RU2202122C2

RU2202122C2 - System for checking access to processes (programs) being run

Info

Publication number: RU2202122C2
Application number: RU2001100148/09A
Authority: RU
Inventors: А.Ю. Щеглов
Original assignee: Щеглов Андрей Юрьевич
Priority date: 2001-01-03
Filing date: 2001-01-03
Publication date: 2003-04-10

Abstract

FIELD: computer engineering, data computing systems and networks. SUBSTANCE: system that may be used to provide closed-loop software environment at workstations, functional and data servers, and to effectively hinder from running unwanted processes (programs) and checking user's access to processes being run has unit providing for integrity of system processes, user's system input authorizing unit, process run authorizing unit, run process complete path checking unit, name and run process complete path memory unit, catalog and file access delimiting unit, processes access delimiting unit, process access delimiting and authorizing unit, and process completion shaping unit.. EFFECT: enhanced protection level of workstations, functional and data servers. 2 dwg

Description

Изобретение относится к вычислительной технике, а именно к информационным вычислительным системам и сетям, и может быть использовано для обеспечения замкнутости программной среды на рабочих станциях, функциональных и информационных серверах. The invention relates to computer technology, namely to information computer systems and networks, and can be used to ensure the closeness of the software environment at workstations, functional and information servers.

Большую угрозу защищаемым на рабочих станциях и серверах ресурсам составляет возможность запуска деструктивных программ (троянов и т.п.). Данные программы, при их запуске, могут приводить к несанкционированному доступу к защищаемой информации, приводить к отказу системы, изменять настройки системы и т.д. При этом активация деструктивной программы имеет две стадии:
- Стадия загрузки в систему - может осуществляться как пользователем, так и удаленно из сети.A great threat to the resources protected at workstations and servers is the possibility of launching destructive programs (trojans, etc.). These programs, when launched, can lead to unauthorized access to protected information, lead to system failure, change system settings, etc. Moreover, the activation of a destructive program has two stages:
- Stage loading into the system - can be carried out both by the user and remotely from the network.

- Стадия запуска в системе, также может осуществляться как пользователем, так и удаленно из сети. - The launch stage in the system can also be carried out both by the user and remotely from the network.

В рамках построения защищенных систем возникает проблема противодействия запуску деструктивных программ на защищаемом объекте - рабочей станции или сервере. As part of the construction of secure systems, the problem arises of opposing the launch of destructive programs on the protected object - a workstation or server.

Известен способ противодействия запуску деструктивных программ, рассматриваемых в качестве вирусов, средствами противодействия компьютерным вирусам - осуществляется периодический контроль файловой системы на предмет наличия в нем вируса с последующим уничтожением данного файла (расположенной в нем программы). К таким системам может быть отнесена любая программа противодействия компьютерным вирусам - AVP, DrWeb и др. (см., например, кн. В.М. Зима, А. А. Молдовян "Многоуровневая защита от компьютерных вирусов": Учеб. Пособие. - Спб: издательско-полиграфический центр ГЭТУ. - 1997). There is a method of counteracting the launch of destructive programs considered as viruses by means of counteracting computer viruses - the file system is periodically monitored for the presence of a virus in it, followed by the destruction of this file (the program located in it). Such systems can include any program to counter computer viruses - AVP, DrWeb, etc. (see, for example, Prince V.M. Zima, A. A. Moldovyan "Multilevel protection against computer viruses": Textbook. Manual - SPb: publishing and printing center GETU. - 1997).

Однако по своей сути деструктивная программа - это не вирус, поэтому данный способ имеет весьма ограниченное применение в данных приложениях, в частности:
- Практически невозможно выявить отличительных признаков деструктивной программы, она ничем не отличается от обычных программ.However, in its essence, a destructive program is not a virus, therefore this method has very limited use in these applications, in particular:
- It is almost impossible to identify the hallmarks of a destructive program, it is no different from ordinary programs.

- Можно отлавливать деструктивные программы лишь после их обнаружения и внесения в базу данных вирусов. - You can catch destructive programs only after they are detected and added to the virus database.

- Проверка файловой системы довольно продолжительное мероприятие, поэтому осуществляется редко (1, максимум 2 раза в течение рабочего дня). - Checking the file system is a rather lengthy exercise, therefore it is rarely performed (1, maximum 2 times during the working day).

- Проверку на наличие вирусов осуществляет, как правило, собственно пользователь, который может осуществлять внесение и запуск деструктивной программы. - As a rule, the check for viruses is carried out by the user himself, who can make and launch a destructive program.

Наиболее близкой по технической сущности к заявляемой (прототипом) является "Система обеспечения целостности информации вычислительных систем", патент на изобретение 2145727. Она представляет собой программный комплекс, устанавливаемый на защищаемые компьютеры с целью обеспечения целостности данных, замкнутость среды исполнения и контроль списков зарегистрированных пользователей. Closest to the technical nature of the claimed (prototype) is the "System for ensuring the integrity of information of computing systems", patent for invention 2145727. It is a software package that is installed on protected computers to ensure data integrity, isolation of the execution environment and control of lists of registered users.

