2.1.6 Блокировка загрузки ос со съемных носителей

Администратор имеет возможность задать режим работы электронного замка, при котором будет блокирован вход пользователей в систему при нарушении целостности контролируемых файлов.

Электронный замок «Соболь» обеспечивает запрет загрузки операционной системы со съемных носителей на аппаратном уровне для всех пользователей компьютера, кроме администратора. Эта система предотвращает несанкционированную загрузку операционной системы со съемных носителей – дискет, CD-ROM, ZIP-устройств, магнитооптических дисков, USB-устройств и др. запрет распространяется на всех пользователей компьютера, кроме администратора. Администратор может разрешить отдельным пользователям компьютера выполнять загрузку операционной системы со съемного носителя.

Запрет загрузки осуществляется путем блокирования доступа к указанным устройствам при запуске и загрузке компьютера.

• После успешной загрузки штатной копии ОС доступ к этим устройствам восстанавливается.

2.1.7 Контроль целостности программной среды

Используемый в комплексе «Соболь» механизм контроля целостности позволяет контролировать неизменность файлов и физических секторов жесткого диска до загрузки операционной системы.

• Для этого вычисляются некоторые контрольные значения проверяемых объектов и сравниваются с ранее рассчитанными для каждого из этих объектов эталонными значениями.

• Формирование списка подлежащих контролю объектов с указанием пути к каждому контролируемому файлу и координат каждого контролируемого сектора производится с помощью программы управления шаблонами контроля целостности.

Подсистема контроля целостности расширяет возможности электронного замка «Соболь». Контроль целостности системных областей дисков и наиболее критичных файлов производится по алгоритму ГОСТ 28147-89 в режиме имитовставки. Администратор имеет возможность задать режим работы электронного замка, при котором будет блокирован вход пользователей в систему при нарушении целостности контролируемых файлов.

Подсистеме контроля целостности обеспечивает контроль целостности файлов на жестком диске и физических секторов жесткого диска. Контроль целостности – это функция, которая предназначена для слежения за изменением параметров заданных ресурсов.

Подсистема контроля целостности позволяет контролировать неизменность заданных объектов – файлов и секторов жесткого диска. Для этого вычисляются некоторые контрольные значения проверяемых объектов и сравниваются с раннее рассчитанными для каждого их этих объектов эталонным значениям.

Подсистема включает следующие компоненты:

• модуль контроля целостности;

• программу формирования шаблонов для контроля целостности;

• задания на контроль целостности.

Модуль контроля целостности является программным модулем расширения BIOS комплекса «Соболь». Он обеспечивает расчет эталонных значений контрольных сумм проверяемых объектов, сохранение полученных контрольных сумм в файлах заданий на контроль целостности, а так же проверку контрольных сумм проверяемых объектов при каждой загрузке компьютера. При проверке контрольных сумм файлов и секторов осуществляется сравнение текущих значений контрольных сумм с эталонными (заранее вычисленными) значениями контрольных сумм этих объектов, хранящихся в соответствующих файлах заданий на контроль целостности.

Программа формирования шаблонов для контроля целостности является дополнительным программным обеспечением, входящим в комплект поставки комплекса «Соболь». Она устанавливается на жесткий диск компьютера. Эта программа позволяет определить перечень файлов и физических секторов жестких дисков, подлежащих контролю, и создать шаблоны заданий на контроль целостности, содержащие полный путь к каждому контролируемому файлу и координаты каждого контролируемого сектора.

Задания на контроль целостности содержат информацию о местоположении контролируемых файлов на жестком диске (полный путь к ним), координаты контролируемых секторов, а так же значения контролируемых сумм для каждого файла или сектора.

Подсистема контроля целостности может функционировать в двух режимах: «жестком» и «мягком». Режим работы этой подсистемы может быть установлен администратором для каждого пользователя компьютера индивидуально.