nøkkel, kort), som må settes inn av brukeren i et spesielt AWS-spor før du går inn i datasystemet. I tillegg, etter å ha fjernet mediet med passordet fra sporet, blokkeres inngangen til systemet umiddelbart.

Hvis kravene til beskyttelse av informasjon for et spesifikt system tillater bruk av et manuelt sett med et passord, er det nødvendig å sørge for at det presenterte passordet er i minnet til denne AWP når gjentatte anrop i prosessen med å arbeide med informasjon . Lagring i den sentrale datamaskinen er kun tillatt hvis den er knyttet til det betingede nummeret til den gitte AWP, dvs. alle påfølgende anrop i den sentrale datamaskinen må bare aksepteres for behandling med det betingede AWP-nummeret som den lagrede passordkoden ble presentert fra. På slutten av arbeidet, for å utelukke muligheten for uautorisert tilgang fra uautoriserte brukere, er det nødvendig å skrive inn riktig kommando fra AWS, i henhold til hvilken det tidligere presenterte og lagrede passordet slettes. Det skal vises en melding om sletting på brukerens AWS. For å sjekke den siste operasjonen, er det nyttig å gjenta en av de forrige samtalene uten passord og å bli overbevist om dette av den negative reaksjonen til datasystemet.

Hver systemadministrator måtte håndtere problemet med å gi tilgang i en eller annen form. Dette er den mest tidkrevende oppgaven, om enn på grunn av det store antallet ressurser og brukere som krever denne typen tilgang. Saken er sammensatt av den heterogene sammensetningen av ressursene. Dette kan være mapper på en filserver eller til og med individuelle filer, nettverksskrivere og utskriftskøer, databaser, Active Directory-objekter, Internett-ressurser osv. Til slutt er det nødvendig for ulike kategorier av brukere å ha ulike nivåer av tilgang til ressurser, f.eks. For eksempel har de samme brukerne rett til kun å få tilgang til databasen til referanse- og rettssystemet ("Garant", "Konsulent-Pluss", "Kode", "Din rett", etc.), mens andre er autorisert til å installere oppdateringer mottatt med abonnement.

Hver administrator løste dette problemet på sin egen måte: enten ved å bruke standardmetoder, handle "som lært", eller gjøre sine egne endringer i standardtilnærmingene. Mange artikler har blitt viet til dette problemet, for eksempel "Effektiv tilgangskontroll på Windows 2000 og NT-nettverk" av Randy Franklin Smith (). Jeg vil fortelle deg om en annen tilnærming til å løse dette vanskelige problemet.

"Hvordan de lærte"

Ris. 1. En standard tilnærming til å administrere tilgang til ressurser - AGLP

Standardtilnærmingen som Microsoft tilbyr i alle administrasjonskurs er forkortet til AGLP. Som du vet, står denne forkortelsen for "Konto - Global gruppe - Lokal gruppe - Tillatelser". Denne tilnærmingen er uttrykt i det følgende (se fig. 1).

Hver ressurs, med unntak av Active Directory-objekter, er plassert på en datamaskin. For å regulere tilgangen til denne ressursen opprettes lokale grupper på denne datamaskinen eller lokale domenegrupper i Active Directory-domenet. Bare disse lokale gruppene vises i listene over toleranser for objektene som utgjør ressursen. Antall lokale grupper tilsvarer antallet tilgangsnivåer som kreves for en gitt ressurs. Det er minst to slike nivåer: for ressursadministrasjon og til daglig bruk.

Det er mulig å inkludere brukere, hver enkelt individuelt, i objekttilgangslister, men dette er for komplisert. Du kan inkludere brukere i de aktuelle lokale gruppene, alt vil fungere, men dette alternativet er også langt fra ideelt. For det første går evnen til å sentralisere alle handlinger tapt. Du må gjøre dem for hvert domene separat, hvis objektene som utgjør ressursen er plassert på datamaskiner fra forskjellige domener. For det andre, når du flytter en ressurs til et annet domene (hvis du bruker lokale domenegrupper) eller til og med til en annen datamaskin (hvis du bruker lokale datamaskingrupper), må du gjøre for mange trinn, inkludert alle brukere i et annet sett av lokale grupper.

For å spare tid kan du handle annerledes. Sammen med lokale grupper, for å regulere tilgangen til en ressurs, opprette de tilsvarende globale gruppene, inkludere sistnevnte i de lokale, og for å gi tilgang gjøre brukere til medlemmer av de tilsvarende globale gruppene. Når du flytter en ressurs, reduseres all innsats for å gi tilgangstillatelser til objekter til nye lokale grupper og inkludere gamle globale grupper i dem, som forblir uendret. Resultatet er en kjede av relasjoner: konto - global gruppe - lokal gruppe - objekttillatelser.

