Эта статья — разбор референс-архитектуры, которую мы собираем на реальных проектах: промышленное предприятие с корпоративной сетью, выделенным сегментом безопасности и объектами КИИ. Всё оборудование — отечественное. Каждое решение на схеме отвечает на конкретное требование закона или конкретный сценарий атаки.
Схема интерактивная: наводите курсор на устройства — каждое расскажет свою роль. Точки — живой трафик, рамки — сегменты, пунктир — туннели, зеркала трафика и OOB-управление.
Наведите курсор на устройство, чтобы увидеть его роль. Точки — трафик. Рамки — сегменты сети (VLAN): межсегментный трафик маршрутизируется ядром и фильтруется. Пунктир — туннели, зеркало трафика и OOB-управление.
Как читать эту архитектуру
Предприятие состоит из четырёх больших частей:
- Корпоративная сеть (ЦОД здания администрации) — офис: пользователи, серверы, телефония.
- ЦОД СОИБ — изолированный сегмент службы ИБ со своей инфраструктурой.
- Промышленная ДМЗ — буферная зона между офисом и производством.
- Сегменты АСУ ТП — технологические установки, каждая в своём контуре.
Главный принцип: трафик между частями всегда проходит через межсетевой экран, и ни одна часть не доверяет другой.
Периметр: HA-кластер NGFW и ГОСТ-VPN
Граница с интернетом — кластер из двух NGFW UserGate с синхронизацией сессий: отказ узла не рвёт соединения. Два независимых оператора связи. Публичные сервисы (сайт, почта) вынесены в DMZ — они доступны снаружи, но изолированы от внутренней сети.
Рядом с NGFW — криптошлюз ViPNet Coordinator: туннель до филиала зашифрован по ГОСТ. Для госструктур и субъектов КИИ это не опция, а требование.
VPN внешних подрядчиков терминируется здесь же, на периметре — дальше подрядчик видит только веб-порталы Indeed AM (вход с MFA) и Indeed PAM (назначенные активы, сессия под запись). Четыре рубежа до актива.
Ядро: шасси и маршрутизация между VLAN
Два модульных шасси QTECH с резервированными супервизорами. Сеть сегментирована на VLAN (пользователи, серверы, телефония, управление), и весь межсегментный трафик маршрутизируется ядром через ACL — никакие два сегмента не общаются напрямую.
С резервного шасси пассивный TAP-ответвитель снимает копию трафика на IDS-сенсор PT NAD: обнаружение атак и горизонтального перемещения, невидимое для атакующего.
Серверный сегмент: виртуализация, SAN и три кита надёжности
Стек из четырёх серверов виртуализации (Yadro VEGMAN, DEPO) с СХД Yadro TATLIN за выделенной FC-фабрикой из двух SAN-коммутаторов — multipath, единой точки отказа нет.
Три сервиса, без которых не живёт ни одна сеть:
- RADIUS — аутентификация 802.1X для устройств и пользователей;
- NTP с приёмником ГЛОНАСС — точное время, независимое от интернета: без него логи юридически слабы, а журналы не сходятся;
- Сервер РК (Кибер Бэкап / RuBackup) — копии по правилу 3-2-1 через SAN. Бэкап на той же СХД, что и данные, — не бэкап.
Отдельный MGMT-коммутатор собирает OOB-сеть: management-порты железа и BMC серверов. Управление живёт, даже когда продуктивная сеть лежит.
ЦОД СОИБ: крепость внутри крепости
Указ Президента № 250 фактически требует выделенной службы ИБ. Здесь у неё собственный мини-ЦОД за отдельным NGFW: своя пара коммутаторов ядра, ферма zVirt из четырёх хостов со всеми СЗИ (SIEM, антивирусный сервер, сканер уязвимостей, консоль PT NAD), своя SAN-фабрика, своя СХД, свой сервер РК и своё OOB-управление.
Смысл: компрометация офисной сети не открывает путь к средствам защиты, а копии журналов SIEM — доказательная база инцидентов — не покидают контур безопасности.
Из СОИБ — пунктир в облако НКЦКИ: для значимых объектов КИИ передача сведений об инцидентах в ГосСОПКА обязательна по 187-ФЗ.
Промышленная ДМЗ: буфер между офисом и производством
Ещё один HA-кластер NGFW отделяет корпоративную сеть от технологической. Прямого пути из офиса к ПЛК не существует — все обмены идут через буферные серверы в этой зоне:
| Сервер | Что делает |
|---|---|
| Historian (приём метрик) | Принимает телеметрию из АСУ ТП; офис читает отсюда |
| Менеджер сенсоров PT ISIM | Собирает события с сенсоров установок, передаёт в SIEM |
| Центральный сервер РК | Принимает реплики бэкапов установок |
АСУ ТП: каждая установка — свой контур
На границе каждой установки — промышленный межсетевой экран InfoWatch ARMA (сертифицирован ФСТЭК): пропускает только технологические протоколы. Внутри:
- SCADA-АРМ операторов — управление установкой не покидает техносеть;
- промышленные коммутаторы Eltex и Moxa — DIN-рейка, расширенные температуры;
- сенсор PT ISIM — пассивный разбор промышленного трафика (Modbus, S7, МЭК 104). SPAN-копия приходит на него через однонаправленный шлюз InfoDiode: даже скомпрометированный сенсор физически не сможет передать ни байта в техносеть;
- IPIS-сервер — собирает метрики техпроцесса и передаёт их через ARMA на historian, откуда их читает аналитика в КСПД;
- локальный сервер СЗИ — КиберБэкап (реплики уходят на центральный сервер РК) и агент KSC как единственная разрешённая дорожка к антивирусной инфраструктуре СОИБ.
Соответствие нормативке
| Требование | Реализация на схеме |
|---|---|
| 187-ФЗ: взаимодействие с ГосСОПКА | SIEM СОИБ → НКЦКИ |
| Приказ ФСТЭК № 239: сегментация ЗОКИИ | VLAN + ACL на ядре, АСУ ТП за ARMA |
| № 239: обнаружение вторжений (СОВ) | PT NAD (корп.) + PT ISIM (пром.) |
| № 239: однонаправленная передача | InfoDiode на SPAN, телеметрия через МЭ |
| Указ № 250: служба ИБ | выделенный ЦОД СОИБ |
| Указы № 166/250: отечественные решения | весь стек — российские вендоры |
| ГОСТ-криптография между площадками | ViPNet Coordinator |
| Контроль привилегированного доступа | Indeed AM + PAM, сессии под запись |
Что эта схема даёт на практике
Такая архитектура — не «бумажная безопасность» для проверки. Каждый элемент закрывает реальный сценарий: шифровальщик из офиса не доползёт до ПЛК, скомпрометированный подрядчик оставит запись сессии, авария установки не уничтожит её бэкапы, а отказ любого одиночного узла — от блока питания до целого шасси — не остановит предприятие.
Собираю такие архитектуры под конкретные объекты: от обследования и категорирования до рабочей документации по ГОСТ 34 и пусконаладки — состав услуг и цены открыты. Если у вас уже есть сеть и нужно понять, насколько она далека от эталона, — аудит занимает от двух недель.