Данная статья применима к:
- Astra Linux Special Edition РУСБ.10015-01 и РУСБ.10015-10 (очередное обновление 1.7) с установленным обновлением БЮЛЛЕТЕНЬ № 2022-0819SE17 (оперативное обновление 1.7.2)
- Astra Linux Special Edition РУСБ.10015-37 (очередное обновление 7.7)
- Astra Linux Special Edition РУСБ.10152-02 (очередное обновление 4.7) с установленными обновлением БЮЛЛЕТЕНЬ № 2022-0926SE47 (оперативное обновление 4.7.2)
Расширенный режим МКЦ
Расширенный режим МКЦ (strict mode) является развитием режима МКЦ Astra Linux и предназначен для усиления защиты ОС. Расширенный режим МКЦ доступен в следующих обновлениях Astra Linux:
- Astra Linux Special Edition РУСБ.10015-01 и РУСБ.10015-10 (очередное обновление 1.7) с установленным обновлением БЮЛЛЕТЕНЬ № 2022-0819SE17 (оперативное обновление 1.7.2);
- Astra Linux Special Edition РУСБ.10015-37 (очередное обновление 7.7);
- Astra Linux Special Edition РУСБ.10152-02 (очередное обновление 4.7) с установленными обновлением БЮЛЛЕТЕНЬ № 2022-0926SE47 (оперативное обновление 4.7.2).
Особенности работы в этом режиме описаны ниже.
Особенности работы в расширенном режиме МКЦ
Включение расширенного режима МКЦ может привести к изменениям в работе стороннего прикладного ПО (особенно ранее установленного). Поэтому перед включением расширенного режима МКЦ в ОС администратору рекомендуется провести тестирование используемого прикладного ПО с целью проверки его работоспособности при включенном расширенном режиме МКЦ и необходимости его дополнительной настройки.
При работе в расширенном режиме МКЦ имеются следующие особенности (далее под термином "домашний каталог" подразумевается "домашний каталог пользователя и всё его содержимое"):
- В любом режиме МКЦ процесс при его непосредственном запуске наследует неиерархический уровень целостности (УЦ) процесса-родителя В расширенном режиме МКЦ вводится дополнительное ограничение: если исполняемый файл, из которого запускается процесс, имеет УЦ меньший или несравнимый с УЦ процесса-родителя, то непосредственный запуск процесса запрещен. В таком случае процесс возможно запустить только посредством инструмента (системного вызова) sumic (см. Инструмент sumic).
- При работе в обычном режиме МКЦ создаваемым файловым объектам (файлам или каталогам) назначается нулевой УЦ. При работе в расширенном режиме МКЦ создаваемым файловым объектам назначается УЦ, равный УЦ каталога, в котором объект размещается. При этом запрещено создавать файловые объекты с УЦ выше или несравнимым с УЦ процесса, создающего данный объект.
- Вход в локальные пользовательские сессии с нулевой классификационной меткой возможен только с максимально доступным пользователю неиерархическим уровнем целостности (выбирается автоматически). Т.е. администратор с высоким уровнем целостности, выбрав при входе в сессию нулевую классификационную метку, не сможет выполнить вход с нулевым УЦ. И наоборот, если администратором с высоким уровнем целостности при входе в сессию была выбрана ненулевая классификационная метка, то вход будет выполнен с нулевым УЦ.
- При включении расширенного режима МКЦ всем домашним каталогам назначается максимальный УЦ пользователя-владельца.
- При включенном расширенном режиме МКЦ:
- При создании нового пользователя ему назначается нулевой УЦ. Домашнему каталогу также назначается нулевой УЦ.
- При назначении новому пользователю ненулевого максимального УЦ домашнему каталогу следует также назначить этот УЦ.
- Для нового входа доменного пользователя, имеющего ненулевой максимальный УЦ, необходимо вручную создать пустой домашний каталог и назначить ему максимальный УЦ этого пользователя.
- При перезагрузке ОС всем существующим домашним каталогам принудительно назначается максимальный УЦ владельца.
- Не применяется привилегия PARSEC_CAP_IGNMACINT (см. Привилегии PARSEC).
- Не применяется (игнорируется) параметр ядра parsec.ccnr_relax (см. Параметры модуля ядра Parsec, задаваемые в загрузчике).
- Возможно применение привилегии PARSEC_CAP_CCNR_RELAX (см. Привилегии PARSEC).
- Возможно применение атрибута irelax (см. Метка безопасности: структура и состав).
Включение расширенного режима МКЦ
Включение расширенного режима МКЦ осуществляется командой:
- Будут выполнено назначение необходимых меток целостности файловых объектов, в том числе существующим локальным домашним каталогам пользователей, подробнее см. Особенности использования домашних каталогов пользователей при работе в расширенном режиме МКЦ.
- Для параметра ядра parsec.strict_mode установлено значение 1.
Для активации расширенного режима МКЦ необходимо перезагрузить ОС.
При включении расширенного режима МКЦ на контроллере домена аналогичный режим на компьютерах-клиентах домена автоматически не включается, и вход пользователей выполняется по обычным правилам. При необходимости использовать расширенный режим МКЦ на компьютерах-клиентах этот режим должен быть включен на каждом из них.
Для проверки текущего состояния расширенного режима МКЦ (активен/неактивен) можно воспользоваться командой:
Для получения информации о состоянии расширенного режима МКЦ, которое будет после перезагрузки ОС, выполнить команду:
Особенности использования домашних каталогов пользователей при работе в расширенном режиме МКЦ
Далее для обозначения максимального разрешенного пользователю неиерархического уровня целостности используется сокращение МРУЦ.
- При работе Astra Linux Special Edition с установленным обновлением 1.7.3.UU2:
- При включении расширенного режима МКЦ локальным домашним каталогам всех пользователей, имеющим ненулевой МРУЦ, назначается этот УЦ.
- При каждой перезагрузке ОС локальным домашним каталогам всех пользователей, имеющим ненулевой МРУЦ, назначается этот УЦ.
- При работе Astra Linux Special Edition без установленного обновления 1.7.3.UU2:
- При включении расширенного режима МКЦ локальным домашним каталогам пользователей, входящих в группу astra-admin и имеющих ненулевой МРУЦ, назначается максимальный УЦ, доступный в ОС.
- При каждой перезагрузке ОС всем локальным домашним каталогам пользователей, имеющих ненулевой МРУЦ, назначается максимальный УЦ, доступный в ОС.
При понижении (обнулении) МРУЦ метки целостности на домашний каталог пользователя должны быть проставлены вручную.
Инструмент sumic
Инструмент sumic позволяет запускать процессы на УЦ ниже, чем УЦ процесса-родителя. При таком запуске:
- УЦ запущенного процесса будет не выше УЦ исполняемого файла, из которого он запущен;
- запущенный процесс не унаследует открытые ресурсы процесса-родителя ресурсов, имеющие УЦ, превышающий УЦ запущенного процесса;
- запуск графических утилиты выполняется в изолированном X-сервере.
Синтаксис инструмента:
- -i <уровень_целостности> — УЦ, на котором будет запущен процесс указанной команды. В случае отсутствия параметра процесс будет запущен с нулевым УЦ;
- -v, --version — Вывести информацию о версии и выйти;
- -h, --help — Вывести справку и выйти.