Основы работы и администрирования ОС Astra Linux SE

Расписание учебного дня

Четыре занятия: две лекции и две практические работы. Кликните по теме, чтобы перейти к началу занятия.

Документация и материалы для скачивания

Конспект занятия публикуется здесь. Эксплуатационную документацию Astra Linux используйте с официального портала вендора; локальные PDF не включаются в публичный репозиторий без подтверждения прав на распространение.

Кому адресован день и как с ним работать

Предупреждение дня

Linux, GNU и дистрибутив

Операционная система — комплекс программ, управляющий аппаратными ресурсами и предоставляющий среду для прикладных программ. Astra Linux относится к семейству GNU/Linux.

Ядро Linux

Собственно ядро ОС: управление процессами, памятью, устройствами, файловыми системами. Создано Линусом Торвальдсом, развивается как свободный проект с 1991 года.

GNU

Набор системных утилит и библиотек (оболочка, компиляторы, базовые команды). Корректное название системы — GNU/Linux: ядро Linux + окружение GNU.

Дистрибутив

Готовый к установке комплект: ядро + системные и прикладные программы + инсталлятор + средства управления пакетами. Astra Linux — это дистрибутив.

Семейства дистрибутивов

Удобно различать по системе управления пакетами. Astra Linux основана на Debian — отсюда формат .deb и инструменты dpkg/apt.

Российские сертифицированные ОС

Для кругозора: Astra Linux, РЕД ОС, РОСА «Кобальт», ALT (несколько изданий), ОС Аврора (мобильная), МСВС и ОС семейства «Эльбрус». Astra Linux SE — один из лидеров отечественного рынка защищённых ОС.

Что такое Astra Linux

Российская операционная система общего назначения на базе ядра Linux и пакетной базы Debian. Разработчик — ООО «РусБИТех‑Астра», входит в Группу Астра (ГК «Астра»).

Common Edition упоминается как «гражданский» аналог без сертифицированных механизмов защиты. Практическую ценность для нашей аудитории представляет именно SE.

Common Edition vs Special Edition

Поколения, оперативные обновления и бюллетени

С версии 1.7 разработчик перешёл к модели единого дистрибутива: один установочный образ, уровень защищённости выбирается при установке.

Сертификация Astra Linux SE 1.7

Не заучивая номера (они меняются), важно понимать, что именно подтверждено сертификатами соответствия требованиям по безопасности информации.

Из чего состоит Astra Linux

Чтобы администрировать ОС, нужно понимать её организацию «снизу вверх». Разграничение доступа реализовано в ядре (PARSEC) и работает при использовании любых компонентов.

Иерархия файловой системы

Astra SE 1.7 построена на пакетной базе Debian. Файловая система организована по стандарту FHS — едина для всех Linux. Запоминаем главные каталоги — пригодятся все четыре дня.

Как система запускается

Цепочку загрузки детально разберём и увидим на практике в четвёртом занятии. Пока — общий обзор.

Подсистема безопасности PARSEC и КСЗ

КСЗ — совокупность встроенных в ОС средств защиты от НСД. Основа КСЗ — подсистема безопасности PARSEC, реализованная в ядре.

Состав КСЗ: модули PARSEC в ядре · библиотеки безопасности · утилиты управления (pdpl-*, pdp-*) · подсистема регистрации событий · модули PAM · графические средства администрирования (fly-admin-smc) · средства контроля целостности (afick, gostsum, digsig_verif) · средства очистки памяти и разграничения доступа к устройствам.

Дискреционное и мандатное

Механизмы КСЗ (обзор)

Уровни защищённости

Уровень выбирается при установке (окно «Дополнительные настройки ОС») и определяет доступные механизмы защиты. Функции базового уровня доступны на всех уровнях.

astra-modeswitch set base|advanced|maximum
# вступает в силу после перезагрузки

Состав дистрибутива

Помимо системного слоя и КСЗ, в поставку Astra Linux SE 1.7 входят:

Типовые ошибки и контрольные вопросы

Объекты управления и модель прав

sudo apt update      # с правами администратора
whoami                # под кем работаю
id                    # UID, GID и группы
groups                # в каких группах состою

Графический и командный путь

Astra Linux даёт два равноправных пути администрирования — выбираем по задаче и привычке.

