Концепция импортозамещения и построения защищенной инфраструктуры малого и среднего предприятия (Astra Linux+ PostgresSQL+1C+Securitm...), пошаговая реализация от А до Я

Концепция защищенной инфраструктуры малого и среднего предприятия  (редакция 3)

-- стартовый пакет документации для начинающего администратора на Linux

-- готовый проект ТЗ  для руководителя организации  планирующего переходить на Linux

-- готовая документация и ТЗ для продвинутого администратора Linux

ПРОВЕРЕНО и ВНЕДРЕНО

(Переработанное и дополненное практическое руководство для малого бизнеса)

Резюме для руководства

Цель документа – предоставить пошаговое, экономически обоснованное решение по миграции информационной системы обработки персональных данных (ИСПДн) на отечественное программное обеспечение (Astra Linux, PostgreSQL, 1С:Предприятие) с обеспечением 4-го уровня защищённости по Приказу ФСТЭК №21.

Ключевые нормативные требования:

• С 1 сентября 2025 г. – обязательный переход субъектов КИИ на сертифицированное отечественное ПО (ФЗ №58-ФЗ).
• До 1 сентября 2027 г. – полный переход операторов ПДн на российские СУБД и ПО.

Целевая аудитория – малые предприятия (20–100 ПК, 5–30 пользователей 1С), бюджет ограничен, штат не имеет узких специалистов. Документ позволяет силами одного-двух администраторов средней квалификации выполнить полное импортозамещение и обеспечить соответствие регуляторным требованиям.

Результат внедрения:

• Работоспособная ИСПДн на базе Astra Linux SE (Воронеж/Орёл), PostgreSQL, сервера 1С.
• Автоматизированное резервное копирование по правилу 3-2-1-1-0 с проверкой восстановления.
• Комплексная защита: управление доступом, антивирус (Dr.Web ESS), межсетевой экран (Ideco NGFW), мониторинг (Zabbix), сканирование уязвимостей (GVM).
• Централизованное управление через Active Directory (планируется переход на ALD Pro).
• Сокращение времени восстановления после сбоев до 30–60 минут.

1. Принципы проектирования (кратко)

Централизованное управление – все политики и настройки задаются единым образом.
Разумная достаточность – затраты на защиту соизмеримы с потенциальным ущербом.
Минимальных привилегий – пользователи работают с ограниченными правами.
Автоматизация – критические процедуры (архивация, проверка) автоматизированы.
Импортозамещение – используются только продукты из реестра отечественного ПО.
Отказоустойчивость – дублирование критических компонентов, мониторинг.
Сертификация – выбор средств, имеющих сертификаты ФСТЭК (Astra Linux, Dr.Web, Ideco).

2. Структура ИСПДн и технология обработки данных

(См. функциональную схему на рис. 1 – приведена в отдельном файле.)

Поток данных:
Тонкий клиент 1С (Windows/Astra Linux) → TCP/IP → Кластер серверов 1С (rmngr → rphost) → PostgreSQL (на том же или отдельном сервере).

Сегментация:

• Сеть предприятия разделена на сегменты: пользовательский, серверный, DMZ (для VPN и внешних сервисов).
• Доступ к серверам БД разрешён только с серверов 1С и управляющих хостов.

3. Аппаратные требования и установка Astra Linux

3.1. Минимальные требования (на 10–20 пользователей, база 10–20 ГБ)

• Процессор: Intel Core i5/i7 (4–8 ядер)
• ОЗУ: 32–64 ГБ DDR4
• Диски: SSD 500 ГБ (система + базы) + SSD/HDD 500–1000 ГБ (архивы)
• Сеть: Gigabit Ethernet
• ИБП: 1000–1500 ВА

3.2. Установка ОС (Astra Linux Special Edition 1.8.x «Воронеж»)

1. Отключить Secure Boot в UEFI.
2. Загрузиться с загрузочной флешки (созданной через Rufus или штатное средство записи).
3. В live-режиме запустить установщик, выбрать «Усиленный» уровень защищённости (Воронеж).
4. Выбрать разметку диска: использовать всё пространство (рекомендуется без LVM для простоты).
5. Установить SSH-сервер.
6. Создать учётную запись администратора (не root) и задать пароль.
7. После установки настроить репозитории (раскомментировать строки в /etc/apt/sources.list, закомментировать deb cdrom).
8. Выполнить sudo apt update && sudo apt dist-upgrade.
9. Активировать лицензию через astra-subscription (при необходимости).

4. Настройка сетевой инфраструктуры и удалённого доступа

4.1. Средства удалённого управления

• XRDP + fly-dm-rdp – для удалённого рабочего стола (RDP, порт 3389).
  Установка: sudo apt install xrdp fly-dm-rdp.
• SSH – для терминального доступа (порт 22), уже установлен.
• xfreerdp – клиент RDP для подключения к другим машинам.

4.2. VPN-клиент для подключения к Ideco UTM

• L2TP/IPsec – через NetworkManager (пакет network-manager-l2tp-gnome).
  Настройка: шлюз, PSK, алгоритмы Phase1/Phase2.
• IKEv2/IPsec – более современный и устойчивый (пакет network-manager-strongswan).
  Требуется установка корневого сертификата root_ca с сервера Ideco.

