“”/
актуальные новости и полезные материалы в telegram канале
 
Вход
15 февраля 2024

Статья 7. Особенности управления, механизмы защиты и установка продукта

Цикл «Знакомство с SNS и SN LSP»
Приветствуем вас в заключительной статье о Secret Net LSP!

В этом материале мы поговорим об установке продукта на рабочие станции пользователей, настройке механизмов защиты, особенностях локального и удаленного управления и взаимодействии с Secret Net Studio.
Централизованная установка ПО Secret Net LSP на компьютеры
Для решения задачи централизованной установки на рабочие станции пользователей ПО Secret Net LSP существует специальное Auto Deploy приложение Кода Безопасности под названием «Система автоматизированной установки СЗИ Secret Net LSP». Данное приложение позволяет быстро развернуть продукт на большом количестве рабочих станций под управлением ОС Linux.


Приложение имеет веб-интерфейс и реализует возможности по:
  • управлению процессом установки защитных компонентов;
  • визуализации списка рабочих станций;
  • проверке корректности установки защитных компонентов;
  • логированию процесса установки;
  • установке файлов лицензий;
  • созданию резервных копий настроек SN LSP и восстановлению из них

Для функционирования серверной части приложения необходима установка python (версия 3.6 и выше) и развернутый ftp-сервер. Для работы клиентской части на рабочих станциях должен быть установлен python3, ssh-клиент и ftp-клиент. Доступ к интернету не требуется. Приложение может работать как под управлением ОС Linux, так и ОС Windows.
Помимо данного приложения, для централизованной установки SN LSP на рабочие станции имеется возможность использовать привычные средства автоматизации, такие как Ansible, Puppet и др.
Установка Secret Net LSP на рабочую станцию
Для настройки и эксплуатации защитных подсистем SN LSP применяются специализированные CLI-утилиты, с помощью которых выполняются основные операции в режиме командной строки. Данные утилиты расположены в двух каталогах: /opt/secretnet/bin и /opt/secretnet/sbin.

Перечень утилит с их кратким описанием представлен в таблице ниже:
Далее работа с утилитами будет рассмотрена более подробно в контексте настройки защитных подсистем Secret Net LSP.
Локальное управление SN LSP осуществляется через утилиту snpolctl, которая предназначена для выполнения настроек параметров политик.

С её помощью можно:
  • производить включение и отключение доступных защитных механизмов;
  • определять режимы работы защитных механизмов;
  • задавать настройки логирования;
  • устанавливать используемые алгоритмы расчета контрольных сумм;
  • определять настройки для работы с идентификаторами;
  • задавать условия для блокировки экрана пользователя;
  • настраивать парольную политику.

Синтаксис команд для данной утилиты, как и для любой другой в SN LSP, можно посмотреть с помощью:
#snpolctl -h
Просмотреть текущие параметры политики можно с помощью:
#sudo /opt/secretnet/bin/snpolctl -l

На рисунке ниже представлен вывод команды, на нем вы можете увидеть перечень доступных для редактирования политик и их текущие настройки:
Для настройки соответствующих политик необходимо указать команду, плагин, настраиваемую политику, параметр и значение, которое мы хотим установить.

Например, если потребуется изменить минимальную длину пароля для пользователя системы на 6, то команда будет выглядеть следующим образом:
#sudo /opt/secretnet/bin/snpolctl -p users -c users, min_passwd_size, 6

Другие примеры:
#sudo /opt/secretnet/bin/snpolctl -p token_mgr -c authentication, deny, 3 — для уменьшена количества неудачных попыток входа до блокировки до 3
#sudo /opt/secretnet/bin/snpolctl -p system -c system, clear_log, 1 — для включения ротации логов (записи новых логов поверх старых при отсутствии свободного места)
#sudo /opt/secretnet/bin/snpolctl -p firewall -c firewall, state, 1 — для включения подсистемы ПМЭ
Механизм защиты входа в систему
Для управления персональными идентификаторами пользователей в SN LSP используется утилита sntokenctl, расположенная в каталоге /opt/secretnet/bin.

