Навіщо потрібно розмежування прав доступу?

Розмежування доступу в інформаційній системі полягає в поділі інформації, що циркулює в ній, на частини та організації доступу до неї посадових осіб відповідно до їх функціональних обов'язків та повноважень [9, с.60].

Завдання розмежування доступу: скорочення кількості посадових осіб, які мають до неї ставлення і під час своїх функцій, т.п. е. захист інформації від порушника серед допущеного до неї персоналу

У цьому розподіл інформації може здійснюватися за рівнем важливості, секретності, функціональним призначенням, документами тощо. буд.

Зважаючи на те, що доступ здійснюється з різних технічних засобів, починати розмежування можна шляхом розмежування доступу до технічних засобів, розмістивши в окремих приміщеннях. Усі підготовчі функції технічного обслуговування апаратури, її ремонту, профілактики, перезавантаження програмного забезпечення тощо. буд. повинні бути технічно та організаційно відокремлені від основних завдань системи. Інформаційна система в цілому, а також комплекс засобів автоматизації та організація їх обслуговування повинні бути побудовані таким чином:

- технічне обслуговування комплексу засобів автоматизації у процесі експлуатації має виконуватися окремим персоналом без доступу до інформації, що підлягає захисту;

- перезавантаження програмного забезпечення та будь-які його зміни повинні проводитися спеціально виділеним для цієї мети перевіреним фахівцем;

- функції забезпечення безпеки інформації повинні виконуватися спеціальним підрозділом в організації - власник комплексу засобів автоматизації, комп'ютерної мережі, автоматизованої системи управління або інформаційної системи в цілому;

- організація доступу користувачів до пристроїв пам'яті (зберігання) інформаційної системи повинна забезпечувати можливість розмежування доступу до інформації, що зберігається на них, з достатнім ступенем деталізації та відповідно до заданих рівнів (політиків) повноважень користувачів;

- реєстрація та документування технологічної та оперативної інформації мають бути розділені.

Розмежування доступу користувачів-споживачів інформаційної системи може здійснюватися також за такими параметрами:

- за видом, характером, призначенням, ступенем важливості та секретності інформації;

- способам її обробки: рахувати, записати, внести зміни, виконати команду;

- умовному номеру терміналу;

- часу обробки та ін.

Принципова можливість розмежування за вказаними параметрами має бути забезпечена проектом інформаційної системи. А конкретне розмежування під час експлуатації системи встановлюється споживачем і вводиться у систему його підрозділом, відповідальним за безпеку інформації.

У зазначених цілях при проектуванні та плануванні експлуатації базового інформаційного та обчислювального комплексу з урахуванням комплексу засобів автоматизації виробляються:

- розробка чи адаптація операційної системи з можливістю реалізації розмежування доступу до інформації, що зберігається у пам'яті обчислювального комплексу;

- ізоляція областей доступу;

- Поділ бази даних на групи;

- Процедури контролю перелічених функцій.

При проектуванні та експлуатації комплексу засобів автоматизації, автоматизованої системи управління та інформаційної системи в цілому (мережі) на їх базі виробляються:

- розробка та реалізація функціональних завдань щодо розмежування та контролю доступу до апаратури та інформації як у рамках даного комплексу засобів автоматизації, так і інформаційної системи в цілому;

- розробка апаратних засобів ідентифікації та аутентифікації користувача;

- розробка програмних засобів контролю та управління розмежуванням доступу;

- розробка окремої експлуатаційної документації на засоби ідентифікації, аутентифікації, розмежування та контролю доступу.

Як ідентифікатори особи для реалізації розмежування широко поширене застосування кодів паролів, які зберігаються в пам'яті користувача та комплексу засобів автоматизації. На допомогу користувачеві в системах із підвищеними вимогами великі значення кодів паролів записуються на спеціальні носії – електронні ключі чи картки.

Поділ привілеїв доступу до інформації у тому, що з допущених до неї посадових осіб виділяється група, якій надається доступ лише за одночасному пред'явленні повноважень всіх членів групи.

