Блокировка интерпретаторов astra linux что это

Блокировка интерпретаторов и блокировка консоли в Astra Linux / Запрет установки бита исполнения

Нужна для того, чтобы запретить особо умным программистам создавать, например, на питоне текстовые файлы и подавать их на вход интерпретатору, тем самым реализуя какой-то функционал, который в системе запрещен. 1. HARDENED ядро. Запрет установки бита исполнения — 2. Мандатный контроль целостности — 3. Регламентный контроль целостности — 4. ЗПС в Astra Linux 1.6 — 5. Очистка памяти — 6. Блокировка интерпретаторов и блокировка консоли — 7. Графический КИОСК — #ИТпроповедник #AstraLinux #АстраЛинукс

Rayman M

для чего блокировать консоль? Какой пункт РД этого требует?

Victor K

Я было уже обрадовался, показалось что это "Блокировка интеграторов" )))

Блокировка интерпретаторов astra linux что это

По умолчанию в системе мандатного контроля доступа ОС Astra Linux Special Edition РУСБ.10015-01 (очередное обновление 1.6) настроено 4 уровня конфиденциальности:

0 Уровень_0
1 Уровень_1
2 Уровень_2
3 Уровень_3

При необходимости, количество уровней конфиденциальности может быть увеличено до 255.

Управление в графическом режиме с помощью графического инструмента fly-admin-smc:

Панель Управления ->
Безопасность ->
Политика безопасности ->
Мандатные атрибуты ->
Уровни целостности

Управление в консольном режиме:

Проверка состояния:

userlev
0 Уровень_0
1 Уровень_1
2 Уровень_2
3 Уровень_3
———

Режим Мандатного Контроля Целостности

Управление в графическом режиме с помощью графического инструмента fly-admin-smc:

Панель Управления ->
Безопасность ->
Политика безопасности ->
Мандатный контроль целостности

Управление в консольном режиме:

Проверка состояния

cat /proc/cmdline | grep "parsec.max_ilev"

Режим Мандатного Контроля Целостности ФС

Управление в графическом режиме с помощью графического инструмента fly-admin-smc:

Панель Управления -> Безопасность -> Политика безопасности -> Мандатный контроль целостности

Управление в консольном режиме

Режим ЗПС (замкнутой программной среды) в исполняемых файлах

Управление в графическом режиме с помощью графического инструмента fly-admin-smc:

Панель Управления -> Безопасность -> Политика безопасности -> Замкнутая программная среда
———

Блокировка консоли для пользователей

Управление в графическом режиме с помощью графического инструмента fly-admin-smc:

Панель Управления -> Безопасность -> Политика безопасности -> Настройки безопасности

Управление в консольном режиме

Проверка состояния

systemctl is-enabled astra-console-lock
enabled включен
disabled выключен
Failed to get unit file state . сервис не активирован
———

Блокировка интерпретаторов

Управление в графическом режиме с помощью графического инструмента fly-admin-smc:

Панель Управления -> Безопасность -> Политика безопасности -> Настройки безопасности

Управление в консольном режиме

Проверка состояния

systemctl is-enabled astra-interpreters-lock
enabled включен
disabled выключен
Failed to get unit file state . сервис не активирован
———

Блокировка макросов

Управление в графическом режиме с помощью графического инструмента fly-admin-smc:

Панель Управления -> Безопасность -> Политика безопасности -> Настройки безопасности

Управление в консольном режиме

Проверка состояния

systemctl is-enabled astra-macros-lock
enabled включен
disabled выключен
Failed to get unit file state . сервис не активирован
———

Блокировка трассировки ptrace

Управление в графическом режиме с помощью графического инструмента fly-admin-smc:

Панель Управления -> Безопасность -> Политика безопасности -> Настройки безопасности -> Параметры ядра

Управление в консольном режиме

Проверка состояния

systemctl is-enabled astra-ptrace-lock
enabled включен
disabled выключен
Failed to get unit file state . сервис не активирован
———

Гарантированное удаление файлов и папок

Управление в графическом режиме с помощью графического инструмента fly-admin-smc:

Панель Управления -> Безопасность -> Политика безопасности -> Настройки безопасности -> Политика очистки памяти

Управление в консольном режиме

Добавить опцию монтирования secdel в файле /etc/fstab

Межсетевой экран ufw

Управление в графическом режиме

Управление в консольном режиме

Проверка состояния

ufw status
Status: active включен
Status: inactive выключен

Системные ограничения ulimits

Управление в графическом режиме с помощью графического инструмента fly-admin-smc:

Панель Управления -> Безопасность -> Политика безопасности -> Настройки безопасности

Управление в консольном режиме

Проверка состояния

systemctl is-enabled astra-ulimits-control
enabled включен
disabled выключен
Failed to get unit file state . сервис не активирован

Блокировка клавиш SysRq

Управление в графическом режиме с помощью графического инструмента fly-admin-smc:

Панель Управления -> Безопасность -> Политика безопасности -> Настройки безопасности -> Параметры ядра

Управление в консольном режиме

sysctl -w kernel.sysrq=0
sysctl -w kernel.sysrq=1

Проверка состояния

cat /proc/sys/kernel/sysrq
0 включен
1 выключен

Режим ЗПС (замкнутой программной среды) в расширенных атрибутах

Управление в графическом режиме с помощью графического инструмента fly-admin-smc:

Панель Управления -> Безопасность -> Политика безопасности -> Замкнутая программная среда

Графический киоск

Управление в графическом режиме с помощью графического инструмента fly-admin-smc:

Панель Управления -> Безопасность -> Политика безопасности

Системный киоск

Управление в графическом режиме с помощью графического инструмента fly-admin-kiosk:

Панель Управления -> Безопасность -> Системный киоск
———

Настройка безопасной конфигурации компьютера для работы с ОС Astra Linux

Для обеспечения защиты могут использоваться специальные корпуса, защитные крышки, пломбы, пломбировочные ленты, для усложнения скрытной установки «имплантов» рекомендуется использование ПК в форм-факторе ноутбук или моноблок;

Исключить использование беспроводных периферийных устройств ввода (мыши, клавиатуры, тачпады и пр.);
Отключить по возможности беспроводные системы передачи данных (WiFi, Bluetooth);
При необходимости использования WiFi — по возможности использовать для защиты данных сети VPN;

При наличии опций для процессоров Intel Execute Disable Bit (XD-Bit) и для процессоров AMD No Execute Bit (NX-Bit) включить их;

При наличии на серверах «не доверенных» систем контроля и управления типа ILO, RSA, iDRAC, ThinkServer EasyManage, AMT, iMana — их необходимо отключить, и использовать, при необходимости, альтернативные решения типа IP KVM;

Для Intel платформ необходимо устранить уязвимости Intel-SA-00086 в Intel Management Engine (если он интегрирован в процессор) посредством установки обновления микропрограммы Intel Management Engine (производитель оборудования должен обеспечить данную возможность — это либо обновления BIOS, либо ПО для интеграции обновлений).
Для частичных проверок используйте: Intel-SA-00086 Detection Tool.
Более подробно: https://www.intel.ru/content/www/ru/ru/support/articles/000025619/software.html.