С её помощью можно:
  • производить привязку идентификаторов к пользователям и отвязывать их,
  • заменять и дозаписывать ключи пользователей;
  • записывать и добавлять пароли пользователей в идентификаторы;
  • устанавливать требование к предъявлению закрытого ключа при входе в систему;
  • настраивать работу токена с ПАК «Соболь»;
  • удалять пароли, закрытые ключи и данные SecretNet и ПАК «Соболь» из идентификаторов;
  • выполнять блокировку и разблокировку идентификатора;
  • а так же выполнять другие операции с идентификаторами пользователей.

Например, при помощи команды ниже можно привязать к пользователю test_user новый идентификатор и записать на него пароль пользователя:
#sntokenctl -b test_user -t -p
Для управления взаимодействием с ПАК «Соболь» используется отдельная утилита snsablectl, расположенная в каталоге /opt/secretnet/bin.

С её помощью можно:
  • подключать и отключать ПАК «Соболь» к Secret Net;
  • отслеживать состояние ПАК «Соболь»;
  • настраивать работу в режиме удаленного управления;
  • ограничивать доступ локальных пользователей к ПАК «Соболь»;
  • настраивать работу контроля целостности ПАК «Соболь».
Механизм разграничения доступа и защиты ресурсов
Для контроля и управления правами доступа пользователей и групп к объектам файловой системы (файлам и каталогам) в SN LSP используется механизм разграничения доступа и защиты ресурсов. При установке Secret Net LSP на рабочую станцию права доступа UNIX для всех объектов файловой системы изначально устанавливаются в соответствии с правами, определенными в ОС.

При этом созданные администратором списки POSIX ACL имеют приоритет над UNIX-правами доступа, т. е. при принятии решения подсистемой разграничения доступа о разрешении или запрещении доступа субъекта к объекту при однозначном определении прав доступа POSIX ACL (для данной пары субъект—объект) UNIX-права игнорируются.

В случае возникновения конфликтов прав доступа для пар субъект1—объект и субъект2—объект приоритет имеет запрещающее правило.

Для управления правами доступа в SN LSP используется CLI-утилита, в которую входят:
  • DAC (chmod, chown, chgrp, chfn);
  • ACL (setfacl, getfacl).
Они расположены в /opt/secretnet/bin/.

С помощью утилиты можно:
  • получать информацию о правах доступа объектов файловой системы посредством чтения ACL из xattrs файловой системы;
  • изменять правила разграничения доступа (метки в xattrs файловой системы);
  • совместно с подсистемой аудита выполнять регистрацию действий по изменению правил разграничения доступа.
Механизм разграничения доступа к устройствам
Для разграничения и контроля прав доступа к устройствам предназначена утилита sndevctl, расположенная в каталоге /opt/secretnet/bin.

С её помощью можно:
  • просматривать список подключенных шин и устройств;
  • просматривать и устанавливать правила для шин и устройств;
  • добавлять и удалять устройства или модели;
  • импортировать устройства и модели из csv-файла;
  • устанавливать параметры для шин и устройств;
  • проверять и утверждать аппаратную конфигурацию

Примеры использования утилиты:
  • #sudo /opt/secretnet/bin/ sndevctl -l для просмотра списка шин и устройств;
  • #sudo /opt/secretnet/bin/ sndevctl -r для просмотра правил для шин и устройств
Предоставление доступа к устройствам осуществляется на основе матрицы доступа, описывающей права доступа пользователей и групп к зарегистрированным в системе устройствам. Данная матрица формируется администратором с помощью правил.

