Сравнение операционных Unix-систем, наиболее перспективных для импортозамещения с точки зрения ИБ

Сейчас организации, выполняющие требования регуляторов и законодательства по информационной безопасности, размышляют над вопросом, чем заменить зарубежные операционные системы, действия сертификатов которых было досрочно прекращено, чтобы обеспечить соответствие мерам защиты информации.

В этой статье в блоге ЛАНИТ я пытаюсь частично ответить на данный вопрос для тех, кто готов будет изменить и, возможно, перестроить свою информационную инфраструктуру. Пост поможет ИБ-специалистам определиться с заменой операционных систем и значительно сэкономит их время по поиску нужной информации.

Для начала предоставим список операционных систем сертификаты которых больше не являются действительными:

• Microsoft Windows Server 2016,

• Microsoft Windows 10,

• Red Hat Enterprise Linux 8,

• Red Hat Enterprise Linux 7,

• SUSE Linux Enterprise Server 12 SP3,

• SUSE Linux Enterprise Server for SAP Applications 15 SP3,

• Стрелец. (Об этом случае будет отдельно упомянуто далее.)

Обращаю ваше внимание, что таким образом на данный момент нет ни одной операционной системы семейства Windows имеющей действующий сертификат ФСТЭК России. При этом, конечно, всё ещё есть сертификаты с действующим сроком поддержки до 2023 года:

• Microsoft Windows Server Datacenter 2012 R2,

• Microsoft Windows Server Standard 2012 R2,

• Windows 8.1,

• Microsoft Windows Server Standard 2012,

• Microsoft Windows Server Datacenter 2012.

Ещё раз подчеркну, что в этой статье преимущественно описан взгляд со стороны обеспечения информационной безопасности, поэтому рассматривались следующие параметры.

1. Первичным и главным критерием отбора операционных систем для составления сравнительной характеристики являлся факт присутствия в них функциональности средства защиты информации, который подтверждается наличием действующего сертификата ФСТЭК России.

2. Вторым критерием по важности признаются возможности обеспечения безопасности с помощью встроенного функционала и с помощью интеграции сторонних средств защиты информации. Причём, учитывалось только следующее.

   1. Официально подтверждённые факты совместимости со стороны разработчиков (сертификаты совместимости, заявления производителей и поставщиков ПО, документация на ПО и т.п.). Это делается для того, чтобы исключить их некорректную работу (хотя, конечно, полностью этого делать нельзя), а как следствие - возникновение ряда угроз безопасности информации (например, УБИ.037 или УБИ.205).

   2. Сертифицированные средства защиты информации (ФСТЭК России или ФСБ России).

3. Третьим фактором являлось наличие общесистемного функционала и совместимость с распространённым прикладным программным обеспечением. Не учитывать это для формирования рейтинга операционных систем нельзя. Однако этому аспекту было уделено меньше внимания, чем остальным.

В итоге для сравнения были выбраны следующие операционные системы:

• ОС AlterOS,

• ОС «Альт 8 СП»,

• ЗОС «СинтезМ»,

• ЗОС «ОСнова»,

• ОС РОСА «КОБАЛЬТ»,

• ОС «РЕД»,

• ОС «Astra Linux Special Edition».

Далее представлен небольшой список кандидатов для анализа, которые были рассмотрены, но по тем или иным причинам не вошли в вышеуказанный список.

• ОС Topaz Linux: имеет действующий до 06.05.2027 сертификат ФСТЭК России (№4541), однако она предназначена для встраивания в промышленные контроллеры от одноимённой фирмы. Не рассмотрена из-за своей специфичности.

• ОС «Циркон 37К»: имеет действующий до 23.09.2026 сертификат ФСТЭК России (№4444). Не рассмотрена ввиду крайне малого количества необходимой для сравнения информации.  

• ОС GosLinux: имеет действующий до 14.03.2024 сертификат ФСТЭК России (№4072). Разработчик «РЕД СОФТ» (в актуальном списке есть их система ОС «РЕД»), однако сама система по всей видимости используется только для нужд ФССП России. Не рассмотрена из-за своей специфичности.  

• ОС «Стрелец». Разработчик НППКТ (в актуальном списке есть их система ЗОС «ОСнова»), однако действие сертификата ФСТЭК было досрочно прекращено. К сожалению не было найдено информации о причинах такого решения, но данный факт удивителен, ведь до недавнего времени это был один из допустимых кандидатов.