После установки ОС

Использовать жёсткие диски, имеющие встроенную аппаратную защиту хранящихся данных от несанкционированного доступа, и включать эту аппаратную защиту;
Установить единственным устройством для загрузки ОС жесткий диск, на который была произведена установка ОС;
При использовании архитектур, отличных от Intel, установить пароль на загрузчик согласно документации;
Включить режим загрузки secureboot на своих ключах (создать usb-flash носитель с помощью astra-secureboot, и, далее, ключи импортировать в BIOS) в соответствии с инструкцией Загрузка Astra Linux в SecureBoot режиме.

Обеспечение безопасности среды функционирования

При установке ОС

В разделе установщика «Настройка учётных записей пользователей и паролей» установить «взломостойкий» пароль для нового администратора;

В разделе установщика «Разметка дисков» выбрать метод разметки Вручную, а затем создать следующие отдельные дисковые разделы:
/
/boot
/home
/tmp
/var/tmp

Обязательно использовать при установке ОС защитное преобразование дисков, и по возможности исключить физический доступ к жесткому диску, на котором установлена ОС.

Отдельные дисковые разделы создавать в соответствии со следующими рекомендациями:

Без защитного преобразования .

Нельзя размещать этот раздел в LVM!

Необходимо выделить под этот раздел не менее 512МБ.

(перед обновлением ядра перемонтировать в rw )

С защитным преобразованием.

С защитным преобразованием.
При размере раздела /tmp менее 250МБ весьма вероятно возникновение ошибок при работе с графикой или с большими объёмами данных.

С защитным преобразованием.
Монтирование возможно с опциями noexec, nodev, nosuid, однако использовать их следует с осторожностью:

включение опции noexec при установке ОС приведёт к невозможности установки, при необходимости эту опцию можно включить после установки;
использование опции noexec после установки может привести к неработоспособности части ПО (в частности, будет нарушена работа установщика пакетов dpkg);

В разделе установщика «Выбор программного обеспечения» включить установку следующих программных компонентов:

Средства фильтрации сетевых пакетов ufw;
Ядро hardened.При невозможности использования ядра hardened использовать при эксплуатации модуль lkrg ядра generic (см. Инструменты командной строки astra-safepolicy);

Для всех режимов работы (уровней защищенности) в разделе установщика «Дополнительные настройки ОС» включить следующие функции подсистемы безопасности:
1. Запрет вывода меню загрузчика — при включении данной функции будет запрещен вывод меню загрузчика GRUB 2. В процессе загрузки будет загружаться ядро ОС, выбранное по умолчанию;
2. Запрет трассировки ptrace — при включении данной функции будет исключена возможность трассировки и отладки выполнения программного кода;
3. Запрос пароля для команды sudo — при включении данной функции будет необходим ввод пароля при использовании механизма sudo;
4. Запрет установки бита исполнения — при включении данной функции будет активирован режим запрета установки бита исполнения, обеспечивающий предотвращение несанкционированного запуска исполняемых файлов и сценариев для командной оболочки. Установка пакетов программ, создающих в ФС файлы с битом исполнения, будет завершаться с ошибкой. Запрет не распространяется на привилегированного пользователя root ;
5. Запрет исполнения скриптов пользователя — при включении данной функции блокируется несанкционированное использование интерпретатора для выполнения кода напрямую из командной строки или из неименованного канала (pipe). При этом сценарии, написанные для этих интерпретаторов, выполняются в штатном режиме (у файла скрипта при этом должны быть выставлены права на выполнение). Запрет исполнения скриптов не распространяется на пользователей из группы astra-admin ;
6. Запрет исполнения макросов пользователя — при включении данной функции будет блокировано исполнение макросов в стандартных приложениях;
7. Запрет консоли — при включении данной функции будет блокирован консольный вход в систему для пользователя и запуск консоли из графического интерфейса сессии пользователя. Запрет не распространяется на пользователей из группы astra-admin ;
8. Системные ограничения ulimits — при включении данной функции будут активированы системные ограничения, установленные в файле /etc/security/limits.conf ;
Для уровня защищенности «Усиленный» в разделе установщика «Дополнительные настройки ОС» включить следующие функции подсистемы безопасности:
1. Мандатный контроль целостности — при включении данной функции будет активирован механизм мандатного контроля целостности;
2. Замкнутая программная среда — при включении данной функции будет активирован механизм, обеспечивающий проверку неизменности и подлинности загружаемых исполняемых файлов формата ELF;
3. Очистка освобождаемой внешней памяти — при включении данной функции будет активирован режим очистки блоков файловой системы непосредственно при их освобождении, а также режим очистки разделов страничного обмена;
Для уровня защищенности «Максимальный» в разделе установщика «Дополнительные настройки ОС» включить следующую функцию подсистемы безопасности:
1. Мандатное управление доступом — при включении данной функции будет активирован механизм мандатного управления доступом;

Функции подсистемы безопасности могут быть включены и выключены в процессе эксплуатации ОС. Порядок включения и выключения описан в документе РУСБ.10015-01 97 01-1 «Операционная система специального назначения «Astra Linux Special Edition». Руководство по КСЗ. Часть 1».

В разделе установщика «Установка системного загрузчика GRUB на жёсткий диск» установить «взломостойкий» пароль на загрузчик Grub. Пароль на загрузчик Grub может быть изменён в процессе эксплуатации ОС — см. Инструкция по смене пароля загрузчика.

После установки ОС (для всех уровней защищенности)

Изменение настроек политики учетной записи пользователя

В настройках политики учетной записи пользователя задать следующие значения:

минимальная длина пароля — 8 символов;
в пароле должны содержаться строчные, заглавные буквы и цифры;
максимальное количество дней между сменами пароля — 90 дней;
максимальное количество неудачных попыток — 6;

максимальное время, отведённое на вход — 1800 секунд.