Система приведена на фиг.1. Система содержит блок обеспечения целостности файловой системы 1, блок управления системой обеспечения целостности 2, блок обеспечения целостности по находящимся в системе пользователям 3, блок обеспечения целостности по находящимся в системе процессам 4, блок выработки реакций 5, причем первый вход блока 1 соединен с первым входом системы 6, второй вход - с первым выходом блока 2, вход которого соединен со вторым входом устройства 7, вход-выход - со входом-выходом блока 5, первый вход которого соединен с выходом блока 1, выход - с выходом устройства 10, второй выход блока 2 соединен с первым входом блока 3, второй вход которого - с третьим входом устройства 8, выход - со вторым входом блока 5, третий вход которого - с выходом блока 4, первый вход которого - с третьим выходом блока 2, второй вход - с четвертым входом устройства 9. The system is shown in figure 1. The system comprises a unit for ensuring the integrity of the file system 1, a unit for controlling the integrity system 2, a unit for ensuring integrity for the users 3 in the system, a unit for ensuring integrity for the processes 4 in the system, and a generating unit for reactions 5, the first input of unit 1 being connected to the first input system 6, the second input - with the first output of block 2, the input of which is connected to the second input of the device 7, input-output - with the input-output of block 5, the first input of which is connected to the output of block 1, the output - with the output of the device VA 10, the second output of block 2 is connected to the first input of block 3, the second input of which is with the third input of device 8, the output is with the second input of block 5, the third input of which is with the output of block 4, the first input of which is with the third output of block 2 , the second input is with the fourth input of the device 9.

К недостаткам системы может быть отнесено следующее:
- Необходимо знать имена запрещенных процессов, т.е. любая неизвестная системе деструктивная программа может быть запущена, и системой отслежена не будет.The disadvantages of the system include the following:
- You must know the names of the prohibited processes, i.e. any destructive program unknown to the system can be launched and will not be tracked by the system.

- Любая известная деструктивная программа может быть переименована (записана в файл, например, тем же пользователем, но под другим именем), а затем запущена. - Any known destructive program can be renamed (written to a file, for example, by the same user, but under a different name), and then launched.

Таким образом, данный способ противодействия запуску деструктивных программ хоть и основан на более перспективной технологии, чем способ контроля файловой системы на запущенный процесс относится к запрещенным, он может быть завершен блоком выработки реакций 5, подачей соответствующей команды в операционную систему защищаемого объекта. Thus, this method of counteracting the launch of destructive programs, although it is based on a more promising technology than the method of controlling the file system for the running process, is prohibited, it can be completed by the reaction generation unit 5 by submitting the corresponding command to the operating system of the protected object.

Таким образом, данный способ противодействия запуску деструктивных программ хоть и основан на более перспективной технологии, чем способ контроля файловой системы на предмет появления деструктивной программы, но не может обеспечить высокой эффективности защиты. Thus, although this method of counteracting the launch of destructive programs, although it is based on a more promising technology than the method of controlling the file system for the appearance of a destructive program, it cannot provide high protection efficiency.

Целью изобретения является повышение уровня защищенности рабочих станций, функциональных и информационных серверов за счет эффективного противодействия запуску деструктивных процессов (программ) и контроля доступа пользователей к запускаемым процессам. The aim of the invention is to increase the level of security of workstations, functional and information servers due to the effective counteraction to the launch of destructive processes (programs) and user access control to the launched processes.

Идея предлагаемого способа защиты состоит в использовании следующих решений:
- Контроль должен осуществляться не списков имен запрещенных процессов, а списков имен разрешенных процессов с завершением любого зафиксированного процесса, не вошедшего в список разрешенных (при этом система становится не критичной к появлению незнакомых деструктивных программ).The idea of the proposed method of protection is to use the following solutions:
- Control should not be carried out on the lists of names of forbidden processes, but on the lists of names of allowed processes with the completion of any fixed process that is not included in the list of allowed (in this case, the system becomes not critical to the appearance of unfamiliar destructive programs).

- Для задания списка разрешенных процессов должна быть реализована функция сбора статистики запускаемых на защищаемом объекте процессов (программ). При этом на период сбора статистики разрешенных программ (запуск иных программ будет блокирован) должна быть заблокирована реакция - "завершение процесса". - To specify a list of allowed processes, the function of collecting statistics of processes (programs) launched on the protected object must be implemented. At the same time, the reaction - "completion of the process" should be blocked for the period of collecting statistics of allowed programs (launch of other programs will be blocked).

- Для противодействия возможности переименования запрещенного (деструктивного) процесса в разрешенный должно контролироваться не только имя процесса, но и его полный путь (откуда запущен, например, C:\windows\... .), и должно быть реализовано разграничение доступа пользователей к файловой системе. В этом случае подмена имени деструктивного процесса на разрешенный в каталоге, к которому допущен пользователь, не приведет к запуску процесса, т. к. не будет совпадать его полный путь, а в каталог, где располагается разрешенный процесс (по полному пути), будет закрыт доступ пользователя - в этот каталог деструктивный процесс (с последующей заменой имени) он занести не сумеет. Заметим, что доступ из сети в систему осуществляется с правами текущего пользователя, так что все сказанное относится и к попытке загрузки и запуска деструктивной программы удаленно. - To counteract the possibility of renaming a forbidden (destructive) process into a resolved one, not only the process name, but also its full path should be controlled (from where, for example, C: \ windows \ ... was launched), and user access to the file should be differentiated system. In this case, replacing the name of the destructive process with the resolved one in the directory to which the user is allowed will not start the process, since its full path will not coincide, and the directory where the resolved process is located (in the full path) will be closed user access - he will not be able to enter the destructive process (with the subsequent replacement of the name) into this directory. Note that access from the network to the system is performed with the rights of the current user, so that all of the above applies to the attempt to download and run the destructive program remotely.

