Comments 8
А вы авторам Dallas Lock сообщили о баге?
Мне приходилось работь с СЗИ от НСД в контексте защиты гостайны. Могу сказать следующее:
Помимо разграничения прав, должно также быть ограничение по грифу секретности (как грифов пользователей, так и грифов папок и документов) и ограничения на запуск программ (разрешения/запрет на запуск, гриф программ).
Проблема в том, что рассматривать только один нюанс в данном случае не совсем корректно, поскольку на живой системе настраивается все вместе. При обработке документов командная строка не нужна. Если СЗИ настраивалась параноиком, запуск cmd будет запрещен. Или же будет разрешен, но только в несекретном режиме. А программа с грифом несекретно не должна получать доступ к документам с грифом выше.
Kibsez попробуйте такой же трюк как в статье проделать с грифованными файлами.
Помимо разграничения прав, должно также быть ограничение по грифу секретности (как грифов пользователей, так и грифов папок и документов) и ограничения на запуск программ (разрешения/запрет на запуск, гриф программ).
Проблема в том, что рассматривать только один нюанс в данном случае не совсем корректно, поскольку на живой системе настраивается все вместе. При обработке документов командная строка не нужна. Если СЗИ настраивалась параноиком, запуск cmd будет запрещен. Или же будет разрешен, но только в несекретном режиме. А программа с грифом несекретно не должна получать доступ к документам с грифом выше.
Kibsez попробуйте такой же трюк как в статье проделать с грифованными файлами.
К сожалению, ограничения на запуск программ тут не помогут. Тот же wordpad, к примеру, вполне нормально откроет документ вот так: «wordpad d:\tmp\test.txt::$DATA».
Ну с политикой ограничения программ возможно — а вот с мандатным разграничением доступа действительно интересно.
Если задать файлу гриф «конфиденциально», а пользователю доступ к конфиденциальной информации не давать — какой будет результат?
Правда, Secret Net и так прошла проверку, а с Dallas Lock я не работал — не знаю, реализовано ли там в принципе мандатное разграничение доступа.
Если задать файлу гриф «конфиденциально», а пользователю доступ к конфиденциальной информации не давать — какой будет результат?
Правда, Secret Net и так прошла проверку, а с Dallas Lock я не работал — не знаю, реализовано ли там в принципе мандатное разграничение доступа.
Перефразируя длинный комментарий: дискреционный контроль не сработал, попробуйте мандатный. Ответ с 99% вероятностью будет: аналогично не работает. Дело в том, что оба контроля сидят в описателе безопасности, который в данной системе подвязан почему-то к имени, а не к объекту.
Удивительно, что автор статьи нашел хоть какие-то продукты такого рода в общем доступе, да еще официальное демо. Это может объяснять архитектурные просчеты.
Удивительно, что автор статьи нашел хоть какие-то продукты такого рода в общем доступе, да еще официальное демо. Это может объяснять архитектурные просчеты.
Должен сказать, что несколько лет назад (году так в 2011) я общался с «Кодом безопасности» (производитель СЗИ «Secret Net»), и впечатления у меня остались самые положительные.
Я как раз запрашивал у них комплект демо-лицензий — и этот вопрос решили очень быстро, постоянно помогали, во многом пошли навстречу.
Так что конкретно к «Коду безопасности» вопросов вообще быть не должно, ИМХО.)
Я как раз запрашивал у них комплект демо-лицензий — и этот вопрос решили очень быстро, постоянно помогали, во многом пошли навстречу.
Так что конкретно к «Коду безопасности» вопросов вообще быть не должно, ИМХО.)
Для оценки эффективности средства защиты информации нужно выбрать модель угроз. Или хотя бы определиться с тем, от кого мы защищаемся. И если мы защищаемся от злобного регулятора, то и оценивать нужно те свойства средства защиты информации, которые позволяют прикрыть пятую точку, то есть наличие сертификатов, формуляров и так далее. В противном случае, если модель угроз не была выбрана правильно, то, скорее всего, будут неверными и критерии оценки средства защиты информации. Вот какое отношение к защите от злобного регулятора имеет отсутствие контроля за чтением потоков NTFS? Никакого!
С СЗИ от НСД «Страж NT 3.0» был короткий опыт общения. Это чудовище прежде чем загрузить систему от 3 до 10 раз подряд стабильно показывает BSOD. Это даже есть в документации на софтину, правда там это называется «в редких случаях».
Представьте как был «доволен» заказчик. Хорошо, что использование именно этого средства защиты было прихотью именно заказчика.
Представьте как был «доволен» заказчик. Хорошо, что использование именно этого средства защиты было прихотью именно заказчика.
Sign up to leave a comment.
Обход правил разграничения доступа в средствах защиты от НСД