Внести изменения в настройки политики учетной записи пользователя можно используя графическую утилиту fly-admin-smc. Для этого:

через графический интерфейс запустить утилиту (необходимы права администратора): Пуск — Панель управления — Безопасность — Политика безопасности (см. рис. ниже);

на боковой панели навигации выбрать пункт Политики учетной записи — Политика паролей — Сложность и выполнить следующие действия (см. рис. ниже):

в числовом поле Минимальная длина пароля — установить значение 8;
установить флаг Минимальное количество строчных букв в новом пароле;
установить флаг Минимальное количество заглавных букв в новом пароле;
установить флаг Минимальное количество цифр в новом пароле;

применить изменения — нажать комбинацию клавиш <Ctrl+S>;

на боковой панели навигации выбрать пункт Политики учетной записи — Политика паролей — Срок действия и выполнить следующие действия (см. рис. ниже):

установить флаг Минимальное количество дней между сменами пароля и в числовом поле задать значение «0 дней»;
установить флаг Максимальное количество дней между сменами пароля и в числовом поле задать значение «90 дней»;

применить изменения — нажать комбинацию клавиш <Ctrl+S>;

на боковой панели навигации выбрать пункт Политики учетной записи — Блокировка и выполнить действия (см. рис. ниже):

установить флаг Неуспешных попыток и в числовом поле задать значение 6;
установить флаг Период блокировки и в числовом поле задать значение «1800 секунд»;

применить изменения — нажать комбинацию клавиш <Ctrl+S>.

Кроме того, внести изменения в настройки политики паролей можно следующим образом:

в файле /etc/pam.d/common-password в строке password requisite pam cracklib.so установить значение minlen=8 и добавить параметры dcredit=-1, ucredit=-1 и lcredit=-1 ;
в файле /etc/login.defs для переменной PASS_MAX_DAYS установить значение 90 , для переменной LOGIN_RETRIES установить значение 6 и для переменной LOGIN_TIMEOUT установить значение 1800 .

Запретить повторное использование последних четырех паролей, откорректировав файл /etc/pam.d/common-password . Для этого в указанном файле в строке « . pam_unix.so » добавить параметр remember=4 ;

Настроить использование механизма sudo таким образом, чтобы пароль не запоминался для выполнения последующих команд и запрашивался для каждой команды. Для этого:

в терминале выполнить команду sudo visudo ;
в открывшемся файле /etc/sudoers добавить строку« Defaults timestamp_timeout=0 ».

Настройка блокировки экрана

Из соображений безопасности рекомендуется не использовать х ранитель экрана и обязать пользователей завершать открытую сессию при необходимости покинуть рабочее место .

Настроить блокировку экрана следующим образом:

через графический интерфейс запустить утилиту fly-admin-theme: Пуск — Панель управления — Рабочий стол — Оформление Fly (см. рис. ниже);

на боковой панели навигации выбрать пункт Блокировка и выполнить действия (см. рис. ниже):

в секции Блокировать экран:

в числовом поле справа от флага После бездействия задать значение 15 мин.;
снять флаг Компьютер в режиме сна;
снять флаг Переключение на другую сессию;

установить флаг Переход на другую консоль или сессию;
установить флаг Подключение программ из сети;

нажать на кнопку [Да].

Настройка межсетевого экрана

Включить и настроить межсетевой экран ufw в минимально необходимой конфигурации: по умолчанию все запрещено, кроме необходимых исключений.

Межсетевой экран ufw можно включить используя графическую утилиту gufw. Для этого:

через графический интерфейс запустить утилиту (необходимы права администратора): Пуск — Панель управления — Сеть — Настройка межсетевого экрана (см. рис. ниже);

в окне программы нажать на переключатель Статус (см. рис. ниже);

для управления правилами необходимо в окне программы нажать на кнопку [Правила] (см. рис. ниже).

Кроме того, включить м ежсетевой экран ufw можно, выполнив в терминале команду:

sudo astra-ufw-control enable

Для того чтобы проверить состояние межсетевого экрана ufw, необходимо в терминале выполнить команду:

sudo astra-ufw-control status

Если блокировка включена, то результатом выполнения команды будет вывод сообщения:

Для того чтобы просмотреть правила, добавленные по умолчанию, необходимо в терминале выполнить команду:

sudo ufw show builtins

Блокировка интерпретатора bash (по возможности)

Блокировка интерпретаторов не распространяется на пользователей из группы astra-admin .

Блокировка интерпретатора bash может ограничить функционал некоторых программ и служб, не очевидным образом использующих bash, что приведет к нарушению штатной работы ОС.

После блокировки интерпретатора bash консольный вход пользователей с оболочкой bash будет невозможен.

Блокировку интерпретатора bash можно включить используя графическую утилиту fly-admin-smc. Для этого:

через графический интерфейс запустить утилиту (необходимы права администратора): Пуск — Панель управления — Безопасность — Политика безопасности;
на боковой панели навигации выбрать пункт Настройки безопасности — Политика консоли и интерпретаторов и на рабочей панели установить флаг Включить блокировку интерпретатора Bash для пользователей (см. рис. ниже);

применить изменения — нажать комбинацию клавиш <Ctrl+S>.

Кроме того, включить блокировку интерпретатора bash можно, выполнив в терминале команду:

sudo astra-bash-lock enable

Для того чтобы проверить состояние блокировки интерпретатора bash, необходимо в терминале выполнить команду:

sudo astra-bash-lock status

Если блокировка включена, то результатом выполнения команды будет вывод сообщения:

Блокировка системных команд для пользователей

Включить блокировку запуска пользователями программ df, chattr , arp, ip.

Эти программы необходимо блокировать в случае, когда в одной ОС производится обработка информации разных уровней конфиденциальности, т.к. с их помощью можно организовать скрытый канал передачи информации между уровнями.

Программы блокируются для пользователей с помощью выставления на них прав доступа 750 (rwx r-x —) .

Для включения блокировки запуска пользователями указанных системных команд необходимо в терминале выполнить команду:

sudo astra-commands-lock enable

Для того чтобы проверить состояние блокировки системных команд, необходимо в терминале выполнить команду:

sudo astra-commands-lock status

Если блокировка включена, то результатом выполнения команды будет вывод сообщения:

Системные параметры

Установить следующие ограничения:

Ограничение	Описание
Включение на файловой системе режима работы «только чтение»	После включения этого ограничения фактическое содержимое корневой ФС монтируется в overlay одновременно с ФС, хранящейся в памяти. Изменения файлов сохраняются только в памяти, а ФС на носителе остается без изменений. После перезагрузки все изменения теряются, и система каждый раз загружается в исходном состоянии. Данная функция может применяться в тех случаях, когда носитель, на котором расположена корневая ФС, аппаратно защищен от записи либо необходимо программно защитить его от изменений. Функционал overlay не касается файловых систем, хранящихся на отдельных разделах, отличных от корневого. Например, если каталог /home хранится на отдельном разделе или носителе, вносимые в него изменения будут сохраняться после перезагрузки. Для применения изменений требуется перезагрузка.
Запрет монтирования съемных носителей	После включения этого ограничения монтирование съемных носителей информации будет запрещено пользователям, входящим в группу floppy , при этом запрет не распространяется на пользователей из группы astra-admin . Ограничение вступает в действие немедленно.
Блокировка выключения компьютера пользователями	После включения этого ограничения права доступа к исполняемому файлу /bin/systemctl меняются на 750 (rwx — —) и меняются параметры в fly-dmrc . Команды systemctl могут выполняться только через механизм sudo . Также при включении инструмента блокируется возможность перезагрузки компьютера путем нажатия комбинации клавиш <Ctrl+Alt+Delete>. Ограничение вступает в действие немедленно.

