Безопасность конечных устройств: практика и уровни зрелости

Защита серверов, рабочих станций, контейнеров и мобильных устройств.

Что нужно на первом и втором уровне

Уровень	Что должно быть
1. Базовый	Серверы и рабочие станции обновляются, есть базовая защита и настройка.
2. Гигиенический	Есть эталонная конфигурация (hardening) и проверка отклонений, диски ноутбуков зашифрованы, обновления под контролем.

Критерии описаны своими словами по мотивам методики Группы Сбер; это ориентир, а не оценка соответствия. Для небольшой команды многие пункты закрываются процессом и открытыми средствами, а не дорогими продуктами.

Материалы по теме

Docker: как запускать контейнер не от root и снизить риски
Базовые меры безопасности контейнеров: непривилегированный пользователь, ограничение возможностей, порты и docker.sock.
Docker: ограничения контейнера — read-only, cap_drop, лимиты и порты
Практика ограничения контейнеров Docker: корневая файловая система только для чтения, отказ от привилегий Linux, запрет повышения прав, лимиты памяти и числа процессов, публикация портов только на локальном адресе.…
Hardening Astra Linux: настройка по требованиям ФСТЭК
Защитные механизмы Astra Linux Special Edition и порядок их включения: режимы, МКЦ, ЗПС, ограничения, аудит и связь с требованиями ФСТЭК.
Hardening Debian: безопасная настройка сервера по CIS Benchmark
Порядок защиты Debian: обновления безопасности, SSH, nftables, AppArmor, контроль целостности пакетов и проверка по CIS Benchmark.
Hardening Linux: базовая настройка безопасности сервера
Базовый набор мер для нового Linux-сервера: SSH, обновления, пользователи, firewall, сервисы и журналы.
Hardening Rocky Linux: SELinux, firewalld и проверка OpenSCAP по CIS
Защита Rocky Linux по CIS Benchmark: SELinux enforcing, firewalld, политики шифрования, аудит и отчёт OpenSCAP. Подходит AlmaLinux и RHEL.
Hardening Ubuntu Server: настройка по CIS Benchmark и NIST
Практическая защита Ubuntu Server: порядок настройки, соответствие CIS Benchmark и NIST, автоматическая проверка USG и Lynis.
Hardening Windows: базовая безопасная настройка станций и серверов
Базовый набор мер безопасной настройки Windows 10/11 и Windows Server для небольшой компании: учётные записи, обновления, Defender, firewall, SMB и RDP, шифрование, аудит, а также PowerShell-проверки результата.
Hardening РЕД ОС: настройка безопасности по CIS и ФСТЭК
Защита РЕД ОС: обновления, SELinux, firewalld, SSH, аудит, использование эталонов RHEL и особенности сертифицированной редакции.
sshd_config: безопасная настройка SSH и проверка командой sshd -T
Безопасная настройка OpenSSH-сервера с проверкой до перезапуска: готовый файл настроек, правило «первое значение побеждает» и порядок Include, блоки Match, команды sshd -t и sshd -T, защита от потери…
Антивирус и EDR для небольшой компании: что выбрать и как внедрить
Выбор и внедрение антивируса и EDR в небольшой компании: различия классов решений, критерии выбора, открытые и коммерческие варианты, поэтапное внедрение, настройка реагирования, исключения и проверка покрытия.
Изоляция служб systemd: песочница для своих сервисов
Практика изоляции служб systemd: директивы песочницы с проверкой на живой системе, оценка systemd-analyze security (с 9.6 до 1.4 на тестовой службе), порядок включения по шагам, диагностика отказов и…
Мобильные устройства и BYOD: правила, защита и контроль для небольшой компании
Практика защиты мобильных устройств и личных устройств сотрудников (BYOD): варианты модели, политика, минимальные требования, разделение рабочих и личных данных, MDM, потеря устройства, увольнение и показатели.
Рекомендации ФСТЭК по безопасной настройке Linux: ядро, права, sysctl и проверка
Разбор методического документа ФСТЭК по безопасной настройке Linux: пункты 2.1–2.6 с командами, оценка рисков, готовый sysctl-файл и скрипт проверки. Плюс что из руководства Madaidan'а применимо к серверу.
Чек-лист hardening Linux-сервера
Чек-лист для проверки безопасности Linux-сервера с командой для каждого пункта.
Шифрование дисков и данных: LUKS и BitLocker для небольшой компании
Практика шифрования дисков и данных: когда оно нужно, LUKS на Linux и BitLocker на Windows с командами, хранение и ротация ключей восстановления, шифрование копий и каналов, проверка результата.