Как установить аккорд амдз

Руководство администратора

Настоящий документ является руководством администратора программно- аппаратного комплекса средств защиты информации от НСД — аппаратного модуля доверенной загрузки — , далее по тексту «Аккорд- АМДЗ», и предназначен для лиц, планирующих и организующих защиту информации с его использованием в системах и средствах информатизации на базе ПЭВМ.

В документе приведены основные функции и особенности эксплуатации комплексов СЗИ НСД , работающих на основе контроллеров:

• .5(e), , , , , (для СЗИ НСД , выпускаемого по ТУ 4012-038- 11443195–2011);
• , , (для СЗИ НСД , выпускаемых по ТУ 4012-);
• , , , (для СЗИ НСД , выпускаемых по ТУ -).

Перед установкой и эксплуатацией комплексов СЗИ НСД необходимо внимательно ознакомиться с комплектом эксплуатационной документации, а также принять рекомендуемые защитные организационные меры.

Применение защитных средств комплексов должно дополняться общими мерами технической безопасности.

Источник

Порядок установки комплекса

Установка программно-аппаратного комплекса СЗИ НСД «Аккорд» v.5.0 (ТУ 4012-037-11443195-2010) включает три основных этапа:

Установку в СВТ аппаратной части комплекса – комплекса СЗИ НСД «Аккорд-АМДЗ» (ТУ 4012-006-11443195-97 03) его настройку с учетом конфигурации технических и программных средств, в том числе, регистрацию администратора безопасности информации (или нескольких администраторов). Документация, необходимая для установки и администрирования аппаратной части комплекса, находится на дистрибутивном носителе «Аккорд-АМДЗ» в папке DOC.

Установку в составе ОС драйвера для контроллера «Аккорд-АМДЗ».

Установку на жесткий диск специального программного обеспечения разграничения доступа с дистрибутивного носителя.

Копирование с идентификатора ключевого файла лицензии.

Назначение правил разграничения доступа (ПРД) для пользователей в соответствии с политикой информационной безопасности, принятой в организации и активизацию подсистемы разграничения доступа с помощью программы настройки комплекса (ACSETUP.EXE).

Установка комплекса сзи нсд «Аккорд-амдз» внимание!

Перед установкой тщательно изучите эксплуатационную документацию на комплекс СЗИ НСД «Аккорд-АМДЗ»

Установка и настройка аппаратной части комплекса «Аккорд» производится с учетом модификации комплекса в соответствии с «Руководством по установке» (11443195.4012-006 98 03), поставляемым в составе эксплуатационной документации на комплекс «Аккорд-АМДЗ».

Установка спо разграничения доступа «Аккорд» на жесткий диск

Установка СПО на жесткий диск СВТ осуществляется в следующей последовательности:

После установки «Аккорд-АМДЗ» загрузить ОС с правами Администратора. Система обнаружит новое устройство и предложит варианты установки драйвера для него (рисунок 1).

Рисунок 1 — Выбор вариантов установки драйвера

Для установки драйвера следует указать папку \Drivers\Win_32, которая находится на компакт-диске «Аккорд- АМДЗ», поставляемом в составе комплекса (рисунок 2).

Рисунок 2 — Выбор каталога с драйвером наCD«Аккорд-АМДЗ»

Операционная система запросит подтверждение того, что Вы доверяете издателю этих драйверов. Выбирайте пункт «Доверяю». Далее производится стандартным образом установка драйвера, и в «Диспетчере устройств» ОС появится новая группа «Аппаратная защита от НСД», а в этой группе устройство «Аккорд – 5мх,5.5 PCI, 5.5PCIExpress(в зависимости от типа контроллера)».

С компакт-диска «Аккорд» запустить программу AccordSetupWin64.exe, если комплекс устанавливается на рабочую станцию, илиAccordSetupWin64TSE.exeпри установке на терминальный сервер.

Выбрать логический диск и каталог для установки ПО комплекса. По умолчанию установка выполняется в папку C:\ ACCORD.X64, но администратор может выбрать другие варианты по своему усмотрению. Программа создаст на заданном логическом диске папку С:\ACCORD.X64 (или имя, заданное администратором) со всеми необходимыми подкаталогами и скопирует туда программное обеспечение.