Denne tilnærmingen er god, men det er ett problem: for å utføre sine offisielle oppgaver trenger brukeren tilgang til mange objekter, så han må inkluderes i flere globale grupper som regulerer tilgangen til disse objektene. Hvis referansevilkårene endres, må standard AGLP-tilnærmingen nøye revurdere brukerens gruppemedlemskap. Som regel koker alt i praksis ned til å legge til en bruker i nye grupper slik at han får tilgang til andre ressurser.

Som et resultat får brukere tilgang til både de ressursene som trengs på den nye plasseringen, og de som ikke lenger er nødvendige. Dette kan gi opphav til i det minste alle slags misforståelser: feilsletting av filer, utskrift på printer i andre enden av bygget osv. Konsekvensene kan bli enda mer triste, opp til lekkasje av konfidensiell informasjon.

For å unngå en slik utvikling av hendelser, når man endrer omfanget av en brukers ansvar, kreves det ikke bare å inkludere ham i de tilsvarende gruppene, men også å ekskludere ham fra andre grupper, medlemskap som ga ham rett til tilgang tidligere nødvendig ressurser. Full revisjon av en brukers gruppemedlemskap når jobbansvar endres er ikke lett og, innenfor standard AGLP-tilnærming, er det vanskelig å automatisere.

Mulige modifikasjoner av standardkretsen

Referansevilkårene for brukere bestemmer settet med ressurser de trenger med passende tilgangsnivå til ressurser og er vanligvis beskrevet av et spesielt normativt dokument for selskapet - stillingsbeskrivelse. Stillingen til den ansatte endres - stillingsbeskrivelsen endres, og den nye instruksen beskriver et nytt spekter av oppgaver som skal løses, som tilsvarer et sett med nødvendige ressurser med nødvendige tilgangsnivåer. I tillegg kan mange brukere inneha de samme stillingene styrt av en felles stillingsbeskrivelse. Derfor, hvis stillingene til ansatte er beskrevet i vårt informasjonssystem, for hver av dem vil et sett med ressurser med det nødvendige tilgangsnivået bli indikert, vil det etter det bare gjenstå å knytte brukere til stillinger som de vil arve de tilsvarende rettigheter og tillatelser.

Du kan opprette en brukerkonto for hver stilling og deretter kreve at ansatte logger seg på bedriftsnettverket med kontoen som tilsvarer stillingen. Da respekteres den tradisjonelle AGLP-tilnærmingen, men et annet grunnleggende prinsipp for informasjonssikkerhet respekteres ikke – prinsippet om ansvarsavgrensning. Det vil si, igjen, misforståelser er mulige: Når brudd begås ved hjelp av Windows-loggene, vil det ikke være mulig å fastslå hvem av de ansatte som har brutt reglene.

AGLP-ordningen foreslås endret til å omfatte stillingsbeskrivelser og tildeling av brukere til jobber. For å gjøre dette, er det nødvendig å forlenge kjeden av relasjoner nevnt ovenfor ved å legge til en lenke til, en mer global domenegruppe.

Det vil si at det følger:

• opprette globale grupper som tilsvarer stillingene;
• inkludere globale jobbgrupper i globale ressurstilgangskontrollgrupper. Settet med disse gruppene bestemmes av stillingsbeskrivelsene beskrevet i stillingsbeskrivelsen;
• inkludere brukere i grupper som tilsvarer deres posisjoner.

En kjede av relasjoner dannes: konto - global jobbgruppe - global ressurstilgangsgruppe - lokal ressurstilgangsgruppe - objekttillatelser. Dette kan skrives i form av forkortelsen AGGLP, se fig. 2.

For at denne ordningen skal være mulig, må Active Directory distribueres på bedriftsnettverket, og ikke i Windows NT-kompatibilitetsmodus (blandet modus tillater ikke nestet gruppemedlemskap, så de beskrevne trinnene er rett og slett ikke mulig), men i Windows 2000 native-modus eller Windows Server 2003-modus.

