УДК 004.45

Сравнение уровней защищенности в операционной системе Astra Linux Special Edition

Макшанский Анатолий Романович – студент Санкт-Петербургского государственного университета телекоммуникаций имени профессора М. А. Бонч‑Бруевича.

Аннотация: В данной статье рассматриваются особенности уровней защищенности «Орел», «Воронеж», «Смоленск». Перечислены пройденные комплексы испытаний и выполненные требования. Проведен сравнительный анализ релизов Common и Special, основных функций систем защиты информации.

Ключевые слова: операционная система Astra Linux Special Edition, информационная безопасность, уровни защищенности.

В наше время информация является ценным ресурсом в компаниях, поскольку влияет на ее функционирование. Организациям необходимо противостоять большому количеству угроз: промышленный шпионаж, уничтожение данных вирусами и т. д. По этой причине необходимо использовать операционные системы (далее - ОС), которые смогут защитить от различных угроз.

Исходя из этого, Astra Linux – единственная в стране операционная система, обладающая всеми требуемыми сертификатами от Минобороны, Федеральной службы по техническому и экспортному контролю (далее - ФСТЭК) и Федеральной службы безопасности России. Она получила первый уровень доверия за прохождение комплекса испытаний по сертификации СЗИ ФСТЭК. Также соответствует требованиям ОС первого класса защиты и ее безопасности [4].

На сегодняшний день используется на предприятиях, связанных с оборонной промышленностью, а также используется для обработки информации «особой важности» исходя из сертификата соответствия №2557 [5]. В нем также сказано о наличии в ОС сред виртуализации и систем управления базами данных, что, в свою очередь, подтверждает корректность их применения и реализацию мер защиты.

Существует несколько версий операционной системы Astra Linux: Common Edition и Special Edition. Первая подойдет обычным пользователям – с ее помощью можно решать повседневные задачи, не требующие серьезного контроля данных. Образ ОС бесплатный, доступен для скачивания с официального сайта компании. Версия Special имеет более широкую и гибкую настройку СЗИ для использования в госструктурах и коммерческих организациях. Она сертифицирована ФСТЭК России на обработку государственной тайны до степени секретности «особой важности».

Astra Linux Special Edition имеет три режима защиты: «Базовый», «Усиленный» и «Максимальный» («Орел», «Воронеж» и «Смоленск» соответственно). Последние два включают и дополняют СЗИ, созданные в предыдущих уровнях защиты [3].

«Базовый» режим защиты включает в себя изоляцию процессов, защиту памяти, регистрацию событий безопасности, которые есть в аналогичных дистрибутивах Linux. Особенностью данного режима является дискреционное управление доступом. Таким образом, в системе реализованы несколько моделей управления доступом: произвольный и на основе списков (ACL).

В произвольной модели у каждого объекта есть один субъект — его владелец, который разрешает или блокирует доступ к нему. В случае с использованием ACL, используется таблица, где субъекты и объекты доступа связаны действиями (например удаление), которыми субъект наделен по отношению к объекту. В ней, перед тем как дать или запретить доступ к запрошенным операциям над объектом, система сверяется со списком действий субъекта. В качестве объекта рассматриваются данные, к которым применимы вышеперечисленные действия.

В подсистемах защиты Astra (режим защиты «Орел») и других Linux можно выделить несколько основных недостатков: идентификаторы каждого пользователя и группы являются уникальными только для одного экземпляра ОС; отсутствует изолированная программная среда, мандатный контроль целостности. Эти, переставшие быть актуальными защитные механизмы, поддерживаются из-за обратной совместимости. Но несмотря на это, такие разработки по-прежнему создают платформу, пригодную для создания ОС. Благодаря им, возможна реализация современных механизмов управления доступом: мандатного и ролевого в последующих режимах защиты. На их основе без значительных изменений можно добиваться теоретического обоснования безопасности и верификации решения. Все это, в результате, позволяет построить защищённую ОС затратив минимальное количество ресурсов.

В релизе «Воронеж» реализованы новые СЗИ, отсутствующие в «Орле», а именно: мандатный контроль целостности и замкнутая программная среда. Данные решения используются для повышения защищенности ОС от взлома, заражения вредоносным программным обеспечением, получения привилегий неправомерным доступом и т.д. Все эти компоненты являются частью подсистемы безопасности PARSEC, реализующей следующие дополнительные функции по работе с устройствами: регистрация устройств в базе учета контроллера или в локальной базе учета; возможность управления доступом к устройствам, используя политику безопасности, основанной на их уровнях конфиденциальности и целостности.

По сравнению с альтернативными решениями, PARSEC основана на мандатной модели управления доступом, использует информационные потоки и три механизма защиты данных: мандатный контроль целостности, а также мандатное и ролевое управление доступом. В отличие от модели мандатного управления доступом, в PARSEC действует расширенный мандатный контроль, который охватывает дистрибутив и файловую систему, а ролевое управление доступом предусмотрено по умолчанию. Эта модель стала единственной в российских операционных системах, где не используется SELinux - система обязательного контроля доступа.