• ОС «МСВСфера» Разработчик НППКТ, однако не имеет действующего сертификата ФСТЭК. Также специфична тем, что разрабатывалась для нужд Вооружённых сил РФ.

Сравнительная характеристика

Таблицы расположены в порядке значимости критериев оценки (от наиболее важного к наименее существенному). По возможности указаны версии программного обеспечения и предоставлены ссылки на подтверждающие материалы.

Если в подтверждении используется сертификат совместимости, в котором не указана версия ПО, то это значит, что стороны заключили договор о сотрудничестве (партнёрстве) и до сих пор придерживаются его.

Информация о сертификатах ФСТЭК России и ФСБ России представлена в таблице 1.

Таблица 1. Сертификаты

Встроенные функции обеспечения информационной безопасности в таблице 2.

Таблица 2. Функции обеспечения ИБ

Совместимые средства криптографической защиты информации (СКЗИ) представлены в таблице 3.

Таблица 3. СКЗИ

Совместимые средства защиты информации (СЗИ) представлены в таблице 4.

Таблица 4. СЗИ

Доменная реализация представлена в таблице 5.

Таблица 5. Доменная реализация ОС

Поддержка систем управления баз данных (СУБД) представлена в таблице 6.

Таблица 6. СУБД

Здесь стоит упомянуть, что некоторые из перечисленных выше СУБД являются средствами защиты информации (таблица 7).

Таблица 7. СУБД-СЗИ

Совместимость с программным обеспечением общего назначения представлена в таблице 8.

Таблица 8. Общее ПО

Результаты анализа

В результате проведённого анализа можно резюмировать следующее.

• Большинство сертификатов ФСТЭК России рассмотренных операционных систем подтверждают, что они соответствуют четвертому уровню доверия. Следовательно, они могут применяться:

  • на объектах критической информационной инфраструктуры (КИИ)
    первой категории и ниже;

  • в государственных информационных системах (ГИС) первого класса защищённости и ниже;

  • в автоматизированных системах управления производственными и технологическими процессами (АСУ ТП) первого класса защищённости и ниже;

  • в информационных системах персональных данных (ИСПДн) при необходимости обеспечения первого уровня защищённости персональных данных и ниже.

• Ожидаемым лидером по всем параметрам отбора является ОС Astra Linux Special Edition, который имеет сертификат ФСТЭК России, подтверждающий соответствие второму и первому уровням доверия и позволяющий применять систему при обработке информации, содержащей сведения, составляющие государственную тайну. Это также подтверждается сертификатами ФСБ России.

Итоговый список операционных систем в соответствии с выбранными критериями оценки выстроился следующим образом:

• ОС Astra Linux Special Edition,

• ОС «РЕД»,

• ОС «Альт 8 СП»,

• ОС РОСА «КОБАЛЬТ»,

• ОС «AlterOS»,

• ЗОС «СинтезМ»,

• ЗОС «ОСнова».

Безусловно, необходимо дать некоторые пояснения, почему рейтинг получился именно таким. 

ОС «РЕД» по параметрам сопоставима с ОС Astra Linux Special Edition, однако её уровень доверия ниже и не имеет сертификатов ФСБ России. Расположение защищённых операционных систем (ЗОС) на последних местах обосновывается их ограниченной совместимостью со средствами защиты информации. ЗОС «СинтезМ» превосходит ЗОС «ОСнова» из-за возможности обрабатывать информацию, содержащую сведения, составляющие государственную тайну. Учитывая это в некоторых особых условиях ЗОС «СинтезМ» может подойти больше, чем даже решения, находящиеся выше в списке, однако специфичность самой системы (она применяется в качестве гостевой операционной системы для виртуальных машин) не позволяет рекомендовать её на данные позиции в подавляющем числе случаев. В остальном места распределены относительно анализируемых параметров. 

Этот рейтинг может быть пересмотрен в случае появления новой информации от разработчиков операционных систем или программных продуктов.

Спасибо за прочтение. Надеюсь, собранная информация будет полезна. Если вы не согласны со сформированным рейтингом, то напишите в комментариях свой вариант с обоснованием вашей позиции. Также будет крайне ценным ваш личный опыт внедрения и эксплуатации этих систем, поделитесь по возможности.