1.1.2 Запуск оболочки
Запуск оболочки администратора возможен только при загрузке компьютера с правами администратора. Подготовьте карту администратора. С помощью меню “Пуск” запустите программу “Admshell” из группы программ Dallas Lock 4.1:
На экран будет выведено приглашение (рисунок 1).
Рисунок 1 – Получение номера карты
Предъявите карту администратора для подтверждения прав доступа к оболочке или нажмите <Esc> (либо кнопку Отмена в окне запроса) для отказа. После успешного подтверждения полномочий администратора Вы получите доступ к главному меню оболочки (рисунок 2).
Рисунок 2 – Главному меню оболочки
1.1.3 Регистрация пользователей
Выберите в главном меню позицию Регистрация пользователей. На экране появится окно для назначения имен пользователей и определения их полномочий (рисунок 3).
Рисунок 3 – Регистрация пользователей
Для перехода между полями установки значений пользуйтесь мышью или клавишей <Tab>. Нажав кнопку Помощь, можно ознакомиться с правилами регистрации пользователей компьютера.
На каждом компьютере можно зарегистрировать до 31 пользователя с индивидуальными идентификаторами. 32-ой пользователь регистрируется с мастер-картой автоматически при инсталляции, имеет статус администратора и имя ADMINISTRATOR. При попытке зарегистрировать число карт пользователей, превышающее 32, будет выдано сообщение: Зарегистрировано уже 32 пользователя... и процедура регистрации очередной карты не состоится.
Каждый пользователь может быть зарегистрирован со своей картой на разных компьютерах под одним и тем же именем либо под разными именами.
Процедуры регистрации, удаления пользователей и изменения их полномочий проводятся непосредственно на объекте защиты, т.е. на том компьютере, для которого назначаются пользователи.
1.1.2 Параметры доступа пользователя
При регистрации пользователя подготовьте для него электронную карту, затем в главном меню оболочки выберите позицию Регистрация пользователей. Ниже приведен перечень параметров регистрации и их описание.
Время работы
Время начала и окончания работы на компьютере указывается в 24-часовом формате. Возможны вариации значения интервала от 1 минуты до суток. С помощью мыши установите текстовый курсор в поле “Время работы” и наберите на клавиатуре оба значения времени. Для установки круглосуточного режима работы необходимо установить значения 00:00 - 23:59.
Следует учитывать, что установленное временное ограничение – это лишь ограничение по входу пользователей на компьютер.
Восстанавливать при сбое CMOS-память компьютера
CMOS-память содержит важные настройки компьютера. Система защиты позволяет контролировать часть параметров CMOS-памяти компьютера, обычно объединенных в группу “Standard” и “Advanced”. Эта группа параметров содержит информацию о памяти, жестких дисках, дисководах компьютера и др.
Для защиты CMOS-памяти от случайных или преднамеренных изменений для пользователей и администраторов предусмотрена опция “Восстанавливать при сбое CMOS-память компьютера”. Установка этой опции обеспечивает аппаратную проверку состояния CMOS-памяти при загрузке компьютера и ее восстановление в случае обнаружения каких-либо изменений. Восстановление сопровождается выводом сообщения: Восстановлена CMOS-память компьютера!
После восстановления CMOS-памяти и вывода сообщения загрузка компьютера продолжается обычным образом. Эталонное состояние CMOS-памяти хранится в энергонезависимой памяти аппаратной части защиты и первый раз сохраняется при инсталляции Dallas Lock. Если требуется внесение каких-либо изменений в CMOS-память компьютера, после этого администратору следует выполнить процедуру сохранения ее эталонного состояния.
Восстанавливать при сбое Master Boot Record диска (MBR)
В Master Boot Record (MBR) содержится важнейшая информация о жестком диске, без которой его чтение невозможно. Для защиты MBR от случайных или преднамеренных изменений служит опция “Восстанавливать при сбое Master Boot Record диска (MBR)”. Установка этого параметра обеспечивает аппаратную проверку состояния MBR при загрузке компьютера и ее восстановление в случае обнаружения каких-либо изменений. Восстановление сопровождается выводом сообщения: Восстановлена Master Boot Record!
