Соответствие VMmanager требованиям Приказа ФСТЭК России от 11.02.2013 г. N 17

Идентификация и аутентификация пользователей в VMmanager выполняется с учетом требований ГОСТ Р 58833-2020 «Защита информации. Идентификация и аутентификация. Общие положения». Вход в программу осуществляется по идентификатору (email) и паролю. При входе в программу осуществляется идентификация и проверка подлинности субъектов доступа процедурой аутентификации, реализованной средствами VMmanager.

Также в качестве источника данных для идентификации и аутентификации пользователей применяются службы каталогов LDAP из состава Astra Linux. Для централизованного управления идентификацией и аутентификацией используется служба FreeIPA (единое пространство пользователей, ЕПП) из состава Astra Linux.

Идентификация и аутентификация пользователей осуществляется с помощью веб-портала VMmanager для локальных и LDAP пользователей, при использовании электронной почты в качестве логина и пароля. Также возможна двухфакторная аутентификация, с использованием одноразового кода.

При создании групп пользователей возможно указать IP-адреса, с которых будет предоставляться доступ к web-порталу.

Для создания локального пользователя:

Перейти в основном меню в раздел Пользователи > Новый пользователь

Выберите способ создания пользователя:

• "Приглашение пользователей"

Приглашение будет выслано на указанный электронный адрес, во время подтверждения приглашения требуется задать пароль (есть возможность сгенерировать пароль (Рекомендуется) )

• "Создание пользователей"

Требуется указать электронный адрес, пароль генерируется автоматически (рекомендуется) или задается вручную.

Для удаления пользователя через портал VMmanager:

Перейти в основном меню в раздел Пользователи, выделить чек-боксом пользователя или пользователей и сверху выбрать действие "Удалить".

При удалении LDAP-пользователя доступ на портал будет недоступен, но при повторной синхронизации пользователь снова будет добавлен в список.

Для управления пользователями с помощью ЕПП (FreeIPA)

Перейти на портал управления FreeIPA > Пользователи > Добавить

Требуется указать имя учетной записи, Имя, Фамилия и пароль. Для успешного входа созданным пользователем, требуется выполнить вход в систему и сменить пароль.

Для удаления пользователей с помощью ЕПП (FreeIPA)

Перейти на портал управления FreeIPA > Пользователи

Выбрать пользователей чек-боксом, нажать кнопку удалить, при удалении будет предложено два варианта:

• Удалить

Полное удаление пользователя, при повторном создании пользователя будет назначен следующий UID

• Сохранить

Пользователь будет перемещен в "Корзину", невозможно будет создать пользователя с таким же именем учетной записи. Возможно восстановить.

При удалении пользователя в FreeIPA и синхронизации каталога LDAP в VMmanager статус пользователя будет "Заблокирован".

По умолчанию в VMmanager парольная политика требует минимум 8 символов по 1 категории символов, без ограничения времени действия пароля. Пример пароля ( 11111111 ). Изменить парольную политику возможности нет.

При создании пользователя есть возможность сгенерировать пароль. Генератор паролей создает пароль с использованием 12 символов верхнего и нижнего регистра с добавлением цифр, алфавит пароля — 62 символа.

В случае утраты или компрометации средств аутентификации пользователям можно сменить пароль или заблокировать учетную запись. Для учетных записей с ролью Администратор сменить пароль нельзя, возможно только заблокировать учетную запись.

Для создания собственных парольных политик рекомендуется использовать ЕПП.

Пароли локальных пользователей хранятся в виде хэша с использованием алгоритма sha-256 crypt и добавлением salt, в контейнере pgsql в таблице auth_user.

Пароли LDAP-пользователей хранятся на стороне LDAP-пользователей.

Для доменных пользователей 2FA требуется включать на стороне VMmanager через личный кабинет пользователя. Если включать на стороне FreeIPA, тогда вход в систему не возможен, возможно требуется настройка FreeRADIUS.

Защита обратной связи при вводе аутентификационной информации в VMmanager обеспечивается исключением отображения действительного значения аутентификационной информации при ее вводе пользователем в диалоговом интерфейсе средствами веб-браузера из состава Astra Linux, при отображении данной формы браузер выполняет защиту обратной связи при вводе аутентификационной информации на основе правил обработки элемента input типа password.

Защита обратной связи реализована по умолчанию на уровне кода веб-портала с помощью использования атрибута type с значением password.

Внешних пользователей в VMmanager нет. Идентификация и аутентификация пользователей осуществляется ИАФ.1.