Завдання зазначеного способу - значно утруднити навмисний перехоплення інформації порушником. Прикладом такого доступу може бути сейф із кількома ключами, замок якого відкривається лише за наявності всіх ключів. Аналогічно в інформаційній системі може бути передбачений механізм поділу привілеїв доступу до особливо важливих даних за допомогою кодів паролів.

Даний метод дещо ускладнює процедуру, але має високу ефективність захисту.На його принципах можна організувати доступ до даних із санкції вищої особи на запит або без неї.

Поєднання подвійного криптографічного перетворення інформації та методу поділу привілеїв дозволяє забезпечити високоефективний захист інформації від навмисного несанкціонованого доступу.

Крім того, за наявності дефіциту в засобах, а також з метою постійного контролю доступу до цінної інформації з боку адміністрації споживача інформаційної системи в деяких випадках можливий варіант використання права на доступ до інформації нижчестоящого керівника лише за наявності його ідентифікатора та ідентифікатора його заступника чи представника служби безпеки інформації. У цьому інформація видається лише з дисплею керівника, але в дисплей підлеглого -- лише інформацію факт її виклику [16,с.104].

Управління доступом до інформації в мережі передачі та в автоматизованій системі управління

Управління доступом до інформації в мережі передачі здійснюється під час її підготовки, у процесі експлуатації та завершення робіт.

Під час підготовки мережі передачі інформації та автоматизованої системи керування до експлуатації керування доступом полягає у виконанні наступних функцій:

- уточнення завдань та розподіл функцій елементів мережі та автоматизованої системи управління та обслуговуючого персоналу;

- контролі введення адресних таблиць в елементи мережі;

- уведення таблиць повноважень елементів мережі, користувачів, процесів тощо;

- вибір значень, розподіл і розсилку ключів шифрування за призначенням;

- Перевірці функціонування систем шифрування та контролю повноважень.

У процесі експлуатації керування доступом передбачає:

- Контроль дотримання повноважень елементами мережі, процесами, користувачами тощо. буд.; своєчасне виявлення та блокування несанкціонованого доступу;

- контроль за дотриманням правил шифрування даних та застосування ключів шифрування;

- збір, реєстрацію та документування інформації про несанкціонований доступ із зазначенням місця, дати та часу події;

- реєстрацію, документування та контроль усіх звернень до інформації, що підлягає захисту, із зазначенням дати, часу та даних відправника та одержувача інформації;

- вибір, розподіл, розсилку та синхронізацію застосування нових значень ключів шифрування;

- зміна та введення за необхідності нових повноважень елементів мережі, процесів, терміналів та користувачів;

- проведення організаційних заходів щодо захисту інформації в мережі передачі та автоматизованої системи управління.

У найпростішому випадку керування доступом може служити для визначення того, чи дозволено користувачеві мати доступ до деякого елемента мережі. Підвищуючи вибірковість керування доступом можна отримати доступ до окремих елементів мережі для окремих користувачів та елементів мережі дозволявся або заборонявся незалежно від інших. І нарешті, механізми керування доступом можна розширити так, щоб вони охоплювали об'єкти всередині елемента мережі, наприклад, процеси або файли.

Порушення повноважень виражається:

- у поводженні із запитом чи видачі відправником команд, не передбачених у списку одержувачів елемента мережі;

- розбіжності значень пред'явленого та збереженого на об'єкті-одержувачі паролів;

- одержанні ним зашифрованої інформації, що не піддається розшифровці, тощо. буд.