En annen begrensning: som beskrevet ovenfor, vil den foreslåtte tilnærmingen bare fungere innenfor et enkelt domene. Poenget er at bare andre globale domenegrupper fra samme domene og brukere fra samme domene har lov til å inkluderes i globale domenegrupper. Dette alternativet er ikke egnet for et nettverk med mange domener som er en del av den samme skogen (og hvis Active Directory kjører i Windows Server 2003-modus, da flere skoger koblet sammen med truster), er ikke dette alternativet egnet. Men ingenting hindrer deg i å bruke universelle grupper i stedet for globale domenegrupper. På grunn av restriksjoner på det tillatte nestede medlemskapet (en universell gruppe kan inkludere et globalt domene, men ikke omvendt), må det kreves universelle grupper i begge stillingene – både for tilgangskontroll og for stillingsbeskrivelser.

Dermed oppnås følgende mulighet for å regulere tilgangen til ressurser.

• For hver ressurs opprettes det lokale domenegrupper som tilsvarer ulike tilgangsnivåer til ressursen. Disse gruppene bør tildeles de nødvendige objekttillatelsene. I dette tilfellet er det ikke nødvendig med lokale grupper på datamaskiner, siden du kan gi tillatelser til å få tilgang til ressurser direkte til den lokale domenegruppen.
• For hver ressurs opprettes det universelle grupper for å regulere tilgangen til objekter. For hver lokal gruppe som tilsvarer et visst tilgangsnivå til objektet, opprettes en tilsvarende universell gruppe, som inngår i denne lokale gruppen.
• En universell gruppe dannes for hver stilling. Denne gruppen inngår i sammensetningen av de universelle gruppene som regulerer ressurstilgangen i henhold til stillingsbeskrivelsen.
• Brukerkontoer legges til universelle grupper i henhold til stillingen.

Den resulterende kjeden av relasjoner kan skrives som følger: konto - universell gruppe med posisjoner - universell tilgangsgruppe til en ressurs - lokal domenegruppe - tillatelser til å få tilgang til objekter. Denne kjeden kan betegnes med forkortelsen AUULP, se fig. 3.

AUULP-varianten har også sine ulemper. Universell gruppeinformasjon distribueres som en del av de globale katalogdataene, så å legge til et stort antall universelle grupper vil automatisk øke replikeringstrafikken. Når det gjelder behandlingen av disse dataene av domenekontrollere, bør det ikke være noen problemer fra denne siden - datakraften til datamaskiner som nå er i salg med en margin dekker de nødvendige behovene. Replikeringstrafikk er derimot en ekstra kostnadspost for en geografisk distribuert organisasjon, hvis individuelle undernett er koblet til hverandre via VPN ved bruk av offentlige kanaler.

Store mengder data vil imidlertid bli sendt på et tidspunkt da strukturen av grupper etter posisjoner innføres; Deretter genereres trafikk kun av dataendringer: endring av strukturen til universelle grupper knyttet til endringer i bemanningstabellen og stillingsbeskrivelser, og endringer i gruppemedlemskap knyttet til bevegelse av ansatte og personalomsetning.

Et mer alvorlig problem er knyttet til behovet for å differensiere rettighetene til å administrere den resulterende strukturen i et miljø med desentralisert administrasjon. Det er mulig å skille ut en spesiell gruppe administratorer som er autorisert til å administrere medlemskap i grupper som beskriver stillinger, og kreve at alle administratorer i feltet tar kontakt med disse autoriserte administratorene hver gang de går over fra en stilling til en stilling med brukere innenfor sitt ansvarsområde , men da blir resultatet et bedriftsnettverk med sentralisert ledelse. Det er mulig for alle lokale administratorer å gi tillatelse til å legge til/fjerne medlemmer på universelle grupper som beskriver posisjoner slik at de selv kan gjøre de nødvendige endringene, men da kan de ekskludere fra en slik gruppe "utenfor" brukere, det vil si brukere som er i ansvarssonen til en annen administrator.

For å unngå å gi feltadministratorene unødvendig fullmakt, foreslås det å innføre et annet nestnivå av grupper som styrer medlemskap i universelle stillingsbeskrivelsesgrupper, men for hver feltadministrator separat.

For hvert ansvarsområde til den "lokale" administratoren bør du:

• opprette en global gruppe (som regel inkluderer ansvarsområdet til lokale administratorer et hvilket som helst domene eller objekt - en organisasjonsenhet, derfor er manipulasjoner med globale domenegrupper tilstrekkelig for å jobbe innenfor en slik sone), tilsvarende den universelle gruppe som beskriver stillingen;
• å inkludere disse globale gruppene i de tilsvarende universelle gruppene;
• Autoriser lokale administratorer til å administrere medlemskap i disse globale gruppene. Imidlertid vil de kun kunne administrere medlemskapet i en slik gruppe for brukere fra deres ansvarsområde.