ВСЕ правила разграничения доступа к устройствам для групп, пользователей или группы устанавливаются с помощью параметров user, group и default соответственно и могут принимать значения:
  • none: нет доступа;
  • read: только чтение;
  • write: чтение и запись;
  • delete: удаление всех установленных прав на устройства
Например, с помощью следующей команды для устройства 1 установятся права доступа для пользователя user1 — запись, для группы test — чтение, для группы ВСЕ (т. е. для всех остальных) — нет доступа:
#sudo /opt/secretnet/bin/sndevctl --set --dev-id=1 --user=user1:write --group=test:read --default=none
Если пользователь входит в несколько групп, для каждой из таких групп вычисляются эффективные права доступа к устройству: производится логическое умножение прав доступа к устройству для групп, членом которых является пользователь. При этом запрещающие права имеют приоритет над разрешающими.
Правила контроля подключения определяют контроль за состоянием подключения устройств.

Они устанавливаются с помощью назначения параметру dc следующих состояний:
  • not-control — подключение не контролируется;
  • enabled — подключение разрешено;
  • disabled — подключение запрещено;
  • fixed — устройство подключено постоянно;
  • lock — блокировать станцию при изменении состояния устройства.
Например, команда ниже позволяет запретить подключение к USB-шине. С помощью флага set выбирается шина «bus-id», через «=» указывается её идентификатор «usb» и при помощи параметра «dc» устанавливается запрет «disabled» на подключение:
#sudo /opt/secretnet/bin/sndevctl -set -bus-id=usb -dc=disabled
Состояние «fixed» позволяет контролировать подключение устройства к компьютеру в момент запуска и на протяжении сеанса работы, осуществляя контроль аппаратной конфигурации. При отключении такого устройства: в журнале будет зафиксировано событие Alert, в сеансе пользователя появится окно тревоги, система будет ожидать от администратора утверждения изменений конфигурации, в СБ SNS (при наличии) отправится сообщение о событии НСД.
Состояние «lock» включает режим автоматического блокирования компьютера при изменении состояния устройств. Возможность разблокировки есть только у администратора.

Наследование правил разграничения доступа и контроля подключений устанавливается с помощью параметров inh-acl и inh-dc соответственно и может принимать значения:
  • enabled — наследовать правила от родительского объекта;
  • disabled — наследование отключено;
  • enabled-child — включить наследование для всех дочерних объектов и устройств.

Например, для отключения наследования правил контроля подключений для сканеров и цифровых фотоаппаратов необходимо выполнить команду:
#sudo /opt/secretnet/bin/sndevctl -set -class-id=usb_image -inh-dc=disabled
Права доступа к устройству и режимы контроля подключения могут наследоваться от шины, класса, модели устройства. Порядок наследования: шина, класс, модель, экземпляр.

Для включения регистрации событий, связанных с доступом к устройствам, используется команда:
#sudo /opt/secretnet/bin/snpolctl -p devices -c devices_control, verbose, 1 — 1 — для регистрации неуспешных попыток доступа, 2 — для регистрации всех попыток доступа.

После выполнения администратором настроек в подсистеме пользователи смогут подключать только те устройства и выполнять только те операции, которые определены для всей системы в правах доступа.
Механизм контроля целостности
Для выполнения процедур, связанных с контролем целостности объектов файловой системы предназначена утилита snaidectl, расположенная в каталоге /opt/secretnet/bin.

С её помощью можно:
  • вручную запускать проверку целостности защищаемых ресурсов;
  • проводить переинициализацию базы данных контроля целостности (КЦ);
  • просматривать текущие объекты КЦ;
  • восстанавливать объекты КЦ из эталонных значений;
  • включать, отключать, настраивать контроль целостности для файлов;
  • просматривать и настраивать расписание КЦ;
  • включать КЦ для файлов в реальном времени.
При настройке контроля целостности для файлов имеется возможность с помощью флагов выбрать один из доступных шаблонов настроек КЦ или задать опции вручную.

