Функции проверки подлинности, контроля доступа субъектов к томам, каталогам, файлам в АС

Автоматизированные системы (АС) реализуют комплекс мер для защиты данных на различных уровнях – от томов до отдельных полей в записях баз данных.

Автоматизированные системы (АС) реализуют комплекс мер для защиты данных на различных уровнях – от томов (логических дисков) до отдельных полей в записях баз данных. Эти меры включают проверку подлинности (аутентификацию) и контроль доступа (авторизацию).

Функции проверки подлинности (аутентификации)

Аутентификация подтверждает, что пользователь является тем, за кого себя выдает, перед тем как ему будет предоставлен доступ к томам, файлам и данным.

Методы аутентификации

Логин и пароль – классический метод проверки личности.
Многофакторная аутентификация (MFA, 2FA) – пароль + одноразовый код (OTP), биометрия, смарт-карта.
Биометрическая аутентификация – отпечатки пальцев, распознавание лица или радужки глаза.
Аппаратные токены и смарт-карты – например, eToken, Rutoken, YubiKey.
Единый вход (SSO) – централизованная аутентификация через Active Directory, LDAP, Kerberos, OAuth.

Ограничение по устройствам и местоположению

Фильтрация по IP-адресам – доступ возможен только с определенных сетей.
Контроль времени входа – ограничение работы с томами/файлами в нерабочее время.
Привязка к доверенным устройствам – работа только с авторизованных компьютеров.

Контроль доступа к томам, каталогам, файлам, записям и полям записей

Контроль доступа регулирует, какие пользователи могут читать, изменять, копировать или удалять данные на разных уровнях.

Разграничение доступа на разных уровнях

Том (логический диск): Доступ к диску C:\ разрешён только администраторам, возможно пользователям в зависимости от уровня доступа.
Каталог (папка): Пользователь может читать, но не изменять файлы в «Документы».
Файл: Файл «отчет_servermonru.xlsx» доступен только бухгалтерии.
Запись (строка в базе данных): Бухгалтер видит только записи, относящиеся к его отделу.
Поле записи (ячейка в БД): Поле «Зарплата» скрыто от обычных пользователей.

Модели контроля доступа

В зависимости от политики безопасности в АС применяются разные модели доступа:

Дискреционный контроль доступа (DAC – Discretionary Access Control)

Доступ назначается владельцем данных.
Например, пользователь может установить пароль на файл Excel или дать разрешение коллегам.

Мандатный контроль доступа (MAC – Mandatory Access Control)

Доступ регулируется политиками безопасности системы.
Например, конфиденциальные файлы могут быть доступны только сотрудникам с соответствующим уровнем допуска.

Ролевой контроль доступа (RBAC – Role-Based Access Control)

Доступ предоставляется на основе ролей (например, «Администратор», «Менеджер»).
Программисты могут изменять код, но не видеть финансовые отчеты.

Атрибутный контроль доступа (ABAC – Attribute-Based Access Control)

Доступ определяется по условиям (время суток, тип устройства, уровень доверия).
Например, доступ разрешен только с корпоративных ноутбуков в рабочие часы.

Технологии контроля доступа

NTFS-права в Windows – позволяет устанавливать разрешения на папки и файлы.
POSIX ACL в Linux – детальный контроль доступа к файлам.
Шифрование дисков и файлов (BitLocker, VeraCrypt) – защита от несанкционированного доступа.
DLP-системы (Data Loss Prevention) – предотвращение утечек данных.
Журналирование и мониторинг событий (SIEM) – фиксация попыток доступа и анализа угроз.