- Для разграничения функций пользователя в многопользовательской операционной системе должна быть реализована система разграничения доступа к разрешенным процессам. - To differentiate user functions in a multi-user operating system, a system must be implemented to differentiate access to allowed processes.

- Для разграничения функций пользователя в многопользовательской операционной системе к критичным процессам (например, к программам доступа к внешним сетям, в частности Internet) должна быть реализована система разграничения доступа к разрешенным процессам с процедурой авторизации, где авторизации может быть подвергнут как сам пользователь, так и ответственное лицо, в случае, если критичные процессы (например, доступ в сеть Internet) могут в системе запускаться только в его присутствии. - In order to differentiate user functions in a multi-user operating system, critical processes (for example, access programs to external networks, in particular the Internet) should have a system for restricting access to allowed processes with an authorization procedure, where both the user and the user can be authorized responsible person in case critical processes (for example, access to the Internet) can only be started in the system in his presence.

Достигается решение сформулированной цели тем, что в систему, содержащую блок обеспечения целостности по находящимся в системе процессам, вход которого соединен со вторым входом системы, дополнительно введены: блок авторизации пользователя при входе в систему, блок авторизации при запуске процесса, блок контроля полного пути запущенного процесса, блок памяти имени и полного пути запускаемых процессов, блок разграничения доступа к каталогам и файлам, блок разграничения доступа к процессам, блок разграничения доступа к процессам с авторизацией, блок формирования сигнала завершения процесса, причем вход-выход блока авторизации пользователя при входе в систему соединен с первым входом-выходом системы, выход - с первым входом блока разграничения доступа к каталогам и файлам, с первым входом блока разграничения доступа к процессам, первый вход системы - со вторым входом блока разграничения доступа к каталогам и файлам, выход - с первым выходом системы, второй вход-выход системы соединен со входом-выходом блока авторизации при запуске процесса, второй вход которого - с выходом блока разграничения доступа к процессам с авторизацией, с четвертым входом блока формирования сигнала завершения процесса, выход блока авторизации при запуске процесса - с четвертым выходом системы, с третьим входом блока памяти имени и полного пути запускаемых процессов, первый вход которого - со вторым входом системы, третий вход системы - со вторым входом блока контроля полного пути запущенного процесса, со вторым входом блока памяти имени и полного пути запускаемых процессов, выход которого - со вторым выходом системы, первый вход блока контроля полного пути запущенного процесса - с первым выходом блока обеспечения целостности по находящимся в системе процессам, второй выход которого - с третьим входом блока разграничения доступа к процессам с авторизацией, с первым входом блока формирования сигнала завершения процесса, второй вход которого - со вторым выходом блока контроля полного пути запущенного процесса, третий вход - со вторым выходом блока разграничения доступа к процессам, первый выход которого - с первым входом блока разграничения доступа к процессам, второй вход которого - с первым выходом блока контроля полного пути запущенного процесса, выход блока формирования сигнала завершения процесса - с третьим выходом системы, четвертый вход системы - с пятым входом блока формирования сигнала завершения процесса. A solution to the stated goal is achieved by the fact that the system containing the integrity block for the processes in the system, the input of which is connected to the second input of the system, is additionally introduced: a user authorization block when entering the system, an authorization block when the process starts, a control unit for the full path started process, a memory block for the name and full path of running processes, a block for differentiating access to directories and files, a block for differentiating access to processes, a block for differentiating access to processes with the author the process of completion of the signal, and the input-output of the user authorization block at the entrance to the system is connected to the first input-output of the system, the output is to the first input of the access control block for directories and files, with the first input of the access control block for processes system input - with the second input of the access control block for directories and files, output - with the first output of the system, the second input-output of the system is connected to the input-output of the authorization block when the process starts, the second input of which is with the output access control block for processes with authorization, with the fourth input of the process completion signal generating block, the output of the authorization block at the start of the process - with the fourth system output, with the third input of the name memory block and the full path of the launched processes, the first input of which is with the second system input, the third input of the system - with the second input of the control unit of the full path of the running process, with the second input of the memory block of the name and the full path of the launched processes, the output of which is with the second output of the system, the first input of the block and control of the full path of the running process - with the first output of the integrity block for the processes in the system, the second output of which is with the third input of the access control block for processes with authorization, with the first input of the signal completion block of the process, the second input of which is with the second output the control unit of the full path of the running process, the third input is with the second output of the access control block for processes, the first output of which is with the first input of the access control block for processes, the second in the course of which is with the first output of the control unit for the full path of the running process, the output of the process completion signal generating unit with the third system output, the fourth system input with the fifth input of the process completion signal generating unit.

