чем определяется уровень доступа

Уровни и устройства доступа и распределения

IP-трафик распределяется в зависимости от характеристик и устройств каждого из трех уровней: доступа, распределения и центрального.

IP-адрес позволяет определить, останется ли трафик локальным или переместится на следующий уровень иерархической сети.

Уровень доступа

Уровень доступа соединяет устройства конечных пользователей с сетью и позволяет нескольким узлам подключаться к другим узлам через сетевое устройство, обычно концентратор или коммутатор. Обычно сетевая часть IP-адреса всех устройств одного и того же уровня доступа совпадает.

Уровень распределения

Уровень распределения соединяет разные сети и контролирует потоки информации между сетями. Обычно коммутаторы этого уровня мощнее, чем на уровне доступа. Кроме того, для маршрутизации данных между сетями используются маршрутизаторы. Устройства уровня распределения контролируют тип и объем трафика, идущего с уровня доступа к центральному уровню.

Центральный уровень

Центральным уровнем называется магистральный высокоскоростной уровень с дублирующими (резервными) соединениями. На этом уровне большие объемы данных передаются между несколькими сетями. Обычно на центральном уровне находятся очень мощные, высокоскоростные коммутаторы и маршрутизаторы. Основная задача центрального уровня — быстрая передача данных.

Концентраторы, коммутаторы и маршрутизаторы более подробно обсуждаются в следующих двух разделах.

Источник

Уровни доступа и охранные функции в ППКП

Согласно стандартам, функции ППКП распределяются по четырем уровням доступа. Однако в нормативных документах отсутствуют какие-либо требования именно к охранным функциям ППКП. В связи с этим контролирующие органы по-разному относятся к одной и той же продукции различных производителей, что приводит к недобросовестной конкуренции. Попробуем разобраться в некоторых премудростях российских и международных стандартов

До момента внедрения на Украине первой группы стандартов серии ДСТУ EN 54 на приборы приемно-контрольные пожарные (ППКП) практически все производимое и ввозимое оборудование было охранно-пожарным. Аналогичная ситуация с построением систем пожарной сигнализации до сих пор сохраняется в России – применяются охранно-пожарные приборы (ППКОП).

Даже после введения в действие ГОСТ Р 53325 такие приборы все равно проходят сертификацию на соответствие требованиям этого нормативного документа. На Украине же проведено разделение ППКОП и ППКП. Пожарные приборы обязательно должны полностью соответствовать требованиям ДСТУ EN 54-2, а также других частей стандарта: ДСТУ EN 54-4, ДСТУ EN 54-21.

Разделение охранных и пожарных функций

Казалось бы, обладать охранными функциями ППКП не запрещается. Ведь в стандарте ДСТУ EN 54-2 указано, что если в ППКП «предусмотрены дополнительные функции, которые не установлены этим стандартом, то они не должны противоречить данному стандарту». Но эти дополнительные функции должны быть обязательно «связаны с выявлением пожара и сигнализацией о пожаре, даже если они не указаны в данном стандарте». А национальное примечание к приложению В «Необязательные функции с требованиями и альтернативы» еще больше уточняет особенности использования дополнительных функций: «Если необязательную функцию необходимо предусматривать, то все требования к этой функции, приведенные в этом стандарте, необходимо выполнять обязательно». Таким образом, разрешения применять в ППКП другие функции, которые прямо не связаны с выявлением пожара и сигнализацией о нем, не существует.

С другой стороны, ППКОП на Украине должны соответствовать требованиям ДСТУ 4375-3. Уже в этом стандарте имеется прямое указание в виде национального отклонения: «Для ППК охранно-пожарных, которые выполняют охранные функции, для того чтобы им обеспечить выполнение пожарных функций, необходимо использовать требования в соответствии с ДСТУ EN 54-2».

При данном положении дел ППКОП для использования своих только охранных функций на территории Украины должен иметь документ, подтверждающий соответствие требованиям ДСТУ 4375-3. Если же такой прибор планируется использовать с применением и охранных, и пожарных функций, то он должен соответствовать требованиям ДСТУ 4375-3 и ДСТУ EN 54-2. Но если это изделие имеет в своем составе внутренний источник электропитания или встроенный коммуникатор, то оно должно пройти дополнительные проверки на соответствие требованиям ДСТУ EN 54-4 и ДСТУ EN 54-21.