Присутствуют следующие шаблоны:
  • NORMAL: обнаруживать и протоколировать любый изменения файла;
  • NORMALBACK: обнаруживать, протоколировать и отменять любые изменения файла (восстанавливать файл из резервной копии);
  • NORMALLOCK: если файл изменен, запротоколировать событие и заблокировать систему;
  • NORMALBACKLOCK: восстановить измененный файл и заблокировать систему

Опции полноты, т. е. свойства объекта, которые можно поставить на контроль:
  • контрольная сумма (c);
  • размер (s);
  • владелец (пользователь и группа) (o);
  • права доступа (p);
  • время модификации (m)

Опции действий, т. е. действия, предпринимаемые при нарушении КЦ доступные для выбора:
  • восстановить объект (b);
  • заблокировать станцию (l)

Ниже приведены примеры команд, позволяющие включить для файлов КЦ:
#sudo /opt/secretnet/bin/snaidectl -s ‘/путь/к/файлу1’=NORMAL: ‘/путь/к/файлу2’=NORMAL – включить КЦ для файла1 и файла 2 с флагом NORMAL (обнаруживать и протоколировать любые изменения файла)
#sudo /opt/secretnet/bin/snaidectl -s ‘/путь/к/файлу1’=[csopmbl] – включить КЦ для файла1 с восстановлением изменений файла и блокировкой системы при его изменении

Другие примеры команд по управлению механизмом КЦ:
#sudo /opt/secretnet/bin/snaidectl -c – выполнить проверку целостности файлов
#sudo /opt/secretnet/bin/snaidectl -v – отобразить расписание КЦ
#sudo /opt/secretnet/bin/snaidectl -a '* */4 * * *’ – добавить в расписание проверку КЦ каждые 4 часа (время задается в формате crontab, т. е. ‘минуты * часы * день месяца * месяц в году * день недели’)
Так же в SN LSP возможен выбор алгоритма расчета контрольных сумм для объектов КЦ (MD5, GOST R 34.11-2012, SHA-512), который осуществляется через утилиту управления snpolctl.
Механизм замкнутой программной среды
Механизм замкнутой программной среды (ЗПС) в SN LSP позволяет ограничить запуск программ на рабочих станциях пользователей. Разрешение запуска программ осуществляется путем создания разрешающих правил, формирования белых списков и исключений. В отношении ресурсов в правилах ЗПС осуществляется контроль целостности.

Формирование правил может производиться как вручную, так и с помощью «мягкого» режима ЗПС, в ходе которого собираются и записываются в журнал данные о запускаемых пользователем программах, файлах, библиотеках и сценариях (скриптах). Впоследствии, на основе собранной в журналах информации, могут быть сформированы правила. Настройка регистрации событий ЗПС осуществляется через утилиту snpolctl.
Для настройки самого механизма замкнутой программной среды используется утилита snaecctl, расположенная в каталоге /opt/secretnet/bin.

По умолчанию в SN LSP механизм замкнутой программной среды выключен, для его включения используется команда:
#sudo /opt/secretnet/bin/snpolctl -p aec -c aec,state,1
В рамках утилиты snaecctl используются следующие команды: view, add, rm, update, reload, enable, disable, rename, export, confirm, log.


С помощью данных команд осуществляется управление замкнутой программной средой, а именно:
  • просмотр, создание, редактирование и удаление правил ЗПС, белых списков и исключений;
  • включение и отключение правил;
  • подтверждение включения жесткого режима ЗПС;
  • экспорт ресурсов в файл
С помощью команды «view» осуществляется просмотр правил, исключений ресурсов, белого списка пользователей и групп.

Примеры использования:
#sudo /opt/secretnet/bin/snaecctl view для просмотра списка всех правил
#sudo /opt/secretnet/bin/snaecctl view –name=NAME для просмотра правила с именем NAME
#sudo /opt/secretnet/bin/snaecctl view –u test_user для просмотра списка правил для пользователя test_user
С помощью команды «add» добавляются новые правила, пользователи, группы, ресурсы в правила, пользователи и группы в белый список, ресурсы в список исключений.

