Указанные ограничения размещены на сайте https://astralinux.ru.

Требования и условия эксплуатационной документации

ОС в аттестованных ИС должна функционировать в соответствии с указаниями по эксплуатации, приведенными в эксплуатационной документации.  Для Astra Linux Special Edition РУСБ.10015-01 (очередное обновление 1.8) см.:

1. «Операционная система специального назначения «Astra Linux Special Edition». Руководство по КСЗ. Часть 1»  РУСБ.10015-01 97 01-1 п. 18.1:

   "Руководство по КСЗ. Часть 1"  РУСБ.10015-01 97 01-1 п. 18.1 Нажмите чтобы раскрыть...

   18.1. Обеспечение безопасности среды функционирования
   В целях обеспечения безопасности среды функционирования ОС на объектах информатизации должны быть выполнены следующие требования:

   1) СВТ, предназначенное для установки и функционирования ОС, должно соответствовать требованиям, указанным в документе РУСБ.10015-01 31 01;

   2) для создания защищенной среды виртуализации изделие должно применяться совместно с аппаратным обеспечением, поддерживающим соответствующие технологии VT/SVM, в том числе при необходимости предоставления доступа виртуальным машинам к физическим устройствам;

   3) установка, управление и конфигурирование ОС должны проводиться в соответствии с эксплуатационной документацией;

   4) должна быть обеспечена защита от осуществления действий, направленных на нарушение физической целостности СВТ, на котором функционирует ОС;

   5) должна быть обеспечена доверенная загрузка ОС. Доверенную загрузку ОС рекомендуется выполнять с помощью сертифицированных средств доверенной загрузки или аппаратно-программных модулей доверенной загрузки. При технической невозможности или  нецелесообразности использования таких средств должны быть приняты организационно-технические меры, предотвращающие возможность доступа пользователя к ресурсам СВТ в обход механизмов защиты ОС (должна быть исключена возможность загрузки альтернативной операционной системы на СВТ, а также модификация модулей загружаемой ОС);

   6) при использовании сетевого взаимодействия необходимо обеспечить доверенный канал передачи информации между СВТ, на которых установлена ОС (например, контроль несанкционированного подключения к ЛВС в пределах контролируемой зоны, защищенная передача  сетевого трафика за пределами контролируемой зоны);

   7) должны быть определены лица, отвечающие за эксплуатацию и безопасность ОС, которым будут предоставлены административные полномочия в ОС. Данные лица не должны считаться нарушителями в модели угроз безопасности информации;

   8) лица, ответственные за эксплуатацию ОС, должны обеспечить, чтобы аутентификационная информация для каждой учетной записи пользователя ОС содержалась в тайне и была недоступна лицам, не уполномоченным использовать данную учетную запись.

2. «Операционная система специального назначения «Astra Linux Special Edition». Руководство по КСЗ. Часть 1»  РУСБ.10015-01 97 01-1 п. 18.2:

   "Руководство по КСЗ. Часть 1"  РУСБ.10015-01 97 01-1 п. 18.2 Нажмите чтобы раскрыть...

   18.2. Указания по эксплуатации ОС

   18.2.1. Перед началом эксплуатации ОС администратор безопасности должен обеспечить следующие условия:

   1) если разрешен интерактивный вход суперпользователя root, то для предотвращения подбора пароля должна быть заблокирована возможность удаленного входа суперпользователя root в ОС. Для этого необходимо включить PAM-модуль pam_securetty в файл сценария /etc/pam.d/common-auth, добавив в начале секции Primary block строку:
   auth required pam_securetty.so

   2) должна быть настроена политика паролей. Выполнить настройку возможно либо с помощью графической утилиты astra-systemsettings («Параметры системы», см. электронную справку), запущенной от имени администратора через механизм sudo, либо путем  редактирования файлов сценариев:

   а) в файле /etc/pam.d/common-password в строке password requisite pam cracklib.so установить значение minlen=<минимальная_длина_пароля> и добавить параметры dcredit=-1, ucredit=-1 и lcredit=-1 (данные параметры устанавливают требования к сложности пароля);

   б) в файле /etc/login.defs для переменной PASS_MAX_DAYS установить требуемое значение максимального срока действия пароля в днях;

