Гайд по настройке контроля и разграничения прав доступа к файловым системам в ViPNet SafePoint
В СЗИ ViPNet SafePoint контроль доступа к файловой системе реализован через два взаимодополняющих механизма: дискреционный (на основе матрицы доступа) и мандатный (на основе меток безопасности).
1. Архитектура и предварительные требования
ViPNet SafePoint работает по клиент-серверной модели:
- Клиент — устанавливается на рабочие станции и серверы, обеспечивает все защитные механизмы.
- Сервер безопасности — управляет клиентами, рассылает политики защиты.
- Сервер аудита —用于 просмотра событий аудита в реальном времени (опционально).
Важно:
Если в модели администрирования отсутствует Сервер аудита, настройки мандатного доступа к создаваемым файлам в консоли управления Клиента можно скрыть, установив ключу реестра десятичное значение 4.
Перед настройкой убедитесь, что:
- Клиент подключён к Серверу безопасности (или работает автономно).
- Учётные записи пользователей созданы и синхронизированы с ОС.
- Определены профили защиты, к которым будут привязываться правила.
2. Ключевые концепции разграничения доступа
ViPNet SafePoint применяет иерархическую ролевую модель доступа к ресурсам.
Разграничение прав доступа к файловой системе строится на двух принципах:
| Тип контроля | Объекты | Принцип |
|---|---|---|
| Дискреционный | Статичные файловые объекты (уже существующие) | Матрица доступа: субъект → объект → операция |
| Мандатный | Создаваемые файлы (автоматическая разметка) | Метки безопасности (уровни доступа) |
Особенность ViPNet SafePoint в том, что для статичных и создаваемых объектов применяются разные принципы контроля.
3. Дискреционное управление доступом к статичным файловым объектам
3.1. Добавление файловых объектов в список доступа
Для назначения правил доступа к существующим файлам и папкам необходимо сначала добавить их в список объектов доступа ViPNet SafePoint:
- В консоли управления перейдите в раздел управления файловыми объектами.
- В списке объектов доступа вызовите контекстное меню и выберите «Добавить объект ФС».
- Укажите файловый объект одним из способов:
- Полный путь вручную — введите путь к файлу или папке.
- Через проводник ОС — нажмите «Обзор файлов» или «Обзор каталогов».
- В пространстве имён NT — вызовите контекстное меню кнопки обзора и выберите «Обзор с использованием имён NT».
- С помощью маски — задайте выборку файловых объектов по шаблону (например,
*.exe,C:\Project\*). - Через проводник ViPNet SafePoint — выберите конкретное устройство или модель накопителя.
- Выберите тип объекта (файл, папка, накопитель).
- Настройте режим аудита доступа к объекту:
- «Фиксировать отказы в доступе в локальном журнале» — регистрировать все отказы.
- «Фиксировать только от указанных субъектов» — выборочная регистрация.
- «Не фиксировать от указанных субъектов» — исключение отдельных субъектов из аудита.
- При необходимости настройте отправку событий на Сервер аудита.
- Сохраните настройки.
3.2. Назначение правил дискреционного доступа
Правила дискреционного доступа определяют полномочия субъектов на операции с файлами, созданными или изменёнными другими субъектами.
Правило может разрешать или запрещать следующие операции:
- Чтение — доступ к объекту без изменения (чтение содержимого, просмотр атрибутов).
- Запись — изменение содержимого объекта.
- Удаление — удаление объекта.
- Переименование — изменение имени объекта.
Правила привязываются к профилю защиты. Для каждого профиля можно задать свою матрицу доступа.
4. Управление доступом к создаваемым файлам
Это ключевая особенность ViPNet SafePoint: контроль прав доступа к файлам, создаваемым в процессе работы, основан на автоматической разметке.
4.1. Настройка правил ограничения доступа
Порядок настройки правил для создаваемых файлов:
- В консоли управления перейдите в раздел «Управление доступом к создаваемым файлам» → «Ограничение доступа».
- Вызовите контекстное меню в списке правил и выберите «Добавить правило».
- Выберите субъекты, осуществляющие доступ, и субъекты-создатели.
- Установите флаг «Фиксировать параметры разметки создаваемых файлов».
- Настройте правила регистрации событий аудита при попытках доступа к файлу.
- Нажмите «OK» и сохраните настройки.
Управление правилами:
- Редактирование — вызовите контекстное меню правила → «Редактировать правило».
- Удаление — вызовите контекстное меню правила → «Удалить правило».
- После изменений обязательно нажмите «Сохранить настройки».
4.2. Дискреционное управление доступом к создаваемым файлам
В разделе «Управление доступом к создаваемым файлам» → «Дискреционное управление доступом» настраиваются правила, определяющие, какие субъекты могут работать с файлами, созданными другими субъектами.
Для каждого создаваемого файла SafePoint автоматически фиксирует информацию о создателе (эффективный и первичный пользователь, процесс). На основе этих меток строится разделительная политика доступа между пользователями.