Управление (заведение, активация, блокирование и уничтожение) учетными записями пользователей, в том числе внешних пользователей

Оповещение администратора, осуществляющего управление учетными записями пользователей, об изменении сведений о пользователях, их ролях, обязанностях, полномочиях, ограничениях

Разделения по типу учетных записей нет. (LDAP,LOCAL )

Можно создать новую группу или выбрать уже существующую группа для объединения учетных записей по группам.

Создание локальных групп производится в разделе "Пользователи"

Для ЕПП пользователей:

После создания пользователя, его можно добавить в соответствующие группы, которые были сопоставлены с локальными группами при настройки синхронизации LDAP, подробнее в УПД.4

Создание, блокирование, удаление учетных записей выполняется согласно ИАФ.3 и ИАФ.4

В программе реализован механизм ролевого управлениям доступом. Ролевое управление доступом обеспечивает разграничение возможностей выполнения привилегированных операций со средствами виртуализации.

В платформе VMmanager определены следующие роли, соответствующие ролям, определенным требованиями 187 приказа ФСТЭК России:

• Администратор → Администратор средства виртуализации;

• Продвинутый пользователь → Разработчик виртуальной машины;

• Пользователь → Администратор виртуальной машины.

Настройка ролей производится в веб-интерфейсе платформы VMmanager во вкладке «Пользователи» и для любого пользователя в выпадающем меню выбрать «Изменить роль в системе».

Роль администратора безопасности СВ реализована ролью администратора, входящего в группу пользователей astra-a udit Astra Linux .

Реализация ролевого метода управления доступом подразумевает разграничение доступа по ролям:

• учетная запись уровня «Пользователь» — соответствует роли администратора ВМ, определяемой требованиями 187 приказа ФСТЭК России;

• учетная запись уровня «Продвинутый пользователь» — соответствует роли разработчика ВМ, определяемой требованиями 187 приказа ФСТЭК России;

• учетная запись уровня «Администратор» — соответствует роли администратора средства виртуализации, определяемой требованиями 187 приказа ФСТЭК России;

• администратор безопасности средства виртуализации (функции реализованы средствами Astra Linux).

Реализуется с применением сертифицированных средств межсетевого экранирования.

Организационная мера, реализуется с помощью УПД.2

Организационная мера, реализуется с помощью УПД.2

В соответствии с УПД.2

Назначение минимально необходимых прав реализуется с помощью УПД.2

При создании пользователя требуется указать роль.

Настройка ограничений аутентификации позволяет ограничить количество и периодичность неудачных попыток входа в платформу (аутентификации).

Управление локальными средствами аутентификации настраиваются в разделе Настройки > Политики безопасности. В данном разделе возможно задать параметры:

• Время между попытками входа
• Количество попыток входа
• Время блокировки
• Период сброса попыток входа

Данные параметры можно задать для каждой роли отдельно. Блокировка производится по IP-адресу, а не учетной записи. По умолчанию данные параметры не настроены.

При использовании учётных записей пользователей, хранящихся на FreeIPA сервере, количество неуспешных попыток входа в систему, задаётся настройкой безопасности на самом FreeIPA сервере через web-интерфейс: в разделе «Политики» → «Политики паролей» перейти к редактированию настроек группы «global_policy» или созданию новой политики.

Настройка на стороне платформы VMmanager применяется для доменного и локального пользователя, блокировка осуществляется по IP-адресу, при применение настройки на стороне FreeIPA блокировка применяется к учетной записи.

Порядок настройки ограничений аутентификации:

1. нажать на значок «шестеренка» и перейти на вкладку «Политики безопасности»;

2. нажать кнопку [Изменить настройки] в нужном блоке — «Для администраторов», «Для продвинутых пользователей», «Для пользователей»;

3. ввести требуемые настройки:

1. 1. 1. время между попытками, с — минимальное время после ввода неверных данных, через которое пользователь сможет повторить попытку входа;

      2. количество неудачных попыток, шт. — максимальное количество попыток неудачного ввода, после которого IP-адрес пользователя будет заблокирован;

      3. продолжительность блокировки, с — время, в течение которого аутентификация будет недоступна;

      4. период сброса, с — время, по истечении которого количество неудачных попыток сбросится;

Для доменных пользователей требуется создать политику паролей в разделе «Политики» → «Политики паролей»

После заданного количества неудачных попыток ввода пароля информация о заблокированной учетной записи не отображается.

