Защита от несанкционированной загрузки операционной системы: средства BIOS, электронные «замки», достоинства и недостатки этих средств

Для защиты от несанкционированного входа в персональную компьютерную систему могут использоваться как общесистемные, так и специализированные программные средства защиты.

К общесистемным средствам относится утилита Setup , входящая и состав BIOS и предназначенная для настроек аппаратных параметров компьютера. Для реализации рассматриваемого вида защиты необходимо с помощью данной утилиты установить следующие параметры загрузки компьютера:

порядок загрузки операционной системы (ОС), задающий первичную загрузку с жесткого диска (устройство С:);

запрос пароля перед загрузкой операционной системы. Установка первичной загрузки с жесткого диска необходима для предотвращения возможности загрузки ОС с дискеты или компакт-диска, так как некоторые устаревшие версии BIOS позволяют осуществить загрузку с дискеты без запроса пароля. Если используемая версия BIOS при установленном пароле загрузки обеспечивает запрос пароля и при загрузке с дискеты, что, как правило, реализовано в современных версиях базовой системы ввода-вывода, то изменять порядок загрузки для защиты от несанкционированного входа в компьютерную систему нет необходимости.

Запуск утилиты Setup выполняется, как правило, нажатиями клавиши Del после активизации процесса загрузки операционной мы, т. е. после включения компьютера или перезапуска после нажатия кнопки Reset в процессе сеанса работы пользователя.

После запуска утилиты необходимо войти в пункт меню « BIOS Features Setup » (« Advanced CMOS Setup ») и с помощью клавиш PgUp и PgDn установить следующие переключатели: «Boot Sequence» («System Boot Up Sequence») — в положение « С , А » или « С , CDROM, A»; «Security Option» («Password Checking Options») — а положение «System».

Далее следует задать пароль входа в систему с помощью пункта меню « Password Setting » (« Change Password »), а потом сохранить сделанные изменения и выйти из утилиты с помощью пункта меню « Save & Exit Setup ».

После указанных действий загрузка компьютера будет выполняться только после ввода правильного пароля.

При необходимости изменения пароля следует активизировать утилиту Setup , изменить пароль с помощью пункта меню « Password Setting » (« Change Password »), а потом сохранить сделанные изменения и выйти из утилиты с помощью пункта меню « Save & Exit Setup »

Недостатком реализации защиты от несанкционированной загрузки компьютера с помощью утилиты BIOS Setup является то, что установленная с помощью данной утилиты защита может быть преодолена путем принудительного обнуления содержимого энергонезависимой памяти компьютера ( CMOS -памяти) после вскрытия его корпуса.

Наиболее надежное решение проблемы ограничения физического доступа к компьютеру – использование аппаратных средств защиты информации от НСД, выполняющихся до загрузки операционной системы. Средства защиты данной категории называются «электронными замками».

Теоретически, любое программное средство контроля доступа может подвергнуться воздействию злоумышленника с целью искажения алгоритма работы такого средства и последующего получения доступа к системе. Поступить подобным образом с аппаратным средством защиты практически невозможно: все действия по контролю доступа пользователей электронный замок выполняет в собственной доверенной программной среде, которая не подвержена внешним воздействиям.

На подготовительном этапе использования электронного замка выполняется его установка и настройка. Настройка включает в себя следующие действия, обычно выполняемые ответственным лицом – Администратором по безопасности:

Создание списка пользователей, которым разрешен доступ на защищаемый компьютер. Для каждого пользователя формируется ключевой носитель (в зависимости от поддерживаемых конкретным замком интерфейсов – дискета, электронная таблетка iButton или смарт-карта), по которому будет производиться аутентификация пользователя при входе. Список пользователей сохраняется в энергонезависимой памяти замка.
Формирование списка файлов, целостность которых контролируется замком перед загрузкой операционной системы компьютера. Контролю подлежат важные файлы операционной системы, например, следующие:
- системные библиотеки Windows;
- исполняемые модули используемых приложений;
- шаблоны документов Microsoft Word и т. д.

Читайте так же:

Как синхронизировать все фотографии с айфона на компьютер

Контроль целостности файлов представляет собой вычисление их эталонной контрольной суммы, например, хэширование по алгоритму ГОСТ Р 34.11-94, сохранение вычисленных значений в энергонезависимой памяти замка и последующее вычисление реальных контрольных сумм файлов и сравнение с эталонными.