Где искать справку

Типы объектов файловой системы

Управление в Linux во многом сводится к работе с файлами — действует принцип «всё есть файл». Базовые типы объектов (обозначение в ls -l):

Детальная навигация, права доступа, ссылки и inode — отдельные занятия (день 2). Здесь фиксируем: устройства, каналы, сокеты — это тоже «файлы».

Процессы и их просмотр

Процесс — выполняющаяся программа со своим окружением. Ключевые атрибуты: PID (идентификатор), PPID (родитель), UID/GID (от чьего имени, в т. ч. эффективные при SUID/SGID), приоритет (nice), состояние, ресурсы. Процессы образуют дерево — прародитель systemd (PID 1).

ps                      # процессы текущего терминала
ps -e                   # все процессы системы
ps -ef                  # все процессы, полный формат (с PPID)
ps aux                  # все процессы всех пользователей (BSD)
ps -eo pid,ppid,user,%cpu,%mem,stat,cmd   # выбор полей
pstree                  # дерево процессов
pgrep firefox           # найти PID по имени
pidof fly-fm            # PID процесса по имени программы

Поля вывода: USER, PID, PPID, %CPU, %MEM, VSZ (вирт. память), RSS (резидентная), STAT (состояние), TTY, TIME, COMMAND.

STAT и динамический мониторинг

top      # интерактивный монитор
htop     # удобный монитор (если установлен)

Приоритеты и сигналы процессов

Приоритет задаётся значением nice: от −20 (наивысший) до +19 (наинизший). Понижать значение (повышать приоритет) может только администратор.

nice -n 10 <команда>
sudo nice -n -5 <команда>
renice -n 5 -p 1234
sudo renice -n -10 -p 1234

kill 1234        # TERM (мягко)
kill -9 1234     # KILL (крайняя мера)
kill -l          # список сигналов
killall firefox  # по имени
pkill -u user1    # процессы пользователя

systemd и команды systemctl

systemd — система инициализации (PID 1) и менеджер служб. Единица управления — юнит: служба (.service), точка монтирования (.mount), устройство (.device), сокет (.socket), цель (.target). Каталоги по возрастанию приоритета: /usr/lib/systemd/system/ → /run/systemd/system/ → /etc/systemd/system/.

systemctl status [юнит]          # состояние службы
sudo systemctl start|stop|restart юнит
sudo systemctl reload юнит      # перечитать конфиг без перезапуска
sudo systemctl enable|disable юнит  # автозапуск
sudo systemctl mask юнит        # полностью запретить
systemctl is-enabled юнит        # включён ли автозапуск
systemctl list-units --type=service
systemctl --failed               # службы с ошибкой
sudo systemctl daemon-reload   # после правок юнитов

Targets — аналог «уровней выполнения»

systemctl get-default
sudo systemctl set-default \
     multi-user.target
sudo systemctl isolate \
     multi-user.target   # сейчас

Пользователи и группы

Пользователь идентифицируется числом UID, группа — числом GID. Базы: /etc/passwd (учётные записи), /etc/shadow (хеши паролей), /etc/group (группы).

sudo adduser ivanov                 # создать (+домашний каталог)
sudo passwd ivanov                  # задать/сменить пароль
sudo usermod -L ivanov              # заблокировать
sudo usermod -aG astra-admin ivanov # добавить в группу
sudo deluser --remove-home ivanov   # удалить с каталогом
sudo addgroup proekt                # создать группу

Управление устройствами

Устройства представлены файлами в каталоге /dev. Блочные (b) — диски и разделы; символьные (c) — терминалы, порты. Каждое имеет старший (major) номер — тип драйвера, и младший (minor) — конкретное устройство.