И как говорят математики, «обратное, вообще говоря, не верно», то есть ППКОП, имеющий только пожарные функции, существовать не может. Это место уверенно занимает ППКП. Но тут лишь чистая теория. На практике оказывается, что российский ППКОП, выполняющий как пожарные, так и охранные функции, может быть сертифицирован на Украине на соответствие стандарту по пожарной сигнализации, например ДСТУ EN 54-18. Хотя именно в этом документе однозначно сказано, что «приборы приемно-контрольные пожарные и вспомогательное оборудование контроля и индикации (например, дублирующие панели и панели вызова пожарной команды) в этом стандарте не рассматривают». Тем более когда речь идет о приборах приемно-контрольных, выполняющих и пожарные, и охранные функции.

Получается, что в действующих стандартах строгих (в математическом смысле) правил по разделению охранных и пожарных функций между приборами приемно-контрольными не существует.

ППКП не должен иметь охранных шлейфов сигнализации, и этим исключается любая возможность подключения к нему охранных извещателей. Но прибор обязан различать уровни доступа, а значит выполнять функцию самоохраны

Рассмотрим «чистый» ППКП, который свободен от каких-либо охранных функций. В этом случае возникает закономерное требование государственных строительных норм ДБН В.2.5-56:2010, в пункте 6.2.24 которых говорится: «В обоснованных случаях допускается установка приемно-контрольных приборов пожарных в помещениях без постоянного дежурства персонала при условии передачи тревожных извещений на пульты пожарного наблюдения. В этих помещениях следует предусмотреть мероприятия, предотвращающие доступ посторонних лиц к ППКП».

Таким образом, помещение, в котором располагается ППКП, обладающий каналом связи с пультом пожарного наблюдения (ППН), должно охраняться отдельным приемно-контрольным прибором, имеющим свой канал связи с охранным пультом централизованного наблюдения (ПЦН). Возникает вопрос: целесообразно ли такое решение? Скорее, нет. Видимо, разработчики строительных норм не знали, что ППКП, выполненный в полном соответствии с требованиями ДСТУ EN 54-2, имеет несколько уровней доступа.

Распределение функций ППКП по уровням доступа

В п.12.6 и в приложении А к ДСТУ EN 54-2 приводятся развернутое пояснение самого понятия «уровень доступа» и варианты его применения к ППКП. Остановимся более подробно на применении данного понятия в пожарной сигнализации, ведь в российском ГОСТ Р 53325 оно вообще не используется.

В ППКП должны быть предусмотрены 4 уровня доступа – от 1-го (неограниченного) до 4-го (минимального). Органы управления и элементы индикации должны быть сгруппированы на соответствующем уровне.

На 1-м органы управления и элементы индикации ППКП доступны неограниченному кругу лиц, а также лицам, на которых возложены самые общие обязанности по обеспечению пожарной безопасности и которые должны в случае получения сигнала «Пожар» или «Неисправность» принять первичные меры. Поэтому обязательные элементы индикации должны быть видимыми без предварительных ручных операций (например, открытия дверцы корпуса). А органы управления 1-го уровня должны быть доступны без специальных процедур.

Доступ при 2-м уровне должен быть ограничен выполнением специальной процедуры, при 3-м – выполнением специальной процедуры, отличной от процедуры при 2-м уровне доступа.

Примерами применения специальных процедур для получения доступа при 2-м и/или 3-м уровне является использование:

Доступ при 4-м уровне должен быть ограничен использованием специальных средств, не входящих в состав ППКП. Примерами применения специальных устройств для получения доступа при 4-м уровне является использование:

Следует подчеркнуть, что после проведения процедур, необходимых для выхода на 2-й или 3-й уровень доступа, для перехода на 4-й уровень достаточно простых инструментов, например отвертки.

Важно отметить, что 2-й уровень доступен для лиц, которые несут конкретную ответственность за пожарную безопасность, прошли соответствующее обучение по работе с ППКП в различных режимах:

На 3-м уровне возможен доступ для лиц, которые прошли соответствующее обучение и уполномочены:

А вот 4-й уровень доступа предназначен для лиц, прошедших обучение и уполномоченных изготовителем осуществлять ремонт ППКП или замену фирменного ПО, а также вносить изменения в основные режимы работы ППКП.

