ASTRA LINUX SPECIAL EDITION -Cистема специального назначения

Операционная система специального назначения

Операционная система Astra Linux на платформе Linux, обеспечивает безопасность информации, содержащей сведения, составляющие государственную тайну с грифом не выше «совершенно секретно».

Разработаны и добавлены в состав операционной системы специализированные программные компоненты, которые расширяют её функциональность и повышают уровень защищенности, и удобства её использования.

Мандатное разграничение доступа

В операционной системе используется принцип мандатного разграничения доступа. В этом случае, принятие решения о запрете или разрешении доступа субъекта к объекту принимается на основе типа операции (чтение / запись / исполнение), мандатного контекста безопасности, связанного с каждым субъектом, и мандатной метки, связанной с объектом.

Изоляция модулей
Ядро операционной системы создаёт для каждого процесса в системе собственное изолированное адресное пространство.

Гарантированное удаление файлов, чистка оперативной и внешней памяти

Операционная система проводит очистку неиспользуемых блоков файловой системы непосредственно при их освобождении.

Работа этой подсистемы снижает скорость выполнения операций удаления и усечения размера файла. Однако возможна различная настройка данной подсистемы для обеспечения работы файловых систем с различными показателями производительности.

Маркировка документов

Разработанный компанией разработчиком ASTRA Linux механизм маркировки позволяет серверу печати (CUPS) проставлять необходимые учетные данные в выводимых на печать документах. Мандатные атрибуты автоматически устанавливают связь с заданием для печати на основе мандатного контекста получаемого сетевого соединения.

Регистрация событий

Реализована и внедрена оригинальная подсистема протоколирования. Данная подсистема интегрирована во все компоненты операционной системы специального назначения. Производится надёжная регистрация событий с использованием специального сервиса.

Защита информации в графической подсистеме

В графическую подсистему Astra Linux добавлен Х-сервер Xorg, рабочий стол пользователя Fly и ряд других программных средств. Эти средства могут использовать как обычные пользователи, так и администраторы системы. Была проведена работа по созданию и внедрению в графическую подсистему необходимых механизмов защиты информации. Они обеспечивают выполнение мандатного разграничения доступа в графических приложениях.

Разработанный пользовательский рабочий стол Fly тесным образом интегрирован с механизмами защиты информации. В нём внедрены следующие возможности:

графическое отображение мандатной метки каждого окна;
возможность запускать приложения с разными мандатными метками.

Ограничение действий пользователя в Режиме «КИОСК».

Уровень вводимых ограничений задаётся маской киоска, которая накладывается на права доступа к файлу при любой попытке пользователя получить доступ.

Для установки прав доступа существует система профилей — файлы с готовыми наборами прав доступа для запуска каких-либо программ. Также есть средства создания таких профилей под любые пользовательские задачи.

Защита адресного
пространства процессов

В операционной системе специального назначения для исполняемых файлов используется формат, позволяющий установить режим доступа к сегментам в адресном пространстве процесса.

Централизованная система сборки программного обеспечения гарантирует установку минимального режима, необходимого для функционирования программного обеспечения. Также существует возможность использования технологии NOT EXECUTE BIT, поддерживаемой современными процессорами.

Контроль замкнутости программной среды

Разработан и внедрён механизм который обеспечивает проверку неизменности и подлинности загружаемых исполняемых файлов в формате ELF cialis online. Проверка загружаемых файлов производится на основе проверки векторов аутентичности и рассчитаны на основание стандарта ГОСТ Р 34.10-2001 и внедряемы в исполняемые файлы в процессе сборки.

Есть возможность предоставления сторонним разработчикам программного средства для внедрения векторов аутентичности в разрабатываемое ими программное обеспечение.

Контроль целостности структуры

Для решения задач контроля целостности применяется функция хэширования в соответствии с ГОСТ Р 34.11-94. Базовой утилитой контроля целостности служит программное средство на основе открытого проекта «Another File Integrity Checker».

Защищенный комплекс программ гипертекстовой обработки данных

В состав защищенного комплекса программ гипертекстовой обработки данных входят браузер Mozilla Firefox и web-сервер Apache. Веб сервер интегрирован со встроенными средствами защиты информации. Что обеспечивает мандатное разграничение доступа при организации удаленного доступа к информационным ресурсам.

Защищенная реляционная СУБД

В состав OS включена объектно-реляционная СУБД PostgreSQL. В системе реализованы дискреционный и мандатный механизмы контроля доступа к защищаемым ресурсам БД.

В основе мандатного механизма разграничения доступа лежит управление доступом к защищаемым ресурсам БД. Реализована основе иерархических и неиерархических меток доступа. Это позволяет реализовать многоуровневую защиту с обеспечением разграничения доступа пользователей к защищаемым ресурсам БД и управление потоками передаваемой информации.

Средства организации домена

Для организации доменной структуры разработана специальная подсистема Astra Linux Directory (ALD) на базе открытых стандартов LDAP. Эта подсистема предоставляет средства для создания домена и единого пространства пользователей, которые обеспечивают:

сквозную аутентификацию в сети;
централизацию хранения информации об окружении пользователей;
централизацию хранения настроек системы защиты информации на сервере;
централизацию управления серверами DNS и DHCP;
интеграцию в домен защищенных серверов СУБД, серверов печати, электронной почты, web-сервисов и др.;
централизованный аудит событий безопасности в рамках домена.

Защищенный комплекс программ электронной почты

В состав программного комплекса входит сервер электронной почты. Сервер состоит из агента передачи электронной почты Exim и агента доставки электронной почты Dovecot, а также клиент электронной почты Mozilla Thunderbird. Всё это обеспечивает следующие функциональные возможности:

интеграции с ядром операционной системы и с базовыми библиотеками для обеспечения мандатного разграничения доступа к почтовым сообщениям, хранящимся с использованием формата Maildir;
автоматической маркировки создаваемых пользователем почтовых сообщений с использованием его текущего мандатного контекста.

Агент передачи электронной почты использует протокол SMTP что решает следующие задачи:

доставку исходящей почты от авторизованных клиентов до сервера, который является целевым для обработки почтового домена получателя;
прием и обработку почтовых сообщений доменов, для которых он является целевым;
передачу входящих почтовых сообщений для обработки агентом доставки электронной почты.