На данном этапе в составе ОС не производится никаких изменений, кроме создания каталогов или файлов на жестком диске.

Далее нужно запустить редактор прав доступа – программу ACED32.EXE(иконка «Редактор прав доступа» в группе программ «Аккорд») из каталога С:\ACCORD.X64 для синхронизации файла ПРД подсистемы разграничения доступа комплекса «Аккорд» со списком пользователей, который находится в контроллере комплекса «Аккорд-АМДЗ». На первом этапе не нужно делать никаких изменений в ПРД пользователей. Просто завершите программу с сохранением изменений.

Запустить программу «Настройка комплекса Аккорд» (AcSetup.exeиз папки с установленным ПО СЗИ «Аккорд»), предъявить идентификатор администратора и ввести его пароль, а затем предъявить идентификатор, в котором записан ключевой файл лицензии.Не используйте этот идентификатор для регистрации пользователей, пока информация из него не запишется на жесткий диск!Внимательно ознакомьтесь с информацией в файлеquick_startна компакт-диске «Аккорд». После выхода из программы настройки сохраните резервную копию файлаaccord.key, который создается в папке \ACCORD.x64 после копирования из идентификатора.

Назначить ПРД в соответствии с принятой политикой информационной безопасности и полномочиями пользователей. Описание программы и порядок ее применения приведен в документе «Установка правил разграничения доступа. Программа ACED32. Руководство пользователя» (11443195.4012-037 97), в составе эксплуатационной документации на комплекс «Аккорд-Win64»v. 5.0.

Провести активизацию подсистемы разграничения доступа комплекса. Для этого необходимо запустить программу ACSETUP.EXE из каталога С:\ACCORD.X64.

При этом осуществляется авторизация администратора БИ (запрашивается идентификатор и пароль администратора БИ). Если проверка прошла успешно, то на экране появляется окно для настройки подсистемы разграничения доступа комплекса, показанное на рисунке 3.

Рисунок 3 — Главное окно программы настройки комплекса «Аккорд»

Источник

Аккорд АМДЗ РУКОВОДСТВО АДМИНИСТРАТОРА. Программно-аппаратный комплекс средств защиты. (Аппаратный модуль доверенной загрузки)

1 ГОСУДАРСТВЕННАЯ СИСТЕМА ЗАЩИТЫ ИНФОРМАЦИИ УТВЕРЖДЕН ЛУ Программно-аппаратный комплекс средств защиты информации от НСД для ПЭВМ (PC) Аккорд АМДЗ (Аппаратный модуль доверенной загрузки) РУКОВОДСТВО АДМИНИСТРАТОРА Литера О 1

2 СОДЕРЖАНИЕ Руководство администратора 1. РАБОТА С ПРОГРАММОЙ СПИСОК ПОЛЬЗОВАТЕЛЕЙ ОБЩИЕ ПАРАМЕТРЫ ГРУППЫ АДМИНИСТРАТОРЫ Параметры пароля Доступ к устройствам Атрибуты доступа Результаты ИА ОБЩИЕ ПАРАМЕТРЫ ГРУППЫ ОБЫЧНЫЕ (ПОЛЬЗОВАТЕЛИ) Режим блокировки Временные ограничения Загрузка ОС РЕГИСТРАЦИЯ СУПЕРВИЗОРА (АДМИНИСТРАТОРА БЕЗОПАСНОСТИ ИНФОРМАЦИИ) Назначение персонального идентификатора Генерация секретного ключа Назначение пароля РЕГИСТРАЦИЯ НОВОГО ПОЛЬЗОВАТЕЛЯ УДАЛЕНИЕ ПОЛЬЗОВАТЕЛЯ ИЗ СПИСКА РЕДАКТИРОВАНИЕ ПАРАМЕТРОВ ПОЛЬЗОВАТЕЛЕЙ ЭКСПОРТ/ИМПОРТ СПИСКА ПОЛЬЗОВАТЕЛЕЙ КОНТРОЛЬ Контроль аппаратуры Контроль целостности служебных областей жестких дисков Контроль целостности файлов Контроль целостности реестра Windows Дополнительные функции меню «Контроль» СИСТЕМНЫЙ ЖУРНАЛ СЕРВИС ВЫХОД ИЗ ПРОГРАММЫ

