Astra Linux Special Edition на корпоративных ноутбуках организации: выбор уровня защищённости, замкнутая программная среда (ЗПС) и совместимость железа
Самый частый провал миграции офисного парка ноутбуков на Astra Linux Special Edition (SE 1.7 / 1.8) случается в первый же день раскатки: начинающий администратор, не посоветовавшись с архитектором ИБ, при установке выбирает максимальный уровень защищённости («Смоленск») со включённым мандатным управлением доступом (МРД) и строгим режимом замкнутой программной среды (ЗПС) для обычных менеджеров и бухгалтеров — и наутро у 200 человек не запускается скачанный из браузера плагин ВКС, не открываются вложения на флешке, а служба поддержки парализована лавиной звонков!
В современной единой поставке Astra Linux Special Edition один и тот же дистрибутив из Единого реестра российского ПО Минцифры поддерживает три выбираемых при установке уровня защищённости, которые подбираются строго по Модели угроз и классу защищённости вашей ГИС / ИСПДн / АСУ КИИ (приказы ФСТЭК России № 17, № 21, № 239)!
Три уровня защищённости Astra Linux SE: какой выбрать для ноутбука конкретной роли
Уровень защищённости Astra Linux SE |
Какие механизмы безопасности ядра PARSEC активны |
Кому реально нужен на ноутбуке |
|---|---|---|
| 1. Базовый уровень («Орёл») | Дискреционное разграничение доступа (DAC), базовый аудит, ufw / nftables, поддержка ALD Pro |
Массовый коммерческий офис, образование, сотрудники без жёстких категорированных контуров ФСТЭК — максимальный комфорт пользователя и нулевые накладные тормоза! |
| 2. Усиленный уровень («Воронеж») | Мандатный контроль целостности (МКЦ — защита системных файлов от троянов даже с правами sudo!), замкнутая программная среда (ЗПС — запуск только бинарников с проверенной ЭП!), очистка оперативной и внешней памяти |
Золотой стандарт 90 % корпоративных ноутбуков субъектов 152-ФЗ (ИСПДн), ГИС 1–3 класса и значимых объектов КИИ без государственной тайны! |
| 3. Максимальный уровень («Смоленск») | Всё вышеперечисленное ПЛЮС полнофункциональное мандатное управление доступом (МУД с метками конфиденциальности сессий, файлов, сетевых сокетов IPSO/CIPSO и принтеров!) |
Строго специализированные аттестованные АРМ для обработки сведений с грифом секретности / жёстким разделением контуров конфиденциальности! |
Пять практических тонкостей настройки ноутбука под Astra Linux SE, экономящих месяц работы отдела ИТ
- Правильная подпись стороннего корпоративного ПО для режима
ЗПС(digsig / bsign): когда на ноутбуке включён режим замкнутой программной среды (ЗПС), ядро Linux отказывает в выполнении (Operation not permitted) любому исполняемому ELF-файлу и.so-библиотеке (например, платформе 1С:Предприятие 8.3 нативный Linux-клиент,КриптоПро CSP 5.0 R3или браузеру), если пакет не подписан ключом из доверенного хранилища/etc/digsig/keys/! Выпустите на внутреннем удостоверяющем стенде ИБ собственный корпоративный ключ подписи ЗПС, подписывайте проверенные.deb-пакеты централизованно в корпоративном репозитории — и у пользователей всё обновляется прозрачно без отключения защиты! - Работа с
УКЭП, Рутокен ЭЦП 3.0 / JaCarta иМЧДв браузере: ставьте пакетыpcsc-lite,libccid,cprocsp-rdr-rutoken / jacarta, нативный пакетКриптоПро ЭЦП Browser plug-inдляDEB x64иЯндекс Браузер для организаций/Chromium-Gost— связка с МЧД формата 003 на ЭТП и Госуслугах работает нативно и даже быстрее, чем на замусоренных реестрах Windows! - Проверка Wi-Fi, сканера отпечатка пальца и режима сна
ACPI S3 / S0ixДО закупки ноутбука! Опирайтесь на официальную программу сертификации Ready for Astra Linux (astralinux.ru/ready) и протестированные корпоративные ноутбуки отечественных вендоров. Главные камни преткновения дешёвых несертифицированных ноутбуков в Linux:- ультрабюджетные экзотические сканеры отпечатка пальца на шине
SPIбез драйвераlibfprint(корпоративные модели с чипами Goodix / Synaptics Match-on-Chip работают из коробки!); - современный режим ожидания
Modern Standby (S0ix)с кривой таблицей DSDT в BIOS дешёвого ноутбука, высаживающий батарею в рюкзаке за ночь на40 %!
- ультрабюджетные экзотические сканеры отпечатка пальца на шине
- Шифрование раздела
LUKS2на потерянном в такси командировочном ноутбуке: обязательно включайте на этапе разметки установщика полнодисковое шифрованиеLUKS(либо сертифицированные средства криптозащиты диска) для всех выездных сотрудников — без него любой нашедший потерянный ноутбук за 30 секунд смонтирует раздел/homeс обычной Live-флешки и скопирует всю корпоративную почту и договоры!
Чек-лист системного администратора перед выдачей ноутбука с Astra Linux SE сотруднику
- [ ] Выбрано свежее ядро ветки
generic(6.1 / 6.6+) в загрузчике GRUB для современных мобильных процессоров с гибридными ядрамиP-cores + E-coresи свежей встроенной графикиIntel Iris Xe / ArcиAMD Radeon 780M/880M! - [ ] Проверены корпоративные шрифты метрической совместимости (
PT Astra Sans / PT Astra Serif / XO Fonts), чтобы многостраничные таблицы и шапки договоров.docx / .xlsxне «съезжали» на лишнюю строку при печати! - [ ] Протестирована сетевая печать по протоколу
IPP Everywhere / AirPrint (driverless CUPS)на все этажные МФУ без устаревших проприетарных PPD-скриптов! - [ ] Настроен автоматический вывод журналов информационной безопасности (
auditd / parsec-auditor / syslog) с ноутбука по защищённому каналуTLSв корпоративную систему мониторинга событийSIEM(KUMA, MaxPatrol SIEM, RuSIEM) с буферизацией на локальном диске на время нахождения сотрудника в командировке!
Частые вопросы
Можно ли запускать на ноутбуке с Astra Linux старую узкоотраслевую Windows-программу (например, старый банк-клиент или инженерный калькулятор .exe), для которой вендор ещё не выпустил Linux-версию?
Для обычных прикладных расчётных .exe-утилит отлично работает слой совместимости Wine / отечественный коммерческий пакет ПРОТОН / Wine@Etersoft (поддерживающий даже COM-объекты и проброс USB-ключей!). Однако если Windows-программа требует тяжёлых низкоуровневых драйверов ядра .sys, намного надёжнее опубликовать её как удалённое терминальное приложение RemoteApp / VDI с одного защищённого терминального сервера в ЦОД организации — на экране ноутбука в Astra Linux она откроется как обычное аккуратное окно с пробросом локального принтера и смарт-карты!