Предложения по построению корпоративной информационной системы с учётом защиты и контроля доступа

Главная страница        >> Каталог технологий        >> Связь, передача и защита информации
 
     

Система унифицированного доступа к ресурсам
Информационные объекты и общий алгоритм работы
Общий алгоритм работы сервера доступа
Реализация системы доступа (СЕЗАМ) для платежной и информационной системы банка

Система унифицированного доступа к ресурсам

Наличие большого числа информационных и вычислительных ресурсов (баз данных и приложений), используемых в крупных организациях и функционирующих на различных аппаратных и программных платформах, делает актуальной задачу создания и внедрения системы унифицированного доступа к ресурсам с целью построения единого информационного пространства.

Кроме перечисленных ранее основных критериев построения крупных информационных систем при создании системы унифицированного доступа к ресурсам необходимо учитывать следующие положения :

  • необходимость обеспечения единого средства доступа к ресурсам;
  • обеспечение единой политики безопасности и защиты информации;
  • необходимость централизованного, непрерывного управления, администрирования и контроля использования ресурсов;
  • наличие большого числа наследуемых приложений, исторически используемых в крупной организации.

Исходя из вышеперечисленных принципов построения систем и существующих ограничений, предлагается использовать следующую схему доступа к данным (информационным и вычислительным ресурсам) при проектировании программного обеспечения с использованием технологий Internet/Intranet.

Предлагаемая схема представляет собой многозвенную архитектуру, включающую в себя:

  • клиентский уровень - персональный компьютер пользователя под управлением ОС MS Windows 3.11/95/NT, использующий один из широко распространенных WWW-клиентов: Microsoft Internet Explorer или Netscape Navigator);
  • уровень Web-сервера - масштабируемая структура Web-серверов, обеспечивающих унифицированные средства представления информации);
  • уровень сервера доступа (Access Server) - специализированный сервер приложений, реализующий функции аутентификации пользователей, управления правами доступа, контроля и протоколирования сеансов, доступ к информационным и вычислительным ресурсам;
  • уровень сервера приложений (Application Server) - прикладные серверы, реализующие бизнес-логики различных приложений или процедуры доступа к информационным ресурсам;
  • уровень сервера данных (Data Server).

Под сервером данных в данном случае понимается не обязательно сервер баз данных, содержащий конечную информацию. Сервер данных представляет собой некоторую интерфейсную структуру (построенную, быть может, с использованием средств СУБД, или же без них) для организации взаимодействия сервера приложения с другими серверами приложений или с серверами баз данных.

Данная архитектура позволяет скрыть от конечного пользователя сложность внутренней структуры системы и максимально оптимизировать загрузку вычислительных средств. Функции, реализуемые уровнем сервера доступа:

  • аутентификация пользователей системы;
  • контроль версий клиентского ПО (активных объектов);
  • управление состоянием и сеансами;
  • предоставление унифицированного доступа к ресурсам информационной системы;
  • управление авторизацией и разграничением доступа;
  • протоколирование сеансов работы абонентов;
  • регистрация попыток несанкционированного доступа;
  • общее централизованное администрирование системы;
  • получение статистической информации о работе абонентов.

С точки зрения взаимодействия с соседними уровнями, уровень сервера доступа выступает в качестве универсального интерфейса к существующим в системе приложениям, функции, реализуемые уровнем сервера приложений предоставление специализированного интерфейса конкретных приложений или баз данных. Заметим еще раз, что уровень сервера приложений выступает в качестве сервера доступа по отношению к конкретному приложению.

Аутентификация пользователей системы.

Аутентификация пользователей предполагает определение подлинности пользователя перед началом работы с системой. Для аутентификации могут использоваться различные атрибуты пользователя и их комбинации: имя, пароль, IP-адрес, сетевое имя компьютера, время и место подключения и т.п. Используемая схема паролей должна исключать возможность перехвата пароля путем активного сканирования сети и последующего его незаконного использования, а также возможность накопления статистического материала об используемых паролях. Такая схема может быть реализована использованием случайных сеансовых паролей, передаваемых по сети в зашифрованном виде. Применяемые в этом случае алгоритмы шифрования и соответствующее программное обеспечение должно быть сертифицировано и разрешено к применению.

