Министерство по развитию информационных технологий и коммуникаций республики узбекистан каршинский филиал ташкентского университета

 
Задача: Повторить проделанную работу по включению, отключению 
SELinux, а также смены политики или режима работы программы. 
Рассмотреть работу с контекстом, модулями политики, а также флагами. 
Практическая работа №5 
Тема: Настройка механизма организации закрытой программной среды. 
Контроль целостности комплексных систем защиты
Цель работы: 
Изучение принципов и технологий контроля целостности данных, 
используемых в ОС. 
Используемое программное обеспечение 
Для выполнения лабораторной работы используется установленный 
дистрибутив ОС Astra Linux 
Теоретическая часть: 
Автоматизированная система обеспечения безопасности (АСОБ) на базе 
ОС должна обеспечивать функции проверки доступа к объектам файловой 
системы и контроля целостности содержимого данных и исполняемых файлов. 
Такой контроль позволяет с уверенностью сказать, что обрабатываемые 
системными процессами ОС данные не обладают незадекларированными 
возможностями для АСОБ. 
Системы комплексной защиты (СКЗ) включают в себя инструменты, 
выполняющие функции управления целостностью персональных данных для 

---

42 
решения задачи контроля целостности ОС: 
• Контроль файлов и оптических дисков. расчет и проверка суммы; 
• контроль соответствия дистрибутива; 
• регулярный контроль целостности; 
• создать закрытую программную среду. 
Основным способом контроля целостности объектов файловой системы 
ОС является Контроль. контролируя их изменение, вычисляя сумму. 
Контрольная сумма — это значение, вычисляемое из набора данных по 
определенному алгоритму и используемое для проверки целостности данных 
при передаче или хранении. Используется для быстрого сравнения двух 
наборов данных на эквивалентность: разные Contr. вероятность получить 
сумму очень высока. 
Алгоритмы вычисления контрольных сумм обычно делятся на два типа: 
• Алгоритмы общего назначения. К таким алгоритмам относятся, в 
первую очередь, алгоритмы CRC8, CRC16, CRC32, которые используются для 
проверки целостности цифровых данных по каналам связи, проверки 
периодического повторения (CRC); 
• Криптографические алгоритмы. Эти алгоритмы основаны на процедуре 
хеширования — преобразовании строки входных данных произвольной длины 
в строку выходных битов фиксированной длины. К таким алгоритмам 
относятся, например, семейства алгоритмов MD (Message Digest Algorithm — 
MD2-MD6), SHA (Secure Hash Algorithm — SHA-1, SHA-2), ГОСТ Р 34.11 и 
др. Областью применения этих алгоритмов является подтверждение 
целостности и подлинности передаваемых и хранимых данных. 
В состав ОС KHT входят следующие средства контроля целостности: 
1. Команды, реализующие криптографические алгоритмы: 
• md5sum (реализация алгоритма MD5); 
• shasum (реализация семейства алгоритмов SHA-224, SHA-256, SHA-384, 
SHA-512, SHA-512/256 и SHA-512/224). 
1. Инструменты проверки совместимости файловых объектов ОС с ее 
дистрибутивом: 
• команда gostsum (реализация ГОСТ Р 34.11-94, ГОСТ Р 34.11-2012 256 
и 512 битный алгоритм); 
• графическая утилита fly-admin-int-check. 
Определенные команды и утилиты реализуют управление статической 
целостностью файловых объектов ОС, включая следующие компоненты: 
1. Система контроля целостности файлов (FIM - File Integrity Monitoring) 
AFICK (Another File Integrity Checker), осуществляющая регулярный 
(периодический) контроль целостности файловых объектов ОС - вариант 

