СРЕДСТВА ЗАЩИТЫ ИНФОРМАЦИИ ОТ НСД

Для настройки СЗИ пользователей применяется графическая утилита «Утилита настройка пользователей и групп».

Для настройки СЗИ файлов и устройств применяется графический менеджер файлов «Диспетчер файлов».

Для маркировки секретной печати используется утилита «Маркировка заданий печати».

Подсистема безопасности реализована в ядре ОС. Она носит название «модуль подсистемы безопасности NESS».

Основными особенностями реализации подсистемы являются:

• использование механизмов загружаемых модулей в целях минимизации изменений оригинального кода ядра Linux;
• реализация не замедляет работу ядра в том случае, если средства NESS не используются;
• реализация не затрагивает архитектурно-зависимые части ядра Linux (переносимость);
• реализация рассчитана на архитектуры с разным следованием байт и размером слова (переносимость).

Подсистема NESS контролирует множество подсистем оригинального ядра Linux. При этом используются методы, позволяющие перехватывать события ядра Linux:

• использование интерфейса загружаемых модулей ядра Linux;
• модификация исходных текстов ядра Linux.

Разграничение доступа и маркировка документов при выводе на печать осуществляется защищенной подсистемой печати, реализованной на основе сервера печати CUPS.

Защищенный сервер печати и средства маркировки обеспечивают в соответствии с требованиями РД:

• мандатное разграничение доступа при выводе документов на печать;
• управление мандатными атрибутами устройств печати;
• идентификацию и аутентификацию пользователей при попытках вывода документов на печать и управления атрибутами устройств печати;
• автоматическую маркировку документов при выводе на печать;
• управление параметрами автоматической маркировки документов при выводе на печать;
• регистрацию событий безопасности при выводе документов на печать.

Мандатные атрибуты конфиденциальности автоматически связываются с заданием для печати на основе мандатных атрибутов конфиденциальности, получаемых с сетевого соединения или из мандатного контекста пользователя. Вывод на печать документов, не содержащих атрибутов маркировки субъектами доступа, работающими в ненулевом мандатном контексте, невозможен.

В качестве регламентного контроля целостности файлов ОС применяется набор программных средств afick. Описание работы со средством контроля целостности приведено в подразделе «Контроль целостности» раздела «Установка и настройка» документа ФЛИР.90001-01 34 01 «ОС ОН «Стрелец». Руководство оператора».

Для обеспечения безопасности системы контроль целостности с помощью средств afick может выполняться при запуске системы, по расписанию или по запросу администратора. Администратор системы устанавливает порядок и периодичность выполнения проверки целостности данных.

Также целостность среды исполнения ОС обеспечивается дополнительными механизмами:

• средство подсчета контрольных сумм файлов и носителей – gostsum;
• средства создания замкнутой программной среды.

Их описание также приведено в подразделе «Контроль целостности» раздела «Установка и настройка» документа ФЛИР.90001-01 34 01 «ОС ОН «Стрелец». Руководство оператора».

1. Демонстрационный ролик №1
2. Демонстрационный ролик №2
3. Демонстрационный ролик №3

Для решения задачи создания замкнутой программной среды используются модули ядра Integrity Measurement Architecture (IMA) и Extended Verification Module (EVM).

Модуль IMA предоставляет возможность внедрения контрольной суммы или цифровой подписи в расширенные атрибуты файлов. При обращении к файлу проводится проверка корректности подписи и в случае несоответствия доступ к такому файлу запрещается. При этом модуль IMA контролирует только содержание файла, сохранность самой подписи в расширенных атрибутах файла не производится, выполнение этой функции возложено на модуль EVM.

Модуль EVM используется для контроля за целостностью мета данных файлов, в т. ч. цифровых подписей. После подписывания файлов с помощью IMA проводится подпись расширенных атрибутов и в случае их изменения или сопутствия подписи доступ к такому файлу будет запрещен.

Сервисные процессы запускаются при инициализации ОС (но после инициализации ядра) и обеспечивают работу различных систем и сетевых служб: Samba, FTP, и т.д.

В ОС для управления сервисами применяется системный менеджер systemd, пришедший на замену используемого ранее механизма System V init. При этом применяется механизм ограничения привилегий и возможностей сервисов, что повышает защищенность всей системы в целом. Менеджер systemd выполняет запуск сервисов по возможности параллельно на основе зависимостей между сервисами, что уменьшает время загрузки системы.

Системный менеджер systemd оперирует специально оформленными файлами конфигурации – юнитами (unit). Каждый юнит отвечает за отдельно взятую службу, точку монтирования, подключаемое устройство, файл подкачки, виртуальную машину и т.п.

По сравнению с System V init systemd имеет следующие преимущества:

• контроль состояния службы, реакция на изменения состояния;
• сокет-активные и шина-активные службы, которые иногда приводят к лучшему распараллеливанию взаимозависимых служб;
• cgroups используется для отслеживания служебных процессов, вместо идентификаторов процессов (PID). Это означает, что демоны не будут потеряны даже после разветвления в другие процессы.

Помимо простого запуска и контроля сервисов systemd предлагает некоторые другие удобные функции, для использования которых ранее системным администраторам приходилось прибегать к помощи дополнительных программ-демонов. Среди таких функций:

• сокет-активация служб (заменяет inetd);
• запуск сервисов по расписанию (заменяет CRON);
• работа с аппаратным сторожевым таймером (заменяет WatchDog);
• смена корня ФС (заменяет chroot);
• автомонтирование разделов дисков и сетевых ресурсов (заменяет mount и fstab).

Графическая подсистема (графический сервер, система управления сеансами пользователей и графический менеджер окон) обеспечивает запуск и функционирование графических сессий пользователей ОС в соответствующем контексте безопасности (с установленными мандатными и дискреционными атрибутами).

Для решения данной задачи используется подсистема systemd, которая разрешает доступ пользователей к подключаемым устройствам на основе UDEV-правил работы с устройствами, содержащими в т.ч. и контекст безопасности зарегистрированного в системе внешнего устройства.