Содержание
Уровень защищённости — первое, что нужно определить при покупке Astra Linux Special Edition, и именно здесь чаще всего ошибаются: берут «Смоленск» с запасом там, где хватило бы «Воронежа», или «Орёл» — туда, где он прямо запрещён разработчиком. Три города — это не три разные Астра Линукс, а одна операционная система с разным составом включённых средств защиты: какой набор будет доступен, определяет приобретаемая лицензия. Ниже — официальная матрица функций безопасности, требования для ГИС, ИСПДн, КИИ и гостайны и живые цены всех трёх уровней.
Уровень уже известен и нужны цена и счёт — купить Astra Linux для рабочей станции или для сервера можно сразу; дальше — как выбрать «Орёл», «Воронеж» или «Смоленск».
Товар Astra Linux Special Edition для рабочей станции от 12 000 ₽ Смотреть → Товар Astra Linux Special Edition для сервера от 48 000 ₽ Смотреть →Коротко: три уровня защищённости в одной таблице
Таблица собрана по политике лицензирования разработчика и справочному центру Astra Linux. В ней только различающие строки: всё, что умеет базовый уровень — идентификация и аутентификация, дискреционное управление доступом, регистрация событий безопасности, изоляция процессов, контроль съёмных носителей, — есть и в старших.
| Возможность | «Орёл» (базовый) | «Воронеж» (усиленный) | «Смоленск» (максимальный) |
|---|---|---|---|
| Мандатный контроль целостности | — | да, включён по умолчанию | да, включён по умолчанию |
| Замкнутая программная среда | — | да | да |
| Очистка освобождаемой памяти | — | да | да |
| Мандатное управление доступом | — | — | да, включено по умолчанию |
| Маркировка документов | — | — | да |
| Сертификация | Без сертификата, изделие РУСБ.10015-10 | ФСТЭК России, сертификат № 2557 | ФСТЭК России № 2557, плюс линии ФСБ России и Минобороны |
| ГИС, ИСПДн, значимые объекты КИИ, АСУ ТП | — | до 1 класса, уровня, категории | до 1 класса, уровня, категории |
| Гостайна | — | — | до «совершенно секретно» и «особой важности» |
| Цена лицензии | 12 000 ₽ | 21 900 ₽ | 30 700 ₽ |
Цены в таблице — за лицензию для рабочей станции на очередном обновлении 1.8 с электронной поставкой и стандартными обновлениями на 12 месяцев; «Орёл» поставляется без сертификата. Для сервера и других сочетаний цену считает конфигуратор в карточке товара.
Что такое Astra Linux Special Edition
Astra Linux Special Edition — операционная система специального назначения от ГК «Астра» (ООО «РусБИТех-Астра»), включённая в реестр российского ПО с 2016 года (запись № 369). Одна и та же система выпускается для рабочих станций и серверов, а помимо основной архитектуры x86-64 существуют отдельные исполнения для процессоров «Эльбрус», ARM и MIPS. Программа Ready for Astra подтверждает совместимость более чем с 2800 программными и аппаратными продуктами. Как Astra Linux смотрится на фоне РЕД ОС и РОСА — в отдельной статье о российских операционных системах.
Начиная с очередного обновления 1.7 уровни защищённости — базовый, усиленный и максимальный — реализованы внутри единой системы: все механизмы защиты объединены в комплекс средств защиты (КСЗ), а вариант лицензирования определяет, какие из них доступны к включению.
«Орёл» — базовый уровень
«Орёл» — вариант лицензирования несертифицированной системы, отдельное изделие РУСБ.10015-10. В нём работают базовые механизмы: идентификация и аутентификация, дискреционное управление доступом, регистрация событий безопасности, фильтрация сетевого потока, контроль подключения съёмных носителей. Усиленных средств защиты — мандатного контроля целостности, замкнутой программной среды, мандатного управления доступом — на этом уровне нет.
Это выбор для инфраструктуры без требований регуляторов: импортозамещение офисных рабочих мест, серверы приложений, разработка и тестирование.
Разработчик прямо указывает: «Орёл» не может применяться в системах, где предъявляются требования в части защиты информации, — в том числе там, где защиту планируют закрыть наложенными СЗИ от НСД. Для ГИС, ИСПДн и объектов КИИ берите «Воронеж» или «Смоленск».
«Воронеж» — усиленный уровень
«Воронеж» добавляет к базовым механизмам мандатный контроль целостности (включён по умолчанию), замкнутую программную среду — проверку неизменности и подлинности загружаемых исполняемых файлов — и очистку освобождаемой памяти, в том числе для защищённой СУБД.
Разработчик рекомендует усиленный уровень для обработки конфиденциальной информации: ГИС до 1 класса, ИСПДн до 1 уровня защищённости, значимых объектов критической информационной инфраструктуры до 1 категории, АСУ ТП до 1 класса; классы автоматизированных систем — 3Б, 2Б, 1Г, 1Д. Встроенные средства защиты позволяют аттестовать такие системы без покупки наложенных СЗИ от НСД — защита строится на механизмах самой ОС. Линия сертифицирована ФСТЭК России: изделие РУСБ.10015-01, сертификат соответствия № 2557.
