# Разграничение доступа к устройствам
Разграничение доступа в Astra Linux SE
Основное отличие Astra Linux Special Edition (ALSE) от других дистрибутивов заключается в том, что она изначально проектировалась как защищенная операционная система. Если в стандартном Linux безопасность часто строится «поверх» системы, то в Astra Linux механизмы защиты интегрированы на уровне ядра и системных библиотек.
![](11.jpg)
Центральным элементом этой защиты является ПСЗИ (Подсистема защиты информации) Parsec, которая реализует уникальную для отечественных систем модель разграничения доступа.

# Дискреционное управление доступом (DAC)
Это базовый уровень, на котором строится работа с правами в любом Linux. В Astra Linux он сохранен для обеспечения совместимости, но дополнен.

Классические права: Права чтения, записи и исполнения (rwx) для владельца, группы и остальных.

Списки контроля доступа (ACL): В Astra Linux активно используются POSIX ACL. Они позволяют назначить права не только одной группе, но и списку конкретных пользователей.

Пример: Мы можем дать права на чтение файла report.pdf пользователям ivanov и petrov, не объединяя их в одну системную группу.

# Мандатное управление доступом (MAC)
Это "сердце" Astra Linux. В отличие от дискреционного доступа, где владелец файла сам решает, кому дать права, мандатный доступ (Mandatory Access Control) диктуется политикой безопасности системы.

В ALSE реализована Мандатная сущностно-ролевая ДП-модель (модель управления потоками информации). Она опирается на два ключевых параметра:

А. Иерархические уровни (Мандатные уровни)
Каждому объекту (файлу, папке) и каждому субъекту (пользователю, процессу) присваивается числовой уровень конфиденциальности (от 0 до 255).

0: Неконфиденциально.

1: Служебная информация (ДСП).

2: Секретно.

3: Совершенно секретно.

Б. Неиерархические категории
Это логическое разделение данных на одном уровне секретности.

Пример: Бухгалтерия и Отдел кадров могут иметь одинаковый уровень "Секретно", но разные категории. Сотрудник бухгалтерии не увидит файлы отдела кадров, даже если их уровни секретности совпадают.

Принципы Bell-LaPadula (Белла — Лападулы)
Для предотвращения утечек в мандатной модели действуют два строгих правила:

No Read Up (Нет чтению вверх): Субъект с уровнем "Секретно" не может прочитать документ уровня "Сов. секретно".

No Write Down (Нет записи вниз): Субъект с уровнем "Секретно" не может записать данные в файл уровня "Несекретно". Это защищает от случайного или намеренного копирования секретных данных в открытый доступ.

# Ролевое управление доступом (RBAC)
В обычных системах есть «всемогущий» пользователь root. В Astra Linux концепция суперпользователя пересмотрена. Для минимизации рисков полномочия разделены между тремя ролями:

Администратор системы (uadmin): Настраивает ПО, драйверы, сеть. Он «технарь», но не имеет доступа к секретным документам.

Администратор безопасности (secadmin): Единственный, кто может назначать мандатные уровни пользователям, управлять парольными политиками и просматривать логи аудита.

Администратор аудита: Отвечает за контроль действий остальных администраторов (в максимальных профилях защиты).

# Изоляция и дополнительные механизмы
Помимо классических моделей доступа, Astra Linux применяет специфические технологии:

Мандатное управление целостностью (MIC): Защищает системные файлы от модификации процессами с низким уровнем доверия (например, браузером).

Изоляция процессов: Каждый процесс запускается в своем контексте. Даже если злоумышленник взломает веб-сервер, мандатные метки не позволят ему «выпрыгнуть» в файловую систему и прочитать данные пользователей.

Очистка оперативной памяти: При завершении работы программы или удалении файла система принудительно затирает те блоки памяти или диска, где находились данные. Это предотвращает атаку типа «чтение остаточной информации».

Резюме
Система разграничения доступа в Astra Linux — это многослойный пирог.

Сначала проверяется, есть ли у вас дискреционные права (вы владелец или в группе?).

Затем проверяется мандатный контекст (совпадают ли уровни секретности и категории?).

И, наконец, учитывается целостность (имеет ли процесс право изменять этот объект?).

Такой подход позволяет создавать информационные системы, способные обрабатывать данные любой степени секретности, вплоть до уровня "Особой важности".