Гайд: Гарантированное удаление файловых объектов в экосистеме ViPNet (SafeBoot / SafePoint)
Введение: Архитектурное разграничение (SafeBoot vs. SafePoint)
- ViPNet SafeBoot — это программный модуль доверенной загрузки (ПМДЗ), который встраивается непосредственно в UEFI BIOS. Он работает до запуска операционной системы, обеспечивая двухфакторную аутентификацию, контроль целостности аппаратных компонентов, блокировку запуска нештатных ОС и защиту дисков от записи на ранних этапах загрузки.
- ViPNet SafePoint — это комплексная система защиты информации от несанкционированного доступа (СЗИ от НСД) уровня ядра операционной системы (Windows и Linux). Именно в ViPNet SafePoint реализован функционал гарантированного удаления файловых объектов (ГДФО), очистки дисковых томов и гарантированной очистки оперативной памяти.
Оба продукта работают в тесной связке: ViPNet SafeBoot обеспечивает доверенную загрузку платформы и передает управление аутентифицированному пользователю, а ViPNet SafePoint (часто по схеме единого входа — SSO) берет на себя защиту данных внутри работающей ОС, включая их гарантированное уничтожение.
[ UEFI BIOS ] ──> [ ViPNet SafeBoot ] ──> [ ОС Windows / Linux ] ──> [ ViPNet SafePoint ]
(Доверенная загрузка, (Ядерный драйвер, контроль доступа,
контроль целостности, гарантированное удаление файлов,
защита от записи) очистка ОЗУ и дисковых томов)
Ниже представлен пошаговый практический гайд по настройке и эксплуатации механизмов гарантированного удаления в клиентских частях ViPNet SafePoint (Windows и Linux), которые работают под защитой ViPNet SafeBoot.
Раздел 1. Теоретические основы: Как работает гарантированное удаление
При обычном удалении файла средствами ОС (команда del, перемещение в «Корзину») стирается только запись в таблице файловой системы (MFT в NTFS или inode в EXT4). Сами данные остаются на магнитных пластинах HDD или в ячейках памяти SSD и могут быть легко восстановлены с помощью утилит карвинга или прямого доступа к накопителю.
Гарантированное удаление в ViPNet SafePoint решает эту проблему путем предварительной программной модификации (затирания) содержимого файла перед его штатным удалением.
Ключевые механизмы:
- Многопроходная перезапись по шаблонам: Перед удалением файл перезаписывается заданным количеством проходов (циклов) специальными шаблонами — наборами байтов (в шестнадцатеричном формате от
00доFF). - Статические и динамические правила:
- Статические объекты: Файлы и папки, уже существующие в системе на момент настройки правила (задаются конкретными путями или масками).
- Создаваемые (динамические) объекты: Файлы, которые создаются в процессе работы пользователя (например, временные файлы, документы в определенных каталогах). Правило срабатывает автоматически при попытке удаления такого файла.
- Очистка свободного места (Wipe Free Space): Затирание неразмеченных областей диска, где могли остаться «хвосты» ранее удаленных данных.
- Очистка ОЗУ и файла подкачки (Swap/Pagefile): Автоматическая гарантированная очистка оперативной памяти при входе/выходе пользователя из системы, а также при запуске/завершении критических процессов.
Раздел 2. Пошаговая настройка в Windows (ViPNet SafePoint Клиент Windows)
Для настройки параметров защиты используется Консоль управления Клиента Windows (локально) или Консоль управления Сервера безопасности (для централизованного применения политик на группу компьютеров).
Шаг 2.1. Запуск консоли управления
- Запустите консоль управления ViPNet SafePoint.
- Локально: Пуск -> Все программы -> ViPNet SafePoint -> Консоль управления Клиента.
- Удаленно: Через консоль управления Сервера безопасности (выбрав нужный защищаемый узел).
- Введите пароль администратора безопасности.
Шаг 2.2. Создание шаблонов для модификации файлов
Шаблон определяет, какими именно байтами будет затираться файл:
- В левой панели дерева настроек перейдите в раздел:
Управление доступом к статичным объектам ФС->Гарантированное удаление->Шаблоны. - Нажмите правой кнопкой мыши на свободном месте списка шаблонов и выберите Добавить шаблон.
