Подробный гайд по удалению следов USB-флешки в Astra Linux 1.7
Удаление следов использования USB-накопителей в Astra Linux 1.7 требует комплексной очистки системных журналов, кэшей графической оболочки и временных файлов.
Важно:
Если Astra Linux используется в защищенной среде (особенно с включенным мандатным контролем целостности Parsec или настроенной отправкой логов на удаленный Syslog-сервер), локальная очистка может быть заблокирована, вызвать срабатывание сигналов тревоги или не дать результата, так как копии логов уже находятся у администратора безопасности.
1. Очистка системных логов и ядра (Kernel Logs)
При подключении флешки ядро Linux записывает события (Vendor ID, Product ID, серийный номер) в кольцевой буфер и текстовые журналы.
1. Очистка кольцевого буфера ядра (dmesg):
sudo dmesg -c
Очищает буфер в оперативной памяти, который выводится командой dmesg.
2. Очистка текстовых логов в /var/log/:
Основные события записываются в syslog, kern.log и messages.
Используйте truncate, чтобы очистить файл без изменения его inode (демоны продолжат писать в этот же файл):
sudo truncate -s 0 /var/log/syslog
sudo truncate -s 0 /var/log/kern.log
sudo truncate -s 0 /var/log/messages
sudo truncate -s 0 /var/log/daemon.log
2. Очистка журналов systemd (Journalctl)
Systemd хранит бинарные логи, в которых остаются следы монтирования и работы udisks2.
1. Ротация и удаление старых записей:
sudo journalctl --rotate
sudo journalctl --vacuum-time=1s
2. Радикальная очистка каталога журналов (если позволяет политика безопасности):
sudo rm -rf /var/log/journal/*
3. Перезапуск служб логирования для применения изменений:
sudo systemctl restart rsyslog systemd-journald
3. Очистка логов аудита (Auditd)
В Astra Linux часто используется auditd для контроля безопасности. Он фиксирует факты монтирования и чтения файлов.
1. Очистка лога аудита:
sudo truncate -s 0 /var/log/audit/audit.log
sudo systemctl restart auditd
Внимание:
Сам факт остановки и запуска auditd также попадет в лог, поэтому делайте это только в случае крайней необходимости.
4. Удаление следов в пользовательском окружении (User Space)
Графическая оболочка (обычно Fly, XFCE или GNOME) кэширует информацию о подключенных устройствах и открытых файлах.
1. Недавние файлы (Recent Files):
Удалите историю открытых файлов в файловых менеджерах.
rm -f ~/.local/share/recently-used.xbel
rm -f ~/.local/share/recently-used.xbel~
2. Очистка кэша миниатюр (Thumbnails):
Если вы просматривали изображения с флешки, их миниатюры остались в кэше.
rm -rf ~/.cache/thumbnails/*
3. Служба автомонтирования (Udisks2):
Очистите временные файлы и кэш службы, отвечающей за монтирование флешек в графическом режиме.
sudo rm -rf /run/udisks2/*
4. Следы в файловых менеджерах:
Если ярлыки флешки "зависли" в боковой панели, можно сбросить состояние файлового менеджера.
Для XFCE (Thunar):
rm -f ~/.config/Thunar/volmanrc
killall thunar
5. Очистка истории терминала
Если вы вводили команды (ls /media/..., mount, cp), их нужно удалить из истории.
history -c
history -w
# Или полная очистка файла истории:
rm -f ~/.bash_history
6. Проверка правил Udev
Проверьте, не были ли случайно созданы персистентные правила автомонтирования для вашей флешки (например, скрипты, срабатывающие на определенный VendorID).
ls -l /etc/udev/rules.d/
ls -l /lib/udev/rules.d/ | grep -i usb
Удалите файлы, если они относятся к вашему устройству.
Быстрый скрипт для очистки (Copy-Paste)
Вы можете выполнить этот блок команд от имени root для быстрой зачистки основных артефактов:
# 1. Ядро и системные логи
dmesg -c
truncate -s 0 /var/log/syslog /var/log/kern.log /var/log/messages /var/log/daemon.log
truncate -s 0 /var/log/audit/audit.log 2>/dev/null
# 2. Systemd journal
journalctl --rotate
journalctl --vacuum-time=1s
# 3. Пользовательские следы
rm -f ~/.local/share/recently-used.xbel*
rm -rf ~/.cache/thumbnails/*
rm -rf /run/udisks2/*
history -c && history -w
# 4. Перезапуск демонов
systemctl restart rsyslog systemd-journald auditd 2>/dev/null
Специфика Astra Linux (Parsec)
Если на машине включен Parsec (мандатный контроль):
- Parsec ведет собственные защищенные логи попыток нарушения целостности (например, попытка смонтировать несертифицированный носитель). Эти логи хранятся в защищенных разделах или передаются по защищенным каналам. Удалить их стандартными средствами ОС без отключения Parsec (что требует высочайших привилегий) невозможно.
- Если машина в домене ALSE (Astra Linux Special Edition), информация о подключении USB-устройств могла быть отправлена на сервер централизованного управления (например, СЗИ "Интеграция" или "Континент"). В этом случае локальная чистка не скроет факт подключения от системного администратора.
Информация предоставлена в ознакомительных целях. Применение описанных настроек в системах, должно осуществляться только после согласования с ответственными за информационную безопасность и в соответствии с требованиями ФСТЭК, ФСБ и иных уполномоченных органов.