2.2. Системная защита
2.2.1. Защита от сетевого доступа
Права опытного пользователя позволяют ему управлять доступом и к обозреваемым ресурсам, прежде всего к своим папкам, в которых содержатся файлы с данными. Во-первых, без острой необходимости не открывайте общий сетевой доступ к папке с ответственными данными (рис. 4), иначе с любой рабочей станции сети эта папка будет видна всем пользова-
телям, допущенным к работе на этой станции.
Во-вторых, если служебная необходимость заставляет вас сделать папку общедоступной (для коллективного пользования), в пределах розумного ограничьте число допущенных пользователей и разрешения на доступ к данным. Обычно сисадмин предоставляет опытному пользователю (менеджеру группы) право на создание ресурса коллективного пользования. Только при наличии такого права в окне Свойства папки появится вкладка Доступ, с помощью которой и создается общедоступная папка (см. рис. 1б, 5а).
В
окне доступа следует переключатель
поставить в положение Открыть
общий доступ к этой папке и
ввести предельное число допущенных
пользователей. Следующий этап – выдача
разрешений (нажать кнопку Разрешения
– рис. 5а). В появившемся
окне (рис. 5б) следует удалить группу Все
(кнопка Удалить)
и с помощью кнопки Добавить
перейти к организации
своей группы. В окне выбора (рис. 5в)
кнопкой Типы объектов
выбираем тип Пользователи.
Если мы наверняка знаем сетевые імена
пользователей, то тут же можем их ввести
[Введите имена выбираемых
объектов (примеры)].
Если есть сомнения, кнопкой Дополнительно
разворачиваем окно
выбора (рис. 5г) и, нажав в нем кнопку
Поиск,
ищем в списке нужные сетевые имена.
После группового выделения кнопкой Ок
они включаются в список
лиц, допущенных к папке.
В
Рис. 4. Запрет на сетевой доступ к папке
Рис. 5. Организация коллективного доступа к папке
Из окна разрешений по Ок
выходим в окно свойств
(см. рис. 5а), а в нем по Ок
закрепляем все сделанные
выше установки коллективного доступа.
Теперь папка, в которой будет создаваться
коллективная база данных, доступна всем
членам группы в пределах и
ндивидуальных
разрешений, установленных менеджером
группы. К ярлыку папки прикрепляется
«рука дающего» (рис. 6).
Посторонние лица (кроме системного
администратора) к данной папке не имеют
доступа c других рабочих станций.
Т
еперь
с позиций защиты данных есть смысл
проверить, а при необходимости и настроить
параметры кэширования файлов (кнопка
Кэширование – рис.
5а, 7). Здесь кэширование означает
возможность вручную или автоматически
скопировать файлы из папки в кэш-память
любой рабочей станции, получившей доступ
к данным, с тем, чтобы использовать их
в дальнейшем в автономном режиме. Если
мы ограничиваем пользователя сроком
доступа к данным, то есть смысл разрешить
кэширование, так как кэш является
областью оперативной памяти и позволяет
быстро обрабатывать помещенные в него
данные (файлы).
Е
Рис. 6. Оформление разрешений на тип
доступа к папке и ярлык папки в файловом
мониторе
Рис. 7. Запрет кэширования файлов
2.2.2. Защита от локального доступа
Если компьютер используется локально несколькими пользователями, то защиту от несанкционированного доступа к папкам и файлам должен осуществлять владелец компьютера, наделенный правами администратора. И первое, что он должен сделать, – создать учетные записи пользователей (Пуск/Настройка/Панель управления/Учетные записи пользователей).
Второе – надо включить режим безопасности, для чего следует войти в опцию Пуск/Настройка/Панель управления/Свойства папки и в окне вкладки Вид снять флажок Использовать простой общий доступ к файлам (рекомендуется). В результате в свойствах папок и файлов появится вкладка Безопасность. Войдя по этой вкладке в окно безопасности (рис. 8), мы увидим нечто подобное (с увеличенным числом разрешений) (см. рис. 5б).
У
Рис. 8. Элементы управления локальной безопасностью папки и файла
Р
Эффективным средством защиты
от локального доступа к папкам является
механизм личных папок.
Для каждого пользователя Windows создае
Кроме того, для разграничения доступа к файлам и папкам существуют специальные утилиты, например: Security Department (резидентная программа для защиты файлов и папок и разграничения доступа к ним конкретных пользователей и групп пользователей), Folder Guard Pro (установка ограничений на доступ к выбранным данным как на локальном компьютере, так и на сетевых машинах)1.
Обе утилиты имеют легкий и интуитивно понятный интерфейс, позволяющий легко освоить их даже начинающему пользователю.
Эти и им подобные утилиты обычно поставляются пользователям через Интернет в качестве свободного (бесплатного) товара (freeware).
2.2.3. Блокировка компьютера и Рабочего стола Windows
К радикальным средствам системной защиты данных от сетевого и локального доступа относится блокировка компьютера (рабочей станции). Блокировка полезна, когда пользователь должен покинуть свое рабочее место, не закрывая открытых окон и не выключая компьютера (перерыв, срочный вызов и т.п.), а в его отсутствие никто не смог бы воспользоваться его машиной и данными на ней. Очевидно, что успешная блокировка невозможна без паролей, которые должны быть предварительно созданы для учетных записей всех пользователей.