- В открывшемся окне настроек шаблона задайте параметры:
- Имя шаблона: Произвольное понятное имя (например,
GOST_Zero_3pass). - Длина последовательности (в байтах): Максимальное значение — 1024 байта.
- Способ заполнения:
- Автоматически одним значением: Заполнить все байты одним числом (например,
00илиFF). - Вручную: Прописать произвольную шестнадцатеричную последовательность (например,
A5 5A 00 FF 1C).
- Автоматически одним значением: Заполнить все байты одним числом (например,
- Имя шаблона: Произвольное понятное имя (например,
- Нажмите ОК и сохраните настройки шаблона.
Шаг 2.3. Настройка правил гарантированного удаления статичных файлов
Применяется к конкретным важным файлам (например, базам данных, ключевым документам):
- Перейдите в раздел:
Управление доступом к статичным объектам ФС->Гарантированное удаление->Файловые объекты. - Нажмите правой кнопкой мыши и выберите Добавить.
- В поле Объект укажите полный путь к файлу или каталогу (можно использовать маску, например:
C:\Secret_Docs\*.docx). - В поле Шаблон выберите созданный на предыдущем шаге шаблон затирания.
- Укажите Количество проходов (циклов) перезаписи (рекомендуемое значение для HDD — от 1 до 3; стандарты безопасности РФ часто требуют однократной или трехкратной перезаписи псевдослучайными данными).
- Нажмите ОК и примените настройки.
Шаг 2.4. Настройка правил гарантированного удаления создаваемых файлов
Применяется для динамического контроля: любые файлы, создаваемые в указанной зоне, при их удалении будут уничтожаться гарантированно:
- Перейдите в раздел:
Управление доступом к создаваемым файлам->Гарантированное удаление. - Создайте правило:
- Укажите маску путей, где создаются чувствительные файлы (например,
C:\Users\*\AppData\Local\Temp\*.*или рабочий каталог пользователя). - Выберите шаблон модификации и количество проходов.
- Укажите маску путей, где создаются чувствительные файлы (например,
- Нажмите ОК. Теперь при удалении любого файла из этой зоны SafePoint перехватит операцию, перезапишет его тело по шаблону и только после этого разрешит файловой системе удалить запись о нем.
Важное замечание по «Корзине»:
При удалении файла в Корзину гарантированное удаление не происходит (файл просто перемещается в скрытую папку $Recycle.Bin). Чтобы обеспечить гарантированное удаление документов из Корзины, необходимо добавить саму папку Корзины пользователя (C:\$Recycle.Bin\*) в объекты отслеживания и назначить для нее правило гарантированного удаления, либо настроить политику запрета использования Корзины для защищаемых меток доступа.
Шаг 2.5. Мастер гарантированного удаления данных устройств хранения (Полная очистка дисков)
Этот инструмент используется для полной очистки разделов жестких дисков, флеш-накопителей или подготовки ПК к безопасному списанию/передаче третьим лицам:
- В Windows запустите из меню Пуск программу «Очистка устройств хранения данных» (входит в состав Клиента SafePoint).
- В левой панели выберите целевой накопитель или конкретный раздел (например,
Disk 1, Partition 2 (D:)). - Нажмите правой кнопкой мыши и выберите Очистить устройство.
- В мастере очистки:
- Выберите шаблон затирания (аналогично файловым шаблонам).
- Укажите количество проходов.
- Подтвердите операцию. Начнется побайтовая перезапись всего раздела. Процесс может занять продолжительное время в зависимости от объема диска.
Раздел 3. Пошаговая настройка в Linux (ViPNet SafePoint Клиент Linux)
В Linux-агенте SafePoint управление гарантированным удалением осуществляется через графическую консоль (ArmourGui) или специализированную утилиту командной строки для очистки дисков (DiskCleaner).
Шаг 3.1. Настройка гарантированного удаления файлов через GUI
1. Откройте терминал и запустите локальную консоль управления SafePoint:
/opt/safepoint-agent/bin/ArmourGui
2. Авторизуйтесь под учетной записью администратора безопасности.
3. В левой панели перейдите в раздел:
Разграничение доступа к ФС->Гарантированное удаление.
4. Создание шаблона:
- Перейдите на вкладку Шаблоны, нажмите правой кнопкой мыши -> Добавить.
- Задайте имя, длину последовательности и шестнадцатеричные значения байтов для перезаписи.
