Приведем несколько правил формирования “правильных” паролей:

· пароль должен быть неожиданным, лучше – случайным,

· при малейшей опасности желательно сменить все пароли,

· не желательно использование одного и того же пароля в разных системах[5].

В качестве пароля может быть использован набор ответов на M стандартных и N ориентированных на пользователя вопросов. Этот метод получил название “вопрос - ответ”. Когда пользователь делает попытку включиться в работу, система случайным образом выбирает и задает ему некоторые (или все) из этих вопросов. Пользователь должен дать правильные ответы на все вопросы, чтобы получить доступ к информации.

При увеличении длины пароля нельзя увеличивать периодичность его смены на новые значения более 1 года. Коды паролей необходимо менять обязательно, так как за большой период времени увеличивается вероятность их перехвата путем прямого хищения носителя, снятия его копии, принуждения человека. Выбор периодичности необходимо определять из конкретных условий работы системы, но не реже одного раза в год. Причем дата замены и периодичность должны носить случайный характер[2].

6.2.Мониторинг несанкционированного доступа

На этапе эксплуатации администрация безопасности выполняет следующие функции:

· поддерживает средства защиты в работоспособном состоянии и периодически контролирует корректность их работы;

· производит изменения в настройке средств защиты на основании и в полном соответствии с изменениями в плане защиты. Они могут быть вызваны различными причинами, например, изменениями списка пользователей, состава сотрудников и их должностных или функциональных обязанностей, расширением номенклатуры используемых технических и программных средств, задач и т.п. Рекомендуется проводить эти изменения в системе только по утвержденным документам;

· осуществляет текущий контроль над работой пользователей системы;

· анализирует содержимое журналов регистрации событий, формируемых средствами защиты, и т.п.

6.2.1.Текущий контроль над работой пользователей системы

Администратор может управлять эксплуатацией каждой рабочей станции с помощью диалога "Монитор" утилиты NetAdmin. Для каждого защищаемого компьютера (в соответствии с приобретенным комплектом системы Secret Net NT) предусмотрен специальный знак - экран, под которым указано имя компьютера в системе. Текущее состояние компьютера в системе отображается с помощью цвета экрана и специальных символов на нем, приведенных в табл.6.2.

Таблица 6.2

Символы, отображающие текущее состояние рабочей станции в системе Secret Net NT

Администратор может получить информацию о текущем состоянии рабочей станции и о ее пользователе в данный момент времени и, при необходимости, может приостановить работу любого пользователя системы на определенном компьютере.

Для оперативного управления в системе защиты Secret Net NT предусмотрена возможность блокировки, выключения и перезагрузки любой рабочей станции системы[3].

6.2.2.Анализ журналов регистрации событий

В системном журнале содержится список всех событий, которые произошли на рабочей станции, в соответствии с установленным режимом регистрации. При перезагрузке (начальной загрузке) рабочей станции, подключении любого пользователя с этой станции к сети, либо по требованию администратора системный журнал перемещается на сервер управления доступом и хранится в базе данных на сервере. После этого его содержимое можно анализировать при помощи утилиты NetAdmin. Имеется возможность просмотреть системный журнал полностью или запросить выборку событий. Выборка может быть сделана по имени компьютера, имени пользователя и дате (интервалу дат).

В системном журнале содержатся следующие сведения:

· дата и время события (колонка "Время");

· пользователь, в течение работы которого произошло событие (колонка "Пользователь");

· рабочая станция, на которой произошло событие (колонка "Компьютер");

· категория события (колонка "Категория");

· описание события (колонка "Сообщение").

При отображении содержимого системного журнала записи каждого типа выделены своим цветом: обычные события регистрации имеют черный цвет, вход пользователя в систему - зеленый, события НСД - красный, события расширенной регистрации - фиолетовый, сетевые события - зеленый и т.д.[3].

Проводя анализ системного журнала безопасности, администратор может выявить пользователей, наиболее часто совершающих попытки несанкционированного доступа. На основе этих данных может быть сделан вывод о преднамеренном или случайном характере НСД в случае каждого пользователя.