Благодаря использованию подсистемы динамического именования устройств udev, удалось реализовать данный функционал вместо использования номеров устройств. Старший номер указывает на соответствие между устройством и драйвером, причем одинаковый старший номер может быть использован для двух разных драйверов. Младшие номера используются для идентификации конкретных устройств или аппаратных компонентов, которые управляются одним и тем же драйвером и зависят от него.

Система udev динамически создает и удаляет символические ссылки и файлы устройств в каталоге /dev при помощи команды udevadm. Это позволяет изменять порядок работы системы, используя скрипты bash. Благодаря udev в каталоге /dev хранятся только файлы подключенных устройств, так что они автоматически удаляются при отключении.

Системный процесс udevd реализует функциональность системы udev, работая в фоновом режиме и не требуя непосредственного взаимодействия с пользователем. Для управления порядком запуска udevd используется сценарий /etc/init.d/udev, а параметры настройки описываются в файле /etc/udev/udev.conf.

Во время работы системы udev могут выполняться дополнительные действия, определенные в файлах каталога /etc/udev/rules.d с расширением .rules. Каждое устройство может иметь несколько правил именования, что позволяет определить разные действия для каждого из них.

Выпуск "Смоленск" содержит все необходимые инструменты для обеспечения максимальной защиты информации. Помимо дискреционного контроля доступа, данный режим основан на применении мандатного управления доступом, где каждый объект имеет свою мандатную метку, а каждый субъект - тип операции мандатного контекста безопасности. Решение о предоставлении доступа к объекту определяется исходя из этих параметров. Работа в разных мандатных уровнях и категориях позволяет операционной системе формально рассматривать одного пользователя как нескольких пользователей и создавать отдельные домашние каталоги для каждого из них, которые напрямую недоступны.

Помимо мандатного управления доступом, этот режим имеет службу Astra Linux Directory (далее - ALD), которая предназначена для организации единого пространства пользователей (далее - ЕПП) в автоматизированных системах. Настройка всех компонентов ALD осуществляется автоматически. Информация о конфигурации сервера и клиентов ALD находятся в файле /etc/ald/ald.conf [1].

В дальнейшем будет использоваться понятие доменная инфраструктура — набор сетевых служб, обеспечивающий централизованное хранение информации об объектах ИТ-инфраструктуры предприятия, предоставляющий механизмы сетевой аутентификации и авторизации.

ЕПП реализует: БД учётных записей пользователей, с возможностью регистрации в доменной сетевой инфраструктуре; удалённые файловые системы и устройства, располагаемые на контроллере домена или файловых серверах, доступ к которым процессы имеют от имени зарегистрированных учётных записей пользователей в соответствии с политикой безопасности.

Здесь, реализацию политики безопасности выполняет модуль, входящий в LSM (Linux security modules) parsec-cifs подсистемы безопасности PARSEC, который активируется на контроллере и клиентах домена в процессе инсталляции с аналогичными ролями. Его функциональные возможности не отличаются от модуля parsec, работающего на компьютерах, которые не входят в состав доменной инфраструктуры. Контроллер домена служит для создания ЕПП, в котором будут авторизоваться пользователи и администраторы.

Таким образом, в результате анализа трех уровней защищенности, можно сказать, что наибольшее значение имеют Воронеж и Смоленск, поскольку в них используются свои разработки, являющиеся альтернативой иностранным программным обеспечениям. Например, МРОСЛ ДП-модель, входящая в PARSEC, лишена недостатков, которые присущи мандатному управлению доступом, а также имеет новые возможности [2]. В свою очередь Орел не предоставляет новых возможностей и, более того, дает ограниченный функционал по сравнению с ядром Debian, на котором основана Astra Linux.

Список литературы

1. Astra Linux Directory в Astra Linux Special Edition версии 1.2 – URL: https://wiki.astralinux.ru/pages/viewpage.action?pageId=1212422 (дата обращения: 07.06.2023).
2. Русский бронированный Debian. Как устроена новая модель управления доступом в Astra Linux SE – URL: https://xakep.ru/2015/09/15/astra-linux-se (дата обращения: 07.06.2023).
3. Преимущества использования СЗИ в ОС Astra Linux Special Edition – URL: https://habr.com/ru/company/astralinux/blog/670060 (дата обращения: 07.06.2023).
4. Astra Linux Special Edition7 — первый уровень доверия, новое ядро и три уровня защиты – URL: https://astralinux.ru/news/category-news/2021/astra-linux-special- edition-1.7-pervyij-uroven-doveriya-novoe-yadro-i-tri-urovnya-zashhityi (дата обращения: 07.06.2023).
5. Сертификат соответствия №2557 – URL: https://astralinux.ru/information/certificates/sertifikat-sootvetstviya-2557.pdf (дата обращения: 07.06.2023).