ОС «СТРЕЛЕЦ»

СРЕДСТВА ЗАЩИТЫ ИНФОРМАЦИИ ОТ НСД

ОСНОВНЫЕ КОМПОНЕНТЫ СРЕДСТВ ЗАЩИТЫ ИНФОРМАЦИИ ОС ОН «СТРЕЛЕЦ»

Графические утилиты управления СЗИ
Для настройки СЗИ пользователей применяется графическая утилита «Утилита настройка пользователей и групп».

Для настройки СЗИ файлов и устройств применяется графический менеджер файлов «Диспетчер файлов».

Для маркировки секретной печати используется утилита «Маркировка заданий печати».

Подсистема безопасности
Подсистема безопасности реализована в ядре ОС. Она носит название «модуль подсистемы безопасности NESS».

Основными особенностями реализации подсистемы являются:

  • использование механизмов загружаемых модулей в целях минимизации изменений оригинального кода ядра Linux;
  • реализация не замедляет работу ядра в том случае, если средства NESS не используются;
  • реализация не затрагивает архитектурно-зависимые части ядра Linux (переносимость);
  • реализация рассчитана на архитектуры с разным следованием байт и размером слова (переносимость).

Подсистема NESS контролирует множество подсистем оригинального ядра Linux. При этом используются методы, позволяющие перехватывать события ядра Linux:

  • использование интерфейса загружаемых модулей ядра Linux;
  • модификация исходных текстов ядра Linux.

Система печати и маркировки документов
Разграничение доступа и маркировка документов при выводе на печать осуществляется защищенной подсистемой печати, реализованной на основе сервера печати CUPS.

Защищенный сервер печати и средства маркировки обеспечивают в соответствии с требованиями РД:

  • мандатное разграничение доступа при выводе документов на печать;
  • управление мандатными атрибутами устройств печати;
  • идентификацию и аутентификацию пользователей при попытках вывода документов на печать и управления атрибутами устройств печати;
  • автоматическую маркировку документов при выводе на печать;
  • управление параметрами автоматической маркировки документов при выводе на печать;
  • регистрацию событий безопасности при выводе документов на печать.

Мандатные атрибуты конфиденциальности автоматически связываются с заданием для печати на основе мандатных атрибутов конфиденциальности, получаемых с сетевого соединения или из мандатного контекста пользователя. Вывод на печать документов, не содержащих атрибутов маркировки субъектами доступа, работающими в ненулевом мандатном контексте, невозможен.
Средства регламентного контроля целостности
В качестве регламентного контроля целостности файлов ОС применяется набор программных средств afick. Описание работы со средством контроля целостности приведено в подразделе «Контроль целостности» раздела «Установка и настройка» документа ФЛИР.90001-01 34 01 «ОС ОН «Стрелец». Руководство оператора».

Для обеспечения безопасности системы контроль целостности с помощью средств afick может выполняться при запуске системы, по расписанию или по запросу администратора. Администратор системы устанавливает порядок и периодичность выполнения проверки целостности данных.

Также целостность среды исполнения ОС обеспечивается дополнительными механизмами:

  • средство подсчета контрольных сумм файлов и носителей – gostsum;
  • средства создания замкнутой программной среды.

Их описание также приведено в подразделе «Контроль целостности» раздела «Установка и настройка» документа ФЛИР.90001-01 34 01 «ОС ОН «Стрелец». Руководство оператора».

  1. Демонстрационный ролик №1
  2. Демонстрационный ролик №2
  3. Демонстрационный ролик №3

Средства создания замкнутой программной среды
Для решения задачи создания замкнутой программной среды используются модули ядра Integrity Measurement Architecture (IMA) и Extended Verification Module (EVM).

Модуль IMA предоставляет возможность внедрения контрольной суммы или цифровой подписи в расширенные атрибуты файлов. При обращении к файлу проводится проверка корректности подписи и в случае несоответствия доступ к такому файлу запрещается. При этом модуль IMA контролирует только содержание файла, сохранность самой подписи в расширенных атрибутах файла не производится, выполнение этой функции возложено на модуль EVM.

Модуль EVM используется для контроля за целостностью мета данных файлов, в т. ч. цифровых подписей. После подписывания файлов с помощью IMA проводится подпись расширенных атрибутов и в случае их изменения или сопутствия подписи доступ к такому файлу будет запрещен.
Система инициализации сервисов
Сервисные процессы запускаются при инициализации ОС (но после инициализации ядра) и обеспечивают работу различных систем и сетевых служб: Samba, FTP, и т.д.

