Руководство по эксплуатации ru. Амбс. 58. 29. 12. 004 91 Компания "Код Безопасности", 2020. Все права защищены
 Скачать 1.42 Mb.
|
|
Контроль целостности Функция контроля целостности (КЦ) предназначена для слежения за неиз- менностью содержимого файлов установленного ПО "Континент- АП" и свя- занных с ним библиотечных файлов ОС Linux и производится с помощью утилиты "Континент-АП Контроль целостности" (УКЦ), входящей в дистрибутив "Континент-АП". Производится сравнение текущих значений контрольных сумм контролируемых файлов и эталонных значений, рассчитанных в ходе установки СКЗИ "Кон- тинент-АП". Выполнение процедуры пересчета эталонных значений доступно пользователю с правами администратора ОС Linux. Список файлов "Континент- АП", подлежащих контролю, и значения конт- рольной суммы для каждого из них хранятся в конфигурационном файле. Кон- фигурационный файл формируется при установке инсталляционного пакета. КЦ установленного ПО осуществляется: • при запуске СКЗИ "Континент-АП"; • установлении соединения с СД; • ежедневно в 17.00 по системному времени, а также вручную, с помощью УКЦ. Если в ходе проведения КЦ будет обнаружена ошибка, пользователь получит ин- формационное сообщение о нарушении целостности. Если в ходе проведения регламентной проверки целостности УКЦ будет об- наружено нарушение целостности и при этом "Континент-АП" будет активным, рабочие сессии с защищенными ресурсами будут продолжаться. При этом созда- ние новых сессий будет заблокировано, а значок приложения в панели ин- дикации ОС Linux будет дополнен предупреждающим элементом. В случае обнаружения нарушения целостности при неактивном ПО "Континент-АП" будет сделана соответствующая запись в журнале событий. При нарушении целостности пользователю будет показываться сообщение о необходимости ее восстановления: • при каждом запуске "Континент-АП"; • каждой попытке установления соединения с СД АПКШ "Континент" и/или "Континент" 4 (если нарушение целостности обнаружено в ходе ре- гламентного контроля целостности при наличии активного соединения). © КО МПА НИЯ "КО Д Б Е ЗО ПА СНО СТИ" 10 СКЗИ "Континент-АП". Версия 4 (исполнения 4, 5, 6) Руководство по эксплуатации Если "Континент-АП" используется совместно с ПАК "Соболь", дополнительно проверка контрольных сумм выполняется при загрузке операционной системы. Результаты проверки заносятся в журнал событий. Аудит Все события от узлов сети, служб "Континент-АП", а также любые другие систем- ные события, удовлетворяющие минимальным требованиям к хранению в жур- нале, фиксируются и хранятся в журнале. Данная информация может быть просмотрена пользователем. В случае необходимости с помощью утилиты "Сбор диагностической инфор- мации", входящей в дистрибутив "Континент-АП", может быть создан архив с диагностической информацией о работе ПО. © КО МПА НИЯ "КО Д Б Е ЗО ПА СНО СТИ" 11 СКЗИ "Континент-АП". Версия 4 (исполнения 4, 5, 6) Руководство по эксплуатации Глава 2 Установка, удаление и обновление Установка Для установки ПО СКЗИ "Континент- АП" пользователь должен иметь права суперпользователя. Программное обеспечение поставляется на установочном компакт- диске, со- держащем четыре каталога: TS Установочные пакеты программного обеспечения абонентского пункта. Для каждой поддерживаемой операционной системы в каталоге содержатся два deb- или rpm-пакета (в зависимости от операционной системы). В имени установочного пакета отображается уровень безопасности, которому соответствует устанавливаемое программное обеспечение абонентского пункта. Для установки абонентского пункта с низким уровнем безопасности используется пакет, в имени которого отображается значение ks1, со средним уровнем — ks2, с высоким — ks3 Sable Программное обеспечение (установочные пакеты) для поддержки совместной работы абонентского пункта с ПАК "Соболь" third_party Стороннее программное обеспечение, необходимое для работы абонентского пункта token_libs Стороннее программное обеспечение, необходимое для работы с ключевыми носителями JaCarta, Рутокен и ESMART Пакеты зависимостей, поставляемые совместно с дистрибутивом "Континент- АП", не являются обязательными к установке. При наличии в доступных офи- циальных репозиториях ОС более новых версий пакетов рекомендуется исполь- зовать их. В таком случае переходите к п. 8. Если нет возможности использовать официальные репозитории ОС, то для уста- новки используйте зависимые пакеты, поставляемые в комплекте с "Континент- АП", как описано далее в пп. 2, 3. Для установки программного обеспечения: 1. Вставьте установочный компакт-диск и перейдите в каталог third party. 