Методы и средства обеспечения информационной безопасности в системе 1С:Предприятие 8.1 П.Б.Хорев доцент кафедры информационной безопасности РГСУ

Основные методы защиты информационных систем Идентификация и аутентификация субъектов. Идентификация и аутентификация субъектов. Авторизация субъектов. Авторизация субъектов. Аудит событий, имеющих отношение к безопасности. Аудит событий, имеющих отношение к безопасности.

Идентификация и аутентификация пользователей Создание и редактирование списка пользователей. Создание и редактирование списка пользователей. Выбор способа аутентификации пользователей. Выбор способа аутентификации пользователей.

Способы аутентификации Средствами системы 1С:Предприятие (по имени и паролю). Средствами системы 1С:Предприятие (по имени и паролю). Средствами ОС Microsoft Windows (по имени и паролю или с помощью смарт- карт). Средствами ОС Microsoft Windows (по имени и паролю или с помощью смарт- карт).

Создание учетной записи пользователя

Повышение достоверности аутентификации средствами 1С:Предприятие Установка минимальной длины паролей пользователей. Установка минимальной длины паролей пользователей. Включение проверки сложности паролей. Включение проверки сложности паролей. Удаление имени пользователя из списка выбора при входе в систему. Удаление имени пользователя из списка выбора при входе в систему.

Повышение достоверности аутентификации средствами ОС Windows Установка минимальной длины и сложности паролей. Установка минимальной длины и сложности паролей. Ограничение максимального срока действия паролей. Ограничение максимального срока действия паролей. Включение требования неповторяемости паролей и их минимального срока действия. Включение требования неповторяемости паролей и их минимального срока действия. Неотображение последнего имени пользователя, входившего в систему. Неотображение последнего имени пользователя, входившего в систему. Вход в систему с использованием смарт- карт. Вход в систему с использованием смарт- карт.

Объединение аутентификации средствами 1С:Предприятие и средствами Windows Наиболее безопасный способ аутентификации пользователей. Наиболее безопасный способ аутентификации пользователей. Требуется принудительное отображение диалога аутентификации пользователя средствами 1С:Предприятие (параметр командной строки /WA+). Требуется принудительное отображение диалога аутентификации пользователя средствами 1С:Предприятие (параметр командной строки /WA+).

Авторизация пользователя в системе 1С:Предприятие Назначение роли. Назначение роли. Назначение интерфейса. Назначение интерфейса.

Назначение пользователю роли и интерфейса

Создание и назначение роли Роли создаются для отдельных должностных обязанностей. Роли создаются для отдельных должностных обязанностей. Каждому пользователю системы может быть назначена одна или несколько ролей. Каждому пользователю системы может быть назначена одна или несколько ролей.

Создание и редактирование роли Выбор объекта (объектов) конфигурации. Выбор объекта (объектов) конфигурации. Выбор прав доступа, разрешенных для выбранного объекта. Выбор прав доступа, разрешенных для выбранного объекта. Учет наследования (иерархии) прав доступа. Учет наследования (иерархии) прав доступа.

Создание и редактирование роли Возможность автоматической установки прав доступа к новым объектам. Возможность автоматической установки прав доступа к новым объектам. Возможность ограничения доступа к данным на уровне отдельных полей и записей. Возможность ограничения доступа к данным на уровне отдельных полей и записей. Ограничение доступа к данным может быть определено с помощью конструктора или путем создания и редактирования именованных шаблонов ограничения доступа. Ограничение доступа к данным может быть определено с помощью конструктора или путем создания и редактирования именованных шаблонов ограничения доступа.

Механизм интерфейсов Создание наборов команд главного меню и элементов панели инструментов, доступных для пользователя. Создание наборов команд главного меню и элементов панели инструментов, доступных для пользователя. Возможность дополнительного ограничения полномочий конкретного пользователя. Возможность дополнительного ограничения полномочий конкретного пользователя.

Создание пользовательского интерфейса

Обновление конфигурации базы данных Необходимо после создания ролей и интерфейсов, чтобы новым пользователям информационной системы могли быть назначены созданные роли и интерфейсы. Необходимо после создания ролей и интерфейсов, чтобы новым пользователям информационной системы могли быть назначены созданные роли и интерфейсы.