For nettverk med desentralisert kontroll foreslås således følgende relasjonsskjema: konto - "lokal" global domenegruppe - universell posisjonsgruppe - universell tilgangsgruppe til en ressurs - lokal domenegruppe - tillatelser til å få tilgang til objekter. Den tilsvarende forkortelsen er AGUULP, se ris. 4 .

Objektplassering og tilleggskontroll

Ytterligere spørsmål oppstår: hvor i strukturen til katalogtjenesten for å plassere de nødvendige objektene - bruker- og gruppekontoer, slik at den foreslåtte løsningen fungerer så effektivt som mulig, og hvilken ekstra kontroll som er mulig for de installerte innstillingene.

Plasser gjenstander slik at de er lette å finne under administrasjon. For å gjøre dette er det tilrådelig i et av domenene (siden universelle grupper brukes, kan det være et hvilket som helst domene i skogen) å lage en struktur av objekter - organisasjonsenheter som reproduserer organisasjonsstrukturen til bedriften. Innenfor de organisatoriske enhetene som tilsvarer virksomhetens administrative enheter, og bør plasseres universelle grupper tilsvarende stillinger.

I nettverk med sentralisert administrasjon kan du begrense deg til å lage en slik struktur. Hvis administrasjonen er desentralisert, bør det sammen med strukturen til universelle grupper som reproduserer strukturen til divisjoner, opprettes lignende strukturer av divisjoner som reproduserer den administrative strukturen, med globale grupper inkludert i dem som tilsvarer universelle grupper for stillinger, for hvert område. av ansvar for en egen administrator eller gruppe av administratorer.

I alle fall går informasjon om organisasjonsenheter og kontoene som finnes i dem inn i den globale katalogen og er tilgjengelig for alle datamaskiner på alle nettsteder i skogen, så dette arrangementet av grupper vil ikke påvirke systemytelsen.

Domenelokale grupper og deres tilsvarende universelle grupper som regulerer tilgang til ressurser bør plasseres i domener på en slik måte at de er plassert nær ressursen som disse gruppene regulerer tilgang til.

Ytterligere kontroll over alle innstillingene satt i rammeverket for implementeringen av AUULP / AGUULP-tilnærmingen er mulig ved å bruke gruppepolicyer. Hvis ressursen er et fast sett med mapper og/eller filer, anbefales det å kontrollere tillatelseslistene for disse mappene og filene ved å bruke gruppepolicy: delen Datamaskininnstillinger - Sikkerhetsinnstillinger - Filsystem. Det riktige gruppepolicyobjektet (GPO) må brukes på serveren som er vert for ressursen, men ikke påvirke de serverne som ikke påvirkes av denne innstillingen. Derfor er det tilrådelig å plassere denne GPO i det objektet - en organisasjonsenhet der denne serveren er direkte plassert, og i tillegg konfigurere en liste over tillatelser på GPO slik at innstillingen ikke påvirker andre servere som ligger her.

Nestede gruppemedlemskap kan også reguleres gjennom gruppepolicyer. Bare husk at disse retningslinjene bør gjelde for alle domenekontrollere, eller i det minste den som er infrastrukturveiviseren. De tilsvarende innstillingene gjøres i delen Datamaskininnstillinger - Sikkerhetsinnstillinger - Begrensede grupper:

• lokal domenegruppe som regulerer tilgang til ressursen - Medlemmer-innstillingen, aktiver bare den tilsvarende universelle gruppen;
• en universell gruppe som regulerer tilgang til en ressurs - medlem av innstillingen, aktiver bare den tilsvarende lokale domenegruppen;
• en universell gruppe som beskriver et sett med tilgangsrettigheter som kreves for å utføre jobboppgaver - innstilling Medlem av, aktivere de tilsvarende universelle gruppene som regulerer tilgangen til de nødvendige ressursene.

Den medfølgende kav rollespesifikke gruppemedlemskap i ressurstilgangsgrupper i form av Medlemsinnstillinger for universelle grupper som styrer tilgang til ressurser er vanskelig å konfigurere på grunn av deres store antall. Ingenting hindrer deg imidlertid i å gjøre ekstra innsats og sette opp slike kontroller også. Sett fra prinsippet om å minimere privilegier er det mer effektivt å sette Members-attributtet, siden det lar deg entydig indikere hvem som er inkludert i en gitt gruppe, mens Member of-attributtet bare lar deg sjekke om et gitt objekt er inkludert i den spesifiserte gruppen og inkludere den i de spesifiserte gruppene, i tillegg er sammensetningen av disse gruppene ikke begrensende.