2. Перейдите в подкаталог с номером версии используемой операционной сис- темы, например: cd /third party/RHEL/RHEL-7.0_Desktop-x86_64. 3. Установите пакеты, содержащиеся в подкаталоге. Внимание! Установка пакетов осуществляется командами в зависимости от установленной операционной системы. • Для группы ОС, использующих менеджер пакетов rpm (CentOS, ContinentOS, GosLinux, RHEL), используйте команду yum localinstall *.rpm --disablerepo=*. • Для группы ОС, использующих менеджер пакетов deb (Astra, Debian, Ubuntu, HP ThinPro), используйте команду dpkg -i *.deb. • Для ОС Альт Линукс используйте команду apt-get install *.rpm. • Для ОС ROSA используйте команду urpmi *.rpm. • Для ОС Suse Linux используйте команду zypper - - no- gpg- checks - n install *.rpm. 4. Для поддержки внешних носителей следует установить дополнительное ПО. Перейдите в каталог token libs и далее перейдите в подкаталог с номером вер- сии используемой операционной системы, например: © КО МПА НИЯ "КО Д Б Е ЗО ПА СНО СТИ" 12 СКЗИ "Континент-АП". Версия 4 (исполнения 4, 5, 6) Руководство по эксплуатации cd /token_libs/rpm/x86_64. 5. Установите пакеты, содержащиеся в подкаталоге (см. п. 3). Внимание! Для корректной работы с абонентским пунктом для поддержки стороннего ПО рекомендуется устанавливать пакеты, размещенные в дис- трибутиве "Континент-АП". 6. Если программное обеспечение абонентского пункта должно соответствовать среднему уровню безопасности, перейдите в каталог Sable/v.3.0/ и далее — в подкаталог с номером версии используемой операционной системы, напри- мер: cd /Sable/v.3.0/RHEL/RHEL-7.0_Desktop-x86_64. Установите пакет, содержащийся в подкаталоге (см. п. 3). 7. Перейдите в каталог TS и далее перейдите в подкаталог с номером версии используемой операционной системы, например: cd /TS/rpm/x86_64. В подкаталоге хранятся три установочных пакета абонентского пункта — для низкого, среднего и высокого уровней безопасности. 8. Установите пакет, соответствующий требуемому уровню безопасности. Для этого используйте нужную команду, указав имя пакета. • Для группы ОС, использующих менеджер пакетов rpm (CentOS, ContinentOS, GosLinux, RHEL), используйте команду yum localinstall cts-4.0.0.ks1.el6.5.x86_64.rpm --disablerepo=* (для низкого уровня безопасности) или yum localinstall cts-4.0.0.ks2.el6.5.x86_64.rpm --disablerepo=* (для среднего уровня безопасности) или yum localinstall cts- 4.0.0.ks3.el6.5.x86_ 64.rpm - - disablerepo=* (для высокого уровня безопасности). • Для группы ОС, использующих менеджер пакетов deb (Astra, Debian, Ubuntu, HP ThinPro), используйте команду dpkg -i cts-4.0.0.ks1.el6.5.x86_64.deb (для низкого уровня безо- пасности) или dpkg -i cts-4.0.0.ks2.el6.5.x86_64.deb (для среднего уровня безо- пасности) или dpkg - i cts- 4.0.0.ks3.el6.5.x86_ 64.deb (для высокого уровня безо- пасности). Внимание! Установка "Континент-АП"на компьютеры с ОС Astra Linux 1.6 среднего и высокого уровней безопасности имеет некоторые осо- бенности. Подробнее процедуру установки см. на стр. 44 • Для ОС Альт Линукс используйте команду apt-get install cts-4.0.0.ks1.rpm --disablerepo=* (для низкого уров- ня безопасности) или apt-get install cts-4.0.0.ks2.rpm --disablerepo=* (для среднего уров- ня безопасности) или apt-get install cts-4.0.0.ks3.rpm --disablerepo=* (для высокого уров- ня безопасности). • Для ОС ROSA используйте команду urpmi cts-4.0.0.ks1.rpm (для низкого уровня безопасности) или urpmi cts-4.0.0.ks2.rpm (для среднего уровня безопасности) © КО МПА НИЯ "КО Д Б Е ЗО ПА СНО СТИ" 13 СКЗИ "Континент-АП". Версия 4 (исполнения 4, 5, 6) Руководство по эксплуатации или urpmi cts-4.0.0.ks3.rpm (для высокого уровня безопасности). • Для ОС Suse Linux 15 используйте команду zypper --no-gpg-checks -n install cts- 4.0.0.ks1.rpm (для низкого уровня безопасности) или zypper --no-gpg-checks -n install cts- 4.0.0.ks2.rpm (для среднего уровня безопасности) или zypper --no-gpg-checks -n install cts- 4.0.0.ks3.rpm (для высокого уровня безопасности). После установки пакета в окне консоли появится сообщение о необхо- димости прочитать текст лицензионного соглашения и будет указан путь к файлу текста соглашения. 