При необходимости целесообразно ввести в ППКП дополнительные подуровни в рамках 2-го или 3-го уровня доступа (например, 2А и 2В) в целях обеспечения доступа различных групп пользователей к определенным устройствам управления или выполняемым ППКП функциям. Точная конфигурация будет зависеть от типа инсталляции, способа управления ППКП и от сложности предусмотренных функций.

Охранные функции ППКП

Казалось бы, все понятно по распределению функций ППКП по уровням доступа, но в стандарте отсутствуют требования к функционированию ППКП в случае несанкционированного вскрытия корпуса ППКП, при попытках подобрать код доступа для выхода на 2-й и более высокий уровень доступа. А это не что иное, как охранные функции самого ППКП. И тут уже не поможет внешний охранный прибор. Выявить попытку несанкционированного подбора кода для выхода на высший уровень доступа может и должен сам ППКП. При этом прибор должен осуществить оповещение о данном событии, предотвратить дальнейшие попытки проведения подобных операций. Далее он должен передать информацию об этом событии на охранный ПЦН с помощью встроенного коммуникатора или по крайней мере сделать активным дополнительный выход «Тревога», который не идентичен выходу «Пожарной тревоги».

Таким образом, для того чтобы выполнять требования п. 12.6 ДСТУ EN 54-2, ППКП должен обладать охранными функциями. Действительно, ППКП не должен иметь охранных шлейфов сигнализации, и этим исключается любая возможность подключения к нему охранных извещателей. Но прибор обязан различать уровни доступа, а значит выполнять функцию самоохраны. Для таких целей в ППКП должны быть предусмотрены элементы контроля несанкционированного вскрытия корпуса изделия. Программа обработки клавиатуры должна выявлять попытки несанкционированного подбора кодов доступа. Соответствующий охранный выход необходим и ППКП. Но режим самоохраны прибора в стандарте отсутствует.

Возможность реализации такого режима работы отражена в эксплуатационной документации ППКП «Артон-04П», передняя панель которого представлена на рис. 1.

Этот ППКП содержит два общих индикатора тревожного состояния – «Пожар» и «Тревога».

При открытии крышки корпуса «Артон-04П» срабатывает тамперный контакт и прибор переходит в режим «Тревога». Данный режим включается также после четырехкратного неправильного набора кода доступа. В этом режиме мигает индикатор «Тревога», активируются выходные ключи:

Сброс режима «Тревога» происходит после правильного набора кода доступа любым пользователем и длительного нажатия кнопки «Сброс» (до момента прекращения звукового сигнала – около 3 с).

В ППКП других производителей охранные функции законспирированы. Так, в приборах серии «Тирас» нет никакой световой индикации при вскрытии корпусов. Более конкретно это можно увидеть на примере ППКП «Тирас-4П», который представлен на рис. 2. По эксплуатационному документу прибор имеет четыре уровня доступа и тамперный контакт: «Доступ ко 2-му и 3-му уровням осуществляется с помощью специальных кодов, различных между собой. Доступ к 3-му уровню дополнительно ограничен тампером прибора». Прибор формирует звуковой сигнал внутренним сигнализатором при вскрытии крышки, но об этом нет информации в эксплуатационной документации. Сам факт вскрытия или закрытия корпуса прибора может быть передан на пульт пожарного наблюдения как второстепенное событие: «Секция 31 – другие коды» одним и тем же кодом – 37.

При попытке подбора кода доступа прибор на полторы минуты блокирует клавиатуру и вырабатывает внутренним сигнализатором тревожный звуковой сигнал, но об этом тоже ничего не говорится в эксплуатационной документации. Кодов передачи на пульт события «попытка несанкционированного доступа» не предусмотрено. Можно сказать, что у такого ППКП охранные функции имеются, но они резко ограничены и не соответствуют техническим возможностям прибора.

