Настройка разрешений PARSEC |
В дистрибутивах Linux, оснащенных подсистемой безопасности PARSEC, доступ приложений к файлам зависит от уровня привилегий. Поэтому по умолчанию SpIDer Guard может перехватывать события доступа к файлам ровно в той мере, в которой это предусмотрено его уровнем привилегий. Кроме того, в случае если пользователь работает на отличном от нуля уровне привилегий, интерфейс пользователя Dr.Web Industrial для Linux не может взаимодействовать со SpIDer Guard и сервисными компонентами антивируса, работающими на других уровнях привилегий, в том числе может отсутствовать доступ к консолидированному карантину. Если в ОС используется PARSEC и имеются учетные записи пользователей, работающих на уровнях привилегий, отличных от нулевого, необходимо выполнить специальную настройку Dr.Web Industrial для Linux, чтобы обеспечить взаимодействие его компонентов, запускаемых на различных уровнях привилегий. В этом разделе рассматриваются следующие настройки PARSEC, обеспечивающие корректную работу Dr.Web Industrial для Linux: •Настройка взаимодействия компонентов, запущенных на разных уровнях привилегий. •Настройка автоматического запуска компонентов Dr.Web Industrial для Linux на уровне привилегий пользователя. •Настройка SpIDer Guard для перехвата событий доступа к файлам.
Настройка взаимодействия компонентов, запущенных на разных уровнях привилегий Для ОС Astra Linux SE версии 1.6 Внесите изменения в системный файл /etc/parsec/privsock.conf, наделив демон управления конфигурацией Dr.Web Industrial для Linux (drweb-configd) правом на использование механизма privsock. drweb-configd — сервисный компонент Dr.Web Industrial для Linux, обеспечивающий взаимодействие всех антивирусных компонентов между собой. Механизм privsock предназначен для обеспечения функционирования системных сетевых сервисов, не осуществляющих обработку информации с использованием мандатного контекста, но взаимодействующих с процессами, работающими в мандатном контексте субъекта доступа. Для этого выполните следующее: 1.В любом текстовом редакторе откройте файл /etc/parsec/privsock.conf. Добавьте в этот файл указанные строки:
2.Сохраните файл и перезагрузите систему. Для ОС Astra Linux SE версии 1.5 и менее Внесите изменения в скрипт запуска демона управления конфигурацией Dr.Web Industrial для Linux (drweb-configd). Для этого выполните следующее: 1.Совершите вход в систему с использованием учетной записи, обладающей нулевым уровнем привилегий. 2.В любом текстовом редакторе откройте файл скрипта /etc/init.d/drweb-configd. 3.Найдите в этом файле определение функции start_daemon(), в которой замените строку
на строку
4.В некоторых ОС (например, Astra Linux SE 1.3) может потребоваться указать дополнительно зависимость запуска компонента от подсистемы PARSEC. В этом случае также необходимо модифицировать в этом файле строку:
Измените данную строку следующим образом:
5.Сохраните файл и перезапустите систему. Настройка автоматического запуска компонентов на уровне привилегий пользователя Для того, чтобы компоненты Dr.Web Industrial для Linux, с которыми взаимодействует пользователь, были доступны в его окружении (при работе пользователя на уровне привилегий, отличном от нулевого), внесите изменения в файлы настроек PAM для автоматического запуска требуемых компонентов Dr.Web Industrial для Linux при начале сессии пользователя и их завершения при окончании сессии (используется специальный PAM-модуль pam_drweb_session.so, разработанный «Доктор Веб», который запускает компонент-посредник drweb-session, связывающий между собой локальные копии компонентов, запущенных в окружении пользователя, с компонентами, работающими на нулевом уровне привилегий и запускающимися автоматически при загрузке ОС). Для внесения изменений в настройки PAM вы можете использовать утилиту конфигурирования drweb-configure, входящую в состав Dr.Web Industrial для Linux (рекомендуется), либо внести изменения в необходимые файлы конфигурации вручную. 1. Использование утилиты drweb-configure Для удобства настройки некоторых сложных параметров, обеспечивающих работоспособность Dr.Web Industrial для Linux, разработана специальная вспомогательная утилита drweb-configure. 1.Для включения или отключения автоматического запуска необходимых компонентов Dr.Web Industrial для Linux в окружении пользователя при его работе на уровне привилегий, отличном от нулевого, используйте следующую команду:
где <режим> может принимать одно из следующих значений: •enable — включить режим автоматического запуска нужных компонентов в сессии пользователя на его уровне привилегий. •disable — отключить режим автоматического запуска нужных компонентов в сессии пользователя на его уровне привилегий (при этом ряд функций Dr.Web Industrial для Linux окажется недоступным). 2.Перезапустите систему.
2. Изменение файлов конфигурации PAM вручную 1.Чтобы изменить настройки PAM, нужно отредактировать хранящиеся в каталоге каталоге /etc/pam.d конфигурационные файлы, в которых вызывается модуль PAM pam_parsec_mac.so. Для получения полного списка таких файлов выполните команду:
В каждый файл из списка добавьте добавьте следующие записи типа session: •Перед первой записью типа session:
•После последней записи типа session:
2.Сохраните измененные файлы. 3.Создайте символическую ссылку на файл pam_drweb_session.so из системного каталога, содержащего PAM-модули. Файл pam_drweb_session.so располагается в каталоге библиотек Dr.Web Industrial для Linux /opt/drweb.com/lib/ (например, для 64-разрядных ОС — в каталоге /opt/drweb.com/lib/x86_64-linux-gnu/pam/). 4.Перезапустите систему. 1.Чтобы изменить настройки PAM, нужно отредактировать хранящиеся в каталоге /etc/pam.d конфигурационные файлы, в которых вызывается модуль PAM pam_namespace.so. Для получения полного списка таких файлов выполните команду:
2.В каждый файл добавьте такие же записи типа session, что и для дистрибутивов, использующих модуль pam_parsec_mac.so (см. предыдущий параграф). Настройка SpIDer Guard для перехвата событий доступа к файлам Для предоставления файловому монитору SpIDer Guard возможности обнаруживать доступ к файлам, имеющим любой уровень привилегий доступа, необходимо перевести SpIDer Guard в режим работы Fanotify. Чтобы перевести SpIDer Guard в режим работы Fanotify, выполните следующую команду:
Для получения дополнительной информации используйте команду:
|