Jak bezpečně pracovat s uživateli

Základní osou bezpečnosti systému, která vychází z požadavku bezpečnosti C2, je styl práce s uživateli. Zabezpečen...


Základní osou bezpečnosti systému, která vychází z požadavku bezpečnosti C2, je
styl práce s uživateli. Zabezpečení vyžaduje, aby každý jednotlivec měl své
jednoznačné jméno a heslo, které zná jen on sám. Ani ten nejsilnější správce
nemůže toto heslo zjistit.
Takto zavedený uživatel vstupuje do systému přihlášením. Pokud zadal vstupní
údaje bez chyb, je zahájeno tzv. uživatelské sezení, které se ukončuje až
odhlášením. V tuto dobu může pracovník spouštět své programy a pracovat běžným
způsobem s daty. Všechny činnosti, které provádí, musí korespondovat s právy,
která mu přidělí správce. Po tuto dobu má systém možnost sledovat všechny
činnosti tohoto člověka a zapisovat je do monitorovacího souboru.
Nyní se podíváme na "výrobu" uživatelů trochu podrobněji. Uživatelské konto se
může nacházet ve 3 různých stavech: odpojené, zamčené či platné. Přihlašovat se
je možné jen na konta platná. Po zadání správného jména a hesla platného účtu
již uživateli téměř nic nebrání ve vstupu do systému.
Správce má ale možnost účet odpojit. V tom případě nemá už tento uživatel šanci
do systému proniknout. Ještě by se mohl pokusit uhodnout heslo někoho jiného.
Pak se mu ovšem může podařit uvést tento účet do stavu uzamčení.
K zamykání kont dochází automaticky podle příslušného nastavení. Správce např.
zadá, že po 5 špatných heslech bude účet uzamčen, a to tak dlouho, dokud ho
správce sám ručně neodemkne. Další nastavení se týká hesla doby vypršení jeho
platnosti, jeho délky apod. Tato nastavení jsou jednotná pro všechny uživatele
v doméně.
Jak založit nové uživatelské konto
Správce systému zde zadá jméno pro uživatele, nepovinné identifikace pro lepší
přehlednost a hlavně uživatelské heslo. To musí uvést 2x, aby nedošlo k
překlepu (viz obr. 1).
Následují tlačítka dalších voleb. Jejich počet je různý u NT instalovaných v
pracovní skupině anebo v doméně. Znamená to, že správce domény má rozsáhlejší
možnosti nastavování vlastností pro jednotlivé uživatele. Na druhou stranu to
má tím složitější.
Na podstatný rozdíl narazíme hned u 1. tlačítka, kde se nastavuje začlenění
našeho člověka do skupin. Je sice na první pohled stejné i v síti Workgroup,
ale jen na ten první pohled. V doméně totiž existují 2 typy uživatelských
skupin, kdežto v pracovní skupině jen 1. No, ale teď už pěkně po pořádku. K
čemu tedy jsou uživatelské skupiny?
Skupiny
pro uživatele
Mají velice důležitý úkol, slouží totiž k usnadnění práce. (TO BERU. Poznámka
nejmenovaného administrátora). Je to tak, že správce zařadí uživatele do jedné
nebo několika skupin. Ten uživatel pak získá práva všech skupin, do kterých byl
začleněn. Ta se mu sečtou s jeho osobními právy. Usnadnění práce spočívá v tom,
že nemusíme přiřazovat jmenovitě všem uživatelům práva, ale stačí je dát
skupině a uživatele pak do této skupiny zařadit. Ideál-ní je vytvářet skupiny
tak, aby se v tom ještě někdy někdo mohl vyznat (hypotetický ideální stav).
Důvody obav, že se v tom vyznat nedá, jsou v zásadě 2:
1. V doméně lze vkládat i skupiny do sebe navzájem a to podle typu GLOBÁLNÍ
skupinu do LOKÁLNÍ. Práva se pak uživateli opět sčítají z obou úrovní, tak-že
prohledávání, co všechno může tento dotyčný vlastně na síti dělat, je o to
obtížnější.
2. Správci mají mnohdy úžasnou schopnost nadefinovat nastavení naprosto
nepochopitelné normálnímu člověku. Všechno sice perfektně funguje, ale proč, to
mnohdy neví s odstupem času ani sám autor. Zda je tato vlastnost plánovitě
zdokonalována, aby byl správce nenahraditelný, nebo je zcela nezávislá na jeho
chtění, se dosud nepodařilo zjistit. Jisto je jen, že tím trpí cca 98,5 %
administrátorů sítě. (Zbytek do sta nedělá v práci nic).
Nyní se jenom stručně podíváme, co nabízejí další tlačítkové volby. Správce v
nich může zadat příkazy, které se provádějí automaticky po přihlášení uživatele
logon skript (komu to připomíná novellský login skript, je na správné stopě).
Dále má správce možnost určit každému jeho domovský adresář, kde se budou
shromažďovat všechny uživatelovy výtvory.
Pro znepříjemnění života v počítačové síti může správce nastavit různá omezení:
např., ze kterých počítačů se lze přihlašovat, nebo v které době a dni v týdnu.
Tady lze vybírat s hodinovou přesností.
Pokud se lidé hlásí do práce z domácího počítače po modemu, musí jim to správce
povolit. Zajímavá je v této souvislosti možnost zpětného volání call back. V
tom případě sice občan počítačový vytočí telefonní linku své organizace, ale
její server si to pouze zapamatuje a spojení ukončí. Hned následně pak volá na
zde uvedené telefonní číslo zpět. Výhodou tohoto postupu je především zvýšená
bezpečnost, protože pokus o úspěšný průnik do sítě je v podstatě vyloučen.
Dotyčný hacker by musel znát správné jméno i heslo uživatele a navíc sedět u
něj doma u telefonního aparátu. To už by bylo příliš mnoho náhod najednou. Ne
zcela zanedbatelnou výhodou call backu je i úspora peněz. Telefonní poplatky
totiž samozřejmě platí organizace a nikoli náš nadšenec, ktarý nevydrží bez
práce ani doma.
Oprávnění k činnostem
Pracovník v síti může dělat jen to, co je mu dovoleno. Ani o kousek více. V
síti Windows NT se převážná většina oprávnění odvozuje od skupin. Podle toho v
kolika skupinách je člověk členem, dostává oprávnění k akcím. Skupiny mají pro
sebe práva vestavěná i volitelná. Do těch vestavěných nesmí ani administrátor
proniknout. Takto jsou určena nejdůležitější oprávnění k činnostem, třeba
vytváření uživatelů, změny hesel či sdílení adresářů. Znamená to, že tato práva
získají lidé jenom pokud jsou ve skupinách administrátorů, či operátorů. Není
možné např. povolit vybranému pracovníkovi vytváření sdílených adresářů a
zakázat ostatní operátorská práva.
Volitelná práva se přidávají velice jednoduše. Správce vybere v User Manageru
typ oprávnění a zadá, komu ho definuje, lokální, globální skupině nebo
jednotlivému uživateli. Zde vidíme, že uživatel Šmudla dostal právo ukončovat
činnost systému Shutdown the System.
8 1731 / pen









Komentáře
K tomuto článku není připojena žádná diskuze, nebo byla zakázána.