M 2.32z Piiratud kasutajakeskkonna loomine


Algatamise eest vastutavad: infoturbespetsialist, IT-juht
Rakendamise eest vastutab: administraator

Kui kasutajad täidavad ainult kindlaid ülesandeid, pole neile alati tarvis anda kõiki iseseisva sisselogimisega kaasnevaid õigusi (mõningatel juhtudel isegi mitte süsteemiülema õigusi). Näitena võib tuua mõningad rutiinsed süsteemihaldusega seotud ülesanded, nt varukoopiate tegemine või uute kasutajakontode loomine, mille jaoks kasutatakse menüüjuhtimisega programmi, või tegevused, mille jaoks vajab kasutaja ainult ühte rakendust. Eriti just ajutiste töötajate puhul tuleb hoolikalt jälgida, et neil oleks võimalik kasutada ainult selliseid teenuseid ja andmeid, mida nad tõepoolest oma tööks vajavad. Pärast seda, kui ajutiste töötajate töökohustused on lõppenud, tuleb nende kasutajakontod desaktiveerida ja kõik pääsuõigused tühistada (vt M 4.17 Tarbetute kontode ja terminalide blokeerimine). Sellistele kasutajatele tuleb luua piiratud kasutajakeskkond. Selle võib luua näiteks Unixis, kasutades Restricted Shelli (rsh) ja juurdepääsude piiramiseks Unixi käsku chroot. Kasutajate jaoks, kes vajavad oma tööks vaid ühte rakendusprogrammi, võib võtta kasutusele ka Login-Shelli, mis hoolitseb, et rakendus käivitataks juba sisselogimisel, ja tagab, et programmi sulgemisel saab kasutaja automaatselt süsteemist välja logitud. IT-süsteemis kättesaadavate funktsioonide arvukust võib üksikute kasutajate ja kasutajarühmade lõikes piirata. Kui kasutaja tööülesanded neid ette ei näe, tuleks piirata redaktorite ja kompilaatorite kasutusõigusi. Üksikrežiimis töötavate süsteemide puhul võib vastavad programmid eemaldada ning võrgus töötavate süsteemide puhul võib piirata nende kasutusõigusi.

Microsofti Windows
Järgnevalt tutvustatakse Microsofti Windowsi versioonide turbeomadusi ehk tehnilisi meetmeid, mille abil saab luua piiratud kasutajakeskkonna.
Alates versioonist NT pakub Microsofti Windows käivitusskriptide kasutamise võimalust, et piirata kasutajate juurdepääsu erinevatele rakendustele. Tuleb jälgida, et kasutaja ei saaks skriptide käivitamist katkestada ega muuta. Näiteks võivad sisselogiva kasutajaga seotud skriptid käivituda nähtamatult. Ka käivitatud rakendus ei tohi kasutajale pakkuda teiste programmide käivitamise võimalust. Windows 7 ja Windows 2008 R2 saab juurdepääsu blokeerida AppLockeriga ja administraator vajadusel lukustada (M 4.419 Rakenduste juhtimine AppLockeriga alates Windows 7-st). Microsofti Windows Vista sisaldab uue turvaomadusena kasutajakontode haldust (User Account Control, UAC) (vt M 4.340 Windows kasutajakonto haldamise (UAC) kasutamine alates Windows Vistast).
Kasutajakontode haldamine peab piirama administraatoritena sisseloginud kasutajate liiga suurtest privileegidest tulenevat kuritarvitatavat juurdepääsu failidele ja programmidele. Kõik Windows Vista süsteemi administraatorid töötavad esmalt standardkasutajana. Enne kui kasutaja saab installida tarkvara või käivitada operatsioonisüsteemi seisukohast kriitilise tähtsusega programme või funktsioone, kontrollib kasutajakontode haldus, kas kasutajal on sellise tegevuse jaoks vajalikud privileegid. Kasutajatelt, kes kuuluvad rühma „Administraatorid”, küsitakse tavaliselt enne installimist või programmi käivitamist, kas nad annavad selleks oma nõusoleku. Vähemate õigustega kasutajad peavad sisestama administraatori autentimisandmed. Vastava GPO-poliitika (Group Policy Objects) „User Account Control: Behavior of the elevation prompt for standard users” konfiguratsioonis tuleks valida seadistus „Automatically deny elevation requests”. Selle tulemusel ei saa standardkasutajad, kes ei kuulu administraatorite rühma, oma õiguseid enam suurendada. Funktsiooniga Parental Controls saab administraator kasutajale seada Windows Vista, Windows 2008 süsteemi kasutamise piiranguid.
Parental Controlsi abil saab piirata:
  • aegu, millal kasutaja saab sisse logida;
  • programme, mida kasutaja saab käivitada;
  • veebilehti (internetiaadresse), mida kasutaja saab avada.
Parental Controls ei ole aga loodud professionaalseks kasutamiseks. Parental Controlsi piiravad funktsioonid tuleks professionaalses töökeskkonnas asendada asjakohaste alternatiivsete meetmetega.

Kontrollküsimused:
  • Kas kasutajakeskkonna ja käivitusprotseduuri puhul arvestatakse iga kasutaja reaalsete tööülesannetega?
  • Kas redaktorite ja kompilaatorite kasutamine on takistatud, kui need pole kasutajale tööülesannete täitmiseks vajalikud?
  • Kas on tagatud, et kasutajal ei ole Windowsi käivitamisel võimalik muuta ega katkestada käivitusskripte?
  • Kas ajutiste töötajate kasutajakeskkonna õigused on reguleeritud?
  • Kas kasutajakeskkonna piiramiseks rakendatakse IT-süsteemis leiduvaid turvafunktsioone, nt kasutajakontode haldamist Windows Vistas?