27. Методы и средства обеспечения целостности информации в операционных системах семейства Windows nt и Linux.

В руководящих документах Гостехкомиссии РФ целостность информации определяется следующим образом:

Целостность информации – способность средства вычислительной техники или автоматизированной системы обеспечивать неизменность информации в условиях случайного и (или) преднамеренного искажения (разрушения). (РД ГТК. Защита от несанкционированного доступа к информации. Термины и определения (30.03.1993)).

Угроза нарушения целостности. Предполагает любое незапланированное и несанкционированное изменение информации, хранящейся в системе или передаваемой из одной системы в другую. Санкционированными изменениями считаются те, которые сделаны уполномоченными лицами с обоснованной целью (например, запланированное изменение документов или базы данных). Целостность может быть нарушена в результате преднамеренных и непреднамеренных действий человека, а также – в результате возникновения случайной ошибки программного или аппаратного обеспечения.

Windows

В ОС семейства Windows присутствуют следующие механизмы обеспечения целостности:

1. WFP (Windows File Protection) и WRP (Windows Resource Protection);

2. возможность организации замкнутой программной среды;

3. проверка цифровой подписи драйверов;

4. средства восстановления системы;

5. возможности файловой системы NTFS(в том числе возможность создание программного RAID-массива);

1. Windows File Protection (Система защиты файлов Windows, сокр. англ. WFP) — технология, позволяющая запретить программам изменять или удалять наиболее важные системные файлы Windows. Защита критически важных системных файлов позволяет избежать ряда серьёзных проблем и сбоев в работе операционной системы и прикладного программного обеспечения. Когда Windows File Protection активна, перезапись или удаление незаблокированного системного файла приводит к немедленному восстановлению его оригинальной версии, которая хранится в специальной системной папке. В ОС семейства Windows NT это %WinDir%\System32\Dllcache.

Все файлы, устанавливаемые операционной системой (такие, как DLL, EXE, SYS, OCX и др.), защищены от изменения или удаления. Цифровая подпись этих файлов хранится в специальном каталоге. Изменение вышеназванных системных файлов разрешено только немногочисленным специальным компонентам, например, Windows Installer (Msiexec.exe) или Установщик пакетов (англ. Package Installer, Update.exe). В противном случае файл возвращается в исходное состояние без каких-либо запросов или сообщений. Лишь тогда, когда Windows File Protection не удаётся найти требуемый файл самостоятельно, производится поиск в локальной сети, Интернете или выдаётся запрос пользователю с просьбой вставить установочный диск в дисковод.

Windows Resource Protection (сокр. WRP) — технология, используемая в ОС Windows Vista, Windows 7, Windows Server 2008 взамен Windows File Protection. Она защищает ключи реестра и папки, наряду с критически важными системными файлами. Методы, используемые этой технологией для защиты ресурсов, заметно отличаются от аналогичных приёмов Windows File Protection. Windows Resource Protection работает, устанавливая дискретные списки доступа (DACLs) и ACL для защищаемых объектов. Разрешение на чтение-запись WRP-защищённых объектов допускается лишь процессам, использующим службу Windows Modules Installer (TrustedInstaller.exe). Теперь даже у администраторов нет прав полного доступа к системным файлам.

WRP также защищает некоторые важные каталоги. Папка, содержащая только WRP-защищённые файлы, может быть заблокирована таким образом, что создание в ней файлов или подкаталогов разрешено лишь доверенному процессу. Возможна частичная блокировка, которую могут обойти администраторы. Важнейшие ключи реестра также защищаются; все его под-ключи и значения нельзя изменить. К тому же, WRP копирует в каталог %WinDir%\WinSxS\Backup только те файлы, что необходимы для перезагрузки системы, а не все, как это делает Windows File Protection, архивирующая в папку Dllcache содержимое системных каталогов целиком. Таким образом, Windows Resource Protection применяет более эффективные и гибкие инструменты защиты данных.

2. ЗПС в Windows может быть реализована следующими средствами:

• Запрет на изменение списков автоматически загружаемых программ и драйверов

• Политики ограниченного использования программ (SRP). Можно рассматривать политики SRP как аналог набора правил брандмауэра. Можно создать более общее правило, запрещающее или разрешающее запуск приложений, для которых не создано отдельных правил. Например, можно настроить общее правило, разрешающее запуск любых программ, и при этом отдельным правилом запретить запуск некоторых программы. Можно также запретить запуска любых приложений и далее создавать правила SRP, разрешающие запуск конкретных приложений. Можно создавать различные типы правил SRP, в том числе правило для зоны безопасности (Internet, Intranet, Trusted/Restricted sites, Local computer), правило для пути к исполняемому объекту, правило для сертификата и правило для хеша. Существует возможность указать доверенных издателей, какие файлы считаются исполняемыми и цель применения.

3. В ОС семейства Windows встроено несколько средств для восстановления работоспособности операционной системы в случае повреждения загрузочной области или системных файлов. Восстановление системы может выполнятся следующим образом:

• возврат к «последней известной исправной» конфигурации (выбирается в загрузочном меню операционной системы).

• запуск компьютера в безопасном режиме и попытка устранить неполадку (выбирается в загрузочном меню операционной системы).

• использование консоли восстановления Windows.

• использование службы восстановления системы.

Служба восстановления системы по расписанию создаёт в специальном каталоге на жёстком диске контрольные точки восстановления. Также возможно самостоятельно создать контрольную точку. В любой момент времени возможно выполнить «откат» системы к любой из существующих контрольных точек. При этом содержимое системных каталогов и каталогов с установленными программами будет приведено к состоянию на момент создания контрольной точки.

