Подробный гайд: Пошаговая инструкция подключения (ПАК) «Соболь 4» к Astra Linux
Подробное и технически выверенное руководство по интеграции аппаратно-программного комплекса (ПАК) «Соболь 4» (разработки «Код Безопасности») с операционной системой Astra Linux.
Процесс подключения делится на программную установку драйверов, физическую инсталляцию, первичную инициализацию и настройку контроля целостности (КЦ).
Требования и подготовка
Перед началом работ убедитесь в соответствии среды:
- ОС: Astra Linux Special Edition 1.4 / 1.5 / 1.6 / 1.7 (x86_64) или Common Edition 2.12.40+.
- Файловая система: EXT2, EXT3, EXT4 (структура диска GPT).
- Свободное место: Не менее 50 МБ на системном разделе.
- Права: Полный доступ
root. - Важное правило: Драйверы и утилиты управления настоятельно рекомендуется устанавливать до физической установки платы «Соболь» в системный блок
Шаг 1. Установка драйверов и программного обеспечения
1.1. Подготовка дистрибутива
Скопируйте установочные .deb-пакеты с диска поставки или из личного кабинета вендора в локальную директорию:
mkdir ~/sobol_install && cd ~/sobol_install
# Файлы обычно называются sobol_4.4-XX-astra1.X_amd64.deb и sobol-scheck_4.4-XX-astra1.X_amd64.deb
1.2. Инсталляция ядра и драйвера
Установите основной пакет драйвера:
sudo dpkg -i sobol_4.4-*-astra*.deb
Если возникнут ошибки зависимостей (что бывает в Astra Linux из-за специфических версий библиотек), выполните:
sudo apt-get install -f
Примечание для Astra Linux SE 1.7:
Для корректной работы графических утилит и драйверов ПАК «Соболь» версии 4.3+ может потребоваться дополнительная библиотека libglade2-0. Установите её командой sudo apt-get install libglade2-0.
Загрузите модуль ядра и проверьте его статус:
sudo modprobe sobol
lsmod | grep sobol
# Ожидаемый вывод: sobol XXXXX 0
1.3. Установка утилиты управления (scheck)
sudo dpkg -i sobol-scheck_4.4-*-astra*.deb
which scheck
# Ожидаемый вывод: /usr/bin/scheck
Шаг 2. Физическая установка и первичная инициализация
После того как программная часть готова, переходим к аппаратной инсталляции.
2.1. Аппаратная установка
- Выключите ПК и обесточьте его.
- В зависимости от форм-факора платы (PCIe, Mini PCIe Half, M.2), переведите джампер
SW1-1(илиS1-1) в положение ON - Установите плату в соответствующий слот на материнской плате.
- Подключите считыватель идентификаторов (iButton / Рутокен), если он предусмотрен вашей схемой аутентификации.
2.2. Первичная настройка в pre-boot меню
- Включите компьютер. До начала загрузки ОС на экране появится меню «Соболь».
- Выполните вход в режим администратора, приложив токен (iButton или Рутокен ЭЦП).
3. Пройдите шаги мастера настройки (Setup Wizard):
- System Settings: Проверьте системное время, состояние портов и серийный номер.
- General Settings: Выберите криптографическое ядро (для современных требований ФСТЭК рекомендуется алгоритм «Магма» 2015/2018).
- Password Settings: Задайте политики сложности паролей.
- Administrator Account: Зарегистрируйте токен администратора и обязательно создайте его резервную копию.
- Integrity Check: Запустите поиск шаблонов Контроля Целостности (КЦ) и нажмите Start для первичного расчёта контрольных сумм (хешей).
Шаг 3. Настройка Контроля Целостности (КЦ)
Управление списками контроля целостности осуществляется через утилиту scheck (CLI) или gtk-scheck (GUI). Все команды выполняются от имени root.
3.1. Работа через командную строку (CLI)
Просмотр текущих настроек:
scheck --ls-files # Список контролируемых файлов
scheck --ls-sectors # Список контролируемых секторов
scheck --ls-drives # Информация о дисках и разделах
Добавление объектов в контроль:
# Добавление конкретного файла (например, конфиг SSH)
scheck --add-file /etc/ssh/sshd_config
# Добавление загрузочного сектора диска (нумерация с 0)
scheck --add-sector sda:0
scheck --add-sector sda1:0
Очистка и сброс списков:
scheck --rm-file /путь/к/файлу
scheck --clear-files
scheck --reset-files # Восстановить шаблоны КЦ по умолчанию
3.2. Работа через графический интерфейс
Если в системе установлено графическое окружение (Fly / KDE), можно запустить визуальную утилиту:
sudo gtk-scheck
Интерфейс позволяет удобно добавлять файлы и секторы, а также формировать отчёты о нарушениях целостности
Шаг 4. Диагностика и устранение неполадок
Учитывая специфику Astra Linux (в частности, механизмы мандатного разграничения доступа Parsec), при возникновении проблем используйте следующие команды для диагностики:
Проверка на уровне ядра и PCI:
# Определяется ли плата на шине PCI
sudo lspci | grep -i sobol
# Проверка загрузки модуля
sudo lsmod | grep sobol
# Анализ сообщений ядра на предмет ошибок инициализации
sudo dmesg | grep -i sobol
journalctl -k | grep sobol
Проверка прав доступа:
Убедитесь, что у пользователя (или группы) есть права на чтение/запись устройства:
ls -l /dev/sobol*
Частые ошибки утилиты scheck:
| Ошибка | Причина и решение |
|---|---|
Only root can run this program |
Запуск без прав суперпользователя. Используйте sudo или переключитесь в root. |
file <PATH> is not found |
Файл удалён или указан неверный путь. Проверьте путь или очистите шаблон через --rm-file. |
sector <DEV>:<NUM> is not found |
Ошибка в имени устройства или номере сектора. Проверьте актуальный список дисков через scheck --ls-drives. |
Рекомендации по эксплуатации в защищённых контурах
Поскольку вы работаете с инфраструктурой, требующей защиты секретной информации, после завершения настройки обратите внимание на следующие аспекты:
- Резервное копирование: Сформируйте и сохраните в надёжном месте (в офлайне, например, на защищённом USB-носителе) резервные копии токенов администратора.
- Журналирование: Настройте регулярный экспорт журналов событий «Соболь» (через GUI или скрипты) в вашу SIEM-систему или на выделенный сервер логов для предотвращения их фальсификации.
- Совместимость с Parsec: Убедитесь, что настройки мандатного целостностного контроля (МКЦ) в самой Astra Linux не конфликтуют с аппаратным КЦ платы «Соболь». Как правило, они работают комплементарно, усиливая общий контур защиты, но требуют тщательного тестирования на вашей аппаратной платформе.
Информация предоставлена в ознакомительных целях. Применение описанных настроек в системах, должно осуществляться только после согласования с ответственными за информационную безопасность и в соответствии с требованиями ФСТЭК, ФСБ и иных уполномоченных органов.
Статью подготовил: Денис Аверко @Nymexis г. Омск