В штатном режиме работы электронный замок получает управление от BIOS защищаемого компьютера после включения последнего. На этом этапе и выполняются все действия по контролю доступа на компьютер (см. упрощенную схему алгоритма н ), а именно:

Замок запрашивает у пользователя носитель с ключевой информацией, необходимой для его аутентификации. Если ключевая информация требуемого формата не предъявляется или если пользователь, идентифицируемый по предъявленной информации, не входит в список пользователей защищаемого компьютера, замок блокирует загрузку компьютера.
Если аутентификация пользователя прошла успешно, замок рассчитывает контрольные суммы файлов, содержащихся в списке контролируемых, и сравнивает полученные контрольные суммы с эталонными. В случае, если нарушена целостность хотя бы одного файла из списка, загрузка компьютера блокируется. Для возможности дальнейшей работы на данном компьютере необходимо, чтобы проблема была разрешена Администратором, который должен выяснить причину изменения контролируемого файла и, в зависимости от ситуации, предпринять одно из следующих действий, позволяющих дальнейшую работу с защищаемым компьютером:
- пересчитать эталонную контрольную сумму для данного файла, т.е. зафиксировать измененный файл;
- восстановить исходный файл;
- удалить файл из списка контролируемых.
Если все проверки пройдены успешно, замок возвращает управление компьютеру для загрузки штатной операционной системы.

Поскольку описанные выше действия выполняются до загрузки операционной системы компьютера, замок обычно загружает собственную операционную систему (находящуюся в его энергонезависимой памяти – обычно это MS-DOS или аналогичная ОС, не предъявляющая больших требований к ресурсам), в которой выполняются аутентификация пользователей и проверка целостности файлов. В этом есть смысл и с точки зрения безопасности – собственная операционная система замка не подвержена каким-либо внешним воздействиям, что не дает возможности злоумышленнику повлиять на описанные выше контролирующие процессы.

Информация о входах пользователей на компьютер, а также о попытках несанкционированного доступа сохраняется в журнале, который располагается в энергонезависимой памяти замка. Журнал может быть просмотрен Администратором.

При использовании электронных замков существует ряд проблем, в частности:

Глава 17 Настройка защиты системы

Операционная система обладает множеством механизмов, которые обеспечивают ее стабильность и устойчивость к разным сбоям и неполадкам. Одним из них является механизм работы с точками восстановления операционной системы (подробнее о точках восстановления читайте в главе 21).

Операционная система способна создавать любое количество точек восстановления, что рано или поздно может привести к полному заполнению жесткого диска и сделать невозможной работу операционной системы и выполнение программ. По этой причине параметры защиты системы, в том числе и работу с точками восстановления, можно настраивать.

Чтобы получить доступ к параметрам защиты системы, необходимо открыть Панель управления и запустить механизм Система (см. рис. 16.11).

В результате откроется окно свойств системы, содержащее несколько вкладок с разной информацией и механизмами настройки. Нас интересует содержимое вкладки Защита системы (рис. 17.1).

Рис. 17.1. Содержимое вкладки Защита системы

На этой вкладке содержится информация, касающаяся защиты и восстановления системы, в частности связанная с возможностью создания точек восстановления.

Что касается механизма создания точек восстановления системы, то он работает только с теми разделами диска и сохраняет данные только тех разделов диска, для которых включена защита системы. Состояние соответствующего параметра отображается в списке рядом с названиями разделов диска или дисков. В нашем случае в списке находятся два раздела диска и у каждого параметр Защита имеет значение Включено.

Таким образом, это означает, что при наступлении времени создания точки восстановления системы в этом процессе будут задействованы все имеющиеся разделы диска. При этом чем больше размер разделов, тем больше места потребуется для хранения точки восстановления.

Читайте так же:

Настройка компьютера после установки системы

Теперь представьте себе ситуацию, что у вас установлен жесткий диск объемом 750 Гбайт и на нем находится не два, а четыре раздела, при этом объем диска более или менее равномерно распределен между этими разделами, а в некоторых разделах диска, кроме системного, находится информация, важность которой абсолютно некритична, например коллекция фильмов, музыкальные сборники и архивы программ. Кроме того, точка восстановления захватывает только системные файлы, системный реестр и файлы типа «документ». Если же в разделе диска ничего из приведенного списка нет, не имеет смысла вообще использовать защиту данных на нем, тем более что для этих целей система резервирует определенный объем места.