   в) в файле /etc/pam.d/common-password возможно при необходимости установить запрет повторного использования заданного числа последних паролей, для этого в строке ...pam_unix.so добавить параметр remember=<число_паролей>;

   3) должны быть заданы настройки блокировки при неуспешных попытках входа пользователя. Задать настройки возможно либо с помощью графической утилиты astra-systemsettings («Параметры системы», см. электронную справку), запущенной от имени администратора  через механизм sudo, либо путем корректировки файла /etc/pam.d/common-auth (параметры deny, lock_time и unlock_time);

   4) установку ОС следует производить на системный раздел с файловой системой ext4/XFS. При использовании других файловых систем необходимо учитывать, что функции разграничения доступа, мандатного контроля целостности и гарантированного уничтожения  (стирания) информации в полном объеме реализованы только для файловых систем ext2/ext3/ext4/XFS, поддерживающих расширенные (в т.ч. мандатные) атрибуты файловых объектов;

   5) при необходимости установки в систему внешних модулей уровня ядра ОС, такие модули должны быть получены из доверенного источника, и перед их установкой с ОС должна осуществляться проверка их целостности;

   6) использование файловой системы NFS для доступа к сетевым дискам возможно при выполнении следующих условий:

   а) сетевые диски не предназначены для хранения файловых объектов, требующих обеспечения мандатного управления доступом к ним;

   б) версия используемого протокола NFS не ниже 3;

   7) должно быть задано значение времени неактивности для блокировки экрана, для этого отредактировать (или создать, если отсутствует) файл usr/share/fly-wm/theme.master/themerc, указав в нем строки:
   [Variables]
   ScreenSaverDelay=<время_неактивности_в_секундах>
   LockerOnSleep=true
   LockerOnDPMS=true
   LockerOnLid=true
   LockerOnSwitch=true

   18.2.2. При использовании механизма гарантированного удаления данных дополнительно при использовании разделов подкачки в ОС необходимо активировать в файле /etc/parsec/swap_wiper.conf их очистку согласно 9.1.

   18.2.3. При использовании мандатного контроля целостности дополнительно при использовании инструмента qemu-ga (из состава пакета qemu-guest-agent) значения параметров -p (в том числе при использовании параметра -m unix-listen) и -t должны указывать на сокеты и файлы, метки целостности которых совпадают с меткой целостности запускаемого процесса.

   18.2.4. При использовании мандатного управления доступом должны дополнительно быть выполнены следующие условия:

   1) с использованием средств управления запуском служб должна быть отключена служба gpm для поддержки мыши в консольном режиме;

   2) в случае необходимости использования мандатного управления доступом на сетевых дисках, их монтирование в файловую систему ОС должно осуществляться только с использованием файловой системы CIFS, поддерживающей расширенные (в т.ч. мандатные) атрибуты пользователей;

   3) в конфигурационном файле защищенного сервера печати из состава изделия /etc/cups/cupsd.conf не допускается установка значения None параметра DefaultAuthType (отключение аутентификации) и внесение изменений в параметры политики подсистемы безопасности PARSEC, не соответствующих эксплуатационной документации;

   4) при использовании защищенного сервера СУБД из состава ОС в режиме мандатного управления доступом необходимо в конфигурационном файле кластера postgresql.conf для параметра enable_bitmapscan установить значение off и для параметра ac_ignore_socket_maclabel установить значение false;

   5) при использовании защищенного сервера СУБД из состава ОС в режиме мандатного управления доступом не допускается отключать аутентификацию субъектов доступа установкой в конфигурационном файле кластера pg_hba.conf режима trust (без аутентификации);

   6) при использовании защищенного комплекса программ электронной почты из состава ОС в режиме мандатного управления доступом конфигурационные параметры агента передачи электронной почты Exim и агента доставки электронной почты Dovecot не должны допускать отправку и прием сообщений электронной почты без аутентификации;

   7) для штатной работы ОС не допускается отключение администратором системы расширения XPARSEC у Х-сервера (использование отладочной опции XPARSEC=Disable в конфигурационных файлах Х-сервера, см. документ РУСБ.10015-01 31 01).

