|
|
|
BC/NW 2010; №2 (17):11.5 АНАЛИЗ СРЕДСТВ ОБЕСПЕЧЕНИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ В СИСТЕМЕ 1С:ПРЕДПРИЯТИЕ 8 Хорев П.Б. (Московский
энергетический институт (технический университет), Россия) Развитие
информационных технологий и систем приводит и к обострению проблемы защиты
информации – надежного обеспечения ее сохранности и установленного статуса
использования. Поэтому обеспечение безопасности информации и информационных
процессов является обязательной функцией современных информационных систем. В
настоящем докладе будут проанализированы средства обеспечения информационной
безопасности, имеющиеся в распоряжении разработчиков информационных систем на
широко распространенной технологической платформе 1С:Предприяие
8. Основными
способами защиты от несанкционированного доступа к объектам информационных
систем являются ·
идентификация и аутентификация пользователей информа-ционных систем и
активизированных ими процессов; ·
авторизация субъектов (определение прав доступа субъекта к
объектам с защищаемой информацией); ·
аудит (учет и регистрация) событий, имеющих отношение к
безопасности информационной системы. Администратор
базы данных в системе 1С:Предприятие 8 может создать и
затем редактировать список пользователей, которым разрешена работа с системой
(рис. 1). При добавлении нового пользователя (первоначально список
пользователей пуст) указываются следующие свойства создаваемой учетной записи
(на вкладке «Основные») [1]: ·
имя, под которым пользователь будет
зарегистрирован в системе; ·
его полное имя (фамилия, имя и отчество,
должность и название подразделения сотрудника организации, в которой
используется система);
Рис. 1 ·
признак аутентификации 1С:Предприятия
(при установке данного «флажка» при попытке входа пользователя в систему
1С:Предприятие его идентификация и аутентификация будут производиться
средствами самой системы); ·
пароль пользователя, ввод которого потребуется
для его идентификации средствами системы 1С:Предприятие; ·
подтверждение пароля пользователя (требуется для
исключения возможности ошибки при вводе пароля, т.к. символы пароля при вводе
заменяются символами *); ·
признак запрещения пользователю изменять свой
пароль при его аутентификации средствами 1С:Предприятие; ·
признак отображения имени пользователя в списке
зарегистрированных учетных записей при попытке входа в систему и его
аутентификации средствами 1С:Предприятие; ·
признак аутентификации средствами операционной
системы Windows (при
включении этого «Флажка» при попытке входа пользователя в систему 1С:Предприятие будет определено имя, под которым выполняется
сеанс работы с операционной системой Microsoft Windows, и в списке пользователей
системы 1С:Предприятие ищется имя, которому соответствует имя «текущего»
пользователя Windows); ·
имя пользователя операционной системы Windows, с которым связан
данный пользователь системы 1С:Предприятие при
использовании аутентификации средствами операционной системы Windows (имя
может быть задано в формате \\имя домена\имя учетной
записи пользователя или выбрано с помощью соответствующей кнопки из списка
локальных и глобальных учетных записей, известных на данном компьютере [2]). Администратор базы данных может с помощью настроек параметров
информационной базы установить минимальную длину паролей пользователей системы
(если установлен «флажок» «Проверка сложности паролей пользователей», то
минимальная длина паролей не может быть меньше 7 символов) и потребовать, чтобы
пароли пользователей удовлетворяли условиям сложности, соответствующим
требованиям к сложности паролей пользователей Windows (дополнительно пароль не
должен являться последовательностью символов). Наиболее
безопасным способом аутентификации пользователей при их входе в систему 1С:Предприятие будет объединение аутентификации средствами
1С:Предприятие и средствами Windows. При этом целесообразно
снятие флажка «Показывать в списке выбора» в группе свойств аутентификации 1С:Предприятие, а в параметрах безопасности Windows
включить требования минимальной длины и сложности паролей, ограничения их
максимального срока действия, неповторяемости паролей
и их минимального срока действия (рис. 2) и установить пороговое значение
счетчика неудачных попыток входа в Windows (рис. 3).
Рис. 2 Для
принудительного отображения диалога аутентификации пользователя средствами 1С:Предприятие (если включен «флажок» аутентификации Windows)
необходимо использовать при запуске 1С:Предприятия параметр командной строки /WA+ [2]. Необходимо
иметь в виду, что список пользователей системы 1С:Предприятие
не является частью ее конфигурации, а создается отдельно для каждой
организации, в которой эта информационная система установлена.
Рис. 3 При
авторизации пользователя в системе 1С:Предприятие
используется механизм ролей и интерфейсов, которые назначаются пользователю при
создании или редактировании его учетной записи на вкладке «Прочие» (рис. 4).
Рис. 4 Роль
в системе 1С:Предприятие представляет собой набор прав
доступа к различным объектам базы данных. Обычно роли создаются для отдельных
должностных обязанностей, а каждому пользователю системы может быть назначена
одна или несколько ролей. Если пользователю назначены несколько ролей, то
предоставление доступа ему к объекту базы данных будет произведено следующим
образом [1]: 1.
Если в хотя бы одной из назначенных пользователю
ролей запрашиваемый доступ разрешен, то он предоставляется пользователю. 2.
Если во всех назначенных пользователю ролях
соответствующий доступ не разрешен, то запрашиваемый доступ не предоставляется. Анализируя
этот правило, можно отметить, что более безопасным (но менее удобным) был бы
другой вариант, при котором запрашиваемый доступ предоставлялся только тогда,
когда во всех назначенных пользователю ролях соответствующий доступ был
разрешен. Для
создания и редактирования ролей используется конфигуратор системы 1С:Предприятие. В процессе создания конфигурации создается
набор типовых ролей, которые затем могут быть отредактированы. При
создании или редактировании роли используется окно с двумя вкладками – «Права»
и «Шаблоны ограничений». На вкладке «Права» (рис. 5) содержится иерархическая
структура объектов конфигурации по всем подсистемам и список прав доступа,
применимых к выбранному объекту (для разрешения права необходимо установить
соответствующий ему «флажок»).