Итак, мы пришли к тому, что необходимо каким-то образом исключить некоторые разделы диска из процесса создания точек восстановления. Сделать это достаточно просто. Выделите в списке раздел, который нужно исключить из архивирования, и нажмите кнопку Настроить. Появится окно, показанное на рис. 17.2.

На выбор пользователя предоставлено три варианта защиты системы.

? Восстановить параметры системы и предыдущие версии файлов. Если выбрать этот вариант защиты, то в создаваемую точку восстановления операционной системы будет включен не только текущий системный реестр, но и файлы данных из указанных разделов. В этом случае размер точки восстановления будет максимальным.

? Восстановить только предыдущие версии файлов. В данном случае в архив будет включено все, кроме системного реестра. Размер точки восстановления будет большим, но не таким, как в максимальном варианте защиты.

? Отключить защиту системы. При этом варианте защита выбранного раздела будет отключена совсем, и если потребуется восстановление операционной системы, то данные в указанном разделе не будут восстановлены.

Как видите, выбирая то или иное положение переключателя, вы тем самым регулируете размер архива, создаваемого системой. Для максимальной экономии места на жестком диске можно отключить защиту раздела, тем более если на нем ничего полезного не находится. Если выбран этот вариант, то после нажатия кнопки ОК появится окно с предупреждением, что все созданные точки восстановления операционной системы будут удалены и далее создаваться не будут (рис. 17.3).

Рис. 17.2. Настраиваем систему защиты

Рис. 17.3. Предупреждение системы

Если вы все же решили, что защита системы должна быть задействована для всех разделов, но в то же время хочется, чтобы архивы точек доступа занимали меньше места, можно уменьшить общий объем диска, отводимый для хранения всех точек доступа. Для этого используется ползунок в нижней части окна, показанного на рис. 17.2. Под ползунком отображается объем, который отводится для хранения точек доступа, а над ползунком – текущий использованный объем. Потянув ползунок влево, вы можете уменьшить общий объем архивов до того предела, какой вам покажется достаточным для их хранения.

Данный текст является ознакомительным фрагментом.

Продолжение на ЛитРес

SafeNode System Loader

Комплексная и многофункциональная защита информационных ресурсов рабочих станций и серверов.

Заполните форму для получения демоверсии

Полная функциональность пробной версии в течение 30 дней

Средство доверенной загрузки «SafeNode System Loader» (СДЗ) представляет собой программно-техническое средство, встраиваемое в UEFI BIOS, обеспечивающее защиту от несанкционированного доступа к рабочим станциям и серверам с момента их включения до момента старта операционной системы.

Решаемые задачи

Защита от несанкционированного доступа на этапе загрузки устройства.
Обеспечение блокировки загрузки нештатных операционных систем.

Выполнение требований приказов ФСТЭК России:

№17 по защите государственных информационных систем (ГИС);
№21 по защите информационных систем персональных данных (ИСПДн);
№31 по защите автоматизированных систем управления технологическим процессом (АСУ ТП);
№239 по защите значимых объектов критической информационной инфраструктуры (КИИ).

Преимущества продукта

Возможность установки в UEFI BIOS различных производителей.
Программная установка без вскрытия корпуса ПК.
Централизованная установка, применение шаблонов администрирования и сбор аудита.
Контроль неизменности UEFI методом проверки целостности состава его модулей, а также целостности системных таблиц UEFI.
Двухфакторная аутентификация до загрузки операционной системы.
Контроль работоспособности ОЗУ.

Сертификация

«SafeNode System Loader» соответствует требованиям руководящих документов ФСТЭК России к средствам доверенной загрузки уровня базовой системы ввода-вывода 2 класса и может использоваться для построения:

автоматизированных систем, обрабатывающих сведения, составляющие государственную тайну, до класса защищённости 2А включительно;
автоматизированных систем, не обрабатывающих сведения, составляющие государственную тайну, до класса защищенности 1Г включительно;
государственных информационных систем до класса защищенности К1 включительно;
информационных систем персональных данных до 1 уровня защищенности включительно;
автоматизированных систем технологическими процессами до 1 класса защищенности включительно;
значимых объектов критической информационной инфраструктуры до 1 категории включительно.

Если у вас есть вопросы по продукту, пожалуйста, обратитесь к нашим специалистам.