   18.2.5. В целях обеспечения удаленного доступа пользователей с использованием сетей связи общего пользования к средствам виртуализации из состава ОС должны применяться средства криптографической защиты информации, прошедшие процедуру оценки соответствия согласно законодательству Российской Федерации.

   18.2.6. Запрещается использование образа контейнера при выявлении в нем уязвимостей.

3. «Операционная система специального назначения «Astra Linux Special Edition». Руководство по КСЗ. Часть 1»  РУСБ.10015-01 97 01-1 п. 18.3:

   "Руководство по КСЗ. Часть 1"  РУСБ.10015-01 97 01-1 п. 18.3 Нажмите чтобы раскрыть...

   18.3. Условия применения ПО

   18.3.1. ПО, функционирующее в среде ОС, не должно изменять алгоритм принятия решения о предоставлении доступа субъектов (пользователей) к объектам ОС и содержать скрытых или явных возможностей, позволяющих:

   1) подменять файлы образа ядра vmlinuz-* и образов временной файловой системы начальной загрузки /boot/initrd.img-* (в случае отсутствия явной необходимости обновления отдельных компонентов, входящих в состав образа), находящиеся в каталоге /boot, файлы модулей ядра, находящиеся в каталоге /lib/modules, и прочие файлы, входящие в состав изделия или стороннего ПО;

   2) статически или динамически изменять таблицу системных вызовов и поля структуры типа security_operations и иных структур типа *security*;

   3) переопределять основной процесс ОС в конфигурационном файле загрузчика изделия путем установки параметра init=<полный_путь_к_исполняемому_файлу>;

   4) изменять параметры аутентификации в конфигурационных файлах PAM-сценариев, находящихся в каталоге /etc/pam.d, результатом чего может являться снижение установленного уровня доверия к результатам идентификации и аутентификации (по ГОСТ Р 58833-2020);

   5) устанавливать подгружаемые модули аутентификации (PAM-модули), определяющие мандатные атрибуты сессии пользователя с использованием функций API библиотеки libparsec-mac подсистемы безопасности PARSEC, имена которых начинаются с префиксов mac_set_, parsec_ или pdp_;

   6) устанавливать PAM-модули, определяющие привилегии PARSEC сессии пользователя с использованием функций API библиотеки libparsec-cap подсистемы безопасности PARSEC, имена которых начинаются с префиксов mcap или parsec_;

   7) устанавливать интерпретаторы команд, заменяющие интерпретаторы, входящие в состав изделия (bash, dash, PHP, Perl, Python, TCL, Ruby);

   8) получать доступ к памяти других процессов ПО с использованием привилегии CAP_SYS_PTRACE и системного вызова ptrace;

   9) изменять системное время (если наличие возможностей по изменению времени не предусмотрено функциональным назначением ПО);

   10) динамически изменять сегмент кода ядра ОС и использовать неэкспортируемые символы ядра ОС;

   11) осуществлять доступ к файлу ctl файловой системы parsecfs посредством системного вызова ioctl, минуя системные функции API-библиотек libparsec-*.

   18.3.2. Для ПО, функционирующего в среде ОС, должны соблюдаться следующие условия:

   1) необходимость и корректность использования в ПО привилегий администратора, прикладного программного интерфейса подсистемы безопасности PARSEC, мандатных привилегий, а также функционирования ПО в пространстве ядра или только с высокой меткой целостности должны быть обоснованы в документации на данное ПО;

   2) для ПО, использующего модуль wsgi_mod для Apache из состава изделия, в документации разработчика ПО должен быть определен перечень сценариев работы модуля wsgi_mod. При этом должны быть исключены сценарии работы wsgi_mod в режимах, предусматривающих работу вне контекста пользователя и изменяющих процесс аутентификации.

   18.3.3. При использовании защищенного сервера печати из состава изделия установка и использование альтернативных серверов печати должны быть исключены.