Схема системы контроля доступа к запускаемым процессам (программам) приведена на фиг.2. Схема содержит: блок авторизации пользователя при входе в систему 1, блок авторизации при запуске процесса 2, блок обеспечения целостности по находящимся в системе процессам 3, блок контроля полного пути запущенного процесса 4, блок памяти имени и полного пути запускаемых процессов 5, блок разграничения доступа к каталогам и файлам 6, блок разграничения доступа к процессам 7, блок разграничения доступа к процессам с авторизацией 8, блок формирования сигнала завершения процесса 9, причем вход-выход блока авторизации пользователя при входе в систему 1 соединен с первым входом-выходом системы 10, выход - с первым входом блока разграничения доступа к каталогам и файлам 6, с первым входом блока разграничения доступа к процессам 7, первый вход системы 12 - со вторым входом блока разграничения доступа к каталогам и файлам 6, выход - с первым выходом системы 16, второй вход-выход системы 11 соединен со входом-выходом блока авторизации при запуске процесса 2, второй вход которого - с выходом блока разграничения доступа к процессам с авторизацией 8, с четвертым входом блока формирования сигнала завершения процесса 9, выход блока авторизации при запуске процесса 2 - с четвертым выходом системы 19, с третьим входом блока памяти имени и полного пути запускаемых процессов 5, первый вход которого - со вторым входом системы 13, третий вход системы 14 - со вторым входом блока контроля полного пути запущенного процесса 4, со вторым входом блока памяти имени и полного пути запускаемых процессов 5, выход которого - со вторым выходом системы 17, первый вход блока контроля полного пути запущенного процесса 4 - с первым выходом блока обеспечения целостности по находящимся в системе процессам 3, второй выход которого - с третьим входом блока разграничения доступа к процессам с авторизацией 8, с первым входом блока формирования сигнала завершения процесса 9, второй вход которого - со вторым выходом блока контроля полного пути запущенного процесса 4, третий вход - со вторым выходом блока разграничения доступа к процессам 7, первый выход которого - с первым входом блока разграничения доступа к процессам с авторизацией 8, второй вход которого - со блока контроля полного пути запущенного процесса 4, со вторым входом блока памяти имени и полного пути запускаемых процессов 5, выход которого - со вторым выходом системы 17, первый вход блока контроля полного пути запущенного процесса 4 - с первым выходом блока обеспечения целостности по находящимся в системе процессам 3, второй выход которого - с третьим входом блока разграничения доступа к процессам с авторизацией 8, с первым входом блока формирования сигнала завершения процесса 9, второй вход которого - со вторым выходом блока контроля полного пути запущенного процесса 4, третий вход - со вторым выходом блока разграничения доступа к процессам 7, первый выход которого - с первым входом блока разграничения доступа к процессам с авторизацией 8, второй вход которого - со вторым входом системы 13, с третьим входом блока разграничения доступа к процессам 7, второй вход которого - с первым выходом блока контроля полного пути запущенного процесса 4, выход блока формирования сигнала завершения процесса 9 - с третьим выходом системы 18, вход блока обеспечения целостности по находящимся в системе процессам 3 соединен со вторым входом системы 13, четвертый вход системы 15 - с пятым входом блока формирования сигнала завершения процесса 9. The scheme of the access control system for the launched processes (programs) is shown in Fig.2. The scheme contains: a user authorization block at the entrance to the system 1, an authorization block at the start of the process 2, an integrity block for the processes in the system 3, a control block for the full path of the running process 4, a memory block for the name and full path of the started processes 5, an access control block to directories and files 6, the access control block for the processes 7, the access control block for the processes with authorization 8, the signal conditioning block for the process 9, and the input-output of the user authorization block at the entrance to the system topic 1 is connected to the first input-output of the system 10, the output - with the first input of the access control block for directories and files 6, with the first input of the access control block for processes 7, the first input of system 12 - with the second input of the access control block for directories and files 6, the output is with the first output of the system 16, the second input-output of the system 11 is connected to the input-output of the authorization block when starting process 2, the second input of which is with the output of the access control block for processes with authorization 8, with the fourth input of the signal conditioning block the solution of process 9, the output of the authorization block at the start of process 2 - with the fourth output of system 19, with the third input of the name memory block and the full path of the started processes 5, the first input of which is with the second input of system 13, the third input of system 14 - with the second input of the block control the full path of the running process 4, with the second input of the name memory block and the full path of the started processes 5, the output of which is with the second output of the system 17, the first input of the control block of the full path of the running process 4 - with the first output of the integrity block by processes 3 in the system, the second output of which is with the third input of the access control block for processes with authorization 8, with the first input of the process completion signal generation block 9, the second input of which is with the second output of the full path control unit 4, the third input - with the second output of the access control block for processes 7, the first output of which is with the first input of the access control block for processes with authorization 8, the second input of which is from the control unit of the full path of the running process 4, from to the first input of the memory block of the name and the full path of the launched processes 5, the output of which is with the second output of the system 17, the first input of the control unit of the full path of the running process 4 is the first output of the integrity unit for processes 3 in the system, the second output of which is with the third the input of the access control block for processes with authorization 8, with the first input of the signal formation block for the completion of process 9, the second input of which is with the second output of the control unit of the full path of the running process 4, the third input is with the second the output of the access control block for processes 7, the first output of which is with the first input of the access control block for processes with authorization 8, the second input of which is with the second input of the system 13, with the third input of the access control block for processes 7, the second input of which is with the first the output of the control unit of the full path of the running process 4, the output of the signal conditioning unit of the completion of process 9 - with the third output of the system 18, the input of the integrity unit for processes in the system 3 is connected to the second input of the system 13, even erty input system 15 - a fifth input signal formation unit 9, the process is complete.