9. Прочтите текст соглашения. Внимание! Если вы не согласны с лицензионным соглашением, удалите установленный пакет (см. стр. 15 ). 10.Перезагрузите компьютер. После перезагрузки компьютера на экране в области уведомлений появится значок абонентского пункта: Цвет пиктограммы указывает на состояние соединения с сервером доступа: Пиктограмма Цвет Пояснение Серый Отключено (соединение не установлено) Зеленый Соединение установлено В главном меню (например, в группе "Сеть") ОС Linux появятся значки при- ложений, входящих в "Континент-АП". Внимание! Расположение пункта меню для запуска графического ме- неджера пакетов будет различным у каждой ОС. Станут доступны следующие приложения: Континент-АП Запуск ПО "Континент-АП" Континент-АП (Режим Администратора) Запуск ПО "Континент-АП" (в режиме администратора) Континент-АП Сбор диа- гностической информации Экспорт отчета о состоянии работоспособности "Континент-АП" Континент-АП Импорт закрытого ключа Адаптация и добавление закрытого ключа, сфор- мированного на основе принципов в ОС семейства Windows, для использования на компьютерах с уста- новленной ОС семейства Linux Континент-АП Регистрация Регистрация ПО на сервере регистрации компании "Код Безопасности" Континент-АП Контроль целостности Контроль целостности дистрибутива и установленного на компьютере ПО "Континент-АП" Континент-АП Контроль целостности (Режим Администратора) Контроль целостности дистрибутива и установленного на компьютере ПО, пересчет контрольных сумм "Континент-АП" (в режиме администратора) © КО МПА НИЯ "КО Д Б Е ЗО ПА СНО СТИ" 14 СКЗИ "Континент-АП". Версия 4 (исполнения 4, 5, 6) Руководство по эксплуатации Удаление Внимание! Пользователь, выполняющий удаление программного обеспечения абонентского пункта, должен обладать правами суперпользователя. Предусмотрено два варианта удаления: • с помощью графического пакетного менеджера (если графический пакетный менеджер входит в состав операционной системы); • с помощью консольного пакетного менеджера. Для удаления с помощью графического пакетного менеджера: 1. На рабочем столе выберите в меню "Система | Администрирование | Установ- ка и удаление программ". Внимание! Расположение пункта меню для запуска графического ме- неджера пакетов будет различным у каждой ОС. Откроется окно графического пакетного менеджера. 2. Выберите установленный пакет "Континент-АП" и удалите его. Для удаления с помощью консольного пакетного менеджера: • Запустите консоль и выполните команду удаления пакета, например: • для группы ОС, использующих менеджер пакетов rpm (CentOS, ContinentOS, GosLinux, RHEL), используйте команду yum remove cts; • для группы ОС, использующих менеджер пакетов deb (Astra, Debian, HP ThinPro, Ubuntu), используйте команду dpkg -P cts; • для ОС Альт Линукс используйте команду apt-get remove cts; • для ОС ROSA используйте команду urpme cts • для ОС Suse Linux используйте команду zypper remove cts. Обновление Для обновления ПО абонентского пункта: 1. Выполните процедуру установки программного обеспечения абонентского пункта, как описано на стр. 12 2. Выполните обновление списка файлов для расчета контроля целостности. Для этого введите от имени суперпользователя команду /usr/share/cts/bin/autoctsic и дождитесь ее выполнения. 3. Перезагрузите компьютер. Изменение уровня безопасности При необходимости изменить уровень безопасности ПО абонентского пункта вы- полните следующие действия: 1. Выполните процедуру удаления программного обеспечения абонентского пункта, как описано на стр. 15 2. Выполните установку ПО абонентского пункта (см. стр. 12 ), используя ко- манды для требуемого уровня безопасности. © КО МПА НИЯ "КО Д Б Е ЗО ПА СНО СТИ" 15 СКЗИ "Континент-АП". Версия 4 (исполнения 4, 5, 6) Руководство по эксплуатации Глава 3 Настройка и эксплуатация Ввод в эксплуатацию Подготовка к работе Ввод "Континент-АП" в эксплуатацию состоит из следующих последовательных этапов: 1. Установка "Континент-АП" (см. стр. 12 ). 