Блокировка сеанса пользователя в VMmanager по умолчанию осуществляется через 1 час бездействия пользователя: как для локального, так и для доменного. Значение по умолчанию возможно изменить в настройках web-портала.

Для изменения времени блокирования сеанса при бездействии пользователя:

1. Нажать на значок «Шестеренка» в вспомогательном меню справа, и перейти в раздел "Глобальные настройки"
2. Нажать кнопку "Изменить" в разделе "Время жизни сессии"

Идентификация и аутентификация пользователя осуществляется согласно ИАФ.1.

Первичная аутентификация пользователя осуществляется по специально сгенерированной ссылке после успешного завершения установки VMmanager.

Без прохождения идентификации нет возможности выполнять какие-либо действия.

В целях обеспечения удаленного доступа пользователей с использованием сетей связи общего пользования к СВ должны применяться средства криптографической защиты информации, прошедшие процедуру оценки соответствия в соответствии с законодательством Российской Федерации.

В соответствии с п. 2.3.7 документа «Руководство администратора платформы VMmanager» доступ в платформу осуществляется по протоколу HTTPS с использованием шифрования TLS. Доступ к узлам кластера осуществляется по протоколам SSH с использованием шифрования и qemu-tls.

Для обеспечения удаленного доступа пользователей с использованием сетей связи общего пользования к средству виртуализации обеспечена возможность использования сертифицированных средств криптографической защиты информации.

-

-

Доверенная загрузка средств вычислительной техники обеспечивается с использованием сертифицированных (Далас, Соболь и т.д.) средств доверенной загрузки и вспомогательными настройками Astra Linux.

Для осуществления ограничений программной среды в VMmanager используются средства Astra Linux.

Контроль за запуском компонентов ПО, обеспечивающий выявление и блокировку запуска компонентов ПО, не включенных в перечень (список) компонентов, разрешенных для запуска, осуществляется штатными средствами ОС:

1. механизмом динамического контроля целостности (режим ЗПС) исполняемых файлов и разделяемых библиотек формата ELF при запуске программы на выполнение;

2. применением режима Киоск-2, который служит для ограничения прав пользователей на запуск программ в ОС. Степень этих ограничений задается маской киоска, которая накладывается на права доступа к исполняемым файлам при любой попытке пользователя получить доступ.

Для включения контроля целостности необходимо выполнить следующие действия на узле виртуализации VMmanager:

1. Установить следующие настройки в конфигурационном файле /etc/digsig/digsig_initramfs.conf :

   1. DIGSIG_XATTR_MODE = 1 ;

   2. DIGSIG_ELF_MODE = 1 .

2. Выполнить команду:
   update-initramfs -u -k all

3. Перезагрузить узел виртуализации.

Перечень событий, необходимых для регистрации и учета определяется службой syslog-ng из состава ОС Astra Linux. Настройка параметров работы осуществляется через конфигурационный файл /etc/syslog-ng/conf.d. В каталоге /usr/share/syslog-ng-mod-astra/event-settings/vmmanager-messages располагаются конфигурационные файлы событий, регистрируемых в системном журнале Ksystemlog, вызов которого осуществляется либо в графическом режиме, либо с помощью утилиты командной строки ksystemlog, для каждой функции безопасности средства виртуализации.

При формировании списка событий за основу взят перечень событий, установленный в «Требованиях по безопасности к средств вирутализации», утвержденных приказом ФСТЭК России от 27.10.2022 г. № 187, что не противоречит требованиям ГОСТ Р 59548-2022.

Согласно ГОСТ Р 59548-2022 (п.5.3): средства обеспечения безопасности информационных технологий и иные программно-технические средства (а также программное обеспечение), применяемые в информационных (автоматизированных) системах, регистрируют события безопасности, связанные с выполняемыми ими мерами защиты.

Таким образом, требования к составу типов событий безопасности определяются на основании функций безопасности.

Функции безопасности определены в «Требованиях по безопасности к средству вирутализации», утвержденных приказом ФСТЭК России от 27.10.2022 г. № 187, в котором также установлен перечень событий безопасности, подлежащих регистрации, а именно:

• успешные и неуспешные попытки аутентификации пользователей средства виртуализации;

• доступ пользователей средства виртуализации к виртуальным машинам;

• создание и удаление виртуальных машин;

• запуск и остановка средства виртуализации с указанием причины остановки;

• запуск и остановка виртуальных машин с указанием причины остановки;

• изменение ролевой модели;

• изменение конфигурации средства виртуализации;

• изменение конфигураций виртуальных машин;

• факты нарушения целостности объектов контроля.

1) С помощью команды открыть директорию, содержащую конфигурацию событий средства виртуализации

# cd /usr/share/syslog-ng-mod-astra/event-settings/vmmanager-messages

2) В данной директории располагаются конфигурационные файлы событий, регистрируемых журналом событий, для каждой функции безопасности средства виртуализации

Состав и содержание информации о события безопасности, отображаемой в системном журнале Ksystemlog, вызов которого осуществляется либо в графическом режиме, либо с помощью утилиты командной строки ksystemlog, заранее предопределены и позволяют определить когда и какие действия происходили.

Служба syslog-ng из состава подсистемы регистрации событий предоставляет возможность централизованного сбора событий безопасности, связанных с функционированием средства виртуализации, из журналов событий безопасности. При установке пакета astra-kvm-secure создаются конфигурационные файлы для удаленного сбора данных о событиях безопасности. Служба syslog-ng выполняет регистрацию событий в журнал /parsec/log/astra/events. В журнале событий регистрируются попытки запуска неподписанных файлов, успешная и неуспешная авторизация, данные о пользовательских сессиях и другие события безопасности, регистрация которых настроена.

Сбор, запись и хранение информации о событиях безопасности осуществляются с использованием расширенной подсистемы протоколирования Astra Linux, осуществляющей регистрацию событий с использованием сервиса auditd совместно с модулем фильтрации syslog-ng-mod-astra и демоном libvirtd  путем ведения журналов аудита событий безопасности согласно заданным правилам. Состав регистрируемой информации соответствует ГОСТ Р 59548-2022.

Со стороны пользователя дополнительных настроек не требуется, Сбор, запись и хранение событий безопасности выполняется по умолчанию.

Оповещение о событиях безопасности осуществляется с использованием утилиты fly-notifications («Центр уведомлений»).

Оповещение администратора безопасности СВ осуществляется службой syslog-ng, путем внесения записей в конфигурационные файлы системы регистрации событий, расположенных в директории /etc/syslog-ng/conf.d. На сервере платформы должны быть установлены пакеты fly-notifications, libfly-system-sounds-qt.

Реакция на события безопасности задается с использованием программы «Настройка регистрации системных событий», входящей в состав Astra Linux.

Для просмотра и анализа событий безопасности используется fly-event-viewer или инструмент командной строки astra-event-viewer.

Просмотр и анализ событий безопасности осуществляется администратором с использованием консольных (ausearch, aureport, aulast и auvirt) и графических (ksystemlog и fly-event-viewer) инструментов Astra Linux. Утилита auvirt используется для поиска в журналах аудита записей, созданных libvirt, чтобы вывести список сеансов ВМ. Также утилита выполняет поиск таких событий, как остановка хост-системы, отказы в доступе, связанные с гостевыми системами, и аномальные события, связанные с QEMU-процессами.

Синхронизация времени осуществляется с помощью утилиты NTP.

Настройка синхронизации времени для всей платформы осуществляется в разделе "Глобальные настройки":

1. Нажать на значок «шестеренка» и перейти на вкладку «Политики безопасности»;

2. Перейти в раздел "Глобальные настройки";

3. В разделе "Часовой пояс" выберите способ синхронизации

   • На основе времени в браузере

   • Выбрать часовой пояс.

В настройках личного кабинета пользователя возможно настроить часовой пояс для каждого пользователя отдельно.

По умолчанию регистрация событий службой syslog-ng происходит в файл /var/log/audit/audit.log или другие файлы каталога /var/log/audit/. Политики управления доступом (ролевая, дискреционная) обеспечивают возможность защиты от несанкционированного удаления хранимых записей аудита в журнале и предотвращение несанкционированной модификации хранимых записей аудита в журнале. События безопасности в журнале /var/log/audit/audit.log доступны на чтение.

