СПОСОБ ОПРЕДЕЛЕНИЯ ПОКАЗАТЕЛЯ ЭФФЕКТИВНОСТИ УПРАВЛЕНИЯ БЕЗОПАСНОСТЬЮ ОПЕРАЦИОННЫХ СИСТЕМ WINDOWS И СПОСОБ ОПТИМИЗАЦИИ НАСТРОЙКИ БЕЗОПАСНОСТИ ОПЕРАЦИОННЫХ СИСТЕМ WINDOWS

1. Способ определения показателя эффективности управления безопасностью операционных систем семейства Windows на основе анализа текущей конфигурации параметров безопасности, включающих учетные записи пользователей и групп пользователей, объекты и права доступа, отличающийся тем, что производят определение показателя эффективности управления безопасностью операционных систем семейства Windows по формуле
i
ni
j
G
O
где |G| - количество пользователей в i-й группе; ACE(O) - количество прямых записей АСЕ j-го объекта (метка "ni" идентифицирует в формуле прямые записи АСЕ); N - количество групп пользователей в системе; N - количество объектов в системе; если S<0,01, то текущая настройка безопасности системы очень высокого качества и оптимизацию не проводят; если 0,01≤S<0,1, то текущая настройка безопасности системы высокого качества и оптимизацию проводят только в случае большого объема системы; если 0,1≤S<0,5, то текущая настройка безопасности системы среднего качества и оптимизацию проводят, кроме случая малого объема системы; если 0,5≤S<1, то текущая настройка безопасности системы низкого качества и оптимизацию проводят независимо от объема системы; если S>1, то текущая настройка безопасности системы очень низкого качества и оптимизацию проводят немедленно в любом случае.
U
G
2. Способ оптимизации настройки безопасности операционных систем семейства Windows на основе анализа конфигурации параметров безопасности, отличающийся тем, что если требуется оптимизация, то при условии, что количество учетных записей пользователей N меньше количества учетных записей групп пользователей N, то пересматривают необходимость учетных записей групп пользователей, удаляют лишние и дублирующиеся по смыслу; если
и
U
где N - количество учетных записей пользователей;
G
i
o
ni
k
N - количество учетных записей групп пользователей; |G| - количество пользователей в i-й группе (мощность группы); N - общее количество файлов и каталогов в системе; ACE(O) - количество прямых записей АСЕ, установленных на k-м объект (метка "ni” идентифицирует в формуле прямые записи АСЕ), то количество учетных записей групп пользователей недостаточно, тогда создают новые учетные записи групп пользователей, распределяют пользователей по группам и управляют правами доступа на уровне групп пользователей; если
U
d
j
x
U
y
G
где N - количество учетных записей пользователей; G - количество пользователей в i-й группе (мощность группы); P(U) совокупность привилегий самого пользователя и привилегий всех групп, членами которых является j-й пользователь, то делают вывод, что привилегии практически не используются или используются недостаточно и следует больше использовать привилегии; далее определяют, какие установленные права доступа могут быть заменены привилегиями, и заменяют их; если для каждой учетной записи пользователя U, ∀x∈[1, N] и группы G, ∀y∈[1, N],
U
G
oni
где N - количество учетных записей пользователей; N - количество учетных записей групп пользователей; N - количество файлов и каталогов, на которые установлены прямые записи АСЕ;
ni
x
y
j
x
y
P
x
y
k
x
y
ACE(O|G,O) - количество прямых записей АСЕ, установленных пользователю U или группе G на j-й объект (метка "ni" идентифицирует в формуле прямые записи АСЕ); Perm(U|G,O) - количество действующих привилегий пользователя U или группы G на k-м объекте, разрешения которых дублируются правами доступа, то делают вывод, что количество записей АСЕ, дублирующих привилегии, избыточно, тогда удаляют записи АСЕ, дублирующие привилегии, и в дальнейшем не создают дублирующие АСЕ, а используют имеющиеся привилегии;
если
O
i
k
ni
j
где N - общее количество файлов и каталогов в системе; D(O) - количество родительских каталогов i-го объекта; ACE(O) - общее количество записей АСЕ, установленных на k-й объект; ACE(O) - количество прямых записей АСЕ, установленных на j-й объект (метка "ni” идентифицирует в формуле прямые записи АСЕ), то делают вывод, что недостаточно используется механизм наследования прав доступа, количество прямых прав избыточно, и тогда заменяют прямые права на файлы и каталоги наследованием прав от родительских каталогов; если
o
i
F
K
где N - общее количество файлов и каталогов в системе; D(O) - количество родительских каталогов i-го объекта; N - общее количество файлов в системе; N - общее количество каталогов в системе, делают вывод, что структура каталогов неэффективна, и тогда уменьшают глубину вложенности объектов и сокращают число каталогов.