12 дек. 2025

Гибридное частное облако как способ обеспечить кибербезопасность

От локальных систем — к гибридному облаку.

Причины и последствия. Причины:

Майкрософт Серверы:

Основная поддержка Win Server 2016 завершилась 11 января 2022 года. Полное прекращение поддержки произойдет с января 2027 года. Поддержка же Windows Server 2019 окончательно прекратится в январе 2029.

Майкрософт Рабочие станции:

Поддержка Win11 версии 24 завершится в конце 2026 года, версии 25 - в конце 2027 года. Версии ниже Win11 24 уже не поддерживаются, в том числе все Win10 и младше.

Майкрософт Офис:

Office 2019 — 5 лет основной поддержки с 2 годами расширенной поддержки (исключение из 10-летнего срока политики фиксированного жизненного цикла).

Office 2016 — расширенная поддержка кончилась 14 октября 2025 года. Основная поддержка Office 2019 завершилась в октябре 2023 года, а Office 2016 — ещё раньше, в октябре 2020 года.

Давайте разбираться, что это значит для организаций и пользователей?

Причины и последствия. Последствия:

Что происходит:

Продолжающие использовать системы без поддержки, сталкиваются с неустранимыми

  • потенциальными угрозами кибербезопасности,

  • проблемами совместимости с современным программным обеспечением и

  • проблемами соответствия требованиям в регулируемых отраслях.

Почему это происходит:

Исправления безопасности и техническая поддержка для этих версий ПО больше не будут предоставляться вендором. Злоумышленники продолжают искать уязвимости, клепать зловреды, совершенствовать меч. В то же время совершенствование щита производителем останавливается, и найденные дыры останутся приглашающе открыты.

Что делать:

Чтобы избежать этих рисков, организациям следует начинать планирование миграции в безопасные системы задолго до истечения окончательного срока.

Всем домашним пользователям, остающимся с Microsoft, настоятельно рекомендую также обновляться до последних версий операционных систем и офисных пакетов.

Причины и последствия. Нюансы:

Нужного ПО нет в продаже

Сегодня в связи с остановкой операций в РФ приобретение юридическими лицами многих актуальных серверных продуктов по каналам поставки VL, а также новых подписок и отдельных лицензий на ПО для рабочих станций — не представляется возможным. Затруднено обновление до версий, обеспечивающих поддержку.

Основная причина миграций - безопасность

Но не только злоумышленники становятся причиной миграции на современные системы:

На площадке у клиента имеется сервер удаленных рабочих столов WinServer2016 с развернутым офисным пакетом. После установки очередного обновления безопасности в ноябре внезапно отвалился Word. Конфликт версий системного и прикладного ПО неустраним. Способа сохранить последние безопасные версии MS Office и WinServer в развертывании клиента на текущий момент не существует.

Железо

Отметим дополнительно, что для работы с актуальными версиями ПО необходимо вовремя освежать железо. Новые версии ПО отказываются работать со старым оборудованием.

Тем не более, мы признаём, что на сегодня у ЮЛ всё ещё остались такие пунктирные каналы поставок некоторого ПО, как комплектные издания лицензий у поставщиков оборудования в РФ.

Это не очень надёжно: нужного количества у одного поставщика часто нет, цены на комплект сервер+ПО часто оказываются неожиданными, конфигурации серверов могут не отвечать технической цели и ТЗ. А ещё рано или поздно коробки закончатся.

Риски несоответствия требованиям регуляторов

Дополнительно нужно иметь в виду, что в 2025 ужесточились санкции за нарушение правил использования ПО для защиты обработки ПДн и работы с ЭП. Поиск нарушений производят роботы РКН, производится обработка bigdata в автоматическом режиме. Для соответствия требованиям регулятора необходимо использовать актуальное ПО. Штрафы конские.

Использование средств защиты информации, прошедших процедуру оценки соответствия требованиям законодательства РФ в области обеспечения безопасности информации — одна из мер по защите персональных данных и электронного документооборота с ЭП при их обработке в информационных системах. Однако ни в одном нормативном акте нет обязанности негосударственного оператора персональных данных использовать исключительно ПО, сертифицированное ФСТЭК. 

Тем не менее, использование устаревшего программного обеспечения, согласно юр. практике, квалифицируется как нарушение требований к техническим мерам защиты информации, часть 6 Статья 13.12 КоАП РФ.

А мы тут при чём?

Никакой бэкап не поможет, если уязвимость найдена и используется, а обновления безопасности не существуют, и даже если всё-всё-всё снести и поставить заново, будет происходить заражение после каждого восстановления. все мы помним вирус WannaCry

Системы рухнут, работа встанет.

В мае 2017 года началась эпидемия WannaCry. Всего за несколько дней вирус поразил около полумиллиона девайсов - домашних, корпоративных и государственных в более чем 200 странах. И это было только начало.

Заражение WannaCry происходило автоматически — участие пользователя не требовалось, не нужно было открывать письмо или что-то скачивать. Вирус шифровал файлы и требовал выкуп в крипте.

Наиболее уязвимыми для WannaCry оказались организации, где по-прежнему использовались старые версии Windows

На нескольких заводах Renault менеджмент конвейера стал недоступен и легла логистика. В Европе встала ещё пара немецких банков, по миру FedEx, Honda, Telefónica, а  у нас — нескольких российских банков и даже МВД РФ. Британцы потеряли медицинские системы.

Это не просто какая-то техническая проблема. Это простаивающее производство, срывы контрактов, штрафы, потеря клиентов и репутации. ИБ-инциденты напрямую влияют на деньги, особенно в отраслях с высокой ценой простоя.

Импортозамещение — всё ещё выход через вход.