Ограничения, указанные в таблице выше, можно установить, используя графическую утилиту fly-admin-smc. Для этого:

через графический интерфейс запустить утилиту (необходимы права администратора): Пуск — Панель управления — Безопасность — Политика безопасности;
на боковой панели навигации выбрать пункт Настройки безопасности — Системные параметры и на рабочей панели установить соответствующие флаги.

Кроме того, установить ограничения можно, выполнив соответствующую команду в терминале (см. таблицу ниже).

Ограничение	Команда
Включение на файловой системе режима работы «только чтение»	sudo astra-overlay enable
Запрет монтирования съемных носителей	sudo astra-mount-lock enable
Блокировка выключения компьютера пользователями	sudo astra-shutdown-lock enable

Проверка состояния функций подсистемы безопасности

Отображение состояний некоторых функций безопасности зависит от наличия в системе соответствующих пакетов.

Краткую сводку состояний функций безопасности можно просмотреть, используя графическую утилиту fly-admin-smc. Для этого:

через графический интерфейс запустить утилиту (необходимы права администратора): Пуск — Панель управления — Безопасность — Политика безопасности;
на боковой панели навигации выбрать пункт Монитор безопасности. Если функция безопасности включена, то в столбце Статус будет отображен символ ✓, а поле будет выделено зелёным цветом (см. рис ниже).

Кроме того, просмотреть краткую сводку состояний функций безопасности можно, выполнив в терминале команду:

Для каждой выводимой функции безопасности возможны четыре состояния:

ВКЛЮЧЕНО — функция безопасности включена. Включенное состояние означает повышенную безопасность, потенциально небезопасный функционал ОС запрещен;
ВЫКЛЮЧЕНО — функция безопасности выключена;
ВКЛЮЧАЕТСЯ — функция безопасности находится в процессе включения или будет включена после перезагрузки, но в настоящий момент еще не активна;
ВЫКЛЮЧАЕТСЯ — функция безопасности находится в процессе выключения или будет выключена после перезагрузки, но в настоящий момент еще активна.

После установки ОС (дополнительно на уровнях защищенности «Усиленный» и «Максимальный» )

Блокировка одновременной работы с разными уровнями конфиденциальности в пределах одной сессии

Если данная блокировка включена, то все пользователи, даже у которых есть привилегия PARSEC_CAP_SUMAC , не смогут использовать команду sumac . Для этого устанавливаются права доступа 000 на исполняемый файл sumac и библиотеку libsumacrunner.so .

Изменение режима блокировки вступает в действие немедленно.

Блокировку можно включить, используя графическую утилиту fly-admin-smc. Для этого:

через графический интерфейс запустить утилиту (необходимы права администратора): Пуск — Панель управления — Безопасность — Политика безопасности;
на боковой панели навигации выбрать пункт Настройки безопасности — Системные параметры и на рабочей панели установить флаг Блокировка одновременной работы с разными уровнями конфиденциальности в пределах одной сессии (см. рис. ниже);

применить изменения — нажать комбинацию клавиш <Ctrl+S>.

Кроме того, включить блокировку можно, выполнив в терминале команду:

sudo astra-sumac-lock enable

Для того чтобы проверить состояние блокировки, необходимо в терминале выполнить команду:

sudo astra-sumac-lock status

Если блокировка включена, то результатом выполнения команды будет вывод сообщения:

Замкнутая программная среда

Инструменты замкнутой программной среды (ЗПС) предоставляют возможность внедрения цифровой подписи в исполняемые файлы формата ELF, входящие в состав устанавливаемого программного обеспечения (ПО), и в расширенные атрибуты файловой системы.

Механизм контроля целостности исполняемых файлов и разделяемых библиотек формата ELF при запуске программы на выполнение реализован в модуле ядра ОС digsig_verif , который является не выгружаемым модулем ядра Linux и может функционировать в одном из следующих режимов:

исполняемым файлам и разделяемым библиотекам с неверной электронной подписью (ЭП), а также без ЭП загрузка на исполнение запрещается (штатный режим функционирования);
исполняемым файлам и разделяемым библиотекам с неверной ЭП, а также без ЭП загрузка на исполнение разрешается, при этом выдается сообщение об ошибке проверки ЭП (режим для проверки ЭП в ПО);
ЭП при загрузке исполняемых файлов и разделяемых библиотек не проверяется (отладочный режим для тестирования ПО).

Механизм контроля целостности файлов при их открытии на основе ЭП в расширенных атрибутах файловой системы также реализован в модуле ядра ОС digsig_verif и может функционировать в одном из следующих режимов:

запрещается открытие файлов, поставленных на контроль, с неверной ЭП или без ЭП;
открытие файлов, поставленных на контроль, с неверной ЭП или без ЭП разрешается, при этом выдается сообщение об ошибке проверки ЭП (режим для проверки ЭП в расширенных атрибутах файловой системы);
ЭП при открытии файлов не проверяется.

Очистка освобождаемой внешней памяти и области подкачки

Реализованный в ОС механизм очистки освобождаемой внешней памяти очищает неиспользуемые блоки ФС непосредственно при их освобождении, а также очищает разделы страничного обмена. Работа данного механизма снижает скорость выполнения операций удаления и усечения размера файла.

Данные любых удаляемых/урезаемых файлов в пределах заданной ФС предварительно очищаются путем перезаписи каждого байта в освобождаемой области предопределенной или псевдослучайной маскирующей последовательностью. В качестве предопределенной маскирующей последовательности используются четыре сигнатуры следующего вида: 11111111, 01010101, 10101010, 00000000 . При установке числа перезаписей больше четырех сигнатуры используются повторно. Например, при установке числа перезаписей, равного 6, последовательность сигнатур, используемых для перезаписи, имеет следующий вид: 11111111, 01010101, 10101010, 00000000, 11111111, 01010101 .