После вывода сообщения продолжается нормальный процесс загрузки компьютера. Эталонное состояние MBR содержится в энергонезависимой памяти аппаратной части защиты и сохраняется один раз при инсталляции Dallas Lock. На всем протяжении работы компьютера под управлением Dallas Lock изменение MBR недопустимо.
Создание файла автозапуска
При установке данной опции для пользователя в папке “C:\DSLOCK\AUTOEXEC” будет создан индивидуальный файл автозапуска. Файл будет иметь имя, указанное в поле “Имя для файлов конфигурации”, и будет представлять собой копию файла автозапуска, с которым в последний раз был загружен компьютер (“C:\AUTOEXEC.BAT”). В дальнейшем отредактируйте содержимое нового файла в соответствии с конкретными задачами пользователя прямо из оболочки, имеющей встроенный редактор. Возможно также применение для этих целей других текстовых редакторов в формате ASCII.
Защита таймера от изменений
Для того, чтобы пользователь не мог изменить системное время, предусмотрена защита таймера компьютера. Если необходимо ограничить права пользователя по модификации даты и времени, установите опцию “Защита таймера от изменений”.
Защищается доступ к аппаратному таймеру компьютера. Работая в Windows или DOS-сессии, пользователь сможет изменить текущие дату и время. Эти изменения будут касаться только программного таймера операционной системы. При следующей перезагрузке компьютера дата и время будут восстановлены из аппаратного таймера. Система защиты работает только с аппаратным таймером. Изменение программного таймера операционной системы никак не скажется на времени, фиксируемом в журналах защиты, на ограничении по времени работы пользователя на компьютере.
Блокировка загрузки драйверов
При установке этой опции блокируется динамическая загрузка VXD-драйверов
для пользовательских приложений.
Полное удаление файлов
После обычного удаления файлов с дисков компьютера они могут быть восстановлены. Если же для регистрируемого пользователя будет включен режим полного удаления файлов, то удаляемая информация будет затираться на диске нулевым кодом. Удаленные данные уже не смогут быть восстановлены. Режим полного удаления файлов не распространяется на работу с объектом Windows 95/98 “Корзина”, поскольку при удалении файлов в корзину фактически происходит только их перемещение. Режим полного стирания информации устанавливается в поле “Полное удаление файлов”.
Очистка освобождаемой памяти
В обычном режиме при освобождении страниц основной памяти (например, в результате завершения программ) эти страницы отмечаются в операционной системе как свободные. Однако информация в них не удаляется и при использовании специальных средств может быть прочитана. Если для регистрируемого пользователя будет включен режим “Очистки освобождаемой памяти”, то при освобождении страниц памяти они будут заполняться нулевым кодом. Режим полного стирания информации устанавливается в поле “Очистка освобождаемой памяти”.
При “горячей” перезагрузке информация о системных данных не удаляется из памяти, память может быть очищена только при холодной перезагрузке компьютера.
Блокировка загрузки при сбое CMOS
Опция “Блокировка загрузки при сбое CMOS” позволяет исключить для данного пользователя возможность изменения группы параметров CMOS-памяти компьютера (например, с помощью CMOS SETUP компьютера), именуемой обычно “Standard” и “Advanced”. Эта группа параметров содержит информацию о памяти, жестких дисках, дисководах компьютера и др. При загрузке компьютера для данного пользователя будет аппаратно контролироваться состояние CMOS-памяти. В случае обнаружения каких-либо изменений на экран будет выведено сообщение: Вызовите Админа! Нарушена контрольная сумма CMOS памяти!! После вывода сообщения компьютер полностью блокируется. Загрузка операционной системы для данного пользователя будет невозможна. Данный параметр имеет более высокий приоритет по отношению к параметру “Восстанавливать при сбое CMOS-память компьютера”.