lsblk                       # блочные устройства и разделы
ls -l /dev/sd*              # файлы устройств: тип, major, minor
sudo blkid                  # метки и UUID разделов
sudo fdisk -l               # таблицы разделов
df -h                       # использование смонтированных ФС
sudo mount /dev/sdb1 /mnt   # смонтировать
sudo umount /mnt            # размонтировать

Иерархия инструментов

ПО поставляется пакетами .deb из репозиториев (сетевых или на носителе). Инструменты — «снизу вверх»:

sudo dpkg -i пакет.deb   # установить локальный .deb
sudo dpkg -P имя         # удалить полностью (с конфигами)
dpkg -l                  # список установленных
dpkg -L имя              # какие файлы установил пакет
dpkg -S /путь/к/файлу    # какому пакету принадлежит файл

apt и репозитории

sudo apt update          # база пакетов
apt list --upgradable    # что обновить
sudo apt upgrade         # безопасно
sudo apt full-upgrade    # полное
sudo apt install имя
sudo apt purge имя        # с конфигами
sudo apt autoremove
apt search строка
apt show имя
sudo apt install -s имя   # симуляция

cron и at

cron — запуск по расписанию (регулярно); at — однократный запуск в заданное время; anacron — выполняет «пропущенные» периодические задания.

┌── минута (0–59)
│ ┌── час (0–23)
│ │ ┌── день месяца (1–31)
│ │ │ ┌── месяц (1–12)
│ │ │ │ ┌── день недели (0–7; 0 и 7 — воскресенье)
│ │ │ │ │
0 2 1 * *   /usr/local/bin/backup.sh   # 02:00 первого числа
*/15 * * * * /usr/local/bin/check.sh   # каждые 15 минут

crontab -e        # редактировать
crontab -l        # показать
at 09:00          # затем Ctrl+D
at now + 2 hours
atq ; atrm <номер>

Мониторинг и журналирование

journalctl -xe             # последние с пояснениями
journalctl -u имя.service  # журнал службы
journalctl -b              # текущая загрузка
journalctl --since "today"

sudo astra-secdel-control status
sudo astra-swapwiper-control status

Системный монитор (ksysguard) — графический просмотр. Текстовые журналы — /var/log (syslog, auth.log), служба rsyslog. Аудит — auditd + аудит PARSEC (/var/log/audit, графически — журнал безопасности в fly-admin-smc).

Типовые ошибки и контрольные вопросы

VirtualBox и Extension Pack

$VirtualBoxInstaller = '.\VirtualBox-installer.exe'
$ExtensionPack = '.\Oracle_VirtualBox_Extension_Pack.vbox-extpack'
$ExpectedVirtualBoxSha256 = '<64_HEX_ИЗ_ПОДПИСАННОГО_РЕЕСТРА>'
$ExpectedExtensionPackSha256 = '<64_HEX_ИЗ_ПОДПИСАННОГО_РЕЕСТРА>'
$ExpectedPublisher = '<ТОЧНЫЙ_SUBJECT_ИЗ_ПОДПИСАННОГО_РЕЕСТРА>'
if ($ExpectedVirtualBoxSha256 -notmatch '^[0-9A-Fa-f]{64}$' -or $ExpectedExtensionPackSha256 -notmatch '^[0-9A-Fa-f]{64}$') { throw 'STOP: expected SHA-256 is absent' }
if ((Get-FileHash -LiteralPath $VirtualBoxInstaller -Algorithm SHA256).Hash -ne $ExpectedVirtualBoxSha256 -or (Get-FileHash -LiteralPath $ExtensionPack -Algorithm SHA256).Hash -ne $ExpectedExtensionPackSha256) { throw 'STOP: SHA-256 mismatch' }
$Signature = Get-AuthenticodeSignature -LiteralPath $VirtualBoxInstaller
if ($Signature.Status -ne 'Valid' -or $Signature.SignerCertificate.Subject -ne $ExpectedPublisher) { throw 'STOP: Authenticode publisher mismatch' }

Шаги 2–4 и контрольная точка

Параметры ВМ и донастройка

Графическая установка

Ручная разметка, LVM и шифрование — отдельные темы курса; сегодня используем автоматическую.

