СЗИ и СДЗ
СЗИ — средство защиты информации, СДЗ — средство доверенной загрузки, контролирующее старт компьютера до загрузки операционной системы.
Что такое СЗИ и СДЗ
СЗИ расшифровывается как средство защиты информации — любое техническое или программное средство, предназначенное для защиты информации. Термин зонтичный: антивирус, межсетевой экран, система обнаружения вторжений, DLP, СКЗИ — всё это СЗИ.
СДЗ — средство доверенной загрузки, узкий класс внутри СЗИ. Это модуль, который перехватывает управление до старта операционной системы, проверяет, что грузиться будет именно то и именно с того носителя, и только потом отдаёт управление ОС.
Важнейшая оговорка: в российской регуляторике «СЗИ» почти всегда означает сертифицированное средство — прошедшее оценку соответствия и внесённое в реестр ФСТЭК России. Ваш iptables защищает информацию, но СЗИ в смысле приказа ФСТЭК не является. Разница проявляется ровно в тот момент, когда приходит проверка ИСПДн или государственной системы.
Разделение регуляторов, которое стоит запомнить: ФСТЭК отвечает за СЗИ и СДЗ, ФСБ — за криптографию (СКЗИ). Это разные реестры, разные лицензии и разные схемы сертификации.
Классы СЗИ
Средства сертифицируют по профилям защиты и уровням доверия. Самый ходовой класс — СЗИ от НСД (от несанкционированного доступа): усиленная аутентификация, дискреционное и мандатное разграничение доступа, контроль устройств и печати, замкнутая программная среда, контроль целостности, регистрация событий.
Практический смысл: штатных механизмов Windows или Linux для аттестуемой системы недостаточно — регулятор требует средство с проверенной реализацией и подтверждённым отсутствием недекларированных возможностей. Отсюда наложенные СЗИ: Secret Net Studio, Dallas Lock, «Аккорд», «Блокхост-Сеть».
Зачем нужна доверенная загрузка
СДЗ закрывает атаку, против которой бессильна любая защита внутри ОС. Логика простая: если атакующий получил физический доступ и загрузил машину со своей флешки или подменил загрузчик, то все средства внутри системы просто не запустятся. Пароль администратора сбрасывается, диск читается, СЗИ от НСД обходится — потому что до него дело не дошло.
СДЗ вклинивается раньше: до передачи управления ОС оно требует аутентификацию (обычно по аппаратному идентификатору — токену или смарт-карте), проверяет целостность загрузчика, ядра и критичных файлов, блокирует загрузку с внешних носителей и ведёт свой журнал.
Требования задаёт приказ ФСТЭК России № 119 от 27.09.2013. Средства делятся по уровню исполнения:
| Тип СДЗ | Где живёт | Особенности |
|---|---|---|
| Уровня BIOS/UEFI | Прошивка материнской платы | Не занимает слот, привязан к модели платы |
| Уровня платы расширения | Отдельная плата PCIe | Аппаратная независимость от ОС, максимальное доверие |
| Уровня загрузочной записи | Программный модуль в MBR/UEFI | Дешевле, но защищённость ниже |
Классические представители: ПАК «Соболь», «Аккорд-АМДЗ», Dallas Lock СДЗ, МДЗ-«Эшелон».
СДЗ, виртуализация и облако
Здесь возникает вопрос, который на практике ставит в тупик. Плату СДЗ нельзя вставить в виртуальную машину — у неё нет физического слота, а гостевая ОС не управляет загрузкой хоста.
Решается это тремя способами. Первый: СДЗ ставят на физический хост с гипервизором — доверенная загрузка защищает всю платформу целиком. Второй: применяют специализированные средства защиты среды виртуализации (vGate, «Аккорд-В»), которые контролируют запуск виртуальных машин со стороны гипервизора. Третий, самый реалистичный для арендуемой инфраструктуры: это зона ответственности провайдера.
Отсюда практический вывод для облака и VPS: вы физически не можете выполнить требование о доверенной загрузке внутри своей ВМ. Если ваша ИСПДн или государственная система требует СДЗ, единственный рабочий путь — брать аттестованный сегмент у провайдера, где мера уже закрыта на уровне ЦОД и гипервизора, и получить от него аттестат. Пытаться закрыть это самостоятельно на арендованной ВМ бессмысленно.
Как проверить средство
Реестр сертифицированных средств защиты информации ведёт ФСТЭК и публикует на своём сайте. Проверять нужно не только наличие сертификата, но и срок действия, и версию: сертификат выдан на конкретную сборку, и обновление до более новой версии может вывести средство за рамки сертификата — формально нарушение, даже если продукт стал лучше.
Связанные термины
- ИСПДн — где применение сертифицированных СЗИ обязательно
- Криптография и СКЗИ — соседний класс средств, но по линии ФСБ
- Несанкционированный доступ — от чего защищает СЗИ от НСД
- Межсетевые экраны / WAF — частный случай СЗИ
- Информационная безопасность — общий контекст
Готовы запустить GPU-задачу?
Запустить GPU-сервер