Гайд: Настройка контроля целостности и автоматического восстановления файлов в ViPNet SafePoint

Гайд: Настройка контроля целостности и автоматического восстановления файлов в ViPNet SafePoint ViPNet SafePoint (разработка АО «ИнфоТеКС») — это комплексная система защиты информации от несанкционированного доступа (НСД), работающая на уровне ядра операционной системы]. Одним из её ключевых модулей является «Контроль целостности и восстановление», который обеспечивает непрерывный мониторинг файлов, объектов реестра ОС и собственных компонентов продукта с возможностью автоматического возврата к эталонному состоянию в случае их несанкционированной модификации.

Этап 1. Подготовка инфраструктуры

Прежде чем создавать эталонные образы, необходимо убедиться, что система находится в «чистом» и легитимном состоянии:

1. Проверка на вредоносное ПО: Выполните полное сканирование рабочих станций и серверов антивирусными средствами.
2. Настройка исключений: Жестко зафиксируйте в политиках антивирусного ПО исключения для всех служебных папок, используемых SafePoint и криптопровайдером ViPNet CSP, чтобы избежать ложных срабатываний и конфликтов при процедуре восстановления файлов.
3. Определение критических объектов:
   • Исполняемые файлы ОС и критических бизнес-приложений (например, C:\Windows\System32).
   • Конфигурационные файлы и метаданные хранилищ резервных копий.
   • Компоненты криптографической защиты (ViPNet CSP).
   • Собственные компоненты и исполняемые файлы агентов SafePoint.
   • Критические ветви реестра Windows (или конфигурационные файлы в Linux).

Этап 2. Создание политики Контроля целостности (КЦ)

Настройка осуществляется через Консоль администрирования ViPNet SafePoint.

1. Открытие консоли и выбор политики:

• Запустите Консоль администрирования SafePoint.
• Перейдите в раздел управления политиками безопасности и выберите нужную политику (или создайте новую), которая будет применяться к целевым рабочим станциям/серверам.

2. Переход в модуль КЦ:

• В дереве настроек политики найдите раздел «Контроль целостности» (в документации также именуется как «Монитор целостности» или «Контроль целостности и восстановление»).

3. Добавление объектов под контроль:

• Создайте правила контроля для файлов, каталогов или объектов реестра.
• Укажите точные пути, маски файлов (например, *.exe, *.sys) или конкретные ключи реестра.

Рекомендация:

Для обеспечения доверенной загрузки рекомендуется ставить на контроль всю цепочку загрузки ОС (MBR, загрузчик, критические драйверы).

Этап 3. Вычисление эталонных контрольных сумм (Создание эталона)

SafePoint использует криптографические алгоритмы (как правило, хэш-функцию ГОСТ Р 34.11-2012 «Стрибог») для расчета контрольных сумм защищаемых объектов.

1. Инициализация расчета:

• В настройках правила КЦ выберите действие «Рассчитать контрольные суммы» (или «Создать эталон»).
• Сервер администрирования отправит команду агентам SafePoint на конечных устройствах.

2. Формирование базы данных КЦ:

• Агенты вычислят хэши всех указанных файлов и сохранят их в защищенную, изолированную базу данных эталонов на сервере SafePoint и в локальном защищенном хранилище агента.

Важно:

На этом этапе система запоминает легитимное состояние файлов. Любое последующее отличие рассчитанного хэша от сохраненного будет считаться инцидентом.

Этап 4. Настройка автоматического восстановления

Чтобы система не просто логировала факт изменения, а активно ему противодействовала, необходимо настроить реакцию на инциденты:

1. Настройка действий при нарушении целостности:
   • В свойствах правила контроля целостности перейдите на вкладку «Реакция на события» (или «Действия»).
   • Для события «Нарушение целостности файла / Изменение контрольной суммы» выберите действие «Восстановить из эталона» (Автоматическое восстановление эталонного состояния).
2. Механизм работы (Как это происходит):
   • Драйвер фильтра SafePoint, работающий на уровне ядра ОС, перехватывает операцию записи в защищенный файл.
   • Если изменение не санкционировано политикой (например, это не процесс легитимного обновления), агент блокирует запись или позволяет ей завершиться, но тут же инициирует процедуру отката.
   • Агент извлекает оригинальную копию файла из своего изолированного защищенного хранилища (теневой копии/эталонного кэша) и перезаписывает модифицированный файл, возвращая его хэш-сумму к эталонному значению.
   • Аналогичный механизм применяется к объектам реестра ОС: измененные ключи автоматически откатываются к сохраненным значениям.
3. Настройка уведомлений:

   ---

   ---

   • Обязательно настройте отправку уведомлений администратору (по email/SMS или в системный журнал) при каждом факте автоматического восстановления, чтобы расследовать причину попытки модификации (атака, сбой ПО или действия пользователя).

Этап 5. Регламентное обслуживание и обновления (Best Practices)

Главная проблема систем FIM (File Integrity Monitoring) — ложные срабатывания при легитимных обновлениях ПО.

Чтобы избежать бесконечных циклов «обновление -> откат -> сбой приложения», следуйте строгому регламенту:

1. Плановые обновления ОС и прикладного ПО:
   • Шаг 1: Перед установкой патчей Windows или обновлением бизнес-приложений временно отключите контроль целостности для обновляемых каталогов (или переведите правило КЦ в режим «Только мониторинг / Логирование», если это допускается политикой ИБ).
   • Шаг 2: Установите обновления и перезагрузите серверы/РМ.
   • Шаг 3: Убедитесь в работоспособности системы.
   • Шаг 4: Выполните массовый пересчет эталонных контрольных сумм для измененных каталогов через консоль администрирования.
   • Шаг 5: Включите режим блокировки и автоматического восстановления обратно.
2. Обновление самого SafePoint и ViPNet CSP:
   • При обновлении компонентов ИнфоТеКС также требуется временное снятие критичных файлов с контроля с последующим пересчетом эталонов после успешного обновления.
3. Мониторинг дисковой подсистемы:
   • Настройте алертинг на SMART-ошибки дисков. Если файл был поврежден физически (сбой сектора), механизм автоматического восстановления может завершиться ошибкой записи, что потребует проверки диска утилитой chkdsk /f /r и пересоздания эталона.

Особенности для различных ОС

• Windows: Поддерживается контроль файлов, системного реестра, а также интеграция с ViPNet SafeBoot для контроля целостности UEFI BIOS, MBR и таблиц ACPI/SMBIOS на этапе доверенной загрузки.
• Linux (Astra Linux, РЕД ОС и др.): В современных версиях SafePoint реализован механизм контроля целостности произвольных объектов файловой системы и конфигурационных файлов в клиенте Linux. Восстановление происходит за счет подмены файла из защищенного хранилища агента.
• Синхронизация времени: Убедитесь, что на сервере SafePoint и всех агентах настроена корректная синхронизация времени (NTP), так как рассинхронизация может влиять на проверку сроков действия сертификатов и работу криптографических модулей КЦ.

Примечание:

Точные наименования кнопок и пунктов меню могут незначительно отличаться в зависимости от используемой версии ViPNet SafePoint (например, 1.6, 1.7 или 1.8). При возникновении ошибок КЦ используйте штатные средства диагностики в консоли администрирования для выявления «битых» файлов или конфликтов прав доступа.

Информация предоставлена в ознакомительных целях. Применение описанных настроек в системах, должно осуществляться только после согласования с ответственными за информационную безопасность и в соответствии с требованиями ФСТЭК, ФСБ и иных уполномоченных органов.