Эталонные дистрибутивы СЗИ - Форум по вопросам информационной безопасности

Добрый день!
Проконсультируйте, пожалуйста, по нескольким моментам.
1. Правильно ли я понимаю, что для каждого СЗИ (скажем, Касперский) должен быть эталонный дистрибутив на компакт диске с формуляром и сертификатом?
2. Соответственно, никакие дистрибы скаченные с официального сайта устанавливать нельзя - только с эталонного диска (по крайней мере, чтобы версии совпадали)?
3. Касперского привел не зря: у них есть такая функция как обновление модулей программы:
- устанавливать критические и одобренные обновления
- устанавливать только одобренные обновления
У меня всегда было отключена эта опция. На тестовой машине включил и произошла загрузка модуля KES. Билд не изменился, но добавилась приписка - (mr1).
Вопросы:
допустимо ли загружать такие модули?
если допустимо, то нужно использовать только второй вариант загрузки (одобренные) или не принципиально?

Спасибо.

1.Да
2 и 3 - Мое скромное мнение - Обновлять нельзя модули, у вас формуляре эталонные суммы на сертифицированный дистрибутив и установленные файлы вашей версии ---> при контроле проверяются контрольные суммы установленных файлов в соответствии с вашим формуляром.

to Вадим
1. Правильно понимаете...
2. Качать нельзя (если это не спецсайт, доступный только избранным, ага)...
3. Можете не обновлять и не менять контрольные суммы из формуляра (актуально, пожалуй, только для автономных систем). А можете обновлять и модули, но согласно порядку, расписанному в формуляре и руководстве вместе с ним. В частности, в KES10 это можно устраивать, если в сети у вас используется KSC10 (с того же дистрибутива) и ведутся необходимые бумаги...

Про Касперский:

https://certifiedbuilds.kaspersky.ru/

*в сторону*
Забавно. То ли Каспер надеется на нерушимость данного сайта, то ли позиция "выполним для галочки" набрала ужасающий оборот...

Фстэк давно грозилась выпустить некое положение " о порядке обновления сзи", но пока что-то не видно.
Пока же ситуация с этим делом печальна .
Куча сзи пилится на опенсорсе, исследователи находят дыры . Но если в несерт сзи это все быстро патчится . То в серт. пока пройдёт этот самый инспекционый контроль, тебя пробьют паблик эксплоитами даже школьники.
Уязвимость опубликована - временной лаг выпуска патча - гигантский временной лаг контроля фстэк.
Дыры висят годами.

Ядра линукса например уже запатчили от meltdawn и spectre посмотрим как скоро обновится astra linux и куча МЭ на базе никса.

https://support.kaspersky.ru/11319

>> "Для соответствия требованиям по защите данных недостаточно скачать дистрибутив определённой версии. Необходимо иметь на предприятии хотя бы один сертифицированный носитель с соответствующими дистрибутивами."

и т.д.

В связи с новым в законодательстве возник вопрос:

На сайте Касперского описан такой порядок:

{...
Приобретение сертифицированных продуктов

Чтобы получить дистрибутив сертифицированной версии, откройте статью о соответствующем продукте в разделе Сертификаты. В статье размещается информация о действующих сертификатах и актуальный дистрибутив продукта, содержащий:

- образ диска с файлами инсталляционного комплекта сертифицированной версии;
- эксплуатационную документацию;
- формуляр с требованиями по эксплуатации и контрольными суммами файлов инсталляционного комплекта;
- приложение к формуляру с контрольными суммами исполняемых модулей установленного продукта;
- копию сертификата.

Подлинность и целостность файлов дистрибутива обеспечивается применением электронной подписи.

Порядок проверки электронной подписи....
...}

А теперь вопрос: в формуляре в пункте "Идентификатор" сертифицированной версии стоит "РОСС RU.01.______._______"
Что нужно указать, точнее где взять значения для заполнения пропусков?...
Про номер сертификата - понятно - а остальное?

to nekto
Как быть с РОСС, если на руках старый дистрибутив с ГСЗ, да, не понятно...
Но если на руках никакой версии нет, то, imho, лучше все-таки один раз приобрести дистрибутив. Это копейки, зато надежнее, ага...

для oko

"РОСС RU.01.______._______" взято из скачанного формуляра Касперского - значит они перешли на новую маркировку...
кстати новый порядок не запрещает использовать наклейки производителям, если они у него остались...

в приказе 55 по сертификации есть пункт:
"70. Маркирование средств защиты информации, являющихся программным обеспечением, распространяемым по сетям связи, осуществляется с применением электронной подписи или любым способом, подтверждающим подлинность средств защиты информации."
но как его трактовать - не понятно...

По моему мнению, Касперский должен был указать "идентификатор" сертифицированного экземпляра, который он выставил в общий доступ и при скачивании я получаю копию этого экземпляра....