2. Регистрация ПО (см. стр. 17 ). 3. Настройка профилей подключения (см. стр. 21 ). 4. Установка корневых и пользовательских сертификатов (см. стр. 33 ). 5. Получение необходимых сертификатов безопасности (см. стр. 28 ). 6. Установка серверных сертификатов (см. стр. 33 ). 7. Установка CRL (если необходима проверка сертификатов по CRL, см. стр. 35 ). 8. Настройка параметров работы "Континент-АП" (см. стр. 38 ). Запуск "Континент-АП" СКЗИ "Континент-АП" стартует автоматически после запуска ОС. На экране по- является основное окно программы, а на панели задач отображается значок Для запуска "Континент-АП": • Откройте главное меню приложений и выберите в нем, например в разделе "Сеть", "Континент-АП". На экране появится основное окно "Континент-АП", а в правом углу панели задач ОС Linux появится значок программы. Вызов контекстного меню "Континент-АП" с панели задач ОС Linux позволяет выполнить следующие действия: • выполнить подключение с профилем по умолчанию; • разорвать текущее соединение или установить настроенное соединение; • открыть настройки параметров работы ПО; • завершить работу ПО (при этом, по умолчанию, приложение закроется, но установленное подключение разорвано не будет). Примечание. Также для свертывания основного окна "Континент-АП" можно использовать кнопки и в правом верхнем углу окна. Для закрытия программы выберите в контекстном меню пункт "Выход". © КО МПА НИЯ "КО Д Б Е ЗО ПА СНО СТИ" 16 СКЗИ "Континент-АП". Версия 4 (исполнения 4, 5, 6) Руководство по эксплуатации Пользовательский интерфейс основного окна В верхней части основного окна расположена кнопка (1) переключения развернутого/свернутого вида главного меню В левой части основного окна расположен список разделов главного меню (2), в центральной отображаются подробности настройки параметров работы "Кон- тинент-АП" (3), в правой — список параметров (4). По умолчанию открывается список профилей подключения. Внимание! Некоторые кнопки навигации могут быть темно-серого цвета. Это означает, они неак- тивны, потому что не все поля диалога, необходимого для дальнейшей работы, заполнены. После то- го, как все необходимые данные будут введены, кнопка будет активирована и сменит цвет на зеленый. Регистрация "Континент-АП" Если "Континент-АП" не зарегистрирован, то при его запуске появится предло- жение зарегистрировать программу на сервере регистрации компании "Код Бе- зопасности". Доступна онлайн- и офлайн-регистрация. Срок демонстрационного периода работы "Континент-АП" ограничен и состав- ляет 14 дней со дня установки ПО. Количество дней, оставшихся до окончания демонстрационного периода, отображается в разделе "О программе". Если в тече- ние этого срока "Континент-АП" не зарегистрировать, то при каждом следующем запуске на экране будет появляться предложение зарегистрировать ПО, значок на панеле задач будет дополнен синим восклицательным знаком. В случае отказа от регистрации по истечении 14 дней работа "Континент-АП" будет пре- кращена. © КО МПА НИЯ "КО Д Б Е ЗО ПА СНО СТИ" 17 СКЗИ "Континент-АП". Версия 4 (исполнения 4, 5, 6) Руководство по эксплуатации Для онлайн-регистрации "Континент-АП": 1. Нажмите кнопку "Зарегистрировать" в окне регистрации или выберите в главном меню приложений "Континент- АП Регистрация". Откроется окно регистрации. 2. Выберите пункт "Онлайн- регистрация" и нажмите кнопку "За- регистрироваться". На экране появится диалоговое окно регистрации. © КО МПА НИЯ "КО Д Б Е ЗО ПА СНО СТИ" 18 СКЗИ "Континент-АП". Версия 4 (исполнения 4, 5, 6) Руководство по эксплуатации 3. Введите требуемые параметры и нажмите кнопку "Зарегистрироваться". Начнется процесс регистрации и подключения к указанному серверу. При его успешном завершении на экране появится соответствующее ин- формационное окно. После регистрации "Континент-АП" в разделе "О программе" вместо сообщения "Программа не зарегистрирована" появится регистрационный номер программы. Для офлайн-регистрации "Континент-АП": 1. В случае отсутствия доступа к серверу регистрации откройте окно реги- страции, выберите офлайн-регистрацию и нажмите кнопку "Создать". На экране появится диалоговое окно регистрации. |