При блокировке рабочей станции сети достаточно, не закрывая рабочих окон, нажать одновременно клавиши Ctrl, Alt, Delete и в открывшемся окне Безопасность Windows нажать кнопку Блокировка. При блокировке локального компьютера следует нажать сочетание клавиш Windows ( ), L. После этого можно спокойно уходить – снять блокировку не сможет никто, кроме владельца компьютера и системного администратора (с набором соответствующих паролей). После снятия блокировки экран автоматически восстанавливается в том виде, в каком он был перед блокировкой.
Возможна блокировка с помощью пароля экранной заставки, включаемая через заданное время с момента активизации заставки. Пароль заставки совпадает с паролем пользователя, вошедшего в систему на данном компьютере. Если при входе в систему пароль не использовался, пароль заставки установить нельзя. При переводе компьютера в ждущий режим тоже возможна блокировка, если использовался пароль входа в систему.
Существуют также Интернет-утилиты блокировки Рабочего стола: Black Screen, Winsecure-IT, Access Lock, System Locker (и др.), защищающие экран дисплея от любопытных глаз несанкционированных пользователей.
Особенность утилиты Black Screen в том, что вы не увидите ничего похожего на окошко ввода пароля для разблокирования. Необходимо набрать пароль, и экран автоматически разблокируется, но догадаться о том, что вводить пароль необходимо именно таким образом, согласитесь, довольно непросто.
Утилиты Winsecure-IT и Access Lock позволяют контролировать попытки взлома пароля разблокирования Рабочего стола (со звуковой сигнализацией и аудитом событий).
Если по каким-либо причинам вас не устраивает перспектива использования отдельной программы для контроля доступа к системе и отдельной - для защиты Рабочего стола, альтернативой станет утилита System Locker, представляющая собой некий симбиоз необходимых функций, имеющихся в разных программах. Эта утилита может автоматически загружаться вместе с Windows и при необходимости сразу же блокировать Рабочий стол от доступа. Основные возможности утилиты:
автоматическая блокировка Рабочего стола при старте системы и по расписанию, блокировка клавиатуры и мыши в установленный период времени;
аудит всех операций с записью в специальный файл аудита событий;
звуковая сигнализация об операциях блокирования, разблокирования и ввода неправильного пароля;
расширенные опции безопасности, одна из которых — устанавливаемое количество попыток ввода пароля, после чего становится недоступной кнопка разблокирования Рабочего стола;
возможность выключения компьютера, когда он заблокирован.
Интерфейс перечисленных утилит ориентирован на конечных пользователей, поэтому он прост и интуитивно понятен.
2.2.4. Системная защита приложений MS Office
На этапе сохранения файлов Word, Excel и Access возможна организация системной защиты папок, содержащих эти файлы, т.е. для защиты папок по технологии (см. рис. 4 – 9), вовсе не обязательно работать с ярлыками папок. Эта технология реализуется непосредственно в окнах сохранения файлов, если, повторяем, пользователь наделен соответствующими правами.
Так, в Word (рис. 10а) и Excel в Окне сохранения файла через Сервис/Свойства/Доступ или Сервис/Свойства/Безопасность выходим на теже окна системного доступа и безопасности, что и на рис. 4, 5а, 8.
Поскольку в Access местоположение сохраняемого файла новой базы данных определяется на самом первом этапе ее создания, описанная технология реализуется в окне создания файла БД (рис. 10б).
Кроме описанных мер защиты, общих для всех приложений MS Office, в СУБД Access реализованы специфические меры защиты от несанкционированного доступа к конкретным объектам БД (таблицам, формам, запросам, отчетам, макросам, базе в целом) с дифференциацией по правам пользователей и разрешениям на объекты. Это и понятно – ведь базы данных в СУБД должны охраняться особенно тщательно.
Защитные операции для существующей базы данных Access производятся из меню Сервис/Защита (рис. 11а). Операции защиты от несанкционированного доступа прописаны во всех командах всплывающего меню.
Команда Мастер запускает мощный мастер защиты БД (на рис. 11бпоказан вход в мастер - первый шаг). За 8 шагов мастер защиты, предварительно создав резервную копию БД, защищает базу дифференцированно по каждому из допущенных пользователей и групп пользователей и по объектам БД.
а) сетевой доступ к папке из документа Word (аналогично из книги Excel)
Рис. 10. Сетевой доступ к папке из приложений MS Office
б) сетевой доступ к папке из базы данных Access
Рис. 10. Продолжение
а) защитный сервис Access
Рис. 11. Защитные операции в Access
б) первый шаг мастера защиты Access
Рис. 11. Продолжение
Для запуска мастера защиты нужно снять пароль базы данных (если он существует) и перейти из монопольного режима доступа (без которого парольная защита БД невозможна) в общий режим. Затем в диалоге с мастером устанавливаются (или принимаются по умолчанию) многочисленные параметры безопасности, после чего можно восстановить парольную защиту.
Подробное описание системных защитных операций БД Access не входит в нашу задачу, т.к. займет слишком много места, сравнимого по объему с данным учебным пособием. Интерфейс защитных операций достаточно прост, чтобы в нем смог разобраться конечный пользователь непрофессионал.
В целом можно без преувеличения сказать, что реализованная в Access системная защита от несанкционированного доступа - это не просто защита, а «броня». Поэтому особо важные базы данных с высоким уровнем защиты рекомендуется создавать именно в Access.