I tillegg er det flere ting du bør huske på når du planlegger gruppepolicydesignet som implementerer tilleggskontroller for fil- og mappekontroll og gruppemedlemskap. Innstillingene i seksjonen Datamaskininnstillinger - Sikkerhetsinnstillinger - Filsystem fra forskjellige GPOer er oppsummert, og reglene for å løse konflikter under GPO-arv gjelder for hver enkelt fil eller mappe nevnt i denne seksjonen. Derfor kan de tilsvarende innstillingene konfigureres i enhver GPO som påvirker datamaskinen som inneholder ressursen. Fortrinnsvis er dette GPO som brukes sist på datamaskinen.

Samtidig overskrives innholdet i seksjonen Datamaskininnstillinger - Sikkerhetsinnstillinger - Begrensede grupper fullstendig, og bare innstillingene spesifisert i den sist brukte GPO vil tre i kraft. Derfor må følgende restriksjoner overholdes.

• I innstillingene til gruppepolicyen Datamaskininnstillinger - Sikkerhetsinnstillinger - Begrensede grupper, skal hele den sjekkede strukturen for gruppemedlemskap knyttet til gruppene til dette domenet vises.
• Det er uakseptabelt at de resulterende innstillingene i delen Datamaskininnstillinger - Sikkerhetsinnstillinger - Begrensede grupper vil være forskjellige for forskjellige domenekontrollere. Ellers vil synkronisering av data mellom domener når du prøver å bestemme gruppemedlemskap gi udefinerte resultater.

• Spesifiser datamaskininnstillinger - Sikkerhetsinnstillinger - Begrensede grupper i én og bare én GPO for hvert domene. Registrer der medlemskapsparametere i alle grupper som er opprettet i dette domenet.
• Koble denne GPO til alle objekter - organisasjonsenheter som inneholder domenekontrollere.
• Flytt denne GPO opp i listen over bindinger slik at den brukes sist og det er innstillingene som trer i kraft.

Hvis du spesifiserer Datamaskininnstillinger - Sikkerhetsinnstillinger - Begrensede grupper i flere GPOer, må du sørge for at innholdet i innstillingene alltid er det samme. Samtidig vil enhver gjenoppbygging være vanskelig og kan forårsake problemer hvis den nye staten glemmes å bli kopiert til en av de involverte GPOene.

Retten til å velge

Den foreslåtte tilnærmingen til å differensiere tilgang til nettverksressurser basert på jobbansvar eliminerer ikke behovet for å utføre mange manuelle operasjoner, spesielt i det innledende stadiet eller når du gjenoppbygger ressursstrukturen eller jobbstrukturen, når du må revidere både objekttillatelser og gruppepolicyer. , hvor en sjekk for flertrinns medlemskap settes i grupper. Lettelse kommer senere, når systemet begynner å fungere, og for å tildele de nødvendige rettighetene, er det nok å inkludere brukeren i gruppen som tilsvarer hans stilling.

Det kan være andre metoder som implementerer differensiering av tilgang basert på posisjoner til ansatte eller deres organisatoriske roller, som fra et funksjonelt synspunkt er det samme. For eksempel inkluderer Windows Server 2003 komponenten Authorization Manager, som implementerer en lignende tilnærming, men bare der, for å gi brukeren det nødvendige settet med rettigheter og tillatelser, brukes sett med skript i VBScript eller Jscript, hvorfra system-APIer er kalt det implementere arbeid med lister over tillatelser og gi systemrettigheter ... Hvis du bruker det, må du først utvikle de riktige scenariene, men med et passende sett med scenarier får du et garantert resultat.

Men hvis administratoren finner det vanskelig av en eller annen grunn å bruke skript i Authorization Manager (for eksempel Windows Server 2003 er ikke installert ennå eller Active Directory fortsatt kjører i Windows 2000 Native-modus), kan du bruke den foreslåtte AUULP-tilnærmingen eller kom på noe eget... Uansett ønsker jeg alle administratorer lykke til i vårt harde arbeid!

Alexey Sotsky- lærer ved treningssenteret, har MCSE, MCT sertifikater. Du kan kontakte ham på:

Krav til kunnskap og ferdigheter

Eleven skal vite:

• metoder for tilgangskontroll;

• tilgangskontrollmetoder gitt i veiledningsdokumentene til Statens tekniske kommisjon.