Отечественным ПО нынче принято называть адаптацию опенсорс систем, написанных при поддержке или полностью спецами за границей, и продавать организациям по ценам, сравнимым с коммерческими пакетами, без каких либо гарантий и нормальной поддержки. Импортозамещение во всей своей красе.

Всё это ещё немного сыровато. Пока в целях сохранения стабильности работы сервисов мы не можем рекомендовать бизнесу однозначный переход на такие решения.

Итак, от локальных систем — к гибридному облаку

Можно ли сохранить архитектуру?

Если в текущих реалиях мы не можем использовать безопасное ПО от привычных вендоров, в локальных развёртываниях, так почему бы нам не сохранить архитектуру, давайте просто заменим ПО на свободное, заменим майкрософт на линукс. Ещё и экономия!

Штош, давайте посмотрим.
Обучение

Обучение в кратчайшие сроки работе с nix-based сервисами и пользователей, и ИТ служб дорого и сложно.

Сопровождение

Для сопровождения таких систем требуются дополнительные ресурсы и средства.

Лицензирование

Использование многих свободно распространяемых опенсорс систем в коммерческих целях ограничено лицензией. Необходимо использовать платные версии и подписки

Экосистема

Также существует и активно используется организациями ПО, которое пока существует только для работы под Win.

А какое ПО вообще попало или вот-вот попадёт в небезопасное?

Так и есть, дело касается не только Microsoft. Многие программные комплексы других вендоров, используемые локально, также меняют подход к лицензированию или больше не предоставляют обновления безопасности организациям на территории РФ, если говорить о больших игроках и виртуализации, то это VMware, например.

Ладно, а когда начинать?

Мы начали предупреждать наших текущих и будущих клиентов ещё два года назад, что использование большого количества полноценных локальных машин с для работы с локальными серверными мощностями представляется нам как неоптимальное на данном этапе. Самые предусмотрительные из них уже переехали на безопасные рельсы, не дожидаясь, пока грянет гром, и уже отладили с нашей помощью свои процессы и системы.

Покупайте наших слонов! (с) :)

Плюсы

Мы видим экономический смысл переезда в гибридное облако в оптимизации расходов на ИТ-инфраструктуру, масштабируемости ресурсов, а также в возможности получить преимущества от каждого вида облака — гибкости и экономичности публичного, а также контроля и безопасности частного.

  • имеющиеся старые машины проживут вторую жизнь, став безопасными терминалами

  • сопровождение устойчивого отлаженного централизованного решения обходится дешевле сопровождения зоопарка машин с зоопарком софта.

  • есть возможность недорого получить отказоустойчивость и высокую доступность

  • есть возможность получить столько быстродействия и пространства, сколько нужно

  • резервирование, проверка и восстановление автоматизировано

  • нет необходимости в поиске и приобретении лицензий на актуальное заморское ПО

  • не требуется участия пользователей ни в каких системных процессах

  • обучение пользователей и персонала производится очень быстро: пользователи работают в привычном окружении с привычным ПО

  • легко соблюдать требования регуляторов, например, 152-ФЗ

  • применение схемы "гибридное облако + тонкие клиенты" улучшает кибербезопасность на порядок

  • решения сетевой печати снижают в несколько раз стоимость отпечатанной копии

  • сетевое сканирование с автоподатчиками — простой и удобный способ получать быстро готовый результат в PDF, особенно при многостраничных документах

  • для сопровождения на локальных площадках достаточно техников базовой квалификации

  • унификация критично сокращает затраты на ЗиП

  • незачем содержать серверную, каждые несколько лет приобретать дорогое оборудование десятками юнитов и контролировать его состояние и жизненный цикл

  • техники наших дата-центров на связи 24/7, что редко можно получить за адекватные деньги локально в небольших организациях

Минусы
  • переход на гибридный подход требует некоторых вложений — в каналы связи, сетевую печать, пуско-наладку

  • дефицит специалистов — найти команду, способную воистину действовать в интересах клиента, и спроектировать и поддерживать гибридную среду, непросто.

  • не все сервисы могут быть перенесены, и не всё можно подвергнуть стандартизации и унификации

Рекомендации

Мы рекомендуем как можно скорее запланировать и осуществить плановую миграцию в частное гибридное облако вместе с нами (а мы умеем работать и с высокой кастомизацией), не дожидаясь неприятных событий. В качестве основной мы предлагаем схему

"тонкие клиенты, подключаемые напрямую к защищенным рабочим местам в облаке, на которых находится привычное окружение и ПО".

Методов реализации много, мы подбираем индивидуально для каждого клиента, для большей эффективности. Готовые развёртывания на WTware, Kaspersky Thin Client, или отдельные высококастомизированные системы, но ни одного кривого и небезопасного решения. Разумеется, мы вписываем в эту схему рабочие места, требующие особого внимания: выделенные для работы с ЭП, и прочие.

Поскольку оптимизация и отладка процессов могут занять десяток месяцев, начинать надо сильно заранее.

Мы предлагаем бесплатный экспресс-аудит текущих процессов и систем.

Конечно, мы стараемся не переправлять клиента вместе со всем легаси. Иногда нужно полностью переработать всё, а иногда совсем никаких изменений в архитектуре не требуется. Надо посмотреть :)

Начните с чек-листа

Прохождение чек-листа занимает всего несколько минут, приглашаем вас проверить, где вы уже защищены.

Приглашаем вас оставить заявку на нашем сайте administrators.ru, или связаться с нами удобным образом - звоните на +7-98-98-11-13-98 (тап), пишите на get1@administrators.ru

Следите за нашими анонсами в нашем телеграм канале @RuAdminGuild!

читать другие статьи

==

Мы не скрываем, что в написании статьи нам помогали нейросети.

Craftum Сайт создан на Craftum