«Смоленск» — максимальный уровень
«Смоленск» — это всё из «Воронежа» плюс мандатное управление доступом (включено по умолчанию) и маркировка документов. Уровень предназначен для информации любой категории доступа, включая сведения, составляющие государственную тайну до степени секретности «совершенно секретно» и «особой важности». Классы автоматизированных систем — все, включая 3А, 2А, 1В, 1Б и 1А. Исполнение для Минобороны России выпускается именно на уровне «Смоленск». На этом же уровне доступны все три линии сертификации: ФСТЭК России (изделие РУСБ.10015-01, сертификат № 2557), ФСБ России (изделия РУСБ.10015-16 и РУСБ.10015-17) и Минобороны России — с военной приёмкой и без неё.
Если гостайны в системе нет и не планируется, максимальный уровень обычно избыточен: мандатное управление доступом требует зрелых процессов администрирования — каждому пользователю, файлу и процессу назначаются метки конфиденциальности.
Как выбрать уровень под вашу систему
Отталкивайтесь от требований технического задания или аттестата объекта:
- Требований по защите информации нет — «Орёл». Классический сценарий — перевод офисных рабочих мест с Windows.
- Есть класс ГИС, уровень защищённости ИСПДн, категория значимого объекта КИИ или класс АСУ ТП — «Воронеж». Это самый массовый уровень: он закрывает конфиденциальную информацию без гостайны.
- Предстоит работа с гостайной — «Смоленск».
Уровень фиксируется при установке системы, а внутри приобретённого уровня функции безопасности можно включать и выключать в процессе эксплуатации. При снижении уровня защищённости недоступные функции отключаются автоматически, при повышении — становятся доступными для включения. Какой класс у вашей системы и как читать требования регуляторов — разобрано в статье о сертификатах ФСТЭК и ФСБ.
Если требований регуляторов нет: выбор от модели угроз
Коммерческой компании, на которую требования к государственным системам не распространяются, уровень никто не предписывает — она выбирает его сама. Тогда работает вторая логика: сначала определяют, какие угрозы для инфраструктуры реальны, потом смотрят, каким механизмом операционной системы каждая из них закрывается, и берут тот уровень, где эти механизмы есть. Перечень угроз для такой оценки берут из банка данных угроз безопасности информации ФСТЭК России.
Три вопроса, с которых стоит начать: что произойдёт, если сотрудник запустит принесённую программу или вложение из письма; кто и как может восстановить удалённый документ или вынести его на печать; есть ли данные, доступ к которым должен зависеть от степени конфиденциальности, а не от прав на папку.
| Что нужно закрыть | Механизм Astra Linux | Минимальный уровень |
|---|---|---|
| Запуск постороннего или изменённого исполняемого файла, в том числе шифровальщика | Замкнутая программная среда | «Воронеж» |
| Изменение системных компонентов и настроек в обход установленных правил | Мандатный контроль целостности | «Воронеж» |
| Остатки конфиденциальных данных в оперативной памяти и на носителях | Очистка оперативной и внешней памяти | «Воронеж» |
| Доступ сотрудника к сведениям выше его уровня допуска | Мандатное управление доступом | «Смоленск» |
| Неучтённый вывод конфиденциального документа на печать | Маркировка документов | «Смоленск» |
Разница в цене между уровнями видна в таблице выше, и на большом парке она заметна — поэтому решение стоит принимать по списку угроз, а не «на всякий случай». Если список угроз ещё не составлен, опишите инфраструктуру: мы разложим её по механизмам защиты и посчитаем оба варианта.
Сертификаты ФСТЭК и ФСБ
Основная линия Astra Linux Special Edition — изделие РУСБ.10015-01 с сертификатом соответствия ФСТЭК России № 2557: система сертифицирована по требованиям к профилю защиты ОС типа «А» первого класса защиты с первым уровнем доверия, действующая редакция сертификата оформлена по результатам испытаний очередного обновления 1.8. Для систем, поднадзорных ФСБ России, выпускается отдельная линия — изделия РУСБ.10015-16 (сертификаты № СФ/СЗИ-0680 и № СФ/СЗИ-0681) и РУСБ.10015-17 (№ СФ/СЗИ-0614). Есть и исполнение для Минобороны России — с военной приёмкой и без неё. Номера, сроки действия и что именно покрывает каждый сертификат — в отдельном разборе сертификатов Astra Linux.
| Линия сертификации | Изделие | Сертификат | Когда нужна |
|---|---|---|---|
| ФСТЭК России | РУСБ.10015-01 | № 2557 | ГИС, ИСПДн, значимые объекты КИИ, АСУ ТП — основная линия, на ней выходят очередные обновления 1.8 |
| ФСБ России | РУСБ.10015-16 и РУСБ.10015-17 | № СФ/СЗИ-0680, № СФ/СЗИ-0681, № СФ/СЗИ-0614 | Системы, поднадзорные ФСБ России |
| Минобороны России | РУСБ.10015-01 в исполнении для Минобороны | Поставляется с военной приёмкой и без неё | Объекты Минобороны России |
| Без сертификата | РУСБ.10015-10 | — | Инфраструктура без требований по защите информации — вариант лицензирования «Орёл» |
Линии ФСБ России и Минобороны выпускаются на максимальном уровне защищённости «Смоленск», сертификат ФСТЭК России действует на уровнях «Воронеж» и «Смоленск», а «Орёл» — вариант лицензирования несертифицированного изделия.