Целостность сведений о событиях безопасности реализуется совместным применением мандатного контроля целостности и атрибута доступа «chattr +a»:

1. для файла журнала безопасности /parsec/log/astra/events установлен атрибут «chattr +a», который разрешает доступ к файлу только на чтение и на добавление в конец новых строк. Проверка установки атрибута выполняется с помощью команды:
   sudo pdp-ls -d -P /parsec/log/astra/events
   Удалить или изменить файл невозможно. Запрет распространяется на всех пользователей вне зависимости от их привилегий;

2. файл журнала защищен от изменения средствами МКЦ (файл журнала, каталог и ведущий его процесс syslog-ng-mod-astra имеют высокую метку целостности);

3. удаление журнала событий контролируется событием «Журнал событий удален»;

4. переименование или перемещение журнала событий контролируется событием «Журнал событий переименован или перемещен»;

5. ротация журнала событий контролируется событием «Журнал событий ротирован»;

6. прочие манипуляции с журналом событий контролируются событием «Журнал событий изменен недоверенным процессом», за исключением процессов syslog-ng и logrotate;

• в каждой записи журналов событий безопасности регистрируется значение параметра критичности.

1. Авторизоваться в Astra Linux пользователем, входящем в группу astra-a udit .

2. Попытаться отредактировать зарегистрированные записи журнала /parsec/log/astra/events и сохранить изменения

-

-

Изготовитель регулярно проводит мониторинг уязвимостей VMmanager с использованием анализа общедоступных баз данных уязвимостей и принимает меры, направленные на устранение выявленных уязвимостей и/или исключающие возможность их эксплуатации.

Устранение недостатков VMmanager предусматривает:

1. поиск в доступных источниках информации о недостатках в компонентах VMmanager;

2. получение сведений о недостатках средства от потребителей;

3. разработку компенсирующих мер по защите информации или ограничений по применению VMmanager, снижающих возможность эксплуатации недостатков (уязвимостей);

4. доведение информации о таких мерах и ограничениях до потребителей в срок не более 48 ч с момента выявления недостатка;

5. доработку VMmanager или его отдельных компонентов, в том числе разработку и выпуск обновлений или разработку мер по защите информации, нейтрализующих недостаток, в срок не более 60 дней с момента выявления недостатка.

Доведение информации о недостатках VMmanager, а также о компенсирующих мерах по защите информации или ограничениях по применению осуществляется до каждого потребителя путем отправки сообщений в личный кабинет пользователя или по электронной почте.

Обновления могут быть доступны в виде:

1. инструкций и методических указаний по настройке и особенностям эксплуатации VMmanager, содержащих сведения о компенсирующих мерах или ограничениях по применению VMmanager при эксплуатации;

2. отдельных программных компонентов из состава VMmanager, в которые внесены изменения с целью устранения уязвимостей, инструкций по их установке и настройке, а также информации, содержащей сведения о контрольных суммах файлов обновления;

3. обновления VMmanager, а также информации, содержащей сведения о контрольных суммах файлов обновлений, указания по установке, настройке и особенностям эксплуатации VMmanager.

Для установочных дисков обновлений, а также для отдельных программных компонентов, публикуются контрольные суммы, рассчитанные с использованием программы фиксации и контроля исходного состояния программного комплекса «ФИКС-Unix 1.0» (разработчик – ЗАО «ЦБИ-сервис», сертификат соответствия ФСТЭК России № 680 от 30.10.2002).

Доведение информации о выпуске обновления осуществляется до каждого потребителя через личный кабинет пользователя или по электронной почте.

Также потребитель может получить информацию о выходе обновлений через службу технической поддержки предприятия-изготовителя по тел. +7 (800) 775-47-78 или через сайт https://www.ispsystem.ru.

Источником получения обновлений VMmanager является официальный информационный ресурс изготовителя и личный кабинет пользователя.

Подлинность и целостность программного обеспечения обновлений обеспечивается за счет применения электронной подписи изготовителя.

Контроль целостности обновлений в составе информационных (авто- матизированных) систем потребителей осуществляется следующим порядком:

- до установки обновления — проведением проверки электронной подписи обновления;

- до установки обновления — проведением контроля целостности контейнеров из состава установочного диска обновления средствами контроля целостности (программы фиксации и контроля исходного состояния программного комплекса «ФИКС-Unix 1.0») путем вычисления и сравнения контрольных сумм файлов с эталонными значениями, хранящимися в файле VMmanager_checksum, входящем в состав установочного диска и обновления VMmanager;

- после установки обновления — проведением контроля целостности путем проверки контрольных сумм исполняемых файлов и библиотек с помощью скрипта check.sh и файла с контрольными суммами, входящего в состав обновления VMmanager.

Совпадение контрольных сумм является достаточным подтверждением использования в информационной системе сертифицированного программного обеспечения VMmanager после обновления.

