Справочный центр

Дерево страниц

Вы просматриваете старую версию данной страницы. Смотрите текущую версию.

Сравнить с текущим просмотр истории страницы

« Предыдущий Версия 6 Следующий »

Данная статья применима к:

  • Astra Linux Special Edition РУСБ.10015-01 (очередное обновление 1.8) с установленным оперативным обновлением 1.8.2


Общая информация

Начиная с обновления Astra Linux Special Edition 1.8.2 в состав репозитория включен пакет kernel-profiles-manager, предоставляющий инструмент командной строки для управления параметрами ядра — kernel-profiles-manager. Инструмент предоставляет администратору системы, не обладающему специальными техническими знаниями:

  • возможность настроить конфигурацию ядра под потребности отдельно взятой системы на местах эксплуатации;
  • возможность обеспечивать соответствие ОС требованиям по аттестации рабочих мест используя только один вариант ядра - ядро общего назначения generic.

Термины



Параметр ядраАтрибут настройки ядра, значение которого определяет какой-либо аспект поведения ядра
ПрофильНабор шаблонов и параметров с указанием их значений. Предназначены для упрощения настройки. Предустановлены два профиля:
ШаблонНабор параметров ядра с указанием их значений, логически сгруппированный по тематикам. Шаблоны группируются в профили. Предназначены для упрощения настройки

Инструмент поддерживает работу с наборами параметров — шаблонами и наборами шаблонов — профилями.

Установка пакета

Пакет kernel-profiles-manager может быть установлен с помощью графического менеджера пакетов или из командной строки командой:

sudo apt install kernel-profiles-manager

Использование инструмента

Общий синтаксис использования инструмента:

kernel_profiles_manager [<действие>] <опция>...

Действия

ДействиеОписание действия
-l, --profiles-listВывести список названий всех профилей
-t, --templates-list <имя_профиля>Вывести список названий всех шаблонов, содержащихся в указанном профиле
-n, --profile-name <имя_профиля>Вывести список параметров ядра, содержащихся в указанном профиля
-c, --currentВывести название активного профиля
-m, --template <имя_шаблона>Вывести список параметров ядра, содержащихся в указанном шаблоне
-p, --change-profile <имя_профиля>Сменить активный профиль ядра на указанный
-d, --default-profileСменить активный профиль ядра на профиль, принятый по умолчанию (generic)
-v, --verify <имя_профиля>Проверить, совпадают ли параметры ядра активного профиля с указанным профилем

Профили и их влияние на работу ОС

Профиль Generic

Профиль Hardened

Разрешено использование инструментов отладки:

  • профилирование и трассировка perf;
  • трассировка c использованием инструментов BPF;
  • отладчик gdb;
  • инструмент crash.

Запрещено использование инструментов отладки:

  • адреса ядра полностью скрыты, что делает perf бесполезным для анализа ядра;
  • инструменты, зависящие от символов ядра (например, декодирование трассировок), не могут интерпретировать данные;
  • невозможно использование perf annotate для функций ядра;
  • загрузка символов ядра (vmlinux) заблокирована;
  • инструменты BPF trace и funccount не могут работать;
  • инструмент crash не может разрешать адреса/

Непривилегированные пользователи с привилегией PARSEC_PERF_OWNER и администратор с высоким уровнем целостности могут использовать:

  • точки трассировки ядра;
  • BPF программы;
  • perf

Работа непривилегированных пользователей ограничена:

  • не работают инструменты perf stat, perf record;
  • нельзя использовать kprobes;
  • не работают инструменты htop, systemtap;
  • контейнеры docker не могут собирать метрики производительности

Для непривилегированных пользователей разрешается hardening JIT компиляция BPF
BPF программы могут запускать непривилегированные пользователи с привилегией PARSEC_CAP_BPF_OWNER или администратор с высокой целостностью

  • включается рандомизация памяти (адреса машинного кода JIT-компилированных программ случайным образом изменяются для усложнения эксплуатации уязвимостей);
  • неиспользуемая память заполняется, чтобы избежать утечек информации;
  • при использовании старых версий bpftrace и bcc-tools, BPF программы, зависящие от фиксированных адресов, перестанут работать.

Влияние на производительность:

  • BPF программы работают медленнее;
  • приложений, использующие BPF, требуют больше процессорных ресурсов;
  • разрешается использование kexec-tools — прямое использование kexec в пространстве пользователя, позволяющее переключиться на лету на другое ядро (также можно указать ядро, в которое будет автоматически загружаться в случае сбоя (kernel panic) на текущем ядре);
  • разрешается использование kdump-tools

Запрещает загрузку нового ядра через kexec_load()

Блокирует инициализацию механизма kexec на уровне ядра

При kernel.kexec_load_disabled=1

  • Перестанет работать kdump, Makedumpfile, kexectools
  • Перестанут работать инструменты для восстановления системы (например, crash)
  • Перестанет работать live-патчинг ядра
Разрешена работа с контейнерами и песочницами (sandbox)
  • запрещается создание новых пространств имен (namespaces), что уменьшает поверхность атаки за счет невозможности создания изолированного пространства;
  • нарушается работа контейнерной виртуализации и песочниц (sandboxing-инструментов);
  • может нарушаться работа служб systemd с включенным DynamicUser;
  • для непривилегированных пользователей может нарушаться работа сетевых инструментов, использующих сетевые пространства имен (network namespaces)

Разрешен доступ к /proc/<pid>/mem — интерфейсу доступа к правам отображения памяти (memory mapping) процесса.
Используется именно этот вариант, а не более безопасный, так как могут перестать работать инструменты мониторинга

  • запрещается любое принудительное изменение параметров памяти
  • может быть нарушена работа docker$
  • может быть нарушена работа tuned
  • запрещается работа приложений, использующих vm.dirty_ratio для управления кешем
  • могут замедлиться операции ввода-вывода
  • в высоконагруженных средах виртуализации может в возникать нехватка оперативной памяти из-за невозможности настройки выделения виртуальных ресурсов (overcommit)
  • Нет меток