Security

СЗИ и СДЗ

СЗИ — средство защиты информации, СДЗ — средство доверенной загрузки, контролирующее старт компьютера до загрузки операционной системы.

Что такое СЗИ и СДЗ

СЗИ расшифровывается как средство защиты информации — любое техническое или программное средство, предназначенное для защиты информации. Термин зонтичный: антивирус, межсетевой экран, система обнаружения вторжений, DLP, СКЗИ — всё это СЗИ.

СДЗсредство доверенной загрузки, узкий класс внутри СЗИ. Это модуль, который перехватывает управление до старта операционной системы, проверяет, что грузиться будет именно то и именно с того носителя, и только потом отдаёт управление ОС.

Важнейшая оговорка: в российской регуляторике «СЗИ» почти всегда означает сертифицированное средство — прошедшее оценку соответствия и внесённое в реестр ФСТЭК России. Ваш iptables защищает информацию, но СЗИ в смысле приказа ФСТЭК не является. Разница проявляется ровно в тот момент, когда приходит проверка ИСПДн или государственной системы.

Разделение регуляторов, которое стоит запомнить: ФСТЭК отвечает за СЗИ и СДЗ, ФСБ — за криптографию (СКЗИ). Это разные реестры, разные лицензии и разные схемы сертификации.

Классы СЗИ

Средства сертифицируют по профилям защиты и уровням доверия. Самый ходовой класс — СЗИ от НСД (от несанкционированного доступа): усиленная аутентификация, дискреционное и мандатное разграничение доступа, контроль устройств и печати, замкнутая программная среда, контроль целостности, регистрация событий.

Практический смысл: штатных механизмов Windows или Linux для аттестуемой системы недостаточно — регулятор требует средство с проверенной реализацией и подтверждённым отсутствием недекларированных возможностей. Отсюда наложенные СЗИ: Secret Net Studio, Dallas Lock, «Аккорд», «Блокхост-Сеть».

Зачем нужна доверенная загрузка

СДЗ закрывает атаку, против которой бессильна любая защита внутри ОС. Логика простая: если атакующий получил физический доступ и загрузил машину со своей флешки или подменил загрузчик, то все средства внутри системы просто не запустятся. Пароль администратора сбрасывается, диск читается, СЗИ от НСД обходится — потому что до него дело не дошло.

СДЗ вклинивается раньше: до передачи управления ОС оно требует аутентификацию (обычно по аппаратному идентификатору — токену или смарт-карте), проверяет целостность загрузчика, ядра и критичных файлов, блокирует загрузку с внешних носителей и ведёт свой журнал.

Требования задаёт приказ ФСТЭК России № 119 от 27.09.2013. Средства делятся по уровню исполнения:

Тип СДЗ Где живёт Особенности
Уровня BIOS/UEFIПрошивка материнской платы Не занимает слот, привязан к модели платы
Уровня платы расширения Отдельная плата PCIeАппаратная независимость от ОС, максимальное доверие
Уровня загрузочной записи Программный модуль в MBR/UEFI Дешевле, но защищённость ниже

Классические представители: ПАК «Соболь», «Аккорд-АМДЗ», Dallas Lock СДЗ, МДЗ-«Эшелон».

СДЗ, виртуализация и облако

Здесь возникает вопрос, который на практике ставит в тупик. Плату СДЗ нельзя вставить в виртуальную машину — у неё нет физического слота, а гостевая ОС не управляет загрузкой хоста.

Решается это тремя способами. Первый: СДЗ ставят на физический хост с гипервизором — доверенная загрузка защищает всю платформу целиком. Второй: применяют специализированные средства защиты среды виртуализации (vGate, «Аккорд-В»), которые контролируют запуск виртуальных машин со стороны гипервизора. Третий, самый реалистичный для арендуемой инфраструктуры: это зона ответственности провайдера.

Отсюда практический вывод для облака и VPS: вы физически не можете выполнить требование о доверенной загрузке внутри своей ВМ. Если ваша ИСПДн или государственная система требует СДЗ, единственный рабочий путь — брать аттестованный сегмент у провайдера, где мера уже закрыта на уровне ЦОД и гипервизора, и получить от него аттестат. Пытаться закрыть это самостоятельно на арендованной ВМ бессмысленно.

Как проверить средство

Реестр сертифицированных средств защиты информации ведёт ФСТЭК и публикует на своём сайте. Проверять нужно не только наличие сертификата, но и срок действия, и версию: сертификат выдан на конкретную сборку, и обновление до более новой версии может вывести средство за рамки сертификата — формально нарушение, даже если продукт стал лучше.

Связанные термины

Готовы запустить GPU-задачу?

Запустить GPU-сервер