3 Назначение Программа администратора системы защиты информации является частью комплекса «АККОРД-АМДЗ» и не требует установки какого-либо дополнительного ПО. С помощью этой программы администратор СЗИ может добавлять и удалять пользователей, назначать пользователям идентификаторы и пароли, контролировать аппаратную часть ПЭВМ, прикладные и системные файлы, получает доступ к системному журналу контроллера. Термины. Пользователь — субъект доступа к объектам (ресурсам) ПЭВМ. Администратор — администратор службы безопасности информации. Идентификатор — идентификатор Touch-memory DS-199X, смарт-карта etoken PRO, или ПСКЗИ ШИПКА. Использовать идентификатор подключить идентификатор к соответствующему контактному устройству. Меню — окно с изображением кнопок с названиями команд. Перемещения по меню осуществляются с помощью мыши или клавишей . Выбор команды — мышью (левая клавиша) или , выход из меню — , или командой в меню. Окно ввода/вывода — служит для ввода и отображения буквенно-цифровой информации, а так же может выполнять функции меню. Содержит окно для ввода буквенноцифровой информации, окна списков, кнопки команд, окна флагов. Ввод буквенно-цифровой информации должен заканчиваться , или перемещением в другое окно, движение списка в окне — с помощью стрелок, или мышью. Перемещение по окнам и кнопкам команд, выбор команд и выход из окна — аналогично работе с меню. Сообщения — информация, выводимая на дисплей, которая сообщает о действиях, требуемых от пользователя, о состоянии программы и о нормально завершенных действиях. Ошибки — информация, выводимая на дисплей, указывающая на неправильность действий, сбои, аварии комплекса. Пояснения — в описании некоторых команд даются пояснения и рекомендации администратору для использования этих команд. Пояснения выделены мелким шрифтом. 3

4 1. РАБОТА С ПРОГРАММОЙ. Если в компьютер устанавливается новый контроллер АМДЗ, то при загрузке выполняется инициализация и форматирование внутренней памяти. После завершения этой операции на экран выводится стартовое меню администратора (Рис. 1.). Поскольку в контроллере нет зарегистрированных пользователей, то в этом меню доступны для выбора только пункты «Администрирование» и Выход в AcDOS. Рис. 1. Стартовое меню администратора. Выход в AcDOS позволяет загрузить компьютер с использованием внутренней операционной системы контроллера (ACDOS). В дальнейших разработках предполагается включение в состав этой ОС средств диагностики контроллера и компьютера. Клавишей запустите программу администрирования. На экран выводится главное меню (Рис. 2.). Рис. 2. Главное меню администратора. 4

5 Главное меню состоит из следующих полей: строка команд (левая половина верхней строки); информационная строка (правая половина верхней строки); статус (HELP) — нижняя строка; рабочее поле (все остальное пространство). Строка команд позволяет вызвать следующие подпрограммы: — работа со списком пользователей; — работа со списками контроля целостности; — работа с внутренним журналом регистрации событий; — дополнительные настройки; — описание функций и сведения о продукте. После начальной инициализации в строке команд недоступны пункты и , т.к. в памяти контроллера не зарегистрировано ни одного пользователя (в верхней информационной строке имя текущего пользователя UNKNOWN, т.е. неизвестный). Поэтому первое действие, которое нужно выполнить — это регистрация пользователя с правами администратора. 1.1 Список пользователей. В меню выберите команду . На экран выводится дерево списка пользователей (Рис. 3.). Рис. 3. Список пользователей. При инициализации контроллера создаются две зарезервированные группы пользователей Администраторы и Обычные. Эти две группы нельзя ни переименовать, ни удалить. Для каждой из групп можно задать общие параметры, которые будут устанавливаться по умолчанию при создании пользователя в группе. Для каждого зарегистрированного пользователя можно изменить данные параметры при индивидуальной настройке. Такие же правила будут выполнятся и для любой группы, созданной администратором. Для редактирования общих параметров группы пользователей необходимо клавишами стрелка или мышью установить курсор на строке заголовка группы и нажать , или дважды щелкнуть левой кнопкой мыши. 5