Рис. 5 В
системе 1С:Предприятие различают два типа прав –
основные и интерактивные. Основные права проверяются при любом обращении к
объектам информационной системы. Проверка интерактивных прав производится при
выполнении интерактивных операций (например, просмотре и редактировании данных
в форме). Система
1С:Предриятие допускает проверку прав доступа
средствами встроенного языка. Например, при добавлении новых команд к форме
разработчик должен дополнительно предусмотреть проверку наличия у пользователя
соответствующих интерактивных прав. При редактировании роли необходимо учитывать наследование
(иерархию) прав: при отмене «родительского» («старшего») права отменяются и его
«дочерние» («младшие») права, а при установке «дочернего» права устанавливается
и его «родительское» право. Например, при отмене права «Просмотр» отменяется и право
«Редактирование» соответствующего объекта. С
помощью флажка «Устанавливать права для новых объектов» можно обеспечить для
редактируемой роли автоматическую установку прав доступа к новым (добавляемым
впоследствии) объектам конфигурации. Для
корневого объекта конфигурации могут быть установлены следующие права доступа: ·
административные функции (включает открытие
конфигурации, открытие списка пользователей, настройку журнала регистрации,
обновление конфигурации и другие административные действия); ·
обновление конфигурации базы данных; ·
монопольный режим; ·
активные пользователи (открытие их списка); ·
журнал регистрации (открытие этого журнала); ·
внешнее соединение (работа с системой через COM-интерфейс); ·
automation
(работа с системой в качестве сервера автоматизации); ·
интерактивное открытие внешних обработок; ·
интерактивное открытие внешних отчетов; ·
вывод печать, сохранение, использование буфера
обмена при работе с системой. Для
удобства администрирования в системе 1С:Предприятие
предусмотрено окно просмотра и редактирования всех ролей, созданных в данной
конфигурации. Если для некоторой роли необходимо отменить или установить все
права доступа к выбранному объекту, то можно использовать флажок в строке «Все
права» для столбца с именем редактируемой роли. Если для некоторого права
доступа необходимо отменить или установить его во всех ролях, то можно
использовать флажок в строке с именем соответствующего права для столбца «Все
роли». Для
разграничения доступа к объектам базы данных на уровне отдельных полей и
записей в системе 1С:Предприятие предусмотрен механизм
ограничения доступа к данным (использования прав на чтение, добавление,
изменение и удаление этих объектов). Для права чтения возможна установка
нескольких ограничений на доступ, а для остальных указанных прав – только
одного ограничения (рис. 6).
Рис. 6 Для
каждого ограничения доступа к данным по праву чтения возможен выбор поля, по
значению которого будет проверяться
условие ограничения доступа, или указание «Прочие поля», что обеспечит
проверку выполнения условия ля каждого поля. Условие
ограничения доступа к данным может быть определено с помощью конструктора или
вручную, путем создания и редактирования именованных шаблонов ограничения
доступа на вкладке «Шаблоны ограничений» окна редактирования роли. В
целях облегчения работы пользователя и дополнительного ограничения его прав в
системе 1С:Предприятие предусмотрен механизм
интерфейсов. С помощью этих объектов создаются наборы команд главного меню и
элементов панели инструментов, с которыми будет возможна работа пользователя. С
помощью конструктора главного меню интерфейса администратор создает список подменю и список команд каждого подменю. После
определения структуры главного меню в создаваемый интерфейс могут быть
добавлены одна или несколько панелей инструментов. Эти панели могут быть
расположены вверху, внизу, слева и справа в окне программы 1С:Предприятие. Заметим,
что после создания ролей и интерфейсов необходимо выполнить обновление
конфигурации базы данных, чтобы новым пользователям информационной системы
могли быть назначены созданные роли и интерфейсы [1]. События,
которые должны регистрироваться в журнале регистрации системы 1С:Предприятие, могут быть указаны администратором с помощью
функции его настройки. Здесь же возможен выбор периода времени, по истечении
которого журнал регистрации будет сохраняться в новом файле, а также сокращение
записей журнала до истечения указанного периода путем их удаления и, возможно,
сохранения в файле. Для
выполнения требований федерального законодательства о защите персональных
данных [3] в технологической платформе 1С:Предприятие
8 внесены определенные дополнения, среди которых наиболее важны: ·
выделение отдельного вида пользователя – ответственного за
персональные данные; ·
ввод специального пароля на выгрузку и загрузку базы данных в
xml-формате. Интерфейс
пользователя «Ответственный за персональные данные» включает доступ к следующим
функциям: ·
формирования и учета листов согласия сотрудников; ·
разграничения доступа к объектам с персональными данными; ·
формирования списка лиц и организаций, допущенных к работе с
персональными данными; ·
создания учетных записей сотрудников. В докладе представлены результаты анализа средств
обеспечения информационной безопасности в системе 1С:Предприятие
8: идентификации и аутентификации пользователей, разграничения доступа к
объектам базы данных, аудита событий безопасности. Литература 1. Радченко М.Г. 1С:Предприятие 8.1. Практическое пособие разработчика. Примеры и типовые приемы. М.: ООО «1С-Паблишинг». СПб.: Питер, 2007. 2. 1С:Предприятие 8.1. Конфигурирование и администрирование. М.: Фирма «1С», 2007. 3. Федеральный
закон Российской Федерации от 27 июля |