Примеры использования:
#sudo /opt/secretnet/bin/snaecctl add -u test_user добавление пользователя test_user в белый список
#sudo /opt/secretnet/bin/snaecctl add –n test_rule -D добавление нового правила с именем test_rule в выключенном режиме
#sudo /opt/secretnet/bin/snaecctl add –n test_rule -r /usr/sbin/ -R добавление ресурсов в правило test_rule рекурсивно из /usr/sbin/
С помощью команды «rm» производится удаление правил, пользователей, и групп, ресурсов из правил, пользователей и групп из белого списка, ресурсов из списка исключений.

Примеры использования:
#sudo /opt/secretnet/bin/snaecctl rm –n test_rule удаление правила с именем test_rule
#sudo /opt/secretnet/bin/snaecctl rm –n test_rule -u test_user удаление пользователя test_user из правила test_rule
#sudo /opt/secretnet/bin/snaecctl rm –A удалить все пользовательские правила
С помощью команды «update» производится замена пользователей, групп, ресурсов в правиле и изменение режима правила. При этом ресурсы, добавленные в правило ранее, удаляются.

Пример использования:
#sudo /opt/secretnet/bin/snaecctl update –n test_rule -r /usr/bin/ -R обновление списка ресурсов в правиле test_rule на /usr/bin/ рекурсивно
С помощью команды «reload» производится перерасчет контрольных сумм для ресурсов.

Примеры использования:
#sudo /opt/secretnet/bin/snaecctl reload перерасчёт контрольных сумм всех ресурсов и загрузка правил в ядро
#sudo /opt/secretnet/bin/snaecctl reload -n test_rule перерасчёт контрольных сумм ресурсов в правиле test_rule
С помощью команд «enable», «disable» и «rename» осуществляется включение, выключение и переименование правил.

Примеры использования:
#sudo /opt/secretnet/bin/snaecctl disable -n test_rule выключение правила test_rule
#sudo /opt/secretnet/bin/snaecctl rename -n test_rule -N renamed_test_rule переименование правила test_rule в renamed_test_rule
С помощью команды «export» осуществляется экспорт ресурсов из правил в JSON-файл.

Пример использования:
#sudo /opt/secretnet/bin/snaecctl export -n test_rule -f resource_file экспорт ресурсов правила test_rule в файл resource_file
С помощью команды «confirm» осуществляется подтверждение включения жёсткого режима ЗПС (без подтверждения после следующей перезагрузки будет включен мягкий режим ЗПС).
С помощью команды «log» в SN LSP существует возможность создавать новые правила или добавлять ресурсы в существующие на основе анализа журналов аудита. События журнала могут фильтроваться по имени пользователя, группе, исполняемому файлу и времени.

Пример использования:
#sudo /opt/secretnet/bin/snaecctl log -u test_user -n test_rule добавление в правило test_rule всех ресурсов, запущенных пользователем test_user
#sudo /opt/secretnet/bin/snaecctl log -u test_user -n test_rule -I 27-10-2023 -F 27-10-2023T23:59:59\ добавление в правило test_rule ресурсов, запущенных пользователем test_user 27 октября 2023 года
Механизм персонального межсетевого экрана
По умолчанию в SN LSP механизм персонального межсетевого экрана выключен, для его включения используется команда:
#sudo /opt/secretnet/bin/snpolctl -p firewall -c firewall,state,1
Для выполнения настройки ПМЭ используется утилита fw-localcfg. Данная утилита используется для добавления, удаления, обновления, отображения, экспорта и импорта правил SN LSP Firewall. В рамках утилиты используются команды: add, delete, modify, show, export и import.

При создании правил существуют обязательные параметры:
  • action: действие, которое должно быть выполнено над пакетом (pass – пропустить, drop – отбросить, allow – пропустить на следующий уровень);
  • protocol: имя протокола (tcp, udp, icmp, ip, http, ftp, tls, smb, dns, dcerpc, ssh, smtp, imap, modbus, dnp3, enip, nfs, ikev2, krb5, ntp, dhcp, rfb, snmp, tftp, sip, egp, hmp, xns-idp, rvd, http2, rdp, any);
  • msg: сообщение, которое описывает правило