Работает схема следующим образом. При доступе к компьютеру блоком 1 со входа 10 осуществляется авторизация пользователя - запрашиваются его имя и пароль, после удачной авторизации ему разрешается доступ к компьютеру, в блоке 1 запоминается имя текущего пользователя, которое передается в блок 6. Блок 6 реализует мандатный или дискреционный механизм контроля доступа к каталогам и файлам, где задаются для каждого пользователя (по его имени) задаются имена каталогов и файлов, к которым данный пользователь может обращаться, а также способы обращения - чтение, запись. После авторизации пользователя блоком 1 блок 6, получив от последнего имя текущего пользователя, реализует соответствующую политику прав доступа к каталогам и файлам - разрешает текущему пользователю доступ только к тем файлам и с использованием тех команд, которые для пользователя прописаны в памяти блока 6. Любое обращение пользователя к каталогу или файлу со входа 12 блоком 6 фильтруется, после чего с выхода 16 разрешается или нет обрабатывать запрос пользователя. Данная процедура предотвращает возможность пользователя обращение к системным областям, где находятся запускаемые процессы, например к диску С:\, с целью предотвращения записи в эти области деструктивных процессов под именем существующих санкционированных процессов. The scheme works as follows. When accessing the computer by block 1 from input 10, the user is authorized - his name and password are requested, after successful authorization he is allowed to access the computer, in block 1 the name of the current user is stored, which is transferred to block 6. Block 6 implements a mandatory or discretionary control mechanism access to directories and files, where each user is set (by his name) sets the names of directories and files that this user can access, as well as methods of access - reading, writing. After the user is authorized by block 1, block 6, having received the current user’s name from the last one, implements the corresponding policy of access rights to directories and files - allows the current user to access only those files and using the commands that are registered for the user in the memory of block 6. Any access the user to the directory or file from input 12 by block 6 is filtered, after which from output 16 it is allowed or not to process the user's request. This procedure prevents the user from accessing the system areas where the running processes are located, for example, the C: \ drive, in order to prevent destructive processes from writing to these areas under the name of existing authorized processes.

С входа 13 в систему из ядра операционной системы поступает имя запущенного процесса, со входа 14 - полный путь, откуда процесс запустился (указывается логический диск, каталог, файл). Затем блоками 3 и 4 осуществляется фильтрация параметров процесса. Блок 3 содержит список имен процессов, разрешенных системой к запуску (заметим, что в прототипе обрабатываются списки запрещенных к запуску процессов). В случае, если полученное имя процесса не совпало с разрешенным к запуску, блок 3 через блок 9 выдает на выход 18 команду в ядро операционной системы на завершение процесса. Если имя запускаемого процесса разрешено, блок 3 выдает блоку 4 команду проанализировать полный путь запускаемого процесса (в блоке 4 хранятся данные для каждого имени процесса, откуда он может быть запущен). Если полный путь не совпадает, блоком 4 через блок 9 на выход 18 дается команда завершения процесса. Таким образом, осуществляется фильтрация по разрешенным процессам, ни один из процессов, не отнесенных к разрешенным, либо совпадающий с разрешенным по имени, но запускаемый из другого места (попытка подмены санкционированного процесса), не сможет быть запущен (моментально завершится). From the input 13 to the system, the name of the running process comes from the kernel of the operating system, from the input 14 - the full path from where the process started (the logical drive, directory, file are indicated). Then blocks 3 and 4 filter the process parameters. Block 3 contains a list of the names of processes allowed by the system to run (note that the prototype processes lists of processes prohibited to run). If the received process name does not match the one allowed to start, block 3 through block 9 issues output 18 to the kernel of the operating system to complete the process. If the name of the process to be started is resolved, block 3 instructs block 4 to analyze the full path of the process to be started (in block 4, data is stored for each process name from where it can be started). If the full path does not match, block 4 through block 9 to output 18 gives the command to complete the process. Thus, filtering by allowed processes is carried out, none of the processes that are classified as allowed, or coinciding with the allowed by name, but started from another place (an attempt to substitute an authorized process), cannot be started (it will end instantly).

Блоки 7 и 8 решают задачу разграничения доступа пользователей к запуску разрешенных процессов. В блок 7 из блока 1 поступает имя текущего пользователя, а из блока 4 команда на проведение фильтрации запускаемого процесса по имени пользователя. Блок 7 содержит список разрешаемых к запуску санкционированных процессов для каждого пользователя. В блоке 5 запоминаются все запускаемые процессы с их полными путями, данные параметры соответственно поступают со входов 13 и 14. Имя последнего процесса из блока 5 поступает в блок 7, который принимает решение, разрешить ли к запуску текущим пользователем процесс. Если решение отрицательное, через блок 9 на выход 18 формируется команда завершения процесса. Если пользователю запуск процесса разрешен, блоком 7 в блок 8 выдается команда анализа, требуется ли для запуска данного процесса дополнительной авторизации. Данный механизм реализован для того, чтобы некоторые процессы, относимые к критичным, например, сетевые службы доступа к сети Internet, могли запускаться лишь после дополнительной авторизации. Возможны два режима авторизации - авторизация собственно пользователя (для того, чтобы в его отсутствие при не выключенном компьютере под его именем критичный процесс не смог запустить кто-либо иной), авторизация ответственного лица, например начальника подразделения (для того, чтобы доступ к критичным процессам мог быть осуществлен только под контролем - в присутствии, ответственного лица). В блоке 8 прописаны имена процессов (имя запускаемого процесса поступает из блока 5), которые требуют дополнительной авторизации. Если запускаемый процесс в блоке 8 не прописан, ничего не происходит, в противном случае через блок 9 на выход 18 формируется команда завершения процесса и запускается блок 2, который запрашивает имя и пароль ответственного лица, либо пользователя. При успешной авторизации блок 2 через блок 5 на выход 6 выдает в ядро операционной системы параметры процесса (имя и полный путь), который необходимо запустить и на выход 19 выдает в ядро операционной системы команду на запуск данного процесса. В блоке 8 фиксируется, что данный процесс запущен, повторная авторизация при его запуске не осуществляется. Blocks 7 and 8 solve the problem of delimiting user access to run allowed processes. In block 7, from block 1, the name of the current user is received, and from block 4, a command to filter the starting process by user name. Block 7 contains a list of authorized processes allowed to run for each user. In block 5, all started processes with their full paths are stored, these parameters respectively come from inputs 13 and 14. The name of the last process from block 5 goes to block 7, which decides whether to allow the current user to start the process. If the decision is negative, through block 9 to output 18, a command to complete the process is formed. If the user is allowed to start the process, by block 7 to block 8 an analysis command is issued whether additional authorization is required to start this process. This mechanism is implemented so that some processes that are critical, for example, network access services to the Internet, can only start after additional authorization. Two modes of authorization are possible - authorization of the user himself (so that in his absence when the computer does not turn off under his name someone else could not start the critical process), authorization of the responsible person, for example, the head of the unit (in order to access critical processes could be carried out only under control - in the presence of a responsible person). In block 8, the names of the processes are registered (the name of the launched process comes from block 5), which require additional authorization. If the starting process in block 8 is not registered, nothing happens, otherwise, through block 9 to output 18, a process termination command is generated and block 2 starts, which requests the name and password of the responsible person or user. Upon successful authorization, block 2 through block 5 to output 6 issues the process parameters (name and full path) to the kernel of the operating system, which must be started and, to output 19, issues a command to the kernel of the operating system to start this process. In block 8, it is recorded that this process is running, re-authorization is not performed when it is started.

Блок 9 предназначен для формирования команды завершения процесса. При отсутствии сигнала со входа 15 он работает как схема "ИЛИ", формируя команду от любого входного сигнала. При выставлении сигнала на вход 15, блок 9 не команды завершения процесса, ни по одному входному сигналу. Это режим сбора статистики. Определение всех разрешенных к запуску процессов довольно сложная задача. В заявляемой системе это осуществляется автоматически. Перед запуском системы на компьютере в режим нормального функционирования ее запускают в режиме сбора статистики. При этом все запускаемые процессы накапливаются в блоке 5 (исходные таблицы блоков 3 и 4 - списки разрешенных к запуску процессов) пусты. Однако ни на один из запущенных процессов не вырабатывается команды завершения процесса. После завершения работы системы в режиме сбора статистики параметры процессов, накопленных в блоке 5, переносятся соответственно в блоки 3 и 4 - эти процессы и их пути считаются разрешенными. Система вводится в рабочий режим. Отметим, что в режиме сбора статистики должны предусматриваться организационные мероприятия по предотвращению возможности запуска деструктивного процесса (запоминании его как разрешенного), после завершения данного режима параметры процессов, относимых к разрешенным, должны пройти дополнительный анализ администратором безопасности. Также организационные мероприятия должны быть обеспечены и при работе с правами администратора безопасности. При доступе администратора безопасности к системным каталогам и файлам для внесения (удаления) в память санкционированных процессов (при этом он проходит авторизацию в блоке 1 и блоком 6 ему разрешается доступ к соответствующим объектам памяти) настраиваемый компьютер должен быть отключен из сети, т.к. удаленный пользователь (через сеть) всегда входит в систему с правами текущего пользователя. Отключение компьютера от сети на момент работы администратора безопасности предотвратит любую возможность несанкционированного доступа к области памяти, где хранятся разрешенные к запуску процессы, с целью их подмены. Block 9 is intended to form a command to complete the process. In the absence of a signal from input 15, it works as an "OR" circuit, forming a command from any input signal. When setting the signal to input 15, block 9 is not a command to complete the process, not a single input signal. This is a statistics collection mode. Determining all the processes allowed to run is a rather difficult task. In the inventive system, this is done automatically. Before starting the system on a computer to normal operation, it is launched in the statistics collection mode. In this case, all started processes are accumulated in block 5 (the original tables of blocks 3 and 4 - lists of processes allowed to run) are empty. However, no process termination command is issued for any of the running processes. After the system is completed in the statistics collection mode, the parameters of the processes accumulated in block 5 are transferred to blocks 3 and 4, respectively - these processes and their paths are considered allowed. The system is put into operation. Note that in the statistics collection mode, organizational measures should be provided to prevent the possibility of starting the destructive process (remembering it as allowed), after the completion of this mode, the parameters of the processes referred to as allowed must undergo additional analysis by the security administrator. Also, organizational measures should be provided when working with the rights of a security administrator. When the security administrator has access to system directories and files for entering (deleting) authorized processes in the memory (he is authorized in block 1 and block is allowed to access the corresponding memory objects in block 6), the configured computer must be disconnected from the network, as the remote user (via the network) is always logged on with the rights of the current user. Disconnecting the computer from the network at the time the security administrator is working will prevent any possibility of unauthorized access to the memory area where the processes allowed to run are stored, with the aim of replacing them.

Таким образом, заявляемая система обеспечивает:
1. Осуществление контроля не списков имен запрещенных процессов, а списков имен разрешенных процессов с завершением любого зафиксированного процесса, не вошедшего в список разрешенных (при этом система становится не критичной к появлению незнакомых деструктивных программ).Thus, the claimed system provides:
1. Monitoring is not lists of names of prohibited processes, but lists of names of allowed processes with the completion of any fixed process that is not included in the list of allowed (in this case, the system becomes not critical to the appearance of unfamiliar destructive programs).

- Для задания списка разрешенных процессов реализована функция сбора статистики запускаемых на защищаемом объекте процессов (программ). При этом на период сбора статистики разрешенных программ (запуск иных программ будет блокирован) заблокирована реакция - "завершение процесса". - To set the list of allowed processes, the function of collecting statistics of processes (programs) launched on the protected object is implemented. At the same time, the reaction - "completion of the process" is blocked for the period of collecting statistics of allowed programs (the launch of other programs will be blocked).

- Для противодействия возможности переименования запрещенного (деструктивного) процесса в разрешенный, как со стороны локального, так и со стороны удаленного пользователей, контролируется не только имя процесса, но и его полный путь (откуда запущен, например, C:\windows\....), и реализовано разграничение доступа пользователей к файловой системе. В этом случае подмена имени деструктивного процесса на разрешенный в каталоге, к которому допущен пользователь, не приведет к запуску процесса, т.к. не будет совпадать его полный путь, а в каталог, где располагается разрешенный процесс (по полному пути), будет закрыт доступ пользователя - в этот каталог деструктивный процесс (с последующей заменой имени) он занести не сумеет. Заметим, что доступ из сети в систему осуществляется с правами текущего пользователя, так что все сказанное относится и к попытке загрузки и запуска деструктивной программы удаленно. - To counteract the possibility of renaming a forbidden (destructive) process into an allowed one, both from the local and remote users, not only the name of the process is controlled, but also its full path (from where, for example, C: \ windows \ ... .), and the restriction of user access to the file system is implemented. In this case, the substitution of the name of the destructive process with the resolved one in the directory to which the user is allowed will not start the process, because its full path will not coincide, and the user’s access will be denied to the directory where the allowed process is located (along the full path) - it will not be able to enter the destructive process (with the subsequent replacement of the name) into this directory. Note that access from the network to the system is performed with the rights of the current user, so that all of the above applies to the attempt to download and run the destructive program remotely.

- Для разграничения функций пользователя в многопользовательской операционной системе реализована система разграничения доступа к разрешенным процессам. - To distinguish between user functions in a multi-user operating system, a system has been implemented to differentiate access to allowed processes.

- Для разграничения функций пользователя в многопользовательской операционной системе к критичным процессам (например, к программам доступа к внешним сетям, в частности Internet) реализована система разграничения доступа к разрешенным процессам с процедурой авторизации, где авторизации может быть подвергнут как сам пользователь, так и ответственное лицо, в случае, если критичные процессы (например, доступ в сеть Internet) могут в системе запускаться только в его присутствии. - To distinguish between user functions in a multi-user operating system, critical processes (for example, access programs to external networks, in particular the Internet), a system for restricting access to allowed processes with an authorization procedure has been implemented, where both the user and the responsible person can be authorized , in case critical processes (for example, access to the Internet) can only be started in the system in its presence.

Блоки, используемые в заявляемой системе, могут быть реализованы следующим образом. Блоки 1,2 - это стандартное средство авторизации, его обработать запрос пользователя, запросить у пользователя имя и пароль и сравнить данные идентификационные признаки с хранящимися данными в памяти блока. При совпадении вырабатывается соответствующая реакция. Блок реализуется стандартно (аналогичные блоки присутствуют практически в любой современной операционной системе). The blocks used in the inventive system can be implemented as follows. Blocks 1,2 is a standard authorization tool, process it a user request, request a user name and password, and compare these identification signs with the data stored in the block memory. If there is a match, a corresponding reaction is generated. The block is implemented as standard (similar blocks are present in almost any modern operating system).

Блок 3 реализуется как в прототипе, отличие состоит лишь в том, что списки содержат не имена запрещенных, а имена разрешенных процессов, соответствующим образом изменяется и реакция. Block 3 is implemented as in the prototype, the only difference is that the lists do not contain the names of the forbidden, but the names of the allowed processes, and the reaction changes accordingly.

Блок 4 реализуется аналогично блоку 3, но сравниваются не имена процессов, а их полные пути, однозначно определяющие место хранения программ в памяти. Block 4 is implemented similarly to block 3, but not the names of the processes are compared, but their full paths that uniquely determine where programs are stored in memory.

Блок 5 - это блок памяти, где формируется таблица имен запускаемых процессов и их полных путей. Параметры всех поступающих процессов запоминаются, а для последующего анализа выдаются параметры текущего процесса. Block 5 is a memory block where a table of names of the launched processes and their full paths is formed. The parameters of all incoming processes are remembered, and for the subsequent analysis, the parameters of the current process are issued.

Блок 6 - это стандартное средство разграничения прав доступа к файловой системе, может использоваться механизм мандатного или дескриционного контроля доступа. Блок реализуется стандартно (аналогичные блоки присутствуют в современных операционных системах Windows NT, системах семействах UNIX, СУБД, например, Oracle и т.д.). Block 6 is a standard means of delimiting access rights to the file system; the mechanism of mandatory or descriptive access control can be used. The block is implemented as standard (similar blocks are present in modern Windows NT operating systems, UNIX family systems, DBMS, for example, Oracle, etc.).

Блоки 7,8 также реализуют механизм мандатного, либо дискреционного контроля доступа, отличие от блока 6 состоит лишь в том, что объектом доступа здесь являются не имена каталогов и файлов, а имена процессов - в остальном работа аналогична - происходит сравнение имени текущего процесса с именами, разрешенными для запуска текущим пользователем, при совпадении (не совпадении) вырабатываются соответствующие реакции. Blocks 7.8 also implement the mechanism of mandatory or discretionary access control, the difference from block 6 is only that the access object here is not the names of directories and files, but the names of processes - otherwise the work is similar - the name of the current process is compared with the names allowed to run by the current user, if a match (not match) produces the appropriate response.