---

43 
динамического управления целостностью. 
2. Механизм проверки целостности исполняемых файлов и общих 
библиотек в формате ELF при запуске приложения. Делается это в модуле ядра 
digsig_verif выгруженного ядра ОС и обеспечивает: 
• Контроль целостности файлов и разделяемых библиотек на основе 
проверок, рассчитанных по электронной подписи, реализован в соответствии 
с ГОСТ Р 34.11-94, ГОСТ Р 34.11-2012 и ГОСТ Р 34.10-2001 и ГОСТ Р 34.10-
2012. Контрольная сумма и электронная подпись помещаются в ELF-файлы 
при компиляции ОС; 
• добавление электронной подписи к исполняемым файлам в формате 
ELF, входящим в состав установленного ПО. 
Команды и утилиты управления статической целостностью работают в 
режимах вычисления и проверки контрольных сумм файловых объектов ОС. 
Например, команда shasum в контрольной сумме файлового объекта с 
именем /root/file с использованием алгоритма SHA-256 имеет следующий 
синтаксис: 
shasum –a 256 /root/file 
В режиме контрольной суммы файловых объектов команды статической 
проверки целостности вычисляют свой полный путь для объектов, проверка 
ссылок которых указана в текстовом файле, и сравнивают их с суммой ссылок 
этого файла. Результатом их выполнения в режиме проверки контрольных 
сумм является передача строки формата в стандартный вывод (при совпадении 
контрольных сумм): 
полный_путь_к_файловой_сущности: ОК 
или (если они не совпадают): 
полный_путь_к_файловой_сущности: FAILED 
Например, команда shasum использует алгоритм SHA-256 и управление 
файловыми объектами в каталоге /root/dir1. В режиме контрольной суммы и 
наличии текстового файла со ссылочной суммой /root/dir1.sha доступен 
следующий синтаксис: 
shasum –a 256 –s /root/dir1.sha 
ГОСТ Р 34.11-2012 Контроль файловых объектов ОТ с использованием 
256-битного криптографического алгоритма. Чтобы вычислить сумму, 
используйте команду cossum со следующим синтаксисом: 
Gostsum full_path_to_file_summary 
full_path_to_file_summary_with_control_sum 

---

44 
Рисунок 1. Проверка целостности системы 
Для выполнения этой проверки проверяются все файлы, созданные 
командой gossum в дистрибутиве ОС и включенные в пакеты программного 
обеспечения дистрибутива. включает файл gostsums.txt, содержащий список 
сумм. Полученный отчет сохраняется в формате *.txt, *.htm и *.xml. 
Проверка совместимости установленных модулей ОС с модулями, 
входящими в ее дистрибутив, является опцией статического управления 
целостностью и обеспечивает контроль целостности файловых объектов, 
копируемых в корневой раздел ОС на этапе установки. Убедиться в отсутствии 
изменений материальных объектов модулей в процессе их эксплуатации. 
Однако такая проверка малоэффективна для файловых объектов, которые 
многократно изменяются в процессе работы ОС, например конфигурационных 
файлов. Кроме того, проверка целостности совокупности файлов сама по себе 
не влияет на такие атрибуты файлов, как временные метки, дискреционные 
атрибуты (минимальный ACL и EA ACL) и обязательные метки безопасности. 
Для расширенного контроля целостности файлов, обеспечивающего проверку 

---

45 
перечисленных атрибутов файлов, ОС использует систему контроля 
целостности файлов AFICK, которая выполняет контроль целостности файлов 
и их атрибутов с использованием криптографических алгоритмов MD5 и SHA-
1. В ОТ используется модифицированная версия системы AFICK, в которой 
дополнительно реализован криптографический алгоритм ГОСТ Р 34.11 (для 
приложения госсум дополнительно добавлены алгоритмы ГОСТ Р 34.11-94 и 
ГОСТ Р 34.11-2012 с длиной ключа 256 или 512 бит' поддерживается'), а также 
теги мандата аудита безопасности и атрибуты подсистемы управления. Кроме 
того, в системе AFICK есть возможность настройки правил проверки 
целостности каталогов. 
За счет интеграции системы AFICK со службой выполнения программ в 
расписание cron можно осуществлять регулярный (периодический) контроль 
целостности файловых объектов ОС. 
 
Рисунок 4.2. программа AFICK 
Система AFICK имеет следующий интерфейс (для запуска можно 
использовать команду afick-tk): 
Файл конфигурации AFICK /etc/afick.conf состоит из текстовых файлов,