|
|
@@ -0,0 +1,71 @@
|
|
|
+# Разграничение доступа к устройствам
|
|
|
+Разграничение доступа в Astra Linux SE
|
|
|
+Основное отличие Astra Linux Special Edition (ALSE) от других дистрибутивов заключается в том, что она изначально проектировалась как защищенная операционная система. Если в стандартном Linux безопасность часто строится «поверх» системы, то в Astra Linux механизмы защиты интегрированы на уровне ядра и системных библиотек.
|
|
|
+
|
|
|
+Центральным элементом этой защиты является ПСЗИ (Подсистема защиты информации) Parsec, которая реализует уникальную для отечественных систем модель разграничения доступа.
|
|
|
+
|
|
|
+# Дискреционное управление доступом (DAC)
|
|
|
+Это базовый уровень, на котором строится работа с правами в любом Linux. В Astra Linux он сохранен для обеспечения совместимости, но дополнен.
|
|
|
+
|
|
|
+Классические права: Права чтения, записи и исполнения (rwx) для владельца, группы и остальных.
|
|
|
+
|
|
|
+Списки контроля доступа (ACL): В Astra Linux активно используются POSIX ACL. Они позволяют назначить права не только одной группе, но и списку конкретных пользователей.
|
|
|
+
|
|
|
+Пример: Мы можем дать права на чтение файла report.pdf пользователям ivanov и petrov, не объединяя их в одну системную группу.
|
|
|
+
|
|
|
+# Мандатное управление доступом (MAC)
|
|
|
+Это "сердце" Astra Linux. В отличие от дискреционного доступа, где владелец файла сам решает, кому дать права, мандатный доступ (Mandatory Access Control) диктуется политикой безопасности системы.
|
|
|
+
|
|
|
+В ALSE реализована Мандатная сущностно-ролевая ДП-модель (модель управления потоками информации). Она опирается на два ключевых параметра:
|
|
|
+
|
|
|
+А. Иерархические уровни (Мандатные уровни)
|
|
|
+Каждому объекту (файлу, папке) и каждому субъекту (пользователю, процессу) присваивается числовой уровень конфиденциальности (от 0 до 255).
|
|
|
+
|
|
|
+0: Неконфиденциально.
|
|
|
+
|
|
|
+1: Служебная информация (ДСП).
|
|
|
+
|
|
|
+2: Секретно.
|
|
|
+
|
|
|
+3: Совершенно секретно.
|
|
|
+
|
|
|
+Б. Неиерархические категории
|
|
|
+Это логическое разделение данных на одном уровне секретности.
|
|
|
+
|
|
|
+Пример: Бухгалтерия и Отдел кадров могут иметь одинаковый уровень "Секретно", но разные категории. Сотрудник бухгалтерии не увидит файлы отдела кадров, даже если их уровни секретности совпадают.
|
|
|
+
|
|
|
+Принципы Bell-LaPadula (Белла — Лападулы)
|
|
|
+Для предотвращения утечек в мандатной модели действуют два строгих правила:
|
|
|
+
|
|
|
+No Read Up (Нет чтению вверх): Субъект с уровнем "Секретно" не может прочитать документ уровня "Сов. секретно".
|
|
|
+
|
|
|
+No Write Down (Нет записи вниз): Субъект с уровнем "Секретно" не может записать данные в файл уровня "Несекретно". Это защищает от случайного или намеренного копирования секретных данных в открытый доступ.
|
|
|
+
|
|
|
+# Ролевое управление доступом (RBAC)
|
|
|
+В обычных системах есть «всемогущий» пользователь root. В Astra Linux концепция суперпользователя пересмотрена. Для минимизации рисков полномочия разделены между тремя ролями:
|
|
|
+
|
|
|
+Администратор системы (uadmin): Настраивает ПО, драйверы, сеть. Он «технарь», но не имеет доступа к секретным документам.
|
|
|
+
|
|
|
+Администратор безопасности (secadmin): Единственный, кто может назначать мандатные уровни пользователям, управлять парольными политиками и просматривать логи аудита.
|
|
|
+
|
|
|
+Администратор аудита: Отвечает за контроль действий остальных администраторов (в максимальных профилях защиты).
|
|
|
+
|
|
|
+# Изоляция и дополнительные механизмы
|
|
|
+Помимо классических моделей доступа, Astra Linux применяет специфические технологии:
|
|
|
+
|
|
|
+Мандатное управление целостностью (MIC): Защищает системные файлы от модификации процессами с низким уровнем доверия (например, браузером).
|
|
|
+
|
|
|
+Изоляция процессов: Каждый процесс запускается в своем контексте. Даже если злоумышленник взломает веб-сервер, мандатные метки не позволят ему «выпрыгнуть» в файловую систему и прочитать данные пользователей.
|
|
|
+
|
|
|
+Очистка оперативной памяти: При завершении работы программы или удалении файла система принудительно затирает те блоки памяти или диска, где находились данные. Это предотвращает атаку типа «чтение остаточной информации».
|
|
|
+
|
|
|
+Резюме
|
|
|
+Система разграничения доступа в Astra Linux — это многослойный пирог.
|
|
|
+
|
|
|
+Сначала проверяется, есть ли у вас дискреционные права (вы владелец или в группе?).
|
|
|
+
|
|
|
+Затем проверяется мандатный контекст (совпадают ли уровни секретности и категории?).
|
|
|
+
|
|
|
+И, наконец, учитывается целостность (имеет ли процесс право изменять этот объект?).
|
|
|
+
|
|
|
+Такой подход позволяет создавать информационные системы, способные обрабатывать данные любой степени секретности, вплоть до уровня "Особой важности".
|