При включении очистки активных разделов страничного обмена возможно задать список разделов страничного обмена, для которых не выполняется очистка.

Очистку освобождаемой внешней памяти и области подкачки можно включить, используя графическую утилиту fly-admin-smc. Для этого:

через графический интерфейс запустить утилиту (необходимы права администратора): Пуск — Панель управления — Безопасность — Политика безопасности;
на боковой панели навигации выбрать пункт Настройки безопасности — Политика очистки памяти и на рабочей панели установить флаг О чистка разделов подкачки ;
для того чтобы задать исключение, необходимо на рабочей панели в секции Игнорировать разделы подкачки нажать на кнопку [+] и в открывшемся диалоговом окне указать раздел страничного обмена, для которого не должно выполнятся очистка;
на рабочей панели в секции Гарантированное удаление файлов и папок настроить механизм очистки (см. рис. ниже):
- на рабочей панели в столбце Очистка выбрать один из режимов:
  - выключено — механизм очистки выключен;
  - сигнатура — очистка предопределенной маскирующей последовательностью;
  - случайно — очистка псевдослучайной маскирующей последовательностью;
  - применить изменения — нажать комбинацию клавиш <Ctrl+S>.
  Для того чтобы включить очистку активных разделов страничного обмена, необходимо в терминале выполнить команду:
  
  sudo astra-swapwiper-control enable
  
  Для того чтобы проверить состояние очистки активных разделов страничного обмена, необходимо в терминале выполнить команду:
  
  sudo astra-swapwiper-control status
  
  Если очистка включена, то результатом выполнения команды будет вывод сообщения:
  
  Чтобы задать список разделов страничного обмена, для которых не должна выполняться очистка, необходимо в конфигурационном файле /etc/parsec/swap_wiper.conf добавить параметр IGNORE, и через пробел перечислить исключаемые разделы страничного обмена.
  
  Для того чтобы включить очистку освобождаемой внешней памяти, необходимо в терминале выполнить команду:
  
  sudo astra-secdel-control enable
  
  Для того чтобы проверить состояние очистки освобождаемой внешней памяти, необходимо в терминале выполнить команду:
  
  sudo astra-secdel-control status
  
  Если очистка включена, то результатом выполнения команды будет вывод сообщения:
  
  Команда sudo astra-swapwiper-control enable включает очистку предопределенной маскирующей последовательностью.
  
  Для того чтобы настроить механизм очистки, необходимо скорректировать конфигурационный файл /etc/fstab :
  
  для раздела ФС, на котором требуется очищать блоки памяти при их освобождении, в список параметров монтирования добавить один из следующих параметров:
  - secdel — очистка предопределенной маскирующей последовательностью;
  - secdelrnd — очистка псевдослучайной маскирующей последовательностью;
  Мандатный контроль целостности
  
  При включении мандатного контроля целостности (МКЦ) для системного параметра ядра parsec.max_ilev в загрузчике ОС устанавливается значение 63 — максимальный уровень целостности по умолчанию. Все процессы, начиная от init и до утилиты графического входа в систему fly-dm , будут запускаться на данном уровне целостности.
  
  Графический сервер Xorg по умолчанию работает от имени учетной записи пользователя на выделенном уровне целостности 8.
  
  Для правильного функционирования МКЦ при работе ОС при включении режима МКЦ автоматически включается МКЦ на корневой файловой системе и присваиваются атрибуты МКЦ (поддерживаются файловые системы ext2, ext3, ext4, XFS).
  
  Объектам файловой системы присваиваются атрибуты МКЦ в соответствии с конфигурационным файлом /etc/parsec/fs-ilev.conf . В данном конфигурационном файле перечислены объекты файловой системы и их уровень целостности в формате: <level> <path>, где:
  - <level> — уровень целостности;
  - <path> — объект/объекты файловой системы или путь к ним.
  Значения, присваиваемые уровню целостности <level> в конфигурационном файле, приведены в таблице ниже.
  
  Явно заданный уровень. Может быть десятичным, восьмеричным, шестнадцатеричным или двоичным числом
  
  Если в файле указаны несуществующие и неабсолютные пути, то они игнорируются. Корневому каталогу («/») уровень целостности не назначается.
  
  После установки новых пакетов, а также в процессе работы ОС создаются новые файлы, например в /etc , которым атрибуты МКЦ автоматически не присваиваются.
  
  Блокировка интерпретаторов и блокировка консоли в Astra Linux / Запрет установки бита исполнения
  
  Если вам понравилось бесплатно смотреть видео блокировка интерпретаторов и блокировка консоли в astra linux / запрет установки бита исполнения онлайн которое загрузил ИТ проповедник 12 июля 2020 длительностью 00 ч 26 мин 41 сек в хорошем качестве, то расскажите об этом видео своим друзьям, ведь его посмотрели 279 раз.
  
  Rayman M
  
  для чего блокировать консоль? Какой пункт РД этого требует?
  
  Victor K
  
  Я было уже обрадовался, показалось что это "Блокировка интеграторов" )))
  
  Astra linux блокировка интерпретаторов
  
  Как мы закрываем уязвимости в ОС Astra Linux Special Edition
  
  Операционных систем без уязвимостей не бывает — вопрос лишь в том, как эффективно разработчики их выявляют и закрывают. Наша ОС Astra Linux Special Edition здесь не исключение: мы постоянно проверяем и тестируем код на ошибки, нарушения логики, прочие баги и оперативно их устраняем. Иначе бы ФСТЭК России вряд ли сертифицировала Astra Linux на обработку данных, составляющих гостайну. Но о сертификации мы поговорим подробней в другом посте. А в этом расскажем о том, как организована работа над уязвимостями Astra Linux и взаимодействие с отечественным банком данных угроз безопасности информации.
  
  Фото: Leonhard Foeger/Reuters
  
  Подход первый, архитектурный
  
  Для улучшения безопасности ОС мы используем два подхода. Первый, архитектурный, заключается в том, что мы разрабатываем и внедряем различные средства защиты информации еще на этапе проектирования. Эти средства образуют комплекс средств защиты (КСЗ), который реализует функции безопасности. С помощью КСЗ мы стараемся достичь того, чтобы в системе уже по умолчанию был минимизирован риск возможных потенциальных угроз.
  
  Архитектура комплекса средств защиты Astra LInux Special Edition
  
  Ключевой элемент КСЗ – монитор обращений, созданный чтобы предотвращать несанкционированный доступ и изменение защищаемых компонентов системы. Монитор предусматривает дискреционное, ролевое и мандатное управление доступом, а также мандатный контроль целостности.
  