Таким образом, реализация всех используемых блоков достигается стандартными средствами, базирующимися на классических принципах реализации основ вычислительной техники. Thus, the implementation of all used blocks is achieved by standard means based on the classical principles of implementing the foundations of computer technology.

К достоинствам предлагаемой системы может быть отнесено следующее. The advantages of the proposed system may include the following.

1. Осуществление контроля не списков имен запрещенных процессов, а списков имен разрешенных процессов с завершением любого зафиксированного процесса, не вошедшего в список разрешенных (при этом система становится не критичной к появлению незнакомых деструктивных программ). 1. Monitoring not lists of names of prohibited processes, but lists of names of allowed processes with the completion of any fixed process that is not included in the list of allowed (in this case, the system becomes not critical to the appearance of unfamiliar destructive programs).

2. Для задания списка разрешенных процессов реализована функция сбора статистики запускаемых на защищаемом объекте процессов (программ). При этом на период сбора статистики разрешенных программ (запуск иных программ будет блокирован) заблокирована реакция - "завершение процесса". 2. To set the list of allowed processes, the function of collecting statistics of processes (programs) launched on the protected object is implemented. At the same time, the reaction - "completion of the process" is blocked for the period of collecting statistics of allowed programs (the launch of other programs will be blocked).

3. Для противодействия возможности переименования запрещенного (деструктивного) процесса в разрешенный, как со стороны локального, так и со стороны удаленного пользователей, контролируется не только имя процесса, но и его полный путь (откуда запущен, например, C:\windows\....), и реализовано разграничение доступа пользователей к файловой системе. В этом случае подмена имени деструктивного процесса на разрешенный в каталоге, к которому допущен пользователь, не приведет к запуску процесса, т.к. не будет совпадать его полный путь, а в каталог, где располагается разрешенный процесс (по полному пути), будет закрыт доступ пользователя - в этот каталог деструктивный процесс (с последующей заменой имени) он занести не сумеет. Заметим, что доступ из сети в систему осуществляется с правами текущего пользователя, так что все сказанное относится и к попытке загрузки и запуска деструктивной программы удаленно. 3. To counteract the possibility of renaming a forbidden (destructive) process into a permitted one, both from the local and remote users, not only the name of the process, but also its full path (from where, for example, C: \ windows \ .. is launched, is controlled ..), and the restriction of user access to the file system is implemented. In this case, the substitution of the name of the destructive process with the resolved one in the directory to which the user is allowed will not start the process, because its full path will not coincide, and the user’s access will be denied to the directory where the allowed process is located (along the full path) - it will not be able to enter the destructive process (with the subsequent replacement of the name) into this directory. Note that access from the network to the system is performed with the rights of the current user, so that all of the above applies to the attempt to download and run the destructive program remotely.

4. Для разграничения функций пользователя в многопользовательской операционной системе реализована система разграничения доступа к разрешенным процессам. 4. To distinguish between user functions in a multi-user operating system, a system for restricting access to permitted processes has been implemented.

5. Для разграничения функций пользователя в многопользовательской операционной системе к критичным процессам (например, к программам доступа к внешним сетям, в частности Internet) реализована система разграничения доступа к разрешенным процессам с процедурой авторизации, где авторизации может быть подвергнут как сам пользователь, так и ответственное лицо, в случае, если критичные процессы (например, доступ в сеть Internet) могут в системе запускаться только в его присутствии. 5. To differentiate user functions in a multi-user operating system, critical processes (for example, access programs to external networks, in particular the Internet) have implemented a system for restricting access to allowed processes with an authorization procedure, where both the user and the person responsible can be authorized person, in case critical processes (for example, access to the Internet) can only be started in the system in his presence.

Claims

The access control system for the launched processes (programs), which contains an integrity block for the processes in the system, the input of which is connected to the second input of the system, characterized in that it contains a user authorization block when entering the system, an authorization block when the process starts, a full control block paths of a running process, a memory block for the name and full path of running processes, a block for differentiating access to directories and files, a block for differentiating access to processes, a block for restricting access to a process with authorization, a process completion signal generation block, the input-output of the user authorization block at the entrance to the system is connected to the first input-output of the system, the output is the first input of the access control block for directories and files, with the first input of the access control process restriction block, the first input of the system is with the second input of the access control block for directories and files, the output is with the first output of the system, the second input-output of the system is connected to the input-output of the authorization block when the process starts, the second input of which is with the output of the access control block for processes with authorization, with the fourth input of the process completion signal generation block, the output of the authorization block when the process starts, with the fourth system output, with the third input of the name memory block and the full path of the launched processes, the first input of which is with the second system input , the third input of the system - with the second input of the control unit of the full path of the running process, with the second input of the memory block of the name and the full path of the launched processes, the output of which is with the second output of the system, the first the control block of the full path of the running process - with the first output of the integrity block for the processes in the system, the second output of which is with the third input of the access control block for processes with authorization, with the first input of the process completion signal generation block, the second input of which is with the second the output of the control unit of the full path of the running process, the third input is with the second output of the access control block for processes, the first output of which is with the first input of the access control block for processes with authorization, the second input of which is with the second input of the system, with the third input of the process access control block, the second input of which is with the first output of the control unit of the full path of the running process, the output of the process completion signal generation block is with the third system output, the fourth system input - with the fifth input of the process completion signal conditioning unit.