6 1.2 Общие параметры группы Администраторы. Для группы Администраторы установлены следующие общие параметры (Рис. 4.): параметры пароля; доступ к устройствам; атрибуты доступа; результаты ИА (Идентификации/Аутентификации пользователя). Рис. 4. Общие параметры группы Администраторы Параметры пароля. Для пользователя, у которого введен пароль, можно регулировать следующие параметры пароля (Рис. 5.): Рис. 5. Параметры пароля. 6

7 «Кто может менять пароль» — установка этого параметра позволяет пользователю самому менять пароль после истечения времени действия, или смену пароля может осуществлять только администратор. «Минимальная длина» — параметр определяет количество символов, контролируемое при создании и смене пароля. Нельзя ввести пароль меньшей длины. Если предполагается для авторизации пользователя использовать только идентификатор, то этот параметр нужно установить в 0 (пароль задавать не обязательно). По умолчанию длина пароля установлена равной 8 символам, максимальное допустимое значение — 12 символов. «Время действия (дни)» — время действия пароля до смены в календарных днях: от 0 (смены пароля не требуется) до 99 дней. «Попыток для смены» — количество попыток смены пароля: от 0 (не ограничено) до 5. Этот параметр определяет допустимое число попыток смены пароля, если пользователю разрешено самому выполнять такую операцию. Если за отведенное число попыток пароль не сменен корректно, то работа данного пользователя блокируется, и для разблокировки и смены пароля потребуется вмешательство администратора (для выполнения смены пароля необходимо ввести старый пароль, а затем дважды — новый). «Алфавит пароля» — определяет набор символов, которые обязательно должны использоваться при вводе пароля. Например, если в алфавите заданы цифры и буквы, то нельзя ввести пароль, состоящий из одних цифр. При установке флага «Только генерировать» пароль будет генерироваться случайным образом из символов заданного алфавита при смене пароля пользователя. Обратите внимание! Если пароль уже задан, то изменения его параметров вступят в силу только при смене пароля Доступ к устройствам. Этот параметр действует только для контроллеров с установленными реле управления внешними (по отношению к плате контроллера) устройствами. Внутреннее ПО контроллера АМДЗ дает возможность управлять 3-мя независимыми гальванически развязанными контактными парами, с помощью которых можно блокировать доступ отдельных пользователей к внешним устройствам, например, к накопителю FDD, CD-ROM, HDD или USB-портам. При установке флага «Фиксировать» запрет действует не только на момент загрузки операционной системы, но и на весь сеанс работы пользователя. Выберите пункт «Управление устройствами» и нажмите . На экран выводится окно со списком устройств (Рис. 6.). Рис. 6. Функция управления внешними устройствами. 7

8 С помощью клавиши в квадратных скобках можно установить или сбросить флаг разрешения работы устройства. Переход к пунктам осуществляется клавишей или мышью. Внимание! На управляемую контактную пару может быть заведен сигнал напряжением не более 5В и силой тока не более 300 Ма. ОКБ САПР выпускает переходники-прерыватели для разных типов устройств. Подробная информация размещена на сайте компании ( в разделе «Цены» Атрибуты доступа. При выборе параметра «Атрибуты доступа» открывается окно (Рис.7.) в котором Гл.администратор может установить набор функций администрирования, доступных «подчиненным» администраторам. Эти параметры лучше устанавливать индивидуально каждому администратору, а не в параметрах группы. Нужно заметить, что в правилах настройки СЗИ «Аккорд-АМДЗ» нет ограничений на число пользователей, зарегистрированных в той, или иной группе. Существует только лимит на общее количество записей (128) в базе данных пользователей. Запись это данные о группе, или отдельном пользователе. Рис. 7. Выбор атрибутов доступа администратора к функциям управления Результаты ИА. В разделе Результаты ИА устанавливается, какая информация о пользователе, полученная в результате процесса Идентификации/Аутентификации, будет передаваться из контроллера в программную подсистему разграничения доступа (если таковая установлена на компьютере). Для успешного выполнения процедуры «Автологин», т.е. когда пользователь авторизуется на аппаратном уровне, а программная часть автоматически подгружает его профиль доступа, необходимо включить первые пять флагов «Результатов И/А». Установки по умолчанию (Рис. 8.) предполагают использование только контроллера АМДЗ. 8