У всіх перерахованих випадках подальша обробка та передача даних кодограм припиняється, і на об'єкт управління безпекою інформації автоматично передається повідомлення про факт несанкціонованого доступу, його характер, ім'я об'єкта-відправника, дату та час події. Кожен випадок несанкціонованого доступу реєструється та документується на об'єкті-одержувачі та об'єкті управління доступом у мережі передачі інформації та автоматизованій системі управління. Після отримання повідомлення про несанкціонований доступ служба безпеки інформації проводить розслідування того, що сталося, і встановлює причину події. Якщо причина події випадкова, вирішення питання доручається службі забезпечення надійності, якщо навмисна - виконуються відповідні вказівки посадової інструкції, розробленої цією організацією чи фірмою-власником мережі передачі та автоматизованої системи управління [6,с.201].

Управління доступом може бути трьох видів:

- Централізоване управління. Встановлення повноважень провадиться адміністрацією організації чи фірми-власника автоматизованої системи управління, мережі чи інформаційної системи загалом. Введення та контроль повноважень здійснюється представником служби безпеки інформації з відповідного об'єкта управління;

- Ієрархічне децентралізоване керування. Центральна організація, яка здійснює встановлення повноважень, може передавати деякі свої повноваження підлеглим організаціям, зберігаючи за собою право скасувати або переглянути рішення підлеглої організації чи особи;

- Індивідуальне управління. У цій ситуації немає статичної ієрархії в управлінні розподілом повноважень.Окремій особі може бути дозволено створювати свою інформацію, гарантуючи у своїй її захист від несанкціонованого доступу. Власник інформації може на власний розсуд відкрити доступ до неї іншим користувачам, включаючи передачу права власності. Усі зазначені види управління можуть застосовуватися одночасно залежно від характеру діяльності та завдань організації-власника автоматизованої системи управління, мережі чи інформаційної системи загалом.

При централізованому контролі повноважень на терміналі можливе відображення структури автоматизованої системи керування, мережі чи інформаційної системи загалом. При цьому кожному елементу автоматизованої системи управління, мережі або інформаційної системи присвоюється ім'я або номер, при відображенні яких вводяться по кожному елементу такі ознаки його стану: «введений – не введений до складу системи», «справний – несправний» та «немає несанкціонованого доступу – є несанкціонований доступ».

Сучасні засоби відображення дозволяють реалізувати ці ознаки у різних варіантах, зручних для операторів.

Функції контролю та управління безпекою інформації в автоматизованій системі управління (мережі) можна покласти на оператора автоматизованого робочого місця системи безпеки інформації комплексу засобів автоматизації обробки інформації, що є об'єктом автоматизованої системи управління (мережі, що управляє).

В останні роки на російському ринку набувають популярності корпоративні (приватні) цифрові мережі зв'язку, які раніше в основному використовувалися для передачі секретної інформації в оборонних галузях промисловості.Основне призначення таких мереж – забезпечити закритим зв'язком абонентів, пов'язаних корпоративними інтересами [10, с.58].

Аутентифікація, авторизація та адміністрування дій користувачів

З кожним зареєстрованим у комп'ютерній системі суб'єктом (користувачем або процесом, що діє від імені користувача) пов'язана деяка інформація, що його однозначно ідентифікує. Це може бути число або рядок символів, що називають цей суб'єкт. Цю інформацію називають ідентифікатором суб'єкта. Якщо користувач має ідентифікатор, зареєстрований у мережі, вважається легальним (законним) користувачем; решта користувачів належать до нелегальних користувачів. Перш ніж отримати доступ до ресурсів комп'ютерної системи, користувач повинен пройти процес первинної взаємодії з комп'ютерною системою, який включає ідентифікацію та аутентифікацію.

Ідентифікація - процедура розпізнавання користувача за його ідентифікатором (ім'ям). Ця функція виконується, коли користувач намагається увійти до мережі. Користувач повідомляє системі на її запит свій ідентифікатор, і система перевіряє у своїй базі даних його наявність.

Аутентифікація - процедура автентифікації заявленого користувача, процесу або пристрою. Ця перевірка дозволяє достовірно переконатися, що користувач (процес або пристрій) є тим, ким себе оголошує. При проведенні аутентифікації сторона, що перевіряє, переконується в справжності сторони, що перевіряється, при цьому сторона, що перевіряється, теж бере активну участь у процесі обміну інформацією. Зазвичай користувач підтверджує свою ідентифікацію, вводячи в систему унікальну, не відому іншим користувачам інформацію про себе (наприклад, пароль чи сертифікат).