5. Создание правила удаления:
- Перейдите на вкладку Файловые объекты, нажмите правой кнопкой мыши -> Добавить.
- Выберите объект (файл/каталог), примените к нему созданный шаблон и укажите число проходов перезаписи.
- Нажмите ОК и Сохранить настройки.
Шаг 3.2. Очистка дисков и разделов через CLI (Мастер DiskCleaner)
Для гарантированного уничтожения данных на целых дисках или разделах (например, при утилизации сервера) в Linux используется консольная утилита:
1. Запустите мастер очистки устройств хранения данных от имени суперпользователя:
sudo /opt/safepoint-agent/bin/DiskCleaner
2. В открывшемся интерфейсе мастера:
- В списке Устройства выберите целевой накопитель (например,
/dev/sdb) или раздел (например,/dev/sdb1). - Нажмите правой кнопкой мыши и выберите Очистить устройство.
3. Выберите шаблон очистки, укажите количество циклов перезаписи и подтвердите запуск задачи.
Раздел 4. Гарантированная очистка оперативной памяти (ОЗУ) и Swap
Помимо файлов на диске, конфиденциальная информация (пароли, криптографические ключи, фрагменты документов) может оставаться в оперативной памяти (ОЗУ) и файле подкачки.
ViPNet SafePoint предоставляет инструменты для очистки ОЗУ:
- Перейдите в консоли управления (Windows/Linux) в раздел:
Управление очисткой ОЗУ. - Настройте параметры автоматической очистки:
- При входе пользователя в систему / при выходе из системы: Очистка выделенных сегментов памяти предыдущей сессии.
- При запуске / завершении процессов: Очистка памяти конкретных приложений (например, офисных пакетов или браузеров) после их закрытия.
- Очистка буфера обмена: Настройте правило автоматической очистки буфера обмена ОС при смене содержимого или по таймауту (чтобы исключить перехват данных через буфер обмена).
Раздел 5. Аудит и регистрация событий гарантированного удаления
Любое действие по гарантированному удалению файлов должно регистрироваться в журналах аудита для предоставления отчетности офицеру безопасности и регуляторам (ФСТЭК/ФСБ).
Настройка аудита:
- В консоли SafePoint перейдите в раздел Аудит событий безопасности.
- Включите регистрацию следующих типов событий:
- Успешное/неуспешное гарантированное удаление файла.
- Запуск мастера очистки дисков.
- Очистка оперативной памяти.
- Настройте отправку логов:
- Локальный журнал: Хранится на защищаемом узле (защищен от модификации самим драйвером SafePoint).
- Сервер аудита (Syslog): Настройте передачу событий в реальном времени на выделенный Сервер аудита ViPNet SafePoint или во внешнюю SIEM-систему по протоколу Syslog (CEF-формат).
Важные рекомендации и ограничения
1. Специфика SSD-накопителей:
На твердотельных накопителях (SSD/NVMe) классическая многопроходная перезапись файлов менее эффективна из-за технологии выравнивания износа (wear leveling) и резервных областей. Контроллер SSD может записывать данные в новые ячейки, оставляя старые нетронутыми.
Рекомендация:
Для SSD-накопителей под управлением ViPNet SafeBoot/SafePoint наиболее надежным методом гарантированного уничтожения данных является Crypto Erase (мгновенное уничтожение ключей шифрования диска на уровне UEFI/LUKS) либо использование команды TRIM в сочетании с однократной перезаписью свободного места.
2. Производительность системы:
Гарантированное удаление с многопроходной перезаписью (особенно больших файлов или баз данных) создает повышенную нагрузку на дисковую подсистему. Не назначайте правила ГДФО с большим числом проходов (более 3) для системных каталогов, кэша браузеров или файлов подкачки, чтобы не вызвать деградацию быстродействия АРМ.
3. Совместимость с ViPNet SafeBoot:
Если на ПК активирована функция SafeBoot по блокировке записи на диск в режиме восстановления или при нарушении целостности, запуск Мастера очистки дисков может быть заблокирован. Перед проведением процедур полного уничтожения данных убедитесь, что администратор SafeBoot перевел систему в штатный режим обслуживания.
Информация предоставлена в ознакомительных целях. Применение описанных настроек в системах, должно осуществляться только после согласования с ответственными за информационную безопасность и в соответствии с требованиями ФСТЭК, ФСБ и иных уполномоченных органов.