9 Рис. 8. Результаты ИА. 1.3 Общие параметры группы Обычные (пользователи). Для группы Обычные (пользователи) установлены следующие общие параметры (Рис. 9.): параметры пароля; временные ограничения; режим «Блокирован»; загрузка ОС; доступ к устройствам; результаты ИА (Идентификации/Аутентификации пользователя). Рис. 9. Общие параметры группы Обычные пользователи». 9

10 Настройки Параметры пароля, Доступ к устройствам и Результаты ИА такие же, как общие параметры группы Администраторы. Другие пункты рассмотрим подробнее Режим блокировки. При установке флага «Блокирован» в состояние «Да» все параметры пользователя сохраняются в базе данных, но вход в систему и работа данного пользователя будут запрещены. Данный флаг можно использовать для временной блокировки пользователя. После того, как администратор снимет блокировку, работа пользователя восстановится со всеми установленными настройками. Для изменения состояния данного флага достаточно установить курсор в строку «Блокирован» и нажать клавишу Временные ограничения. Администратор может устанавливать для пользователя ограничения на вход в систему с точностью до 30 минут в любой день недели. Выберите пункт «Временные ограничения» и нажмите . На экран выводится окно «Временные ограничения» (Рис. 10.). Клавишами «стрелка» можно перемещаться по матрице времени входа в систему. Клавиша меняет знак + на и обратно, т.е. разрешает или запрещает загрузку компьютера данному пользователю в данный временной интервал. Рис. 10. Временные ограничения на загрузку компьютера Загрузка ОС. В контроллере «Аккорд-АМДЗ» предусмотрена возможность управления режимом загрузки Windows 95/98 и загрузкой различных конфигураций ПО с использованием меню в файле CONFIG.SYS. Выберите пункт «Загрузка ОС» и нажмите . На экран выводится окно со списком возможных вариантов загрузки Windows 95, меню выполнения CONFIG.SYS для Windows 95 и MSDOS (если она установлена) (Рис. 11.). С помощью клавиши в квадратных скобках можно установить или сбросить флаг разрешения выбора того или иного сценария загрузки. Клавиша служит для перемещения курсора от одного окна к другому. Отмеченные флагом пункты меню становятся доступными пользователю для выбора в процессе загрузки ОС путем нажатия на клавишу с номером пункта. Клавиши со стрелками блокируются на момент загрузки, как на основной, так и на дополнительной (цифровой) клавиатуре. 10

11 Рис. 11. Управление загрузкой ОС. Внимание! Для успешной работы данной опции под Windows 95/98 в файле MSDOS.SYS в разделе [Options] должна быть прописана строка BootMenu= Регистрация супервизора (администратора безопасности информации). При инициализации контроллера в базе данных создается учетная запись Гл. администратор, но поля этой записи не заполнены. Для регистрации администратора системы выберите строку , нажмите . На экран выводится окно ввода-вывода «Параметры пользователя» (Рис. 12.). Рис. 12. Регистрация пользователя «Гл.Администратор». 11

12 1.4.1 Назначение персонального идентификатора. Выберите строку (Рис. 12.). На экран выводится информация о зарегистрированном идентификаторе. При первой установке контроллера никаких данных об идентификаторе нет (Рис. 13.). Выберите команду . На запрос идентификатора (Рис. 14.) прикоснитесь идентификатором к съемнику. Для отмены текущей операции, выберите команду . Рис. 13. Информация об идентификаторе. Примечание: В том случае, когда в качестве персонального идентификатора используется ПСКЗИ ШИПКА, на запрос идентификатора следует подключать устройство ШИПКА к USB-порту контроллера АМДЗ. Если в качестве идентификатора используется смарт-карта etoken PRO, то следует вставить карту в считыватель. Рис. 14. Запрос идентификатора. 12