4.3. Межсетевой экран на сервере приложений (iptables)

Реализуется политика «всё запрещено, разрешено только необходимое».
Разрешены входящие порты:

Правила сохраняются в /etc/iptables.rules и восстанавливаются через скрипт в /etc/network/if-pre-up.d/.

5. Установка и настройка СУБД PostgreSQL 15

5.1. Установка и первичная настройка

bash

sudo apt update && sudo apt install postgresql

sudo -u postgres psql -c "ALTER ROLE postgres WITH PASSWORD 'ваш_пароль';"

sudo passwd -u postgres

sudo passwd postgres   # установить пароль для учётной записи ОС

sudo usermod -a -G postgres sysadmxxx   # добавить админа в группу postgres

5.2. Оптимизация параметров (файл /etc/postgresql/15/main/postgresql.conf)

Ключевые параметры для работы с 1С (рекомендуемые значения):

• shared_buffers = 25% от ОЗУ
• effective_cache_size = 75% от ОЗУ
• work_mem = 256 МБ (можно увеличить до 512 при высокой нагрузке)
• maintenance_work_mem = 512 МБ
• max_connections = 100 (для 20–30 пользователей)
• synchronous_commit = off (только при наличии ИБП)
• wal_level = replica
• min_wal_size = 2GB, max_wal_size = 8GB
• autovacuum = on, autovacuum_max_workers = 3
• checkpoint_timeout = 15min, checkpoint_completion_target = 0.9

Полный список оптимизированных параметров приведён в Приложении 3.

5.3. Размещение баз данных и архивов

• Каталог данных: /var/lib/postgresql/15/main (системный диск).
• Для архивов используется второй диск, смонтированный в /data/backup (файловая система ext4, монтирование по UUID в /etc/fstab).

6. Установка и настройка сервера и клиента 1С:Предприятие

6.1. Установка сервера 1С

1. Скачать дистрибутив с портала https://releases.1c.ru (версия 8.3.27 и выше).
2. Распаковать и запустить sudo ./setup-full-8.3.27.xxxx-x86_64.run.
3. Выбрать компоненты: сервер, клиент, администрирование, интерфейсы.
4. После установки скопировать юнит-файл службы:

bash

sudo cp /opt/1cv8/x86_64/8.3.27.xxxx/srv1cv8-8.3.27.xxxx@.service /etc/systemd/system/

sudo systemctl daemon-reload

sudo systemctl enable --now srv1cv8-8.3.27.xxxx@default

5. Аналогично установить и запустить службу RAS (для удалённого администрирования).

6.2. Установка клиента 1С на рабочие станции (Astra Linux)

Запустить тот же установщик, но выбрать только клиентские компоненты. Далее добавить информационную базу, указав адрес сервера 1С и имя базы.

6.3. Настройка аутентификации в 1С (повышенная безопасность)

• Установить минимальную длину пароля – 8 символов.
• Включить проверку сложности.
• Ограничить число неудачных попыток (3) и блокировку на 600 секунд.
• Использовать хеширование SHA-256.
• Запретить восстановление пароля и повторное использование последних 10 паролей.

7. Резервное копирование и восстановление по правилу 3-2-1-1-0

7.1. Скрипт ротационного архивирования

Разработан скрипт pg_backup_rotated_v4.sh (на Bash), который:

• Создаёт ежедневные, еженедельные и ежемесячные дампы в формате custom.
• Хранит архивы на втором диске (/data/backup).
• Копирует архивы на сетевой ресурс (Windows-шара, смонтированная в /mnt/backup_win).
• Выполняет очистку и обновление статистики (vacuumdb -a -z -j4).

Настройка параметров (количество хранимых копий, дни недели и т.д.) выполняется в конфигурационном файле pg_backup.config.

7.2. Автоматическое зеркалирование на резервный сервер (правило off-line)

Резервный сервер (физически вне серверной) включается по расписанию через Wake-on-LAN, выполняет синхронизацию архива с основного сервера через rsync, затем автоматически переходит в гибернацию (S4).
Дополнительная защита: перед зеркалированием проверяется флаг ALLOWED на основном сервере – он устанавливается только после успешного тестового восстановления актуального архива. Это предотвращает копирование зашифрованных или повреждённых данных.

7.3. Проверка архивов (тестовое восстановление)

Ежедневно после создания архива скрипт encryption_test.sh восстанавливает свежий архив в тестовую базу, проверяет её целостность и отсутствие признаков шифровальщика. При успехе выставляется флаг ALLOWED.

7.4. Восстановление из архива

Скрипт restore_base_v2.sh позволяет восстановить базу в любую существующую или новую базу (для теста) из файлов custom/plain.