Ідентифікація та аутентифікація є взаємопов'язаними процесами розпізнавання та перевірки справжності суб'єктів (користувачів). Саме від них залежить наступне рішення системи: можна дозволити доступ до ресурсів системи конкретному користувачеві або процесу. Після ідентифікації та аутентифікації суб'єкта виконується його авторизація.

Авторизація - процедура надання суб'єкту певних повноважень та ресурсів у цій системі. Іншими словами, авторизація встановлює сферу його дії та доступні йому ресурси. Якщо система не може надійно відрізнити авторизовану особу від неавторизованої, то конфіденційність і цілісність інформації в цій системі можуть бути порушені. Організації необхідно чітко визначити свої вимоги до безпеки, щоб ухвалювати рішення про відповідні межі авторизації.

З процедурами автентифікації та авторизації тісно пов'язана процедура адміністрування дій користувача.

Адміністрація - реєстрація дій користувача в мережі, включаючи його спроби доступу до ресурсів. Хоча ця облікова інформація може бути використана для виписування рахунку, з позицій безпеки вона особливо важлива для виявлення, аналізу інцидентів безпеки в мережі та відповідного реагування на них. Записи в системному журналі, аудиторські перевірки та ПЗ accounting - все це може бути використане для забезпечення підзвітності користувачів, якщо щось трапиться при вході в мережу з їх ідентифікатором [6, с.210].

Необхідний рівень автентифікації визначається вимогами безпеки, встановленими в організації. Загальнодоступні веб-сервери можуть дозволити анонімний або гостьовий доступ до інформації. Фінансові транзакції можуть вимагати суворої автентифікації.Прикладом слабкої форми аутентифікації може бути використання IP-адреси визначення користувача. Підміна IP-адреси може легко зруйнувати механізм автентифікації. Надійна автентифікація є ключовим фактором, який гарантує, що тільки авторизовані користувачі отримають доступ до контрольованої інформації.

При захисті каналів передачі має виконуватися взаємна автентифікація суб'єктів, т.к. е. взаємне підтвердження справжності суб'єктів, що зв'язуються між собою лініями зв'язку. Процедура підтвердження автентичності виконується зазвичай на початку сеансу встановлення з'єднання абонентів. Термін «з'єднання» вказує на логічний зв'язок (потенційно двосторонній) між двома суб'єктами мережі. Мета цієї процедури - забезпечити впевненість, що з'єднання встановлено із законним суб'єктом і вся інформація дійде до місця призначення.

Пароль - це те, що знає користувач та інший учасник взаємодії. Для взаємної аутентифікації учасників взаємодії може бути організовано обмін паролями з-поміж них.

Персональний ідентифікаційний номер PIN (Personal Identification Number) є випробуваним способом автентифікації власника пластикової картки та смарт-картки. Секретне значення PIN-коду має бути відоме лише власнику картки.

Динамічний (одноразовий) пароль – це пароль, який після одноразового застосування ніколи більше не використовується. На практиці зазвичай використовується значення, що регулярно змінюється, яке базується на постійному паролі або ключовій фразі.

Система запит-відповідь. Одна із сторін ініціює аутентифікацію за допомогою посилки іншій стороні унікального та непередбачуваного значення «запит», а інша сторона посилає відповідь, обчислену за допомогою «запиту» та секрету.Так як обидві сторони мають один секрет, то перша сторона може перевірити правильність відповіді другої сторони.