Контроль за запуском компонентов программного обеспечения, обеспечивающий выявление и блокировку запуска компонентов программного обеспечения, не включенных в перечень (список) компонентов, разрешенных для запуска, осуществляется аналогично контролю целостности в процессе загрузки и динамически в процессе функционирования СВ за счет включения режима контроля расширенных ресурсов атрибутов ЗПС на узле кластера, где располагается созданная ВМ, описанном в п. . При этом осуществляется контроль целостности (режим ЗПС) исполняемых файлов и разделяемых библиотек формата ELF при запуске программы на выполнение.

Отказоустойчивый кластер (HA-кластер) — группа серверов, гарантирующая минимальное время простоя ВМ. В случае, если один из серверов (узлов) кластера потерял связь с другими узлами или подключённым хранилищем, VMmanager запустит процесс аварийного восстановления — релокации ВМ.

/etc/supervisord.conf.d/hawatch.conf — конфигурационный файл, используемый основным сервисом (модулем) взаимодействия с отказоустойчивым кластером (hawatch)

1. перейти в раздел « Кластеры»;

2. нажать кнопку [Создать кластер] ;

3. выбрать технологию виртуализации KVM;

4. ввести или сгенерировать название кластера;

5. выбрать часовой пояс по умолчанию для узлов виртуализации и ВМ;

6. ввести DNS-серверы для ВМ;

7. ввести произвольное примечание к кластеру;

8. нажать кнопку [Далее] ;

9. выбрать ОС, доступные для установки на ВМ;

10. чтобы к ВМ в кластере можно было подключиться по SPICE, установить опцию «Разрешить подключения по протоколу SPICE»;

11. чтобы разрешить пользователям загружать ВМ с собственных ISO-образов, установить опцию «Пользователи могут загружать свои ISO-образы»;

12. чтобы разрешить пользователям работу с виртуальными дисками, установить опцию «Пользователи могут подключать/отключать свои диски VM»;

13. выбрать шаблон доменов для ВМ;

14. чтобы разрешить владельцам ВМ изменять доменные имена, установить опцию «Пользователи могут менять доменное имя»;

15. выбрать коэффициент оверселлинга CPU;

16. выбрать коэффициент оверселлинга RAM узла;

17. ввести ограничение количества ВМ на узлах — максимальное количество ВМ, которое будет создаваться на узлах кластера;

18. выбрать тип распределения ВМ на узлах:

19. равномерное — ВМ будут создаваться на самом свободном узле кластера;

20. последовательное — ВМ будут создаваться на самом заполненном узле кластера;

21. нажать кнопку [Далее] ;

22. выбрать правила настройки хранилищ на узлах кластера;

23. нажать кнопку [ Далее] ;

24. выбрать тип настройки сети;

25. чтобы разрешить использование виртуальных сетей в кластере, установить опцию «Включить виртуальные сети» и выбрать вариант настройки сети;

26. нажать кнопку [Создать] .

Резервирование технических средств, программного обеспечения, каналов передачи информации, средств обеспечения функционирования информационной системы

Резервирование каналов передачи информации включает:

• резервирование каналов связи, обеспечивающее снижение вероятности отказа в доступе к информационной системе;
• наличие у основных и альтернативных поставщиков телекоммуникационных услуг (провайдеров) информационной системы планов по восстановлению связи при авариях и сбоях, с указанием времени восстановления.

Резервное копирование образов виртуальных машин и конфигурации виртуального оборудования виртуальных машин может осуществляться как средством виртуализации во вкладке "Резервные копии" в веб-интерфейсе VMmanager, так и с использованием встроенных в Astra Linux.

Полное резервное копирование текущего состояния образа виртуальной машины выполняется с использованием инструмента virsh backup-begin.

Выполнение резервного копирования конфигурации виртуального оборудования созданных виртуальных машин (существующего XML-файла ВМ) осуществляется с помощью инструмента virsh dumpxml.

Управление снимками ВМ из командной строки выполняется с использованием инструмента virsh snapshot-create.

1. перейти в раздел « Виртуальные машины»;

2. выбрать ВМ, открыть меню «троеточие» и выбрать пункт « Создать резервную копию»;

3. выбрать диск , для которого нужно создать копию;

4. выбрать хранилище для копии — внешнее хранилище или узел, на котором находится ВМ. Чтобы VMmanager создал копию ВМ в самом свободном хранилище, выбрать пункт «Выбирать автоматически»;

5. ввести название новой копии;

6. ввести произвольное примечание;

7. нажать кнопку [Создать резервную копию] .