Орган сертификации выбирается прямо в конфигураторе наших карточек отдельной осью — вместе с уровнем защищённости и очередным обновлением: сочетания, которых у разработчика не существует, скрываются автоматически.
Сколько стоит Astra Linux Special Edition
Лицензия бессрочная — срок в названии позиции относится только к обновлениям: когда он закончится, система продолжит работать, а право получать обновления можно продлить. Обновления бывают двух типов: Тип 1 (стандартные) — обновления безопасности внутри своей версии, Тип 2 (привилегированные) — плюс право перейти на следующее очередное обновление системы, например с 1.7 на 1.8. Как устроены типы лицензий, обновления и переход между версиями — в отдельной статье о лицензировании Astra Linux.
В карточке уровень защищённости — первый шаг конфигуратора: дальше выбираются орган сертификации, очередное обновление (1.6, 1.7 или 1.8), формат поставки, тип обновлений и срок 12, 24 или 36 месяцев. Цена пересчитывается на каждом шаге.
Для рабочих станций чаще всего берут «Воронеж» на актуальном очередном обновлении 1.8 — с интерфейсом Astra Proxima, ядрами Linux 6.1 и 6.6 и обновлением с 1.7 без переустановки:
Серверная лицензия считается иначе: одна лицензия покрывает физический сервер с процессорами до 2 сокетов, для виртуализации есть варианты с неограниченным числом виртуальных машин на сервере. Все серверные позиции — в отдельной карточке:
Товар Astra Linux Special Edition для сервера от 48 000 ₽ Смотреть →На сервере под управлением Astra Linux часто разворачивают российскую СУБД — как это сделать пошагово, разобрано в статье об установке PostgreSQL на Astra Linux.
Как купить на юрлицо
Лицензии Astra Linux продаются для юридических лиц: счёт в рублях по безналичному расчёту, договор и закрывающие документы, комплект для тендерной документации. Поскольку система включена в реестр российского ПО, лицензии не облагаются НДС — в карточках каталога это уже учтено.
Если сомневаетесь в уровне защищённости или составе закупки — пришлём расчёт под вашу систему бесплатно, в течение рабочего дня: опишите число рабочих мест, серверы и требования регуляторов в заявке из карточки товара.
Частые вопросы
Чем «Воронеж» отличается от «Смоленска»? +
Двумя механизмами: в «Смоленске» дополнительно работают мандатное управление доступом и маркировка документов. Практическая граница — государственная тайна: конфиденциальную информацию без неё закрывает «Воронеж», гостайну — только «Смоленск».
Подойдёт ли «Орёл» для ГИС или ИСПДн? +
Нет. Разработчик прямо запрещает применять базовый уровень в системах с требованиями по защите информации — даже вместе с наложенными средствами защиты. Для аттестуемых систем нужен «Воронеж» или «Смоленск».
Можно ли взять «Воронеж», если требований регуляторов нет? +
Да. Ограничение работает в одну сторону: «Орёл» нельзя применять там, где требования есть, а взять уровень выше необходимого никто не мешает. Коммерческие компании так и делают, когда нужны замкнутая программная среда против запуска постороннего кода, мандатный контроль целостности или очистка памяти — эти механизмы начинаются с «Воронежа».
Что означают коды РУСБ.10015-01 и РУСБ.10015-10? +
Это децимальные номера изделий: РУСБ.10015-01 — система, сертифицированная ФСТЭК России (уровни «Воронеж» и «Смоленск»), РУСБ.10015-10 — несертифицированное изделие, которое лицензируется как «Орёл». Линия для ФСБ России — изделия РУСБ.10015-16 и РУСБ.10015-17.
Можно ли изменить уровень защищённости после установки? +
Внутри приобретённого уровня функции безопасности включаются и выключаются в процессе эксплуатации, а при снижении уровня недоступные функции отключаются автоматически. Сам уровень определяется лицензией: для перехода, например, с «Воронежа» на «Смоленск» потребуется лицензия соответствующего уровня — подберём вариант под вашу систему по запросу.
Что такое обновления Тип 1 и Тип 2? +
Тип 1 (стандартные) — доступ к обновлениям безопасности внутри своей версии системы. Тип 2 (привилегированные) добавляет право перейти на следующее очередное обновление, круглосуточный приём экстренных обращений, удалённый сбор информации о сбоях и инцидент-менеджера.
Отличаются ли уровни для рабочей станции и сервера? +
Нет, уровни защищённости одинаковые — «Орёл», «Воронеж» и «Смоленск» есть и там, и там. Отличается лицензирование: рабочая станция лицензируется на компьютер, сервер — по сокетам или по моделям виртуализации.