Блокировка загрузки при сбое MBR
Опция “Блокировка загрузки при сбое MBR” не позволяет данному пользователю вносить какие-либо изменения в Master Boot Record жесткого диска. Проверка состояния MBR будет осуществляться аппаратно во время загрузки компьютера. В случае обнаружения изменений в MBR будет выведено сообщение: Вызовите Админа! Нарушена контрольная сумма Master Boot Record! После вывода сообщения компьютер полностью блокируется. Загрузка операционной системы для данного пользователя будет невозможна. Данный параметр имеет более высокий приоритет по отношению к параметру “Восстанавливать при сбое Master Boot Record диска (MBR)”.
Блокировка клавиатуры при загрузке
Операционная система Windows 95/98 допускает использование нескольких способов загрузки компьютера, при которых пользователи могут обходить выполнение команд из CONFIG.SYS и AUTOEXEC.BAT. Способы загрузки Windows задаются двумя путями: из стартового меню Windows 95/98, либо нажатием “горячих” клавиш при выводе в процессе загрузки сообщения Starting Windows 95/98 ... Вызов стартового меню Windows 95/98 блокируется при инсталляции Dallas Lock 4.1. Использование “горячих” клавиш, определяющих способ загрузки Windows 95/98, может быть заблокировано двумя способами:
Установкой при регистрации пользователя опции Блокировка клавиатуры при загрузке. Клавиатура в этом случае для данного пользователя будет аппаратно блокироваться на время загрузки компьютера. Это позволит избежать отмены выполнения пользователем всего файла CONFIG.SYS или его части путем нажатия “горячих” клавиш при загрузке Windows 95/98. Данная опция устанавливается в окне регистрации пользователя в программе ADMSHELL и распространяется только на регистрируемого пользователя. Использование аппаратной блокировки клавиатуры обладает следующей особенностью: поскольку клавиатура блокируется на все время загрузки операционной системы, пользователь не сможет выбирать альтернативные варианты загрузки операционной системы из загрузочного меню, созданного в файле CONFIG.SYS.
Установкой опции Запрещено использование клавиатуры при загрузке ОС в программе настройки системы защиты SETUP меню Настройки вкладке Режим загрузки. Это мера распространяется на всех пользователей, а также администраторов. При этом возможно использование загрузочного меню, созданного в файле CONFIG.SYS.
Следует отметить, что независимо от состояния опций блокировки клавиатуры, клавиатура для пользователей блокируется в то время, когда уже загружен драйвер защиты PROT95.SYS, но еще не загружена графическая оболочка Windows. Это является дополнительной мерой защиты от работы пользователей в среде MS-DOS до загрузки графи ческой оболочки Windows.
Количество проходов
Исходя из требований безопасности информации на компьютере, администратор может установить для пользователя принудительную смену индивидуального пароля входа на компьютер. При этом необходимо указать число входов на компьютер, после которого пользователь будет обязан сменить персональный пароль. Принудительная смена пароля пользователем осуществляется во время “холодной” загрузки компьютера (после нажатия “RESET” или включения питания). Загрузка операционной системы без смены пароля будет невозможна. Для установки пользователю принудительной смены пароля включите опцию “Смена пароля по количеству проходов”. В поле “Количество проходов” введите количество входов на компьютер, после которого пользователю будет предложено сменить пароль. Значение в этом поле может находиться в диапазоне от 0 до 999. При вводе нулевого числа проходов смена пароля будет необходима при каждой загрузке компьютера.
Файловые операции в журнале работы
Настройку журнала работы имеет смысл производить только в случае, если произведено его подключение. Подключение/отключение журнала работы осуществляется с помощью программы настройки системы защиты SETUP. Журнал работы всегда подключается при инсталляции защиты. Настройка журналов осуществляется в поле “Файловые операции в журнале работы”. Включить и выключить опцию можно щелчком мыши на названии соответствующей файловой операции.
Запуск. При включении данной опции в электронном журнале работы будет фиксироваться информация о запуске любых доступных программ пользователем, регистрация которого осуществляется.