Контроль версий ПО, используемых клиентом.

Возможности Web-технологии в части использования активных объектов должны быть использованы для обновления клиентских активных объектов.

Управление состоянием и сеансами.

Протоколы, используемые при обмене данными между Web-сервером и клиентом, являются сеансо-независимыми. Это означает, Web-сервер не может соотнести запрос клиента с его предыдущими запросами. Реализация этого соответствия должна быть выполнена сервером доступа для подтверждения возможности выполнения запроса и отслеживания сеансового контекста пользователя. Кроме этого, функция управления состоянием и сеансами должна обеспечивать возможность динамического отслеживания состояния системы, подключенных пользователей и выполняемых действий.

Предоставление унифицированного доступа к ресурсам информационной системы.

Функция унифицированного доступа к ресурсам системы предполагает использование однотипных протоколов и интерфейсов для доступа к различным приложениям, будь это наследуемые DOS или Windows-приложения, приложения поддерживающие HTTP-протокол и предоставляющие входные и выходные данные в виде статических и/или динамических HTML-страниц. Такой унифицированный механизм доступа может быть реализован одним из следующих способов:

  • путем инициирования сессии с Web-сервером, который взаимодействуя с некоторым промежуточным программным слоем (типа Citrix WinFrame), предоставляет пользователю доступ к традиционным приложениям, преобразуя экранные формы в формат HTML, корректно интерпретируемый WWW-клиентом;
  • путем обращения из WWW-клиента к серверу за необходимыми сервисами (доступ к данным СУБД, обработка данных и т.п.), причем загрузка объектного сервиса на клиентское место может осуществляться как с Web-сервера (Java-классы, ActiveX объекты и т.д.) в процессе работы, так и быть проведена заранее;
  • путем взаимодействия через Web-сервер с приложениями, реализующими HTTP-протокол.

Управление авторизацией и разграничением доступа.

Управление авторизацией и разграничением доступа является важнейшей функцией, реализуемой сервером доступа. Реализация этой функции позволяет поставить однозначное соответствие между конкретным пользователем и доступным ему множеством ресурсов. Такая реализация предполагает наличие единого списка именованных (каким-либо образом) ресурсов и единого списка пользователей. Реализация соответствия пользователя и ресурса может использовать один из следующих методов:

  • для каждого пользователя (и/или группы пользователей) существует список доступных ресурсов (или групп ресурсов) - прямое соответствие;
  • для каждого ресурса (группы ресурсов) определен набор привилегий, обеспечивающих доступ; для каждого пользователя (группа пользователей) также определен присущий им набор привилегий; доступ к ресурсу может быть разрешен только при наличии у пользователя всех привилегий ресурса - косвенное соответствие.
Кроме этого, могут быть дополнительно определены различные типы доступа к ресурсам (чтение, запись, удаление, запуск и т.п.), права на использование которых могут быть различными.

Протоколирование сеансов работы абонентов.

Функция протоколирования и регистрации предусматривает запись информации о любых действиях пользователей по доступу к ресурсам в статические и динамические журналы, с указанием идентификаторов пользователей, ресурсов, типов доступа, времени, условий, результатов выполнения операций и т.д.

Общее централизованное администрирование системы.

Функция администрирования предполагает наличие внешней по отношению к серверу доступа программной компоненты, обеспечивающей создание и изменение управляющей информации сервера доступа: списка пользователей, списка ресурсов, каталогов прав доступа и т.д. Конкретно функции подсистемы администрирования будут рассмотрены ниже.

Получение статистической информации о работе абонентов.

Реализация данной функции предполагает возможность получения на основе данных протоколирования и регистрации статистических отчетов о работе пользователей и системы в целом, в форме удобной для восприятия и последующего анализа.

Информационные объекты и общий алгоритм работы

Основными информационными объектами, используемыми при работе сервера доступа являются:

  • каталог пользователей;
  • каталог приложений (вычислительных ресурсов);
  • каталог внутренних информационных ресурсов;
  • каталог прав доступа;
  • каталог активных сеансов;
  • журнал регистрации;
  • объекты, реализующие концепцию информационных ресурсов (HTML-страницы).