Сертифікати та цифрові підписи. Якщо для автентифікації використовуються сертифікати, потрібне застосування цифрових підписів на цих сертифікатах. Сертифікати видаються відповідальною особою в організації користувача, сервером сертифікатів чи зовнішньою довіреною організацією. В Інтернеті з'явилися комерційні інфраструктури управління відкритими ключами PKI (Public Key Infrastructure) для поширення сертифікатів відкритих ключів. Користувачі можуть отримати сертифікати різних рівнів [18, с.223].

Таким чином, можна зробити висновки, що перед тим як почати будувати систему захисту інформації потрібно спочатку визначити склад інформації, що захищається, зробити аналіз можливих загроз і вибрати адекватну безпекову політику.

Розмежування прав доступу до мережі

Забезпечити інформаційну безпеку дозволяє розмежування прав доступу користувачів до робочих документів та додатків. Кожен співробітник отримує можливість працювати тільки з тими ресурсами, які йому необхідні, всі документи захищені від випадкового або навмисного перегляду або зміни. В даний час на ринку представлено ряд програм, що забезпечують, зокрема, контроль та управління доступом до Інтернету, захист користувачів та мережі підприємства, облік трафіку, антивірусний захист та контентну фільтрацію веб-трафіку. Умовно їх можна поділити на кілька категорій. Безкоштовні програми, які можна завантажити з Інтернету. Але, зазвичай, такі програми призначені на вирішення окремих завдань. Існують програми для збору статистики, але вони не мають можливості обробки даних за різними параметрами.І навпаки, є програми обмеження ресурсів, які мають функції збору статистики, тощо.

• 1. Розподіл користувачів по групах та створення облікового запису для кожної групи та користувача окремо.
• 2. Авторизацію користувачів.
• 3. Заборона доступу до певних об'єктів.
• 4. Завдання обмежень споживання ресурсів Інтернету.

Для того щоб розподілити користувачів за групами, необхідно створити структуру користувачів з допомогою аналізу організації, наприклад, виділити всі відділи, продумати ознаки виділення груп користувачів. Наприклад, можлива наступна структура: планово-фінансовий відділ, бухгалтерія, відділ кадрів і діловодства і т. п. Для виділених відділів потрібно створити групи, і всередині їх створити користувачів або зробити інакше — створювати користувачів без груп. У принципі, особливої ​​різниці тут немає. Єдиним плюсом створення груп є можливість відстежувати споживання групи загалом. За допомогою профілів доступу можна легко встановити однакові права доступу для окремих користувачів, не об'єднаних у групи. Звичайно, для груп необхідність створення профілю доступу відпадає.

Як працює авторизація користувачів? При відкритті нового вікна браузера та запиті ресурсу з Інтернету користувач отримує вікно із запитом логіна та пароля. У цьому вікні слід ввести логін та пароль користувача, які були задані йому при створенні. Якщо логін і пароль вірні, користувач отримує доступ до Інтернету.

Для реалізації заборони доступу до певних об'єктів потрібно створити систему блокувань, яка працює згідно з таким прикладом:

Усі користувачі (заборонено www.yandex.ru)

Група 1 (заборонено www.google.com)

Група 3 (заборонено www.auto.ru)

За такої структури «користувачу 3» буде заборонено всі три ресурси (www.yandex.ru, www.google.com і www.auto.ru), «користувачу 2» лише два верхні — «Яндекс» та Google, «Користувач 1» матиме доступ до будь-якого ресурсу, окрім www.yandex.ru.

Також варто зазначити, що у кожного з користувачів з прикладу вище має бути явно прописано дозвіл на доступ до будь-яких ресурсів. Порушення роботи не станеться, тому що до нього також застосовують правила вищестоящих груп. Тобто з огляду на це приклад виглядатиме так.

Усі користувачі (заборонено www.yandex.ru)

Користувач 1 (дозволено все)

Група 1 (заборонено www.google.com)

Користувач 2 (дозволено все)

Група 3 (заборонено www.auto.ru)

Користувач 3 (дозволено все)

Послідовність додавання правил впливає пріоритет дії правил (що вище розташоване правило, то вище його пріоритет перед іншими).