  Что такое мандатный контроль целостности? Поясним на примере. Ключевым компонентом ОС является ядро. Соответственно, мы обязаны обеспечить для него максимально защищенную среду выполнения в самой операционной системе, чтобы уменьшить количество возможных способов атаки на ядро.
  
  Для этого мы реализуем в операционной системе мандатный контроль целостности, за счет чего сегментируем ОС по различным подсистемам — так, чтобы взлом одной подсистемы не повлиял на работоспособность других. Если произойдет взлом непривилегированного пользователя ОС (уровень целостности 0) или сетевой подсистемы (уровень целостности 1), системы виртуализации (уровень целостности 2), графического интерфейса (уровень целостности 8) или другого компонента, это не повлечет за собой дискредитацию всего КСЗ (уровень целостности 63).
  
  При этом надо отметить, что указанные уровни не являются иерархическими, то есть не располагаются друг над другом и полностью изолированы друг от друга с точки зрения возможности прав записи. Принадлежность объекта к тому или иному уровню целостности монитор обращений определяет по битовой маске.
  
  Чтобы уровни целостности не воспринимались как иерархические — то есть, например, «уровень 8 имеет больше прав, чем уровень 2», что неверно — каждый из уровней получает свое наименование. Так, например, восьмой уровень целостности называется «Графический сервер», максимально возможный уровень целостности администратора в системе — «Высокий», а нулевой уровень целостности (пользовательский) — «Низкий».
  
  Монитор обращений, о котором рассказывалось в нашей предыдущей статье, контролирует и исключает возможность влияния друг на друга процессов с метками разных уровней целостности.
  
  Таким образом операционная система получает набор правил, как изолировать друг от друга системные процессы, и теперь понимает, какие именно процессы, даже запущенные пользователем с высокими привилегиями, не имеют права на запись в другие процессы или файлы.
  
  Поэтому если в результате эксплуатации уязвимости (в том числе, нулевого дня) злоумышленник получит контроль над каким-либо процессом в системе и повысит свои полномочия до привилегированного пользователя (например, root), его метка целостности останется прежней, и, соответственно, он не получит возможности влиять на системные процессы, менять настройки или скрыть свое присутствие в системе.
  
  Принцип работы изолированных уровней целостности
  
  Таким образом, значимой мишенью для злоумышленника становится уже не вся операционная система, а только hardened ядро и максимально компактный монитор обращений, что уже существенно сокращает поверхность атаки.
  
  Помимо мандатного, есть еще динамический и регламентный контроль целостности. Их применяют для исключения запуска и использования недоверенного или стороннего ПО, а также периодических проверок целостности системы.
  
  Динамический контроль вычисляет и проверяет электронную цифровую подпись исполняемых файлов в момент их запуска. Если ЭЦП нет или она неправильная, в запуске программ будет отказано. В какой-то степени это реализация концепции белых списков, но за счет использования иерархии ключей, выданных разработчикам программного обеспечения.
  
  Работа с динамическим контролем целостности
  
  Регламентный контроль проверяет целостность и неизменность ключевых для системы файлов, сравнивая их контрольные суммы с эталонными значениями. Это могут быть как конфигурационные файлы, так и любые другие.
  
  Таким образом в ОС применяется эшелонированная защита от уязвимостей в приложениях и их подмены, чем минимизируется вред от угроз безопасности, в том числе и тех, которые используют уязвимости «нулевого» дня.
  
  Подход второй, процессный
  
  Вместе с архитектурным мы параллельно используем процессный подход: постоянно выявляем и собираем сведения об уязвимостях, прорабатываем эту информацию и передаем результаты в банк данных уязвимостей ФСТЭК России. Так мы готовим и выпускаем плановые и оперативные обновлений ОС. Ищем уязвимости как в открытых источниках, так и самостоятельно — особенно в тех частях ПО, которые полностью разрабатываем сами. Много информации мы получаем от партнеров, занимающихся аналогичными исследованиями — тестированием и изучением безопасности операционных систем.
  
  Организация работ по выявлению уязвимостей
  
  Исследования безопасности в первую очередь ведутся в отношении компонентов, которые входят в состав ОС Astra Linux Special Edition («Смоленск»). Вместе с тем уязвимости закрываются также и для версии Astra Linux Common Edition, как в рамках обновлений безопасности, так и в процессе планового обновления компонентов системы.
  
  Как только мы получаем сведения об уязвимости, проверяем, насколько она актуальна для наших пользователей. Если уязвимость не является критической, то описываем ее в ближайшем выпуске бюллетеня безопасности на официальном сайте. Уведомления об выпуске бюллетеней отправляются пользователю по электронной̆ почте, адрес которой̆ обязательно указывается в лицензионном договоре. Для критических уязвимостей в течение нескольких дней выпускаются методические указания: каким образом можно устранить ее своими силами, не дожидаясь кумулятивного обновления безопасности. В списке бюллетеней безопасности они отмечены буквами MD (мethodical direction).
  
  Здесь хорошим примером является уязвимость, информация о которой была опубликована здесь же, на Хабре. К слову, автор данной статьи с нами заранее не связывался и предварительно не уведомлял о том, что им выявлена данная уязвимость и готовится материал. В качестве иллюстрации мы решили привести тайминг работ над уязвимостью с момента размещения текста на ресурсе.
  
  Итак, ночью, в 4 утра, 9 июля 2019 года была опубликована сама статья, о том, что при манипуляциях с размером экрана виртуальной машины можно увидеть окна под блокировщиком экрана.
  
  Стоит отметить, что для эксплуатации продемонстрированной на видео уязвимости нужно совершить ряд дополнительных действий: необходимо сначала установить на виртуальную машину Astra Linux, а затем и на гостевую машину дополнительные пакеты, которые отвечают за изменение разрешения виртуальной машины «на лету», но при этом не входят в состав сертифицированной операционной системы.
  
  10 июля 2019 года сведения об уязвимости опубликованы в БДУ ФСТЭК. Серьёзность уязвимости была определена как средняя (базовая оценка по метрике CVSS 2.0 составила 4,9, по метрике CVSS 3.0 — 4).
  
  12 июля нами опубликован бюллетень безопасности № 20190712SE16MD для Astra Linux Special Edition версии 1.6 и бюллетень безопасности № 20190712SE15MD для Astra Linux Special Edition версии 1.5. Аналогичное обновление безопасности получил и релиз Astra Linux Common Edition.
  
  Таким образом, с момента размещения информации об уязвимости среднего уровня опасности до выпуска корректирующего патча для всех версий Astra Linux (где возможно использование виртуализации) прошло меньше 4 дней.
  