Studenten skal kunne:

• bruke tilgangskontrollmetoder.

Nøkkelbegrep

Nøkkelbegrep: Adgangskontrollmetoder.

Ved differensiering av tilgang etableres subjektets fullmakter (sett med rettigheter) for etterfølgende kontroll av autorisert bruk av informasjonssystemobjekter.

Sekundære termer

• Metoder for tilgangskontroll.

• Obligatorisk og diskret adgangskontroll.

Blokkdiagram over begreper

4.3.1 Metoder for tilgangskontroll

Etter å ha utført identifikasjon og autentisering, etablerer beskyttelsesdelsystemet autoriteten (settet med rettigheter) til subjektet for påfølgende kontroll av autorisert bruk av informasjonssystemobjekter.

Vanligvis er fagets autoritet representert av: en liste over ressurser, tilgjengelig for brukeren og tilgangsrettigheter til hver ressurs fra listen.

Det er følgende metoder for tilgangskontroll:

1. differensiering av tilgang etter lister;

2. bruk av mandatetableringsmatrisen;

3. differensiering av tilgang etter nivåer av hemmelighold og kategorier;

4. passordtilgangskontroll.

Når du differensierer tilgang i henhold til lister, angis korrespondanser: for hver bruker - en liste over ressurser og tilgangsrettigheter til dem eller for hver ressurs - en liste over brukere og deres tilgangsrettigheter til denne ressursen

Lister lar deg angi rettigheter med brukerspesifikk presisjon. Det er enkelt å legge til rettigheter her eller eksplisitt nekte tilgang. Lister brukes i sikkerhetsundersystemene til operativsystemer og databasestyringssystemer.

Et eksempel (Windows 2000 operativsystem) på tilgangskontroll etter lister for ett objekt er vist i figur 1.

Bruken av autorisasjonsmatrisen innebærer bruk av en tilgangsmatrise (autorisasjonstabell). I denne matrisen er radene identifikatorene til subjektene som har tilgang til informasjonssystemet, og kolonnene er objektene (ressursene) til informasjonssystemet. Hvert matriseelement kan inneholde navn og størrelse på den oppgitte ressursen, tilgangsrettigheten (lese, skrive osv.), en lenke til en annen informasjonsstruktur som spesifiserer tilgangsrettigheter, en lenke til et program som administrerer tilgangsrettigheter, etc.

Bilde 1

Denne metoden gir en mer enhetlig og praktisk tilnærming, siden all informasjon om potensene lagres i en enkelt tabell, og ikke i form av lister av ulike typer. Ulempene med matrisen er dens mulige besværlighet og suboptimalitet (de fleste cellene er tomme).

Et fragment av mandatetableringsmatrisen er vist i tabell 1.

Tabell 1

Differensiering av tilgang etter nivåer av hemmelighold og kategorier består i å dele ressursene til informasjonssystemet etter nivåer av hemmelighold og kategorier.

Ved differensiering etter hemmeligholdsnivå skilles det mellom flere nivåer, for eksempel: generell tilgang, konfidensiell, hemmelig, topphemmelig. Autoriteten til hver bruker er satt i samsvar med det maksimale hemmelighetsnivået han har tillatelse til. Brukeren har tilgang til alle data som har et sikkerhetsnivå (stempel) ikke høyere enn det angitte, for eksempel har en bruker som har tilgang til data "hemmelig" også tilgang til data "konfidensielt" og "offentlig tilgang".

Ved differensiering etter kategorier blir rangeringen til brukerkategorien satt og kontrollert. Følgelig er alle ressursene til informasjonssystemet delt inn i henhold til viktighetsnivåene, og brukerkategorien tilsvarer et visst nivå. Som et eksempel der brukerkategorier brukes, kan du vurdere operativsystemet Windows 2000, der standard sikkerhetsdelsystemet støtter følgende brukerkategorier (grupper): Administrator, Power User, User og Guest. Hver av kategoriene har et spesifikt sett med rettigheter. Bruken av brukerkategorier lar deg forenkle prosedyrene for å tildele brukerrettigheter gjennom bruk av gruppesikkerhetspolicyer.

Passordavgrensning representerer selvsagt bruken av metoder for å få tilgang til objekter med et passord. I dette tilfellet brukes alle metoder for passordbeskyttelse. Det er åpenbart at konstant bruk av passord skaper ulemper for brukerne og tidsforsinkelser. Derfor brukes disse metodene i eksepsjonelle situasjoner.