Адміністратор мережі може потребувати певного набору забороняючих/дозвільних правил для цілого набору користувачів, що знаходяться в різних групах. Для того, щоб йому не доводилося вручну додавати цей набір правил окремо для кожного користувача, існує можливість створити так званий профіль доступу з відповідним набором правил, а потім додати його до списку правил доступу для кожного окремого користувача.

Як було зазначено, Інтернет — це платний і публічний ресурс. Тому велике значення мають економія коштів освітнього закладу та, крім того, обмеження пропускної спроможності каналу для конкретних користувачів з метою справедливішого розподілу ємності каналу по всіх користувачів. Для цього слід поставити обмеження споживання ресурсів Інтернет.

У зв'язку з цим вводиться наступна характеристика: граничний обсяг споживання трафіку (квота), при перевищенні якого адміністратор мережі може вжити різних каральних заходів.

Відстеживши динаміку споживання трафіку користувачами, адміністратор мережі може визначити середній граничний обсяг трафіку, при перевищенні якого можна, наприклад, без попередження відключити порушення користувача від мережі Інтернет.

Жоден адміністратор мережі навчального закладу не дозволить звичайним користувачам (студентам) на практичних заняттях здійснювати вищеописані функції розмежування прав доступу до мережі. Однак на звичайному навчальному або домашньому комп'ютері можна розглянути, зокрема, процес створення облікового запису. Справа в тому, що досить часто складаються ситуації, коли на одному комп'ютері працюють кілька людей, і в цьому випадку можна зробити так, щоб кожен користувач мав свої налаштування Windows. Крім того, можна одним користувачам надати можливість встановлювати нове програмне забезпечення, а іншим заборонити. Також можна заборонити використовувати якісь програми на комп'ютері.

Існують три типи облікових записів. Кожен тип дає користувачеві різні можливості керування комп'ютером:

• • звичайні облікові записи користувачів призначені для повсякденної роботи;
• • облікові записи адміністратора надають повний контроль над комп'ютером та застосовуються лише у необхідних випадках;
• • облікові записи відвідувача призначені для тимчасового доступу до комп'ютера.

Іншими словами, при вході в Windows з використанням звичайної

облікового запису можна виконувати ті самі дії, що й з обліковим записом адміністратора, але для внесення змін, що впливають на всіх користувачів комп'ютера (наприклад, для встановлення програмного забезпечення або зміни параметрів безпеки), Windows може запитувати пароль адміністратора.

Для створення нового облікового запису слід виконати команду Пуск/Панель управління/Облікові записи користувачів та сімейна безпека. Відкриється вікно на рис. 28.

Мал. 28. Зовнішній вигляд вікна Облікові записи

Виберемо пункт Додавання та видалення облікових записів користувачів. У вікні (мал. 29) слід вибрати пункт Створення облікового запису.

Далі потрібно вказати ім'я облікового запису та права доступу (Адміністратор або Звичайний доступ), якими повинен буде володіти власник облікового запису, що створюється (рис. 30), і натиснути кнопку Створення облікового запису.

Мал. 29. Вікно вибору облікового запису

Мал. 30. Вказуємо ім'я облікового запису

Обліковий запис створено, і тепер слід його налаштувати. Для цього виконуємо подвійне клацання миші на створеному обліковому записі.

У вікні представлене на рис. 31, є такі пункти:

• 1. Зміна імені облікового запису.
• 2. Створення пароля.
• 3. Зміна малюнка.
• 4. Встановити батьківський контроль.
• 5. Зміна типу облікового запису.
• 6. Управління іншим обліковим записом.

Прокоментуємо деякі з них. По-перше, після створення облікового запису необхідно створити пароль (рис. 32). Використання пароля підвищує надійність системи. Поле Введіть підказку для пароля можна не заповнювати. Після введення пароля та його дублювання слід натиснути кнопку Створити пароль.