  Схема выпуска оперативных обновлений для Astra Linux
  
  Не реже чем раз в квартал мы выпускаем обновления безопасности — оперативные обновления, которые устраняют ранее неизвестные уязвимости, в том числе прикладного ПО, библиотек и функций ОС, не реализующих требования безопасности. Если угрозы безопасности, реализуемые с использованием уязвимости, нельзя исключить компенсирующими мерами, проводятся работы по доработке ОС. После завершения доработки и тестирования обновления безопасности на сайте также публикуется бюллетень и само обновление. За первые полгода 2019 года было выпущено два кумулятивных обновления для ОС Astra Linux Special Edition версии 1.6, закрывших сотни различных уязвимостей. Сейчас к выпуску готовится третье.
  
  Наконец, мы активно взаимодействуем с сообществом разработчиков:
  - сообщаем в багтрекеры проектов о самостоятельно обнаруженных ошибках;
  - передаем в проекты готовые исправления недостатков, закрытые нами;
  - обращаемся к коммьюнити с просьбами оказать содействие в устранении недостатков — знание логики работы программы позволяет на порядок быстрее получить исправление нежели реверсивный инжиниринг, проводимый собственными силами;
  - используем и включаем в свои обновления все выпускаемые сообществом исправления. Мы понимаем, что тем самым повышаем качество продукта. При этом применяем методы контроля и обеспечения доверия, о которых писали в предыдущей статье.
  Открытость — это важно
  
  Поскольку наша ОС сертифицирована ФСТЭК России, мы в первую очередь добавляем информацию о найденных уязвимостях в банк данных угроз безопасности информации (БДУ) ФСТЭК для официальной публикации: если вы зайдете в БДУ, то найдете информацию о более чем 350 устраненных уязвимостей в разных версиях Astra Linux, а также подробную информацию по ним.
  
  Таким образом мы обеспечиваем открытость в работе. Благодаря этому пользователи — и регулятор в том числе — могут быть в определенной степени уверены в том, что безопасность действительно находится под контролем. Мало получить обновление, нужно понимать, какие конкретно уязвимости оно закрыло.
  
  Пока что наш архитектурно-процессный подход по поддержанию безопасности ОС полностью себя оправдывает — мы успешно соблюдаем высокий уровень защищенности информационных систем с ОС Astra Linux Special Edition. А открытый доступ к информации об уязвимостях через БДУ ФСТЭК повышает уровень доверия к нашему продукту.
  
  Будем рады ответить на вопросы о безопасности нашей системы в комментариях. Также, если вам интересно узнать что-то новое о системе, оставляйте ваши пожелания — мы их обязательно учтем при дальнейшей работе с блогом.
  
  Операционные системы Astra Linux
  
  Оперативные обновления и методические указания
  
  Операционные системы Astra Linux предназначены для применения в составе информационных (автоматизированных) систем в целях обработки и защиты 1) информации любой категории доступа 2) : общедоступной информации, а также информации, доступ к которой ограничен федеральными законами (информации ограниченного доступа).
  
  1) от несанкционированного доступа;
  2) в соответствии с Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации» (статья 5, пункт 2).
  
  Операционные системы Astra Linux Common Edition и Astra Linux Special Edition разработаны коллективом открытого акционерного общества «Научно-производственное объединение Русские базовые информационные технологии» и основаны на свободном программном обеспечении. С 17 декабря 2019 года правообладателем, разработчиком и производителем операционной системы специального назначения «Astra Linux Special Edition» является ООО «РусБИТех-Астра».
  
  На web-сайтах https://astralinux.ru/ и https://wiki.astralinux.ru представлена подробная информация о разработанных операционных системах семейства Astra Linux, а также техническая документация для пользователей операционных систем и разработчиков программного обеспечения.
  
  Мы будем признательны Вам за вопросы и предложения, которые позволят совершенствовать наши изделия в Ваших интересах и адаптировать их под решаемые Вами задачи!
  
  Репозитория открытого доступа в сети Интернет для операционной системы Astra Linux Special Edition нет. Операционная система распространяется посредством DVD-дисков.
  
  Информацию о сетевых репозиториях операционной системы Astra Linux Common Edition Вы можете получить в статье Подключение репозиториев с пакетами в ОС Astra Linux и установка пакетов.
  
  В целях обеспечения соответствия сертифицированных операционных систем Astra Linux Special Edition требованиям, предъявляемым к безопасности информации, ООО «РусБИтех-Астра» осуществляет выпуск очередных и оперативных обновлений.
  
  Очередные обновления (версии) предназначены для:
  - реализации и совершенствования функциональных возможностей;
  - поддержки современного оборудования;
  - обеспечения соответствия актуальным требованиям безопасности информации;
  - повышения удобства использования, управления компонентами и другие.
  Оперативные обновления предназначены для оперативного устранения уязвимостей в экземплярах, находящихся в эксплуатации, и представляют собой бюллетень безопасности, который доступен в виде:
  1. инструкций и методических указаний по настройке и особенностям эксплуатации ОС, содержащих сведения о компенсирующих мерах или ограничениях по примене- нию ОС при эксплуатации;
  2. отдельных программных компонентов из состава ОС, в которые внесены изменения с целью устранения уязвимостей, инструкций по их установке и настройке, а также информации, содержащей сведения о контрольных суммах всех файлов оперативного обновления;
  3. обновлений безопасности, представляющих собой файл с совокупностью программных компонентов из состава ОС, в которые внесены изменения с целью устранения уязвимостей, а также информации, содержащей сведения о контрольных суммах всех файлов обновлений безопасности, указания по установке, настройке и особенностям эксплуатации ОС с установленными обновлениями безопасности.
  Ввиду совершенствования нормативно-правовых документов в области защиты информации и в целях обеспечения соответствия информационных актуальным требованиям безопасности информации, а также обеспечения их долговременной эксплуатации, в том числе работоспособности на современных средствах вычислительной техники, рекомендуется на регулярной основе планировать проведение мероприятий по применению очередных и оперативных обновлений операционной системы.
  
  Блокировка интерпретаторов и блокировка консоли в Astra Linux / Запрет установки бита исполнения
  
  Если вам понравилось бесплатно смотреть видео блокировка интерпретаторов и блокировка консоли в astra linux / запрет установки бита исполнения онлайн которое загрузил ИТ проповедник 12 июля 2020 длительностью 00 ч 26 мин 41 сек в хорошем качестве, то расскажите об этом видео своим друзьям, ведь его посмотрели 279 раз.
  
  Rayman M
  
  для чего блокировать консоль? Какой пункт РД этого требует?
  