Вопросы конкретной реализации этих объектов здесь не рассматриваются. Наиболее естественным является их реализация в виде таблиц соответствующей базы данных, размещенной на одном из доступных серверу доступа серверов БД.

Каталог пользователей.

Каталог пользователей содержит информацию, идентифицирующую абонентов системы. Такой информацией являются: код, имя пользователя, информация, используемая в процессе аутентификации, принадлежность к организации или подразделению, информация, определяющая возможные режимы работы, время, место подключения, допустимые имена машин, IP-адреса, справочная информация пользователя и т.п. Кроме этого, при реализации функции управления правами доступа к ресурсам на основе привилегий, каталог пользователей должен содержать определенные для каждого абонента системы привилегии доступа. Пользователи могут быть организованы в группы по различным признакам.

Каталог приложений (вычислительных ресурсов).

Каталог приложений содержит информацию, определяющую структуру и содержание существующих в системе приложений. Информация, содержащаяся в каталоге приложений для каждого объекта должна однозначно определять условия запуска (адреса, имена программ или иную информацию), возможность использования статических или динамических параметров, возможное время запуска и т.п. Кроме этого, при реализации функции управления правами доступа к ресурсам на основе привилегий, каталог приложений должен содержать определенные для каждого приложения системы привилегии доступа.

Каталог внутренних информационных ресурсов сервера доступа.

Под понятием внутреннего информационного ресурса, применительно к использованию Web-технологий, предлагается понимать логически связанную совокупность HTML-страниц (статических или динамических) с едиными правами доступа. Проверка полномочий в этом случае осуществляется только при попытке доступа к первой странице ресурса, в дальнейшем, при навигации внутри ресурса контролируются только внешние по отношению к ресурсу ссылки. Содержимое HTML-страниц может быть статическим, или же формироваться динамически как результат выполнения соответствующих приложений или прямых действий пользователей.

Концепция внутренних информационных ресурсов позволит реализовать непосредственно средствами сервера доступа широкие возможности по предоставлению пользователям нормативно-справочной и другой информации с возможностью гарантированного разграничения доступа.

Каталог информационных ресурсов содержит информацию, определяющую наименование ресурсов, их структура, содержание (множество HTML-страниц), последовательность перехода и т.п. Кроме этого, при реализации функции управления правами доступа к ресурсам на основе привилегий, каталог информационных ресурсов должен содержать определенные для каждого ресурса (группы ресурсов) системы привилегии доступа.

Каталог прав доступа.

Каталог прав доступа содержит информацию, определяющую соответствие пользователей и ресурсов при реализации прямого соответствия прав. При этом для каждого пользователя (и/или группы пользователей) существует список доступных ресурсов (или групп ресурсов) с указанием допустимых типов доступа к ресурсу (чтение, запись, удаление, запуск и т.п.). При каждой попытке доступа пользователя к ресурсу производится проверка полномочий, и доступ либо разрешается, либо запрещается с регистрацией данного события в журнале попыток несанкционированного доступа.

Каталог активных сеансов и Журнал регистрации.

Каталог сеансов и журнал регистрации представляют собой регистрационные журналы (динамический и статический соответственно), хранящие информацию о состоянии системы, фиксируемых событиях регистрации пользователей, доступа к ресурсам, попыток несанкционированного доступа.

Каталог сеансов, кроме этого, содержит динамически обновляемую информацию об активных в настоящий момент пользователях, процессах выполняющихся в системе. Информация каталога сеансов и журнала регистрации используется для динамического мониторинга системы и получения статистических отчетов о работе системы, активности пользователей, доступа к тем или иным ресурсам.

Общий алгоритм работы сервера доступа

Общий алгоритм работы каждого доступа к ресурсу можно разделить на несколько этапов:

  • регистрация;
  • доступ к приложению;
  • доступ к информационному ресурсу;
  • завершение работы.

Фаза регистрации начинается с момента подключения абонента к ресурсам Web-сервера и получения приглашения на ввод аутентифицирующей информации. Наряду с приглашением на ввод данных аутентификации на WWW-клиент может быть скопировано обновленное ПО аутентификации.

