Терминальная АС - Форум по вопросам информационной безопасности

Доброго весеннего дня, коллеги!
Уфф! Как же тема развернулась...

2 oko
Предполагался как раз вариант аля костыль (денег нет и не будет, нигде, ни в какой форме и никаким макаром - "что было, то и полюбите" (с)). Связка SN7+__ видилась самой приемлемой с загрузкой с встроенного небольшого SSD с настроенной ЗПС только на RDP-сессию до терминального сервера.
Про сервер - тут мат база может позволить - попробуем 2012R2 (про '03 и '08, кстати, не слышал такого).
Варианты с тонкими самые кошерные, но и затраты выше. Как боевой вариант, естественно, посчитаем, но особой надежды нет, что произойдет... Думаем о хорошем, готовимся к худшему.
Со стороны выполнения требований - отклонений на горизонте не наблюдается.
Насчет ПО, кстати, отдельно хотел осведомиться - теперь проверяются выполнения лицензионных требований всего и вся в АС?! Вообще? Начиная с того же распространения Adobe Reader и заканчивая "любимыми" мелкомягкими?
Вообще, навороченного ничего не планируется в принципе, никаких подобных "тяжелых" штук.

Мой совет - не надо 2012R2. Лучше 2008. И производительность выше (в части терминальной работы), и интеграция SN проще, ибо большая часть косяков данной связки уже известна и решена.
Если на раб.станциях будет встроенный носитель с полнофункциональной ОС + возможность подключения съемных носителей, то все-таки придется антивирусную защиту реализовать. Вне зависимости от использования ЗПС.
Про лицензионность разговор тут на форуме был весьма... мнэ... неоднозначный. Для успокоения совести юзайте лицензионное ПО - если не можете / не хотите, то его free-аналог. И будет меньше проблем в будущем...

я так понял, что в Альт-Линуксе 6-го семейства сикрет-нет не нужен. Начал его крутить, ну что сказать. Ядро 2.6.32, випнет поставил, кое-какие задачи уже можно на него переложить. Учитывая то, что репозиторий работает бесплатно для всех, экономия огромная. И исполнение требований по "импортозамещению", и явно лучше, чем пиратская XP или 7 с сикрет-нетом.

Да, старый ('08) конь борозды не испортит.
Желание есть, возможности нет - всё упирается в юзверей, применить те же импортозамещающие ОСи и ПО было бы просто удобно. Ан нет, всё упирается в запросы конечностей, которые своими клешнями умеют только клац-клац в окошках....

2 basnevod
Почему в Alte не нужен СН?..

> Мой совет - не надо 2012R2. Лучше 2008
> Да, старый ('08) конь борозды не испортит.

В 2017 Microsoft заявит end of support для 2008R2SP1 и ФСТЭК потребует сапгрейдиться, как было с 2003R2. И смысл тогда сейчас тратить деньги на операционку, которую через два года придется выкинуть?

Да, старый ('08) конь борозды не испортит.
Желание есть, возможности нет - всё упирается в юзверей, применить те же импортозамещающие ОСи и ПО было бы просто удобно. Ан нет, всё упирается в запросы конечностей, которые своими клешнями умеют только клац-клац в окошках....

2 basnevod
Почему в Alte не нужен СН?..

Игорь, Андромеда | 61422
"Почему в Alte не нужен СН?.."

Мб потому что, данная ОС сертифицирована на СВТ-4, НДВ-3 и имеет встроенные механизмы защиты информации.

to malotavr
А зачем апгрейдить сервер Win2008 с установленным в него SecretNet? Тем более вопрос про ГТ, т.е. никаких внешних ИТКС использовать не предполагается. Так что конец поддержки мелкомягких вообще не повод.

to Игорь
В Альте, в Астре (которая "Смоленск", Special Edition) и в Росе уже имеются встроенные СЗИ НСД. И да, сертификат на НДВ. Альт и Роса, к сожалению, допустимы только для 3 категории ГТ, исходя из сертификатов соответствия. И, если вся проблема в юзверях, то ни Альт, ни Роса, ни Астра, ни какой-либо другой nix-дистрибутив приоритетным, увы, не является, ибо придется юзверей переучивать.
В целом, вариант вам уже дан (описан) ранее со всеми "узкими" местами. Если хотите 2012R2, то можно попробовать с DL-8.0C. Не сказать, чтобы его было проще интегрировать и настроить, как в случае с SN, но стоимость будет ниже. Да и с моей личной точки зрения DL более надежен и гибок, чем SN. Это при условии, что СЗИ интегрируются как в терминальный сервер, так и в ОС рабочих станций.
Доверенную загрузку реализуйте за счет наката DL/SN на ОС рабочих станций (та же WinXP, чтобы "пеньки" не сильно грузила) в память съемных носителей: НЖМД с мобильным шасси, flash-накопители и т.п. Если заморочиться на сетевую загрузку - сложности уже описал выше. Причем ОС данная должна быть жестко ограничена по функционалу, да. А так орг. мерами выдачи носителей исполнителям и настройкой BIOS закроетесь. Один черт нет явных требований к ДЗ в ГТ пока.

> А зачем апгрейдить сервер Win2008 с установленным в него SecretNet?

А как вы на end-of-support операционной системе, пусть даже и с SecretNet на борту, собираетесь выполнять требование по установке обновлений безопасности? Оно распространяется на все программное обеспечение ИС (а не только СЗИ) для всех классов защищенности ИС.

Когда готовилось информационное сообщение ФСТЭК по Windows 2003, всерьез обсуждался вопрос об ограничении применения не только самой операционной системы, но и сертифицированных СЗИ под ее управлением. Потому как доверенная СЗИ на дырявой операционке уже ни разу не доверенная. Но в итоге было решено, что мера хоть и правильная, но для девственного в этом отношении российского рынка ИБ слишком жесткая.

to malotavr
Вы про АНЗ.2 из 17 приказа? Верно, конечно, но вопрос то по реализацию терминальной АС в ГТ, где таких требований я что-то не встречал. Или упустил в своем образовании?
*в сторону* значит в соответствии с 21приказом НДВ любого типа сертифицированным СЗИ перекрываются, а вопросы о дырявости все еще обсуждаются... глупость полнейшая, право слово...