Идентификация и аутентификация пользователей в VMmanager выполняется с учетом требований ГОСТ Р 58833-2020 «Защита информации. Идентификация и аутентификация. Общие положения». Вход в программу осуществляется по идентификатору (email) и паролю. Защита пароля пользователя обеспечивается при его вводе за счет отображения вводимых символов условными знаками. При входе в программу осуществляется идентификация и проверка подлинности субъектов доступа процедурой аутентификации, реализованной средствами VMmanager. Или централизованно при организации единого пространства пользователей, в основу которого положен доменный принцип построения сети, с использованием сетевого протокола сквозной доверенной аутентификации.

Запуск ВМ на узлах виртуализации осуществляется с помощью локальной учетной записи на хостовой операционной системе, указанной при создании узла. Подключение к узлу осуществляется с помощью SSH при использовании пароля или ключа (рекомендуется). Учетная запись должна обладать привилегиями sudo и входить в группы astra-admin, kvm, libvirt, libvirt-qemu, libvirt-admin .

Аутентификация на web-портале VMmanager реализуется согласно ИАФ.1

Также для управления ВМ на узлах виртуализации возможно использовать консольную утилиту virsh:

sudo virsh list - список запущенных ВМ

sudo virsh list --all - список всех ВМ

sudo virsh dominfo <имя_или_ID_ВМ> - инфо о ВМ

sudo virsh start

sudo virsh stop

virsh migrate --live <имя_ВМ> qemu+ssh://<user>@<target_host>/system

Подсистема регистрации событий, которая собирает информацию о событиях, в том числе о событиях безопасности, из различных источников и предоставляет инструменты для просмотра собранных данных и реагирования на события, реализована средствами Astra Linux.

Регистрация событий безопасности, настройка реагирования системы на события и информирование администратора осуществляется с использованием службы auditd и подсистемы регистрации событий из состава Astra Linux. Служба auditd выполняет регистрацию событий объектов файловой системы (аудит файлов) и пользователей (аудит процессов) согласно заданным правилам. Регистрация событий осуществляется в журнал аудита.

Основным компонентом является служба syslog-ng, предоставляет возможность централизованного сбора событий безопасности, связанных с функционированием средства виртуализации, из журналов событий безопасности.

Настройка регистрации событий осуществляется с использованием утилиты fly-admin-events («Настройка регистрации системных событий»)

Настройка параметров работы осуществляется через конфигурационные файлы /etc/syslog-ng/conf.d.

Для отображения событий безопасности, связанных с функционированием СВ, используется системный журнал Ksystemlog, вызов которого осуществляется либо в графическом режиме, либо с помощью утилиты командной строки ksystemlog.

При подключении узлов и настройке виртуальных машин используется утилита из состава Astra Linux — nftables (подсистема ядра, обеспечивающая фильтрацию и классификацию сетевых пакетов/датаграмм/кадров).

Управление (фильтрация, маршрутизация, контроль соединения, однонаправленная передача) потоками информации по периметру виртуальной инфраструктуры обеспечивается сертифицированными межстетевыми экранами.

Управление потоками информации между виртуальными машинами и информационными системами реализуется с использованием функции контроля и фильтрации проходящих информационных потоков в соответствии с заданными правилами nftables. Правила располагаются в директории /etc/nftables/vm в индивидуальном для каждой виртуальной машины файле.

Доверенная загрузка серверов обеспечивается сертифицированными средствами доверенной загрузки. Доверенная загрузка средств виртуализации и виртуальных машин обеспечивается хостовой ОС Astra Linux.

Доверенная загрузка обеспечивает блокирование попыток несанкционированной загрузки гипервизора, хостовых и гостевых операционных системах.

Блокировка гостевых операционных систем осуществляется средствами libvirt, настройка параметров работы которого осуществляется через конфигурационный файл /etc/libvirt/libvirtd.conf на узле кластера.

Для использования механизма должен быть установлен пакет astra-kvm-secure.

После установки пакета блокировка запуска виртуальной машины при выявлении нарушения целостности виртуального оборудования осуществляется средствами libvirt, настройка параметров работы которого осуществляется через конфигурационный файл /etc/libvirt/libvirtd.conf на узле кластера с помощью наличия в нем следующих опций:

• integrity_control = 1;

• file_integrity_on_startup_VM = 1.