Так же могут быть использованы дополнительные параметры, они представлены в таблице ниже:
Примеры использования команды add для создания правил:
#sudo fw-localcfg –add –action=drop –protocol=any –local_addrs=192.168.50.0/24 –msg=’Drop any from 50 subnet’ –order=3 –enable=false –direction=out создает выключенное исходящее правило, отбрасывающее пакеты из 50 подсети по любому протоколу
#sudo fw-localcfg –add --action=pass –protocol=dns –local_addrs=192.168.50.1-192.168.50.10 –remote_ports=53 –msg=’Permit DNS for 50.1-50.10’ –order=1 –direction=out создает исходящее правило, разрешающее прохождение DNS-пакетов для ip-адресов в диапазоне 192.168.50.1-192.168.50.10 по 53 порту
#sudo fw-localcfg –add --action=pass --protocol=any –local_addrs=192.168.50.10 --msg=’test’ –order=2 --direction=out –exefile=’test_exe’—schedule=’9-18 1-5 +’ --audit=true создает исходящее правило, позволяющее подключаться по любому порту с ip-адреса 192.168.50.10 с использованием исполняемого файла «test_exe» с понедельника по пятницу c 9:00 до 18:00, у правила включен аудит
#sudo fw-localcfg –add –action=drop –protocol=smb –local_addrs=192.168.50.0/24 –msg=’Drop smb share’ --subjects=’users:test_user’ –objects=’shares:\\192.168.60.15\share’ –audit=true –alarm=true –enable=false –direction=out создает исходящее правило, запрещающее подключения для пользователя test_user по протоколу smb из подсети 192.168.50.0/24 к общей папке «\\192.168.60.15\share», аудит срабатывания правила и оповещение пользователя включены
Для просмотра уже созданных правил используется команда «show». С её помощью можно просматривать как все правила вместе (флаг «--all»), так и отдельные (флаг «--id»), указывая их id.

Пример вывода команды с просмотром отдельного правила:
sudo fw-localcfg --show –id 2a6ce9bb-1436-440c-b283-11573f73e6f9
При необходимости изменить уже созданное правило, используется команда «modify». При её применении необходимо указать id уже созданного правила и параметры, которые требуется изменить.

Пример использования:
#sudo fw-localcfg –modify –id 2a6ce9bb-1436-440c-b283-11573f73e6f9 –enable=false отключение правила
Для удаления правила используется команда «delete». Можно произвести удаление как всех правил, так и отдельных, с указанием их id.


Пример использования:
#sudo fw-localcfg –delete –id 521b4edc-a4df-4663-b35f-5b52cc04c069
С помощью команды «export» осуществляется экспорт существующих правил настройки персонального межсетевого экрана. Архивный файл резервной копии сохраняется в каталоге /opt/snlsp- firewall/usr/backup/firewall с указанным именем <file_name>.tar.gz.
С помощью команды «import» осуществляется импорт правил настройки персонального межсетевого экрана из файла резервной копии.

Доступны следующие флаги:
  • --file: указание полного имени файла резервной копии;
  • --append: добавляет импортируемые правила к существующим;
  • --replace: заменяет существующие правила на импортируемые;
  • --list: отображает список существующих архивов
Пример команды, используемой для вывода списка архивов:
По скриншоту видно, что в данный момент существует только один файл резервной копии, он был создан при тестировании команды export.

После осуществления импорта правил персонального межсетевого экрана рекомендуется выполнить перезагрузку модуля ПМЭ.

Для этого нужно запустить программу эмулятора терминала и выполнить команду:
#sudo systemctl restart snlsp-firewall
Так же в Secret Net LSP предусмотрена утилита для просмотра и принудительного завершения TCP-соединений «fw-net».

Запуск утилиты осуществляется с помощью команды:
#sudo fw-net -k

Для вывода списка активных TCP-соединений используется команда «list».

Для принудительного завершения TCP-соединения вводится числовой id из списка tcp соединений.
По скриншоту видно, что в данный момент существует только один файл резервной копии, он был создан при тестировании команды export.