13 1.4.2 Генерация секретного ключа. После использования идентификатора на экране появляется меню генерации секретного ключа (Рис. 15.), который уникален для каждого пользователя и записывается во внутреннюю память регистрируемого идентификатора. Этот секретный ключ используется в мониторе правил разграничения доступа ACRUN, который позволяет каждому пользователю создать изолированную программную среду (ИПС) и персональный набор файлов, контролируемых на целостность. Кроме того, этот параметр позволяет надежно защищать данные о пользователе в энергонезависимой памяти контроллера, т.к. в качестве уникального признака используется результирующая хеш-функция от номера идентификатора, пароля и секретного ключа. Внимание! Идентификатор, в котором не записан секретный ключ, воспринимается как недопустимый в процессе идентификации-аутентификации пользователя, даже если его номер высвечивается в строке «Идентификатор». Рис. 15. Генерация секретного ключа пользователя. Выберите опцию и . На запрос идентификатора подключите идентификатор к контактному устройству. П р и м е ч а н и е: секретный ключ может быть уже записан в идентификаторе в следующих случаях: при перерегистрации пользователя; при регистрации одного пользователя на нескольких компьютерах с установленной системой «Аккорд». Генерировать секретный ключ следует только при первой регистрации, т.к. каждая новая генерация затирает предыдущее значение ключа, и идентификатор не будет читаться на других компьютерах. В этом случае выберите опцию и . На запрос идентификатора подключите идентификатор к контактному устройству. 13

14 1.4.3 Назначение пароля. В окне «Параметры пользователя» (Рис. 12.) выберите строку «Пароль» и нажмите . На экран выводится окно ввода пароля (Рис. 16.). Введите новый пароль. Повторите ввод пароля во второй строке. Пароль может состоять из букв, цифр и специальных символов. Вводимые символы на экране отображаются точками. При несовпадении введенных последовательностей выводится сообщение об ошибке. В этом случае операцию придется повторить. Символы могут вводиться как в верхнем, так и в нижнем регистре. Будьте внимательны! Длина пароля должна быть не меньше параметра, установленного в строке «Минимальная длина» в разделе «Параметры пароля». Если длина введенного пароля меньше, выводится сообщение об ошибке. Не допускается ввод в качестве пароля последовательностей типа: ‘123456’ или ‘qwerty’. При вводе подобных последовательностей символов выдается сообщение об ошибке. Рис. 16. Окно ввода пароля. Внимание! Если пользователю не назначается пароль, то в строке «Минимальная длина» в разделе «Параметры пароля» следует установить длину пароля 0, иначе при записи данных о пользователе (по клавише F2) выводится сообщение об ошибке. Можно выбрать процедуру генерации пароля случайным образом (кнопка «Сгенерировать»). В этом случае пароль генерируется таким образом, чтобы в нем обязательно присутствовал хотя бы один символ из набора, заданного в параметре «Алфавит пароля» (Рис. 17.). После генерации новый пароль выводится в строке «Новый пароль» и пользователь должен его ввести с клавиатуры в поле «Ещё раз». 14

15 Рис. 17. Случайная генерация пароля. Для сохранения параметров пользователя «Гл.Администратор» и выхода в окне Параметры пользователя выберите команду (клавиша ). После сохранения параметров пользователя «Гл.Администратор» нужно выйти из процедуры редактирования списка пользователей по клавише и повторным нажатием этой клавиши из программы администрирования. Выполняется рестарт внутреннего ПО контроллера, и на экран выводится запрос идентификатора и пароля пользователя. После предъявления идентификатора и ввода пароля пользователя «Гл.Администратор» появляется меню, в котором уже доступны все пункты, в частности выбор вариантов загрузки ОС (Рис. 18.). Рис. 18. Меню администратора после регистрации и успешной аутентификации. Теперь в режиме «Администрирование» доступны все функции. 15

16 1.5 Регистрация нового пользователя. Установите в списке пользователей курсор на заголовке группы Обычные. Выберите команду , или нажмите клавишу

ГОСУДАРСТВЕННАЯ СИСТЕМА ЗАЩИТЫ ИНФОРМАЦИИ

ГОСУДАРСТВЕННАЯ СИСТЕМА ЗАЩИТЫ ИНФОРМАЦИИ УТВЕРЖДЕН 11443195.4012-038 90 2011 ЛУ Программно-аппаратный комплекс средств защиты информации от НСД для ПЭВМ (PC) «Аккорд АМДЗ» (Аппаратный модуль доверенной

Источник