Возможность подключения охранных извещателей

Существуют на рынке Украины сертифицированные пожарные приборы, в которых реализована возможность подключения охранных извещателей. Если рассмотреть сертификат на приборы серии «Варта-1», то можно понять, что все изделия в этой серии соответствуют требованиям государственных стандартов Украины как приборы приемно-контрольные пожарные и управления, но никак не ППКОП. Но, как всегда, самое интересное и важное написано мелким шрифтом в каком-то приложении. Так, в приложении А к руководству по эксплуатации на ППКП «Варта-1/2» говорится:

«Функция 20. Изменение типа шлейфа… Включенные светодиоды группы «Шлейф» указывают: красные – соответствующий ШС пожарный, желтый – ШС охранный»

А это означает, что пользователь имеет возможность все шлейфы этого ППКП назначить охранными!

В данном приборе шлейфы, которые назначены охранными, могут иметь свои собственные функции, присущие только охранным приборам. А в приложении Д к данному руководству можно узнать, что коммуникатор прибора передает сообщения об охранной тревоге в каждом шлейфе об открытии и закрытии корпуса прибора, о попытке подбора кода доступа. Это косвенно подтверждает факт наличия в этом ППКП тамперной кнопки, а также то, что программа примененного в изделии микроконтроллера выявляет попытки подбора пароля для соответствующего уровня доступа.

Интересным в этом приборе (передняя панель приведена на рис. 3) является то, что индикатора «Охранной тревоги» в изделии нет, а в шлейфы можно подключать только двухпроводные извещатели, которые работают на увеличение тока в ШС при их сработке (см. Руководство по эксплуатации АКПИ. 425513.002РЭ, лист 3). Но известно, что практически все охранные извещатели при сработке разрывают цепь шлейфа.

Выход есть – точные формулировки стандартов!

Такой подход к проблеме охранных функций пожарного прибора еще раз подчеркивает несовершенство национального нормативного документа, который является идентичным переводом европейского стандарта. А это, в свою очередь, порождает со стороны контролирующих органов разное отношение к различным производителям по продукции одного и того же вида, что приводит к недобросовестной конкуренции. Изменить ситуацию могут только однозначные формулировки национальных примечаний к действующим стандартам, которые разрешали бы ППКП (по ДСТУ EN 54-2) иметь функции самоохраны и не допускали бы подключение к нему охранных извещателей ни посредством шлейфов, ни с помощью устройств сопряжения (по ДСТУ EN 54-13), ни с помощью устройств ввода/вывода (по ДСТУ EN 54-18).

Опубликовано: Журнал «Системы безопасности» #2, 2012

Источник

Чем определяется уровень доступа

Курс предназначен для базовой подготовки администраторов сайтов, созданных на «1С-Битрикс: Управление сайтом». Изучив курс, вы освоите основные методы администрирования системы, а также пополните знания по темам, изученным в курсе Контент-менеджер.

Если вы добросовестно изучите курс, то научитесь:

Если вам предстоит самостоятельная установка системы или перенос сайта на хостинг, то без курса Установка и настройка Курс Установка и настройка предназначен для специалистов устанавливающих «1С-Битрикс: Управление сайтом» или «Битрикс24 в коробке».

Начальные требования

Необходимый минимум знаний для изучения курса:

Неплохо было бы иметь базовые навыки установки и администрирования *nix-систем.

У нас часто спрашивают, сколько нужно заплатить

Ещё у нас есть Академия 1С-Битрикс, где можно обучиться на платной основе на курсах нашей компании либо наших партнёров.

Баллы опыта

уроке.

Тесты и сертификат

Иконка успешно сданного вами курса отображается в вашем профиле на Freelance, если вы укажите ссылку на ваш профиль на сайте компании 1С-Битрикс.

Комментарии к урокам

Для преподавания оффлайн

Если данный курс берётся в качестве основы для оффлайного преподавания, то рекомендуемая продолжительность: 3 дня (24 академических часа).

Если нет интернета

Скачать материалы курса в формате EPUB. Файлы формата EPUB Чем открыть файл на
Android:
EPUB Reader
CoolReader
FBReader
Moon+ Reader
eBoox

iPhone:
FBReader
CoolReader
iBook
Bookmate

Windows:
Calibre
FBReader
Icecream Ebook Reader
Плагины для браузеров:
EpuBReader – для Firefox
Readium – для Google Chrome

Как проходить учебный курс?