I praksis kombinerer de vanligvis ulike metoder for tilgangskontroll. For eksempel er de tre første metodene forbedret med passordbeskyttelse.

Differensiering av tilgangsrettigheter er et obligatorisk element i et beskyttet informasjonssystem. Husk at selv i US Orange Book ble følgende konsepter introdusert:

- vilkårlig tilgangskontroll;

- tvungen tilgangskontroll.

4.3.2 Obligatorisk og diskret tilgangskontroll

I GOST R 50739-95 "og i dokumentene fra Den russiske føderasjonens statlige tekniske kommisjon er to typer (prinsipper) tilgangskontroll definert:

• diskret tilgangskontroll;

• obligatorisk adgangskontroll.

Diskret kontroll tilgang er avgrensningen av tilgang mellom navngitte subjekter og navngitte objekter. Et emne med en viss tilgangsrett kan overføre denne retten til et hvilket som helst annet emne. Denne typen er organisert på grunnlag av å avgrense metoder ved lister eller ved å bruke en matrise.

- basert på sammenligning av konfidensialitetsetiketter for informasjon som finnes i objekter (filer, mapper, bilder) og offisiell tillatelse (innrømmelse) fra subjektet til informasjon på tilsvarende konfidensialitetsnivå.

Ved nærmere ettersyn kan du se at diskret tilgangskontroll ikke er noe annet enn tilfeldig tilgangskontroll (ifølge US Orange Book), og obligatorisk tilgangskontroll implementerer tvungen tilgangskontroll.

Konklusjoner om temaet

1. Definisjonen av kreftene (settet med rettigheter) til subjektet for påfølgende kontroll av den autoriserte bruken av objekter i informasjonssystemet utføres etter identifisering og autentisering av beskyttelsesdelsystemet.

2. Det er følgende metoder for tilgangskontroll:

• differensiering av tilgang etter lister;

• bruk av mandatetableringsmatrisen;

• differensiering av tilgang etter nivåer av hemmelighold og kategorier;

• passordtilgangskontroll.

1. Når du differensierer tilgang etter lister, angis korrespondanser: for hver bruker - en liste over ressurser og tilgangsrettigheter til dem, eller for hver ressurs - en liste over brukere og deres tilgangsrettigheter til denne ressursen.

2. Bruken av autorisasjonsmatrisen innebærer bruk av en tilgangsmatrise (autorisasjonstabell). I denne matrisen er radene identifikatorene til subjektene som har tilgang til informasjonssystemet, og kolonnene er objektene (ressursene) til informasjonssystemet.

Ved differensiering etter hemmeligholdsnivå skilles det mellom flere nivåer, for eksempel: generell tilgang, konfidensiell, hemmelig, topphemmelig. Autoriteten til hver bruker er satt i samsvar med det maksimale hemmelighetsnivået han har tillatelse til. Brukeren har tilgang til alle data som har et sikkerhetsnivå (stempel) som ikke er høyere enn det som er definert for ham.

3. Passorddifferensiering er basert på bruk av passord for å få tilgang til emner til objekter.

4. I GOST R 50739-95 " Datafasiliteter. Beskyttelse mot uautorisert tilgang til informasjon" og i dokumentene til Den russiske føderasjonens statlige tekniske kommisjon er to typer (prinsipper) tilgangskontroll definert: diskret tilgangskontroll og obligatorisk tilgangskontroll.

5. Diskret kontroll tilgang er avgrensningen av tilgang mellom navngitte subjekter og navngitte objekter.

6. Obligatorisk tilgangskontroll- basert på sammenligning av konfidensialitetsetiketter for informasjon som finnes i objekter (filer, mapper, bilder) og offisiell tillatelse (innrømmelse) fra subjektet til informasjon på tilsvarende konfidensialitetsnivå.

Enkle konsepter

Ved vurdering av informasjonssikkerhetsspørsmål brukes begrepene subjekt og tilgangsobjekt. Tilgangsobjektet kan utføre et bestemt sett med operasjoner på hvert tilgangsobjekt. Disse operasjonene kan være tilgjengelige eller nektet for en spesifikk enhet eller gruppe av enheter. Tilgang til objekter bestemmes vanligvis på operativsystemnivå av dets arkitektur og gjeldende sikkerhetspolicy. La oss vurdere noen definisjoner angående metoder og midler for å differensiere tilgangen til objekter til objekter.

Definisjon 1

Objekttilbehør- en operasjon som er definert for dette objektet. Det er mulig å begrense tilgangen til et objekt ved å begrense mulige tilgangsmetoder.