В ОС для управления сервисами применяется системный менеджер systemd, пришедший на замену используемого ранее механизма System V init. При этом применяется механизм ограничения привилегий и возможностей сервисов, что повышает защищенность всей системы в целом. Менеджер systemd выполняет запуск сервисов по возможности параллельно на основе зависимостей между сервисами, что уменьшает время загрузки системы.

Системный менеджер systemd оперирует специально оформленными файлами конфигурации – юнитами (unit). Каждый юнит отвечает за отдельно взятую службу, точку монтирования, подключаемое устройство, файл подкачки, виртуальную машину и т.п.

По сравнению с System V init systemd имеет следующие преимущества:

  • контроль состояния службы, реакция на изменения состояния;
  • сокет-активные и шина-активные службы, которые иногда приводят к лучшему распараллеливанию взаимозависимых служб;
  • cgroups используется для отслеживания служебных процессов, вместо идентификаторов процессов (PID). Это означает, что демоны не будут потеряны даже после разветвления в другие процессы.

Помимо простого запуска и контроля сервисов systemd предлагает некоторые другие удобные функции, для использования которых ранее системным администраторам приходилось прибегать к помощи дополнительных программ-демонов. Среди таких функций:

  • сокет-активация служб (заменяет inetd);
  • запуск сервисов по расписанию (заменяет CRON);
  • работа с аппаратным сторожевым таймером (заменяет WatchDog);
  • смена корня ФС (заменяет chroot);
  • автомонтирование разделов дисков и сетевых ресурсов (заменяет mount и fstab).

Средства инициализации и защиты графических сессий
Графическая подсистема (графический сервер, система управления сеансами пользователей и графический менеджер окон) обеспечивает запуск и функционирование графических сессий пользователей ОС в соответствующем контексте безопасности (с установленными мандатными и дискреционными атрибутами).

Средство разграничения доступа к внешним устройствам
Для решения данной задачи используется подсистема systemd, которая разрешает доступ пользователей к подключаемым устройствам на основе UDEV-правил работы с устройствами, содержащими в т.ч. и контекст безопасности зарегистрированного в системе внешнего устройства.

ОПЕРАЦИОННАЯ СИСТЕМА
ОБЩЕГО НАЗНАЧЕНИЯ СЕМЕЙСТВА DEBIAN LINUX
Предназначена для построения защищенных автоматизированных систем,
обрабатывающих информацию ограниченного доступа
ФУНКЦИИ СРЕДСТВ ЗАЩИТЫ ИНФОРМАЦИИ ОС ОН «СТРЕЛЕЦ»
Дискреционное, мандатное и ролевое разграничение доступа
Интеграция средств защиты информации в системные службы
Защита ввода-вывода на отчуждаемые учтенные носители информации
Поддержка двухфакторной идентификации и аутентификации пользователей
Маркировка документов выводимых на печать
Регистрация событий
Очистка оперативной и внешней памяти
Создание замкнутой программной среды
Совместимость мандатных меток
ip-пакетов с ОС семейств MCBC и Astra Linux special edition
Контроль целостности и восстановления
Разграничение доступа к внешним устройствам
Предотвращение эксплуатации уязвимостей
Дискреционное, мандатное и ролевое разграничение доступа
Интеграция средств защиты информации в системные службы
Защита ввода-вывода на отчуждаемые учтенные носители информации
Поддержка двухфакторной идентификации и аутентификации пользователей
Маркировка документов выводимых на печать
Регистрация событий


Очистка оперативной и внешней памяти
Создание замкнутой программной среды
Совместимость мандатных меток ip-пакетов с ОС семейств MCBC и Astra Linux special edition
Контроль целостности и восстановления




Разграничение доступа к внешним устройствам
Предотвращение эксплуатации уязвимостей

Скачать ОС «СТРЕЛЕЦ»
Если у Вас нет лицензионного ключа для скачивания ОС «Стрелец», нажмите на кнопку «Получить ключ». Если у Вас есть лицензионный ключ, скачайте ОС «Стрелец» нажав на кнопку «Скачать ОС»
Получить лицензионный ключ для скачивания ОС «Стрелец»
Введите ваши данные и получите лицензионный ключ на указанную почту
Нажимая на кнопку «Отправить запрос», вы соглашаетесь с политикой конфиденциальности