Завершение установки

Первичная настройка

hostnamectl                 # имя узла, версия ОС, ядро
uname -a                    # версия ядра Linux
cat /etc/astra_version      # версия Astra Linux
id                          # пользователь, группы (astra-admin)
ip a                        # сетевые интерфейсы и адреса

Цель: довести систему до 1.7.10.72

cat /etc/astra_version       # версия дистрибутива (1.7.4)
uname -r                     # версия ядра
astra-modeswitch get         # уровень: orel/voronezh/smolensk

Подключить frozen‑репозиторий 1.7.10

Обновление ставится утилитой astra-update; ей нужен источник в /etc/apt/sources.list. На стенде с интернетом проще подключить зафиксированную (frozen) ветку 1.7.10.

deb https://dl.astralinux.ru/astra/frozen/1.7_x86-64/1.7.10/repository-main/   1.7_x86-64 main contrib non-free
deb https://dl.astralinux.ru/astra/frozen/1.7_x86-64/1.7.10/repository-update/ 1.7_x86-64 main contrib non-free
# при необходимости — базовый репозиторий:
deb https://dl.astralinux.ru/astra/frozen/1.7_x86-64/1.7.10/repository-base/   1.7_x86-64 main contrib non-free

Обновление утилитой astra-update

sudo apt update                # 1. синхронизировать описания пакетов
sudo apt install astra-update    # 2. ОБЯЗАТЕЛЬНО: обновить сам инструмент
sudo astra-update -A -r         # 3. установить обновление (-r = из sources.list)
sudo astra-update -A -r -T      # для базового репозитория (base)

Обновление без сети

Если сети нет — нужны два образа: установочного диска и диска обновления (repository-update.iso).

wget https://dl.astralinux.ru/astra/frozen/1.7_x86-64/1.7.10/iso/repository-update.iso
gostsum -d repository-update.iso
# ожидаемая сумма для 1.7.10:
# ee9617a0d5e4a53aff9b7f0f2b3ce19d61e744511002df3484657f448a07cbd3

sudo mount /mnt/repository-update.iso /media/cdrom
sudo apt install /media/cdrom/pool/non-free/a/astra-update/astra-update_*.deb
sudo umount /media/cdrom
sudo astra-update -A /mnt/install.iso /mnt/repository-update.iso

Дополнительно образ можно проверить по отсоединённой ЭП repository-update.iso.sig средствами КриптоПро CSP — на учебном стенде обычно достаточно контрольной суммы.

Перезагрузка и проверка результата

sudo reboot
# после перезагрузки:
cat /etc/astra_version       # ожидаемо — 1.7.10
sudo apt update
apt list --upgradable        # «непоставленных» быть не должно

Полный номер обновления (1.7.10.72) и вариант исполнения определяются по инструкции «Определение установленных обновлений и варианта исполнения Astra Linux» на wiki.astralinux.ru.

Действия после обновления (по необходимости)

Часть подсистем после обновления требует донастройки — разработчик перечисляет это явно. На стенде делаем по ситуации; знать нужно.

Задание и контрольные вопросы

Этапы загрузки ОС

Экран входа fly-dm

Рабочий стол Fly

Fly — штатная графическая среда. Основные элементы панели задач (внизу экрана):

fly-fm и fly-term

pwd            # текущий каталог
ls -la         # с правами и скрытыми
cd /etc        # перейти в каталог
cat /etc/astra_version
clear          # очистить экран

Модули fly-admin-*

Получение справки

man ls          # полное руководство (q — выход)
ls --help       # краткая справка по ключам
whatis cp       # однострочное описание
apropos password# поиск по ключевому слову
info coreutils  # гипертекст
help cd         # встроенная команда bash

Завершение работы и задание

sudo systemctl poweroff   # выключить
sudo systemctl reboot     # перезагрузить
sudo shutdown -h now      # немедленно
sudo shutdown -r +5       # через 5 минут
sudo shutdown -c          # отменить

Что мы прошли за день

Материалы и контакты