Управляемый контроль доступа
Контроль доступа для устройств работает следующим образом: каждый раз, когда пользователь пытается получить доступ к устройству, DeviceLock перехватывает запрос на уровне ядра ОС. В зависимости от типа устройства и интерфейса подключения (например, USB), DeviceLock проверяет права пользователя в соответствующем списке управления доступом (ACL). Если у пользователя отсутствуют права доступа к данному устройству, будет возвращено сообщение об ошибке “доступ запрещен”.
Проверка разрешений на доступ выполняется на трех уровнях: интерфейс (порт), тип и содержимое файла. Некоторые устройства проверяются на всех трех уровнях, в то время как другие - только на одном: либо на уровне интерфейса (порта), либо на уровне типа.
Рассмотрим случай доступа пользователя к USB-флеш через USB-порт. В данном случае DeviceLock в первую очередь проверит на уровне интерфейса (USB-порта), открыт или нет доступ к USB-порту. Затем, поскольку Windows определяет USB-флеш как съемное устройство, DeviceLock также проверит ограничения на уровне типа устройства (съемное). И в завершение проверки DeviceLock также проверит ограничения на уровне содержимого файла, определенные контентно-зависимыми правилами.
В случае же использования USB-сканера доступ будет проверяться только на уровне интерфейса (USB-порта), поскольку DeviceLock не имеет отдельного типа устройств для сканеров.
Существуют дополнительные настройки безопасности (см.
Настройки безопасности (обычный профиль)), которые могут выключать контроль доступа для классов устройств (напр., для всех USB-клавиатур и мышей), в то время как остальные устройства остаются под контролем. В этом случае, если устройство принадлежит к классу, для которого контроль отключен, DeviceLock пропускает все запросы на соединение с этим устройством на уровне интерфейса (порта). DeviceLock также поддерживает белый список определенных устройств (см.
Белый список USB-устройств (обычный профиль)); иными словами, вы можете отключить контроль доступа только для определенных устройств (например, некоторых USB-принтеров).
Примечание: Если доступ к устройству запрещен на уровне интерфейса (порта), DeviceLock не будет проверять разрешения на уровне типа. Если доступ к устройству на уровне интерфейса (порта) разрешен, DeviceLock также проверит разрешения на уровне типа. Пользователь может подключиться к устройству, только если у него есть права на обоих уровнях. |
Контроль доступа для протоколов работает следующим образом: каждый раз, когда пользователь пытается получить доступ к удаленному сетевому ресурсу, DeviceLock перехватывает запрос на соединение на уровне ядра ОС и проверяет права пользователя в соответствующем списке управления доступом (ACL). Если у пользователя отсутствуют права доступа к данному протоколу, будет возвращено сообщение об ошибке “доступ запрещен”.
Примечание: Настройки контроля доступа для социальных сетей, сервисов файлового обмена и веб-почты имеют преимущество перед настройками для протокола HTTP. Например, если пользователям разрешен доступ к почтовой службе Gmail, но запрещено использовать протокол HTTP, они, тем не менее, смогут получить доступ к почтовой службе. |
Проверка разрешений на доступ выполняется на двух уровнях: протокол и содержимое. Все сетевые подключения проверяются на обоих уровнях, за исключением подключений по протоколам Торрент, Telnet, Telegram и WhatsApp, которые проверяются только на уровне протокола.
Например, при попытке пользователя подключиться к удаленному узлу, DeviceLock проверит, разрешено ли подключение на уровне протокола, а затем будут проверены разрешения на уровне содержимого передаваемых данных, определенные контентно-зависимыми правилами.
Рассмотрим случай доступа пользователя к сайту социальной сети. В данном случае DeviceLock в первую очередь проверит на уровне протокола, открыт или нет доступ к социальным сетям. Затем DeviceLock проверит разрешения на уровне содержимого данных, определенные контентно-зависимыми правилами.
Кроме того, DeviceLock поддерживает белые списки протоколов (см.
Белый список протоколов). Белый список протоколов позволяет отключать контроль доступа для сетевых подключений с определенными параметрами (например, HTTP-подключений для определенных узлов и портов).
