Золотой образ сервера и рабочей станции: как собрать, хранить и обновлять
Соберите один золотой образ рабочей станции и один образ сервера: с них ставите парк, а не «как получилось у прошлого админа». Что именно ужесточать на живой системе — другие тексты: hardening Linux, hardening Windows. Откуда брать дистрибутив и как сверить сумму: источники ПО. Образ контейнера — не эта страница: cosign.
Статья опирается на логику направления «Безопасность конечных устройств» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. CIS Control 4 требует держать безопасную конфигурацию устройств и программ: cisecurity.org/controls. Это не российский закон. Образ снимайте только со своей эталонной машины, не с чужого диска.
Что должно быть внутри
| Есть | Нет |
|---|---|
| ОС из согласованного источника, закрытые обновления на дату сборки | Учётки прошлого владельца, сохранённые пароли браузера |
| Агент защиты и мониторинга из перечня | Мессенджеры «на всякий случай», торрент, лишние роли |
| Только разрешённое ПО: перечень | Общий пароль локального администратора на весь парк |
Для Windows перед копированием обобщите эталонную установку, иначе разъедутся идентификаторы машин. Официальная команда на эталонной машине, не на боевом контроллере домена:
%WINDIR%\system32\sysprep\sysprep.exe /generalize /shutdown /oobeОжидаемо: машина выключается, образ можно снимать. Документация: Sysprep (Generalize). Риск: на производственном сервере с ролями команда снимет уникальность и остановит службу. Для Linux эталон ставят из ISO, применяют hardening, выключают и копируют диск гипервизора — без съёма чужих систем.
Хранение и хэш
Файл образа лежит не в общей папке на запись. Рядом — дата, для какой роли (станция / сервер приложений), контрольная сумма. Windows:
Get-FileHash -Algorithm SHA256 \\FILE\images\ws-gold.wimLinux на хранилище:
sha256sum /var/backups/images/debian12-gold.qcow2Ожидаемо: одна строка SHA-256, совпадает с записью в реестре образов. Перед развёртыванием посчитайте ещё раз. После ежемесячных обновлений эталон патчат и снимают заново; старый файл помечают датой и не выдают в прод. Дрейф после установки закрывают политиками, не ручной правкой каждой машины: GPO и Ansible.
Диагностика
| Симптом | Причина и что делать |
|---|---|
| Новые ПК с разными наборами программ | Образа нет, ставят «с диска коллеги». Вернитесь к одному файлу |
| Одинаковый локальный пароль на всех | Зашили в образ. Уберите, включите LAPS: LAPS |
| Хэш не совпал | Файл подменили или скачали не туда. Не разворачивайте |
| Образ старше полугода | Патчи не внесены. Переснимите, старый уберите из выдачи |
Где это в модели зрелости
Материал относится к направлению «Безопасность конечных устройств» (хаб: конечные устройства, карта: карта зрелости). Hardening перечисляет меры. Образ даёт одну точку, с которой парк рождается одинаковым. Без хэша и даты это просто большой файл на шаре.
Как проверить
- Есть актуальный образ станции и образ сервера с датой и SHA-256.
- В образе нет общих локальных паролей и чужих учёток.
- Повторный хэш перед последним развёртыванием совпал с реестром.
- После установки машины дожимаются GPO или Ansible, не только «как сняли».
- Это не Docker и не чек-лист hardening.
Источники
- CIS Control 4: cisecurity.org/controls.
- Sysprep (Generalize): learn.microsoft.com.
