Cистемный программный продукт для использования в информационных системах с повышенными требованиями к безопасности обрабатываемых данных. Этот продукт постоянно развивается и с периодичностью раз в несколько лет выходит его очередная версия. Формальным основанием для использования ЯНУКС при обеспечении безопасности информации является его сертификация во ФСТЭК России.
подробнее
Янукс 4.0
Cистемный программный продукт для использования в информационных системах с повышенными требованиями к безопасности обрабатываемых данных. Этот продукт постоянно развивается и с периодичностью раз в несколько лет выходит его очередная версия. Формальным основанием для использования ЯНУКС при обеспечении безопасности информации является его сертификация во ФСТЭК России.
ЯНУКС представляет собой свободный универсальный дистрибутив Linux для процессоров x86/x86-64. Как обычно, понятие дистрибутив включает в себя операционную систему с ядром GNU/Linux, графическую среду, набор сервисов, программ и утилит. Другими словами, для использования ЯНУКС другое системное программное обеспечение не требуется. С другой стороны, при необходимости всегда можно установиться дополнительные программы от сторонних разработчиков.
Если первые версии ЯНУКС собирались "с нуля", то сейчас они строятся подобно тому, как это делают CentOS или Scientific Linux.
ЯНУКС 4.0 сертифицирован ФСТЭК России ( №2973 от 25 сентября 2013 года ) по безопасности информации на классы СВТ 5 и НДВ 4.
ЯНУКС 4.0 может найти применение в качестве серверной операционной системы или простой настольной системы, где не требуются особые "украшательства" или иные эффекты. ЯНУКС может быть использован в качестве:
-
Универсального сервера, обеспечивающего различные сервисы, включая файловый сервер (NFS, fusefs), сервер печати, СУБД и т.д.
-
Клиента для доступа к локальным или удаленным данным
-
Хоста для размещения виртуальных машин. В каждой виртуальной машине может выполняться своя операционная система
-
Платформы для запуска сторонних доверенных приложений
-
Платформы для разработки приложений
-
"Песочницы" для дополнительного изолирования приложений, например, от памяти, буфера обмена сообщениями, локальной файловой системы или сети
-
Интернет-киоска для входа в систему без пароля и с полным изолированием этой сессии от всей остальной системы.
ЯНУКС может устанавливаться:
-
На физический компьютер в качестве единственной операционной системы
-
На физический компьютер в качестве хостовой операционной системы, поверх которой могут размещаться одна или более виртуальных машин. В каждой виртуальной машине может устанавливаться своя гостевая операционная система, включая ЯНУКС 4.0 или Microsoft Windows
-
В виртуальную машину в качестве гостевой операционной системы.
Состав ЯНУКС
ЯНУКС поставляется на нескольких DVD с исходными текстами программ и представлен в виде набора RPM или SRPM-пакетов. Имеется системный загрузчик для инициализации компьютера с DVD, программа-инсталлятор, программа для установки или удаления программ (rpm-пакетов), средства управления системой и обеспечения безопасности информации. Как уже отмечалось, имеются серверная и настольная операционные системы, набор системных сервисов, прикладных программ и утилит.
На настольную систему можно установить:
-
Графическую среду
-
Полноценный офисный пакет LibreOffice, включающий текстовый редактор, электронную таблицу, средство для презентаций, настольную СУБД, векторный редактор. Обеспечивается двусторонняя совместимость с MS Office
-
Web-браузер Mozilla Firefox, обеспечивающий высокую производительность и безопасность, большое число расширений (plugins)
-
Почтовые клиенты - Evolution, Mozilla Thunderbird, (почтовый клиент, адресная книга, календарь) с поддержкой стандартов POP, IMAP. Почтовый клиент Evolution имеет интерфейс, весьма схожий с MS Outlook и работает не только с открытыми почтовыми серверами, но и с MS Exchange
-
Редакторы растровой и векторной графики
-
Средства для поддержки принтеров, цифровых камер и сканеров. USB-устройства определяются автоматически, а принтеры и сканеры достаточно легко настраиваются
-
Средства IP-телефонии, видеоконференций
-
Средства для работы с фотографиями и другими изображениями
-
Мультимедиа
-
Службу мгновенного обмена сообщениями.
