ЛИНТЕР

Контроль доступа к БД с рабочих станций

Основополагающим понятием в процессе контроля доступа пользователя к БД с удаленного компьютера является понятие сетевая станция. Сетевой станцией для СУБД ЛИНТЕР является любая рабочая станция (компьютер), имеющая уникальный идентификатор – сетевой адрес.

СУБД ЛИНТЕР позволяет администратору безопасности регулировать доступ к БД с сетевых рабочих станций по следующим критериям:

по графику (расписанию) работы пользователя; например, пользователю Х доступ к БД разрешен по будням с 8.00 до 12.00 и с 13.00 до 17.00;
по количеству одновременно активных логических соединений с СУБД;
по списку разрешенных для доступа к БД станций; например, доступ к БД «Бухгалтерия» может быть запрещен с сетевых рабочих станций, установленных в службе технической поддержки;
по уровням доступа;
по списку разрешенных для доступа групп; например, доступ к БД «Бухгалтерия» с сетевых рабочих станций, установленных в финансово-экономическом отделе, разрешен только пользователям группы «Бухгалтеры» и запрещен пользователям группы «Экономисты».

СУБД ЛИНТЕР поддерживает несколько типов сетей, что требует различного подхода к интерпретации сетевых адресов.

В общем случае сетевой адрес состоит из адреса подсети (уникального в пределах всей сети) и адреса станции (уникального в пределах подсети). СУБД ЛИНТЕР позволяет управлять доступом, как на уровне конечной станции, так и на уровне подсети. В последнем случае ограничения, наложенные на всю подсеть, распространяются на все станции, расположенные в данной подсети.

Каждый сетевой адрес в СУБД ЛИНТЕР характеризуется следующими параметрами:

типом сети (определяет внутреннюю структуру адреса);
типом адреса (указывает на подсеть или конкретный узел);
адресом в сети (собственно сетевой адрес; в зависимости от типа сети может включать/не включать адрес подсети);
маской разрешенных групп пользователей (стандартная битовая маска, описывающая, разрешен ли доступ данной группы к станции);
уровнями мандатного доступа (проверяется возможность пользователя выполнять соответствующие операции по отношению к данной станции);
маской разрешенного времени доступа (с точностью до получаса описывается время, разрешенное для доступа со станции).

Управлять правами доступа с сетевых станций может только администратор безопасности СУБД.

При попытке установить соединение с некоторой сетевой станции СУБД выполняет следующие действия:

проводит стандартную идентификацию и аутентификацию пользователя;
проверяет наличие у пользователя Connect-категории или выше;
получает у операционной системы тип сети и адрес сети – источника запроса на установку соединения;
проверяет, ограничен ли доступ для данного пользователя (по расписанию работы);
проверяет, существует ли для данного пользователя список разрешенных или запрещенных сетевых станций;
если такой список существует, то проверяется совпадение меток доступа для пользователя и разрешенной станции (группа пользователя должна содержаться в маске групп пользователей у станции; RAL-уровень пользователя не должен быть выше RAL-уровня станции, WAL-уровень пользователя не должен быть ниже WAL-уровня станции);
если мандатный доступ разрешен, проверяется возможность данного пользователя работать с этой станции в текущий момент времени;
если запрещенных комбинаций не обнаружено, то доступ разрешается.

Имя сетевой станции представляет собой идентификатор, который может использоваться администратором безопасности для разрешения/запрещения доступа пользователей с данного компьютера.

Характеристики сетевой станции включают:

общее число неуспешных попыток доступа к БД со станции;
текущее число неуспешных попыток доступа к БД со станции;
флаги доступа (доступ запрещен, требуется проверка группы);
уровни доступа с компьютера для мандатного доступа;
маска разрешенных для доступа групп;
маска временного доступа (битовое поле разрешенного времени работы со станции (с точностью до получаса на неделю);
время последнего неудачного доступа к БД;
время последнего успешного доступа к БД;
дата и время, начиная с которого доступ к БД с данной станции разрешается;
дата и время, до которого доступ к БД с данной станции разрешается;
маска разрешенных для доступа к БД дней недели.

Уровни мандатного доступа для сетевой станции представляют собой два числа, аналогичные уровням доступа субъектов и объектов БД.

Маска разрешенных для доступа групп представляет собой битовую маску из 256 бит, 250 бит которой кодируют разрешение соответствующей группы на доступ к станции.

Дата и время, начиная с которого доступ к БД разрешается с данной станции, представляет собой одностороннее ограничение на дату начала разрешения доступа с данной станции.

Дата и время, начиная с которого доступ к БД запрещается с данной станции, представляет собой одностороннее ограничение на дату прекращения доступа с данной станции.

Маска разрешенных для доступа дней недели представляет собой битовую маску разрешенных для доступа дней недели.

К БД, в которой инициализирован мандатный доступ, доступ с сетевых станций по умолчанию запрещен. Перед использованием сетевой станции ее необходимо сделать видимой для СУБД ЛИНТЕР. Этого можно добиться двумя способами: создать станцию, т.е. включить ее описание в список доступных СУБД станций или перевести СУБД ЛИНТЕР в режим беспрепятственной работы с неизвестными станциями (UNLISTED STATIONS), например,

grant access on unlisted station to all;

(разрешить доступ к этой БД со всех компьютеров).

Доступ физических лиц к консоли сервера СУБД ЛИНТЕР для изменения параметров работы со станциями должен строго ограничиваться административными мерами.