Защита информации в сетях IBM OS/2 Warp LAN Server
Конфигурацию LAN Server (далее сервер) можно настроить таким образом, что невозможно будет увидеть и
редактировать информацию на сервере, кроме как из допущенных для этого
программ. Тем более нельзя скопировать или удалить.
Это утверждение я попытаюсь сейчас доказать на конкретном промере.
Исходная информация
Существует диск W: и на нём каталог KADR, где находится
база данных "Кадры" и kadr.exe -- файл для её обработки (в моем случае написанный
на FoxPro 2.5). Требуется пользователю разрешить работать с базой, но так,
чтобы он не видел файлов и каталога, где они хранятся, кроме как из допущенной
для этого программы.
Настройка сервера
Создайте группу пользователей GR_KADR, которые будут иметь право доступа к базе данных.
Создайте алиас для диска W:, назовём его DISKW. Никаких прав на него никому давать не надо.
Создайте алиас для каталога W:\KADR, назовем его WKADR$.
ВНИМАНИЕ! ЗНАК $ В КОНЦЕ НАЗВАНИЯ АЛИАСА СКРОЕТ ЕГО ОТ ВСЕХ
ПОЛЬЗОВАТЕЛЕЙ И СДЕЛАЕТ ЕГО НЕВИДИМЫМ В "СЕТЕВОМ ОКРУЖЕНИИ" WINDOWS, OS/2
И ДЛЯ КОМАНД NET.
Иначе:
net view \\server - получаем список всех ресурсов, предоставленных сервером net use x: \\server\wkadr - и все труды напрасны.
Храните имя алиаса в тайне, более чем пароль. А то :
net use x: \\server\wkadr$ - дыра в Вашей защите.
На алиас WKADR$ дайте права группе GR_KADR, можете все -- это дело не меняет.
Создайте приложение DOS&Windows. Укажите, что находится оно на алиасе DISKW
в каталоге \KADR, спланируйте в букву W:
Создайте пользователя. Разрешите ему созданное приложение и включите его в группу GR_KADR.
Проделав это для каждого приложения, в дальнейшем Вы сможете просто включать нового пользователя
в ту или иную группу для получения доступа к запуску приложения. Если exe-файл находится
на локальном диске, то можете написать bat-файл с одной строкой C:\KADR\kadr.exe
или pif-файл для windows-задач и поместить их на сервер.
Итог
Пользователь сможет запускать приложение
(IBM LAN Client for Window или DOS). При запуске приложения будет планироваться
DISKW, на который прав у пользователя нет. Поэтому даже при открытой
программе нельзя увидеть содержимое диска. При закрытии программы буква
диска освобождается. При открытии из сетевого окружения DISKW пустой.
Команда net view не показывает алиас WKADR$.
Дополнительно.
Диск W: в моём случае был на сервере NetWare 5.0
(ZENWorks - отдыхает). Чтобы "зашаривать" сетевые диски, надо подключатся
к серверу Netware раньше выполнения команды net start srv. Вот мой CMD:
call d:\netware\login.cmd
NET START SERVER
if errorlevel 2 D:\IBMLAN\NETPROG\lserr.exe
d:\muglib\logon.exe ROMAN /P:password
EXIT