Серверная часть ЯНУКС включает:
-
Сетевые сервисы DNS, DHCP
-
Сетевая файловая система NFS
-
СУБД PostgreSQL, MySQL, SQLite
-
Самый распространенный в мире Web-сервер Apache
-
Kонтейнер для Java-сервлетов и JSP tomcat6, используемый для динамической обработки на Web-серверах
-
Сервер печать cups
-
Почтовые сервера (MTA) postfix, sendmail
-
Программы резервного копирования данных в локальной сети bacula, amanda
-
Виртуальная частная сеть (VPN) openswan на основе сетевого протокола IPSec.
ЯНУКС может быть использован для программирования с использованием следующих языков и утилит: CC, C++ , скрипты оболочки, Lisp, ассемблер, Perl, Fortran, Python, tcl, Java, yacc/bison, expect, lex/flex, awk, Objective-C, Ada, Pascal, sed, Ruby, SQL.
Безопасность информации
Механизмы безопасности ЯНУКС 4.0 перечислены ниже:
-
Аудит. Реализуется через подсистему LAF (Lightweight Audit Framework). Позволяет перехватывать все системные вызовы и генерировать записи от пользовательских или привилегированных приложений (в пространстве ядра). Имеется возможность настройки событий, подлежащих аудиту, а также анализа журналов аудита администраторами. Основные компоненты: демон auditd, управляющая программа auditctl, конфигурационный файл audit.conf, начальный установочный файл /etc/audit.rules
-
Целостность коммуникаций. Обеспечивается с помощью инфраструктурных протоколов SSL/TLS, SSH v.2.0, IPSec. Реализуется с помощью openssl, stunnel, openssh (ssh, scp, sshd), openswan
-
Пакетная фильтрация. Осуществляется на канальном уровне средствами ebtables (кадры Ethernet) и на сетевом уровне посредством netfilter/iptables (протоколы IP, TCP, UDP, ICMP)
-
Идентификация и аутентификация. Осуществляется интерактивно через идентификатор/пароль с локальной консоли или удаленно через протокол SSH. Некоторые идентификаторы пользователя могут контролируемым образом изменяться с помощью команд su, sudo. При этом активно используются встраиваемые модули аутентификации PAM (качество пароля, ограничения на учетные записи пользователей, блокировка учетных записей, ограничения на учетную запись root и команды su/sudo). Помимо интерактивной аутентификации может использоваться аутентификация на основе ключей (через openssh)
-
Дискреционное разграничение доступа. Регулирует тип доступа субъектов (процессы от имени пользователей) к объектам (объекты файловой системы, межпроцессное взаимодействие IPC). Имеет две формы: классические для UNIX биты разрешений и списки управления доступом ACL (только для файловых систем ext4 и tmpfs). Биты разрешений определяют операции читать/писать/выполнять для собственника/группы/остальных. Доступ к файлам пакетных заданий at, cron дан лишь владельцам или администратору root
-
Контекстное разграничение доступа. Нацелено, главным образом, на обеспечение целостности системы. Реализовано на основе сопоставления типов - Type Enforcement, SELINUX=enforcing - включен, SELINUXTYPE=targeted - политика выборочная. Субъектам и объектам присваиваются типы (контекст) в формате: <пользователь SELinux>:<роль>:<тип>. Тип доступа прописывается с высокой степенью детальности в действующей политике SELinux. Тип доступа зависит не только от пользователя, но и от программы (контекста). Определение состояния SELinux и действующей политики производится с помощью команды sestatus, контекст файла - ls -z, контекст пользователя id -z. Данный вид разграничения доступа является обязательным, в том смысле, что пользователи практически не могут влиять на него Администратор может лишь отключить его (SELINUX=disabled в файле /etc/selinux/config). SELinux может быть использован как дополнительная защита от вирусов, в учетной записи kiosk и при реализации "песочницы" для подозрительных приложений
-
