Подробный гайд: Ограничение съёмных носителей в Dallas Lock 8.0

Настройка ограничения съёмных носителей в Dallas Lock 8.0: пошаговый гайд по блокировке USB, белому списку и аудиту доступа

Подробный гайд: Ограничение съёмных носителей в Dallas Lock 8.0

Важно:

Все настройки выполняются через оболочку администратора СЗИ НСД Dallas Lock 8.0 или через Сервер безопасности при централизованном управлении.

Основы модуля СКН (Система контроля накопителей)

Модуль СКН является частью СЗИ Dallas Lock 8.0 и предназначен для контроля съёмных машинных носителей информации.

Он поддерживает два уровня защиты:

Уровень	Назначение
Уровень подключения	Контроль подключения накопителей к АРМ, разграничение доступа по пользователям/группам
Уровень отчуждения	Преобразование информации «на лету» при записи на сертифицированные носители (Рутокен ЭЦП 3.0), защита от утечек

Модуль сертифицирован ФСТЭК России и соответствует требованиям профилей защиты ИТ.СКН.П4.ПЗ и ИТ.СКН.Н4.ПЗ.

Пошаговая настройка (локальный режим)

Шаг 1: Запуск оболочки администратора

Запустите Dallas Lock 8.0 с правами администратора безопасности
Перейдите на вкладку «Параметры безопасности» → «Контроль ресурсов»

Шаг 2: Настройка глобальных политик для съёмных носителей

Откройте раздел «Глобальные»

2. Выберите параметр:

Параметры открытых USB-Flash носителей по умолчанию — для обычных флешек
Параметры преобразованных сменных накопителей по умолчанию — для защищённых носителей

Шаг 3: Запрет доступа по умолчанию

Перейдите на вкладку «Дискреционный доступ»
Выберите группу «Все» → установите «Полный запрет»
Нажмите «ОК» для применения

Шаг 4: Добавление разрешённых накопителей (белый список)

Подключите к ПК USB-накопитель, который нужно разрешить
Перейдите: «СКН» → «Сменные накопители» → кнопка «Добавить»
В выпадающем списке выберите подключённый накопитель по серийному номеру/идентификатору

4. На вкладке «Дискреционный доступ» назначьте права:

Конкретному пользователю или группе
Тип доступа: «Только чтение», «Чтение/запись» или «Полный доступ»

Шаг 5: Применение политик

Сохраните изменения
Выполните синхронизацию (при работе с Сервером безопасности)
Перезагрузите компьютер или завершите сеанс пользователя для применения политик

Настройка через Сервер безопасности (централизованное управление)

Если используется Сервер безопасности Dallas Lock:

Запустите консоль Сервера безопасности
Перейдите: «Контроль ресурсов домена» → «Глобальные»
Выберите Параметры открытых USB-Flash накопителей по умолчанию → запретите доступ группе «Все»
Подключите разрешённый накопитель к серверу
Перейдите: «СКН» → «Сменные накопители» → «Добавить»
Выберите накопитель из списка → настройте дискреционные права

7. В дереве клиентов выберите целевую группу/ПК:

Установите флаг «Включить централизованное управление»
Выберите настроенный накопитель в списке
Нажмите «Сохранить»
1. Выполните синхронизацию сервера с клиентами

Дополнительные функции СКН

Теневое копирование

Автоматическое сохранение копий файлов, копируемых на съёмные носители
Копии хранятся в защищённой области: C:\DLOCK80\Logs\PrintCopy\ (для печати) или аналогичной для носителей
Включается в параметрах аудита: «Аудит: Просмотр теневых копий файлов»

Преобразование накопителей (для уровня отчуждения)

Прозрачное шифрование данных при записи на сертифицированные носители Рутокен ЭЦП 3.0
Ключи преобразования хранятся в защищённой области ПК и недоступны пользователю
Доступ к данным возможен только на АРМ, авторизованных в домене безопасности

Аудит событий

Включите в «Параметры безопасности» → «Аудит»:

Журнал ресурсов — для фиксации доступа к накопителям
Аудит устройств — для регистрации подключений/отключений
Аудит событий зачистки — при использовании гарантированной очистки

Важные замечания

Наследование политик: параметры аудита и доступа не наследуются, а заменяются на более низком уровне.
Режим обучения: для упрощённой настройки ЗПС и доступа можно временно включить «Режим обучения» — система автоматически добавит права для используемых ресурсов.
Тестирование: после настройки обязательно протестируйте политики под учётной записью обычного пользователя.
Резервное копирование: перед массовым развёртыванием политик сохраните конфигурацию через меню «Конфигурация» → «Сохранить настройки».