8. Комплексная защита ИСПДн (подсистемы)

8.1. Подсистема управления доступом (идентификация, аутентификация, авторизация)

• Для Windows-клиентов: домен Active Directory с контроллерами (основной и резервный). Групповая политика (GPO) на OU «ИСПДн» задаёт:
  • сложные пароли (мин. 12 симв., срок 120 дней),
  • блокировку после 5 неудачных попыток,
  • обязательное нажатие Ctrl+Alt+Del,
  • запрет записи на съёмные носители,
  • очистку файла подкачки при выключении.
• Для Astra Linux: применяется профиль системы «ИСПДн УЗ-4» (встроенный в ОС), который автоматически настраивает необходимые параметры безопасности.

8.2. Подсистема целостности и доступности

• Использование Astra Linux SE «Воронеж» с мандатным контролем целостности.
• Резервирование DHCP, DNS, контроллеров домена.
• Подключение ИБП с управлением через apcupsd (автоматическое выключение при долгом пропадании питания).

8.3. Межсетевой экран Ideco NGFW (периметр)

• Установлен на отдельном компьютере с тремя сетевыми интерфейсами (Интернет, ЛВС, DMZ).
• Настройки:
  • Импорт пользователей из Active Directory.
  • Контроль приложений (запрет игр, соцсетей, стриминга).
  • Предотвращение вторжений (IPS на базе Suricata) – использование сигнатур, блокировка атак.
  • Контент-фильтрация по категориям (вредоносные сайты, порнография).
  • VPN-сервер (L2TP/IPsec и IKEv2/IPsec) для удалённых сотрудников.
  • SNAT и проброс портов.

8.4. Антивирусная защита Dr.Web Enterprise Security Suite

• Централизованный сервер управления (на Windows или Astra Linux).
• Агенты на всех рабочих станциях и серверах ИСПДн.
• Политики: ежедневное обновление баз, еженедельное полное сканирование, поведенческий анализ, защита от вымогателей, блокировка автозапуска со съёмных носителей.
• Отключен брандмауэр Dr.Web (заменяется штатным межсетевым экраном).

8.5. Мониторинг и обнаружение проблем (Zabbix)

• Сервер Zabbix на виртуальной машине (Hyper-V) с PostgreSQL.
• Агенты установлены на все серверы и шлюз Ideco.
• Настроены шаблоны для контроля CPU, ОЗУ, дискового пространства, состояния служб.
• Оповещения по электронной почте через SMTP (поддерживается Yandex, Google и др.).

8.6. Сканирование уязвимостей (GVM / OpenVAS)

• Развёрнут на отдельной виртуальной машине с Kali Linux (или загрузочной флешке).
• Проводятся регулярные сканирования внутренних и внешних IP-адресов (по расписанию или вручную).
• Уязвимости классифицируются по CVSS, по каждой даются рекомендации по устранению.

8.7. Предотвращение утечек (DLP)

В рамках 4-го уровня защищённости полноценная DLP-система не применяется. Частичная компенсация достигается за счёт:

• Запрета съёмных носителей через GPO.
• Контроля приложений и веб-трафика на Ideco.
• Антивирусной проверки входящих/исходящих файлов.

9. Операционная работа администраторов (регламенты)

9.1. Ежедневные задачи

• Контроль мониторинга Zabbix (свободное место на дисках, загрузка CPU, доступность служб).
• Проверка создания ежедневного архива и его копии.
• Просмотр журналов антивируса и межсетевого экрана.
• Тестирование работоспособности VPN и удалённого доступа.

9.2. Еженедельные задачи

• Тестовое восстановление архива в тестовую базу.
• Обновление пакетов Astra Linux (через Synaptic или apt).
• Просмотр журналов безопасности (аутентификация, ошибки).

9.3. Ежемесячные задачи

• Плановая перезагрузка сервера приложений (после обновлений).
• Проверка состояния дисков через smartctl.
• Создание образа системного диска с помощью Clonezilla (после значительных изменений).

9.4. Реагирование на инциденты

• При отказе основного сервера – переключение на резервный (восстановление из последнего архива, изменение имени хоста, запуск служб). Время восстановления – не более 1 часа.
• При обнаружении вредоносной активности – изоляция заражённой машины, анализ логов, восстановление из резервной копии.

10. Приложения (избранные)

Приложение 1. Матрица соответствия Приказу ФСТЭК №21 (фрагмент)

Приложение 2. Оптимальные параметры PostgreSQL (детальный список)

(Содержит 30+ параметров с пояснениями – вынесен в отдельный файл.)

Приложение 3. Перечень команд Linux для администратора

(Справочник по 100+ командам – вынесен в отдельный файл.)

Приложение 4. Базовая настройка iptables (пример скрипта)

(Полный скрипт с пояснениями – вынесен в отдельный файл.)

Заключение

Предложенная архитектура и набор средств позволяют малым предприятиям в сжатые сроки и с минимальными затратами перейти на отечественное ПО и обеспечить 4-й уровень защищённости ИСПДн. Документ содержит все необходимые практические инструкции, проверенные на реальных объектах. При соблюдении описанных регламентов система будет устойчива к большинству угроз, а администраторы смогут оперативно реагировать на инциденты.

Дальнейшие шаги: Планируется переход на ALD Pro для централизованного управления Astra Linux, а также внедрение системы SIEM для консолидации событий безопасности.