Реализация ролевой модели разграничения доступа в web-приложении при помощи СЗИ «WebGard 2.0».
ВИДЕООБЗОР СТАТЬЯ: Обзор СЗИ «WebGard 2.0» 1. Функции «WebGard 2.0»? 2. Система разграничения доступа 3. Система безопасности 4. Аудит действий пользователя и администратора 5. Заключение
Образ современной системы представляет из себя Single page application (SPA или одностраничное приложение). Это вариант приложения, когда используются бэкенд, и фронтенд. С помощью их взаимодействия создаются приложения, которые работают без перезагрузок страницы в браузере. Или в упрощенном варианте, когда переходы между разделами вызывают перезагрузки, но любые действия в разделе обходятся без них.
Когда в приложении обрабатывается информация ограниченного доступа то оно не может обойтись без функционала авторизации пользователя (наделение его теми или иными правами в приложении). Когда приложение получает статус ИСПДн или ГИС перед разработчиками встает вопрос, как выполнить требования регулятора (ФСТЭК России) касательно требований по управлению доступом субъектов доступа к объектам доступа (УПД).
На этом этапе у разработчиков возникает два пути:
1. Сертифицировать механизмы разграничения доступа в приложении.
2. Использовать наложенное, сертифицированное средство защиты информации.
Первый вариант позволяет более гибко управлять доступом внутри системы, но требует квалифицированных специалистов, немалого времени и значительных расходов на сертификацию.
Второй вариант не всегда применим из-за выбора технологий аутентификации пользователей разработчиками, но лишен большинства недостатков первого.
Для большинства web-приложений в качестве наложенного СЗИ от НСД подойдет «WebGard 2.0».
СЗИ «WebGard 2.0» предназначено для защиты информации, не относящейся к государственной тайне, от несанкционированного доступа в web-системах массового обслуживания и для реализации разграничения доступа при обращении к web-ресурсам для web-приложений.
Функции «WebGard 2.0»
– разграничение доступа администраторов к подсистеме администрирования;
– система разграничения доступа пользователей к системе;
– фильтрация HTTP и SQL запросов пользователей;
– аудит HTTP и SQL запросов пользователей;
– аудит действий администраторов;
– регистрация событий безопасности;
– синхронизация прав пользователей с защищаемым приложением.
Читать дальше
Полный текст и видеообзор доступны для зарегистрированных пользователей. Зарегистрируйтесь на портале, чтобы бесплатно и без ограничений читать статьи, проходить тесты и получать сертификаты.