После осуществления импорта правил персонального межсетевого экрана рекомендуется выполнить перезагрузку модуля ПМЭ.

Для этого нужно запустить программу эмулятора терминала и выполнить команду:
#sudo systemctl restart snlsp-firewall
Так же в Secret Net LSP предусмотрена утилита для просмотра и принудительного завершения TCP-соединений «fw-net».

Запуск утилиты осуществляется с помощью команды:
#sudo fw-net -k

Для вывода списка активных TCP-соединений используется команда «list».

Для принудительного завершения TCP-соединения вводится числовой id из списка tcp соединений.
Механизм регистрации событий
Журнал событий в Secret Net LSP включает в себя системный журнал и журнал аудита. В системном журнале содержатся сведения обо всех событиях, зарегистрированных подсистемами, входящими в состав СЗИ (например, блокировка компьютера, событие входа пользователя в систему, нарушения КЦ).

В журнале аудита содержатся сведения, необходимые администратору для контроля действий субъектов (пользователей и процессов) и действий с защищаемыми объектами (например, открытие сетевого соединения, запрет запуска программы, срабатывание правил ПМЭ). Для работы с журналами в Secret Net LSP используется утилита snjrnl, расположенная в каталоге /opt/secretnet/bin.

С помощью данной утилиты можно:
  • просматривать записи системного журнала и журнала аудита;
  • удалять записи из базы данных журналов;
  • экспортировать и импортировать записи журналов в файл;
  • сортировать события

Фильтрация просматриваемых записей журнала возможна по дате и времени, по приоритету, пользователю, группе аудита, приложению, объекту, результату (ошибка, успешно), по содержанию определенного текста.

Опции при использовании команды представлены в таблице ниже:
Примеры использования утилиты:

#sudo /opt/secretnet/bin/snjrnl -w -S –message=’Firewall’ просмотр записей в системном журнале, содержащих текст «Firewall». В частности, будут выведены записи, соответствующие созданию и изменению правил и запуску сервиса ПМЭ.
#sudo /opt/secretnet/bin/snjrnl -w -S –message=’Authentication’ просмотр событий, содержащих сообщение аутентификации
#sudo /opt/secretnet/bin/snjrnl -w -S –message=’gdm-password’ –from=31.10.2023 –to=01.11.2023 просмотр событий аутентификации через графическую оболочку в период с 31.10.2023 по 01.11.2023
#sudo /opt/secretnet/bin/snjrnl -w -S –message=’firewall: rule’ просмотр событий, связанных с редактированием правил ПМЭ
#sudo /opt/secretnet/bin/snjrnl -A -w –user=test_user просмотр записей о срабатывании правил аудита, для пользователя test_user
Механизм затирания остаточной информации
Действие механизма заключается в очистке освобождаемых областей памяти путем выполнения в них однократной произвольной записи. Для безопасного удаления информации на жестких дисках и внешних носителях независимо от установленного режима работы подсистемы применяется утилита shred.

Пример использования утилиты shred, для удаления файла «test_file» с затиранием остаточной информации 5-ю циклами перезаписи:
#shred -n 5 /home/test_user/Documents/test_file
Настройка правил аудита
Для просмотра, создания, редактирования и удаления правил аудита в SN LSP используется утилита snauditctl, расположенная в каталоге /opt/secretnet/bin.

Правила аудита могут отслеживать следующие действия:
  • read: чтение из файла или каталога;
  • stat: запрос свойств файла или каталога;
  • write: запись в файл;
  • chattr: изменение свойств файла или каталога;
  • rename: переименование файла или каталога;
  • delete: удаление файла или каталога;
  • create: создание файла или каталога;
  • exec: запуск программы;
  • socket: открытие сокета;
  • dgram: отправка/прием датаграмм;
  • connect: установление сетевого соединения;
  • openr: открытие файла на чтение;
  • openw: открытие файла/каталога на запись.