После введения пользователем требуемых данных, производится их прием сервером доступа, проверка подлинности, целостности данных и корректности подключения. В случае правильности принятых данных (соответствия хранящимся в каталоге пользователей данным аутентификации), пользователь регистрируется в системе, о чем заносится запись в журнал регистрации и формируется соответствующая запись в каталоге сеансов.

Пользователю передается динамически сформированная HTML-страница с перечнем доступных ему информационных и вычислительных ресурсов (приложений) в соответствии с его правами доступа.

Доступ к соответствующему приложению осуществляется путем запроса соответствующего указателя ресурса. После проверки полномочий пользователя, управление передается на запрашиваемый ресурс. Доступ к ресурсу фиксируется в журнале регистрации и каталоге сеансов. Дальнейшая работа с приложением отслеживается средствами сервера доступа и фиксируется в журнале и служебной базе данных.

В качестве информационных и вычислительных ресурсов могут выступать:

  • Web - ресурсы;
  • SQL - запросы к базам данных;
  • плоские файлы различного формата;
  • прикладное программное обеспечение.

Результатом работы приложения могут быть документы, которые передаются через Web-сервер пользователю непосредственно для интерпретации WWW-клиентом или же сохраняются и записываются как соответствующий информационный ресурс с проверкой прав доступа.

Infor2.gif [17 кб]

В дальнейшем эта информация может быть получена пользователем (не обязательно тем которым она была помещена в информационный ресурс) путем доступа к соответствующему информационному ресурсу.

Доступ к выбранному пользователем информационному ресурсу, как и к приложению, осуществляется путем запроса. После проверки полномочий управление передается ресурсу и производится фиксация доступа в журнале регистрации.

Запрос любой внешней по отношению к ресурсу ссылки воспринимается как запрос к новому ресурсу, и весь процесс повторяется сначала. Следует отметить, что среди HTML-страниц информационного ресурса могут быть как статические или динамически формируемые HTML-страницы, так и страницами с элементами типа «форм» и активными элементами интерфейса. В любом случае, технология доступа остается прежней.

В фазе завершения работы формируются соответствующие обобщенные записи журнала регистрации, удаляется запись каталога сеансов и абонент отключается от системы.

Для навигации и обзора доступных ресурсов у пользователя создается персональный «справочник ресурсов», в котором также хранится использование ресурсов во времени.

В состав программного обеспечения системы унифицированного доступа должны входить программные средства администрирования и мониторинга.

Основными функциями программы администрирования являются функции наполнения и поддержания в актуальном состоянии служебной базы данных информационных объектов сервера доступа, рассмотренных ранее, а также полная статистика использования информационных ресурсов.

Для надежной эксплуатации системы необходимо создание службы администрирования. Администратор системы доступа, осуществляет поддержку и сопровождение системы.

Реализация системы доступа (СЕЗАМ) для платежной и информационной системы банка

Базы данных системы доступа реализованы на СУБД Oracle 7.3.3. Возможна реализация на других СУБД.

Средой разработки выбрана Delphi 3.0 фирмы Borland.

В качестве WWW сервера выбран Web Enterprise App Server Baikonur.

Операционная система клиента Windows NT WS.

Операционная система сервера Windows NT 4.0 и выше.

Доступ из программ к базе данных осуществляется посредством механизма BDE (Borland Database Engine) фирмы Borland.

Для доступа к удаленным базам данных (расчетного сервера) используется средство сетевой коммуникации Oracle SQL*Net.

Инструментальные средства проектирования - Power Designer 6.0.

Подсистема операционного и информационного терминала реализована в виде стандартного Web-браузера (MS IE3.0, Netscape Navigator 4.0) и активных компонент, хранящихся на сервере доступа и загружающихся на терминал автоматически.

Активные компоненты реализованы в виде управляющих элементов ActiveX и полностью соответствуют требованиям ЦБ РФ. Активные компоненты используются для взаимодействия с файлами платежных документов операционного дня абонента и программным обеспечением ЭЦП, устанавливаемым на каждом терминале.


 
 
Главная страница        >> Каталог технологий        >> Связь, передача и защита информации

Наверх