Чтение. Опция предназначена для отслеживания в журнале работы операций чтения файлов. Следует отметить, что в процессе обработки информации процедура чтения файлов выполняется, как правило, очень часто, поэтому при установке данной опции журнал работы пользователей будет быстро заполняться. В связи с этим рекомендуется устанавливать опцию чтения только в случае необходимости.
Запись - позволяет отслеживать все операции записи информации на дисковые устройства компьютера.
Удаление - опция, обеспечивающая занесение в журнал работы всех операций по удалению файлов или папок.
Информация о перемещении (переименовании) файлов регистрируется при установке любой из опций “Чтение”, “Запись” или “Удаление”.
Опция “Удаление” обеспечивает контроль физического удаления файлов с дисков компьютера. Удаление файлов путем перемещения в “Корзину” в журнале работы будет отображаться как переименование (перемещение). Запись в журнале работы пользователей будет содержать время, имя файла, тип действия и имя пользователя. Все вышесказанное относится и к журналу работы администратора.
Доступ к портам
При нажатии кнопки Доступ к портам выводится окно, которое позволяет ограничить доступ пользователя к параллельным (LPT) и последовательным (COM) портам компьютера (рисунок 4).
Рисунок 4 – Доступ к портам
Через ограничение доступа к портам можно ограничить работу пользователя с периферийными устройствами компьютера. Например, к параллельным портам обычно подключаются принтеры, а к последовательным мышь и модем.
Управление доступом возможно только к тем портам, которые присутствуют в компьютере. Доступные пользователю порты в окне отмечаются галочкой. У недоступных пометка должна отсутствовать.
Классификационная метка
Каждому пользователю сопоставляется классификационная метка, задающая круг доступных ему объектов (дисков, папок и файлов компьютера). Возможны три метки, задаваемые в поле “Классификационная метка”:
Совершенно секретно - доступны совершенно секретные, секретные объекты и открытые данные, т.е. все объекты компьютера;
Секретно - доступны только секретные объекты и открытые данные;
Открытые данные - доступны только открытые данные.
Список совершенно секретных и секретных объектов задается в оболочке администратора. Открытые данные - это все остальные объекты. Администраторы всегда имеют метку “Совершенно секретно”.
Имя пользователя
Установите с помощью мыши текстовый курсор в поле “Имя пользователя” и введите имя. В этом поле допускается ввод пробелов и символов в русском регистре (кириллица). Максимальная длина имени – 20 символов. Если введенное имя уже использовано матрицей доступа, программа при выполнении регистрации предупредит об этом. Имя будет необходимо заменить на уникальное для матрицы доступа данного компьютера.
Номер карты
Номер карты регистрируемого пользователя должен быть считан в поле “Номер карты”. Для этого необходимо нажать кнопку Считать справа от этого поля и по запросу предъявить идентификатор пользователя (коснуться считывателя картой Touch Memory или поднести к считывателю карту Proximity).
Имя для файлов конфигурации
Имя для файлов конфигурации определяет имя файла автозапуска и файла-списка доступа пользователя к объектам.
Установите мышью текстовый курсор в поле “Имя для файлов конфигурации”.
Наберите на клавиатуре имя файла без расширения. Допускается использование длинных имен. Не допускается использование символов кириллицы. Не используйте имена, зарезервированные для DOS: CON, AUX, PRN, LPT1...LPT(N), COM1...COM(N), NUL.
Существует возможность совместного использования одного файла автозапуска и файла-списка доступа к объектам несколькими пользователями. В этом случае в поле “Имя для файлов конфигурации” указывается имя уже существующего для какого-либо пользователя файла автозапуска и файла списка доступа. Однако делать это не рекомендуется, поскольку в этом случае пользователи оказываются в определенной степени взаимозависимы. Любое изменение конфигурации для одного пользователя будет автоматически распространено на остальных, привязанных к данным файлам. Это относится к изменениям как в файле автозапуска, так и в списке доступных (недоступных) объектов. Для удобства контроля со стороны администратора желательно ассоциативное соотношение имен пользователей и их файлов.