3.1. Термины и определения

Частный случай MFA (многофакторной аутентификации), когда предоставляется два доказательства механизма аутентификации.

Специалист, отвечающий за обеспечение корректной и бесперебойной работы Avanpost FAM или какой-либо его части. Avanpost FAM предусматривает существование нескольких типов администраторов (администратор системы Avanpost FAM, администратор группы, администратора информационной системы/приложения) в соответствии со спецификацией. 

Комплекс, состоящий из вычислительной техники и программного обеспечения, расположенный непосредственно на рабочем месте пользователя и предназначенный для автоматизации его работы в рамках специальности.

Совокупность действий и обстоятельств, которые привели к нарушению безопасности информационной системы (то есть к нарушению ее конфиденциальности, целостности и доступности).

Процедура контроля доступа субъектов (пользователей, вычислительных процессов, устройств) к объектам (например, файлам, приложениям, сервисам, устройствам) и предоставления каждому из них именно тех прав, которые для них определены правилами доступа.

Набор характеристик, описывающих пользователя и определяющих его права доступа.

Систематический процесс сбора, анализа и оценки журналов событий безопасности (логов) с целью выявления нарушений, проверки соблюдения политик доступа, подтверждения подотчётности действий пользователей и обеспечения соответствия нормативным требованиям.

Процедура доказательства субъектом/объектом того, что он есть то, за что (кого) он себя выдает.

Информационная система, доступ к которой осуществляется посредством механизмов и функциональностей Avanpost FAM Server, но при этом не являющийся элементом Avanpost FAM Server.

В зависимости от контекста:

1. Уникальная последовательность символов, обозначающая область пространства имён в сети и определяющая местоположение объекта в этой сети.
2. Для LDAP-каталога: логическая группа объектов (пользователей, групп и компьютеров), объединённых на основе определенных критериев и использующихся в качестве административной единицы.
3. Для RADIUS-приложения: фиксированное короткое логическое название приложения, подключаемого к Avanpost FAM посредством RADIUS-протокола или через REST API.

Совокупность активов и ресурсов, подчиняющихся единой политике безопасности.

Электронная подпись, которая:

• получена в результате криптографического преобразования информации с использованием ключа электронной подписи;
• позволяет определить лицо, подписавшее электронный документ;
• позволяет обнаружить факт внесения изменений в электронный документ после момента его подписания;
• создается с использованием средств электронной подписи.

Операционная система (ОС)

Группа из нескольких серверов, спроектированных с использованием методик обеспечения высокой доступности, гарантирующий минимальное время простоя систем благодаря аппаратной избыточности. Принцип работы заключается в автоматическом перераспределении задач отказавшего сервера на работающие машины при сбое, что позволяет избежать недоступности систем.

Фактов аутентификации, представляющий собой последовательность алфавитно-цифровых символов.

Конечная точка соединения.

Разрешения, которые получаемые субъектами в рамках назначенных им полномочий (делятся на три основные группы: административные, пользовательские и групповые права).

Набор правил, по которому выполняется сценарий аутентификации.

Процесс привязки MFA-устройства (например, смартфона с Google Authenticator, YubiKey или USB-токена) к учётной записи пользователя.

Список сертификатов удостоверяющих центров (УЦ), которым система (ОС, браузер, приложение) доверяет при проверке подлинности цифровых сертификатов. Включает корневые и промежуточные сертификаты, добавленные вручную или автоматически.

Инструмент информационной системы, отвечающий за реализацию механизма репликации, обеспечивающий синхронизацию данных между различными копиями баз данных, передачу изменений и управление версиями данных.

Процесс поддержания двух или более наборов данных в согласованном состоянии за счет изменения одного набор данных (реплики) в ответ на изменения другого набора данных (основного). 

Набор прав доступа, предоставляемых пользователю для выполнения определенных задач и функций.

Маскировка под легального пользователя или сетевой ресурс.

Фактически реализуемое поведение информационной системы, которая применяется для аутентификации определённого пользователя в определённое приложение.

