Нулевое доверие: защищённый контур от входа до точки СНГО

Стратегическая цель — построить единый защищённый контур, в котором доверие подтверждается на каждом участке: при входе пользователя, при доступе к информационным системам и при передаче данных от удалённых объектов геомониторинга в ЦОД.

Проект решал три взаимосвязанные задачи:

• исключить пароль как единственный рубеж защиты: расширить многофакторную аутентификацию до 2 000 сотрудников и не менее 10 систем, охватив рабочие станции Windows и Linux, серверы и сетевое оборудование;

• закрыть удалённые объекты системы навигационно-геодезического обеспечения (СНГО) от сетей связи общего пользования, развернув криптошлюзы на 17 территориально распределённых площадках;

• перевести весь информационный обмен СНГО на защищённые каналы связи с отказоустойчивым терминированием в ЦОД.

Данные мониторинга деформаций зданий, сооружений и территорий Москвы лежат в основе решений о безопасности городских объектов: их конфиденциальность и подлинность — вопрос городской безопасности, а не только ИТ.

• 2 000 сотрудников переведены на многофакторную аутентификацию; второй фактор внедрён не менее чем в 10 информационных системах, на рабочих станциях Windows и Linux, серверах и сетевом оборудовании.

• 17 из 17 площадок СНГО и ЦОД охвачены защищёнными каналами: 100 % трафика геомониторинга, включая трафик управления оборудованием точек, передаётся только через защищённый канал.

• Устранена единая точка отказа в ЦОД: кластер из двух узлов; автоматическое переключение и восстановление каналов подтверждены приёмочными испытаниями с фиксацией фактического времени переключения и объёма потерянных данных.

• Непрерывность сохранена: перевод на новую платформу выполнен без остановки сбора данных СНГО и без простоя пользователей.

• Подключение новой площадки выполняется собственными силами по типовому решению (тиражирование), без изменения архитектуры.

• Avanpost FAM / Avanpost Authenticator / Avanpost IDM

• АПКШ «Континент» / ZTN

• РЕД АДМ / РЕД ОС / MS AD

• UserGate

• PT NGFW

• Подсистема сбора и обработки данных СНГО (ГЛОНАСС/GPS)

• Работа «по живому». 17 площадок и продуктивный ЦОД переводились без остановки сбора геодезических данных: только в согласованных технологических окнах, с резервными копиями изменяемых конфигураций и планом отката для каждой работы.

• Разнородность каналов. Разные операторы и технологии доступа, включая 4G, динамическое назначение адресов и NAT, ограничения MTU, фильтрация протоколов у операторов. Часть ограничений выявлялась только при обследовании и требовала решения по каждой площадке.

• География и логистика. Выезды на объекты в Москве, Московской и Калужской областях, включая гидроузел и пожарные части, с размещением оборудования в неподготовленных помещениях, вплоть до настенного монтажа.

• Два контура одновременно. Аутентификация затрагивала Windows и Linux, серверы, сетевое оборудование и десяток прикладных систем — каждая интеграция проверялась на отсутствие влияния на пользователей.

• Цена ошибки: сжатые сроки при нулевом допустимом влиянии на городской мониторинг.

Исходная ситуация

• Учреждение эксплуатирует систему навигационно-геодезического обеспечения — 17 распределённых точек в Москве, Московской и Калужской областях, непрерывно передающих в ЦОД данные о деформациях объектов мониторинга на основе ГЛОНАСС/GPS.

• Защита участка «точка СНГО — ЦОД» и контроль трафика на границе площадок не обеспечивались либо были разрозненными. Терминирование трафика в ЦОД выполнялось без резервирования — отказ единственного узла останавливал сбор данных. Каналы предоставлялись разными операторами по разным технологиям, схемы адресации отличались от площадки к площадке.

• Доступ к информационным системам опирался на ручной ввод пароля.

Ключевое ограничение: все работы шли на действующей продуктивной инфраструктуре — сбор данных СНГО и работа сотрудников не должны были прерываться.

Реализованное решение

1. Многофакторная аутентификация. Avanpost FAM внедрена и расширена до 2 000 сотрудников. Второй фактор внедрён для входа в Windows и Linux, для серверных ОС и сетевого оборудования (SSH, консольный вход, RADIUS) push-подтверждение через Avanpost Authenticator, TOTP, SPNEGO/Kerberos, WebAuthn и FIDO U2F. Сценарии аутентификации настроены для каждой группы доступа, компоненты развёрнуты в кластере.

2. Криптошлюзы на объектах СНГО. На 17 площадках и в ЦОД смонтированы и настроены узлы защищённой сети на базе АПКШ «Континент» с межсетевым экранированием по принципу «запрещено всё, что явно не разрешено». Сегмент точки изолирован от сетевого окружения площадки и от сетей общего пользования, потоки между площадками запрещены.

3. Защищённые каналы связи. Платформа построена по топологии «звезда»: каналы всех площадок терминируются на отказоустойчивом кластере из двух узлов в ЦОД, переключение и восстановление каналов автоматические. Перевод обмена выполнен поэтапно — пилотная группа, затем тиражирование по эталонам. Настроены журналирование, непрерывный контроль состояния узлов и каналов и резервное копирование конфигураций.

Изменения после внедрения

• Доступ. Пароль перестал быть единственным рубежом: вход на рабочие станции, в системы и на сетевое оборудование подтверждается вторым фактором, а однократная аутентификация сохранила привычную скорость работы.

• Объекты. Каждая точка СНГО работает в собственном защищённом канале; доступ к её оборудованию из сетей общего пользования исключён.

• Эксплуатация. Контур ведётся собственными силами — по руководству администратора и эталонным конфигурациям; новая площадка подключается по типовой процедуре.

• Команда. Специалисты ИТ и информационной безопасности сформировали требования и целевые показатели, согласовали архитектуру, адресацию и политики доступа, организовали технологические окна и выезды на 17 площадок, задали критерии отката, провели испытания и опытную эксплуатацию.

Российская Федерация: г. Москва, Московская область, Калужская область.