Ключевые возможности

Двухфакторная аутентификация
Двухфакторная аутентификация пользователей с помощью аппаратных носителей (токенов), пароля и их сочетания. Обеспечивается поддержка носителей:

JaCarta PKI, JaCarta ГОСТ (USB-носитель и смарт-карта), JaCarta PKI/ГОСТ, JaCarta-2 ГОСТ (USB-носитель и смарт-карта);
Рутокен ЭЦП, Рутокен ЭЦП 2.0 (USB-носитель и смарт-карта), Рутокен Lite, Рутокен 2151, Рутокен ЭЦП PKI (смарт-карта);
eToken Pro Java;
SafeNet eToken 5100, SafeNet eToken 5105, SafeNet eToken 5200, SafeNet eToken 5205.

Журнал событий безопасности
Централизованный сбор событий аудита.

Шаблоны администрирования
СДЗ настраивается как локально, так и централизованно с помощью шаблонов настроек политик безопасности.

Управление политиками
СДЗ обеспечивает возможность администрирования механизма контроля целостности и аутентификации путем создания настроек групповых политик.

СДЗ предоставляет возможность назначения каждому пользователю нескольких политик контроля целостности. В случае обнаружения нарушения целостности в нескольких политиках одновременно, применяются правила наиболее строгого типа блокировки.

СДЗ обеспечивает возможность формирования отчета о настройках безопасности на объекте информатизации для создания его паспорта.

В СДЗ реализована возможность расчета контрольных сумм для анализа целостности объектов по алгоритмам MD4, MD5, SHA1, SHA256, SHA384, SHA512. Компоненты, целостность которых контролируется:

загрузочные сектора устройств хранения данных ЭВМ;
аппаратное обеспечение (аппаратная конфигурация) ЭВМ;
переменные и драйвера среды UEFI;
таблицы ACPI и SMBIOS;
журналы транзакций файловых систем NTFS, EXT3, EXT4;
пользовательские файлы и файлы ОС, расположенные на файловых системах Ext2/Ext3/Ext4, FAT32, NTFS;
реестр для ОС семейства Microsoft Windows.

Отчеты по политикам
СДЗ обеспечивает возможность формирования отчета о настройках и политиках безопасности, применяемых на объекте информатизации, в котором содержатся:

перечень применяемых политик аутентификации и контроля целостности;
список учетных записей пользователей;
перечень контролируемых файлов, объектов реестра ОС Windows; параметров среды UEFI;
загрузочных секторов и устройств;
перечень доступных операционных систем;
дополнительную информация об АРМ пользователя (подразделение, рабочее место, номер и имя ЭВМ и т.п.).

Защита от обхода и самотестирование
СДЗ обеспечивает:

невозможность загрузки нештатной операционной системы;
блокировку загрузки с внешних носителей;
блокировку возможности обхода процесса доверенной загрузки с помощью внешних органов управления;
защиту BIOS Setup от несанкционированной модификации;
защиту от доступа пользователей в BIOS Setup;
возможность блокировки загрузки пользователями нештатных копий ОС с различных устройств ввода информации.

контролирует свое состояние и исключает возможность доступа к системе, если целостность программных модулей нарушена;
отслеживает выполнение программного кода собственных модулей в однозначно определенном порядке.

Установка СДЗ

СДЗ может быть установлено на совместимые рабочие станции и серверы как локально, так и централизованно. Установка должна проводиться опытным сотрудником при поддержке технических специалистов «Газинформсервис».
СДЗ может быть предустановлено на устройство, при выпуске совместных решений компании «Газинформсервис» и производителей рабочих станций и серверов.

Широкая поддержка платформ
СДЗ обеспечивает доверенную загрузку:

ОС семейств Microsoft Windows 2008R2/7/8.1/10/2012/2012R2/2016/2019, установленных на совместимые с архитектурой Intel x86-64 ЭВМ;
ОС семейств Linux/Unix, поддерживающих стандарт Linux Standard Base (LSB) версии не ниже 3.0, в том числе систем виртуализации VMware ESX, VMware ESXi, установленных на совместимые с архитектурой Intel x86-64
ЭВМ;
ОС на ЭВМ с EFI/UEFI BIOS с версией спецификации 2.0 и выше.

А также обеспечивает поддержку:

доверенной загрузки ОС с MBR и GPT-разделов;
работы с загрузчиками GRUB, LILO, NTLDR и пр.

Отказоустойчивость и восстановление СДЗ

СДЗ поддерживает возможность восстановления доступа учетной записи администратора к СДЗ с помощью мастер-ключа, сохранённого на аппаратном носителе.
СДЗ обеспечивает надежное восстановление в автоматическом режиме модулей ПО СДЗ после обнаружения нарушений целостности модулей.
СДЗ обеспечивает возможность создания резервной копии BIOS до установки изделия на ЭВМ при запуске инсталлятора.

Интерфейс «SafeNode System Loader»

Описание применения

259.5 KB

Руководство администратора

6.31 MB

Руководство администратора Linux_Windows

3.69 MB

Руководство по восстановлению

844.15 KB

Руководство по установке

4.42 MB

Руководство пользователя

1.68 MB

Если Вы хотите приобрести данный продукт, пожалуйста, заполните необходимые поля формы заказа и отправьте запрос нашим специалистам.

Бессрочная лицензия на право установки и использования операционной системы специального назначения «Astra Linux Special Edition» РУСБ.10015-01 версии 1.6 (ФСТЭК), для сервера, с включенной технической поддержкой тип "Стандарт" на 36 мес. (для образовательных организаций и библиотек)

Astra Linux Special Edition релиз «Смоленск» 1.6 — операционная система со встроенными верифицированными средствами защиты информации (СЗИ). Подходит для защищенных IT-инфраструктур любого масштаба и работы с данными любой степени конфиденциальности, включая государственную тайну «особой важности».
ОС включает программы для работы с документами, графикой и мультимедиа, интернет-браузер, почту, СУБД, web-сервер, средства для резервного копирования.

Может применяться на рабочих местах и как серверная платформа.

ОС Astra Linux Special Edition единственная в стране имеет полный набор сертификатов всех регуляторов:

ФСТЭК России — по 1-му классу защиты по требованиям безопасности информации к ОС общего назначения типа «А» и по первому, максимальному, уровню доверия к средствам технической защиты информации и обеспечения IT-безопасности. Данный сертификат подразумевает соответствие ОС всем предыдущим уровням доверия — с 6-го по 1-ый.
ФСБ России — на соответствие требованиям по защите информации в автоматизированных ИС и требованиям к ПО информационных и телекоммуникационных систем специального назначения;
Министерства обороны России — на соответствие требованиям безопасности.

Astra Linux Special Edition соответствует требованиям законодательства и нормативных документов:

приказа ФСТЭК России от 21.09.2016 №131;
федеральных законов №149-ФЗ и №44-ФЗ;
постановлений Правительства РФ №1236 и №325;
распоряжений Правительства РФ №1588-р;
приказа Минпромторга и Минэкономразвития России №1032/397;
приказа Минцифры России №334.

Система может без использования наложенных средств защиты применяться для работы:

с государственными информационными системами (ГИС) и торговыми площадками;
с информационными системами обработки персональных данных (ИС ПДН);
с компонентами критической информационной инфраструктуры (КИИ);
с вычислительными комплексами для обработки конфиденциальной коммерческой, банковской и служебной информации;
с системами для работы с информацией, составляющей гостайну, в том числе с грифом «особой важности» (СВТ классов «3А», «2А» и «1А»);
с защищенными комплексами виртуализации.

«Встроенные в ОС уникальные запатентованные СЗИ обеспечивают превентивную защиту от кибератак и потери информации в результате действий вирусов-шифровальщиков. Применяя AstraLinuxSpecialEdition, заказчик может быть уверен, что его IT-инфраструктура защищена уже на уровне операционной системы.»

Роман Мылицын, директор по инновациям ГК AstraLinux

Типы поддерживаемых устройств

Возможности и преимущества операционной системы Astra Linux Special Edition

Соответствие требованиям регуляторов обеспечивают:

встроенная система безопасности PARSEC;
мандатное разграничение доступа;
изоляция модулей;
очистка оперативной и внешней памяти и гарантированное удаление файлов;
маркировка документов;
регистрация событий;
защита информации в графической подсистеме;
ограничение действий пользователя (режим «киоск»);
защита адресного пространства процессов;
контроль замкнутости программной среды и целостности;
средства организации единого пространства пользователей;
защищенная среда виртуализации;
защищенная реляционная СУБД;
защищенные комплексы программ электронной почты и гипертекстовой обработки данных.

Для разных процессорных архитектур разработаны специальные релизы операционной системы:

голоса

Рейтинг статьи

Защита от несанкционированной загрузки операционной системы: средства BIOS, электронные «замки», достоинства и недостатки этих средств