Виртуализация. Монитор виртуальных машин VMM или гипервизор реализуется через программные компоненты Qemu (эмуляция оборудования) и KVM (модуль ядра для управления памятью и виртуальными машинами). VMM производит разделение между виртуальными машинами, их ресурсами, а также отделяет от собственно хоста
-
Управление безопасностью. Авторизованные пользователи и администраторы могут использовать встроенные средства для дополнительной настройки функций безопасности относительно состояния по умолчанию. Настройки функций безопасности хранятся в конфигурационных файлах или структурах памяти, управляемых ядром ОС. Защита конфигурационных файлов для функций безопасности осуществляется с помощью дискреционного разграничения доступа, где только root может писать в эти файлы. Отдельные файлы, например /etc/shadow с хэшами паролей, доступны только по чтению даже для root. Для доступа к структурам данных в памяти ядра используются соответствующие интерфейсы - системные вызовы, виртуальные файловые системы, сокеты netlink или файлы устройств. Эти интерфейсы доступны лишь для авторизованных пользователей и администраторов. С помощью команды sudo администратор, модифицируя файл /etc/sudoers, может разрешить выполнять некоторые функции по управлению отдельным пользователям
-
Защита от переполнения буфера. Позволяет в ряде случаев защититься от некоторых уязвимостей или вредоносных программ
-
Очистка памяти (повторное использование объектов). Файловые объекты, объекты памяти и объекты IPC очищаются прежде, чем они могут быть повторно использованы процессом, принадлежащим другому пользователю
-
Целостность КСЗ. Обеспечение целостности комплекса средств защиты уже описано выше в пункте "Управление безопасностью". Все программные rpm-пакеты из состава ЯНУКС подписаны и при установке пакетов следует проверять цифровую подпись. Контроль за целостностью в работающей системе осуществляется средствами аудита. Дополнительно может использоваться утилита обнаружения вторжений aide, проверяющая целостность системы. Для выполнения поставленных перед ЯНУКС задач применение дополнительных средств защиты не предусматривается. При необходимости сертифицированные ФСБ России криптографические аппаратные и программные продукты сторонних разработчиков могут использоваться в качестве наложенных средств. Входящие в состав ЯНУКС западные криптографические средства могут:
-
Служить в качестве инфраструктуры для отечественных алгоритмов ( SSL/TLS, SSH, IPSec)
-
Использоваться для генерации и проверки усиленной неквалифицированной подписи
-
Обеспечивать целостность коммуникаций.
Обновления и расширения
Начиная с четвертой версии ЯНУКС включены дополнительные, поддерживаемые разработчиком, yum-репозитории:
-
updates - возможность обновить отдельные компоненты, программы системы ЯНУКС обновленными версиями пакетов, которые могут включать в себя новые возможности или исправления ошибок
-
extras - набор пакетов, не вошедший в базовый репозиторий, позволяющий расширить функциональность операционной системы: дополнительные программы мультимедиа, сторонние библиотеки для средств разработки и т.п По умолчанию updates- и extras-репозитории отключены. Для включения необходимо в конфигурационном файле Yum, в соответствующих секциях, изменить параметр enabled.
Почему следует использовать ЯНУКС?
При обработке конфиденциальных данных возможны три сертифицированные альтернативы:
-
Один из российских дистрибутивов Linux
-
Microsoft Windows
-
Наложенные средства. Преимущества ЯНУКС связаны с использованием наиболее успешного и безопасного дистрибутива в качестве основы, с относительно невысокой ценой и простой процедурой приобретения по сравнению с Windows, с более простой настройкой и надежностью по сравнению с наложенными средствами безопасности.