Настройка журнала регистрации системы 1С:Предприятие Определение событий, которые должны регистрироваться в журнале. Определение событий, которые должны регистрироваться в журнале. Выбор периода времени, по истечении которого журнал регистрации будет сохраняться в новом файле. Выбор периода времени, по истечении которого журнал регистрации будет сохраняться в новом файле. Возможность сокращения записей журнала до истечения указанного периода путем их удаления и, при необходимости, сохранения в файле. Возможность сокращения записей журнала до истечения указанного периода путем их удаления и, при необходимости, сохранения в файле.

Настройка журнала регистрации системы 1С:Предприятие Возможность сохранения разделения журнала по периодам и его объединения с ранее сохраненным журналом. Возможность сохранения разделения журнала по периодам и его объединения с ранее сохраненным журналом. Возможность автоматического обновления после заданного интервала времени при просмотре журнала регистрации. Возможность автоматического обновления после заданного интервала времени при просмотре журнала регистрации.

Настройка журнала регистрации

Информация о событии в журнале регистрации Уровень события (ошибка, предупреждение, информация, примечание). Уровень события (ошибка, предупреждение, информация, примечание). Дата и время события. Дата и время события. Имя и представление приложения, вызвавшего событие. Имя и представление приложения, вызвавшего событие. Имя и представление события. Имя и представление события. Глобальный идентификатор и имя пользователя. Глобальный идентификатор и имя пользователя. Данные события и др. Данные события и др.

Отбор записей в журнале регистрации

Сохранение журнала регистрации В формате 1С:Предприятие (*.elf). В формате 1С:Предприятие (*.elf). В формате XML. В формате XML.

Выводы В системе 1С:Предприятие 8.1 реализованы все необходимые методы обеспечения безопасности информационных систем. В системе 1С:Предприятие 8.1 реализованы все необходимые методы обеспечения безопасности информационных систем. В механизме парольной аутентификации предусмотрены возможности ее усиления и объединения с механизмом аутентификации пользователей ОС Windows. В механизме парольной аутентификации предусмотрены возможности ее усиления и объединения с механизмом аутентификации пользователей ОС Windows. При авторизации пользователей используется гибкий и мощный механизм ролевого разграничения доступа к объектам информационной системы. При авторизации пользователей используется гибкий и мощный механизм ролевого разграничения доступа к объектам информационной системы.

Выводы Для дополнительного разграничения прав пользователей в системе может применяться механизм интерфейсов. Для дополнительного разграничения прав пользователей в системе может применяться механизм интерфейсов. Средства ведения, настройки, просмотра и сохранения журнала регистрации событий позволяют вести регулярный аудит безопасности системы. Средства ведения, настройки, просмотра и сохранения журнала регистрации событий позволяют вести регулярный аудит безопасности системы.

Замечания В эксплуатационной документации отсутствуют сведения об алгоритме хеширования паролей, что не позволяет точно оценить сложность их подбора. В эксплуатационной документации отсутствуют сведения об алгоритме хеширования паролей, что не позволяет точно оценить сложность их подбора. При назначении роли (ролей) пользователям целесообразно ввести средства ограничений на совмещение разных ролей одним пользователем и количество пользователей, которым может быть одновременно назначена некоторая роль. При назначении роли (ролей) пользователям целесообразно ввести средства ограничений на совмещение разных ролей одним пользователем и количество пользователей, которым может быть одновременно назначена некоторая роль.

Замечания В эксплуатационной документации отсутствуют сведения о защите журнала регистрации событий от его удаления или подмены с целью скрытия совершенных несанкционированных действий. Неясно также, фиксируется ли в журнале событие, связанное с сокращением (удалением) записей в журнале до истечения заданного периода. В эксплуатационной документации отсутствуют сведения о защите журнала регистрации событий от его удаления или подмены с целью скрытия совершенных несанкционированных действий. Неясно также, фиксируется ли в журнале событие, связанное с сокращением (удалением) записей в журнале до истечения заданного периода.