Процесс получения доступа (через внешнюю сеть) к объектам доступа информационной системы из другой информационной системы (сети) или со средства вычислительной техники, не являющегося постоянно (непосредственно) соединенным физически или логически с информационной системой, к которой он получает доступ.

Функция, отображающая строки бит в строки бит фиксированной длины и удовлетворяющая следующим свойствам:

• по данному значению функции сложно вычислить исходные данные, отображаемые в это значение;
• для заданных исходных данных сложно вычислить другие исходные данные, отображаемые в то же значение функции;
• сложно вычислить какую-либо пару исходных данных, отображаемых в одно и то же значение.

Функция межсетевого экрана, позволяющая поддерживать безопасность объектов внутренней области, игнорируя несанкционированные запросы из внешней области.

Службы федерации Microsoft Active Directory, программный компонент, используемый в операционных системах Windows Server и предоставляющий пользователям единый доступ (SSO) для входа в системы и приложения, расположенные за пределами организации. Для обеспечения безопасности приложений и реализации федеративной идентификации используется модель управления доступом на основе утверждений (claims).

Набор правил и протоколов, позволяющий приложениям взаимодействовать друг с другом, обеспечивая интеграцию различных систем и сервисов.

Механизмы передачи данных в механизме SSO:

• Frontchannel— передача данных через браузер пользователя;
• Backchannel— прямое взаимодействие между серверами (IdP и SP) по защищённому каналу.

Учётные данные приложения (клиента) в OAuth 2.0 и OpenID Connect: (Client ID — публичный идентификатор клиента; Client Secret— секретный ключ, используемый для аутентификации приложения перед сервером авторизации).

ID Token (маркер идентификации)

JWT-токен, используемый в протоколе OIDC/OAuth 2.0 и содержащий утверждения (claims), которые подтверждают личность пользователя и детали сессии. ID Token выдается сервером авторизации, выступающим в качестве провайдера идентификации (IdP) и используется клиентским приложением для подтверждения того, что пользователь прошел аутентификацию.

Процедура проверки подлинности пользователя посредством сопоставления сообщенного им идентификатора и последовательной проверки нескольких подтверждающих факторов.

Специальный долгосрочный токен (обычно в формате JWT), который используется в контексте протокола OAuth 2.0 и OpenID Connect для получения новых краткосрочных маркеров доступа (access token) без необходимости повторной аутентификации пользователя. 

Функция, предназначенная для завершения нескольких сеансов аутентификации, выполняя для этого только одно действие выхода из информационной системы.

Унифицированный определитель местонахождения ресурса, который указывает адрес ресурса в сети.,содержит информацию о протоколе доступа к ресурсу, расположении сервера, номере порта и точном местоположении ресурса на сервере.

Единая платформа для управления цифровым доступом, обеспечивающая безопасный и прозрачный вход (SSO) в корпоративные приложения и сервисы на базе различных протоколов (OIDC, SAML, RADIUS, Enterprise SSO, LDAP).

Технология виртуализации рабочих мест, обеспечивающая использование вычислительных мощностей и информационных систем локального сервера при подключении пользователя к виртуальному рабочему месту на сервере с удаленного устройства.

Технология, позволяющая создавать защищённое сетевое соединение поверх другой сети.

Сервер, позволяющий авторизованным пользователям подключаться к ресурсам и приложениям на локальных компьютерах через интернет. RD Gateway использует протокол RDP для создания безопасного соединения между внешними пользователями и внутренними сетями, обеспечивая шифрование и мониторинг подключений.

Технология, которая позволяет пользователям подключаться к удаленному компьютеру или серверу и управлять им с помощью своего локального компьютера или другого устройства.

Метод обеспечения целостности данных, основанный на том, что изменения в файлах с данными, в которых содержатся таблицы и индексы, записываются только тогда, когда эти изменения внесены в Журнал предзаписи (WAL), т. е. после того как записи WAL, описывающие произошедшие изменения, сохранены на постоянном устройстве хранения.