Мал. 31. Вікно Внесення змін до облікового запису

Мал. 32. Створення пароля для облікового запису

Встановити батьківський контроль. Функція операційних систем Windows 7, Windows 8 дозволяє призначити час, коли користувач (дитина) може скористатися комп'ютером, і навіть визначити, які ігри та програми йому будуть доступні. За допомогою батьківського контролю можна:

• обмежити час, проведений користувачем (дитиною) за комп'ютером. Можна обмежити час, протягом якого дітям дозволено вхід до системи.

Для кожного дня тижня можна відвести час для входу в систему, навіть якщо користувач працюватиме за комп'ютером, буде автоматичний вихід із системи;

• • встановити заборону доступу до окремих ігор. Можна контролювати доступ до ігор, вибирати допустиму вікову категорію, типи вмісту, які слід блокувати, та встановлювати дозвіл або заборону доступу до окремих ігор чи ігор, які не мають категорії;
• • встановити заборону використання користувачем (дитиною) окремих програм.

Для включення сімейної безпеки вам або принаймні одному відповідальному дорослому знадобиться обліковий запис адміністратора. Всім дітям, дії яких ви хочете контролювати, потрібний дитячий обліковий запис (обліковий запис звичайного користувача).

Якщо ви використовуєте "Сімейну безпеку Windows Live" на комп'ютері з Windows 7, під час оновлення до Windows 8.1 ви можете отримати повідомлення про помилку сумісності "Сімейної безпеки Windows Live" з Windows 8.1.Це викликано тим, що компоненти "Сімейної безпеки Windows Live" тепер входять до складу "Сімейної безпеки (Майкрософт)" у Windows 8.1 (крім ще кількох нових компонентів).

Установки будуть доступні за адресою http://familysafety.live.com, якщо адміністратор системи попередньо введе ідентифікатор Windows Live ID та пароль. Вони включають такі розділи:

• 1. Веб-фільтр.
• 2. Звіти про дії.
• 3. Обмеження часу.
• 4. Обмеження програм.
• 5. Запити.
• 6. Обмеження для магазину Windows та ігор.
• 7. Частота запитів.
• 8. Частота звітів про активність.

Після введення пароля на екрані з'явиться вікно з наведеними вище параметрами (рис. 33).

Розглянемо деякі параметри.

Веб-фільтр. З його допомогою можна контролювати, які типи веб-сайтів можуть переглядати користувачі (діти), та відстежувати сайти, які вони відвідують (мал. 34). Зокрема, можна дозволити відвідування веб-ресурсів лише зі списку дозволів, доданих адміністратором (батьком), блокувати дорослі сайти, дозволити або заборонити спілкування в соціальних мережах.

Обмеження часу. У спеціальному діалоговому вікні (рис. 35) можна вибрати час, коли користувачеві (дитині) можна використовувати комп'ютер. У сітці годинника білими прямокутниками позначені дозволені годинники доступу до комп'ютера, синіми — заборонені.

Обмеження ігор. Кожна гра має власну оцінку, тобто. е. оцінку тієї категорії людей, для якої вона призначена, наприклад, гра дозволена для дітей

Мал. 33. Параметри для налаштувань фільтрації та блокування інтернет-ресурсів

Мал. 34. Вікно контролю типу сайтів

Мал. 35. Вікно встановлення обмеження часу використання комп'ютера

Мал. 36. Вікно встановлення обмежень на ігри

установки обмеження в додатку молодшого віку від 3 років, від 6 років, для 10 років і більше і т.д. буд. Відповідно до цих оцінок можна дозволити/заборонити ту чи іншу категорію ігор. Вікно встановлення обмежень ігор представлене на рис. 36.

Обмеження програм. У відповідному вікні (мал. 37) будуть перераховані програми, встановлені на комп'ютері, серед яких можна вибрати ті з них, якими не можна користуватися.

Звичайно, треба розуміти, що повного захисту від небажаного контенту для дитини досягти дуже складно. Але це не означає, що такі кошти не варто використовувати.