Альт 8 СП (pелиз 9 и 10)

Используется утилита osec в соответствии с руководством по комплексу средств защиты от «Базальт СПО» ("Руководство по комплексу средств защиты.pdf").

Если утилита не установлена, установка производится командой:

apt-get install osec

Все действия выполняются от имени администратора (root).

Включение контроля целостности

Проверить, что сервис контроля целостности при загрузке активирован (enabled). Для этого выполнить команду:
```
# systemctl is-enabled integalert
```
Если в результате запуска команды будет получен ответ disabled, выполнить команду для активации сервиса контроля целостности:
```
# systemctl enable integalert*
```
Определить каталоги для проверки целостности osec.
Выполнить запуск osec:
- выполнить команду:
  # integalert fix
- или сформировать контрольные суммы для измененных / новых объектов и занести их в базу данных. Для этого выполнить команду:
  # osec -f /etc/osec/dirs.conf -D /var/lib/osec/
Для фиксации изменений и проверки конфигурации выполнить команду:
```
# systemctl restart osec
```
Проверка целостности системы при помощи osec выполняется командой integalert.

При необходимости можно настроить / изменить периодичность запуска osec.

Определение и изменение каталогов для проверки целостности

По умолчанию отслеживаются изменения в папках /bin, /sbin, /usr/bin, /usr/sbin.

Для того, чтобы определить или изменить список каталогов для проверки целостности, например, /bin, /sbi, /lib, /lib64, нужно отредактировать список каталогов, который хранится в файле /etc/osec/dirs.conf (строки, начинающиеся со знака #, игнорируются):

# vim /etc/osec/dirs.conf

После внесения изменений в файл /etc/osec/dirs.conf необходимо выполнить запуск osec.

Периодичность запуска osec

Кроме пакета программного комплекса osec в систему устанавливается пакет osec-timerunit. Он позволяет задать способ и периодичность запуска osec (файлы /lib/systemd/system/osec.service, /lib/systemd/system/osec.timer). В пакете osec-timerunit есть файл с заданием для демона cron и конфигурационные файлы (dirs.conf).

Для проверки статуса периодического контроля целостности выполнить команду:

# systemctl status osec.timer

Для активации периодического контроля целостности выполнить команды:

# systemctl enable osec.timer
# systemctl start osec.timer

По умолчанию в osec.timer задан запуск проверки ежедневно в полночь.

Если необходимо задавать другие периоды запуска osec, то необходимо создать файл /etc/systemd/system/osec.timer с измененными периодами и перезагрузить демон systemd:

# cp /lib/systemd/system/osec.timer /etc/systemd/system/osec.timer
# vim /etc/systemd/system/osec.timer
# systemctl daemon-reload

Проверка механизма контроля целостности

Для проведения теста необходимо авторизоваться в системе от имени администратора.

Подготовить каталог для базы данных:

# mkdir /tmp/base
# chown osec:osec /tmp/base
# cp -ar /var/lib/osec/* /tmp/base

Сформировать контрольные суммы объектов (список путей к ним хранится в файле /etc/osec/dirs.conf) и занести их в базу данных /tmp/base.
Результат работы osec выводится на консоль, поэтому для перенаправления вывода результата в текстовый файл /tmp/report1 нужно выполнить команду:
```
# osec -f /etc/osec/dirs.conf -D /tmp/base/ –r >/tmp/report1
```
Не производя никаких изменений в системе, запустить osec повторно и вывести результат работы в текстовый файл /tmp/report2:
```
# osec -f /etc/osec/dirs.conf -D /tmp/base/ -r >/tmp/report2
```
Сравнить два результирующих файла /tmp/report1 и /tmp/report2:
```
# diff -u0 /tmp/report1 /tmp/report2
```
Два отчета должны совпадать, в консоли не должно быть выведено никаких различий.
Выполнить изменения в контролируемых файлах / директориях (добавить, удалить и т.д.)
Запустить osec в режиме "только чтение" и перенаправить вывод в текстовый файл /tmp/report3:
```
# osec -f /etc/osec/dirs.conf -D /tmp/base/ -r > /tmp/report3
```
Сравнить два результирующих файла /tmp/report2 и /tmp/report3:
```
# diff -u0 /tmp/report2 /tmp/report3
```
Ожидаемые результаты: сведения об изменениях, сделанных выше с конфигурационными файлами, должны выводиться на консоль.

Порядок восстановления целостности системы

В случае выявления нарушения целостности:

при проверке целостности системы командой integalert;
при загрузке ОС — вывод визуального оповещения с обязательным подтверждением дальнейшей загрузки ОС. Система загружается в однопользовательском режиме с запросом пароля суперпользователя.

Порядок восстановления:

От имени администратора (root) выполнить просмотр лога аудита и найти нарушение целостности.
Восстановить объект с нарушенной целостностью — заменить на эталон / переустановить или пропустить при подтверждении корректности внесенного в объект изменения.
Запустить восстановление целостности системы. Если система контроля целостности IMA / EVM не инициализирована, выполнить команду:
```
# integalert fix
```
или сформировать контрольные суммы для измененных / новых объектов и занести их в базу данных. Для этого выполнить команду:
```
# osec -f /etc/osec/dirs.conf –D /var/lib/osec
```

Перезагрузить систему.

После настройки и постановки файлов на контроль целостности любые изменения конфигурации компонентов должны происходить через службу ИБ с последующим обновлением внутренней БД утилиты.