Для применения настроек следует перезагрузить службу libvirtd: sudo systemctl restart libvirtd

После включения механизма «отпечаток конфигурации» легитимное изменение конфигурационных файлов средства виртуализации c расширением *.conf, расположенных в каталоге /etc/libvirt/, возможно с использованием инструмента virsh. Применение virsh для редактирования конфигурационного файла обеспечивает автоматический пересчет контрольной суммы после сохранения.

Платформа VMmanager обеспечивает возможность централизованного управления размещением и перемещением виртуальных машин с сохранением их конфигураций и настроек.

Управление размещением и перемещением ВМ и их образов с возможностью сохранения их конфигурации и настроек реализуется в изделии за счет миграции ВМ между хостами в пределах кластера (в том числе live миграция). Реализуется данной функциональное требование безопасности с помощью веб-интерфейса VMmanager во вкладке «Виртуальные машины» и пункта меню действий виртуальной машины «Мигрировать».

1. Авторизоваться администратором средств виртуализации
2. В меню действий над ВМ выбрать «Мигрировать».

3. Выбрать тип миграции, учитывая фильтры распределения, целевой узел, настройки сетевых интерфейсов, распределение дисков VM.

4. Нажать «Мигрировать».

Контроль целостности объектов контроля в процессе загрузки и динамически в процессе функционирования средства виртуализации реализуется средствами динамического контроля целостности (ЗПС) Astra Linux.

Инструменты замкнутой программной среды (ЗПС) предоставляют возможность внедрения ЭЦП в исполняемые файлы формата ELF и в расширенные атрибуты файловой системы, обеспечивая таким образом контроль целостности как в процессе загрузки СВ, так и динамически в процессе функционирования.

Контролю подлежат следующие файлы:

1. конфигурационные файлы libvirt c расширением .conf, расположенные в каталоге /etc/libvirt/;
2. конфигурационные файлы виртуальных машин c в формате XML, расположенные в каталоге /etc/libvirt/qemu/;
3. файлы виртуальной базовой системы ввода-вывода с расширением .fd, расположенные в каталоге /usr/share/OVMF/.

Описание интерфейса представлено в разделе 3:

/etc/digsig/digsig_inframfs.conf в п. 3.10

Контроль целостности конфигурации виртуального оборудования ВМ осуществляется аналогично контролю целостности в процессе загрузки и динамически в процессе функционирования СВ за счет включения режима контроля расширенных ресурсов атрибутов защищенной программной среды (ЗПС) на узле кластера, где располагается созданная ВМ.

Контроль целостности в процессе загрузки и динамически в процессе функционирования СВ осуществляется за счет включения режима контроля расширенных ресурсов атрибутов защищенной программной среды (ЗПС) на узле кластера, где располагается созданная ВМ.

Настройка режима контроля расширенных ресурсов атрибутов ЗПС на узле кластера осуществляется через конфигурационный файл /etc/digsig/digsig_inframfs.conf путем задания значения «1» для параметра DIGSIG_XATTR_MODE и DIGSIG_ELF_MODE.

Резервное копирование образов виртуальных машин и конфигурации виртуального оборудования виртуальных машин может осуществляться как средством виртуализации во вкладке "Резервные копии" в веб-интерфейсе VMmanager, так и с использованием встроенных в Astra Linux.

Полное резервное копирование текущего состояния образа виртуальной машины выполняется с использованием инструмента virsh backup-begin.

Выполнение резервного копирования конфигурации виртуального оборудования созданных виртуальных машин (существующего XML-файла ВМ) осуществляется с помощью инструмента virsh dumpxml.

Выполнение резервного копирования параметров настройки средства виртуализации осуществляется с использованием инструментов архивирования и копирования из состава Astra Linux: tar, cpio. При этом резервная копия сохраняется в формате архива tar и содержит в себе конфигурационные файлы Docker и платформы, а также дамп базы данных. Работу с резервной копией в формате архива tar можно осуществлять с помощью интерфейса командной строки tar.

Задача резервного копирования параметров настройки средства виртуализации осуществляется средствами резервного копирования платформы VMmanager. Резервная копия сохраняется в формате архива tar и содержит в себе конфигурационные файлы Docker и платформы, а также дамп базы данных.

• 1. Перейти в раздел «Резервное копирование», нажать кнопку «Добавить расписание».

  2. Указать периодичность создания копий (например, 5 * * * * — создавать копии каждые 5 минут).

  3. Перейти в раздел «Резервное копирование».

  4. Дождаться выполнения резервного копирования по расписанию (копирование происходит каждые 5 минут).

Реализуется с применением сертифицированных средств межсетевого экранирования.