Источник

Стандарт управления правами доступа к корпоративным файловым информационным ресурсам

Стандарт управления правами доступа к корпоративным файловым информационным ресурсам (далее – Стандарт) регламентирует процессы предоставления доступа к файловым информационным ресурсам, размещенным на компьютерах, работающих под управлением операционных систем семейства Microsoft Windows. Стандарт распространяется на случаи, когда в качестве файловой системы используется NTFS, а в качестве сетевого протокола для совместного доступа к файлам SMB/CIFS.

Информационный ресурс – поименованная совокупность данных, к которой применяются методы и средства обеспечения информационной безопасности (например, разграничение доступа).
Файловый информационный ресурс – совокупность файлов и папок, хранящихся в каталоге файловой системы (который называется корневым каталогом файлового информационного ресурса), доступ к которой разграничивается.
Составной файловый информационный ресурс – это файловый информационный ресурс, содержащий в себе один или несколько вложенных файловых информационных ресурсов, отличающихся от данного ресурса правами доступа.
Вложенный файловый информационный ресурс – это файловый информационный ресурс, входящий в составной информационный ресурс.
Точка входа в файловый информационный ресурс – каталог файловой системы, к которому предоставляется сетевой доступ (shared folder) и который используется для обеспечения доступа к файловому информационному ресурсу. Данный каталог обычно совпадает с корневым каталогом файлового информационного ресурса, но может быть и вышестоящим.
Промежуточный каталог – каталог файловой системы, находящийся на пути от точки входа в файловый информационной ресурс к корневому каталогу файлового информационного ресурса. Если точка входа в файловый информационный ресурс является вышестоящим каталогом по отношению к корневому каталогу файлового информационного ресурса, то она также будет являться промежуточным каталогом.
Группа доступа пользователей – локальная или доменная группа безопасности, содержащая в конечном счете учетные записи пользователей, наделенные одним из вариантов полномочий доступа к файловому информационному ресурсу.

Доступ пользователей к файловому информационному ресурсу предоставляется путем наделения их одним из вариантов полномочий:

Правила именования групп доступа пользователей

Имена групп доступа пользователей формируются по шаблону:

FILE-Имя файлового информационного ресурса–аббревиатура полномочий

Имя файлового информационного ресурса
должно совпадать с UNC именем ресурса или состоять из имени сервера и локального пути (если сетевой доступ к ресурсу не предоставляется). При необходимости в данном поле допускаются сокращения. Символы «\\» опускаются, а «\» и «:» заменяются на «-».

Пример 2
Имя группы доступа пользователей, имеющих полномочия «Чтение и запись» для файлового информационного ресурса, размещенного на сервере TERMSRV по пути D:\UsersData, будет:
FILE-TERMSRV-D-UsersData-RW

Шаблон прав доступа к каталогам файлового информационного ресурса

Таблица 1 – Шаблон NTFS-прав доступа для корневого каталога файлового информационного ресурса.

Табилца 2 – Шаблон NTFS-прав доступа для промежуточных каталогов файлового информационного ресурса.

Бизнес процессы управления доступом к файловым информационным ресурсам

В. Изменение доступа пользователя к файловому информационному ресурсу
Учетная запись пользователя перемещается в другую группу доступа пользователей в зависимости от указанных полномочий.

Г. Блокирование доступа пользователя к файловому информационному ресурсу
Учетная запись пользователя удаляется из групп доступа пользователей файлового информационного ресурса. Если работник увольняется, то членство в группах не меняется, а блокируется учетная запись целиком.

Примеры

Рассмотрим применение данного стандарта на примере гипотетической организации ООО «ИнфоКриптоСервис», где для централизованного хранения файловых информационных ресурсов выделен сервер с именем «FILESRV». Сервер работает под управлением операционной системы Microsoft Windows Server 2008 R2 и является членом домена Active Directory с FQDN именем «domain.ics» и NetBIOS именем «ICS».