В новых версиях ос семейства Windows (Windows 7, Vista, Server 2008, Server 2008 R2) значительно расширены возможности штатных средств для восстановления системы. В частности, добавлена служба архивация системы, позволяющая без использования стороннего ПО автоматически делать резервные копии произвольных файлов и каталогов в соответствии с заданным расписанием резервного копирования, а также возможно создавать образы целых разделов жёсткого диска, образы системы. Созданные образы наряду с контрольными точками восстановления можно использовать для восстановления операционной системы.

4) Файловая система NTFS, применяемая в современных версиях ОС Windows является журналируемой ФС. Ведение журнала дисковой активности позволяет быстро выполнить восстановление тома в случае сбоя подачи питания или других системных проблем. Данная функция обеспечивает целостность метаданных файловой системы, а не конкретных файлов. NTFS также может работать с RAID-массивами. При записи данных на диск NTFS взаимодействует с диспетчером томов, а тот – с драйвером жесткого диска. Windows NT поддерживает на программном уровне три уровня RAID: 0, 1, 5.

Linux

В ОС семейства Linux присутствую следующие механизмы обеспечения целостности информации:

1. журналируемая файловая система

2. контроль целостности системных файлов

3. организация программных raid-массивов

4. замкнутая программная среда

5. расширенные атрибуты файловой системы

1. Файловые системы, применяемые в современных дистрибутивах ОС Linux поддерживают журналирование. Журналируемая файловая система сохраняет список изменений, которые она будет проводить с файловой системой, перед фактическим их осуществлением. Эти записи хранятся в отдельной части файловой системы, называемой журналом. Как только изменения файловой системы внесены в журнал, она применяет эти изменения к файлам или метаданным, а затем удаляет эти записи из журнала. Записи журнала организованы в наборы связанных изменений файловой системы.

При перезагрузке компьютера программа монтирования может гарантировать целостность журналируемой файловой системы простой проверкой лог-файла на наличие ожидаемых, но не произведённых изменений и последующей записью их в файловую систему. То есть, при наличии журнала в большинстве случаев системе не нужно проводить проверку целостности файловой системы. Соответственно, шансы потери данных в связи с проблемами в файловой системе значительно снижаются.

По типу внесения в журнал журналируемые ФС, применяемые в Linux подразделяются на:

• в режиме обратной связи (журналируются только метаданные): XFS, ext3fs;

• упорядоченные (журналируются только метаданные синхронно относительно данных): JFS2, ext3fs (по умолчанию), ReiserFS (основной);

• в режиме данных (журналируются как метаданные, так и данные): ext3fs;

2. В некоторых дистрибутивах Linux осуществляется контроль целостности базы данных пользователей и паролей, а также наиболее важных системных библиотек и конфигурационных фалов. В случае обнаружения несанкционированных изменений в контролируемых файлах возможно три варианта развития событий в зависимости от настроек системы:

   • не предпринимаются никакие действия

   • отправляется оповещение администратору

   • запрещается запуск системы до тех пор пока администратор не подтвердит, либо не устранит внесённые изменения

3. В ОС семейства Linux возможна организация штатными средствами RAID-массивов, реализуемых не аппаратно, а программно. В качестве RAID контроллера выступает драйвер операционный системы. Таким образом, можно организовать RAID 0, RAID 1 или RAID 5. Поддержка работы с аппаратными RAID контроллерами также присутствует.

4. Для организации ЗПС штатными средствами ос Linux используется chroot-окружение и ограничения и слежения за системными вызовами с помощью systrace.  

Идея chroot-окружения крайне проста: в некотором каталоге создается минимальная структура ка­талогов, необходимая для запуска этого сервиса, которая эмулирует корневую файловую систему, то есть в этом подката­логе будут подкаталоги /bin, /lib, /etc и другие. При запуске сервиса выполняется системный вызов chroot() (изменение кор­невого каталога), где в качестве параметра задается каталог, который содержит нужную структуру каталогов, похожую на корневую файловую систе­му.

Большинство известных сервисов поддерживают запуск в chroot-окружении (на­пример, Apache и BIND). Может быть несколько chroot-каталогов - по одному на каждый сервис, который выполняется в chroot-окружении. Что это дает? При взломе сервиса хакер получит доступ не к корневой файловой системе, а только к тому каталогу, который был сде­лан для сервиса корневым.

Systrace — менеджер доступа к системным вызовам. С его помощью можно задать, какими программами и как могут делаться системные вызовы. Грамотное использование systrace может существенно снизить риски, присущие запуску неграмотно написанных или нестабильно работающих программ. Политики systrace могут задавать ограничения пользователям совершенно независимо от разрешений Unix. Например, можно задать для определенного процесса набор правил, разрешающих ему создавать или открывать файлы только в определенной директории или запретить выполнять внешние приложения, кроме заданных.

5. Расширенные атрибуты файловой системы — это специальные флаги доступа, назначаемые файлам и каталогам. В файловых системах, применяемых в ОС Linux существует несколько таких флагов. Для обеспечения целостности могут применяться следующие атрибуты:

- Append система позволяет открывать данный файл с целью его дополнения и не позволяет никаким процессам перезаписывать или усекать его.Если данный атрибут применяется к директории процесс может создавать или модифицировать файлы в этой директории , но не удалять их.

- Immutable система запрещает любые изменения данного файла. В случае директории, процессы могут модифицировать файлы уже содержащиеся в данной директории, но не могут удалять файлы или создавать новые.

- Undelete когда приложение запрашивает файл на удаление, система должна сохранить блоки на диске, на которых расположен данный файл, чтобы потом его можно было восстановить.