Настройка ЗПС с использованием мягкого режима

Для настройки ЗПС с использованием «мягкого» режима в системе защиты Dallas Lock 8.0 существует дополнительный механизм. Пример такой настройки описан ниже.

Пусть пользователь, для которого нужно организовать ЗПС, уже создан и инициализирован (к примеру, он называется zaps). Далее для настройки ЗПС, необходимо выполнить следующие шаги по настройке:

1. Создать специальную группу, например, ZPS, и включить пользователя zaps в группу ZPS. Для группы ZPS в глобальных настройках запретить запуск всего (вкладка «Контроль доступа» => «Глобальные» => «Параметры по умолчанию») (рис. 102).

Рис. 102. Глобальный запрет запуска программ для настройки ЗПС

2. Включить параметр аудита «Аудит: заносить в журнал все ошибки при включенном мягком режиме» (вкладка «Параметры безопасности» => «Аудит») (рис. 103).

Рис. 103. Включение аудита доступа

3. Далее необходимо включить «мягкий режим» контроля доступа и желательно очистить журнал доступа ресурсов. Отправить компьютер в перезагрузку.

Примечание. Необходимо именно перезагрузить компьютер, просто завершить сеанс работы одного пользователя и зайти другим недостаточно – при загрузке компьютера используется другой набор исполняемых модулей. При смене пользователя сам процесс загрузки операционной системы не попадет в журнал доступа к ресурсам, и в результате настройки ЗПС данным способом этот пользователь не сможет осуществить вход.

4. Загрузить систему под учетной записью пользователя zaps. Запустить все те приложения, с которыми пользователь имеет право работать (но, не запускать ничего лишнего).

Следует помнить, что не все приложения достаточно просто запустить. Некоторые сложные приложения на своем старте загружают не все исполняемые модули, а только необходимые, остальные модули они подгружают динамически, в процессе работы. Поэтому после запуска приложения лучше выполнить все основные действия приложения для работы.

На этом этапе в журнале доступа к ресурсам формируется список файлов, которые нужны данному пользователю для работы.

5. Загрузить систему под учетной записью администратора. Запустить оболочку администратора системы защиты, открыть журнал доступа к ресурсам.

6. Настроить и применить фильтр журнала доступа к ресурсам: пользователь – «zaps», результат – «ошибка» (рис. 104).

Рис. 104. Фильтр журнала доступа к ресурсам

7. Далее, щелчком правой кнопки мыши на поле с записями журнала необходимо вызвать контекстное меню и выбрать пункт «Права для файлов» или нажать эту кнопку на панели «Действия» (рис. 105).

Рис. 105. Контекстное меню в журнале доступа к ресурсам

8. В появившемся окошке редактирования параметров безопасности назначить дискреционные права для группы ZPS «только чтение» (рис. 106).

Рис. 106. Назначение дискреционных прав для файлов

После нажатия кнопки «ОК» система попросит пользователя выбрать еще одно действие для настройки параметров безопасности (рис. 107):

Рис. 107. Настройка параметров безопасности

В этом случае, если назначаются права на доступ к ресурсам для группы ZPS впервые, то параметры безопасности будут созданы независимо от выбранного значения «Да» или «Нет». Если же необходимо добавить параметр (например, право запускать еще какую-либо программу), то в этом случае следует нажать кнопку «Да», чтобы добавить параметр и не потерять существующие.

Примечание. Назначить права можно и для каждой отдельно взятой записи в журнале доступа к ресурсам, для этого необходимо дважды кликнуть выбранную запись. Появится окно свойств данной записи журнала (рис. 108). В этом окне необходимо нажать кнопку «Свойства». Откроется окошко редактирования параметров безопасности, в котором, согласно данному примеру, требуется назначить дискреционные права для группы ZPS «только чтение».

Рис. 108. Назначение прав через кнопку Свойства для операции пользователя

Таким образом, ЗПС организована. Теперь необходимо отключить «мягкий режим» и зайти пользователем zaps. Этот пользователь сможет работать только с необходимыми программами.

Следует помнить, что вполне вероятна ситуация, когда не все нужные для работы пользователя исполняемые файлы занеслись в список. Так как некоторые приложения вызывают какие-либо другие исполняемые файлы только при активизации определенных функций. Если после включения ЗПС у пользователя zaps какое-либо приложение стало работать неправильно – это можно сразу же увидеть в журнале доступа к ресурсам. Скорее всего, для какого-то еще исполняемого файла необходимо добавить право на исполнение для данного пользователя (группы).