Правила могут относиться к пользователям и группам.
Примеры использования утилиты snauditctl:
#sudo /opt/secretnet/bin/snauditctl -l просмотр списка текущих правил аудита
#sudo /opt/secretnet/bin/snauditctl -A --object=/etc/passwd --group=group1 --action=openr добавление правила аудита на файл /etc/passwd, отслеживающее чтение файла для пользователей группы group1
Резервное копирование настроек ПО СЗИ Secret Net LSP
Для выполнения операций резервного копирования и восстановления настроек ПО Secret Net LSP осуществляется с помощью утилиты snbckctl.

Допустимыми объектами для резервного копирования и восстановления являются:
  • snsettings: база данных настроек SN LSP;
  • logs: журналы;
  • policies: политики;
  • auth: параметры аутентификации;
  • access: управление доступом;
  • aec: правила ЗПС;
  • firewall: параметры ПМЭ
Примеры использований утилиты:
#sudo /opt/secretnet/bin/snbckctl -b -comment='test_backup31.10.2023' выполнить полное резервное копирование с добавлением комментария к копии
#sudo /opt/secretnet/bin/snbckctl -l вывести список имеющихся резервных копий
#sudo /opt/secretnet/bin/snbckctl -i 1 698 751 627 --restore=firewall восстановление параметров ПМЭ из резервной копии с указанным id
Управление лицензиями
Централизованное управление лицензиями на рабочих станциях пользователей предусмотрено через сервер безопасности Secret Net Studio.

Для локальной работы с лицензиями используется консольная утилита snlicensectl, расположенная в каталоге /opt/secretnet/bin. С помощью данной утилиты можно просматривать статус текущих лицензий, а так же удалять и заменять их.

Например, с помощью данной команды можно просматривать текущий статус установленных лицензий:
#sudo /opt/secretnet/bin/snlicensectl -s

А приведенная ниже команда используется для замены лицензии на компоненте ПМЭ:
#sudo /opt/secretnet/bin/snlicensectl -n FW -c license.lic
Функционирование совместно с SNS. Команда для настройки удаленного управления
В SN LSP предусмотрена возможность функционирования совместно с СЗИ Secret Net Studio.
В режиме совместного функционирования появляются возможности централизованного:
  • отображения информации о состоянии рабочих станций и возникших на них событиях НСД;
  • просмотра журналов событий с защищаемых SN LSP рабочих станций;
  • оперативного управления рабочими станциями: блокировкой, разблокировкой, перезагрузкой, выключением
Для совместного функционирования необходимо включение рабочих станций с SN LSP в домен (с помощью SSSD или Samba) и подчинение их серверу безопасности.
Для настройки удаленного управления используется утилита snnetctl в каталоге /opt/secretnet/bin.
С помощью данной утилиты можно:
  • включать и отключать режим удаленного управления;
  • отслеживать текущее состояние соединения с сервером безопасности;
  • определять доменное имя пользователя, под которым будет производиться вход в систему;
  • определять периодичность, с которой клиент обновляет свои настройки;
  • просматривать lds сервера;
  • определять приоритетный сервер lds для подключения
Например, для включения режима удаленного управления и подключения к серверу безопасности под именем пользователя User используется команда:
#sudo /opt/secretnet/bin/snnetctl -e -u User
Другие утилиты администратора SN LSP

Другие утилиты администрирования представлены в таблице ниже:
Вывод
На этом мы завершаем нашу серию статей о Secret Net LSP. Мы наглядно изучили основные возможности данного продукта и узнали, как выглядит процесс его настройки.

В ближайшем будущем ожидается изменение названия продукта с SN LSP на Secret Net Studio для Linux. Также продукт ждёт добавление ряда новых функций:
  • обновление подсистемы контроля устройств
  • добавление сигнатурного антивируса, функционала HIPS и СОВ
  • добавление системы управления на базе Linux
  • а так же возвращение графического интерфейса для управления механизмами безопасности
Все эти нововведения, без сомнения, сделают Secret Net LSP ещё более удобным и функциональным.

Авторы статьи: Николай Быстров, Влада Нестеренко
Системные инженеры TS Solution