Разделы

ПО Свободное ПО ИТ в госсекторе Техника

Власти объяснили, как безопасно пользоваться несертифицированным Linux

ФСТЭК разработала рекомендации по настройке несертифицированных ОС на базе Linux. Они необходимы госорганизациями и субъектам критической информационной инфраструктуры, которые пока не перешли на сертифицированные версии ОС Linux.

Рекомендации ФСТЭК по использованию Linux

Федеральная служба по техническому и экспортному контролю (ФСТЭК) опубликовала рекомендации по настройке операционных систем (ОС) на базе Linux. Документ предназначен для использования в государственных информационных системах и на объектах критической информационной инфраструктуры (КИИ), построенных на базе систем Linux, несертифицированных по требованиям безопасности информации.

Рекомендации следует исполнять до перехода указанных субъектов на дистрибутивы Lunix, имеющие сертификаты ФСТЭК и ФСБ (Astra Linux, «Альт СП», «Роса кобальт» и др.). В документе описаны такие вопросы как настойка авторизации в операционной системе, ограничение механизмов получения привилегий, настройка прав доступа к объектам файловой системы, настройка механизмов защиты ядра Linux, уменьшение периметра атаки ядра Linux и настройка средств защиты пользовательского пространства со стороны ядра Linux.

«Выход "Рекомендаций по безопасной настройке операционных систем Linux" своевременен и актуален для рынка, — заверил CNews научный руководитель группы компаний «Астра» (разработчик Astra Linux) Петр Девянин. — Регулятор уделяет большое внимание ОС семейства Linux, их безопасному использованию и повышению защищенности. При этом он делает акцент на том, что данные рекомендации относятся к несертифицированным ОС и являются временной мерой до момента их замены на сертифицированные решения».

ФСТЭК рассказала, как настроить Linux

«Документ с рекомендациями будет полезен тем, кто по каким-либо причинам сейчас просто не может перейти на сертифицированные отечественные решения, а разработчикам будет полезно еще раз посмотреть, как регулятор рекомендует настраивать ядро ОС», — добавил в разговоре с CNews замгенидректора компании «Ред софт» (разработчик «Ред ОС») Рустам Рустамов.

Советник гендиректора «Базальт СПО» (разработчик ОС «Альт») Алексей Новодворский также считает рекомендации ФСТЭК полезными, однако в разговоре с CNews он добавил, что уровень системных администраторов и привычки пользователей создают серьезное препятствие для их внедрения.

Программа для автоматизированной проверки уязвимостей в Linux

Кроме того, ФСТЭК разместила программу ScanOVAL, предназначенную для автоматизированных проверок наличия уязвимостей ПО на рабочих станциях и серверах, функционирующих под управлением ОС семейства Linux. Разработчиком программы является подведомственное ФСТЭК предприятие ГНИИ ПЗТИ (Государственный научно-исследовательский испытательный институт проблем технической защиты информации).

Технический центр исследования безопасности ядра Linux

Параллельно Технологический центр исследования безопасности ядра Linux (ТЦИ Linux) разработал рекомендации по безопасному использованию ядра Linux и по настройке его доверенной загрузки.ТЦИ Linux создан на базе Института системного программирования Российской академии наук (ИСП РАН) под эгидой ФСТЭК.

Центр разрабатывает методики применения «лучших практик» разработки безопасного ПО к ядру Linux, поддерживает ветки ядра Linux, к которой систематически применяются эти методики, дорабатывает ядро Linux с целью повышения его безопасности, разрабатывает патчи по устранению уязвимостей в ядре Linux, наполняет базу данных уязвимостей ФСТЭК сведениями об уязвимостей ядра Linux, формирует рекомендации по безопасному использованию ядра и готовит отечественных специалистов, участвующих в разработке ядра Linux.

Алексей Котов, OpenYard: «Мы изначально хотели делать качественный продукт для задач бизнеса, а уже затем представлять его на рынке»
техника

Тендер на создание ТЦИ Linux ИСП РАН выиграл в 2021 г., сумма контракта составила 300 млн руб. Создание центра предусмотрено федеральным проектом «Информационная безопасность» национальной программы «Цифровая экономика», сумма затрат федерального бюджета на соответствующие мероприятия составляет 400 млн руб.

Согласно упомянутому федпроекту, предполагается разработать и экспериментально обосновать требования к организационным, методическим и научно-методическим основам функционирования технологического центра исследования безопасности ОС базе Linux; создать технологический центр исследования безопасности ОС на базе ядра Linux, в том числе с участием разработчиков данных операционных систем, провести опытную эксплуатацию технологического центра исследования безопасности ОС на базе ядра Linux, организовать наполнение банка данных угроз безопасности информации ФСТЭК сведениями об уязвимостях в ОС на базе ядра Linux, получить результаты исследований безопасности ОС на базе ядра Linux, разработать рекомендации по реализации мер безопасной разработки ОС на базе ядра Linux.

Переход сертифицированных ОС Linux на «проверенное» ядро

Летом 2022 г. начальник второго управления ВСТЭ Дмитрий Шевцов сообщал, что три сертифицированные ОС перешли на базу ядра Lunux 5.10, поддерживаемого ТЦИ Linux. Это были «Альт 8 СП, «Ред ОС» и «Основа». Ожидалось, что до конца 2022 г. на базу указанного ядра перейдут также Astra Linux Specal Edition, «Роса кобальт», «Синтез М», «Циркон 37», EMIASOS и Alter OS.

Руководитель отдела научных исследований группы «Астра» Владимир Тележников в разговоре с CNews положительно оценил деятельность Центра исследования безопасности ядра Linux. «Мы принимаем активное участие в его работе, входим в состав экспертной группы по проработке организационных и технических вопросов и непосредственно участвуем в анализе безопасности подсистем ядра Linux и устранении выявляемых проблем, — говорит Тележников. — Центр выступает площадкой сосредоточения усилий и обмена опытом отечественных разработчиков программных и аппаратных систем защиты информации по тестированию и повышению безопасности ядра Linux, являющегося основой большинства решений. Совместная работа в рамках центра способствует повышению эффективности тестирования столь объемного программного кода, совершенствованию и распространению лучших практик разработки безопасного ПО, которые также могут быть применимы при исследовании безопасности собственных разработок».

«В настоящее время Центр занимается критически важной для всех разработчиков проблемой — оценкой безопасности ядра системы, которое по сути является корнем, центром всех задач, решаемых ОС на базе Linux, — говорит Рустам Рустамов. — Если мы не получим стабильное, надежное, безопасное ядро, то строить остальную систему вокруг него тоже бессмысленно; это будет колосс на глиняных ногах. Более того, Центр взял на себя непростую задачу по повышению уровня компетенций разработчиков и их вовлечение в официальное сообщество ядра Linux».

Игорь Королев



CNews Forum 2024 CNews Forum 2024

erid:

Рекламодатель:

ИНН/ОГРН:

byteoilgas_conf 2024 byteoilgas_conf 2024

erid:

Рекламодатель:

ИНН/ОГРН:

LANSOFT: время комплексных бизнес-решений LANSOFT: время комплексных бизнес-решений

erid:

Рекламодатель:

ИНН/ОГРН:

Orion Digital Day Orion Digital Day

erid:

Рекламодатель:

ИНН/ОГРН: