СИСТЕМА ЗАЩИТЫ ИНФОРМАЦИИ Dallas Lock Linux. Руководство по эксплуатации ПФНА.501410.002 РЭ (2024 год)

Система защиты информации

Dallas Lock Linux

Руководство по эксплуатации

161



«Автоблок»

—

блокировка нарушителей, возникающая при кратном срабатывании правил.

Принимает значения: выключено



автоблокировка выключена; включено



автоблокировка

включена. По умолчанию установлено значение

выключено

. Данный параметр

работает только

для запрещающих правил, на разрешающие правила оно не влияет.

Если в атрибуте

«Действия» установлено значение

pass

, параметр «Автоблок» будет

недоступен.



«Описание»

—

дополнительная информация по правилу. Максимальное количество

символов:

128. Является обязательным атрибутом

Рисунок

. Созданное новое правило межсетевого экрана

4.11.1.2

Редактирование правила межсетевого экрана

Консольная оболочка администрирования

Для изменения правила межсетевого экрана

необходимо в консольной оболочке администрирования

в разделе

firewall

выполнить

команду

change-rule

. После ввода команды система перейдет в подменю

change-rule

, где необходимо задать параметры

правила, которые нужно изменить, используя атрибуты,

приведенные в

Таблица

49.

Таблица

№

Атрибут

Описание

id <

число

Указание идентификационного номера

правила

МЭ, которое

необходимо изменить.

Является обязательным атрибутом

Принимает значения

от 1 до 65535

profile <

значение

Редактирование наименования

профиля, который будет

включать в себя настраиваемое правило.

Является

обязательным атрибутом

action

<значение>

Изменение

операции, выполняемой при фильтрации

сетевых пакетов, для которых действует правило.

Является

обязательным атрибутом.

Принимает значения:



pass

–

пропустить сетевой пакет;



reject

–

отклонить сетевой пакет (при выборе

значения отправителю сообщается о недоступности
запрашиваемого сервиса)

protocol <

значение

Изменение

типа сетевого или транспортного протокола, на

основании которого осуществляется фильтрация сетевых
пакетов.

Является обязательным атрибутом.

Система защиты информации

Dallas Lock Linux

Руководство по эксплуатации

162

№

Атрибут

Описание

Принимает значения:



tcp;



udp;



icmp;



scr_addrs <

значение

Изменение

IP-

адреса отправителя.

Параметр включает локальные адреса, маски подсети или

IP-

адреса подсетей и диапазон

IP-

адресов

для которых

действует правило.

При вводе нескольких адресов необходимо разделить их
символом

«,».

Для

задания

диапазона

адресов

используется сетевая маска в формате

CIDR

и символ «/»

dst_addrs

<значение>

Изменение

IP-

адреса получателя.

Параметр включает локальные адреса, маски подсети или

IP-

адреса подсетей и диапазон

IP-

адресов

для которых

действует правило.

При вводе нескольких адресов необходимо разделить их
символом «,». Для установки диапазона адресов
используется сетевая маска в формате

CIDR

и символ «/»

scr_ports

<значение>

Изменение

порта отправителя. Параметр включает список

локальных портов или диапазонов портов, для которых
действует правило.

Принимает значения:

от 0 до 65535.

При вводе нескольких номеров портов необходимо
разделить их символом «,». Для разделения диапазона
портов используется символ «:»

dst_ports

<значение>

Изменение

порта

получателя. Параметр включает список

локальных портов или диапазон портов, для которых
действует правило.

Принимает значения:

от 0 до

65535.

direction

<значение>

Настройка направления сетевого трафика, для которого
действует правило.

Принимает значения:



out

–

правило для исходящего сетевого трафика;



inout

–

направление сетевого трафика не указано.

По умолчанию устанавливается значение

inout

message

<значение>

Параметр позволяет изменить описание правила.

Описание правила МЭ должно заключаться в двойные
кавычки. Является обязательным атрибутом

priority

<число>

Изменение последовательности обработки правил.

Принимает значения

от 1 до 255.

Пакеты будут обрабатываться по правилам согласно их
приоритету. Наивысший приоритет —

1. По умолчанию

правилу присваивается низший приоритет —

255

content

<значение>

Изменение маски фильтра сетевого трафика на основе
прямого соответствия содержимому сетевого пакета или на
основе регулярных выражений в стиле

perl.

Строка маски должна заключаться в двойные кавычки.

Система защиты информации

Dallas Lock Linux

Руководство по эксплуатации

163

№

Атрибут

Описание

mobile_code

<значение>

Изменение маски фильтра сетевого трафика на основе
наличия в сетевом пакете мобильного кода.

Принимает значения:



flash;



javascript;



pdf;



vbscript

service

<значение>

Изменение типа прикладного протокола, для которого
действует правило.

Принимает значения:



http;



ftp;



tftp;



imap;



pop3;



smtp;



telnet;



dns;



ntp;



ssh

app_cmd

<значение>

Изменение команды прикладного протокола, для которого
действует правило. Значение параметра можно задать,
если задан прикладной протокол.

Принимает значения:

Для

http:

GET, POST, PUT, SEARCH, MKCOL, COPY,

MOVE, LOCK, UNLOCK, NOTIFY, POLL, BCOPY, BDELETE,
BMOVE, LINK, UNLINK, OPTIONS, HEAD, DELETE, TRACE,
TRACK, CONNECT, SOURCE, SUBSCRIBE, UNSUBSCRIBE,
PROPFIND, PROPPATCH, BPROPFIND, BPROPPATCH,
RPC_CONNECT,

PROXY_SUCCESS,

BITS_POST,

CCM_POST, SMS_POST, RPC_IN_DATA, RPC_OUT_DATA,
RPC_ECHO_DATA.

Для

smtp:

ATRN, AUTH, BDAT, CHUNKING, DATA,

DEBUG,  EHLO,  EMAL,  ESAM,  ESND,  ESOM,  ETRN,  EVFY,
EXPN,  HELO,  HELP,  IDENT,  MAIL,  NOOP,  ONEX,  QUEU,
QUIT, RCPT, RSET, SAML, SEND, SOML, STARTTLS, TICK,
TIME,  TURN,  TURNME,  VERB,  VRFY,  X-ADAT,  X-DRCP,  X-
ERCP,  X-EXCH50,  X-EXPS,  X-LINK2STATE,  XADR,  XAUTH,
XCIR,  XEXCH50,  XGEN,  XLICENSE,  XQUE,  XSTA,  XTRN,
XUSR

Для

ftp:

ABOR, ACCT, ADAT, ALLO, APPE, AUTH, CCC,

CDUP,  CEL,  CLNT,  CMD,  CONF,  CWD,  DELE,  ENC,  EPRT,
EPSV, ESTA, ESTP, FEAT, HELP, LANG, LIST, LPRT, LPSV,
MACB, MAIL, MDTM, MIC, MKD, MLSD, MLST, MODE, NLST,
NOOP, OPTS, PASS, PASV, PBSZ, PORT, PROT, PWD, QUIT,
REIN, REST, RETR, RMD, RNFR, RNTO, SDUP, SITE, SIZE,
SMNT,  STAT,  STOR,  STOU,  STRU,  SYST,  TEST,  TYPE,
USER,  XCUP,  XCRC,  XCWD,  XMAS,  XMD5,  XMKD,  XPWD,
XRCP, XRMD, XRSQ, XSEM, XSEN, XSHA1, XSHA256.

Для

imap:

APPEND, AUTHENTICATE, CAPABILITY,

CHECK,

CLOSE,

COMPARATOR,

COMPRESS,

CONVERSIONS, COPY, CREATE, DELETE, DELETEACL,
DONE,

EXAMINE,

EXPUNGE,

FETCH,

GETACL,

GETMETADATA, GETQUOTA, GETQUOTAROOT, IDLE, LIST,
LISTRIGHTS, LOGIN, LOGOUT, LSUB, MYRIGHTS, NOOP,

Система защиты информации

Dallas Lock Linux

Руководство по эксплуатации

164

№

Атрибут

Описание

NOTIFY,

RENAME,

SEARCH,

SELECT,

SETACL,

SETMETADATA, SETQUOTA, SORT, STARTTLS, STATUS,
STORE,

SUBSCRIBE,

THREAD,

UID,

UNSELECT,

UNSUBSCRIBE, X.

Для

pop3:

APOP, AUTH, CAPA, DELE, LIST, NOOP,

PASS, QUIT, RETR, RSET, STAT, STLS, TOP, UIDL, USER.

Для

dns:

A, AAAA, CNAME, SRV, TXT, MX, SOA, NS, PTR

enable

<значение>

Параметр позволяет изменить статус правила.

Принимает значения

yes

–

правило включено,

–

правило отключено. По умолчанию установлено значение

audit

<значение>

Управление регистрацией событий в журнале, возникающих
при срабатывании правила.

Принимает значения

yes



регистрация событий

включена,



регистрация событий отключена. По

умолчанию установлено значение

auto_block

<значение>

Включение/выключение автоматической блокировки адреса
при кратном срабатывании правила с данным адресом.

Принимает значения

yes



автоблокировка включена,



автоблокировка выключена. По умолчанию установлено
значение

yes

clear <

значение

Команда

для

очистки

следующих

настраиваемых

параметров:



content;



mobile_code;



service;



app_cmd

Пример

firewall <enter>

change-rule <enter>

id 10 <enter>

app_cmd POST <enter>

message “Reject all POST-requests to example.com”

audit no <enter>

execute <enter>

Rule 10 was successfully changed

Изменено правило для блокирования

GET-

запросов, отправляемых на ресурс

example.com.

Выключено журналирование, команда прикладного протокола изменена с

GET

на

POST

, изменено

сообщение.

Графическая оболочка администрирования

Для изменений правил МЭ в графической оболочке администрирования

необходимо на вкладке «МЭ»

в категории «Правила МЭ» в общем списке правил МЭ выделить необходимое правило и двойным
кликом левой кнопки мыши

запустить режим редактирования

(см. Рисунок

86).

Параметры правила МЭ

для изменений

в графической оболочки администрирования

соответствуют параметрам правил в

консольной оболочки администрирования.

Для редактирования доступны следующие параметры правила МЭ:



Приоритет.



Профиль.



Действие.

Система защиты информации

Dallas Lock Linux

Руководство по эксплуатации

165



Направление.



Протокол.



L7.



Команда.



Маска.



Мобильный код.



Адрес источника.



Порт источника.



Адрес назначения.



Порт назначения.



Аудит.



Автоблок.



Описание.

Для сохранения всех настроенных параметров

правила МЭ

необходимо нажать на кнопку

«Сохранить» на панели действий.

4.11.1.3

Удаление правила межсетевого экрана

Консольная оболочка администрирования

Для удаления правила межсетевого экрана

необходимо в консольной оболочке администрирования

разделе управления

межсетевым

экраном

набрать команду

remove-rule

с указанием

идентификационного номера правила

МЭ, которое необходимо удалить.

Пример

firewall <enter>

remove-rule 2 <enter>

Rule 2 was successfully removed

Правило

было

успешно

удалено

Графическая оболочка администрирования

Для удаления правила МЭ

графической оболочке администрирования необходимо на вкладке «МЭ»

в категории «Правила МЭ» в общем списке правил МЭ выделить необходимое

правило

и нажать на

кнопку

«Удалить» на панели действий.

После выполненных действий цвет выделения правила

станет красным (см. Рисунок

87).

Рисунок

. Удаление правила межсетевого экрана

Для сохранения выполненных действий необходимо нажать на кнопку

«Сохранить» на панели

действий.

4.11.1.4

Вывод правила межсетевого экрана

Консольная оболочка администрирования

Для вывода и просмотра определенного правила МЭ

необходимо в консольной оболочке

администрирования

в разделе управления межсетевым экраном

firewall

набрать команду

show-rule

указанием

идентификационного номера

правила, информацию которого нужно просмотреть.

Пример

firewall <enter>

show-rule 10 <enter>

При успешном завершении

запроса в консольной оболочке администрирования будет выведено

правило межсетевого экрана

со всеми установленными ему параметрами.

Для вывода всех настроенных и имеющихся

правил межсетевого экрана

в консоль необходимо в

консольной оболочке администрирования в разделе управления межсетевым экраном

firewall

набрать

команду

list-rules

Система защиты информации

Dallas Lock Linux

Руководство по эксплуатации

166

Пример

firewall <enter>

list-rules <enter>

Графическая оболочка администрирования

Для просмотра всех настроенных правил межсетевого экрана с помощью графической оболочки
администрирования необходимо на вкладке «МЭ»

перейти

категорию

«Правила МЭ».

На рабочей

области текущей категории будут представлены все на данный момент настроенные правила
межсетевого экрана

(см. Рисунок

88).

Рисунок

. Список настроенных правил МЭ

В системе реализована настройка отображаемых столбцов, что позволяет исключить из вида

некоторые столбцы параметров правил МЭ. Для этого необходимо нажать на кнопку

«Настройка

отображаемых столбцов» на панели действий. Далее откроется окно «Настройка отображаемых

столбцов» (см. Рисунок

89).

Рисунок

. Окно «Настройка отображаемых

столбцов»

Система защиты информации

Dallas Lock Linux

Руководство по эксплуатации

167

После того

как

были исключены или добавлены из вида столбцы

параметров правил

категории

«Правила МЭ» необходимо для подтверждения операции нажать кнопку «Применить». Для отмены
действий



«Отмена».

Примечание.

В случае если у Администратора будет скрыт

из вида столбец

обязательного атрибута при настройке правила МЭ, то сохранить данное правило не
удастся, так как оно будет не заполнено.

4.11.1.5

Экспорт правил

Консольная оболочка администрирования

Для экспорта правил межсетевого экрана из базы данных в файл необходимо в консольной оболочке
администрирования в разделе управления межсетевым экраном набрать команду

export- rules

указанием полного пути до файла. Файл должен быть доступен для записи. Правила межсетевого
экрана записываются в файл в формате

json.

Пример

firewall <enter>

export-rules /home/user/rules <enter>

Request successfully completed

Графическая оболочка администрирования

Для экспорта правил межсетевого экрана из базы данных с помощью графической оболочки

администрирования необходимо на вкладке «МЭ» в категории «Правила МЭ» нажать на кнопку

«Экспортировать» на панели действий. Далее в открывшемся окне

«Экспорт правил»

в поле «Каталог»

указать полный путь до файла для записи.

В поле «Имя» ввести наименование файла. Нажать кнопку

«Экспорт» для экспорта

правил МЭ или кнопку «Отмена» для отмены операции экспорта (см. Рисунок

90).

Рисунок

. Окно «Экспорт правил»

4.11.1.6

Импорт правил

Консольная оболочка администрирования

Для импорта правил МЭ из файла в базу данных необходимо в консольной оболочке
администрирования в разделе управления межсетевым экраном набрать команду

import-rules

указанием полного пути до файла. Файл должен быть доступен для чтения. Правила в файле должны
быть записаны в формате json.

Пример

firewall <enter>

import-rules /home/user/rules <enter>

Request successfully completed

Система защиты информации

Dallas Lock Linux

Руководство по эксплуатации

168

Графическая оболочка администрирования

Для импорта правил межсетевого экрана в базу данных с помощью графической оболочки

администрирования необходимо на вкладке «МЭ» в категории «Правила МЭ» нажать на кнопку

«Загрузить» на панели действий. Далее в открывшемся окне

«Выберите файл для импорта правил» в

поле «Субъект» указать полный путь до файла для записи. Нажать кнопку «ОК» для

импорта

правил

МЭ или кнопку «Отмена» для отмены операции импорта

(см.

Рисунок

91).

Рисунок

. Окно «Выберите файл для импорта правил»

4.11.1.7

Вывод статистики сетевых соединений

Консольная оболочка администрирования

Примечание.

Соединения сервисов СЗИ НСД

Dallas Lock Linux

не отображаются в

таблице соединений, чтобы Администратор

не мог нарушить их работу, разорвав

соединение.

Для вывода таблицы состояний сетевых соединений в консоль необходимо в консольной оболочке
администрирования, в разделе управления межсетевым экраном, набрать команду

show-netstat.

Пример

firewall <enter>

show-netstat <enter>

Request completed successfully

Система защиты информации

Dallas Lock Linux

Руководство по эксплуатации

169

Рисунок

.Вывод статистики сетевых соединений

Графическая оболочка администрирования

Для просмотра состояний текущих соединений компьютера требуется на вкладке «МЭ» перейти в
категорию «Соединения» (см. Рисунок

93).

Примечание.

Соединения сервисов СЗИ НСД

Dallas Lock Linux

не отображаются в

таблице соединений, чтобы

Администратор

не мог нарушить их работу, разорвав

соединение.

Рисунок

93.

Сетевые соединения

На панели «Действия» в категории «Соединения» доступны следующие кнопки:



Обновить



обновить список сетевых соединений.



Выделить все строки



Создать правило МЭ



при нажатии кнопки «Создать правило МЭ» произойдет переход в

категорию «Правила МЭ» для создания правила МЭ.



Настройка отображаемых столбцов



настройка группировки столбцов.

Система защиты информации

Dallas Lock Linux

Руководство по эксплуатации

170



Разорвать соединение



прекратить обмен информацией. «Разорвать соединение»

доступно только на версиях ядра 5.х.



Отобразить в списке



отображение дополнительной информации сетевого соединения в

списке.

4.11.2

Добавление приложений

в черный список

Черный список приложений



список запрещенных приложений на АРМ (которые блокируются МЭ),

все остальные приложения, не состоящие в списке, пропускаются МЭ.

Примечание.

Одновременно не могут быть включены оба списка приложений. Если

включён чёрный список, то будет блокироваться весь трафик от приложений, которые
включены в чёрный список, остальной трафик будет фильтроваться по правилам МЭ

Подробнее



Активация черного списка приложений

Консольная оболочка администрирования

Категория «Приложения» позволяет администратору активировать фильтрацию

трафика

по

прикладному ПО.

Для добавления приложения

в черный список необходимо в консольной оболочке администрирования

в разделе управления межсетевым экраном набрать команду

set-blacklist-command

. После ввода

команды система перейдет в раздел конструктора правил

set-blacklist-command

, где необходимо задать

параметры, используя атрибуты, приведенные в Таблица

50.

Таблица

№

Атрибут

Описание

command <

значение

Указание приложения, которое необходимо добавить в
черный список. Обязательный атрибут

path

<значение>

Указание

полного

пути

до

исполняемого

файла.

Обязательный атрибут

description

<значение>

Добавление описания приложения, которое

нужно добавить

в черный список. Описание должно

быть заключено в

двойные кавычки

Пример

firewall <enter>

set-blacklist-command <enter>

command firefox <enter>

path /usr/lib64/firefox/firefox-bin <enter>

description “Firefox browser” <enter>

execute <enter>

Command was successfully added to blacklist

Графическая оболочка администрирования

Для добавления приложения в черный список с помощью

графической оболочки СЗИ НСД на вкладке

«МЭ»

необходимо

выбрать категорию «Приложения» и нажать на кнопку

«Добавить» на панели

действий списка «Черный список».

Далее на рабочей области «Черный список» (см. Рисунок

) появится новое правило черного списка,

в которое нужно будет добавить приложение и внести соответствующие к нему атрибуты

Система защиты информации

Dallas Lock Linux

Руководство по эксплуатации

171

Рисунок

. Новое правило «Черный список»

Новое правило для

черного списка приложений

содержит следующий список атрибутов:



Приложение



имя

приложения. Задается администратором. Максимальное количество

символов: 32. Является обязательным атрибутом;



Путь



полный путь в системе до приложения. В конечной папке должен располагаться

исполняемый файл. Максимальное количество символов: 4096. Является обязательным
атрибутом;



Описание



дополнительная информация по правилу. Максимальное количество символов:

4096. По умолчанию поле остается пустым.

Необходимо указать

полный

путь до приложения, которое будет внесено в черный список

и его имя.

Для указания пути нужно кликнуть на столбец «Путь» выделенного нового правила. Далее откроется
форма «Выбрать путь к приложению» (см.

Рисунок

). В поле «Субъект» требуется прописать путь до

исполняемого файла. При добавлении пути приложения система запросит подтверждение операции.

Для подтверждения операции



кнопка «ОК», для отмены действий



«Отмена».

Рисунок

. Окно «Выбрать путь

к приложению»

Система защиты информации

Dallas Lock Linux

Руководство по эксплуатации

172

Для добавления имени

приложения нужно двойным кликом

на столбец

«Приложение» выделенного

нового правила

запустить режим редактирования

и внести имя приложения черного списка

(см.

Рисунок

Рисунок

. Имя приложения,

внесенного в «Черный список»

Для добавления описания приложения нужно кликнуть на столбец «Описание»

(см. Рисунок

97).

Рисунок

. Описание приложения черного списка

После внесения всех обязательных

параметров

приложения для черного списка необходимо выделить

настроенное

правило и выбрать команду

«Сохранить»

на панели действий

Для активации черного списка приложений необходимо нажать на кнопку

«Включить» на панели

действий, для деактивации



«Выключить».

4.11.2.1

Изменение параметров приложений

черного списка

Консольная оболочка администрирования

Для изменения параметров приложения

черного списка необходимо в консольной оболочке

администрирования в разделе управления межсетевым экраном набрать команду

change-blacklist-

command

. После ввода команды система перейдет в раздел конструктора правил

change-blacklist-

command

, где необходимо задать параметры, используя атрибуты, приведенные в Таблица

51.

Таблица

№

Атрибут

Описание

id <

значение

Идентификационный номер

приложения

черного списка

Обязательный атрибут

command

<значение>

Указание

имени

приложения, которое необходимо изменить

в черном списке. Обязательный атрибут

path

<значение>

Указание пути до исполняемого файла. Обязательный
атрибут

description

<значение>

Редактирование описания приложения черного

списка

Описание должно быть заключено в двойные кавычки

Пример

firewall <enter>

change-blacklist-command <enter>

id 1 <enter>

path /usr/lib64/firefox/firefox <enter>

execute <enter>

Command 1 was successfully changed

Команда

firefox-bin

была

изменена

на

команду

firefox

Графическая оболочка администрирования

Для изменения параметров приложения в черном списке с помощью графической оболочки

администратора необходимо на вкладке «МЭ» в категории «Приложения» в списке «Черный список»

Система защиты информации

Dallas Lock Linux

Руководство по эксплуатации

173

выделить правило, в которое требуется внести изменения. Двойным кликом запустить режим
редактирования

требуемого

параметра

Для редактирования доступны следующие атрибуты приложения черного списка:



приложение

;



путь;



описание.

После изменений

параметров приложения для черного списка необходимо сохранить выполненные

действия, выполнив команду

«Сохранить» на панели действий.

4.11.2.2

Удаление приложений

из черного списка

Консольная оболочка администрирования

Для удаления приложения

из черного списка необходимо в консольной оболочке администрирования

в разделе управления межсетевым экраном

набрать команду

remove-blacklist-command

с указанием

идентификационного номера

приложения

в черном списке.

Пример

firewall <enter>

remove-blacklist-command 1 <enter>

Command 1 was successfully removed from the blacklist

Графическая оболочка администрирования

Для удаления приложения из черного списка

с помощью графической оболочки

администрирования

необходимо в категории «Приложения» в списке «Черный список» выделить правило и нажать

кнопку

«Удалить» на панели действий (см. Рисунок

98).

Рисунок

. Удаление приложения из черного списка

После удаления приложения из черного списка необходимо сохранить выполненные действия,

выполнив команду

«Сохранить» на панели действий.

4.11.2.3

Вывод черного списка приложений

Консольная оболочка администрирования

Для вывода черного списка приложений

в консоль необходимо в консольной оболочке

администрирования

в разделе управления межсетевым экраном

выполнить команду

show-commands-

blacklist.

Рисунок

.Список запрещенных приложений

Графическая оболочка администрирования

Для просмотра всех правил черного списка приложений в графической оболочке администрирования
необходимо перейти на вкладку «МЭ» в категорию «Приложения»

и отрыть список «Черный список».

На рабочей области текущего списка будут представлены все на данный момент приложения

занесенные в черный список (см. Рисунок

100).

Система защиты информации

Dallas Lock Linux

Руководство по эксплуатации

174

Рисунок

100

. Вывод приложений черного списка

4.11.3

Добавление приложений

в белый список

Белый список приложений

–

список разрешенных приложений на АРМ (приложения,

имеющие доступ

для обмена информацией). Соединения приложений, которые отсутствуют в белом списке, будут
блокироваться.

Примечание.

Одновременно не могут быть включены оба списка приложений. Если

включён белый список, то будет блокироваться трафик от всех приложений кроме тех,
которые включены в белый список, трафик от приложений белого списка будет
фильтроваться согласно правилам межсетевого экрана

Подробнее



Активация белого

списка приложений

Консольная оболочка администрирования

Для добавления приложения

в белый список необходимо в консольной оболочке администрирования

в разделе управления межсетевым экраном

набрать команду

set-whitelist-command

. После ввода

команды система перейдет в раздел конструктора правил

set-whitelist-command

, где необходимо задать

параметры, используя атрибуты, приведенные в Таблица

52.

Таблица

№

Атрибут

Описание

command <

значение

Указание имени приложения, которое необходимо добавить
в белый список. Обязательный атрибут

path

<значение>

Указание

полного

пути

до

исполняемого

файла.

Обязательный атрибут

description

<значение>

Добавление описания приложения,

которое

нужно добавить

в белый

список. Описание должно

быть заключено в

двойные кавычки

Пример:

firewall <enter>

set-whitelist-command <enter>

command ping6 <enter>

path /usr/bin/ping6 <enter>

execute

Command was successfully added to whitelist

Графическая оболочка администрирования

Для добавления приложения в белый список с помощью графической оболочки СЗИ НСД

на вкладке

«МЭ» необходимо выбрать категорию «Приложения» и нажать на кнопку

«Добавить» на панели

действий списка «Белый список».

Система защиты информации

Dallas Lock Linux

Руководство по эксплуатации

175

Далее на рабочей области «Белый список» (см. Рисунок

101

) появится новое правило белого списка, в

которое нужно будет добавить приложение и настроить

соответствующие ему

атрибуты.

Рисунок

101

. Новое правило «Белый список»

Новое правило для белого списка приложений содержит следующий список атрибутов:



Приложение



наименование приложения. Задается администратором

Максимальное

количество символов: 32. Является обязательным атрибутом;



Путь



полный путь в системе до приложения. В конечной папке должен располагаться

исполняемый файл. Максимальное количество символов: 4096. Является обязательным
атрибутом;



Описание



дополнительная информация по правилу. Максимальное количество символов:

4096. По умолчанию поле остается пустым.

Необходимо указать путь до приложения, которое будет внесено в белый список

и его имя. Для

указания пути нужно кликнуть на столбец «Путь» выделенного нового правила. Далее откроется форма
«Выбрать путь к приложению» (см. Рисунок

102

). В поле «Субъект» требуется прописать путь до

исполняемого файла. При добавлении пути приложения система запросит подтверждение операции.

Для подтверждения операции



кнопка «ОК», для отмены

действий



«Отмена».

Система защиты информации

Dallas Lock Linux

Руководство по эксплуатации

176

Рисунок

102.

Окно

«Выбрать путь к приложению»

Для добавления имени

приложения нужно двойным кликом на столбец «Приложение» выделенного

нового правила запустить режим редактирования и внести имя приложения белого списка (см.

Рисунок

103

Рисунок

103

. Имя приложения, внесенного в «

Whitelist

Для добавления описания приложения нужно кликнуть на столбец «Описание» (см. Рисунок

104).

Рисунок

104

. Описание приложения белого списка

После внесения всех

атрибутов приложения для белого списка необходимо выделить настроенное

правило и выбрать команду

«Сохранить» на панели действий.

Для активации белого списка приложений необходимо нажать на кнопку

«Включить» на панели

действий, для деактивации



«Выключить».

Система защиты информации

Dallas Lock Linux

Руководство по эксплуатации

177

4.11.3.1

Изменение параметров

приложения

белого списка

Консольная оболочка администрирования

Для изменения параметров приложения

белого списка необходимо в консольной оболочке

администрирования в разделе управления межсетевым экраном

выполнить команду

change-whitelist-

command

. После ввода команды система перейдет в раздел конструктора правил

change-whitelist-

command

, где необходимо задать параметры, используя атрибуты, представленные в Таблица

53.

Таблица

№

Атрибут

Описание

id <

значение

Идентификационный номер

приложения

белого списка

Обязательный атрибут

command

<значение>

Указание имени

приложения, которое необходимо изменить

в белом списке. Обязательный атрибут

path

<значение>

Указание пути до исполняемого файла. Обязательный
атрибут

description

<значение>

Редактирование

описания приложения

белого списка

Описание должно

быть заключено в двойные

кавычки

Пример

firewall <enter>

change-whitelist-command <enter>

id 1 <enter>

description "Ping6 command" <enter>

execute <enter>

Command 1 was successfully changed

Было

успешно

изменено описание команды.

Графическая оболочка администрирования

Для изменения параметров приложения в белом списке с помощью графической оболочки
администрирования

необходимо на вкладке «МЭ»

в категории «Приложения» в списке «Белый список»

выделить правило, в которое требуется внести изменения. Двойным кликом запустить текстовую строку
требуемого параметра для редактирования.

Для редактирования доступны следующие атрибуты приложения белого

списка:



приложение

;



путь;



описание.

После изменений параметров приложения для белого списка необходимо сохранить выполненные

действия, выполнив команду

«Сохранить» на панели действий.

4.11.3.2

Удаление приложения

из белого списка

Консольная оболочка администрирования

Для удаления приложения

из белого списка необходимо в консольной оболочке администрирования

разделе управления межсетевым экраном

набрать команду

remove-whitelist-command

с указанием

идентификационного номера

приложения

в белом списке.

Пример

firewall <enter>

remove-whitelist-command 1<enter>

Command 1 was successfully removed from the whitelist

Система защиты информации

Dallas Lock Linux

Руководство по эксплуатации

178

Графическая оболочка администрирования

Для удаления приложения из белого списка с помощью графической оболочки

администрирования

необходимо в категории «Приложения» в списке «Белый список» выделить правило и нажать кнопку

«Удалить» на панели действий (см.

Рисунок

105).

Рисунок

105

. Удаление приложения из белого списка

После удаления приложения из белого списка необходимо сохранить выполненные действия,

выполнив команду

«Сохранить» на панели действий

4.11.3.3

Вывод белого списка приложений

Консольная оболочка администрирования

Для вывода белого списка приложений

в консоль необходимо в консольной оболочке

администрирования в разделе управления межсетевым экраном

набрать команду

show-commands-

whitelist.

Рисунок

106

. Список разрешенных приложений

Графическая оболочка администрирования

Для просмотра всех правил белого списка приложений в графической оболочке администрирования
необходимо перейти на вкладку «МЭ» в категорию «Приложения»

и отрыть список «Белый список». На

рабочей области текущего списка будут представлены все на данный момент приложения

занесенные

в белый список (см. Рисунок

107).

Рисунок

107.

Вывод приложений белого списка

4.11.4

Вывод конфигурации адресов и интерфейсов АРМ

Консольная оболочка администрирования

Для вывода конфигурации адресов и интерфейсов АРМ

в консольной оболочке администрирования

необходимо в разделе управления межсетевым экраном

выполнить

команду

show-ifconfig.

Система защиты информации

Dallas Lock Linux

Руководство по эксплуатации

179

Рисунок

108

.Вывод конфигурации адресов и интерфейсов АРМ

Графическая оболочка администрирования

Для просмотра адресов с помощью графической оболочки администрирования необходимо перейти во
вкладку «МЭ» в категорию

«Адреса».

Категория

«Адреса» выдает информацию об активных

интерфейсах АРМ. Рабочая область категории «Адреса» (см. Рисунок

109

) содержит следующий

список параметров:



№



идентификационный номер адреса;



Версия



версия интернет протокола. Принимает значения:

IPv

4 и

IPv6;



Адрес



локальный адрес АРМ;



Описание



наименование сетевой точки для построения соединений.

Рисунок

109

. Адреса

4.11.5

Заблокированные адреса

Консольная оболочка администрирования

Для отмены блокировки

адреса необходимо в консольной оболочке администрирования в разделе

управления межсетевым экраном

набрать команду

unblock-address

с указанием

идентификационного

номера

адреса из таблицы заблокированных адресов.

После разблокировки адреса счетчики для него

обнуляются.

Пример

firewall <enter>
unblock-address 1 <enter>
Request successfully completed

Графическая оболочка администрирования

Для просмотра заблокированных адресов требуется на вкладке «МЭ» перейти в категорию
«Заблокированные

адреса».

Категория

«Заблокированные

адреса»

отображает

список

заблокированных адресов межсетевым экраном автоматически при кратном срабатывании правил со
включенной автоблокировкой

(см. Рисунок

110).

Система защиты информации

Dallas Lock Linux

Руководство по эксплуатации

180

Рисунок

110

. Заблокированные адреса

Примечание.

Адреса будут разблокированы при удалении или отключении

автоблокировки правил, по которым они заблокированы.

Заблокированные адреса имеют следующие параметры:



№



идентификационный номер заблокированного адреса;



Версия



версия интернет

протокола. Принимает значения:

IPv

4 и

IPv6;



Адрес



сетевой адрес АРМ. Принимает значения:

IPv

4 и

IPv6;



Описание



указывается причина блокировки адреса.

Для того, чтобы убрать адрес из списка заблокированных адресов

нужно выделить заблокированный

адрес

и на панели действий

нажать на кнопку

«Исключить адрес

(

а)»

При удалении

заблокированного адреса система запросит подтверждение операции (см. Рисунок

111).

Для подтверждения операции



кнопка «Да», для отмены действий



«Нет».

Рисунок

111

. Исключение адреса(

ов)

из списка заблокированных адресов

4.11.6

Управление

профилями

правил

межсетевого экрана

Профиль правил отображает набор правил межсетевого экрана. При активации

или

деактивации

профиля

все правила,

входящие в данный профиль,

активируются или деактивируются. При удалении

профиля, удаляются все

входящие в него правила межсетевого экрана.

В МЭ

Dallas Lock Linux

по умолчанию доступны два профиля правил межсетевого экрана

: Example

Safe Mode.

Профиль «

Example

» включает в себя пять пользовательских правил по умолчанию, которые доступны

с первого включения СЗИ НСД

Dallas Lock Linux

. Данные правила МЭ доступны для редактирования и

удаления.

Профиль «

Safe Mode

» включает в себя одно правило межсетевого экрана

блокирующее

трафик при

критическом сбое работы МЭ. Данный профиль доступен для активации и деактивации, но недоступен
для удаления

и редактирования

Правила межсетевого экрана в профиле

Safe

Mode»

рекомендуется

настроить таким образом, чтобы обеспечить безопасное состояние защищенного АРМ, разрешив
только минимально необходимый набор подключений, в частности для централизованного управления
СЗИ НСД с помощью ЕЦУ

Dallas Lock

т.д.

Система защиты информации

Dallas Lock Linux

Руководство по эксплуатации

181

4.11

.6.1 Создание

профиля МЭ

Консольная оболочка администрирования

Для добавления нового профиля правил необходимо в консольной оболочке администрирования в
разделе управления межсетевым экраном

набрать команду

set-profile

. После ввода команды система

перейдет в раздел конструктора правил

set-profile

, где необходимо задать параметры, используя

атрибуты, приведенные в Таблица

54.

Таблица

№

Атрибут

Описание

name <

значение

Указывает название

профиля правил. Обязательный

атрибут

activation

<значение>

Добавление условия активации нового профиля правил.

Принимает значения

yes

–

профиль активируется при

отсутствии запущенного антивирусного ПО в системе
(проверяется

Dr. Web

Kaspersky),

–

отсутствует условие

активации.

По умолчанию установлено условие активации для
профиля

enable

<значение>

Указание

состояния профиля правил.

Принимает значения

yes

–

профиль включен,

–

профиль выключен.

По умолчанию установлено значение профиля

yes

description

<значение>

Добавление описания для нового профиля. Описание
профиля должно быть заключено в двойные кавычки

Пример

firewall <enter>

set-profile <enter>

name "HTTP profile" <enter>

activation yes <enter>

execute <enter>

New profile was successfully added

Графическая оболочка администрирования

Для создания нового профиля правил межсетевого экрана с помощью графической оболочки СЗИ НСД
необходимо на вкладке «МЭ» выбрать категорию «Профили МЭ» (см.

Рисунок

112)

и нажать на кнопку

«Создать профиль»

на

панели действий.

Рисунок

112

. Рабочая область категории «Профили МЭ»

Система защиты информации

Dallas Lock Linux

Руководство по эксплуатации

182

После

нажатия кнопки «Создать профиль» в рабочей области в категории «Профиль

МЭ»

будет

размещен новый профиль

межсетевого экрана

Созданный

новый профиль правил

МЭ будет иметь следующие параметры

по умолчанию:



«№» —

идентификационный номер профиля правил МЭ. Также указывается статус профиля

правил МЭ.

Принимает значение:

включен

–

профиль и все входящие в него правила

включены,

выключен

–

профиль и все входящие в него правила выключены. По умолчанию

установлено значение

выключен

;



«Имя» —

указывается имя профиля правил МЭ. Максимальное количество символов: 32.

Является обязательным параметром

;



Условие автоактивации профиля —

условия

при которых профиль правил активируется.

Принимает значение

отключено

–

антивирус отсутствует на АРМ,

включено

–

осуществляется проверка установленного антивируса на АРМ. Модуль МЭ взаимодействует со
следующими антивирусами:

DrWeb

Kaspersky

. По умолчанию установлено значение

отключено



Описание —

указывается дополнительная информация по профилю правил. Максимальное

количество символов: 128. По умолчанию параметр имеет

пустое значение

4.11.6.2

Изменение профиля МЭ

Консольная оболочка администрирования

Для изменения профиля правил МЭ необходимо в консольной оболочке администрирования в разделе
управления межсетевым экраном набрать команду

change-profile

. После ввода команды система

перейдет в раздел конструктора правил

change-profile

, где необходимо задать параметры, используя

атрибуты, приведенные в Таблица

55.

Таблица

№

Атрибут

Описание

<значение>

Идентификационный

номер

профиля

правил.

Обязательный

атрибут.

Идентификационный

номер

профиля правил можно узнать, выполнив команду

list-

profiles.

Пример

firewall <enter>

list-profiles <enter>

name

<значение>

Наименование

профиля правил

МЭ

Обязательный атрибут

activation

<значение>

Изменение

условия активации профиля правил.

Принимает значения:

yes

–

профиль активируется при

отсутствии запущенного антивирусного ПО в системе
(проверяется

Dr. Web

Kaspersky),

–

отсутствует условие

активации

enable

<значение>

Изменение

состояния профиля правил.

Принимает значение:

yes

–

профиль включен,

–

профиль выключен

description

<значение>

Редактирование описания

профиля

правил МЭ. Описание

профиля должно быть заключено в двойные кавычки

Пример

firewall <enter>

change-profile <enter>

id 1 <enter>

description "Profile for HTTP rules" <enter>

enable yes <enter>

Система защиты информации

Dallas Lock Linux

Руководство по эксплуатации

183

execute <enter>

Profile 1 was successfully changed

Графическая оболочка администрирования

В режиме редактирования профиля правил МЭ доступны следующие атрибуты:



наименование

профиля;



условие автоактивации профиля;



описание.

Для перехода в режим редактирования профиля правил межсетевого экрана необходимо выделить
требуемый профиль и двойным кликом на столбец атрибута

в который требуется внести изменения

запустить режим редактирования.

Функции активация и деактивация профиля правил реализованы

только на панели действий категории

«Профили МЭ» (см. Рисунок

113).

«Активировать профиль»



включить профиль и все входящие в

него правила

«Деактивировать профиль»



выключить профиль и все входящие в него правила.

Рисунок

113.

Панель действий категории «Профили МЭ»

Для сохранения всех изменений профиля правил межсетевого экрана необходимо нажать на кнопку

«Сохранить».

4.11.6.3

Удаление профиля МЭ

Консольная оболочка администрирования

Для удаления профиля правил межсетевого

экрана

необходимо в консольной оболочке

администрирования в разделе управления межсетевым экраном

набрать команду

remove-profile

указанием целочисленного идентификатора профиля.

Пример

firewall <enter>

remove-profile 1 <enter>

Графическая оболочка администрирования

Для удаления профиля правил с помощью графической оболочки администрирования необходимо
перейти в категорию «Профили МЭ» вкладки «МЭ», одним кликом выделить требуемый для удаления
профиль

и нажать на кнопку «Удалить профиль» на панели действий (см. Рисунок

113

). Система

запросит

подтверждение операции (см. Рисунок

114).

Для подтверждения операции



кнопка «Да»,

для отмены действий



«Нет». При удалении профиля МЭ,

все входящие в него правила

будут также

удалены.

Для сохранения выполненных действий необходимо нажать на кнопку

«Сохранить» (см. Рисунок

113)

Рисунок

114

. Окно подтверждения об удалении профиля правил

Система защиты информации

Dallas Lock Linux

Руководство по эксплуатации

184

4.11.6.4

Вывод настроенных профилей МЭ

Консольная оболочка администрирования

Для вывода всех настроенных профилей правил межсетевого экрана в консоль необходимо в
консольной оболочке администрирования в разделе управления межсетевым экраном

выполнить

команду

list-profiles.

Рисунок

115

. Вывод настроенных профилей правил

Графическая оболочка администрирования

Для просмотра настроенных и имеющихся

по умолчанию профилей правил

с помощью графической

оболочки

администрирования нужно перейти в категорию «Профили МЭ» вкладки «МЭ» (см. Рисунок

116)

Рисунок

116

. Просмотр профилей правил МЭ

4.11.7

Самотестирование межсетевого экрана

Консольная оболочка администрирования

Для запуска самотестирования межсетевого экрана необходимо в консольной оболочке
администрирования в разделе управления межсетевым экраном

выполнить

команду

test-firewall.

Самотестирование межсетевого экрана занимает от 20 секунд до 1,5 минуты

Пример:

firewall <enter>

test-firewall <enter>

Рисунок

117

. Результат самотестирования МЭ

Система защиты информации

Dallas Lock Linux

Руководство по эксплуатации

185

4.11.8

Параметры межсетевого экрана

Консольная оболочка администрирования

Для настройки параметров

межсетевого экрана необходимо в консольной оболочке

администрирования в разделе

policies

выполнить

команду

firewall-policies-set

. Система перейдет в

управление параметрами межсетевого экрана

Таблица

№

Атрибут

Описание

firewall-is-active

<значение>

Активация межсетевого экрана.

Принимает значения

yes

–

включение межсетевого экрана,

–

выключение

межсетевого экрана. По умолчанию установлено значение

ssl-analyze

<значение>

Фильтрация

SSL (TLS

) трафика.

Принимает значения

yes

–

включение фильтрации трафика,

–

выключение

фильтрации трафика. По умолчанию установлено значение

yes

audit

<значение>

Подменю настройки регистрируемых событий межсетевого
экрана. Для регистрации доступны следующие события:



set-rule

–

добавление нового правила;



change-rule

–

изменение правила;



firewall-state

–

изменение состояния межсетевого

экрана;



remove-rule

–

удаление правила;



block-address

–

блокирование/разблокирование

адресов;



kill-connection

–

разрыв соединения;



policies-change

–

изменение политик межсетевого

экрана;



testing

–

самотестирование межсетевого экрана

;



set-profile

–

добавление нового профиля;



change-profile

–

изменение профиля;



remove-profile

–

удаление профиля;



set-blacklist-command

–

добавление приложения в

черный список;



change-blacklist-command

–

изменение приложения

черного списка;



remove-blacklist-command

–

удаление приложения из

черного списка;



set-whitelist-command

–

добавление приложения в

белый список;



change-whitelist-command

–

изменение приложения

из белого списка;



remove-whitelist-command

–

удаление приложения из

белого списка.

Пример:

policies <enter>

firewall-policy-set <enter>

audit <enter>

audit remove-rule

no <enter>

execute <enter>

Система защиты информации

Dallas Lock Linux

Руководство по эксплуатации

186

№

Атрибут

Описание

Success setting firewall policies.

Выключен аудит события межсетевого экрана типа
“Удаление правил МЭ”

black-white-lists

<значение>

Команда включения/выключения белого и черного списков
приложений

auto-block-interval

<значение>

Команда изменения интервала срабатывания правил для
автоматической

блокировки

адресов.

Принимает

значения

от 1 до 60 минут

auto-block-burst

<значение>

Команда установки значения автоматической блокировки –

количество правил, совпадающих с одним адресом
источника, чтобы автоматически заблокировать его.

Принимает значения

от 1 до 10 раз

4.10.9.1

Изменение интервала срабатывания правил для автоматической блокировки адресов

Для изменения интервала срабатывания правил для автоматической блокировки адресов необходимо
в консольной оболочке администрирования, в разделе управления политиками межсетевого экрана,
набрать команду

auto-block-interval

с указанием целочисленного значения интервала в минутах (от 1 до

60,

шаг интервала 5 минут

)

и команду

auto-block-burst

с указанием целочисленного значения (от 1 до

10 раз). Для вступления изменений в силу необходимо набрать команду

execute.

Пример:

policies <enter>

firewall-policy-set <enter>

auto-block-interval 10 <enter>

execute <enter>

policies <enter>

firewall-policy-set <enter>

auto-block-burst 10 <enter>

execute <enter>

S
u
c
c
e
s
s
s
e
t
t
i
n
g
f
i
r
e
w
a
l
l
p
o
l
i
c
i
e
s

4.10.9.2

Включение белого списка приложений

Для включения белого списка команд необходимо в консольной оболочке администрирования в
разделе управления политиками межсетевого экрана набрать команду

black-white-lists

со значением

Одновременно включить и чёрный, и белый список невозможно. Для вступления изменений в силу
необходимо набрать команду

execute.

4.10.9.3

Включение чёрного списка приложений

Для включения чёрного списка команд необходимо в консольной оболочке администрирования в
разделе управления политиками межсетевого экрана набрать команду

black-white-lists

со значением

execute.

4.10.9.4

Выключение

чёрного и белого списков приложений

Для выключения чёрного и белого списков команд необходимо в консольной оболочке
администрирования в разделе управления политиками межсетевого экрана набрать команду

black-

Графическая оболочка администрирования

Для настройки параметров межсетевого экрана с помощью графической оболочки администрирования
необходимо на вкладке «МЭ» перейти в категорию «Параметры», где будут представлены параметры
для настройки межсетевого экрана (см. Рисунок

118).

Система защиты информации

Dallas Lock Linux

Руководство по эксплуатации

189

Далее консольное приложение будет ожидать ввода управляющих команд подсистемы
автоматического тестирования, список команд представлен

Таблица

57.

Таблица

№

Команда

Описание

start-self-test

Команда

запуска

самотестирования

системы.

Процесс

самотестирования занимает до двух минут.

Проверка функционирования

подсистемы идентификации

аутентификации.

Описание теста.

Тест включает в себя авторизацию пользователя в системе.

Проверка

функционирования

подсистемы

управления

доступом

Описание теста.

Тест включает в себя следующие проверки и действия:

–

создание тестовой группы и пользователя;

–

создание

тестового

файла

;

–

назначение прав «только чтение» на тестовый файл для тестового

пользователя;

–

попытка произвести запись в тестовый файл от имени тестового

пользователя;

–

удаление тестового файла, тестовых пользователя и группы.

Проверка подсистемы контроля гарантированной зачистки
информации.

Описание теста.

Тест включает в себя проверку очистки остаточной информации
из

памяти ОС. Для этого используется специализированный

тестовый модуль ядра, проверяющий затирание данных в памяти.

Проверка подсистемы контроля целостности.

Описание теста.

Тест включает в себя следующие проверки и действия:

–

изменение одного из подконтрольных файлов;

–

запуск службы проверки контроля целостности;

–

проверка факта восстановления измененного в

тесте файла.

Проверка подсистемы межсетевого экрана.

Описание теста.

Тест включает в себя следующие проверки и действия:



запуск/выключение

межсетевого экрана;



запуск проверки общих правил, правил протокола

7, правил

SSL;



запуск тестирования приложений черного списка

stop-self-test

Команда завершения самотестирования

системы

get-self-test-result

Команда вывода результата

теста

самотестирования системы.

Ожидаемый

результат

проверки

функционирования

подсистемы идентификации и

аутентификации.

Сообщение в CLI об удачном/неудачном выполнении команды.
Соответствующие записи в системе аудита в журнале

Entries:

–

запись о попытке аутентификации

Ожидаемый

результат

проверки

функционирования

подсистемы управления доступом

Система защиты информации

Dallas Lock Linux

Руководство по эксплуатации

190

№

Команда

Описание

Сообщение в CLI об удачном/неудачном выполнении команды.
Соответствующие записи в системе аудита в журналах

Entries, Users,

Resources:

–

запись о создании группы и пользователя;

–

запись о назначении прав на тестовый файл;

–

запись о попытке изменения файла со стороны пользователя;

–

запись о результате теста системы самотестирования

Ожидаемый

результат

проверки

подсистемы

контроля

гарантированной зачистки информации.

Сообщение в CLI об удачном/неудачном выполнении команды.
Соответствующие записи в системе аудита в журнале

Entries

результатах теста системы самотестирования

Ожидаемый

результат

проверки

подсистемы

контроля

целостности.

Сообщение в CLI об удачном/неудачном выполнении команды.
Соответствующие записи в системе аудита в журналах

Entries,

Resources

–

запись об изменении подконтрольного файла со стороны

пользователя.

Ожидаемый результат проверки подсистемы межсетевого
экрана.

Сообщение в CLI об удачном/неудачном выполнении команды.
Соответствующие записи в системе аудита в журнале

Fw-

management

о результатах теста системы самотестирования

Пример

testing <enter>

start-self-test <enter>

get-self-test-result <enter>

Графическая оболочка администрирования

Для запуска автоматического тестирования функциональных возможностей в графической оболочке

СЗИ НСД

необходимо нажать кнопку

основного меню и в списке функций выбрать пункт

«Тестирование функций СЗИ» (см.

Рисунок

120).

Рисунок

120

. Тестирование функций СЗИ

В появившемся окне нужно нажать кнопку «Запуск».

При окончании тестирования, при необходимости, можно сохранить отчет, нажав кнопку «Экспорт»
(см.

Рисунок

121).

Система защиты информации

Dallas Lock Linux

Руководство по эксплуатации

192

4.13

Централизованное управление системой защиты

Возможности централизованного управления СЗИ НСД предоставляют Сервер безопасности

Dallas Lock

и Единый центр управления Dallas Lock (ЕЦУ

Dallas Lock

), управление которым

осуществляется отдельным приложением «Консоль ЕЦУ».

Единый Центр Управления

Dallas Lock

позволяет просматривать журналы событий и настраивать

систему защиты в части:



управления политиками безопасности;



управления атрибутами пользователей и групп;



управления параметрами аудита событий.

Любой компонент продуктовой линейки ООО «Конфидент» (СЗИ

Dallas Lock

8.0, СДЗ

Dallas Lock,

СДЗ

УБ

Dallas Lock,

СЗИ

НСД

Dallas Lock Linux

, СЗИ

ВИ

Dallas Lock, WAF Dallas Lock

), находящийся под

управлением Домена безопасности

ЕЦУ (далее —

ДБ, ДБ ЕЦУ), —

это модуль.

СЗИ НСД не может находиться под управлением ЕЦУ

Dallas Lock

и Сервера безопасности

Dallas Lock

одновременно.

С подробным описанием ЕЦУ

Dallas Lock

можно ознакомиться в Инструкции по использованию

ЕЦУ

Dallas Lock

ПФНА.501410.002 И3

С подробным описанием СБ

Dallas Lock

можно ознакомиться в Руководстве по эксплуатации

RU.48957919.501410-

01 92 и RU.48957919.501410

-02 92.

Примечание.

При вводе в Сервер безопасности

Dallas Lock

количество пользователей

в группе

Linux

клиента ограничено. В группе должно быть зарегистрировано не более

21 пользователя. В ином случае, могут возникнуть ошибки при синхронизации групп с
СБ.

Консольная оболочка администрирования

Для перехода в подменю централизованного управления СЗИ НСД с помощью ЕЦУ

Dallas Lock

необходимо выполнить команду

management-dll

Для данного раздела доступны следующие управляющие команды:

–

connect-domain

—

переход в подменю подключения

к домену безопасности;

–

disconnect-domain

—

отключение от домена безопасности;

–

synchronize

—

синхронизировать журналы безопасности с ЕЦУ;

–

journals-synchronize

—

синхронизировать журналы с ЕЦУ;

–

disconnect-sb

—

отключение

от сервера безопасности в одностороннем порядке

;

–

list

—

просмотр списка управляющих команд раздела;

–

info

—

отображение информации о сервере, если СЗИ НСД находится под управлением

Сервера безопасности Dallas Lock или ЕЦУ Dallas Lock;

–

help



вывод информации о встроенных командах консольной оболочки администрирования;

–

back



выход из подраздела (на уровень выше);

–

exit

—

выход из консольной оболочки администрирования и закрытие сессии

dlladmin

Для подключения модуля

DLL

к домену безопасности ЕЦУ необходимо в разделе

management-dll

выполнить команду

connect-domain.

После ввода команды система перейдет в раздел

connect-domain

(подменю подключения к домену безопасности). Далее консольное приложение будет ожидать ввода
управляющих команд данной подсистемы, список команд приведен в Таблица

58.

Таблица

№

Команда

Описание

net-name
<

значение

Сетевое имя или

IP-

адрес сетевого узла, на котором установлена Служба

ЕЦУ.

При указании сетевого имени или

IP-

адреса важно указать номер порта

Система защиты информации

Dallas Lock Linux

Руководство по эксплуатации

193

№

Команда

Описание

name <

значение

Сетевое имя или прочее говорящее название для сетевого узла, которое
будет отображаться в панели ЕЦУ в списке управляемых объектов

key <

значение

Ключ доступа к ДБ ЕЦУ

Пример

net-name <ip-address>:<port> <enter>

name <hostname> <enter>

key <значение> <enter>

execute <enter>

В случае ошибки при подключении к домену безопасности ЕЦУ Dallas Lock отобразится
соответствующее сообщение.

Для отключения от домена безопасности необходимо

выполнить команду

disconnect-domain

атрибутом:



force

—

принудительное отключение

от домена безопасности

без связи ЕЦУ. При выполнении

команды оповещение ЕЦУ не происходит

;



yes

—

вывод из домена безопасности с оповещением ЕЦУ.

В случае

выполнения

команды

disconnect-domain

установленным

неверным атрибутом или пустым,

отобразятся соответствующие

сообщения

об ошибках: «

There is no connection to UCC and no "force"

flag. Aborting

—

отсутствует соединение с ЕЦУ и атрибут ‘

force

’. Прерывание.», «

wrong command

—

неверная команда».

Пример

management-dll <enter>

disconnect-domain force <enter>

В результате успешного выполнения команды появится сообщение: «

Unregistration success

» —

модуль

успешно выведен из ДБ.

Графическая оболочка администрирования

Для настройки управления СЗИ НСД с помощью графической оболочки СЗИ НСД

на вкладке

«Параметры безопасности» необходимо выбрать категорию «Основные настройки» и запустить поле
«Настройка домена безопасности» на панели действий

После запуска поля «Настройка домена

безопасности» откроется окно настройки централизованного управления системы защиты

(см.

Рисунок

123).

Система защиты информации

Dallas Lock Linux

Руководство по эксплуатации

194

Рисунок

123

. Централизованное управление системы защиты

В том случае, если СЗИ НСД находится под управлением Сервера безопасности

(СБ), в значении

поля

«СБ» будет отображено имя компьютера в сети или IP

адрес, на котором установлен СБ. Поля

для ввода, относящиеся к ЕЦУ, и кнопки «Ввести в ДБ», «Вывести из ДБ» будут недоступны для ввода
и нажатия.

Если СЗИ НСД не находится под управлением СБ, необходимо будет заполнить следующие поля:

–

«АРМ» —

сетевое имя или прочее говорящее название для сетевого узла

которое будет

отображаться в панели ЕЦУ в списке управляемых объектов

;

–

«ДБ ЕЦУ» —

сетевое имя или

IP-

адрес сетевого узла, на котором установлена Служба ЕЦУ

;

–

«Ключ

доступа» —

ключ доступа к ДБ (может быть пустым).

Далее нужно нажать кнопку «Ввести в ДБ». Если указанные поля не заполнены, кнопка «Ввести в ДБ
будет недоступна для нажатия».

Результат успешного выполнения:

«Модуль успешно зарегистрирован в Домене Безопасности»

Результат ошибочного выполнения:

–

«На указанном АРМ уже зарегистрирован модуль этого типа»

—

АРМ с указанным именем

найдено, и на нем уже зарегистрировано СЗИ НСД

Dallas Lock Linux;

–

«Модуль уже находится под управлением Сервера безопасности

» —

СЗИ НСД

Dallas Lock

Linux

уже находится под управлением СБ;

–

«Превышено максимально допустимое число АРМ»

—

превышено максимально допустимое

число АРМ;

–

«Сетевой доступ к серверу ЕЦУ отсутствует»

—

сервер ЕЦУ не доступен по сети;

–

«Доступ к серверу ЕЦУ отсутствует»

—

в случае иных ошибок (например, ввод

неправильного ключа доступа к ДБ).

В результате выполнения операции ввода СЗИ НСД

Dallas Lock Linux

получает от ЕЦУ список серверов,

он будет отображен в поле «Список серверов». Этот список будет обновляться в процессе

Система защиты информации

Dallas Lock Linux

Руководство по эксплуатации

197

ПЕРЕЧЕНЬ СОКРАЩЕНИЙ

Сокращение

Полная формулировка

АИ

Аппаратный идентификатор

АРМ

Автоматизированное рабочее место

ДБ

Домен безопасности

ЕЦУ

Единый центр управления

МЭ

Межсетевой экран

ОС

Операционная система

ПК

Персональный компьютер

ПО

Программное обеспечение

СБ

Сервер безопасности

СЗИ НСД

Система защиты информации от несанкционированного доступа

СЗИ

Система защиты информации

СКН

Средство контроля съемных машинных носителей информации

ТС

Техническое средство

УЗ

Учетные записи

ФС

Файловая система

ЦЗИ

Центр защиты информации

SSH

Протокол прикладного уровня удаленного управления компьютером с
операционной системой

Linux

DLL

Dallas Lock Linux

PIN

Персональный идентификационный номер

GUI

Графическая оболочка администрирования

CLI

Интерфейс командной строки

СИСТЕМА ЗАЩИТЫ ИНФОРМАЦИИ Dallas Lock Linux. Руководство по эксплуатации ПФНА.501410.002 РЭ (2024 год) - часть 6