Подготовка файлового сервера
На диске «D:» сервера «FILESRV» создаем каталог «D:\SHARE\». Этот каталог будет единой точкой входа во все файловые информационные ресурсы, размещенные на данном сервере. Организуем сетевой доступ к данной папке (используем апплет «Share and Storage Management»):

Создание файлового информационного ресурса
Постановка задачи.
Пусть в составе организации ООО «ИнфоКриптоСервис» имеется Отдел разработки информационных систем в составе: начальника отдела Иванова Сергея Леонидовича (SL.Ivanov@domain.ics), специалиста Маркина Льва Борисовича (LB.Markin@domain.ics), и для них нужно организовать файловый информационный ресурс для хранения данных подразделения. Обоим работникам требуется доступ на чтение и запись к данному ресурсу.

Предоставление доступа пользователю к файловому информационному ресурсу
Постановка задачи.
Предположим, в отдел разработки приняли еще одного работника – специалиста Егорова Михаила Владимировича (MB.Egorov@domain.ics), и ему, как и остальным работникам отдела, требуется доступ на чтение и запись к файловому информационному ресурсу отдела.

Решение.
Учетную запись работника необходимо добавить в группу «FILE-FILESRV-SHARE-Отд. разр. ИС-RW»

Создание вложенного информационного ресурса. Расширение доступа
Постановка задачи.
Предположим, Отдел разработки информационных систем решил улучшить качество взаимодействия с Отделом маркетинга и предоставить руководителю последнего — Кругликовой Наталье Евгеньевне (NE.Kruglikova@domain.ics) — доступ на чтение к актуальной документации на продукты, хранящейся в папке «Документация» файлового информационного ресурса Отдела разработки информационных систем.

Решение.
Для решения данной задачи необходимо сделать вложенный ресурс «\\FILESRV\share\Отдел разработки информационных систем\Документация», доступ к которому на чтение и запись должен быть (остаться) у всех пользователей, имевших доступ к «\\FILESRV\share\Отдел разработки информационных систем\ и добавиться доступ на чтение для пользователя Кругликовой Натальи Евгеньевне (NE.Kruglikova@domain.ics)

Теперь, если Кругликова Наталья Евгеньевна (NE.Kruglikova@domain.ics) обратится по ссылке «\\FILESRV\share\Отдел разработки информационных систем\Документация», то она сможет попасть в интересующую ее папку, но обращаться по полному пути не всегда удобно, поэтому настроим сквозной проход к данной паке от точки входа «\\FILESRV\share\» («D:\SHARE\»). Для этого настроим права доступа на промежуточные каталоги «D:\SHARE\» и «D:\SHARE\Отдел разработки информационных систем\».

Проведем настройку «D:\SHARE\»:

Дамп NTFS разрешений, полученных командой cacls:
ICS\FILE-FILESRV-SHARE-Отд. разр. ИС-RO:R
ICS\FILE-FILESRV-SHARE-Отд. разр. ИС-RW:R
ICS\FILE-FILESRV-SHARE-Отд. разр. ИС-Документация-RO:R
ICS\FILE-FILESRV-SHARE-Отд. разр. ИС-Документация-RW:R
NT AUTHORITY\SYSTEM:(OI)(CI)F
BUILTIN\Administrators:(OI)(CI)F

и «D:\SHARE\Отдел разработки информационных систем»:

Дамп NTFS разрешений, полученных командой cacls:
ICS\FILE-FILESRV-SHARE-Отд. разр. ИС-Документация-RO:R
ICS\FILE-FILESRV-SHARE-Отд. разр. ИС-Документация-RW:R
ICS\FILE-FILESRV-SHARE-Отд. разр. ИС-RO:(OI)(CI)R
ICS\FILE-FILESRV-SHARE-Отд. разр. ИС-RW:(OI)(CI)C
NT AUTHORITY\SYSTEM:(OI)(CI)F
BUILTIN\Administrators:(OI)(CI)F

Создание вложенного информационного ресурса. Сужение доступа
Постановка задачи
В целях организации резервного копирования наработок Отдела разработки информационных систем начальнику отдела Иванову Сергею Леонидовичу (SL.Ivanov@domain.ics), в рамках файлового информационного ресурса отдела, понадобилась сетевая папка «Архив», доступ к которой был бы только у него.

Решение.
Для решения данной задачи в файловом информационном ресурсе отдела требуется сделать вложенный ресурс «Архив» («\\FILESRV\share\Отдел разработки информационных систем\Архив»), доступ к которому предоставить только начальнику отдела.

Источник