Definisjon 2

Objekteier- subjektet som opprettet objektet er ansvarlig for konfidensialiteten til informasjonen i objektet og for tilgang til den.

Definisjon 3

Objekttilgangsrett- Retten til å få tilgang til et objekt ved å bruke en eller flere tilgangsmetoder.

Definisjon 4

Adgangskontroll- et sett med regler som bestemmer for hvert emne, objekt og metode tilstedeværelsen eller fraværet av rett til innsyn ved bruk av den angitte metoden.

Adgangskontrollmodeller

De vanligste modellene for tilgangskontroll:

• skjønnsmessig (selektiv) modell for tilgangskontroll;
• autoritativ (obligatorisk) tilgangskontrollmodell.

Skjønnsmessig

• enhver gjenstand har en eier;
• eieren har rett til å vilkårlig begrense tilgangen til subjekter til dette objektet;
• for hvert sett emne - objekt - metode er retten til tilgang unikt definert;
• tilstedeværelsen av minst én privilegert bruker (for eksempel en administrator) som kan få tilgang til ethvert objekt ved å bruke en hvilken som helst tilgangsmetode.

I den skjønnsmessige modellen er definisjonen av tilgangsrettigheter lagret i en tilgangsmatrise: emner er oppført i rader, og objekter er oppført i kolonner. Hver celle i matrisen lagrer tilgangsrettighetene til et gitt emne til et gitt objekt. Tilgangsmatrisen til et moderne operativsystem tar titalls megabyte.

Fullmektig modellen er preget av følgende regler:

• hvert objekt er klassifisert som klassifisert. Hemmelighetsstemplet har en numerisk verdi: jo større det er, desto høyere er hemmeligholdet til objektet;
• hver accessor har en sikkerhetsklarering.

Et subjekt får tilgang til et objekt i denne modellen bare hvis subjektets tilgangsnivåverdi ikke er mindre enn objektets hemmelighetsmerke.

Fordelen med den autoritative modellen er at det ikke er behov for å lagre store mengder informasjon om tilgangskontroll. Hvert emne lagrer kun verdien av tilgangsnivået sitt, og hvert objekt lagrer verdien av sitt hemmelighetsstempel.

Metoder for tilgangskontroll

Typer tilgangskontrollmetoder:

Tilgangskontroll etter lister

Essensen av metoden består i å angi korrespondanser: for hver bruker spesifiseres en liste over ressurser og tilgangsrettigheter til dem, eller for hver ressurs bestemmes en liste over brukere og tilgangsrettigheter til disse ressursene. Ved hjelp av lister er det mulig å etablere rettigheter med en nøyaktighet for hver bruker. Muligheten for å legge til rettigheter eller eksplisitt nekte tilgang er mulig. Listetilgangsmetoden brukes i sikkerhetsundersystemene til operativsystemer og databasestyringssystemer.

Bruke autorisasjonsmatrisen

Ved bruk av autorisasjonsmatrisen brukes tilgangsmatrisen (autorisasjonstabellen). I tilgangsmatrisen registrerer radene identifikatorene til emnene som har tilgang til datasystemet, og i kolonnene - objektene (ressursene) til datasystemet.

Hver celle i matrisen kan inneholde navn og størrelse på ressursen, tilgangsrettigheten (lese, skrive osv.), en lenke til en annen informasjonsstruktur som spesifiserer tilgangsrettigheter, en lenke til et program som administrerer tilgangsrettigheter, etc.

Denne metoden er ganske praktisk, siden all informasjon om kreftene er lagret i en enkelt tabell. Ulempen med matrisen er dens mulige besværlighet.

Differensiering av tilgang etter nivåer av hemmelighold og kategorier

Skillet etter grad av hemmelighold er delt inn i flere nivåer. Autoriteten til hver bruker kan settes i henhold til det maksimale hemmelighetsnivået han har tillatelse til.

Passordtilgangskontroll

Passorddifferensiering bruker metoder for tilgang av subjekter til objekter ved hjelp av et passord. Den konstante bruken av passord fører til ulemper for brukerne og tidsforsinkelser. Av denne grunn brukes passordavgrensningsmetoder i eksepsjonelle situasjoner.

I praksis er det vanlig å kombinere ulike metoder for tilgangskontroll. For eksempel er de tre første metodene forbedret med passordbeskyttelse. Bruk av differensiering av tilgangsrettigheter er en forutsetning for et beskyttet datasystem.