   18.3.4. При использовании механизма мандатного управления доступом дополнительно должны соблюдаться следующие условия:

   1) ПО при обработке запросов пользователей не должно взаимодействовать с защищенной СУБД из состава изделия от имени пользователя с привилегиями PARSEC_CAP_SETMAC и PARSEC_CAP_CHMAC, позволяющими изменять мандатные атрибуты защищаемых объектов в СУБД;

   2) ПО, содержащее сетевые службы (программы, обрабатывающие запросы пользователей с применением протоколов стека TCP/IP), которые используют привилегии (PARSEC_CAP_SETMAC, PARSEC_CAP_CHMAC и PARSEC_CAP_PRIV_SOCK) и прикладной программный интерфейс подсистемы безопасности PARSEC из состава изделия, должно пройти сертификационные исследования, подтверждающие корректность реализации указанных служб;

   3) программный компонент RabbitMQ не применять при одновременной обработке данных с различными уровнями конфиденциальности либо для обеспечения взаимодействия процессов с различными уровнями доступа;

   4) ПО, обрабатывающее одновременно данные с различными уровнями конфиденциальности, не должно использовать программные пакеты Erlang.

   18.3.5. Не допускается изменять (подменять) ПО ОС, реализующее функции безопасности информации, приведенные в настоящем документе. При проверке подлинности и целостности ПО, реализующего сертифицированные функции безопасности информации изделия, путем подсчета контрольных сумм с применением средств контроля целостности (fly-admin-int-check, astra-int-check, см. 10.3) необходимо применять шаблон проверки со списком файлов, реализующих функции безопасности.

   18.3.6. В случае применения среды выполнения не из состава ОС (например, Java Runtime Environment) для запуска СПО, написанного на интерпретируемом или компилируемом в промежуточное представление языке программирования и предназначенного для обработки информации ограниченного доступа, необходимо обеспечить функционирование данного СПО в рамках (в контексте) одного изолированного компонента (процесса) среды выполнения. В противном случае, в целях исключения угроз безопасности информации и изоляции процессов рекомендуется запускать такое СПО в изолированной программной среде (контейнере) от имени непривилегированного пользователя и/или применять сторонние среды исполнения, имеющие действующий сертификат соответствия требованиям безопасности в данном классе систем.

4. «Операционная система специального назначения «Astra Linux Special Edition». Руководство по КСЗ. Часть 1»  РУСБ.10015-01 97 01-1 п. 18.4:
   
   Руководство по КСЗ. Часть 1»  РУСБ.10015-01 97 01-1 п. 18.4 Нажмите чтобы раскрыть...

   18.4. Условия исключения скрытых каналов

   Вопросы исключения скрытых каналов должны рассматриваться при построении информационных систем, обрабатывающих информацию, содержащую государственную тайну, и могут рассматриваться при построении информационных систем, обрабатывающих информацию ограниченного доступа, не содержащую государственную тайну (конфиденциальную информацию).

   Для исключения скрытых каналов (информационных потоков) при защите от угрозы целостности информации используется мандатный контроль целостности (см. 4.9), который в условиях установленных в компьютерной системе меток целостности (уровней доверия)
   обеспечивает невозможность записи отправителем с низким уровнем доверия информации в объекты с более высоким уровнем доверия.

   Для исключения возможности использования отправителем и получателем общего буфера обмена в ОС обеспечивается изоляция процессов (см. раздел 7) в совокупности с очисткой областей оперативной памяти при освобождении или выделении (см. 9.1), а также обеспечение запуска процессов в замкнутой относительно остальных процессов среде по памяти, в частности, использование Киоск-2 (см. 16.2) и Xephyr в графической подсистеме, обеспечивающих изоляцию буфера обмена.

   Для исключения возможности запуска программ, не участвующих в процессе обработки информации, должен быть активирован механизм замкнутой программной среды и настроен для работы в штатном режиме.

   Таким образом, условиями исключения скрытых каналов является реализуемая ОС политика дискреционного управления доступом (см. раздел 3), мандатного управления доступом и мандатного контроля целостности (см. раздел 4), которая является неотъемлемой частью модели политики безопасности ОС. С учетом указанных условий эксплуатации скрытые каналы по памяти не могут быть реализованы, а по времени крайне затруднены, т.е. имеют низкие пропускную способность и вероятность возникновения условий для реализации.

1. "Описание применения" РУСБ.10015-01 31 01:  см. Astra Linux Special Edition РУСБ.10015-01 (очередное обновление 1.8). Эксплуатационная и дополнительная документация.