  Victor K
  
  Я было уже обрадовался, показалось что это "Блокировка интеграторов" )))
  
  Уровни конфиденциальности
  
  По умолчанию в системе мандатного контроля доступа ОС Astra Linux Special Edition РУСБ.10015-01 (очередное обновление 1.6) настроено 4 уровня конфиденциальности:
  
  Номер
  уровня Название
  по умолчанию
  
  0 Уровень_0
  
  1 Уровень_1
  
  2 Уровень_2
  
  3 Уровень_3
  
  При необходимости, количество уровней конфиденциальности может быть увеличено до 255.
  
  Для того, чтобы определить уровни конфиденциальности выше созданных по умолчанию,
  и назначать их пользователям, необходимо:
  Управление в графическом режиме с помощью графического инструмента fly-admin-smc:
  
  Панель Управления ->
  Безопасность ->
  Политика безопасности ->
  Мандатные атрибуты ->
  Уровни целостности
  
  Управление в консольном режиме:
  
  userlev
  0 Уровень_0
  1 Уровень_1
  2 Уровень_2
  3 Уровень_3
  
  Режим Мандатного Контроля Целостности
  
  Управление в графическом режиме с помощью графического инструмента fly-admin-smc :
  
  Панель Управления ->
  Безопасность ->
  Политика безопасности ->
  Мандатный контроль целостности
  
  Управление в консольном режиме:
  
  cat /proc/cmdline | grep «parsec.max_ilev»
  
  Режим Мандатного Контроля Целостности ФС
  
  Управление в графическом режиме с помощью графического инструмента fly-admin-smc:
  
  Управление в консольном режиме
  
  Режим ЗПС (замкнутой программной среды) в исполняемых файлах
  
  Управление в графическом режиме с помощью графического инструмента fly-admin-smc:
  
  Блокировка консоли для пользователей
  
  Управление в графическом режиме с помощью графического инструмента fly-admin-smc:
  
  Управление в консольном режиме
  
  systemctl is-enabled astra-console-lock
  enabled включен
  disabled выключен
  Failed to get unit file state . сервис не активирован
  
  Блокировка интерпретаторов
  
  Управление в графическом режиме с помощью графического инструмента fly-admin-smc:
  
  Управление в консольном режиме
  
  systemctl is-enabled astra-interpreters-lock
  enabled включен
  disabled выключен
  Failed to get unit file state . сервис не активирован
  
  Блокировка установки бита исполнения
  
  Управление в графическом режиме с помощью графического инструмента fly-admin-smc:
  
  Управление в консольном режиме
  
  cat /parsecfs/nochmodx
  1 включен
  0 выключен
  
  Блокировка макросов
  
  Управление в графическом режиме с помощью графического инструмента fly-admin-smc:
  
  Управление в консольном режиме
  
  systemctl is-enabled astra-macros-lock
  enabled включен
  disabled выключен
  Failed to get unit file state . сервис не активирован
  
  Блокировка трассировки ptrace
  
  Управление в графическом режиме с помощью графического инструмента fly-admin-smc:
  
  Управление в консольном режиме
  
  systemctl is-enabled astra-ptrace-lock
  enabled включен
  disabled выключен
  Failed to get unit file state . сервис не активирован
  
  Гарантированное удаление файлов и папок
  
  Управление в графическом режиме с помощью графического инструмента fly-admin-smc:
  
  Управление в консольном режиме
  
  Межсетевой экран ufw
  
  Управление в графическом режиме
  
  Управление в консольном режиме
  
  ufw status
  Status: active включен
  Status: inactive выключен
  
  Системные ограничения ulimits
  
  Управление в графическом режиме с помощью графического инструмента fly-admin-smc:
  
  Управление в консольном режиме
  
  systemctl is-enabled astra-ulimits-control
  enabled включен
  disabled выключен
  Failed to get unit file state . сервис не активирован
  
  Блокировка клавиш SysRq
  
  Управление в графическом режиме с помощью графического инструмента fly-admin-smc:
  
  Управление в консольном режиме
  
  sysctl -w kernel.sysrq=0
  sysctl -w kernel.sysrq=1
  
  cat /proc/sys/kernel/sysrq
  0 включен
  1 выключен
  
  Режим ЗПС (замкнутой программной среды) в расширенных атрибутах
  
  Управление в графическом режиме с помощью графического инструмента fly-admin-smc:
  
  Панель Управления -> Безопасность -> Политика безопасности -> Замкнутая программная среда
  
  Графический киоск
  
  Управление в графическом режиме с помощью графического инструмента fly-admin-smc:
  
  Системный киоск
  
  Управление в графическом режиме с помощью графического инструмента fly-admin-kiosk:
  Похожие публикации:

Блокировка интерпретаторов astra linux что это

Блокировка интерпретаторов и блокировка консоли в Astra Linux / Запрет установки бита исполнения

Rayman M

Victor K

Блокировка интерпретаторов astra linux что это

Настройка безопасной конфигурации компьютера для работы с ОС Astra Linux

После установки ОС

Обеспечение безопасности среды функционирования

При установке ОС

После установки ОС (для всех уровней защищенности)

Изменение настроек политики учетной записи пользователя

Настройка блокировки экрана

Настройка межсетевого экрана

Блокировка интерпретатора bash (по возможности)

Блокировка системных команд для пользователей

Системные параметры

Проверка состояния функций подсистемы безопасности

После установки ОС (дополнительно на уровнях защищенности «Усиленный» и «Максимальный» )

Блокировка одновременной работы с разными уровнями конфиденциальности в пределах одной сессии

Замкнутая программная среда

Очистка освобождаемой внешней памяти и области подкачки

Мандатный контроль целостности

Блокировка интерпретаторов и блокировка консоли в Astra Linux / Запрет установки бита исполнения

Rayman M

Victor K

Astra linux блокировка интерпретаторов

Как мы закрываем уязвимости в ОС Astra Linux Special Edition

Подход первый, архитектурный

Подход второй, процессный

Открытость — это важно

Операционные системы Astra Linux

Блокировка интерпретаторов и блокировка консоли в Astra Linux / Запрет установки бита исполнения

Rayman M

Victor K

Уровни конфиденциальности

Режим Мандатного Контроля Целостности

Режим Мандатного Контроля Целостности ФС

Режим ЗПС (замкнутой программной среды) в исполняемых файлах

Блокировка консоли для пользователей

Блокировка интерпретаторов

Блокировка установки бита исполнения

Блокировка макросов

Блокировка трассировки ptrace

Гарантированное удаление файлов и папок

Межсетевой экран ufw

Системные ограничения ulimits

Блокировка клавиш SysRq

Режим ЗПС (замкнутой программной среды) в расширенных атрибутах

Графический киоск

Системный киоск

Добавить комментарий Отменить ответ