5. Работа с файловыми атрибутами (метками)
Для просмотра, удаления и записи меток создателей файлов используется редактор файловых атрибутов mdexplore.exe:
- Запустите
mdexplore.exe(по умолчанию в[Метка тома]:\Program Files\InfoTecS\ViPNet SafePoint\bin). - При включённой парольной защите введите пароль.
- В редакторе можно:
- Удалить метку файла — контекстное меню файла → «Стереть информацию о создателе».
- Удалить метки всех файлов в папке — контекстное меню папки → «Стереть информацию о создателе» (при необходимости выберите «Рекурсивно»).
- Разметить файл — контекстное меню файла → «Записать информацию о создателе» → укажите эффективного и первичного пользователей, а также процесс.
- Разметить все файлы в папке — контекстное меню папки → «Записать информацию о создателе».
6. Мандатный контроль доступа
Мандатный контроль основан на метках безопасности (уровнях доступа). Он применяется как к статичным, так и к создаваемым файлам, включая файлы на сменных носителях.
Для настройки мандатного доступа:
- В консоли управления Клиента (при наличии Сервера аудита) перейдите в соответствующий раздел.
- Настройте уровни доступа для пользователей и процессов.
- Сопоставьте метки безопасности с файловыми объектами.
- При необходимости включите поддержку виртуальных машин как субъектов доступа, установив ключу реестра десятичное значение
32.
Примечание:
Если разграничительная политика организации не предусматривает мандатное управление доступом к создаваемым файлам, можно скрыть соответствующие настройки, установив ключу реестра значение 4.
7. Управление правами прямого доступа к накопителям
Помимо доступа к файлам, ViPNet SafePoint позволяет контролировать прямой доступ к дискам (в обход файловой системы). Это предотвращает попытки обхода разграничительной политики.
Порядок настройки правил прямого доступа к накопителям:
- Запустите консоль управления Клиента локально или удалённо через консоль Сервера безопасности.
- Перейдите в раздел «Управление прямым доступом к дискам» → «Правила доступа».
- В списке «Профиль» выберите профиль защиты, в который нужно добавить правило.
- Назначьте правила доступа к конкретным накопителям или моделям устройств.
- При необходимости используйте проводник ViPNet SafePoint для выбора устройств: нажмите «Обзор устройств», выберите устройство (группу устройств) и нажмите «OK».
8. Аудит событий доступа к файловой системе
ViPNet SafePoint ведёт журнал событий контроля доступа к файловой системе.
События аудита можно регистрировать:
- В локальном журнале — при отказах в доступе к выбранным объектам.
- На Сервере аудита — для централизованного сбора и анализа событий в реальном времени.
Настройка аудита выполняется индивидуально для каждого файлового объекта при его добавлении в список доступа (см. раздел 3.1).
9. Дополнительные настройки через реестр
При автономном использовании Клиентов (без Сервера безопасности) могут потребоваться дополнительные настройки через реестр:
| Значение | Назначение |
|---|---|
4 |
Скрыть настройки мандатного доступа к создаваемым файлам |
8 |
Разрешить управление учётными записями доменных пользователей |
16 |
Запретить управление объектами ФС и реестра из консоли Сервера безопасности |
32 |
Включить поддержку виртуальных машин как субъектов доступа |
64 |
Автономная работа без Сервера безопасности |
Для одновременного применения нескольких настроек сложите значения и установите суммарное значение ключу реестра.
10. Рекомендации по разграничению прав
- Принцип минимальных привилегий — каждый пользователь должен иметь доступ только к тем файлам и папкам, которые необходимы для выполнения его должностных обязанностей.
- Использование масок — для динамического управления доступом к группам объектов (например,
*.exe,C:\Projects\*). При конфликте правил приоритет имеет правило для конкретного ключа, затем для ветви, затем для группы по маске. - Разделение статичных и создаваемых объектов — для существующих файлов настраивайте дискреционные правила, для создаваемых — полагайтесь на автоматическую разметку и разделительные политики.
- Регулярный аудит — настройте регистрацию отказов в доступе как в локальном журнале, так и на Сервере аудита для своевременного выявления инцидентов.
- Контроль прямого доступа к дискам — обязательно настройте правила прямого доступа к накопителям, чтобы исключить обход файловой политики через низкоуровневые операции.
11. Проверка и сохранение настроек
После внесения всех изменений:
- Нажмите «Сохранить настройки» на верхней панели консоли.
- Убедитесь, что правила применились к целевым профилям защиты.
- Проведите тестирование доступа от имени различных пользователей.
- При необходимости скорректируйте правила и повторите сохранение.
Важно:
После перезагрузки компьютера запускается контроль целостности системы, и изменить особенности работы Клиента будет невозможно. Поэтому все настройки должны быть выполнены до перезагрузки.
Информация предоставлена в ознакомительных целях. Применение описанных настроек в системах, должно осуществляться только после согласования с ответственными за информационную безопасность и в соответствии с требованиями ФСТЭК, ФСБ и иных уполномоченных органов.