Материал: Горбатов Аттестационные испытания автоматизированных систем от 2014

11.Для чего используется способ запуска процесса тестирования с использованием функции CreateProcessAsUser?

a) для корректной работы программы «Ревизор-2ХР» и ОС, установленной на АРМ;

b) для тестирования в системе под управлением Windows NT4; c) для проведения тестирования в системе с ОС отличной от

Windows NT4.

12.Что произойдет, если файл протокола тестирования будет скрыт или недоступен для чтения тестируемым пользователям?

a) ничего не произойдет;

b) появится ошибка «Отсутствует протокол тестирования»; c) появится ошибка «Неверные параметры запуска»;

d) другое.

13.Что означает параметр «Выполнять автоматический вход в систему»?

a) выбор автоматического режима тестирования АРМ;

b) выбор режима, в котором администратору не приходится проводить дополнительных действий по настройке режима тестирования;

c) такого параметра не существует.

14.За что отвечает параметр «Запуск процесса тестирования от текущего пользователя»?

a) тестирование выполняется от пользователя, который работает в данный момент в системе;

b) тестирование пользователей от лица текущего пользователя, работающего в системе;

c) данный параметр предназначен для ручного проведения тестирования.

15.К чему может привести нарушение целостности системных файлов в случае сбоя процесса тестирования?

a) к частичному разрушению ОС и СЗИ; b) к полному разрушению ОС и СЗИ; c) оба выше приведенных варианта;

d) к тому, что придется проводить процесс тестирования АРМ заново.

291

Работа 11

ПРОВЕРКА ОРГАНИЗАЦИИ КОНТРОЛЯ ДОСТУПА КЛИЕНТ-СЕРВЕРНЫХ ПРИЛОЖЕНИЙ К ОБЪЕКТАМ БАЗ ДАННЫХ. РАЗГРАНИЧЕНИЕ ПОЛНОМОЧИЙ ПОЛЬЗОВАТЕЛЕЙ С ИСПОЛЬЗОВАНИЕМ РОЛЕЙ И ПРИВИЛЕГИЙ

Цель: получение навыков практического использования типовых средств СУБД для разграничения полномочий пользователей с использованием ролей и привилегий.

ПЛАН ПРОВЕДЕНИЯ РАБОТЫ

1.Установка предметной области, заданной преподавателем в качестве образца. Наделение владельца предметной области («администратора приложения») необходимыми ролями, системными привилегиями для дальнейшего выполнения работы по разграничению полномочий. Создание public synonym таблиц предметной области для упрощенного обращения к ним.

2.Определение двух пользователей – «менеджеров», обладающих всеми объектными привилегиями на две группы таблиц (разных, за исключением одной таблицы, общей для использования обоими «менеджерами»). Определение пользователя – «клерка», обладающего правами только на вставку записей в таблицы одного из «менеджеров». Все объектные привилегии должны быть выданы названным пользователям только через специально созданные роли. Системная привилегия «create session» должна выдаваться пользователям напрямую.

3.Проверка разграничения полномочий пользователей.

ОПИСАНИЕ ПРЕДМЕТНОЙ ОБЛАСТИ УЧЕБНОЙ ИНФОРМАЦИОННОЙ СИСТЕМЫ

«СИСТЕМА СЕРТИФИКАЦИИ СРЕДСТВ ЗАЩИТЫ ИНФОРМАЦИИ»

Под сертификацией продукции понимается процедура подтверждения соответствия продукции – сертифицированного средства (entity Item) установленным требованиям – стандартам (entity

292

Standart) независимой от производителя (entity Manufctr) организацией – сертификационным центром (entity Certcntr), которая удостоверяет это в письменной форме (в сертификате соответствия, entity Certifct).

Информация о сертификации средств защиты информации представляется в виде маркировки знаком соответствия, для использования которого к сертификату выдается лицензия на его использование (SignLic).

В соответствии с Законом Российской Федерации «О стандартизации» нормативные документы по стандартизации на продукцию и услуги, подлежащие обязательной сертификации (entity Standart), должны содержать требования, по которым осуществляется обязательная сертификация (Standart.Trebovanie), и правила маркировки средств защиты информации (Standart.LabelRule).

Участниками сертификации средств защиты информации являются:

•Сертификационный центр средств защиты информации (entity CertcCntr) − орган, проводящий сертификацию средств защиты информации (entity Item).

•Испытательная лаборатория (entity TestLab) – лаборатория, проводящая сертификационные испытания средств защиты инфор-

мации (entity Item).

•Производитель средств защиты информации (entity Manufctr). Сертификационный центр, испытательная лаборатория и про-

изводитель должны иметь лицензию на проведение работ в области защиты информации (entity ISLicns):

•Сертификационный центр должен иметь лицензию на деятельность центра сертификации (entity CCLic).

•Испытательная лаборатория должна иметь лицензию на деятельность испытательной лаборатории в области сертификации

(entity TLLic).

•Производитель должен иметь лицензию на деятельность по производству средств защиты информации (entity ManuLic).

Лицензии на проведение работ в области защиты информации выдает центр лицензирования (entity LicCenter) в соответствии с перечнем лицензируемых видов деятельности (entity ISSubjects).

В сертификате (entity Certifct) в обязательном порядке указываются:

293

•Код стандарта, на соответствие которому проводилась сер-

тификация (Certifct.Standart_ID).

•Код сертификационного центра, выдавшего сертификат (Certifct.CertCenterId).

•Код испытательной лаборатории, проводившей испытания

(Certifct.TestLabID).

Одновременно с сертификатом может выдаваться сертификационная лицензия на применение знака соответствия (entity SignLic), который подтверждает соответствие маркированной им продукции установленным требованиям.

Применительно к сфере лицензирования отдельных видов деятельности под лицензией понимается выдаваемое уполномоченным органом (центром лицензирования, entity LicCenter) организациям

ифизическим лицам специальное разрешение на осуществление отдельных видов деятельности. Ст. 49 ГК РФ предусматривает, что виды деятельности, на осуществление которых требуется лицензия, определяется только законом, поэтому существует перечень лицензируемых видов деятельности (entity ISSubjects).

ERD диаграмма предметной области показана на рис. 11.1 и 11.2.

На рис. 11.2 красным контуром обведены, таблицы, выполнять все действия, с которыми может пользователь Certif_mgr, синим цветом – таблицы, выполнять все действия с которыми может пользователь Licns_mgr («менеджеры» остальных таблиц в нашей задаче уже не важны). Пользователь Lic_clerc может выполнять только вставку и извлечение информации для таблиц ISLicns, LicCenter. Владельцем всей схемы является пользователь ch_cert.

Скрипт создания предметной области – файл test1a_new.sql приведен в приложении 6.

Решение задачи разграничения полномочий пользователей с использованием ролей и привилегий

Соединение пользователя с правами АБД с БД. При дальнейшем выполнении работы в окно SQL*Plus надо копировать командные строки из нижеследующего описания.

294

295

Рис. 11.1. ERD диаграмма предметной области (русскоязычный вариант)